Respuesta rápida: AVV (Auftragsverarbeitungsvertrag) y DPA (Data Processing Agreement) se refieren al mismo contrato legalmente requerido bajo el Artículo 28 del GDPR; el término alemán AVV se usa en las jurisdicciones de la región DACH, mientras que DPA es el equivalente en inglés usado en la mayoría de los demás estados miembros de la UE e internacionalmente. Ambos rigen cómo un procesador de datos maneja datos personales en nombre de un controlador. Elegir el encuadre incorrecto, o omitir el acuerdo por completo, puede exponer a su organización a importantes sanciones regulatorias.
Puntos clave
- AVV es la abreviatura alemana de Auftragsverarbeitungsvertrag; DPA significa Data Processing Agreement, son funcionalmente el mismo instrumento bajo el GDPR.
- Ambos acuerdos son obligatorios bajo el Artículo 28 del GDPR siempre que un controlador contrate a un procesador para manejar datos personales.
- La diferencia terminológica es regional: AVV es estándar en Alemania, Austria y Suiza; DPA se usa en contextos de habla inglesa y en la mayoría de los demás contextos de la UE.
- Un acuerdo válido debe cubrir el objeto, la duración del procesamiento, las categorías de datos, los derechos del interesado, las condiciones del subprocesador, las medidas de seguridad y las disposiciones de auditoría. [1]
- No tener el acuerdo correcto puede resultar en investigaciones de la autoridad supervisora, multas y disputas contractuales.
- El costo de implementación varía desde cero (usando la plantilla estándar de un proveedor) hasta varios miles de euros para la redacción legal personalizada.
- Algunas empresas que operan en mercados DACH y no DACH usan legítimamente ambos términos en el mismo acuerdo para mayor claridad.
- Una Plataforma de Gestión de Consentimiento como Biscotti CMP puede respaldar su postura de cumplimiento más amplia del GDPR, pero no reemplaza un AVV o DPA debidamente ejecutado.
¿Qué significa AVV en protección de datos y es lo mismo que un DPA?
AVV significa Auftragsverarbeitungsvertrag, el término en alemán para un Acuerdo de Procesamiento de Datos. En términos legales prácticos, un AVV y un DPA son el mismo documento, ambos satisfacen el requisito establecido en el Artículo 28 del GDPR para un contrato escrito entre un controlador de datos y un procesador de datos. [1]
La distinción es puramente lingüística y jurisdiccional. Los profesionales de la protección de datos alemanes, austriacos y suizos usan AVV como término estándar en contratos, políticas de privacidad y correspondencia regulatoria. Los profesionales de habla inglesa y la mayoría de los demás estados miembros de la UE usan DPA. Cuando un proveedor de SaaS alemán le ofrece un "AVV", le está ofreciendo el mismo instrumento legal que un proveedor con sede en el Reino Unido llamaría "DPA".
Aclaración clave: Ninguno de los términos implica un estándar legal diferente. Ambos deben cumplir con los mismos requisitos de contenido del Artículo 28(3) del GDPR para ser válidos. [1]
¿Cuál es la diferencia entre AVV y DPA?
La diferencia entre AVV y DPA es terminológica, no sustantiva. Ambos describen el contrato exigido por el Artículo 28 del GDPR entre un controlador de datos (la entidad que determina el propósito y los medios del procesamiento) y un procesador de datos (la entidad que procesa datos en nombre del controlador).
Donde pueden surgir diferencias genuinas es en el estilo de redacción y la orientación regulatoria local:
- Las autoridades supervisoras alemanas (Datenschutzbehörden) han publicado cláusulas de plantilla específicas y notas de orientación que los documentos AVV a menudo incorporan.
- Los DPA en inglés redactados para jurisdicciones del Reino Unido o Irlanda pueden hacer referencia a la legislación de implementación nacional junto con el GDPR.
- Los AVV suizos también deben tener en cuenta la Ley Federal de Protección de Datos revisada (revFADP), que difiere del GDPR en ciertos aspectos.
En resumen: Si un proveedor le envía un AVV y usted necesita un DPA, ha recibido lo que necesita, siempre que el contenido cumpla con los requisitos del Artículo 28(3). [1]
¿Cuándo necesita un AVV vs. un DPA?
Necesita uno de estos acuerdos cada vez que su organización comparte datos personales con un proveedor de servicios externo que procesa esos datos según sus instrucciones. El desencadenante es la relación controlador-procesador, no el idioma del contrato.
Use un AVV cuando:
- Su contraparte tiene su sede en Alemania, Austria o Suiza y su contrato estándar utiliza esa terminología.
- Su propia organización opera bajo la ley de protección de datos alemana y sus plantillas internas siguen la guía del BfDI o del DPA estatal.
Use un DPA cuando:
- Su contraparte opera en una jurisdicción de habla inglesa o usa el inglés como idioma del contrato.
- Está contratando con un proveedor de la nube con sede en EE. UU., un proveedor de SaaS del Reino Unido o cualquier procesador internacional cuyas plantillas predeterminadas sean "DPA".
Error común: Asumir que, debido a que un proveedor llama a su documento AVV en lugar de DPA, se aplican diferentes reglas legales. Los requisitos de contenido son idénticos bajo el GDPR. Lo que importa es la sustancia, no la etiqueta en la portada.
¿Quién necesita un AVV y quién necesita un DPA?
Cualquier organización que califique como controlador de datos bajo el GDPR y contrate a un tercero para procesar datos personales en su nombre necesita uno de estos acuerdos. Esto se aplica a:
- Empresas de comercio electrónico que utilizan procesadores de pagos de terceros o plataformas de marketing por correo electrónico.
- Empresas que utilizan proveedores de infraestructura en la nube (IaaS, PaaS, SaaS).
- Agencias de marketing online que procesan datos de clientes.
- Desarrolladores que crean aplicaciones que manejan datos personales de usuarios finales a través de API externas.
- Propietarios de sitios web que utilizan herramientas de análisis, CDN o sistemas CRM que procesan datos de visitantes.
Las organizaciones con sede en mercados DACH normalmente encontrarán la etiqueta AVV; las que operan internacionalmente tratarán más a menudo con DPA. Ambas categorías de organizaciones se enfrentan a la misma obligación legal.
¿Qué debe incluirse en un AVV vs. un DPA?
Tanto un AVV como un DPA deben contener los mismos elementos obligatorios bajo el Artículo 28(3) del GDPR. La falta de cualquiera de estas cláusulas hace que el acuerdo sea no conforme. [1]
| Cláusula requerida | Descripción |
|---|---|
| Objeto y duración | Qué datos se procesan y por cuánto tiempo |
| Naturaleza y propósito | Por qué y cómo se produce el procesamiento |
| Tipos de datos e interesados | Categorías de datos personales e individuos afectados |
| Derechos y obligaciones del controlador | Instrucciones que el procesador debe seguir |
| Medidas de seguridad | Salvaguardias técnicas y organizativas (TOMs) |
| Condiciones del subprocesador | Reglas para contratar procesadores posteriores |
| Asistencia para los derechos del interesado | Soporte para solicitudes de acceso, eliminación, portabilidad |
| Notificación de violación | Obligación del procesador de notificar al controlador de incidentes |
| Devolución o eliminación de datos | Qué sucede con los datos al finalizar el contrato |
| Derechos de auditoría | Derecho del controlador a verificar el cumplimiento |
Caso excepcional: Si la plantilla de un proveedor omite los derechos de auditoría o las condiciones del subprocesador, no la firme tal cual. Estos son innegociables según el Artículo 28(3). [1]
¿Cuánto cuesta establecer un AVV o DPA?
El costo depende completamente de si utiliza la plantilla estándar de un proveedor o encarga la redacción legal personalizada.
- Plantilla proporcionada por el proveedor (lo más común): Gratis. La mayoría de los principales proveedores de SaaS y la nube publican un AVV o DPA estándar que los controladores pueden aceptar en línea o mediante un proceso de clic.
- Acuerdo personalizado negociado: Los honorarios legales suelen oscilar entre 500 y 5.000 euros, dependiendo de la complejidad, la jurisdicción y las tarifas del abogado. Los contratos empresariales con volúmenes de datos significativos o categorías de datos sensibles se sitúan en el extremo superior.
- Desarrollo de plantillas internas: Una inversión única de tiempo de asesoramiento legal para crear una plantilla reutilizable; el costo continuo es mínimo.
Nota práctica: Para la mayoría de las PYMES y propietarios de sitios web, la plantilla estándar del proveedor es suficiente. La negociación personalizada se justifica cuando el procesamiento implica datos de categorías especiales (salud, biométricos, financieros) o cuando el controlador asume una exposición significativa a la responsabilidad.
¿Cómo difieren los requisitos de AVV y DPA por país?
Bajo el GDPR, los requisitos sustantivos están armonizados en todos los estados miembros de la UE, por lo que el contenido central de un AVV y un DPA es idéntico, ya sea que se encuentre en Berlín, París o Varsovia. Sin embargo, existen matices a nivel nacional:
- Alemania: El BfDI y los DPA a nivel estatal han emitido una guía detallada y cláusulas modelo. Los AVV alemanes a menudo incluyen una documentación más granular de medidas técnicas y organizativas (TOMs).
- Suiza: La revFADP (efectiva a partir de septiembre de 2023) impone requisitos adicionales más allá del GDPR, incluidas disposiciones específicas para transferencias de datos transfronterizas y plazos de notificación de violaciones de datos.
- Reino Unido (post-Brexit): Se aplica el GDPR del Reino Unido; los DPA deben hacer referencia a la guía de la ICO del Reino Unido en lugar de a las autoridades supervisoras de la UE. Las cláusulas contractuales estándar difieren de las SCC de la UE.
- Otros estados miembros de la UE: El Artículo 28 del GDPR se aplica directamente; la guía local del DPA puede complementar, pero no puede reducir los requisitos mínimos.
Elija cuidadosamente la cláusula de ley aplicable. Un AVV de ley alemana y un DPA de ley irlandesa pueden parecer similares, pero serán interpretados por diferentes tribunales y autoridades supervisoras.
¿Puede usar un AVV en lugar de un DPA, o usar ambos al mismo tiempo?
Sí, un AVV puede sustituir a un DPA porque son instrumentos legalmente equivalentes. Una empresa que opera en mercados DACH y no DACH puede incluir ambos términos en el encabezado del mismo contrato (por ejemplo, "Acuerdo de procesamiento de datos / Auftragsverarbeitungsvertrag") para evitar confusiones; esta es una práctica común en contratos empresariales bilingües y es totalmente permisible.
El uso simultáneo de ambas etiquetas no crea dos obligaciones legales separadas. Simplemente asegura que las partes de habla alemana e inglesa entiendan que están viendo el mismo documento.
¿Cuáles son los errores comunes al elegir entre AVV y DPA?
Los errores más importantes no son sobre qué término usa, sino sobre lo que contiene el acuerdo y si existe.
- Omitir el acuerdo por completo porque una relación con un proveedor parece informal o de bajo riesgo. Bajo el GDPR, la obligación se activa por el acto de procesamiento, no por el nivel de riesgo percibido.
- Aceptar una plantilla incompleta que omite cláusulas de subprocesador o derechos de auditoría, creyendo que la versión del proveedor cumple automáticamente.
- Confundir un DPA con un acuerdo de intercambio de datos. Un DPA rige las relaciones con el procesador; un acuerdo de intercambio de datos rige los intercambios de datos entre controladores conjuntos o de controlador a controlador. Estos son instrumentos diferentes.
- No actualizar los acuerdos cuando un procesador contrata nuevos subprocesadores o cambia la naturaleza del procesamiento.
- Asumir que el cumplimiento del GDPR cubre la ley suiza. Las organizaciones con interesados suizos deben asegurarse de que su AVV también satisfaga los requisitos de la revFADP.
¿Cuáles son las consecuencias legales de equivocarse con el AVV vs. DPA?
No tener un acuerdo válido y completo expone tanto a los controladores como a los procesadores a responsabilidad regulatoria y civil.
Según el Artículo 83(4) del GDPR, las infracciones del Artículo 28 (el requisito de DPA/AVV) pueden resultar en multas administrativas de hasta 10 millones de euros o el 2% de la facturación anual global, lo que sea mayor. Las autoridades supervisoras en Alemania han demostrado su voluntad de investigar y multar a las organizaciones por acuerdos de procesamiento faltantes o deficientes.
Más allá de las multas, las consecuencias incluyen:
- Auditorías de la autoridad supervisora y órdenes correctivas.
- Incapacidad para hacer cumplir los términos contractuales contra un procesador no conforme.
- Exposición a responsabilidad civil si ocurre una violación de datos sin un acuerdo válido que documente las obligaciones de seguridad.
- Daño a la reputación en contextos B2B donde los clientes empresariales realizan la debida diligencia del proveedor.
¿Cómo saber qué acuerdo necesita realmente su empresa?
La decisión es sencilla una vez que identifica la relación y la jurisdicción.
Paso 1: Determine si su organización es el controlador (usted decide por qué y cómo se procesan los datos) o el procesador (usted procesa datos según las instrucciones de otra persona).
Paso 2: Identifique el idioma y la jurisdicción de su contraparte. Si están en la región DACH, espere un AVV. Si están en otro lugar, espere un DPA.
Paso 3: Verifique que cualquier documento que reciba contenga los diez elementos obligatorios según el Artículo 28(3) del GDPR. [1]
Paso 4: Si su organización también necesita gestionar el consentimiento del usuario para cookies y tecnologías de seguimiento, una Plataforma de Gestión de Consentimiento como Biscotti CMP aborda esa capa de cumplimiento del GDPR, pero opera junto con, no en lugar de, un AVV o DPA debidamente ejecutado.
Regla de decisión: Si procesa datos personales en nombre de otra organización, necesita un DPA o AVV, independientemente de cómo se llame comercialmente la relación. Si otra organización procesa datos en su nombre, usted es responsable de garantizar que ese acuerdo esté vigente antes de que comience el procesamiento.
Preguntas frecuentes
P: ¿Un AVV es legalmente válido fuera de Alemania? Un AVV es legalmente válido dondequiera que se aplique el GDPR, siempre que cumpla con los requisitos de contenido del Artículo 28(3). La terminología alemana no limita su aplicabilidad en otras jurisdicciones de la UE.
P: ¿Un DPA necesita ser firmado por ambas partes? Sí. El Artículo 28(9) del GDPR exige que el acuerdo sea por escrito, lo que incluye el formato electrónico. Tanto el controlador como el procesador deben estar obligados por sus términos.
P: ¿Puede un DPA de clic en línea de un proveedor satisfacer los requisitos del GDPR? Sí, si el contenido cumple con los requisitos del Artículo 28(3). Muchos proveedores importantes de la nube ofrecen DPA de clic conformes que han sido revisados por las autoridades supervisoras.
P: ¿Qué es un subprocesador y por qué es importante en un DPA o AVV? Un subprocesador es un tercero contratado por el procesador para llevar a cabo actividades de procesamiento. El DPA o AVV debe especificar las condiciones bajo las cuales se pueden contratar subprocesadores, incluido el derecho del controlador a oponerse. [1]
P: ¿Necesito un nuevo AVV o DPA cada vez que un procesador actualiza su lista de subprocesadores? No necesariamente. Muchos acuerdos incluyen una autorización general para cambios de subprocesadores, siempre que el procesador notifique al controlador y el controlador conserve el derecho a oponerse dentro de un período específico.
P: ¿Un DPA cubre las transferencias de datos fuera de la UE? Un DPA rige la relación de procesamiento, pero por sí mismo no autoriza las transferencias de datos transfronterizas. Se requieren mecanismos de transferencia separados (Cláusulas Contractuales Estándar, decisiones de adecuación) para las transferencias a terceros países.
P: ¿Cuánto tiempo debe conservarse un DPA o AVV? Conserve el acuerdo durante la duración de la relación de procesamiento y durante un período razonable posterior, generalmente al menos de tres a cinco años, para demostrar el cumplimiento en caso de una investigación de la autoridad supervisora.
P: ¿Cuál es la diferencia entre un DPA y un DPIA? Un DPA (Acuerdo de Procesamiento de Datos) es un contrato entre el controlador y el procesador. Un DPIA (Evaluación de Impacto de Protección de Datos) es una evaluación de riesgos interna requerida para actividades de procesamiento de alto riesgo. Sirven para diferentes propósitos y ninguno sustituye al otro.
P: ¿Se puede exigir a un autónomo o a una pequeña agencia que firme un AVV o DPA? Sí. La obligación se aplica independientemente del tamaño del procesador. Un desarrollador autónomo que maneja datos de clientes es un procesador y debe firmar un DPA o AVV con cada cliente controlador.
P: ¿Biscotti CMP reemplaza la necesidad de un DPA o AVV? No. Biscotti CMP es una Plataforma de Gestión de Consentimiento que ayuda a gestionar el consentimiento del usuario para cookies y seguimiento, un requisito de cumplimiento del GDPR separado. Todavía se requiere un DPA o AVV para cualquier relación de procesador que involucre datos personales.
Conclusión
La pregunta AVV vs. DPA se resuelve rápidamente una vez que se reconoce que ambos términos describen el mismo instrumento legalmente requerido bajo el Artículo 28 del GDPR. El verdadero desafío no es elegir entre ellos, sino asegurar que cualquier documento que rija sus relaciones con el procesador contenga todas las cláusulas obligatorias, esté debidamente ejecutado y se mantenga actualizado a medida que evolucionan las actividades de procesamiento.
Próximos pasos accionables:
- Audite todas las relaciones actuales con proveedores para confirmar que existe un DPA o AVV válido para cada procesador que maneja datos personales en su nombre.
- Revise los acuerdos existentes con respecto a los diez elementos obligatorios del Artículo 28(3) del GDPR y solicite enmiendas para cualquier deficiencia. [1]
- Si opera en Suiza, verifique que los acuerdos también satisfagan los requisitos de la revFADP más allá de la base del GDPR.
- Establezca un proceso interno para la incorporación de nuevos procesadores; ningún procesamiento debe comenzar antes de que se firme el acuerdo.
- Para la gestión del consentimiento y el cumplimiento de las cookies en su sitio web o aplicación, evalúe Biscotti CMP como parte de su marco de cumplimiento del GDPR más amplio.
El cumplimiento de la protección de datos no es un proyecto único. Los acuerdos deben revisarse cuando cambian los procesamientos, cuando se agregan subprocesadores y cuando evoluciona la guía regulatoria. Incorporar esa cadencia de revisión en su programa de cumplimiento es la salvaguarda más práctica contra la exposición regulatoria.
Referencias
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai