Lyhyt vastaus: AVV (Auftragsverarbeitungsvertrag) ja DPA (Data Processing Agreement) viittaavat samaan GDPR:n 28 artiklan mukaiseen laillisesti vaadittuun sopimukseen. Saksankielistä termiä AVV käytetään DACH-alueen lainkäyttöalueilla, kun taas DPA on englanninkielinen vastine, jota käytetään useimmissa muissa EU-jäsenvaltioissa ja kansainvälisesti. Molemmat säätelevät sitä, miten henkilötietojen käsittelijä käsittelee henkilötietoja rekisterinpitäjän puolesta. Vääränlaisen muotoilun valitseminen tai sopimuksen jättäminen kokonaan tekemättä voi altistaa organisaatiosi merkittäville sääntelysakoille.
Tärkeimmät huomiot
- AVV on saksankielinen lyhenne sanasta Auftragsverarbeitungsvertrag; DPA tarkoittaa Data Processing Agreementia, ja ne ovat toiminnallisesti sama instrumentti GDPR:n mukaan.
- Molemmat sopimukset ovat pakollisia GDPR:n 28 artiklan mukaan aina, kun rekisterinpitäjä käyttää käsittelijää henkilötietojen käsittelyyn.
- Terminologian ero on alueellinen: AVV on standardi Saksassa, Itävallassa ja Sveitsissä; DPA:ta käytetään englanninkielisissä ja useimmissa muissa EU-yhteyksissä.
- Voimassa olevan sopimuksen on katettava kohde, käsittelyn kesto, tietoluokat, rekisteröityjen oikeudet, alihankkijan ehdot, turvatoimet ja tarkastussäännökset. [1]
- Oikean sopimuksen puuttuminen voi johtaa valvontaviranomaisten tutkimuksiin, sakkoihin ja sopimusriitoihin.
- Toteutuskustannukset vaihtelevat nollasta (käyttämällä myyjän vakiomallia) useisiin tuhansiin euroihin räätälöityä oikeudellista laadintaa varten.
- Jotkut DACH- ja ei-DACH-markkinoilla toimivat yritykset käyttävät molempia termejä samassa sopimuksessa selvyyden vuoksi.
- Suostumustenhallintajärjestelmä, kuten Biscotti CMP, voi tukea laajempaa GDPR-vaatimustenmukaisuuttasi, mutta se ei korvaa asianmukaisesti toteutettua AVV:tä tai DPA:ta.
Mitä AVV tarkoittaa tietosuojassa, ja onko se sama kuin DPA?
AVV tarkoittaa Auftragsverarbeitungsvertrag, joka on saksankielinen termi tiedonkäsittelysopimukselle (Data Processing Agreement). Käytännön oikeudellisessa mielessä AVV ja DPA ovat sama asiakirja, ja molemmat täyttävät GDPR:n 28 artiklassa asetetun vaatimuksen kirjallisesta sopimuksesta rekisterinpitäjän ja henkilötietojen käsittelijän välillä. [1]
Ero on puhtaasti kielellinen ja lainkäytöllinen. Saksalaiset, itävaltalaiset ja sveitsiläiset tietosuojan ammattilaiset käyttävät AVV:tä vakioterminä sopimuksissa, tietosuojakäytännöissä ja sääntelykirjeenvaihdossa. Englanninkieliset ammattilaiset ja useimmat muut EU-jäsenvaltiot käyttävät DPA:ta. Kun saksalainen SaaS-toimittaja tarjoaa sinulle "AVV:tä", he tarjoavat saman oikeudellisen instrumentin, jota Yhdistyneessä kuningaskunnassa toimiva toimittaja kutsuisi "DPA:ksi".
Tärkeä selvennys: Kumpikaan termi ei tarkoita erilaista oikeudellista standardia. Molempien on täytettävä samat GDPR:n 28 artiklan 3 kohdan sisältövaatimukset ollakseen päteviä. [1]
Mitä eroa on AVV:llä ja DPA:lla?
AVV:n ja DPA:n ero on terminologinen, ei sisällöllinen. Molemmat kuvaavat GDPR:n 28 artiklan edellyttämää sopimusta rekisterinpitäjän (yksikkö, joka määrittää käsittelyn tarkoituksen ja keinot) ja henkilötietojen käsittelijän (yksikkö, joka käsittelee tietoja rekisterinpitäjän puolesta) välillä.
Todellisia eroja voi syntyä laadintatyylissä ja paikallisissa sääntelyohjeissa:
- Saksan valvontaviranomaiset (Datenschutzbehörden) ovat julkaisseet erityisiä mallilausekkeita ja ohjeita, jotka AVV-asiakirjat usein sisältävät.
- Yhdistyneen kuningaskunnan tai Irlannin lainkäyttöalueille laaditut englanninkieliset DPA:t voivat viitata kansalliseen täytäntöönpanolainsäädäntöön GDPR:n ohella.
- Sveitsin AVV:iden on myös otettava huomioon tarkistettu liittovaltion tietosuojalaki (revFADP), joka poikkeaa GDPR:stä tietyin osin.
Yhteenveto: Jos toimittaja lähettää sinulle AVV:n ja tarvitset DPA:n, olet saanut tarvitsemasi, edellyttäen että sisältö täyttää 28 artiklan 3 kohdan vaatimukset. [1]
Milloin tarvitset AVV:n vs. DPA:n?
Tarvitset toisen näistä sopimuksista aina, kun organisaatiosi jakaa henkilötietoja kolmannen osapuolen palveluntarjoajan kanssa, joka käsittelee näitä tietoja ohjeidesi mukaisesti. Käynnistävä tekijä on rekisterinpitäjä-käsittelijä-suhde, ei sopimuksen kieli.
Käytä AVV:tä, kun:
- Vastapuolesi sijaitsee Saksassa, Itävallassa tai Sveitsissä ja heidän vakiomuotoinen sopimuksensa käyttää tätä terminologiaa.
- Oma organisaatiosi toimii Saksan tietosuojalainsäädännön alaisuudessa ja sisäiset mallisi noudattavat BfDI:n tai osavaltion DPA-ohjeita.
Käytä DPA:ta, kun:
- Vastapuolesi toimii englanninkielisellä lainkäyttöalueella tai käyttää englantia sopimuskielenä.
- Teet sopimuksen yhdysvaltalaisen pilvipalveluntarjoajan, brittiläisen SaaS-toimittajan tai minkä tahansa kansainvälisen käsittelijän kanssa, jonka mallit oletusarvoisesti ovat "DPA".
Yleinen virhe: Oletus, että koska toimittaja kutsuu asiakirjaansa AVV:ksi DPA:n sijaan, sovelletaan erilaisia oikeudellisia sääntöjä. Sisältövaatimukset ovat identtiset GDPR:n mukaan. Tärkeintä on sisältö, ei kansilehden merkintä.
Kuka tarvitsee AVV:n ja kuka DPA:n?
Kaikki organisaatiot, jotka ovat GDPR:n mukaisia rekisterinpitäjiä ja käyttävät kolmatta osapuolta henkilötietojen käsittelyyn puolestaan, tarvitsevat toisen näistä sopimuksista. Tämä koskee:
- Verkkokauppoja, jotka käyttävät kolmannen osapuolen maksupalveluntarjoajia tai sähköpostimarkkinointialustoja.
- Yrityksiä, jotka käyttävät pilvi-infrastruktuurin tarjoajia (IaaS, PaaS, SaaS).
- Verkkokaupan markkinointitoimistoja, jotka käsittelevät asiakkaiden tietoja.
- Kehittäjiä, jotka rakentavat sovelluksia, jotka käsittelevät loppukäyttäjän henkilötietoja ulkoisten API-rajapintojen kautta.
- Verkkosivustojen omistajia, jotka käyttävät analytiikkatyökaluja, CDN-verkkoja tai CRM-järjestelmiä, jotka käsittelevät kävijätietoja.
DACH-markkinoilla toimivat organisaatiot kohtaavat tyypillisesti AVV-merkinnän; kansainvälisesti toimivat organisaatiot käsittelevät useammin DPA:ita. Molemmilla organisaatiokategorioilla on sama oikeudellinen velvoite.
Mitä AVV:n ja DPA:n tulisi sisältää?
Sekä AVV:n että DPA:n on sisällettävä samat pakolliset elementit GDPR:n 28 artiklan 3 kohdan mukaisesti. Jos jokin näistä lausekkeista puuttuu, sopimus ei ole vaatimusten mukainen. [1]
| Vaadittu lauseke | Kuvaus |
|---|---|
| Kohde ja kesto | Mitä tietoja käsitellään ja kuinka kauan |
| Luonne ja tarkoitus | Miksi ja miten käsittely tapahtuu |
| Tietotyypit ja rekisteröidyt | Henkilötietojen luokat ja asianomaiset henkilöt |
| Rekisterinpitäjän oikeudet ja velvollisuudet | Ohjeet, joita käsittelijän on noudatettava |
| Turvatoimet | Tekniset ja organisatoriset suojatoimet (TOMs) |
| Alihankkijan ehdot | Säännöt alihankkijoiden käyttämiselle |
| Rekisteröityjen oikeuksien avustaminen | Tuki pääsy-, poisto- ja siirrettävyyspyyntöihin |
| Tietoturvaloukkauksesta ilmoittaminen | Käsittelijän velvollisuus ilmoittaa rekisterinpitäjälle tapauksista |
| Tietojen palautus tai poistaminen | Mitä tiedoille tapahtuu sopimuksen päättyessä |
| Tarkastusoikeudet | Rekisterinpitäjän oikeus tarkistaa vaatimustenmukaisuus |
Poikkeustapaus: Jos toimittajan mallista puuttuvat tarkastusoikeudet tai alihankkijan ehdot, älä allekirjoita sitä sellaisenaan. Nämä ovat neuvoteltavissa olevia asioita 28 artiklan 3 kohdan mukaan. [1]
Kuinka paljon AVV:n tai DPA:n perustaminen maksaa?
Kustannukset riippuvat täysin siitä, käytätkö myyjän vakiomallia vai tilaatko räätälöityä oikeudellista laadintaa.
- Myyjän tarjoama malli (yleisin): Ilmainen. Useimmat suuret SaaS- ja pilvipalveluntarjoajat julkaisevat standardin AVV:n tai DPA:n, jonka rekisterinpitäjät voivat hyväksyä verkossa tai klikkaamalla.
- Neuvoteltu räätälöity sopimus: Oikeudelliset palkkiot vaihtelevat tyypillisesti 500:sta 5 000 euroon riippuen monimutkaisuudesta, lainkäyttöalueesta ja asianajajien hinnoista. Yrityssopimukset, joissa on merkittäviä tietomääriä tai arkaluonteisia tietoluokkia, ovat kalliimpia.
- Sisäisen mallin kehittäminen: Kertaluonteinen investointi oikeudellisen neuvonantajan aikaan uudelleenkäytettävän mallin luomiseksi; jatkuvat kustannukset ovat minimaaliset.
Käytännön huomautus: Useimmille pk-yrityksille ja verkkosivustojen omistajille myyjän vakiomalli riittää. Räätälöity neuvottelu on perusteltua, kun käsittelyyn liittyy erityisiä tietoluokkia (terveys, biometriset tiedot, taloudelliset tiedot) tai kun rekisterinpitäjällä on merkittävä vastuuriski.
Miten AVV- ja DPA-vaatimukset eroavat maittain?
GDPR:n mukaan aineelliset vaatimukset on yhdenmukaistettu kaikissa EU-jäsenvaltioissa, joten AVV:n ja DPA:n ydinsisältö on identtinen riippumatta siitä, oletko Berliinissä, Pariisissa vai Varsovassa. Kansallisia vivahteita on kuitenkin olemassa:
- Saksa: BfDI ja osavaltiotason DPA:t ovat antaneet yksityiskohtaisia ohjeita ja mallilausekkeita. Saksalaiset AVV:t sisältävät usein yksityiskohtaisemman teknisten ja organisatoristen toimenpiteiden (TOMs) dokumentaation.
- Sveitsi: revFADP (voimaan syyskuussa 2023) asettaa GDPR:n lisäksi lisävaatimuksia, mukaan lukien erityiset säännökset rajat ylittävistä tiedonsiirroista ja tietoturvaloukkauksista ilmoittamisen aikatauluista.
- Yhdistynyt kuningaskunta (Brexitin jälkeen): UK GDPR soveltuu; DPA:iden on viitattava UK ICO:n ohjeisiin EU:n valvontaviranomaisten sijaan. Vakiolausekkeet eroavat EU:n SCC:istä.
- Muut EU-jäsenvaltiot: GDPR:n 28 artikla soveltuu suoraan; paikalliset DPA-ohjeet voivat täydentää, mutta eivät voi vähentää vähimmäisvaatimuksia.
Valitse sovellettavan lain lauseke huolellisesti. Saksalaisen lain mukainen AVV ja irlantilaisen lain mukainen DPA voivat näyttää samankaltaisilta, mutta niitä tulkitsevat eri tuomioistuimet ja valvontaviranomaiset.
Voiko AVV:tä käyttää DPA:n sijasta tai käyttää molempia samanaikaisesti?
Kyllä, AVV voi korvata DPA:n, koska ne ovat oikeudellisesti vastaavia instrumentteja. Yritys, joka toimii sekä DACH- että ei-DACH-markkinoilla, voi sisällyttää molemmat termit samaan sopimuksen otsikkoon (esim. "Data Processing Agreement / Auftragsverarbeitungsvertrag") sekaannusten välttämiseksi. Tämä on yleinen käytäntö kaksikielisissä yrityssopimuksissa ja on täysin sallittua.
Molempien merkintöjen samanaikainen käyttö ei luo kahta erillistä oikeudellista velvoitetta. Se varmistaa vain, että saksankieliset ja englanninkieliset osapuolet ymmärtävät, että he tarkastelevat samaa asiakirjaa.
Mitkä ovat yleisimmät virheet AVV:n ja DPA:n valinnassa?
Merkittävimmät virheet eivät liity siihen, mitä termiä käytät, vaan siihen, mitä sopimus sisältää ja onko sitä ylipäätään olemassa.
- Sopimuksen jättäminen kokonaan tekemättä, koska myyjän suhde tuntuu epäviralliselta tai vähäriskiseltä. GDPR:n mukaan velvoite syntyy käsittelytoimesta, ei koetusta riskitasosta.
- Puutteellisen mallin hyväksyminen, josta puuttuvat alihankkijan lausekkeet tai tarkastusoikeudet, uskoen myyjän version olevan automaattisesti vaatimusten mukainen.
- DPA:n sekoittaminen tiedonjakosopimukseen. DPA säätelee käsittelijäsuhteita; tiedonjakosopimus säätelee yhteisrekisterinpitäjän tai rekisterinpitäjien välisiä tiedonvaihtoja. Nämä ovat eri instrumentteja.
- Sopimusten päivittämättä jättäminen, kun käsittelijä ottaa käyttöön uusia alihankkijoita tai muuttaa käsittelyn luonnetta.
- Oletus, että GDPR-vaatimustenmukaisuus kattaa Sveitsin lain. Sveitsiläisiä rekisteröityjä omaavien organisaatioiden on varmistettava, että heidän AVV:nsä täyttää myös revFADP-vaatimukset.
Mitkä ovat oikeudelliset seuraukset, jos AVV:n tai DPA:n kanssa menee pieleen?
Jos voimassa olevaa, täydellistä sopimusta ei ole, sekä rekisterinpitäjät että käsittelijät altistuvat sääntely- ja siviilioikeudelliselle vastuulle.
GDPR:n 83 artiklan 4 kohdan mukaan 28 artiklan (DPA/AVV-vaatimus) rikkomisesta voi seurata hallinnollisia sakkoja jopa 10 miljoonaa euroa tai 2 % maailmanlaajuisesta vuotuisesta liikevaihdosta, kumpi tahansa on suurempi. Saksan valvontaviranomaiset ovat osoittaneet halukkuutensa tutkia ja sakottaa organisaatioita puuttuvista tai puutteellisista käsittelysopimuksista.
Sakkojen lisäksi seurauksia ovat:
- Valvontaviranomaisten tarkastukset ja korjausmääräykset.
- Kyvyttömyys panna täytäntöön sopimusehtoja vaatimustenvastaista käsittelijää vastaan.
- Siviilioikeudellinen vastuu, jos tietoturvaloukkaus tapahtuu ilman voimassa olevaa sopimusta, joka dokumentoi turvallisuusvelvoitteet.
- Mainevahingot B2B-konteksteissa, joissa yritysasiakkaat tekevät toimittajien due diligence -tarkastuksia.
Mistä tiedät, minkä sopimuksen yrityksesi todella tarvitsee?
Päätös on yksinkertainen, kun tunnistat suhteen ja lainkäyttöalueen.
Vaihe 1: Määritä, onko organisaatiosi rekisterinpitäjä (päätät, miksi ja miten tietoja käsitellään) vai käsittelijä (käsittelet tietoja jonkun toisen ohjeiden mukaisesti).
Vaihe 2: Tunnista vastapuolesi kieli ja lainkäyttöalue. Jos he ovat DACH-alueella, odota AVV:tä. Jos he ovat muualla, odota DPA:ta.
Vaihe 3: Varmista, että saamasi asiakirja sisältää kaikki kymmenen pakollista elementtiä GDPR:n 28 artiklan 3 kohdan mukaisesti. [1]
Vaihe 4: Jos organisaatiosi tarvitsee myös käyttäjän suostumuksen hallintaa evästeille ja seurantateknologioille, Biscotti CMP -tyyppinen suostumustenhallintajärjestelmä käsittelee tämän GDPR-vaatimustenmukaisuuden kerroksen, mutta se toimii rinnalla, ei korvaa, asianmukaisesti toteutettua AVV:tä tai DPA:ta.
Päätössääntö: Jos käsittelet henkilötietoja toisen organisaation puolesta, tarvitset DPA:n tai AVV:n riippumatta siitä, mitä suhdetta kaupallisesti kutsutaan. Jos toinen organisaatio käsittelee tietoja puolestasi, olet vastuussa siitä, että sopimus on voimassa ennen käsittelyn aloittamista.
UKK
K: Onko AVV oikeudellisesti pätevä Saksan ulkopuolella? AVV on oikeudellisesti pätevä kaikkialla, missä GDPR soveltuu, edellyttäen että se täyttää 28 artiklan 3 kohdan sisältövaatimukset. Saksankielinen terminologia ei rajoita sen täytäntöönpanokelpoisuutta muilla EU:n lainkäyttöalueilla.
K: Onko DPA:n oltava molempien osapuolten allekirjoittama? Kyllä. GDPR:n 28 artiklan 9 kohta edellyttää, että sopimus on kirjallinen, mikä sisältää sähköisen muodon. Sekä rekisterinpitäjän että käsittelijän on oltava sidottuja sen ehtoihin.
K: Voiko myyjän online-klikkaus-DPA täyttää GDPR-vaatimukset? Kyllä, jos sisältö täyttää 28 artiklan 3 kohdan vaatimukset. Monet suuret pilvipalveluntarjoajat tarjoavat vaatimustenmukaisia klikkaus-DPA:ita, jotka valvontaviranomaiset ovat tarkastaneet.
K: Mikä on alihankkija, ja miksi sillä on merkitystä DPA:ssa tai AVV:ssä? Alihankkija on kolmas osapuoli, jonka käsittelijä on ottanut suorittamaan käsittelytoimia. DPA:n tai AVV:n on määriteltävä ehdot, joiden mukaisesti alihankkijoita voidaan käyttää, mukaan lukien rekisterinpitäjän oikeus vastustaa. [1]
K: Tarvitsenko uuden AVV:n tai DPA:n joka kerta, kun käsittelijä päivittää alihankkijaluettelonsa? Ei välttämättä. Monet sopimukset sisältävät yleisen valtuutuksen alihankkijoiden muutoksille, edellyttäen että käsittelijä ilmoittaa rekisterinpitäjälle ja rekisterinpitäjällä on oikeus vastustaa tietyn ajan kuluessa.
K: Kattaako DPA tiedonsiirrot EU:n ulkopuolelle? DPA säätelee käsittelysuhdetta, mutta se ei itsessään valtuuta rajat ylittäviä tiedonsiirtoja. Erillisiä siirtomekanismeja (vakiolausekkeet, riittävyyspäätökset) tarvitaan siirtoihin kolmansiin maihin.
K: Kuinka kauan DPA:ta tai AVV:tä tulisi säilyttää? Säilytä sopimus käsittelysuhteen ajan ja kohtuullisen ajan sen jälkeen, tyypillisesti vähintään kolmesta viiteen vuotta, jotta voit osoittaa vaatimustenmukaisuuden valvontaviranomaisen tiedustelun yhteydessä.
K: Mitä eroa on DPA:n ja DPIA:n välillä? DPA (Data Processing Agreement) on sopimus rekisterinpitäjän ja käsittelijän välillä. DPIA (Data Protection Impact Assessment) on sisäinen riskinarviointi, jota vaaditaan korkean riskin käsittelytoimissa. Ne palvelevat eri tarkoituksia, eikä kumpikaan korvaa toista.
K: Voiko freelancerilta tai pieneltä toimistolta vaatia AVV:n tai DPA:n allekirjoittamista? Kyllä. Velvoite koskee käsittelijän koosta riippumatta. Asiakkaan asiakastietoja käsittelevä freelancer-kehittäjä on käsittelijä ja hänen on allekirjoitettava DPA tai AVV jokaisen asiakasrekisterinpitäjän kanssa.
K: Korvaako Biscotti CMP DPA:n tai AVV:n tarpeen? Ei. Biscotti CMP on suostumustenhallintajärjestelmä, joka auttaa hallitsemaan käyttäjän suostumusta evästeille ja seurannalle, mikä on erillinen GDPR-vaatimustenmukaisuusvaatimus. DPA tai AVV on edelleen pakollinen kaikissa käsittelijäsuhteissa, joihin liittyy henkilötietoja.
Johtopäätös
AVV vs. DPA -kysymys ratkeaa nopeasti, kun ymmärrät, että molemmat termit kuvaavat samaa GDPR:n 28 artiklan mukaista laillisesti vaadittua instrumenttia. Todellinen haaste ei ole valita niiden välillä, vaan varmistaa, että kumpi tahansa asiakirja säätelee käsittelijäsuhteitasi, sisältää kaikki pakolliset lausekkeet, on asianmukaisesti toteutettu ja pidetään ajan tasalla käsittelytoimintojen kehittyessä.
Toimintakelpoiset seuraavat vaiheet:
- Tarkasta kaikki nykyiset toimittajasuhteet varmistaaksesi, että voimassa oleva DPA tai AVV on olemassa jokaiselle käsittelijälle, joka käsittelee henkilötietoja puolestasi.
- Tarkista olemassa olevat sopimukset GDPR:n 28 artiklan 3 kohdan kymmentä pakollista elementtiä vastaan ja pyydä muutoksia puutteiden osalta. [1]
- Jos toimit Sveitsissä, varmista, että sopimukset täyttävät myös revFADP-vaatimukset GDPR:n perusvaatimusten lisäksi.
- Perusta sisäinen prosessi uusien käsittelijöiden käyttöönotolle; käsittelyä ei tulisi aloittaa ennen sopimuksen allekirjoittamista.
- Suostumustenhallintaa ja evästeiden vaatimustenmukaisuutta varten verkkosivustollasi tai sovelluksessasi arvioi Biscotti CMP osana laajempaa GDPR-vaatimustenmukaisuuskehystäsi.
Tietosuojan noudattaminen ei ole kertaluonteinen projekti. Sopimukset on tarkistettava, kun käsittely muuttuu, kun alihankkijoita lisätään ja kun sääntelyohjeet kehittyvät. Tämän tarkistusrytmin sisällyttäminen vaatimustenmukaisuusohjelmaasi on käytännöllisin suoja sääntelyriskejä vastaan.
Viitteet
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai