Resposta rápida: Un AVV (Auftragsverarbeitungsvertrag) é un contrato legalmente obrigatorio segundo o Artigo 28 do GDPR entre un responsable do tratamento de datos e un encargado do tratamento de datos. Calquera organización que procese datos persoais en nome doutra parte debe ter un. Operar sen un AVV expón a ambas as partes a multas de ata 20 millóns de euros ou o 4% da facturación anual global, o que sexa maior.
Puntos clave
- Un AVV é o termo alemán para un Acordo de Procesamento de Datos (DPA), requirido polo Artigo 28 do GDPR sempre que un procesador manexa datos persoais para un responsable.
- O acordo debe especificar o obxecto, propósito, duración, tipos de datos, medidas técnicas e organizativas (TOMs) e regras para os subprocesadores.
- A falta dun AVV válido pode resultar en multas reguladoras independentemente de se ocorreu unha violación de datos.
- As pequenas empresas non están exentas: o aloxamento na nube, o software de nóminas e as ferramentas de marketing por correo electrónico adoitan activar o requisito do AVV.
- Un AVV é un contrato entre dúas partes, non un aviso de privacidade, e non implementa por si mesmo medidas de seguridade como a cifrado.
- Os AVV deben revisarse sempre que cambien os subprocesadores, se produzan transferencias de datos a terceiros países ou se modifiquen as actividades de procesamento.
- Na rexión DACH (Alemaña, Austria, Suíza), os AVV son unha práctica estándar cos provedores de SaaS, provedores de aloxamento e sistemas ERP.
- Hai modelos dispoñibles en organizacións e provedores de cumprimento, pero a personalización para reflectir as actividades de procesamento reais é esencial.
Que significa AVV no procesamento de datos?
Un AVV significa Auftragsverarbeitungsvertrag, unha palabra composta alemá que se traduce directamente como "acordo de procesamento de datos" en galego. É o instrumento contractual esixido polo Artigo 28 do Regulamento Xeral de Protección de Datos (GDPR) da UE para rexer a relación entre un responsable do tratamento de datos e un encargado do tratamento de datos.
O termo é específico das xurisdicións de fala alemá (Alemaña, Austria e Suíza), pero o concepto legal subxacente aplícase universalmente en toda a UE e o EEE. Nos contextos de fala inglesa, o mesmo documento chámase Acordo de Procesamento de Datos (DPA). As organizacións que operan internacionalmente deben asegurarse de que os seus AVV estean dispoñibles nos idiomas relevantes para facilitar a comprensión e o cumprimento [5].
O AVV non é unha política de privacidade nin un banner de consentimento de cookies. É un contrato bilateral vinculante que define como un procesador pode manexar datos persoais, baixo que condicións e con que salvagardas.
Por que os procesadores de datos necesitan un AVV?
Un AVV é obrigatorio sempre que un responsable do tratamento de datos contrata un procesador para manexar datos persoais no seu nome. Esta non é unha orientación opcional; é un requisito legal estrito segundo o Artigo 28 do GDPR [1].
Os escenarios comúns que activan o requisito do AVV inclúen:
- Aloxamento e infraestrutura na nube (por exemplo, servidores que almacenan bases de datos de clientes)
- Procesamento de nóminas xestionado por un provedor de RRHH externo
- Plataformas de marketing por correo electrónico que almacenan listas de subscritores
- Provedores de SaaS ERP que acceden a datos empresariais e de empregados
- Ferramentas de análise e seguimento que procesan datos de comportamento dos visitantes
Sen un AVV, ningunha das partes ten unha base legal documentada para a relación de procesamento. As autoridades de supervisión tratan a ausencia dun AVV como unha violación de cumprimento independente, separada de calquera investigación de violación de datos [3].
É un AVV o mesmo que un DPA?
Si, un AVV e un DPA refírense ao mesmo documento legal. O AVV é a designación en alemán; DPA é o equivalente en inglés usado na maioría dos outros estados membros da UE e en contextos de cumprimento internacional [5].
Ambos os documentos cumpren os requisitos do Artigo 28 do GDPR e deben conter os mesmos elementos obrigatorios. Se unha empresa alemá asina un DPA cun provedor de SaaS con sede nos EUA, ese DPA funciona como o AVV para fins de cumprimento do GDPR, sempre que cumpra todos os requisitos substantivos.
Distinción clave a lembrar: A etiqueta do documento importa menos que o seu contido. Un documento titulado "Adenda de Procesamento de Datos", "Acordo de Procesamento" ou "AVV" é legalmente equivalente sempre que cubra todos os elementos requiridos.
Quen necesita un AVV para o cumprimento do GDPR?
Calquera organización que sexa un responsable do tratamento de datos e utilice un servizo de terceiros que procese datos persoais no seu nome necesita un AVV. Isto aplícase a empresas de todos os tamaños en todas as industrias [1].
Responsables que normalmente necesitan AVV:
| Escenario | Responsable | Procesador |
|---|---|---|
| A empresa usa CRM na nube | Empresa | Provedor de CRM |
| O sitio web usa análises | Propietario do sitio web | Provedor de análises |
| RRHH externaliza nóminas | Empregador | Axencia de nóminas |
| A tenda en liña usa ferramenta de correo electrónico | Minorista | Plataforma de correo electrónico |
| A axencia xestiona anuncios de clientes | Axencia | Plataforma de tecnoloxía publicitaria |
Quen non é un procesador: Unha parte que determina os propósitos e os medios do procesamento de forma independente é un responsable por dereito propio, non un procesador. Os responsables conxuntos requiren un tipo diferente de acordo segundo o Artigo 26 do GDPR.
As pequenas empresas adoitan pasar por alto este requisito, asumindo que só se aplica a grandes empresas. Esa suposición é incorrecta. Calquera propietario de sitio web que use un provedor de aloxamento de terceiros, un servizo de boletín ou un sistema de reservas probablemente necesite polo menos un AVV [5].
Que debe incluírse nun AVV?
Un AVV conforme debe conter elementos obrigatorios específicos. A falta dun só pode facer que o acordo sexa insuficiente baixo o escrutinio do GDPR [2].
Compoñentes obrigatorios:
- Obxecto e duración do procesamento
- Natureza e propósito do procesamento
- Tipo de datos persoais e categorías de interesados
- Obrigas e dereitos do responsable
- Medidas técnicas e organizativas (TOMs) implementadas polo procesador
- Regras que rexen a contratación de subprocesadores
- Procedementos para solicitudes de dereitos dos interesados
- Obrigas de notificación de violación de datos
- Devolución ou eliminación de datos ao finalizar o contrato
- Dereitos de auditoría para o responsable
A sección de TOMs é particularmente importante. Aínda que o AVV en si non implementa medidas de seguridade, debe documentar que medidas ten o procesador, como estándares de cifrado, controis de acceso e prácticas de pseudonimización [1].
Que acontece se non tes un AVV?
Operar sen un AVV válido expón tanto ao responsable como ao procesador a importantes sancións reguladoras. Segundo o Artigo 83(4) do GDPR, as multas por violacións do Artigo 28 poden alcanzar os 10 millóns de euros ou o 2% da facturación anual global, e segundo o Artigo 83(5) para infraccións máis graves, ata 20 millóns de euros ou o 4% da facturación anual global, o que sexa maior [3].
É fundamental que estas multas poidan impoñerse independentemente de se ocorreu unha violación de datos. Unha autoridade de supervisión que realice unha auditoría rutinaria ou responda a unha queixa pode identificar a ausencia dun AVV e impoñer unha multa só por esa base.
As consecuencias adicionais inclúen:
- Danos á reputación e perda de confianza do cliente
- Responsabilidade contractual entre o responsable e o procesador
- Posible suspensión das actividades de procesamento pendente de remediación
AVV vs. Acordo de Procesamento de Datos: Diferenzas clave
O AVV e o DPA son substancialmente o mesmo documento con nomes diferentes. Non obstante, hai diferenzas prácticas que paga a pena ter en conta para as organizacións internacionais.
| Dimensión | AVV | DPA |
|---|---|---|
| Idioma | Alemán | Inglés (ou local) |
| Enfoque xurisdicional | Rexión DACH | UE/EEE en xeral |
| Contexto de uso común | Contratos en alemán | Acordos internacionais de SaaS |
| Base legal | Artigo 28 do GDPR | Artigo 28 do GDPR |
| Requisitos de contido | Idénticos | Idénticos |
A rexión DACH (Alemaña, Austria, Suíza) ten unha cultura de aplicación particularmente forte en torno aos AVV, o que os converte nunha práctica estándar nos contratos con provedores de aloxamento, provedores de SaaS ERP e outros socios de servizos [1].
Canto custa un AVV?
O custo dun AVV varía dependendo de como se cree e revise.
- AVV baseado en modelos: Moitos provedores ofrecen o seu propio AVV como parte dos seus termos de servizo, normalmente sen custo adicional. Organizacións como NexDeck ofrecen modelos de AVV detallados que inclúen listas de subprocesadores [4].
- Revisión por asesor legal: Facer que un avogado de protección de datos redacte ou revise un AVV personalizado adoita custar entre 300 e 2.000 euros, dependendo da complexidade e da xurisdición.
- Redacción asistida por DPO: As organizacións cun Delegado de Protección de Datos (DPO) interno ou externo adoitan poder usar ese recurso para redactar AVV sen custo marxinal máis aló da retribución do DPO.
Para as pequenas empresas, o enfoque máis práctico é comezar cun modelo de confianza e facelo revisar por un profesional cualificado antes de asinar.
Como creo un modelo de AVV?
A creación dun AVV comeza identificando todas as relacións de procesamento nas que un terceiro manexa datos persoais no seu nome. A partir de aí, o proceso segue estes pasos:
- Inventaría os teus procesadores: Lista cada provedor, ferramenta ou servizo que acceda a datos persoais que controlas.
- Obtén ou redacta o AVV: Moitos procesadores (especialmente os provedores de SaaS) proporcionan o seu propio AVV estándar. Revísao fronte aos elementos obrigatorios listados anteriormente.
- Personaliza a sección de TOMs: Asegúrate de que as medidas técnicas e organizativas reflictan as prácticas de seguridade reais do procesador.
- Lista os subprocesadores: Inclúe un anexo que identifique calquera subprocesador que o procesador utilice, xunto cos seus roles e localizacións.
- Define os mecanismos de transferencia de datos: Se os datos se transfíren fóra da UE/EEE, especifica o mecanismo de transferencia legal (por exemplo, Cláusulas Contractuais Tipo).
- Asina e conserva: Ambas as partes deben asinar o AVV. Conserva unha copia cos teus rexistros de procesamento de datos.
Os modelos de organizacións centradas no cumprimento proporcionan unha base estrutural sólida, pero cada AVV debe adaptarse á actividade de procesamento específica que rexe [2].
Requisitos de AVV para pequenas empresas
As pequenas empresas non están exentas do requisito do AVV. Calquera organización suxeita ao GDPR que utilice un procesador de terceiros debe ter un AVV en vigor, independentemente do tamaño da empresa ou do número de empregados [1].
Para as pequenas empresas, a carga práctica é menor do que podería parecer:
- A maioría dos principais provedores de SaaS (plataformas de correo electrónico, sistemas de reservas, ferramentas de análise) xa proporcionan un AVV ou DPA estándar como parte dos seus termos de servizo. Aceptalos adoita constituír un acordo válido.
- A tarefa clave é asegurarse de que realmente revisou e aceptou eses termos, en lugar de asumir que existen.
- Manteña un rexistro sinxelo dos seus procesadores e dos AVV correspondentes.
Erro común: Os propietarios de pequenas empresas adoitan asumir que, debido a que un provedor é grande e de confianza, a documentación legal xa está automaticamente xestionada. A aceptación dun AVV debe ser un paso activo e documentado.
Requisitos de rastro de auditoría do AVV
Un AVV debe incluír disposicións que outorguen ao responsable o dereito a auditar o cumprimento do procesador. Este dereito de auditoría é un elemento obrigatorio segundo o Artigo 28(3)(h) do GDPR [2].
Na práctica, os requisitos de rastro de auditoría significan:
- O procesador debe manter rexistros das actividades de procesamento segundo o Artigo 30(2) do GDPR.
- O responsable ten dereito a realizar auditorías ou encargar a auditores externos que verifiquen o cumprimento.
- Moitos procesadores cumpren este requisito mediante certificacións de terceiros como ISO 27001 ou SOC 2, que poden substituír as auditorías in situ en moitos casos.
O AVV é directamente relevante para os controis do Anexo A da ISO 27001, A.5.19 a A.5.22, que rexen as relacións cos provedores e a seguridade da información nas cadeas de subministración [2]. As organizacións cun Sistema de Xestión da Seguridade da Información (ISMS) formal deben asegurarse de que os seus AVV estean integrados nos seus procesos de xestión de provedores.
AVV para transferencias internacionais de datos
Cando un procesador está situado fóra da UE/EEE, o AVV debe abordar o mecanismo legal para transferir datos persoais a ese terceiro país. As Cláusulas Contractuais Tipo (SCCs) son o mecanismo máis utilizado e adoitan incorporarse como anexo ao AVV [2].
Consideracións clave para os AVV internacionais:
- Identificar se o país do procesador ten unha decisión de adecuación da UE.
- Se non, incorporar as SCCs adecuadas (de responsable a procesador ou de responsable a responsable, dependendo da relación).
- Realizar unha Avaliación de Impacto da Transferencia (TIA) cando sexa necesario.
- Asegurarse de que o AVV estea dispoñible nos idiomas de ambas as partes contratantes [5].
Con que frecuencia debe actualizar o seu AVV?
Un AVV debe revisarse e actualizarse sempre que se produzan cambios materiais na relación de procesamento. Non existe un intervalo de revisión estatutario fixo, pero a mellor práctica indica unha revisión anual como mínimo [2].
Activadores para unha actualización inmediata do AVV:
- O procesador contrata un novo subprocesador ou elimina un existente
- As actividades de procesamento cambian de natureza, propósito ou alcance
- Os datos transfírense a un novo terceiro país
- As TOMs do procesador actualízanse significativamente
- A lei aplicable ou a orientación reguladora cambian
A revisión proactiva dos AVV é unha disciplina fundamental de cumprimento. Os acordos desactualizados que xa non reflicten as actividades de procesamento reais crean a mesma exposición reguladora que non ter ningún AVV.
Erros comúns ao configurar un AVV
Mesmo as organizacións que comprenden o requisito do AVV adoitan cometer erros na implementación.
Erro 1: Tratar o modelo do provedor como automaticamente suficiente. Un modelo de AVV proporcionado polo provedor pode non cubrir as súas actividades de procesamento específicas. Revíseo sempre fronte aos elementos obrigatorios.
Erro 2: Omitir ou describir vagamente as TOMs. As autoridades de supervisión examinan de preto a sección de TOMs. Unha linguaxe vaga como "medidas de seguridade adecuadas" sen especificacións é insuficiente.
Erro 3: Esquecer os subprocesadores. O AVV debe listar os subprocesadores. Non actualizar esta lista cando un procesador cambia os seus subprocesadores é unha lagoa común de cumprimento [2].
Erro 4: Non conservar copias asinadas. Un AVV que non se pode presentar durante unha auditoría non proporciona protección legal. Manteña rexistros organizados.
Erro 5: Confundir o AVV cunha política de privacidade. Son documentos completamente diferentes que serven para propósitos diferentes. Unha política de privacidade informa aos interesados; un AVV rexe a relación entre o responsable e o procesador [1].
Conclusión
A guía definitiva dos AVV: Por que cada procesador de datos necesita un, en última instancia, redúcese a unha realidade de cumprimento sinxela: se os datos persoais cambian de mans entre un responsable e un procesador, debe existir un AVV válido antes de que comece ese procesamento. Non hai exencións de tamaño, nin excepcións de industria, nin períodos de graza para as organizacións que xa operan baixo o GDPR.
Próximos pasos accionables para 2026:
- Auditar cada provedor de terceiros que acceda a datos persoais que controlas e confirmar que existe un AVV para cada un.
- Revisar os AVV existentes fronte á lista de verificación de elementos obrigatorios, prestando especial atención ás TOMs e ás listas de subprocesadores.
- Establecer un recordatorio no calendario para as revisións anuais dos AVV e as actualizacións baseadas en activadores cando cambien as actividades de procesamento.
- Para as organizacións que xestionan o consentimento e o cumprimento das cookies xunto cos seus AVV, considere emparellar a súa documentación de procesamento de datos cunha plataforma de xestión de consentimento conforme como Biscotti CMP para manter unha postura de cumprimento completa e defendible.
- Consultar a un profesional cualificado en protección de datos para calquera AVV que implique actividades de procesamento complexas ou transferencias internacionais de datos.
O custo de facer ben os AVV é mínimo. O custo de facelos mal non o é.
Preguntas frecuentes
Que é un AVV en termos sinxelos? Un AVV é un contrato escrito entre unha empresa que posúe datos persoais (o responsable) e unha empresa que procesa eses datos no seu nome (o procesador). Especifica que datos se procesan, por que, como se protexen e que ambas as partes están obrigadas a facer.
É necesario un AVV para cada relación con provedores? Só para os provedores que procesan datos persoais no seu nome. Un provedor que simplemente proporciona unha ferramenta que vostede usa para procesar datos por si mesmo (sen acceso aos datos) xeralmente non é un procesador e non require un AVV.
Pode un acordo verbal substituír un AVV? Non. O Artigo 28 do GDPR esixe explicitamente que o acordo de procesamento sexa por escrito, incluída a forma electrónica.
Un AVV protexe contra as multas do GDPR? Ter un AVV válido reduce significativamente o risco regulatorio, pero non proporciona inmunidade absoluta. Aínda se poden impoñer multas por outras violacións. Un AVV demostra o cumprimento do Artigo 28 especificamente.
Cal é a diferenza entre un subprocesador e un procesador? Un procesador manexa datos directamente para o responsable. Un subprocesador é contratado polo procesador para axudar con ese procesamento. O responsable debe ser informado dos subprocesadores, e o procesador debe vincular os subprocesadores a obrigas equivalentes.
Canto tempo debe conservarse un AVV? Non hai un período de retención explícito especificado no GDPR para os AVV, pero deben conservarse durante a duración da relación de procesamento e durante un período razoable despois, normalmente aliñado co prazo de prescrición para a acción reguladora na xurisdición relevante.
Un DPA asinado cunha empresa estadounidense conta como un AVV? Si, sempre que conteña todos os elementos requiridos polo Artigo 28 do GDPR e incorpore mecanismos de transferencia adecuados como as Cláusulas Contractuais Tipo.
Pode o procesador usar datos persoais para os seus propios fins? Non. Un procesador só pode procesar datos persoais segundo as instrucións documentadas do responsable. O procesamento para os propios fins do procesador reclasificaría esa parte como responsable, con obrigas legais separadas.
Que é un TOM no contexto dun AVV? TOM significa Medida Técnica e Organizativa. Son as prácticas de seguridade que un procesador implementa para protexer os datos persoais, como a cifrado, os controis de acceso e a pseudonimización. O AVV debe documentar estas medidas.
Os AVV necesitan ser notariados? Non. O GDPR non require a notarización. Un acordo escrito asinado (incluídas as sinaturas electrónicas) é suficiente.
Referencias
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai