Pikavastaus: AVV (Auftragsverarbeitungsvertrag) on GDPR:n 28 artiklan mukainen lakisääteinen sopimus rekisterinpitäjän ja henkilötietojen käsittelijän välillä. Jokaisella organisaatiolla, joka käsittelee henkilötietoja toisen osapuolen puolesta, on oltava sellainen. Ilman AVV-sopimusta molemmat osapuolet altistuvat jopa 20 miljoonan euron tai 4 %:n maailmanlaajuisen vuotuisen liikevaihdon sakkoihin, riippuen siitä, kumpi summa on suurempi.
Tärkeimmät huomiot
- AVV on saksankielinen termi tietojenkäsittelysopimukselle (DPA), jota vaaditaan GDPR:n 28 artiklan mukaisesti aina, kun käsittelijä käsittelee henkilötietoja rekisterinpitäjän puolesta.
- Sopimuksessa on määriteltävä käsittelyn kohde, tarkoitus, kesto, tietotyypit, tekniset ja organisatoriset toimenpiteet (TOMs) sekä alihankkijoiden säännöt.
- Voimassa olevan AVV-sopimuksen puuttuminen voi johtaa valvontaviranomaisten sakkoihin riippumatta siitä, onko tietoturvaloukkausta tapahtunut.
- Pienyritykset eivät ole vapautettuja: pilvipalvelut, palkanlaskentaohjelmistot ja sähköpostimarkkinointityökalut laukaisevat tyypillisesti AVV-vaatimuksen.
- AVV on kahden osapuolen välinen sopimus, ei tietosuojailmoitus, eikä se itsessään toteuta turvatoimia, kuten salausta.
- AVV-sopimukset tulisi tarkistaa aina, kun alihankkijat vaihtuvat, tietoja siirretään kolmansiin maihin tai käsittelytoimintoja muutetaan.
- DACH-alueella (Saksa, Itävalta, Sveitsi) AVV-sopimukset ovat vakiokäytäntö SaaS-toimittajien, hosting-palveluntarjoajien ja ERP-järjestelmien kanssa.
- Mallipohjia on saatavilla vaatimustenmukaisuutta edistäviltä organisaatioilta ja toimittajilta, mutta räätälöinti todellisten käsittelytoimintojen mukaiseksi on olennaista.
Mitä AVV tarkoittaa tietojenkäsittelyssä?
AVV tulee sanoista Auftragsverarbeitungsvertrag, saksankielinen yhdyssana, joka kääntyy suoraan englanniksi "data processing agreement". Se on EU:n yleisen tietosuoja-asetuksen (GDPR) 28 artiklan mukainen sopimusväline, jolla säännellään rekisterinpitäjän ja henkilötietojen käsittelijän välistä suhdetta.
Termi on spesifinen saksankielisille lainkäyttöalueille (Saksa, Itävalta ja Sveitsi), mutta taustalla oleva oikeudellinen käsite pätee yleisesti koko EU:ssa ja ETA-alueella. Englanninkielisissä yhteyksissä samaa asiakirjaa kutsutaan Data Processing Agreement (DPA). Kansainvälisesti toimivien organisaatioiden tulisi varmistaa, että niiden AVV-sopimukset ovat saatavilla asiaankuuluvilla kielillä ymmärtämisen ja vaatimustenmukaisuuden helpottamiseksi [5].
AVV ei ole tietosuojakäytäntö tai evästeiden suostumusbanneri. Se on sitova kahdenvälinen sopimus, joka määrittelee, miten käsittelijä saa käsitellä henkilötietoja, millä ehdoin ja millä suojatoimilla.
Miksi henkilötietojen käsittelijät tarvitsevat AVV-sopimuksen?
AVV on pakollinen aina, kun rekisterinpitäjä käyttää käsittelijää käsittelemään henkilötietoja puolestaan. Tämä ei ole valinnainen ohje; se on tiukka lakisääteinen vaatimus GDPR:n 28 artiklan mukaisesti [1].
Yleisiä skenaarioita, jotka laukaisevat AVV-vaatimuksen, ovat:
- Pilvipalvelut ja infrastruktuuri (esim. asiakastietokantoja tallentavat palvelimet)
- Palkanlaskenta, jonka hoitaa kolmannen osapuolen HR-palveluntarjoaja
- Sähköpostimarkkinointialustat, jotka tallentavat tilaajaluetteloita
- SaaS ERP -toimittajat, jotka pääsevät käsiksi yritys- ja työntekijätietoihin
- Analytiikka- ja seurantatyökalut, jotka käsittelevät kävijöiden käyttäytymistietoja
Ilman AVV-sopimusta kummallakaan osapuolella ei ole dokumentoitua oikeusperustetta käsittelysuhteelle. Valvontaviranomaiset pitävät AVV-sopimuksen puuttumista itsenäisenä vaatimustenmukaisuusrikkomuksena, erillään kaikista tietoturvaloukkauksen tutkinnoista [3].
Onko AVV sama kuin DPA?
Kyllä, AVV ja DPA viittaavat samaan oikeudelliseen asiakirjaan. AVV on saksankielinen nimitys; DPA on englanninkielinen vastine, jota käytetään useimmissa muissa EU-jäsenvaltioissa ja kansainvälisissä vaatimustenmukaisuuskonteksteissa [5].
Molemmat asiakirjat täyttävät GDPR:n 28 artiklan vaatimukset ja niiden on sisällettävä samat pakolliset elementit. Jos saksalainen yritys allekirjoittaa DPA:n yhdysvaltalaisen SaaS-toimittajan kanssa, tämä DPA toimii AVV:nä GDPR-vaatimustenmukaisuuden kannalta, edellyttäen että se täyttää kaikki olennaiset vaatimukset.
Tärkeä ero muistettava: Asiakirjan nimellä on vähemmän merkitystä kuin sen sisällöllä. Asiakirja, jonka otsikko on "Data Processing Addendum", "Processing Agreement" tai "AVV", on oikeudellisesti vastaava, kunhan se kattaa kaikki vaaditut elementit.
Kuka tarvitsee AVV-sopimuksen GDPR-vaatimustenmukaisuutta varten?
Jokainen organisaatio, joka on rekisterinpitäjä ja käyttää kolmannen osapuolen palvelua, joka käsittelee henkilötietoja sen puolesta, tarvitsee AVV-sopimuksen. Tämä koskee kaikenkokoisia yrityksiä kaikilla toimialoilla [1].
Rekisterinpitäjät, jotka tyypillisesti tarvitsevat AVV-sopimuksia:
| Skenaario | Rekisterinpitäjä | Käsittelijä |
|---|---|---|
| Yritys käyttää pilvi-CRM:ää | Yritys | CRM-toimittaja |
| Verkkosivusto käyttää analytiikkaa | Verkkosivuston omistaja | Analytiikkapalveluntarjoaja |
| HR ulkoistaa palkanlaskennan | Työnantaja | Palkanlaskentatoimisto |
| Verkkokauppa käyttää sähköpostityökalua | Jälleenmyyjä | Sähköpostialusta |
| Toimisto hallinnoi asiakkaan mainoksia | Toimisto | Mainosteknologia-alusta |
Kuka ei ole käsittelijä: Osapuoli, joka määrittää käsittelyn tarkoitukset ja keinot itsenäisesti, on itse rekisterinpitäjä, ei käsittelijä. Yhteisrekisterinpitäjät tarvitsevat erilaisen sopimuksen GDPR:n 26 artiklan mukaisesti.
Pienyritykset jättävät usein tämän vaatimuksen huomiotta olettaen, että se koskee vain suuria yrityksiä. Tämä oletus on virheellinen. Jokainen verkkosivuston omistaja, joka käyttää kolmannen osapuolen hosting-palveluntarjoajaa, uutiskirjepalvelua tai varausjärjestelmää, tarvitsee todennäköisesti vähintään yhden AVV-sopimuksen [5].
Mitä AVV-sopimuksen tulisi sisältää?
Vaatimustenmukaisen AVV-sopimuksen on sisällettävä tietyt pakolliset elementit. Vain yhdenkin puuttuminen voi tehdä sopimuksesta riittämättömän GDPR:n tarkastelussa [2].
Pakolliset osat:
- Käsittelyn kohde ja kesto
- Käsittelyn luonne ja tarkoitus
- Henkilötietojen tyyppi ja rekisteröityjen luokat
- Rekisterinpitäjän velvollisuudet ja oikeudet
- Käsittelijän toteuttamat tekniset ja organisatoriset toimenpiteet (TOMs)
- Säännöt alihankkijoiden käyttämiselle
- Menettelyt rekisteröityjen oikeuksia koskeville pyynnöille
- Tietoturvaloukkausten ilmoitusvelvollisuudet
- Tietojen palauttaminen tai poistaminen sopimuksen päättyessä
- Rekisterinpitäjän tarkastusoikeudet
TOMs-osio on erityisen tärkeä. Vaikka AVV itsessään ei toteuta turvatoimia, sen on dokumentoitava, mitä toimenpiteitä käsittelijällä on käytössä, kuten salausstandardit, pääsynvalvonta ja pseudonymisointikäytännöt [1].
Mitä tapahtuu, jos sinulla ei ole AVV-sopimusta?
Toimiminen ilman voimassa olevaa AVV-sopimusta altistaa sekä rekisterinpitäjän että käsittelijän merkittäville valvontaviranomaisten seuraamuksille. GDPR:n 83 artiklan 4 kohdan mukaan 28 artiklan rikkomisesta määrättävät sakot voivat olla jopa 10 miljoonaa euroa tai 2 % maailmanlaajuisesta vuotuisesta liikevaihdosta, ja 83 artiklan 5 kohdan mukaan vakavammista rikkomuksista jopa 20 miljoonaa euroa tai 4 % maailmanlaajuisesta vuotuisesta liikevaihdosta, riippuen siitä, kumpi summa on suurempi [3].
Kriittisesti nämä sakot voidaan määrätä riippumatta siitä, onko tietoturvaloukkausta tapahtunut. Valvontaviranomainen, joka suorittaa rutiinitarkastuksen tai vastaa valitukseen, voi havaita AVV-sopimuksen puuttumisen ja määrätä sakon pelkästään tällä perusteella.
Lisäseurauksia ovat:
- Mainevahingot ja asiakkaiden luottamuksen menetys
- Sopimusperusteinen vastuu rekisterinpitäjän ja käsittelijän välillä
- Käsittelytoimintojen mahdollinen keskeyttäminen korjaustoimenpiteiden odottamiseksi
AVV vs. tietojenkäsittelysopimus: Tärkeimmät erot
AVV ja DPA ovat sisällöltään sama asiakirja eri nimillä. Kansainvälisten organisaatioiden kannalta on kuitenkin syytä huomioida käytännön eroja.
| Ulottuvuus | AVV | DPA |
|---|---|---|
| Kieli | Saksa | Englanti (tai paikallinen) |
| Lainkäyttöalueen painopiste | DACH-alue | Laajasti EU/ETA |
| Yleinen käyttöyhteys | Saksankieliset sopimukset | Kansainväliset SaaS-sopimukset |
| Oikeusperusta | GDPR 28 artikla | GDPR 28 artikla |
| Sisältövaatimukset | Samat | Samat |
DACH-alueella (Saksa, Itävalta, Sveitsi) on erityisen vahva AVV-sopimusten täytäntöönpanokulttuuri, mikä tekee niistä vakiokäytännön toimittajasopimuksissa hosting-palveluntarjoajien, SaaS ERP -toimittajien ja muiden palvelukumppaneiden kanssa [1].
Kuinka paljon AVV maksaa?
AVV-sopimuksen hinta vaihtelee sen mukaan, miten se luodaan ja tarkistetaan.
- Mallipohjainen AVV: Monet toimittajat tarjoavat oman AVV-sopimuksensa osana palveluehtojaan, tyypillisesti ilman lisämaksua. NexDeckin kaltaiset organisaatiot tarjoavat yksityiskohtaisia AVV-mallipohjia, mukaan lukien alihankkijaluettelot [4].
- Lakimiehen tarkastus: Tietosuojalakimiehen palkkaaminen räätälöidyn AVV-sopimuksen laatimiseen tai tarkistamiseen maksaa tyypillisesti 300–2 000 euroa monimutkaisuudesta ja lainkäyttöalueesta riippuen.
- Tietosuojavastaavan avustama laatiminen: Organisaatiot, joilla on sisäinen tai ulkoinen tietosuojavastaava (DPO), voivat usein käyttää tätä resurssia AVV-sopimusten laatimiseen ilman lisäkustannuksia DPO:n palkkion lisäksi.
Pienyrityksille käytännöllisin lähestymistapa on aloittaa luotettavalla mallipohjalla ja antaa pätevän ammattilaisen tarkistaa se ennen allekirjoittamista.
Miten luon AVV-mallipohjan?
AVV-sopimuksen luominen alkaa kaikkien käsittelysuhteiden tunnistamisesta, joissa kolmas osapuoli käsittelee henkilötietoja puolestasi. Tästä eteenpäin prosessi etenee seuraavasti:
- Luetteloi käsittelijäsi: Listaa kaikki toimittajat, työkalut tai palvelut, jotka pääsevät käsiksi hallitsemiisi henkilötietoihin.
- Hanki tai laadi AVV: Monet käsittelijät (erityisesti SaaS-toimittajat) tarjoavat oman standardi-AVV-sopimuksensa. Tarkista se yllä lueteltujen pakollisten elementtien perusteella.
- Räätälöi TOMs-osio: Varmista, että tekniset ja organisatoriset toimenpiteet vastaavat käsittelijän todellisia turvallisuuskäytäntöjä.
- Listaa alihankkijat: Liitä liite, jossa tunnistetaan kaikki alihankkijat, joita käsittelijä käyttää, sekä heidän roolinsa ja sijaintinsa.
- Määrittele tiedonsiirtomekanismit: Jos tietoja siirretään EU/ETA-alueen ulkopuolelle, määrittele laillinen siirtomekanismi (esim. vakiolausekkeet).
- Allekirjoita ja säilytä: Molempien osapuolten on allekirjoitettava AVV. Säilytä kopio tietojenkäsittelyrekistereissäsi.
Vaatimustenmukaisuuteen keskittyvien organisaatioiden mallipohjat tarjoavat vankan rakenteellisen perustan, mutta jokainen AVV tulisi räätälöidä sen käsittelytoiminnon mukaan, jota se sääntelee [2].
AVV-vaatimukset pienyrityksille
Pienyritykset eivät ole vapautettuja AVV-vaatimuksesta. Jokaisen GDPR:n alaisen organisaation, joka käyttää kolmannen osapuolen käsittelijää, on oltava AVV-sopimus, riippumatta yrityksen koosta tai työntekijöiden määrästä [1].
Pienyrityksille käytännön taakka on pienempi kuin miltä se saattaa näyttää:
- Useimmat suuret SaaS-toimittajat (sähköpostialustat, varausjärjestelmät, analytiikkatyökalut) tarjoavat jo standardi-AVV- tai DPA-sopimuksen osana palveluehtojaan. Näiden ehtojen hyväksyminen muodostaa tyypillisesti pätevän sopimuksen.
- Tärkein tehtävä on varmistaa, että olet todella tarkistanut ja hyväksynyt nämä ehdot, sen sijaan että olettaisit niiden olevan olemassa.
- Pidä yksinkertaista rekisteriä käsittelijöistäsi ja vastaavista AVV-sopimuksista.
Yleinen virhe: Pienyritysten omistajat olettavat usein, että koska toimittaja on suuri ja maineikas, lakiasiat hoidetaan automaattisesti. AVV-sopimuksen hyväksymisen on oltava aktiivinen, dokumentoitu vaihe.
AVV-tarkastusketjun vaatimukset
AVV-sopimuksen on sisällettävä määräyksiä, jotka antavat rekisterinpitäjälle oikeuden tarkastaa käsittelijän vaatimustenmukaisuutta. Tämä tarkastusoikeus on pakollinen elementti GDPR:n 28 artiklan 3 kohdan h alakohdan mukaisesti [2].
Käytännössä tarkastusketjun vaatimukset tarkoittavat:
- Käsittelijän on pidettävä kirjaa käsittelytoimista GDPR:n 30 artiklan 2 kohdan mukaisesti.
- Rekisterinpitäjällä on oikeus suorittaa tarkastuksia tai tilata kolmannen osapuolen tarkastajia varmistamaan vaatimustenmukaisuus.
- Monet käsittelijät täyttävät tämän vaatimuksen kolmannen osapuolen sertifikaateilla, kuten ISO 27001 tai SOC 2, jotka voivat korvata paikan päällä tehtävät tarkastukset monissa tapauksissa.
AVV on suoraan relevantti ISO 27001:n liitteen A kontrollien A.5.19–A.5.22 kanssa, jotka sääntelevät toimittajasuhteita ja tietoturvaa toimitusketjuissa [2]. Organisaatioiden, joilla on virallinen tietoturvan hallintajärjestelmä (ISMS), tulisi varmistaa, että niiden AVV-sopimukset on integroitu niiden toimittajanhallintaprosesseihin.
AVV kansainvälisiin tiedonsiirtoihin
Kun käsittelijä sijaitsee EU/ETA-alueen ulkopuolella, AVV-sopimuksessa on käsiteltävä oikeudellista mekanismia henkilötietojen siirtämiseksi kyseiseen kolmanteen maahan. Vakiolausekkeet (SCCs) ovat yleisimmin käytetty mekanismi, ja ne sisällytetään tyypillisesti AVV-sopimuksen liitteeksi [2].
Tärkeimmät huomioitavat asiat kansainvälisissä AVV-sopimuksissa:
- Tunnista, onko käsittelijän maalla EU:n riittävyyspäätös.
- Jos ei, sisällytä asianmukaiset SCC:t (rekisterinpitäjältä käsittelijälle tai rekisterinpitäjältä rekisterinpitäjälle, suhteesta riippuen).
- Suorita tarvittaessa siirron vaikutusten arviointi (TIA).
- Varmista, että AVV on saatavilla molempien sopimuspuolten kielillä [5].
Kuinka usein AVV-sopimusta tulisi päivittää?
AVV-sopimus tulisi tarkistaa ja päivittää aina, kun käsittelysuhteessa tapahtuu olennaisia muutoksia. Lakisääteistä kiinteää tarkistusväliä ei ole, mutta parhaiden käytäntöjen mukaan tarkistus tulisi tehdä vähintään vuosittain [2].
Välittömän AVV-päivityksen laukaisevat tekijät:
- Käsittelijä ottaa käyttöön uuden alihankkijan tai poistaa olemassa olevan
- Käsittelytoiminnot muuttuvat luonteeltaan, tarkoitukseltaan tai laajuudeltaan
- Tietoja siirretään uuteen kolmanteen maahan
- Käsittelijän TOMs-toimenpiteitä päivitetään merkittävästi
- Sovellettava laki tai sääntelyohjeistus muuttuu
AVV-sopimusten ennakoiva tarkistaminen on keskeinen vaatimustenmukaisuuden osa. Vanhentuneet sopimukset, jotka eivät enää vastaa todellisia käsittelytoimintoja, luovat samanlaisen sääntelyriskin kuin AVV-sopimuksen puuttuminen kokonaan.
Yleisiä virheitä AVV-sopimuksen perustamisessa
Jopa organisaatiot, jotka ymmärtävät AVV-vaatimuksen, tekevät usein virheitä sen toteutuksessa.
Virhe 1: Toimittajan vakiomallin pitäminen automaattisesti riittävänä. Toimittajan tarjoama AVV-mallipohja ei välttämättä kata juuri sinun käsittelytoimintojasi. Tarkista se aina pakollisten elementtien perusteella.
Virhe 2: TOMs-toimenpiteiden jättäminen pois tai epämääräinen kuvaus. Valvontaviranomaiset tarkastelevat TOMs-osiota tarkasti. Epämääräinen kieli, kuten "asianmukaiset turvatoimet" ilman yksityiskohtia, on riittämätöntä.
Virhe 3: Alihankkijoiden unohtaminen. AVV-sopimuksessa on lueteltava alihankkijat. Tämän luettelon päivittämättä jättäminen, kun käsittelijä vaihtaa alihankkijoitaan, on yleinen vaatimustenmukaisuusaukko [2].
Virhe 4: Allekirjoitettujen kopioiden säilyttämättä jättäminen. AVV-sopimus, jota ei voida esittää tarkastuksen yhteydessä, ei tarjoa oikeudellista suojaa. Pidä kirjaa järjestelmällisesti.
Virhe 5: AVV-sopimuksen sekoittaminen tietosuojakäytäntöön. Nämä ovat täysin erilaisia asiakirjoja, jotka palvelevat eri tarkoituksia. Tietosuojakäytäntö tiedottaa rekisteröidyille; AVV sääntelee rekisterinpitäjän ja käsittelijän välistä suhdetta [1].
Johtopäätös
Perimmäinen opas AVV-sopimuksiin: Miksi jokainen henkilötietojen käsittelijä tarvitsee sellaisen tiivistyy lopulta suoraviivaiseen vaatimustenmukaisuuden todellisuuteen: jos henkilötietoja vaihtuu rekisterinpitäjän ja käsittelijän välillä, voimassa olevan AVV-sopimuksen on oltava olemassa ennen käsittelyn aloittamista. Kokoa koskevia poikkeuksia, toimialakohtaisia vapautuksia tai armonaikoja ei ole organisaatioille, jotka jo toimivat GDPR:n alaisuudessa.
Toimintakelpoiset seuraavat vaiheet vuodelle 2026:
- Tarkasta jokainen kolmannen osapuolen toimittaja, joka pääsee käsiksi hallitsemiisi henkilötietoihin, ja varmista, että jokaisella on AVV-sopimus.
- Tarkista olemassa olevat AVV-sopimukset pakollisten elementtien tarkistuslistan perusteella kiinnittäen erityistä huomiota TOMs-toimenpiteisiin ja alihankkijaluetteloihin.
- Aseta kalenterimuistutus vuosittaisille AVV-tarkistuksille ja laukaisinpohjaisille päivityksille, kun käsittelytoiminnot muuttuvat.
- Organisaatioille, jotka hallinnoivat suostumusta ja evästeiden vaatimustenmukaisuutta AVV-sopimustensa rinnalla, harkitse tietojenkäsittelydokumentaation yhdistämistä vaatimustenmukaiseen Consent Management Platformiin, kuten Biscotti CMP, täydellisen ja puolustettavan vaatimustenmukaisuusaseman ylläpitämiseksi.
- Konsultoi pätevää tietosuojan ammattilaista kaikissa AVV-sopimuksissa, jotka sisältävät monimutkaisia käsittelytoimintoja tai kansainvälisiä tiedonsiirtoja.
AVV-sopimusten oikein tekemisen kustannukset ovat minimaaliset. Niiden väärin tekemisen kustannukset eivät ole.
UKK
Mitä AVV tarkoittaa yksinkertaisesti? AVV on kirjallinen sopimus yrityksen, joka omistaa henkilötietoja (rekisterinpitäjä), ja yrityksen, joka käsittelee näitä tietoja sen puolesta (käsittelijä), välillä. Se määrittelee, mitä tietoja käsitellään, miksi, miten ne suojataan ja mitä molempien osapuolten on tehtävä.
Vaaditaanko AVV jokaisessa toimittajasuhteessa? Vain toimittajille, jotka käsittelevät henkilötietoja puolestasi. Toimittaja, joka tarjoaa vain työkalun, jota käytät tietojen käsittelyyn itse (ilman pääsyä tietoihin), ei yleensä ole käsittelijä eikä vaadi AVV-sopimusta.
Voiko suullinen sopimus korvata AVV-sopimuksen? Ei. GDPR:n 28 artikla edellyttää nimenomaisesti, että käsittelysopimus on tehtävä kirjallisesti, myös sähköisessä muodossa.
Suojaako AVV GDPR-sakoilta? Voimassa olevan AVV-sopimuksen olemassaolo vähentää merkittävästi sääntelyriskiä, mutta se ei tarjoa ehdotonta immuniteettia. Sakkoja voidaan edelleen määrätä muista rikkomuksista. AVV osoittaa nimenomaan 28 artiklan noudattamista.
Mitä eroa on alihankkijalla ja käsittelijällä? Käsittelijä käsittelee tietoja suoraan rekisterinpitäjän puolesta. Alihankkijan käsittelijä palkkaa avustamaan käsittelyssä. Rekisterinpitäjälle on ilmoitettava alihankkijoista, ja käsittelijän on sidottava alihankkijat vastaaviin velvoitteisiin.
Kuinka kauan AVV-sopimusta on säilytettävä? GDPR ei määrittele nimenomaista säilytysaikaa AVV-sopimuksille, mutta ne tulisi säilyttää käsittelysuhteen ajan ja kohtuullisen ajan sen jälkeen, tyypillisesti yhdenmukaisesti asiaankuuluvan lainkäyttöalueen sääntelytoimien vanhentumisajan kanssa.
Kelpaako yhdysvaltalaisen yrityksen kanssa allekirjoitettu DPA AVV-sopimukseksi? Kyllä, edellyttäen että se sisältää kaikki GDPR:n 28 artiklan edellyttämät elementit ja sisältää asianmukaiset siirtomekanismit, kuten vakiolausekkeet.
Voiko käsittelijä käyttää henkilötietoja omiin tarkoituksiinsa? Ei. Käsittelijä saa käsitellä henkilötietoja vain rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti. Tietojen käsittely käsittelijän omiin tarkoituksiin luokittelisi kyseisen osapuolen uudelleen rekisterinpitäjäksi, jolla on erilliset oikeudelliset velvoitteet.
Mikä on TOM AVV-sopimuksen yhteydessä? TOM tarkoittaa teknisiä ja organisatorisia toimenpiteitä. Nämä ovat turvallisuuskäytäntöjä, joita käsittelijä toteuttaa henkilötietojen suojaamiseksi, kuten salaus, pääsynvalvonta ja pseudonymisointi. AVV-sopimuksen on dokumentoitava nämä toimenpiteet.
Tarvitseeko AVV-sopimukset notaarin vahvistusta? Ei. GDPR ei vaadi notaarin vahvistusta. Allekirjoitettu kirjallinen sopimus (mukaan lukien sähköiset allekirjoitukset) on riittävä.
Viitteet
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai