Lühike vastus: AVV (Auftragsverarbeitungsvertrag) on GDPR-i artikli 28 kohaselt õiguslikult kohustuslik leping andmekontrolleri ja andmetöötleja vahel. Igal organisatsioonil, mis töötleb isikuandmeid teise osapoole nimel, peab see olema olemas. Ilma AVV-ta tegutsemine seab mõlemad pooled ohtu trahvidega kuni 20 miljonit eurot või 4% ülemaailmsest aastakäibest, olenevalt sellest, kumb on kõrgem.
Peamised järeldused
- AVV on saksakeelne termin andmetöötluslepingule (DPA), mis on nõutav GDPR-i artikli 28 kohaselt alati, kui töötleja töötleb isikuandmeid kontrolleri jaoks.
- Lepingus peavad olema täpsustatud töötlemise teema, eesmärk, kestus, andmetüübid, tehnilised ja organisatsioonilised meetmed (TOM-id) ning alltöötlejate reeglid.
- Kehtiva AVV puudumine võib kaasa tuua regulatiivseid trahve, olenemata sellest, kas andmerikkumine on toimunud.
- Väikeettevõtted ei ole erand: pilvemajutamine, palgaarvestustarkvara ja e-posti turundustööriistad käivitavad tavaliselt AVV nõude.
- AVV on kahe osapoole vaheline leping, mitte privaatsusteatis, ja see ei rakenda iseenesest turvameetmeid, nagu krüpteerimine.
- AVV-d tuleks üle vaadata alati, kui alltöötlejad muutuvad, andmeid edastatakse kolmandatesse riikidesse või töötlemistegevust muudetakse.
- DACH-i piirkonnas (Saksamaa, Austria, Šveits) on AVV-d standardne praktika SaaS-i müüjate, majutusteenuse pakkujate ja ERP-süsteemidega.
- Mallid on saadaval vastavusorganisatsioonidelt ja müüjatelt, kuid tegelike töötlemistegevuste kajastamiseks on kohandamine hädavajalik.
Mida tähendab AVV andmetöötluses?
AVV tähistab Auftragsverarbeitungsvertrag, saksakeelset liitsõna, mis otsetõlkes tähendab "andmetöötlusleping" inglise keeles. See on Euroopa Liidu isikuandmete kaitse üldmääruse (GDPR) artikli 28 kohaselt kohustuslik lepinguline instrument, mis reguleerib andmekontrolleri ja andmetöötleja vahelist suhet.
Termin on spetsiifiline saksakeelsetele jurisdiktsioonidele (Saksamaa, Austria ja Šveits), kuid selle aluseks olev õiguslik kontseptsioon kehtib universaalselt kogu EL-is ja EMP-s. Ingliskeelsetes kontekstides nimetatakse sama dokumenti andmetöötluslepinguks (DPA). Rahvusvaheliselt tegutsevad organisatsioonid peaksid tagama, et nende AVV-d on arusaamise ja vastavuse hõlbustamiseks saadaval asjakohastes keeltes [5].
AVV ei ole privaatsuspoliitika ega küpsiste nõusoleku bänner. See on siduv kahepoolne leping, mis määratleb, kuidas töötleja võib isikuandmeid käsitleda, millistel tingimustel ja milliste kaitsemeetmetega.
Miks andmetöötlejad vajavad AVV-d?
AVV on kohustuslik alati, kui andmekontroller kaasab töötleja isikuandmete töötlemiseks oma nimel. See ei ole valikuline juhend; see on GDPR-i artikli 28 kohaselt range õiguslik nõue [1].
Levinud stsenaariumid, mis käivitavad AVV nõude, hõlmavad järgmist:
- Pilvemajutamine ja infrastruktuur (nt serverid, mis salvestavad kliendiandmebaase)
- Palgaarvestuse töötlemine, mida teostab kolmandast isikust personaliteenuse pakkuja
- E-posti turundusplatvormid, mis salvestavad tellijate nimekirju
- SaaS ERP müüjad, kes pääsevad ligi äri- ja töötajaandmetele
- Analüüsi- ja jälgimistööriistad, mis töötlevad külastajate käitumisandmeid
Ilma AVV-ta ei ole kummalgi poolel dokumenteeritud õiguslikku alust töötlemissuhteks. Järelevalveasutused käsitlevad AVV puudumist iseseisva vastavusrikkumisena, mis on eraldiseisev mis tahes andmerikkumise uurimisest [3].
Kas AVV on sama mis DPA?
Jah, AVV ja DPA viitavad samale õiguslikule dokumendile. AVV on saksakeelne nimetus; DPA on ingliskeelne vaste, mida kasutatakse enamikus teistes EL-i liikmesriikides ja rahvusvahelistes vastavuskontekstides [5].
Mõlemad dokumendid täidavad GDPR-i artikli 28 nõudeid ja peavad sisaldama samu kohustuslikke elemente. Kui Saksa ettevõte sõlmib DPA USA-s asuva SaaS-i müüjaga, toimib see DPA AVV-na GDPR-i vastavuse eesmärgil, tingimusel et see vastab kõigile sisulistele nõuetele.
Oluline eristus, mida meeles pidada: Dokumendi pealkiri on vähem oluline kui selle sisu. Dokument pealkirjaga "Andmetöötluse lisa", "Töötlemisleping" või "AVV" on õiguslikult samaväärne, kui see hõlmab kõiki nõutavaid elemente.
Kes vajab AVV-d GDPR-i vastavuse tagamiseks?
Iga organisatsioon, mis on andmekontroller ja kasutab kolmanda osapoole teenust, mis töötleb isikuandmeid tema nimel, vajab AVV-d. See kehtib igas suuruses ettevõtetele kõigis tööstusharudes [1].
Kontrollerid, kes tavaliselt vajavad AVV-sid:
| Stsenaarium | Kontroller | Töötleja |
|---|---|---|
| Ettevõte kasutab pilve-CRM-i | Ettevõte | CRM-i müüja |
| Veebisait kasutab analüüsi | Veebisaidi omanik | Analüüsiteenuse pakkuja |
| Personaliosakond annab palgaarvestuse allhanke korras | Tööandja | Palgaarvestuse büroo |
| E-pood kasutab e-posti tööriista | Jaemüüja | E-posti platvorm |
| Agentuur haldab kliendi reklaame | Agentuur | Reklaamitehnoloogia platvorm |
Kes ei ole töötleja: Osapool, kes määrab töötlemise eesmärgid ja vahendid iseseisvalt, on iseseisev kontroller, mitte töötleja. Ühiskontrollerid vajavad GDPR-i artikli 26 kohaselt teist tüüpi lepingut.
Väikeettevõtted jätavad selle nõude sageli tähelepanuta, eeldades, et see kehtib ainult suurtele ettevõtetele. See eeldus on vale. Iga veebisaidi omanik, kes kasutab kolmanda osapoole majutusteenuse pakkujat, uudiskirjateenust või broneerimissüsteemi, vajab tõenäoliselt vähemalt ühte AVV-d [5].
Mida peaks AVV sisaldama?
Nõuetele vastav AVV peab sisaldama konkreetseid kohustuslikke elemente. Isegi ühe puudumine võib muuta lepingu GDPR-i kontrolli all ebapiisavaks [2].
Kohustuslikud komponendid:
- Töötlemise teema ja kestus
- Töötlemise olemus ja eesmärk
- Isikuandmete tüüp ja andmesubjektide kategooriad
- Kontrolleri kohustused ja õigused
- Töötleja rakendatud tehnilised ja organisatsioonilised meetmed (TOM-id)
- Alltöötlejate kaasamise reeglid
- Andmesubjekti õiguste taotluste menetlused
- Andmerikkumise teavitamise kohustused
- Andmete tagastamine või kustutamine lepingu lõppemisel
- Kontrolleri auditiõigused
TOM-ide jaotis on eriti oluline. Kuigi AVV ise ei rakenda turvameetmeid, peab see dokumenteerima, millised meetmed on töötlejal olemas, näiteks krüpteerimisstandardid, juurdepääsukontrollid ja pseudonümiseerimise tavad [1].
Mis juhtub, kui teil pole AVV-d?
Ilma kehtiva AVV-ta tegutsemine seab nii kontrolleri kui ka töötleja oluliste regulatiivsete karistuste ohtu. GDPR-i artikli 83 lõike 4 kohaselt võivad artikli 28 rikkumiste eest määratavad trahvid ulatuda 10 miljoni euroni või 2% ülemaailmsest aastakäibest, ja artikli 83 lõike 5 kohaselt tõsisemate rikkumiste eest kuni 20 miljoni euroni või 4% ülemaailmsest aastakäibest, olenevalt sellest, kumb on kõrgem [3].
Kriitiliselt oluline on see, et neid trahve saab määrata olenemata sellest, kas andmerikkumine on toimunud. Järelevalveasutus, kes viib läbi rutiinset auditit või vastab kaebusele, saab tuvastada AVV puudumise ja määrata trahvi ainuüksi selle alusel.
Lisaks on tagajärjed järgmised:
- Mainekahjustus ja klientide usalduse kaotus
- Lepinguline vastutus kontrolleri ja töötleja vahel
- Töötlemistegevuse võimalik peatamine kuni olukorra parandamiseni
AVV vs. andmetöötlusleping: peamised erinevused
AVV ja DPA on sisuliselt sama dokument erinevate nimede all. Siiski on rahvusvaheliste organisatsioonide jaoks olulisi praktilisi erinevusi.
| Mõõde | AVV | DPA |
|---|---|---|
| Keel | Saksa | Inglise (või kohalik) |
| Jurisdiktsiooni fookus | DACH-i piirkond | EL/EMP laiemalt |
| Levinud kasutuskontekst | Saksakeelsed lepingud | Rahvusvahelised SaaS-i lepingud |
| Õiguslik alus | GDPR-i artikkel 28 | GDPR-i artikkel 28 |
| Sisu nõuded | Identsed | Identsed |
DACH-i piirkonnas (Saksamaa, Austria, Šveits) on AVV-de suhtes eriti tugev jõustamiskultuur, mistõttu on need standardne praktika müüjate lepingutes majutusteenuse pakkujate, SaaS ERP müüjate ja teiste teenusepartneritega [1].
Kui palju AVV maksab?
AVV maksumus varieerub sõltuvalt sellest, kuidas see luuakse ja üle vaadatakse.
- Mallipõhine AVV: Paljud müüjad pakuvad oma AVV-d oma teenusetingimuste osana, tavaliselt ilma lisatasuta. Organisatsioonid nagu NexDeck pakuvad üksikasjalikke AVV malle, sealhulgas alltöötlejate nimekirju [4].
- Õigusnõustaja ülevaade: Andmekaitsejuristi poolt kohandatud AVV koostamine või ülevaatamine maksab tavaliselt 300–2000 eurot, sõltuvalt keerukusest ja jurisdiktsioonist.
- Andmekaitseametniku abiga koostamine: Organisatsioonid, kellel on ettevõttesisene või väline andmekaitseametnik (DPO), saavad seda ressurssi sageli kasutada AVV-de koostamiseks ilma lisakuludeta, mis ületavad DPO tasu.
Väikeettevõtete jaoks on kõige praktilisem lähenemine alustada usaldusväärse malliga ja lasta see enne allkirjastamist kvalifitseeritud spetsialistil üle vaadata.
Kuidas luua AVV malli?
AVV loomine algab kõigi töötlemissuhete tuvastamisest, kus kolmas osapool töötleb teie nimel isikuandmeid. Sealt edasi järgib protsess neid samme:
- Inventeerige oma töötlejad: Loetlege iga müüja, tööriist või teenus, mis pääseb ligi teie kontrollitavatele isikuandmetele.
- Hankige või koostage AVV: Paljud töötlejad (eriti SaaS-i müüjad) pakuvad oma standardset AVV-d. Vaadake see üle ülaltoodud kohustuslike elementide suhtes.
- Kohandage TOM-ide jaotist: Veenduge, et tehnilised ja organisatsioonilised meetmed kajastavad töötleja tegelikke turvatavasid.
- Loetlege alltöötlejad: Lisage lisa, mis tuvastab kõik alltöötlejad, keda töötleja kasutab, koos nende rollide ja asukohtadega.
- Määratlege andmeedastusmehhanismid: Kui andmeid edastatakse väljapoole EL-i/EMP-d, täpsustage õiguslik edastusmehhanism (nt standardlepingutingimused).
- Allkirjastage ja säilitage: Mõlemad pooled peavad AVV allkirjastama. Säilitage koopia oma andmetöötlusdokumentidega.
Vastavusele keskendunud organisatsioonide mallid pakuvad kindlat struktuurilist alust, kuid iga AVV tuleks kohandada konkreetsele töötlemistegevusele, mida see reguleerib [2].
AVV nõuded väikeettevõtetele
Väikeettevõtted ei ole AVV nõudest vabastatud. Igal GDPR-i kohaldamisalasse kuuluval organisatsioonil, mis kasutab kolmanda osapoole töötlejat, peab olema AVV, olenemata ettevõtte suurusest või töötajate arvust [1].
Väikeettevõtete jaoks on praktiline koormus väiksem, kui see võib tunduda:
- Enamik suuri SaaS-i müüjaid (e-posti platvormid, broneerimissüsteemid, analüüsitööriistad) pakuvad juba standardset AVV-d või DPA-d oma teenusetingimuste osana. Nende tingimuste aktsepteerimine moodustab tavaliselt kehtiva lepingu.
- Peamine ülesanne on tagada, et olete need tingimused tegelikult üle vaadanud ja aktsepteerinud, mitte eeldanud, et need eksisteerivad.
- Pidage lihtsat registrit oma töötlejatest ja vastavatest AVV-dest.
Levinud viga: Väikeettevõtete omanikud eeldavad sageli, et kuna müüja on suur ja mainekas, on juriidiline paberimajandus automaatselt korras. AVV aktsepteerimine peab olema aktiivne, dokumenteeritud samm.
AVV auditi jälje nõuded
AVV peab sisaldama sätteid, mis annavad kontrollerile õiguse auditeerida töötleja vastavust. See auditiõigus on GDPR-i artikli 28 lõike 3 punkti h kohaselt kohustuslik element [2].
Praktikas tähendavad auditi jälje nõuded järgmist:
- Töötleja peab pidama GDPR-i artikli 30 lõike 2 kohaselt töötlemistegevuste arvestust.
- Kontrolleril on õigus viia läbi auditeid või tellida kolmandatelt osapooltelt auditeid vastavuse kontrollimiseks.
- Paljud töötlejad täidavad selle nõude kolmandate osapoolte sertifikaatide, näiteks ISO 27001 või SOC 2 kaudu, mis võivad paljudel juhtudel asendada kohapealseid auditeid.
AVV on otseselt seotud ISO 27001 lisa A kontrollidega A.5.19 kuni A.5.22, mis reguleerivad tarnijasuhteid ja infoturvet tarneahelates [2]. Organisatsioonid, kellel on ametlik infoturbe haldussüsteem (ISMS), peaksid tagama, et nende AVV-d on integreeritud nende tarnijate haldamise protsessidesse.
AVV rahvusvaheliste andmeedastuste jaoks
Kui töötleja asub väljaspool EL-i/EMP-d, peab AVV käsitlema isikuandmete edastamise õiguslikku mehhanismi sellesse kolmandasse riiki. Standardlepingutingimused (SCC-d) on kõige sagedamini kasutatav mehhanism ja need lisatakse tavaliselt AVV lisana [2].
Rahvusvaheliste AVV-de peamised kaalutlused:
- Tehke kindlaks, kas töötleja riigil on EL-i piisavuse otsus.
- Kui mitte, lisage asjakohased SCC-d (kontrollerilt töötlejale või kontrollerilt kontrollerile, sõltuvalt suhtest).
- Tehke vajaduse korral edastamise mõju hindamine (TIA).
- Veenduge, et AVV on saadaval mõlema lepinguosalise keeltes [5].
Kui tihti peaksite oma AVV-d uuendama?
AVV-d tuleks üle vaadata ja uuendada alati, kui töötlemissuhtes toimuvad olulised muutused. Fikseeritud seadusjärgset ülevaatamisintervalli ei ole, kuid parim tava näitab vähemalt iga-aastast ülevaatamist [2].
AVV viivitamatu uuendamise käivitajad:
- Töötleja kaasab uue alltöötleja või eemaldab olemasoleva
- Töötlemistegevused muutuvad oma olemuselt, eesmärgilt või ulatuselt
- Andmeid edastatakse uude kolmandasse riiki
- Töötleja TOM-id on oluliselt uuendatud
- Kohaldatav õigus või regulatiivsed juhised muutuvad
AVV-de ennetav ülevaatamine on peamine vastavusdistsipliin. Aegunud lepingud, mis ei kajasta enam tegelikke töötlemistegevusi, tekitavad sama regulatiivse riski kui AVV puudumine üldse.
Levinud vead AVV seadistamisel
Isegi organisatsioonid, kes mõistavad AVV nõuet, teevad sageli vigu rakendamisel.
Viga 1: Müüja standardteksti automaatne piisavaks pidamine. Müüja pakutav AVV mall ei pruugi katta teie konkreetseid töötlemistegevusi. Vaadake see alati üle kohustuslike elementide suhtes.
Viga 2: TOM-ide väljajätmine või ebamäärane kirjeldamine. Järelevalveasutused kontrollivad TOM-ide jaotist hoolikalt. Ebamäärane keel, nagu "asjakohased turvameetmed" ilma üksikasjadeta, on ebapiisav.
Viga 3: Alltöötlejate unustamine. AVV peab loetlema alltöötlejad. Selle nimekirja uuendamata jätmine, kui töötleja muudab oma alltöötlejaid, on levinud vastavuslünk [2].
Viga 4: Allkirjastatud koopiate säilitamata jätmine. AVV, mida ei saa auditi käigus esitada, ei paku õiguslikku kaitset. Hoidke korras dokumente.
Viga 5: AVV segiajamine privaatsuspoliitikaga. Need on täiesti erinevad dokumendid, mis teenivad erinevaid eesmärke. Privaatsuspoliitika teavitab andmesubjekte; AVV reguleerib kontrolleri ja töötleja suhet [1].
Kokkuvõte
Ülim juhend AVV-de kohta: Miks iga andmetöötleja seda vajab taandub lõppkokkuvõttes lihtsale vastavusreaalsusele: kui isikuandmed vahetavad omanikku kontrolleri ja töötleja vahel, peab kehtiv AVV olema olemas enne töötlemise algust. GDPR-i alusel tegutsevatele organisatsioonidele ei ole suuruse erandeid, tööstusharu erandeid ega armuaegu.
Tegevused 2026. aastaks:
- Auditeerige iga kolmanda osapoole müüjat, kes pääseb ligi teie kontrollitavatele isikuandmetele, ja veenduge, et igaühe jaoks on olemas AVV.
- Vaadake olemasolevad AVV-d üle kohustuslike elementide kontrollnimekirja alusel, pöörates erilist tähelepanu TOM-idele ja alltöötlejate nimekirjadele.
- Seadistage kalendri meeldetuletus iga-aastaste AVV ülevaatuste ja käivituspõhiste uuenduste jaoks, kui töötlemistegevused muutuvad.
- Organisatsioonidele, kes haldavad nõusoleku ja küpsiste vastavust koos oma AVV-dega, kaaluge oma andmetöötlusdokumentatsiooni sidumist nõuetele vastava nõusoleku haldusplatvormiga, näiteks Biscotti CMP, et säilitada täielik ja kaitstav vastavuspositsioon.
- Konsulteerige kvalifitseeritud andmekaitse spetsialistiga mis tahes AVV puhul, mis hõlmab keerulisi töötlemistegevusi või rahvusvahelisi andmeedastusi.
AVV-de õigesti tegemise maksumus on minimaalne. Nende valesti tegemise maksumus ei ole.
KKK
Mis on AVV lihtsate sõnadega? AVV on kirjalik leping ettevõtte (kontroller) ja ettevõtte (töötleja) vahel, mis töötleb isikuandmeid tema nimel. See täpsustab, milliseid andmeid töödeldakse, miks, kuidas neid kaitstakse ja mida mõlemad pooled on kohustatud tegema.
Kas AVV on nõutav iga müüjasuhte puhul? Ainult nende müüjate puhul, kes töötlevad isikuandmeid teie nimel. Müüja, kes pakub lihtsalt tööriista, mida te ise andmete töötlemiseks kasutate (ilma andmetele juurdepääsuta), ei ole üldjuhul töötleja ja ei vaja AVV-d.
Kas suuline kokkulepe võib asendada AVV-d? Ei. GDPR-i artikkel 28 nõuab selgesõnaliselt, et töötlemisleping peab olema kirjalik, sealhulgas elektroonilisel kujul.
Kas AVV kaitseb GDPR-i trahvide eest? Kehtiva AVV olemasolu vähendab oluliselt regulatiivset riski, kuid see ei anna absoluutset puutumatust. Trahve saab endiselt määrata muude rikkumiste eest. AVV demonstreerib vastavust konkreetselt artiklile 28.
Mis vahe on alltöötlejal ja töötlejal? Töötleja töötleb andmeid otse kontrolleri jaoks. Alltöötleja kaasatakse töötleja poolt töötlemise abistamiseks. Kontrollerit tuleb teavitada alltöötlejatest ja töötleja peab alltöötlejad siduma samaväärsete kohustustega.
Kui kaua tuleb AVV-d säilitada? GDPR-is ei ole AVV-de jaoks sätestatud selget säilitamisaega, kuid neid tuleks säilitada töötlemissuhte kestuse ja mõistliku aja jooksul pärast seda, tavaliselt kooskõlas asjakohase jurisdiktsiooni regulatiivse tegevuse aegumistähtajaga.
Kas USA ettevõttega sõlmitud DPA loetakse AVV-ks? Jah, tingimusel et see sisaldab kõiki GDPR-i artikli 28 nõutud elemente ja hõlmab asjakohaseid edastusmehhanisme, näiteks standardlepingutingimusi.
Kas töötleja võib isikuandmeid kasutada oma eesmärkidel? Ei. Töötleja võib isikuandmeid töödelda ainult kontrolleri dokumenteeritud juhiste alusel. Töötlemine töötleja enda eesmärkidel klassifitseeriks selle osapoole ümber kontrolleriks, kellel on eraldi õiguslikud kohustused.
Mis on TOM AVV kontekstis? TOM tähistab tehnilisi ja organisatsioonilisi meetmeid. Need on turvatavad, mida töötleja rakendab isikuandmete kaitsmiseks, näiteks krüpteerimine, juurdepääsukontrollid ja pseudonümiseerimine. AVV peab need meetmed dokumenteerima.
Kas AVV-d peavad olema notariaalselt kinnitatud? Ei. GDPR ei nõua notariaalset kinnitamist. Allkirjastatud kirjalik leping (sealhulgas elektroonilised allkirjad) on piisav.
Viited
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai