Lühike vastus: AVV (Auftragsverarbeitungsvertrag) ja DPA (Data Processing Agreement) viitavad samale GDPR-i artikli 28 alusel õiguslikult nõutavale lepingule. Saksa termin AVV on kasutusel DACH-piirkonna jurisdiktsioonides, samas kui DPA on ingliskeelne vaste, mida kasutatakse enamikus teistes EL-i liikmesriikides ja rahvusvaheliselt. Mõlemad reguleerivad seda, kuidas andmetöötleja isikuandmeid vastutava töötleja nimel käitleb. Vale raamistiku valimine või lepingu täielik vahelejätmine võib teie organisatsiooni olulistele regulatiivsetele karistustele paljastada.
Peamised järeldused
- AVV on saksakeelne lühend sõnast Auftragsverarbeitungsvertrag; DPA tähistab andmetöötluslepingut (Data Processing Agreement). Need on GDPR-i alusel funktsionaalselt samad instrumendid.
- Mõlemad lepingud on GDPR-i artikli 28 alusel kohustuslikud alati, kui vastutav töötleja kaasab töötleja isikuandmete käitlemiseks.
- Terminoloogia erinevus on piirkondlik: AVV on standardne Saksamaal, Austrias ja Šveitsis; DPA-d kasutatakse ingliskeelsetes ja enamikus teistes EL-i kontekstides.
- Kehtiv leping peab hõlmama teema, töötlemise kestuse, andmekategooriad, andmesubjekti õigused, alltöötleja tingimused, turvameetmed ja auditeerimissätted. [1]
- Korrektse lepingu puudumine võib kaasa tuua järelevalveasutuste uurimisi, trahve ja lepingulisi vaidlusi.
- Rakendamise kulud ulatuvad nullist (kasutades müüja standardset malli) kuni mitme tuhande euroni kohandatud õigusliku koostamise eest.
- Mõned ettevõtted, mis tegutsevad nii DACH- kui ka mitte-DACH-turgudel, kasutavad selguse huvides legitiimselt mõlemat terminit samas lepingus.
- Nõusolekuhaldusplatvorm, nagu Biscotti CMP, saab toetada teie laiemat GDPR-i vastavuse positsiooni, kuid see ei asenda nõuetekohaselt täidetud AVV-d ega DPA-d.
Mida tähendab AVV andmekaitses ja kas see on sama mis DPA?
AVV tähistab Auftragsverarbeitungsvertrag, mis on saksakeelne termin andmetöötluslepingu kohta. Praktilises õiguslikus mõttes on AVV ja DPA sama dokument, mõlemad täidavad GDPR-i artiklis 28 sätestatud nõude vastutava töötleja ja andmetöötleja vahelise kirjaliku lepingu kohta. [1]
Eristus on puhtalt keeleline ja jurisdiktsiooniline. Saksa, Austria ja Šveitsi andmekaitsepraktikud kasutavad AVV-d standardterminina lepingutes, privaatsuspoliitikates ja regulatiivses kirjavahetuses. Ingliskeelsed praktikud ja enamik teisi EL-i liikmesriike kasutavad DPA-d. Kui Saksa SaaS-i müüja pakub teile "AVV-d", pakuvad nad sama õiguslikku instrumenti, mida Ühendkuningriigi müüja nimetaks "DPA-ks".
Oluline selgitus: Kumbki termin ei tähenda erinevat õiguslikku standardit. Mõlemad peavad kehtivuse tagamiseks vastama samadele GDPR-i artikli 28 lõike 3 sisunõuetele. [1]
Mis vahe on AVV-l ja DPA-l?
AVV ja DPA erinevus on terminoloogiline, mitte sisuline. Mõlemad kirjeldavad GDPR-i artikli 28 alusel kohustuslikku lepingut vastutava töötleja (üksus, mis määrab töötlemise eesmärgi ja vahendid) ja andmetöötleja (üksus, mis töötleb andmeid vastutava töötleja nimel) vahel.
Tõelised erinevused võivad ilmneda koostamisstiilis ja kohalikes regulatiivsetes juhistes:
- Saksa järelevalveasutused (Datenschutzbehörden) on avaldanud spetsiifilisi malliklausleid ja juhiseid, mida AVV dokumendid sageli sisaldavad.
- Ühendkuningriigi või Iirimaa jurisdiktsioonide jaoks koostatud ingliskeelsed DPA-d võivad viidata riiklikele rakendusaktidele koos GDPR-iga.
- Šveitsi AVV-d peavad arvestama ka muudetud föderaalse andmekaitseseadusega (revFADP), mis erineb GDPR-ist teatud aspektides.
Kokkuvõttes: Kui müüja saadab teile AVV ja teil on vaja DPA-d, olete saanud selle, mida vajate, tingimusel et sisu vastab artikli 28 lõike 3 nõuetele. [1]
Millal on vaja AVV-d vs. DPA-d?
Ühte neist lepingutest on vaja alati, kui teie organisatsioon jagab isikuandmeid kolmanda osapoole teenusepakkujaga, kes töötleb neid andmeid teie juhiste alusel. Käivitajaks on vastutava töötleja ja töötleja suhe, mitte lepingu keel.
Kasutage AVV-d, kui:
- Teie vastaspool asub Saksamaal, Austrias või Šveitsis ja nende standardleping kasutab seda terminoloogiat.
- Teie organisatsioon tegutseb Saksa andmekaitseseaduse alusel ja teie sisemised mallid järgivad BfDI või riikliku DPA juhiseid.
Kasutage DPA-d, kui:
- Teie vastaspool tegutseb ingliskeelses jurisdiktsioonis või kasutab inglise keelt lepingu keelena.
- Te sõlmite lepingu USA-s asuva pilveteenuse pakkujaga, Ühendkuningriigi SaaS-i müüjaga või mis tahes rahvusvahelise töötlejaga, kelle mallid vaikimisi on "DPA".
Levinud viga: Eeldamine, et kuna müüja nimetab oma dokumenti AVV-ks, mitte DPA-ks, kehtivad erinevad õigusnormid. Sisunõuded on GDPR-i alusel identsed. Oluline on sisu, mitte kaaneleht.
Kellele on vaja AVV-d ja kellele DPA-d?
Kõik organisatsioonid, mis kvalifitseeruvad GDPR-i alusel vastutavaks töötlejaks ja kaasavad kolmanda osapoole isikuandmete töötlemiseks oma nimel, vajavad ühte neist lepingutest. See kehtib:
- E-kaubanduse ettevõtetele, mis kasutavad kolmanda osapoole maksetöötlejaid või e-posti turundusplatvorme.
- Ettevõtetele, mis kasutavad pilveinfrastruktuuri pakkujaid (IaaS, PaaS, SaaS).
- Veebiturundusagentuuridele, mis töötlevad kliendiandmeid.
- Arendajatele, kes loovad rakendusi, mis käitlevad lõppkasutaja isikuandmeid väliste API-de kaudu.
- Veebisaitide omanikele, kes kasutavad analüütikatööriistu, CDN-e või CRM-süsteeme, mis töötlevad külastajate andmeid.
DACH-turgudel asuvad organisatsioonid kohtavad tavaliselt AVV-märgist; rahvusvaheliselt tegutsevad organisatsioonid tegelevad sagedamini DPA-dega. Mõlemal organisatsioonikategoorial on sama õiguslik kohustus.
Mida peaks AVV vs. DPA sisaldama?
Nii AVV kui ka DPA peavad sisaldama samu kohustuslikke elemente GDPR-i artikli 28 lõike 3 alusel. Mis tahes nende klauslite puudumine muudab lepingu mittevastavaks. [1]
| Nõutav klausel | Kirjeldus |
|---|---|
| Teema ja kestus | Milliseid andmeid töödeldakse ja kui kaua |
| Olemus ja eesmärk | Miks ja kuidas töötlemine toimub |
| Andmetüübid ja andmesubjektid | Isikuandmete kategooriad ja mõjutatud isikud |
| Vastutava töötleja õigused ja kohustused | Juhised, mida töötleja peab järgima |
| Turvameetmed | Tehnilised ja organisatsioonilised kaitsemeetmed (TOM-id) |
| Alltöötleja tingimused | Reeglid allhankijate kaasamiseks |
| Andmesubjekti õiguste abi | Tugi juurdepääsu, kustutamise, teisaldatavuse taotlustele |
| Rikkumise teavitamine | Töötleja kohustus teavitada vastutavat töötlejat intsidentidest |
| Andmete tagastamine või kustutamine | Mis juhtub andmetega lepingu lõppemisel |
| Auditiõigused | Vastutava töötleja õigus kontrollida vastavust |
Erijuhus: Kui müüja mallist puuduvad auditiõigused või alltöötleja tingimused, ärge seda sellisel kujul allkirjastage. Need on artikli 28 lõike 3 alusel läbirääkimatu. [1]
Kui palju maksab AVV või DPA loomine?
Maksumus sõltub täielikult sellest, kas kasutate müüja standardset malli või tellite kohandatud õigusliku koostamise.
- Müüja pakutav mall (kõige tavalisem): Tasuta. Enamik suuremaid SaaS-i ja pilveteenuste pakkujaid avaldavad standardse AVV või DPA, mille vastutavad töötlejad saavad veebis või klõpsamise teel aktsepteerida.
- Läbiräägitud kohandatud leping: Õigusabitasud ulatuvad tavaliselt 500-st kuni 5000 euroni, sõltuvalt keerukusest, jurisdiktsioonist ja nõustamistasudest. Ettevõtete lepingud, millel on märkimisväärne andmemaht või tundlikud andmekategooriad, asuvad kõrgemas otsas.
- Sisemise malli arendamine: Ühekordne investeering õigusnõustaja ajasse korduvkasutatava malli loomiseks; jooksvad kulud on minimaalsed.
Praktiline märkus: Enamiku VKE-de ja veebisaitide omanike jaoks piisab müüja standardmallist. Kohandatud läbirääkimised on õigustatud, kui töötlemine hõlmab erikategooria andmeid (tervise-, biomeetrilised, finantsandmed) või kui vastutaval töötlejal on märkimisväärne vastutusrisk.
Kuidas erinevad AVV ja DPA nõuded riigiti?
GDPR-i alusel on sisulised nõuded ühtlustatud kõigis EL-i liikmesriikides, seega on AVV ja DPA põhisisu identne, olenemata sellest, kas olete Berliinis, Pariisis või Varssavis. Siiski esineb riiklikke nüansse:
- Saksamaa: BfDI ja osariikide DPA-d on andnud üksikasjalikke juhiseid ja näidisklausleid. Saksa AVV-d sisaldavad sageli üksikasjalikumat tehniliste ja organisatsiooniliste meetmete (TOM-ide) dokumentatsiooni.
- Šveits: revFADP (jõustus septembris 2023) kehtestab GDPR-ist täiendavaid nõudeid, sealhulgas erisätted piiriüleste andmeedastuste ja andmerikkumiste teavitamise tähtaegade kohta.
- Ühendkuningriik (pärast Brexitit): Kehtib Ühendkuningriigi GDPR; DPA-d peavad viitama Ühendkuningriigi ICO juhistele, mitte EL-i järelevalveasutustele. Standardlepingulised klauslid erinevad EL-i standardlepingulistest klauslitest.
- Teised EL-i liikmesriigid: GDPR-i artikkel 28 kehtib otse; kohalik DPA juhend võib täiendada, kuid ei saa vähendada miinimumnõudeid.
Valige hoolikalt kohaldatava õiguse klausel. Saksa õiguse AVV ja Iiri õiguse DPA võivad tunduda sarnased, kuid neid tõlgendavad erinevad kohtud ja järelevalveasutused.
Kas AVV-d saab kasutada DPA asemel või kasutada mõlemat korraga?
Jah, AVV võib asendada DPA-d, sest need on õiguslikult samaväärsed instrumendid. Ettevõte, mis tegutseb nii DACH- kui ka mitte-DACH-turgudel, võib segaduse vältimiseks lisada mõlemad terminid samasse lepingu päisesse (nt "Andmetöötlusleping / Auftragsverarbeitungsvertrag"). See on tavaline tava kakskeelsetes ettevõtete lepingutes ja on täiesti lubatud.
Mõlema märgise samaaegne kasutamine ei loo kahte eraldi õiguslikku kohustust. See lihtsalt tagab, et saksakeelsed ja ingliskeelsed pooled mõistavad, et nad vaatavad sama dokumenti.
Millised on levinud vead AVV ja DPA vahel valimisel?
Kõige olulisemad vead ei ole seotud sellega, millist terminit te kasutate, vaid sellega, mida leping sisaldab ja kas see üldse eksisteerib.
- Lepingu täielik vahelejätmine, sest müüja suhe tundub mitteametlik või madala riskiga. GDPR-i alusel käivitab kohustuse töötlemise tegevus, mitte tajutav riskitase.
- Mittetäieliku malli aktsepteerimine, mis jätab välja alltöötleja klauslid või auditiõigused, uskudes, et müüja versioon on automaatselt nõuetele vastav.
- DPA segiajamise andmete jagamise lepinguga. DPA reguleerib töötleja suhteid; andmete jagamise leping reguleerib ühise vastutava töötleja või vastutava töötleja ja vastutava töötleja vahelisi andmevahetusi. Need on erinevad instrumendid.
- Lepingute uuendamata jätmine, kui töötleja kaasab uusi alltöötlejaid või muudab töötlemise olemust.
- Eeldamine, et GDPR-i vastavus hõlmab Šveitsi õigust. Šveitsi andmesubjektidega organisatsioonid peavad tagama, et nende AVV vastab ka revFADP nõuetele.
Millised on AVV vs. DPA valesti tegemise õiguslikud tagajärjed?
Kehtiva ja täieliku lepingu puudumine seab nii vastutavad töötlejad kui ka töötlejad regulatiivsele ja tsiviilvastutusele.
GDPR-i artikli 83 lõike 4 kohaselt võivad artikli 28 (DPA/AVV nõue) rikkumised kaasa tuua haldustrahve kuni 10 miljonit eurot või 2% ülemaailmsest aastakäibest, olenevalt sellest, kumb on kõrgem. Saksa järelevalveasutused on näidanud valmisolekut uurida ja trahvida organisatsioone puuduvate või puudulike töötlemislepingute eest.
Lisaks trahvidele hõlmavad tagajärjed:
- Järelevalveasutuse auditid ja paranduskorraldused.
- Võimetus jõustada lepingutingimusi mittevastava töötleja vastu.
- Tsiviilvastutus, kui andmerikkumine toimub ilma kehtiva lepinguta, mis dokumenteerib turvakohustusi.
- Mainekahju B2B kontekstides, kus ettevõtte kliendid teostavad müüja hoolsuskohustust.
Kuidas teada, millist lepingut teie ettevõte tegelikult vajab?
Otsus on lihtne, kui olete suhte ja jurisdiktsiooni kindlaks teinud.
1. samm: Tehke kindlaks, kas teie organisatsioon on vastutav töötleja (teie otsustate, miks ja kuidas andmeid töödeldakse) või töötleja (te töötlete andmeid kellegi teise juhiste alusel).
2. samm: Tehke kindlaks oma vastaspoole keel ja jurisdiktsioon. Kui nad asuvad DACH-piirkonnas, oodake AVV-d. Kui nad asuvad mujal, oodake DPA-d.
3. samm: Kontrollige, et mis tahes dokument, mille te saate, sisaldab kõiki kümmet kohustuslikku elementi GDPR-i artikli 28 lõike 3 alusel. [1]
4. samm: Kui teie organisatsioon peab haldama ka kasutaja nõusolekut küpsiste ja jälgimistehnoloogiate jaoks, siis Biscotti CMP lahendab selle GDPR-i vastavuse kihi, kuid see toimib koos, mitte asendades nõuetekohaselt täidetud AVV-d või DPA-d.
Otsustusreegel: Kui töötlete isikuandmeid teise organisatsiooni nimel, vajate DPA-d või AVV-d, olenemata sellest, kuidas suhet kaubanduslikult nimetatakse. Kui teine organisatsioon töötleb andmeid teie nimel, vastutate te selle eest, et see leping oleks enne töötlemise algust olemas.
KKK
K: Kas AVV on õiguslikult kehtiv väljaspool Saksamaad? AVV on õiguslikult kehtiv kõikjal, kus GDPR kehtib, tingimusel et see vastab artikli 28 lõike 3 sisunõuetele. Saksa terminoloogia ei piira selle jõustatavust teistes EL-i jurisdiktsioonides.
K: Kas DPA peavad allkirjastama mõlemad pooled? Jah. GDPR-i artikli 28 lõige 9 nõuab, et leping oleks kirjalik, mis hõlmab ka elektroonilist vormi. Nii vastutav töötleja kui ka töötleja peavad olema selle tingimustega seotud.
K: Kas müüja veebipõhine klõpsamise teel DPA võib vastata GDPR-i nõuetele? Jah, kui sisu vastab artikli 28 lõike 3 nõuetele. Paljud suuremad pilveteenuste pakkujad pakuvad nõuetele vastavaid klõpsamise teel DPA-sid, mida järelevalveasutused on läbi vaadanud.
K: Mis on alltöötleja ja miks see on DPA-s või AVV-s oluline? Alltöötleja on kolmas osapool, kelle töötleja kaasab töötlemistegevuste läbiviimiseks. DPA või AVV peab täpsustama tingimused, mille alusel alltöötlejaid saab kaasata, sealhulgas vastutava töötleja õiguse vastuväiteid esitada. [1]
K: Kas mul on vaja uut AVV-d või DPA-d iga kord, kui töötleja uuendab oma alltöötlejate nimekirja? Mitte tingimata. Paljud lepingud sisaldavad üldist volitust alltöötlejate muudatusteks, tingimusel et töötleja teavitab vastutavat töötlejat ja vastutaval töötlejal on õigus teatud aja jooksul vastuväiteid esitada.
K: Kas DPA hõlmab andmeedastusi väljapoole EL-i? DPA reguleerib töötlemissuhet, kuid ei anna iseenesest luba piiriülesteks andmeedastusteks. Kolmandatesse riikidesse edastamiseks on vaja eraldi edastusmehhanisme (standardlepingulised klauslid, piisavuse otsused).
K: Kui kaua tuleks DPA-d või AVV-d säilitada? Säilitage leping töötlemissuhte kestuse ja mõistliku aja jooksul pärast seda, tavaliselt vähemalt kolm kuni viis aastat, et tõendada vastavust järelevalveasutuse päringu korral.
K: Mis vahe on DPA-l ja DPIA-l? DPA (Data Processing Agreement) on leping vastutava töötleja ja töötleja vahel. DPIA (Data Protection Impact Assessment) on sisemine riskihindamine, mis on nõutav kõrge riskiga töötlemistegevuste puhul. Need teenivad erinevaid eesmärke ja kumbki ei asenda teist.
K: Kas vabakutseliselt või väikeselt agentuurilt võidakse nõuda AVV või DPA allkirjastamist? Jah. Kohustus kehtib olenemata töötleja suurusest. Kliendiandmeid käitlev vabakutseline arendaja on töötleja ja peab allkirjastama DPA või AVV iga kliendi vastutava töötlejaga.
K: Kas Biscotti CMP asendab DPA või AVV vajaduse? Ei. Biscotti CMP on nõusolekuhaldusplatvorm, mis aitab hallata kasutaja nõusolekut küpsiste ja jälgimise jaoks, mis on eraldi GDPR-i vastavuse nõue. DPA või AVV on endiselt nõutav iga isikuandmeid hõlmava töötleja suhte puhul.
Kokkuvõte
AVV vs. DPA küsimus laheneb kiiresti, kui mõistate, et mõlemad terminid kirjeldavad sama GDPR-i artikli 28 alusel õiguslikult nõutavat instrumenti. Tõeline väljakutse ei ole nende vahel valimine, vaid selle tagamine, et mis tahes dokument, mis reguleerib teie töötleja suhteid, sisaldab kõiki kohustuslikke klausleid, on nõuetekohaselt täidetud ja ajakohane, kui töötlemistegevused arenevad.
Teostatavad järgmised sammud:
- Auditeerige kõiki praeguseid müüjasuhteid, et kinnitada, et iga teie nimel isikuandmeid käitleva töötleja jaoks on olemas kehtiv DPA või AVV.
- Vaadake olemasolevad lepingud üle GDPR-i artikli 28 lõike 3 kümne kohustusliku elemendi suhtes ja taotlege puuduste korral muudatusi. [1]
- Kui tegutsete Šveitsis, kontrollige, et lepingud vastaksid ka revFADP nõuetele lisaks GDPR-i baasile.
- Looge sisemine protsess uute töötlejate kaasamiseks, töötlemine ei tohiks alata enne lepingu allkirjastamist.
- Nõusolekuhalduse ja küpsiste vastavuse tagamiseks oma veebisaidil või rakenduses hinnake Biscotti CMP osana oma laiemast GDPR-i vastavuse raamistikust.
Andmekaitse vastavus ei ole ühekordne projekt. Lepingud tuleb üle vaadata, kui töötlemine muutub, kui lisatakse alltöötlejaid ja kui regulatiivsed juhised arenevad. Selle ülevaatamise rütmi lisamine oma vastavusprogrammi on kõige praktilisem kaitse regulatiivse kokkupuute vastu.
Viited
[1] Andmetöötlusleping – https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai