תשובה מהירה: AVV (Auftragsverarbeitungsvertrag) הוא חוזה מחייב מבחינה משפטית לפי סעיף 28 של ה-GDPR בין בקר נתונים למעבד נתונים. כל ארגון המעבד נתונים אישיים מטעם צד אחר חייב שיהיה לו כזה. פעולה ללא AVV חושפת את שני הצדדים לקנסות של עד 20 מיליון אירו או 4% מהמחזור השנתי העולמי, הגבוה מביניהם.
נקודות מפתח
- AVV הוא המונח הגרמני להסכם עיבוד נתונים (DPA), הנדרש לפי סעיף 28 של ה-GDPR בכל פעם שמעבד מטפל בנתונים אישיים עבור בקר.
- ההסכם חייב לציין את נושא העיבוד, מטרתו, משכו, סוגי הנתונים, אמצעים טכניים וארגוניים (TOMs), וכללים לגבי מעבדי משנה.
- אי קיום AVV תקף עלול להוביל לקנסות רגולטוריים ללא קשר לשאלה אם אירעה הפרת נתונים.
- עסקים קטנים אינם פטורים: אירוח בענן, תוכנות שכר וכלי שיווק בדוא"ל כולם בדרך כלל מפעילים את דרישת ה-AVV.
- AVV הוא חוזה בין שני צדדים, לא הודעת פרטיות, והוא אינו מיישם בעצמו אמצעי אבטחה כמו הצפנה.
- יש לבדוק AVVs בכל פעם שמעבדי משנה משתנים, העברות נתונים למדינות שלישיות מתרחשות, או פעילויות עיבוד משתנות.
- באזור DACH (גרמניה, אוסטריה, שוויץ), AVVs הם נוהג סטנדרטי עם ספקי SaaS, ספקי אירוח ומערכות ERP.
- תבניות זמינות מארגוני ציות וספקים, אך התאמה אישית כדי לשקף פעילויות עיבוד בפועל היא חיונית.
מה המשמעות של AVV בעיבוד נתונים?
AVV מייצג Auftragsverarbeitungsvertrag, מילה גרמנית מורכבת שמתורגמת ישירות ל"הסכם עיבוד נתונים" באנגלית. זהו הכלי החוזי המחויב על פי סעיף 28 של תקנת הגנת הנתונים הכללית של האיחוד האירופי (GDPR) כדי להסדיר את היחסים בין בקר נתונים למעבד נתונים.
המונח ספציפי לתחומי שיפוט דוברי גרמנית (גרמניה, אוסטריה ושוויץ), אך הרעיון המשפטי הבסיסי חל באופן אוניברסלי ברחבי האיחוד האירופי וה-EEA. בהקשרים בשפה האנגלית, אותו מסמך נקרא הסכם עיבוד נתונים (DPA). ארגונים הפועלים בינלאומית צריכים לוודא ש-AVVs שלהם זמינים בשפות הרלוונטיות כדי להקל על ההבנה והציות [5].
ה-AVV אינו מדיניות פרטיות או באנר הסכמה לעוגיות. זהו חוזה דו-צדדי מחייב המגדיר כיצד מעבד רשאי לטפל בנתונים אישיים, באילו תנאים, ובאילו אמצעי הגנה.
מדוע מעבדי נתונים זקוקים ל-AVV?
AVV הוא חובה בכל פעם שבקר נתונים מעסיק מעבד לטיפול בנתונים אישיים מטעמו. זו אינה הנחיה אופציונלית; זו דרישה משפטית קשיחה לפי סעיף 28 של ה-GDPR [1].
תרחישים נפוצים המפעילים את דרישת ה-AVV כוללים:
- אירוח ותשתית ענן (לדוגמה, שרתים המאחסנים מסדי נתונים של לקוחות)
- עיבוד שכר המטופל על ידי ספק משאבי אנוש צד שלישי
- פלטפורמות שיווק בדוא"ל המאחסנות רשימות מנויים
- ספקי SaaS ERP הניגשים לנתוני עסק ועובדים
- כלי ניתוח ומעקב המעבדים נתוני התנהגות מבקרים
ללא AVV, לאף אחד מהצדדים אין בסיס משפטי מתועד ליחסי העיבוד. רשויות פיקוח מתייחסות להיעדר AVV כהפרת ציות עצמאית, נפרדת מכל חקירת הפרת נתונים [3].
האם AVV זהה ל-DPA?
כן, AVV ו-DPA מתייחסים לאותו מסמך משפטי. AVV הוא הכינוי בשפה הגרמנית; DPA הוא המקבילה האנגלית המשמשת ברוב מדינות האיחוד האירופי האחרות ובהקשרי ציות בינלאומיים [5].
שני המסמכים ממלאים את דרישות סעיף 28 של ה-GDPR וחייבים להכיל את אותם אלמנטים חובה. אם חברה גרמנית חותמת על DPA עם ספק SaaS אמריקאי, DPA זה מתפקד כ-AVV למטרות ציות ל-GDPR, בתנאי שהוא עומד בכל הדרישות המהותיות.
הבחנה חשובה לזכור: התווית על המסמך חשובה פחות מתוכנו. מסמך שכותרתו "נספח עיבוד נתונים", "הסכם עיבוד" או "AVV" שווה ערך מבחינה משפטית כל עוד הוא מכסה את כל האלמנטים הנדרשים.
מי זקוק ל-AVV לצורך ציות ל-GDPR?
כל ארגון שהוא בקר נתונים ומשתמש בשירות צד שלישי המעבד נתונים אישיים מטעמו זקוק ל-AVV. זה חל על עסקים בכל הגדלים ובכל התעשיות [1].
בקרים שבדרך כלל זקוקים ל-AVVs:
| תרחיש | בקר | מעבד |
|---|---|---|
| חברה משתמשת ב-CRM בענן | עסק | ספק CRM |
| אתר אינטרנט משתמש בניתוח | בעל אתר | ספק ניתוח |
| משאבי אנוש מוציאים שכר למיקור חוץ | מעסיק | לשכת שכר |
| חנות מקוונת משתמשת בכלי דוא"ל | קמעונאי | פלטפורמת דוא"ל |
| סוכנות מנהלת מודעות לקוח | סוכנות | פלטפורמת טכנולוגיית פרסום |
מי אינו מעבד: צד הקובע את מטרות ואמצעי העיבוד באופן עצמאי הוא בקר בזכות עצמו, לא מעבד. בקרים משותפים דורשים סוג אחר של הסכם לפי סעיף 26 של ה-GDPR.
עסקים קטנים לעיתים קרובות מתעלמים מדרישה זו, מתוך הנחה שהיא חלה רק על ארגונים גדולים. הנחה זו שגויה. כל בעל אתר המשתמש בספק אירוח צד שלישי, שירות ניוזלטר או מערכת הזמנות כנראה זקוק לפחות ל-AVV אחד [5].
מה צריך לכלול ב-AVV?
AVV תואם חייב להכיל אלמנטים חובה ספציפיים. חסר אפילו אחד יכול להפוך את ההסכם לבלתי מספק תחת בדיקת GDPR [2].
רכיבים חובה:
- נושא ומשך העיבוד
- אופי ומטרת העיבוד
- סוג הנתונים האישיים וקטגוריות נושאי הנתונים
- חובות וזכויות הבקר
- אמצעים טכניים וארגוניים (TOMs) המיושמים על ידי המעבד
- כללים המסדירים את העסקת מעבדי משנה
- נהלים לבקשות זכויות נושאי נתונים
- חובות הודעה על הפרת נתונים
- החזרה או מחיקה של נתונים עם סיום החוזה
- זכויות ביקורת עבור הבקר
סעיף ה-TOMs חשוב במיוחד. בעוד שה-AVV עצמו אינו מיישם אמצעי אבטחה, עליו לתעד אילו אמצעים המעבד מפעיל, כגון תקני הצפנה, בקרות גישה ופסאודונימיזציה [1].
מה קורה אם אין לך AVV?
פעולה ללא AVV תקף חושפת הן את הבקר והן את המעבד לעונשים רגולטוריים משמעותיים. לפי סעיף 83(4) של ה-GDPR, קנסות על הפרות של סעיף 28 יכולים להגיע ל-10 מיליון אירו או 2% מהמחזור השנתי העולמי, ולפי סעיף 83(5) על הפרות חמורות יותר, עד 20 מיליון אירו או 4% מהמחזור השנתי העולמי, הגבוה מביניהם [3].
באופן קריטי, קנסות אלה יכולים להיות מוטלים ללא קשר לשאלה אם אירעה הפרת נתונים. רשות פיקוח המבצעת ביקורת שגרתית או מגיבה לתלונה יכולה לזהות את היעדר AVV ולהטיל קנס על בסיס זה בלבד.
השלכות נוספות כוללות:
- פגיעה במוניטין ואובדן אמון לקוחות
- אחריות חוזית בין בקר למעבד
- השעיה פוטנציאלית של פעילויות עיבוד עד לתיקון
AVV לעומת הסכם עיבוד נתונים: הבדלים עיקריים
ה-AVV וה-DPA הם למעשה אותו מסמך תחת שמות שונים. עם זאת, ישנם הבדלים מעשיים שכדאי לציין עבור ארגונים בינלאומיים.
| מימד | AVV | DPA |
|---|---|---|
| שפה | גרמנית | אנגלית (או מקומית) |
| מיקוד שיפוט | אזור DACH | האיחוד האירופי/EEA באופן כללי |
| הקשר שימוש נפוץ | חוזים בשפה הגרמנית | הסכמי SaaS בינלאומיים |
| בסיס משפטי | סעיף 28 של ה-GDPR | סעיף 28 של ה-GDPR |
| דרישות תוכן | זהות | זהות |
באזור DACH (גרמניה, אוסטריה, שוויץ) קיימת תרבות אכיפה חזקה במיוחד סביב AVVs, מה שהופך אותם לנוהג סטנדרטי בחוזים עם ספקים, ספקי אירוח, ספקי SaaS ERP ושותפי שירות אחרים [1].
כמה עולה AVV?
עלות AVV משתנה בהתאם לאופן יצירתו ובדיקתו.
- AVV מבוסס תבנית: ספקים רבים מספקים AVV משלהם כחלק מתנאי השירות שלהם, בדרך כלל ללא תשלום נוסף. ארגונים כמו NexDeck מציעים תבניות AVV מפורטות הכוללות רשימות מעבדי משנה [4].
- בדיקת ייעוץ משפטי: עורך דין להגנת נתונים שינסח או יבדוק AVV מותאם אישית עולה בדרך כלל בין 300 ל-2,000 אירו, בהתאם למורכבות ולתחום השיפוט.
- ניסוח בסיוע DPO: ארגונים עם קצין הגנת נתונים (DPO) פנימי או חיצוני יכולים לעיתים קרובות להשתמש במשאב זה כדי לנסח AVVs ללא עלות שולית מעבר לדמי השמירה של ה-DPO.
עבור עסקים קטנים, הגישה המעשית ביותר היא להתחיל עם תבנית מוכרת ולבדוק אותה על ידי איש מקצוע מוסמך לפני החתימה.
כיצד ליצור תבנית AVV?
יצירת AVV מתחילה בזיהוי כל יחסי העיבוד שבהם צד שלישי מטפל בנתונים אישיים מטעמך. משם, התהליך עוקב אחר השלבים הבאים:
- מלאי את המעבדים שלך: רשום כל ספק, כלי או שירות הניגש לנתונים אישיים שאתה שולט בהם.
- השג או נסח את ה-AVV: מעבדים רבים (במיוחד ספקי SaaS) מספקים AVV סטנדרטי משלהם. בדוק אותו מול האלמנטים החובה המפורטים לעיל.
- התאם אישית את סעיף ה-TOMs: ודא שהאמצעים הטכניים והארגוניים משקפים את נוהלי האבטחה בפועל של המעבד.
- רשום מעבדי משנה: כלול נספח המזהה כל מעבדי משנה שהמעבד משתמש בהם, יחד עם תפקידיהם ומיקומם.
- הגדר מנגנוני העברת נתונים: אם נתונים מועברים מחוץ לאיחוד האירופי/EEA, ציין את מנגנון ההעברה החוקי (לדוגמה, Standard Contractual Clauses).
- חתום ושמור: שני הצדדים חייבים לחתום על ה-AVV. שמור עותק עם רשומות עיבוד הנתונים שלך.
תבניות מארגונים המתמקדים בציות מספקות בסיס מבני איתן, אך כל AVV צריך להיות מותאם לפעילות העיבוד הספציפית שהוא מסדיר [2].
דרישות AVV לעסקים קטנים
עסקים קטנים אינם פטורים מדרישת ה-AVV. כל ארגון הכפוף ל-GDPR המשתמש במעבד צד שלישי חייב שיהיה לו AVV, ללא קשר לגודל החברה או למספר העובדים [1].
עבור עסקים קטנים, הנטל המעשי נמוך ממה שהוא עשוי להיראות:
- רוב ספקי ה-SaaS הגדולים (פלטפורמות דוא"ל, מערכות הזמנות, כלי ניתוח) כבר מספקים AVV או DPA סטנדרטי כחלק מתנאי השירות שלהם. קבלת תנאים אלה מהווה בדרך כלל הסכם תקף.
- המשימה העיקרית היא לוודא שאכן בדקת וקיבלת תנאים אלה, במקום להניח שהם קיימים.
- שמור רישום פשוט של המעבדים שלך וה-AVVs המתאימים.
טעות נפוצה: בעלי עסקים קטנים לעיתים קרובות מניחים שמכיוון שספק גדול ובעל מוניטין, הניירת המשפטית מטופלת אוטומטית. קבלת AVV חייבת להיות צעד פעיל ומתועד.
דרישות מסלול ביקורת AVV
AVV חייב לכלול הוראות המעניקות לבקר את הזכות לבקר את ציות המעבד. זכות ביקורת זו היא אלמנט חובה לפי סעיף 28(3)(h) של ה-GDPR [2].
בפועל, דרישות מסלול ביקורת פירושן:
- המעבד חייב לשמור רשומות של פעילויות עיבוד לפי סעיף 30(2) של ה-GDPR.
- לבקר יש את הזכות לבצע ביקורות או להזמין מבקרים צד שלישי כדי לאמת ציות.
- מעבדים רבים עומדים בדרישה זו באמצעות אישורים של צד שלישי כגון ISO 27001 או SOC 2, שיכולים להחליף ביקורות באתר במקרים רבים.
ה-AVV רלוונטי ישירות לבקרות ISO 27001 נספח A A.5.19 עד A.5.22, המסדירות יחסי ספקים ואבטחת מידע בשרשרת האספקה [2]. ארגונים עם מערכת ניהול אבטחת מידע (ISMS) רשמית צריכים לוודא ש-AVVs שלהם משולבים בתהליכי ניהול הספקים שלהם.
AVV להעברות נתונים בינלאומיות
כאשר מעבד ממוקם מחוץ לאיחוד האירופי/EEA, ה-AVV חייב להתייחס למנגנון המשפטי להעברת נתונים אישיים למדינה שלישית זו. Standard Contractual Clauses (SCCs) הם המנגנון הנפוץ ביותר ובדרך כלל משולבים כנספח ל-AVV [2].
שיקולים מרכזיים עבור AVVs בינלאומיים:
- זהה אם למדינת המעבד יש החלטת התאמה של האיחוד האירופי.
- אם לא, שלב את ה-SCCs המתאימים (בקר למעבד או בקר לבקר, בהתאם ליחסים).
- בצע הערכת השפעת העברה (TIA) היכן שנדרש.
- ודא שה-AVV זמין בשפות של שני הצדדים המתקשרים [5].
באיזו תדירות עליך לעדכן את ה-AVV שלך?
יש לבדוק ולעדכן AVV בכל פעם שמתרחשים שינויים מהותיים ביחסי העיבוד. אין מרווח בדיקה סטטוטורי קבוע, אך הנוהג המומלץ מצביע על בדיקה שנתית לפחות [2].
גורמים המפעילים עדכון AVV מיידי:
- המעבד מעסיק מעבד משנה חדש או מסיר קיים
- פעילויות העיבוד משתנות באופיין, מטרתן או היקפן
- נתונים מועברים למדינה שלישית חדשה
- ה-TOMs של המעבד מתעדכנים באופן משמעותי
- החוק החל או ההנחיות הרגולטוריות משתנים
בדיקה יזומה של AVVs היא דיסציפלינת ציות מרכזית. הסכמים מיושנים שאינם משקפים עוד פעילויות עיבוד בפועל יוצרים את אותה חשיפה רגולטורית כמו אי קיום AVV כלל.
טעויות נפוצות בעת הגדרת AVV
אפילו ארגונים שמבינים את דרישת ה-AVV לעיתים קרובות עושים טעויות ביישום.
טעות 1: התייחסות לטקסט הסטנדרטי של הספק כמספיק אוטומטית. תבנית AVV המסופקת על ידי ספק עשויה שלא לכסות את פעילויות העיבוד הספציפיות שלך. בדוק אותה תמיד מול האלמנטים החובה.
טעות 2: השמטה או תיאור מעורפל של TOMs. רשויות פיקוח בוחנות את סעיף ה-TOMs מקרוב. שפה מעורפלת כמו "אמצעי אבטחה מתאימים" ללא פרטים ספציפיים אינה מספקת.
טעות 3: שכחת מעבדי משנה. ה-AVV חייב לרשום מעבדי משנה. אי עדכון רשימה זו כאשר מעבד משנה משנה את מעבדי המשנה שלו הוא פער ציות נפוץ [2].
טעות 4: אי שמירת עותקים חתומים. AVV שלא ניתן להציג במהלך ביקורת אינו מספק הגנה משפטית. שמור רשומות מסודרות.
טעות 5: בלבול בין AVV למדיניות פרטיות. אלה מסמכים שונים לחלוטין המשרתים מטרות שונות. מדיניות פרטיות מיידעת את נושאי הנתונים; AVV מסדיר את יחסי הבקר-מעבד [1].
מסקנה
המדריך המקיף ל-AVVs: למה כל מעבד נתונים זקוק לאחד מסתכם בסופו של דבר במציאות ציות פשוטה: אם נתונים אישיים עוברים בין בקר למעבד, חייב להתקיים AVV תקף לפני תחילת העיבוד. אין פטורים בגודל, אין חריגים בתעשייה, ואין תקופות חסד לארגונים הפועלים כבר תחת GDPR.
צעדים מעשיים לשנת 2026:
- בקר כל ספק צד שלישי הניגש לנתונים אישיים שאתה שולט בהם וודא ש-AVV קיים עבור כל אחד מהם.
- בדוק AVVs קיימים מול רשימת הבדיקה של האלמנטים החובה, תוך שימת לב מיוחדת ל-TOMs ולרשימות מעבדי משנה.
- קבע תזכורת ביומן לבדיקות AVV שנתיות ועדכונים מבוססי טריגר כאשר פעילויות עיבוד משתנות.
- עבור ארגונים המנהלים הסכמה וציות לעוגיות לצד ה-AVVs שלהם, שקול לשלב את תיעוד עיבוד הנתונים שלך עם פלטפורמת ניהול הסכמה תואמת כגון Biscotti CMP כדי לשמור על עמדת ציות מלאה וניתנת להגנה.
- התייעץ עם איש מקצוע מוסמך להגנת נתונים עבור כל AVV הכולל פעילויות עיבוד מורכבות או העברות נתונים בינלאומיות.
עלות ביצוע AVVs נכון היא מינימלית. עלות ביצועם שגוי אינה כזו.
שאלות נפוצות
מהו AVV במונחים פשוטים? AVV הוא חוזה כתוב בין חברה שבבעלותה נתונים אישיים (הבקר) לבין חברה המעבדת נתונים אלה מטעמה (המעבד). הוא מציין אילו נתונים מעובדים, מדוע, כיצד הם מוגנים, ומה שני הצדדים מחויבים לעשות.
האם AVV נדרש עבור כל קשרי ספקים? רק עבור ספקים המעבדים נתונים אישיים מטעמך. ספק המספק רק כלי שבו אתה משתמש לעיבוד נתונים בעצמך (ללא גישה לנתונים) אינו בדרך כלל מעבד ואינו דורש AVV.
האם הסכם בעל פה יכול להחליף AVV? לא. סעיף 28 של ה-GDPR דורש במפורש שהסכם העיבוד יהיה בכתב, כולל בצורה אלקטרונית.
האם AVV מגן מפני קנסות GDPR? קיום AVV תקף מפחית באופן משמעותי את הסיכון הרגולטורי, אך אינו מספק חסינות מוחלטת. קנסות עדיין יכולים להיות מוטלים על הפרות אחרות. AVV מדגים ציות לסעיף 28 באופן ספציפי.
מה ההבדל בין מעבד משנה למעבד? מעבד מטפל בנתונים ישירות עבור הבקר. מעבד משנה מועסק על ידי המעבד כדי לסייע בעיבוד זה. יש ליידע את הבקר על מעבדי משנה, והמעבד חייב לחייב את מעבדי המשנה לחובות שוות ערך.
כמה זמן יש לשמור AVV? אין תקופת שמירה מפורשת המצוינת ב-GDPR עבור AVVs, אך יש לשמור אותם למשך יחסי העיבוד ולתקופה סבירה לאחר מכן, בדרך כלל בהתאם לחוק ההתיישנות לפעולה רגולטורית בתחום השיפוט הרלוונטי.
האם DPA שנחתם עם חברה אמריקאית נחשב ל-AVV? כן, בתנאי שהוא מכיל את כל האלמנטים הנדרשים על פי סעיף 28 של ה-GDPR ומשלב מנגנוני העברה מתאימים כגון Standard Contractual Clauses.
האם המעבד יכול להשתמש בנתונים אישיים למטרותיו שלו? לא. מעבד רשאי לעבד נתונים אישיים רק על פי ההוראות המתועדות של הבקר. עיבוד למטרותיו של המעבד עצמו יסווג מחדש את הצד כבקר, עם חובות משפטיות נפרדות.
מהו TOM בהקשר של AVV? TOM מייצג אמצעי טכני וארגוני (Technical and Organizational Measure). אלה הם נוהלי האבטחה שמעבד מיישם כדי להגן על נתונים אישיים, כגון הצפנה, בקרות גישה ופסאודונימיזציה. ה-AVV חייב לתעד אמצעים אלה.
האם AVVs צריכים להיות מאושרים נוטריונית? לא. ה-GDPR אינו דורש אישור נוטריוני. הסכם כתוב חתום (כולל חתימות אלקטרוניות) מספיק.
הפניות
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai