Respuesta Rápida: Un AVV (Auftragsverarbeitungsvertrag) es un contrato legalmente obligatorio bajo el Artículo 28 del GDPR entre un responsable del tratamiento de datos y un encargado del tratamiento de datos. Cualquier organización que procese datos personales en nombre de otra parte debe tener uno. Operar sin un AVV expone a ambas partes a multas de hasta 20 millones de euros o el 4% de la facturación anual global, lo que sea mayor.
Puntos Clave
- Un AVV es el término alemán para un Acuerdo de Tratamiento de Datos (DPA), requerido bajo el Artículo 28 del GDPR siempre que un encargado del tratamiento maneje datos personales para un responsable del tratamiento.
- El acuerdo debe especificar el objeto, propósito, duración, tipos de datos, medidas técnicas y organizativas (TOMs) y reglas para los subencargados.
- La falta de un AVV válido puede resultar en multas regulatorias, independientemente de si ha ocurrido una violación de datos.
- Las pequeñas empresas no están exentas: el alojamiento en la nube, el software de nóminas y las herramientas de marketing por correo electrónico suelen activar el requisito del AVV.
- Un AVV es un contrato entre dos partes, no un aviso de privacidad, y no implementa por sí mismo medidas de seguridad como el cifrado.
- Los AVV deben revisarse cada vez que cambien los subencargados, se produzcan transferencias de datos a terceros países o se modifiquen las actividades de tratamiento.
- En la región DACH (Alemania, Austria, Suiza), los AVV son una práctica estándar con proveedores de SaaS, proveedores de alojamiento y sistemas ERP.
- Hay plantillas disponibles de organizaciones y proveedores de cumplimiento, pero la personalización para reflejar las actividades de tratamiento reales es esencial.
¿Qué Significa AVV en el Tratamiento de Datos?
Un AVV significa Auftragsverarbeitungsvertrag, una palabra compuesta alemana que se traduce directamente como "acuerdo de tratamiento de datos" en español. Es el instrumento contractual exigido por el Artículo 28 del Reglamento General de Protección de Datos (GDPR) de la UE para regir la relación entre un responsable del tratamiento de datos y un encargado del tratamiento de datos.
El término es específico de las jurisdicciones de habla alemana (Alemania, Austria y Suiza), pero el concepto legal subyacente se aplica universalmente en toda la UE y el EEE. En contextos de habla inglesa, el mismo documento se denomina Acuerdo de Tratamiento de Datos (DPA). Las organizaciones que operan internacionalmente deben asegurarse de que sus AVV estén disponibles en los idiomas relevantes para facilitar la comprensión y el cumplimiento [5].
El AVV no es una política de privacidad ni un banner de consentimiento de cookies. Es un contrato bilateral vinculante que define cómo un encargado del tratamiento puede manejar datos personales, bajo qué condiciones y con qué salvaguardias.
¿Por Qué los Encargados del Tratamiento de Datos Necesitan un AVV?
Un AVV es obligatorio siempre que un responsable del tratamiento de datos contrate a un encargado del tratamiento para manejar datos personales en su nombre. Esto no es una guía opcional; es un requisito legal estricto bajo el Artículo 28 del GDPR [1].
Los escenarios comunes que activan el requisito del AVV incluyen:
- Alojamiento e infraestructura en la nube (por ejemplo, servidores que almacenan bases de datos de clientes)
- Procesamiento de nóminas gestionado por un proveedor de RRHH externo
- Plataformas de marketing por correo electrónico que almacenan listas de suscriptores
- Proveedores de SaaS ERP que acceden a datos empresariales y de empleados
- Herramientas de análisis y seguimiento que procesan datos de comportamiento de los visitantes
Sin un AVV, ninguna de las partes tiene una base legal documentada para la relación de tratamiento. Las autoridades de supervisión tratan la ausencia de un AVV como una violación de cumplimiento independiente, separada de cualquier investigación de violación de datos [3].
¿Es un AVV lo Mismo que un DPA?
Sí, un AVV y un DPA se refieren al mismo documento legal. El AVV es la designación en alemán; DPA es el equivalente en inglés utilizado en la mayoría de los demás estados miembros de la UE y en contextos de cumplimiento internacional [5].
Ambos documentos cumplen los requisitos del Artículo 28 del GDPR y deben contener los mismos elementos obligatorios. Si una empresa alemana firma un DPA con un proveedor de SaaS con sede en EE. UU., ese DPA funciona como el AVV a efectos de cumplimiento del GDPR, siempre que cumpla todos los requisitos sustantivos.
Distinción clave a recordar: La etiqueta del documento importa menos que su contenido. Un documento titulado "Adenda de Tratamiento de Datos", "Acuerdo de Tratamiento" o "AVV" es legalmente equivalente siempre que cubra todos los elementos requeridos.
¿Quién Necesita un AVV para el Cumplimiento del GDPR?
Cualquier organización que sea un responsable del tratamiento de datos y utilice un servicio de terceros que procese datos personales en su nombre necesita un AVV. Esto se aplica a empresas de todos los tamaños en todas las industrias [1].
Responsables del tratamiento que suelen necesitar AVV:
| Escenario | Responsable del tratamiento | Encargado del tratamiento |
|---|---|---|
| Empresa utiliza CRM en la nube | Empresa | Proveedor de CRM |
| Sitio web utiliza análisis | Propietario del sitio web | Proveedor de análisis |
| RRHH externaliza nóminas | Empleador | Oficina de nóminas |
| Tienda online utiliza herramienta de correo electrónico | Minorista | Plataforma de correo electrónico |
| Agencia gestiona anuncios de clientes | Agencia | Plataforma de tecnología publicitaria |
Quién no es un encargado del tratamiento: Una parte que determina los fines y medios del tratamiento de forma independiente es un responsable del tratamiento por derecho propio, no un encargado del tratamiento. Los corresponsables del tratamiento requieren un tipo diferente de acuerdo bajo el Artículo 26 del GDPR.
Las pequeñas empresas con frecuencia pasan por alto este requisito, asumiendo que solo se aplica a grandes empresas. Esa suposición es incorrecta. Cualquier propietario de un sitio web que utilice un proveedor de alojamiento de terceros, un servicio de boletines o un sistema de reservas probablemente necesite al menos un AVV [5].
¿Qué Debe Incluir un AVV?
Un AVV conforme debe contener elementos obligatorios específicos. La falta de uno solo puede hacer que el acuerdo sea insuficiente bajo el escrutinio del GDPR [2].
Componentes obligatorios:
- Objeto y duración del tratamiento
- Naturaleza y finalidad del tratamiento
- Tipo de datos personales y categorías de interesados
- Obligaciones y derechos del responsable del tratamiento
- Medidas técnicas y organizativas (TOMs) implementadas por el encargado del tratamiento
- Normas que rigen la contratación de subencargados
- Procedimientos para las solicitudes de derechos de los interesados
- Obligaciones de notificación de violaciones de datos
- Devolución o eliminación de datos al finalizar el contrato
- Derechos de auditoría para el responsable del tratamiento
La sección de TOMs es particularmente importante. Si bien el AVV en sí mismo no implementa medidas de seguridad, debe documentar qué medidas tiene implementadas el encargado del tratamiento, como estándares de cifrado, controles de acceso y prácticas de seudonimización [1].
¿Qué Sucede Si No Tienes un AVV?
Operar sin un AVV válido expone tanto al responsable del tratamiento como al encargado del tratamiento a importantes sanciones regulatorias. Según el Artículo 83(4) del GDPR, las multas por violaciones del Artículo 28 pueden alcanzar los 10 millones de euros o el 2% de la facturación anual global, y según el Artículo 83(5) para infracciones más graves, hasta 20 millones de euros o el 4% de la facturación anual global, lo que sea mayor [3].
Críticamente, estas multas pueden imponerse independientemente de si ha ocurrido una violación de datos. Una autoridad de supervisión que realice una auditoría de rutina o responda a una queja puede identificar la ausencia de un AVV e imponer una multa solo por esa razón.
Las consecuencias adicionales incluyen:
- Daño a la reputación y pérdida de confianza del cliente
- Responsabilidad contractual entre el responsable del tratamiento y el encargado del tratamiento
- Posible suspensión de las actividades de tratamiento en espera de la subsanación
AVV vs. Acuerdo de Tratamiento de Datos: Diferencias Clave
El AVV y el DPA son sustancialmente el mismo documento bajo diferentes nombres. Sin embargo, existen diferencias prácticas que vale la pena señalar para las organizaciones internacionales.
| Dimensión | AVV | DPA |
|---|---|---|
| Idioma | Alemán | Inglés (o local) |
| Enfoque jurisdiccional | Región DACH | UE/EEE en general |
| Contexto de uso común | Contratos en alemán | Acuerdos internacionales de SaaS |
| Base legal | Artículo 28 del GDPR | Artículo 28 del GDPR |
| Requisitos de contenido | Idénticos | Idénticos |
La región DACH (Alemania, Austria, Suiza) tiene una cultura de aplicación particularmente fuerte en torno a los AVV, lo que los convierte en una práctica estándar en los contratos con proveedores de alojamiento, proveedores de SaaS ERP y otros socios de servicios [1].
¿Cuánto Cuesta un AVV?
El costo de un AVV varía según cómo se cree y revise.
- AVV basado en plantilla: Muchos proveedores ofrecen su propio AVV como parte de sus términos de servicio, generalmente sin cargo adicional. Organizaciones como NexDeck ofrecen plantillas detalladas de AVV que incluyen listas de subencargados [4].
- Revisión por asesor legal: Contratar a un abogado de protección de datos para redactar o revisar un AVV personalizado suele costar entre 300 y 2.000 euros, dependiendo de la complejidad y la jurisdicción.
- Redacción asistida por DPO: Las organizaciones con un Delegado de Protección de Datos (DPO) interno o externo a menudo pueden utilizar ese recurso para redactar AVV sin costo marginal adicional más allá de la tarifa del DPO.
Para las pequeñas empresas, el enfoque más práctico es comenzar con una plantilla de buena reputación y hacer que un profesional calificado la revise antes de firmar.
¿Cómo Creo una Plantilla de AVV?
La creación de un AVV comienza identificando todas las relaciones de tratamiento en las que un tercero maneja datos personales en su nombre. A partir de ahí, el proceso sigue estos pasos:
- Inventario de sus encargados del tratamiento: Liste cada proveedor, herramienta o servicio que acceda a los datos personales que usted controla.
- Obtener o redactar el AVV: Muchos encargados del tratamiento (especialmente los proveedores de SaaS) proporcionan su propio AVV estándar. Revíselo con respecto a los elementos obligatorios enumerados anteriormente.
- Personalizar la sección de TOMs: Asegúrese de que las medidas técnicas y organizativas reflejen las prácticas de seguridad reales del encargado del tratamiento.
- Listar subencargados: Incluya un anexo que identifique a cualquier subencargado que utilice el encargado del tratamiento, junto con sus funciones y ubicaciones.
- Definir mecanismos de transferencia de datos: Si los datos se transfieren fuera de la UE/EEE, especifique el mecanismo de transferencia legal (por ejemplo, Cláusulas Contractuales Tipo).
- Firmar y conservar: Ambas partes deben firmar el AVV. Conserve una copia con sus registros de tratamiento de datos.
Las plantillas de organizaciones centradas en el cumplimiento proporcionan una base estructural sólida, pero cada AVV debe adaptarse a la actividad de tratamiento específica que rige [2].
Requisitos de AVV para Pequeñas Empresas
Las pequeñas empresas no están exentas del requisito del AVV. Cualquier organización sujeta al GDPR que utilice un encargado del tratamiento de terceros debe tener un AVV, independientemente del tamaño de la empresa o el número de empleados [1].
Para las pequeñas empresas, la carga práctica es menor de lo que podría parecer:
- La mayoría de los principales proveedores de SaaS (plataformas de correo electrónico, sistemas de reservas, herramientas de análisis) ya proporcionan un AVV o DPA estándar como parte de sus términos de servicio. Aceptar estos términos suele constituir un acuerdo válido.
- La tarea clave es asegurarse de que realmente ha revisado y aceptado esos términos, en lugar de asumir que existen.
- Mantenga un registro simple de sus encargados del tratamiento y los AVV correspondientes.
Error común: Los propietarios de pequeñas empresas a menudo asumen que, debido a que un proveedor es grande y de buena reputación, el papeleo legal se maneja automáticamente. La aceptación de un AVV debe ser un paso activo y documentado.
Requisitos de la Pista de Auditoría del AVV
Un AVV debe incluir disposiciones que otorguen al responsable del tratamiento el derecho a auditar el cumplimiento del encargado del tratamiento. Este derecho de auditoría es un elemento obligatorio según el Artículo 28(3)(h) del GDPR [2].
En la práctica, los requisitos de la pista de auditoría significan:
- El encargado del tratamiento debe mantener registros de las actividades de tratamiento según el Artículo 30(2) del GDPR.
- El responsable del tratamiento tiene derecho a realizar auditorías o encargar a auditores externos que verifiquen el cumplimiento.
- Muchos encargados del tratamiento satisfacen este requisito mediante certificaciones de terceros como ISO 27001 o SOC 2, que pueden sustituir a las auditorías in situ en muchos casos.
El AVV es directamente relevante para los controles del Anexo A de la ISO 27001, A.5.19 a A.5.22, que rigen las relaciones con los proveedores y la seguridad de la información en las cadenas de suministro [2]. Las organizaciones con un Sistema de Gestión de Seguridad de la Información (SGSI) formal deben asegurarse de que sus AVV estén integrados en sus procesos de gestión de proveedores.
AVV para Transferencias Internacionales de Datos
Cuando un encargado del tratamiento se encuentra fuera de la UE/EEE, el AVV debe abordar el mecanismo legal para transferir datos personales a ese tercer país. Las Cláusulas Contractuales Tipo (SCCs) son el mecanismo más utilizado y suelen incorporarse como anexo al AVV [2].
Consideraciones clave para los AVV internacionales:
- Identificar si el país del encargado del tratamiento tiene una decisión de adecuación de la UE.
- Si no, incorporar las SCCs apropiadas (de responsable a encargado o de responsable a responsable, según la relación).
- Realizar una Evaluación de Impacto de la Transferencia (TIA) cuando sea necesario.
- Asegurarse de que el AVV esté disponible en los idiomas de ambas partes contratantes [5].
¿Con Qué Frecuencia Debe Actualizar su AVV?
Un AVV debe revisarse y actualizarse cada vez que se produzcan cambios materiales en la relación de tratamiento. No existe un intervalo de revisión legal fijo, pero la mejor práctica apunta a una revisión anual como mínimo [2].
Disparadores para una actualización inmediata del AVV:
- El encargado del tratamiento contrata un nuevo subencargado o elimina uno existente
- Las actividades de tratamiento cambian en naturaleza, propósito o alcance
- Los datos se transfieren a un nuevo tercer país
- Las TOMs del encargado del tratamiento se actualizan significativamente
- Cambia la ley aplicable o la guía regulatoria
La revisión proactiva de los AVV es una disciplina de cumplimiento fundamental. Los acuerdos obsoletos que ya no reflejan las actividades de tratamiento reales crean la misma exposición regulatoria que no tener ningún AVV.
Errores Comunes al Configurar un AVV
Incluso las organizaciones que comprenden el requisito del AVV con frecuencia cometen errores en la implementación.
Error 1: Tratar la plantilla del proveedor como automáticamente suficiente. Una plantilla de AVV proporcionada por el proveedor puede no cubrir sus actividades de tratamiento específicas. Siempre revísela con respecto a los elementos obligatorios.
Error 2: Omitir o describir vagamente las TOMs. Las autoridades de supervisión examinan de cerca la sección de TOMs. Un lenguaje vago como "medidas de seguridad apropiadas" sin detalles es insuficiente.
Error 3: Olvidar a los subencargados. El AVV debe enumerar a los subencargados. No actualizar esta lista cuando un encargado del tratamiento cambia sus subencargados es una brecha de cumplimiento común [2].
Error 4: No conservar copias firmadas. Un AVV que no se puede presentar durante una auditoría no proporciona protección legal. Mantenga registros organizados.
Error 5: Confundir el AVV con una política de privacidad. Estos son documentos completamente diferentes que sirven para propósitos distintos. Una política de privacidad informa a los interesados; un AVV rige la relación entre el responsable y el encargado del tratamiento [1].
Conclusión
La Guía Definitiva de los AVV: Por Qué Todo Encargado del Tratamiento de Datos Necesita Uno se reduce, en última instancia, a una realidad de cumplimiento sencilla: si los datos personales cambian de manos entre un responsable del tratamiento y un encargado del tratamiento, debe existir un AVV válido antes de que comience ese tratamiento. No hay exenciones de tamaño, ni exclusiones de la industria, ni períodos de gracia para las organizaciones que ya operan bajo el GDPR.
Próximos pasos accionables para 2026:
- Audite a cada proveedor externo que acceda a los datos personales que usted controla y confirme que existe un AVV para cada uno.
- Revise los AVV existentes con respecto a la lista de verificación de elementos obligatorios, prestando especial atención a las TOMs y las listas de subencargados.
- Establezca un recordatorio en el calendario para las revisiones anuales de los AVV y las actualizaciones basadas en disparadores cuando cambien las actividades de tratamiento.
- Para las organizaciones que gestionan el consentimiento y el cumplimiento de las cookies junto con sus AVV, considere emparejar su documentación de tratamiento de datos con una Plataforma de Gestión de Consentimiento compatible como Biscotti CMP para mantener una postura de cumplimiento completa y defendible.
- Consulte a un profesional calificado en protección de datos para cualquier AVV que implique actividades de tratamiento complejas o transferencias internacionales de datos.
El costo de hacer bien los AVV es mínimo. El costo de hacerlos mal no lo es.
Preguntas Frecuentes
¿Qué es un AVV en términos sencillos? Un AVV es un contrato escrito entre una empresa que posee datos personales (el responsable del tratamiento) y una empresa que procesa esos datos en su nombre (el encargado del tratamiento). Especifica qué datos se procesan, por qué, cómo se protegen y qué están obligadas a hacer ambas partes.
¿Se requiere un AVV para cada relación con un proveedor? Solo para los proveedores que procesan datos personales en su nombre. Un proveedor que simplemente proporciona una herramienta que usted utiliza para procesar datos usted mismo (sin acceso a los datos) generalmente no es un encargado del tratamiento y no requiere un AVV.
¿Puede un acuerdo verbal sustituir a un AVV? No. El Artículo 28 del GDPR exige explícitamente que el acuerdo de tratamiento sea por escrito, incluso en formato electrónico.
¿Un AVV protege contra las multas del GDPR? Tener un AVV válido reduce significativamente el riesgo regulatorio, pero no proporciona inmunidad absoluta. Aún se pueden imponer multas por otras violaciones. Un AVV demuestra el cumplimiento del Artículo 28 específicamente.
¿Cuál es la diferencia entre un subencargado y un encargado del tratamiento? Un encargado del tratamiento maneja datos directamente para el responsable del tratamiento. Un subencargado es contratado por el encargado del tratamiento para ayudar con ese tratamiento. El responsable del tratamiento debe ser informado de los subencargados, y el encargado del tratamiento debe vincular a los subencargados a obligaciones equivalentes.
¿Cuánto tiempo debe conservarse un AVV? No hay un período de retención explícito especificado en el GDPR para los AVV, pero deben conservarse durante la duración de la relación de tratamiento y durante un período razonable posterior, típicamente alineado con el plazo de prescripción para la acción regulatoria en la jurisdicción relevante.
¿Un DPA firmado con una empresa estadounidense cuenta como un AVV? Sí, siempre que contenga todos los elementos requeridos por el Artículo 28 del GDPR e incorpore mecanismos de transferencia apropiados, como las Cláusulas Contractuales Tipo.
¿Puede el encargado del tratamiento utilizar datos personales para sus propios fines? No. Un encargado del tratamiento solo puede procesar datos personales siguiendo las instrucciones documentadas del responsable del tratamiento. El procesamiento para los propios fines del encargado del tratamiento reclasificaría a esa parte como responsable del tratamiento, con obligaciones legales separadas.
¿Qué es una TOM en el contexto de un AVV? TOM significa Medida Técnica y Organizativa. Son las prácticas de seguridad que un encargado del tratamiento implementa para proteger los datos personales, como el cifrado, los controles de acceso y la seudonimización. El AVV debe documentar estas medidas.
¿Los AVV necesitan ser notariados? No. El GDPR no exige la notarización. Un acuerdo escrito firmado (incluidas las firmas electrónicas) es suficiente.
Referencias
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai