Brzi odgovor: AVV (Auftragsverarbeitungsvertrag) je zakonski obvezujući ugovor prema članku 28. GDPR-a između voditelja obrade podataka i obrađivača podataka. Svaka organizacija koja obrađuje osobne podatke u ime druge strane mora imati takav ugovor. Rad bez AVV-a izlaže obje strane kaznama do 20 milijuna eura ili 4% globalnog godišnjeg prometa, ovisno o tome što je veće.
Ključne spoznaje
- AVV je njemački izraz za Ugovor o obradi podataka (DPA), koji je obvezan prema članku 28. GDPR-a kad god obrađivač rukuje osobnim podacima za voditelja obrade.
- Ugovor mora specificirati predmet, svrhu, trajanje, vrste podataka, tehničke i organizacijske mjere (TOMs) te pravila za podobrađivače.
- Nepostojanje valjanog AVV-a može rezultirati regulatornim kaznama bez obzira na to je li došlo do povrede podataka.
- Mala poduzeća nisu izuzeta: cloud hosting, softver za obračun plaća i alati za e-mail marketing obično pokreću zahtjev za AVV-om.
- AVV je ugovor između dviju strana, a ne obavijest o privatnosti, i sam po sebi ne implementira sigurnosne mjere poput enkripcije.
- AVV-ove treba pregledati kad god se promijene podobrađivači, dođe do prijenosa podataka u treće zemlje ili se izmijene aktivnosti obrade.
- U DACH regiji (Njemačka, Austrija, Švicarska), AVV-ovi su standardna praksa kod SaaS dobavljača, pružatelja hostinga i ERP sustava.
- Predlošci su dostupni od organizacija za usklađenost i dobavljača, ali je prilagodba kako bi odražavali stvarne aktivnosti obrade ključna.
Što znači AVV u obradi podataka?
AVV je kratica za Auftragsverarbeitungsvertrag, njemačku složenicu koja se izravno prevodi kao "ugovor o obradi podataka" na engleskom. To je ugovorni instrument propisan člankom 28. Opće uredbe o zaštiti podataka (GDPR) EU-a za reguliranje odnosa između voditelja obrade podataka i obrađivača podataka.
Izraz je specifičan za njemačko govorna područja (Njemačka, Austrija i Švicarska), ali temeljni pravni koncept primjenjuje se univerzalno diljem EU-a i EGP-a. U engleskom jeziku, isti se dokument naziva Data Processing Agreement (DPA). Organizacije koje posluju međunarodno trebale bi osigurati da su njihovi AVV-ovi dostupni na relevantnim jezicima kako bi se olakšalo razumijevanje i usklađenost [5].
AVV nije politika privatnosti niti banner za pristanak na kolačiće. To je obvezujući bilateralni ugovor koji definira kako obrađivač smije rukovati osobnim podacima, pod kojim uvjetima i s kojim zaštitnim mjerama.
Zašto obrađivači podataka trebaju AVV?
AVV je obvezan kad god voditelj obrade podataka angažira obrađivača za rukovanje osobnim podacima u njegovo ime. Ovo nije opcionalna smjernica; to je strogi pravni zahtjev prema članku 28. GDPR-a [1].
Uobičajeni scenariji koji pokreću zahtjev za AVV-om uključuju:
- Cloud hosting i infrastruktura (npr. poslužitelji koji pohranjuju baze podataka klijenata)
- Obrada plaća koju obavlja vanjski HR pružatelj
- Platforme za e-mail marketing koje pohranjuju popise pretplatnika
- SaaS ERP dobavljači koji pristupaju poslovnim podacima i podacima zaposlenika
- Alati za analitiku i praćenje koji obrađuju podatke o ponašanju posjetitelja
Bez AVV-a, nijedna strana nema dokumentiranu pravnu osnovu za odnos obrade. Nadzorna tijela tretiraju nepostojanje AVV-a kao samostalnu povredu usklađenosti, odvojenu od bilo koje istrage povrede podataka [3].
Je li AVV isto što i DPA?
Da, AVV i DPA odnose se na isti pravni dokument. AVV je njemačka oznaka; DPA je engleski ekvivalent koji se koristi u većini drugih država članica EU-a i u međunarodnim kontekstima usklađenosti [5].
Oba dokumenta ispunjavaju zahtjeve članka 28. GDPR-a i moraju sadržavati iste obvezne elemente. Ako njemačka tvrtka potpiše DPA s američkim SaaS dobavljačem, taj DPA funkcionira kao AVV za potrebe usklađenosti s GDPR-om, pod uvjetom da ispunjava sve bitne zahtjeve.
Ključna razlika koju treba zapamtiti: Oznaka na dokumentu manje je važna od njegovog sadržaja. Dokument naslovljen "Dodatak za obradu podataka", "Ugovor o obradi" ili "AVV" pravno je ekvivalentan sve dok pokriva sve potrebne elemente.
Kome je potreban AVV za usklađenost s GDPR-om?
Svaka organizacija koja je voditelj obrade podataka i koristi uslugu treće strane koja obrađuje osobne podatke u njezino ime treba AVV. To se odnosi na poduzeća svih veličina u svim industrijama [1].
Voditelji obrade kojima su obično potrebni AVV-ovi:
| Scenarij | Voditelj obrade | Obrađivač |
|---|---|---|
| Tvrtka koristi cloud CRM | Poslovanje | CRM dobavljač |
| Web stranica koristi analitiku | Vlasnik web stranice | Pružatelj analitike |
| HR outsourcing plaća | Poslodavac | Biro za plaće |
| Online trgovina koristi alat za e-poštu | Trgovac | Platforma za e-poštu |
| Agencija upravlja oglasima klijenata | Agencija | Platforma za oglašavanje |
Tko nije obrađivač: Strana koja samostalno određuje svrhe i sredstva obrade je voditelj obrade sam po sebi, a ne obrađivač. Zajednički voditelji obrade zahtijevaju drugačiju vrstu sporazuma prema članku 26. GDPR-a.
Mala poduzeća često zanemaruju ovaj zahtjev, pretpostavljajući da se odnosi samo na velika poduzeća. Ta je pretpostavka netočna. Svaki vlasnik web stranice koji koristi pružatelja hostinga treće strane, uslugu biltena ili sustav rezervacija vjerojatno treba barem jedan AVV [5].
Što bi AVV trebao uključivati?
Usklađeni AVV mora sadržavati specifične obvezne elemente. Nedostatak čak i jednog može učiniti sporazum nedovoljnim pod nadzorom GDPR-a [2].
Obvezne komponente:
- Predmet i trajanje obrade
- Priroda i svrha obrade
- Vrsta osobnih podataka i kategorije ispitanika
- Obveze i prava voditelja obrade
- Tehničke i organizacijske mjere (TOMs) koje provodi obrađivač
- Pravila koja reguliraju angažiranje podobrađivača
- Postupci za zahtjeve ispitanika
- Obveze obavješćivanja o povredi podataka
- Povrat ili brisanje podataka po prestanku ugovora
- Prava na reviziju za voditelja obrade
Odjeljak TOMs posebno je važan. Iako sam AVV ne implementira sigurnosne mjere, mora dokumentirati koje mjere obrađivač ima na snazi, kao što su standardi enkripcije, kontrole pristupa i prakse pseudonimizacije [1].
Što se događa ako nemate AVV?
Rad bez valjanog AVV-a izlaže i voditelja obrade i obrađivača značajnim regulatornim kaznama. Prema članku 83. stavku 4. GDPR-a, kazne za kršenja članka 28. mogu doseći 10 milijuna eura ili 2% globalnog godišnjeg prometa, a prema članku 83. stavku 5. za ozbiljnije povrede, do 20 milijuna eura ili 4% globalnog godišnjeg prometa, ovisno o tome što je veće [3].
Ključno je da se te kazne mogu izreći bez obzira na to je li došlo do povrede podataka. Nadzorno tijelo koje provodi rutinsku reviziju ili odgovara na pritužbu može identificirati nepostojanje AVV-a i izreći kaznu samo na toj osnovi.
Dodatne posljedice uključuju:
- Oštećenje ugleda i gubitak povjerenja klijenata
- Ugovorna odgovornost između voditelja obrade i obrađivača
- Potencijalna obustava aktivnosti obrade do otklanjanja nedostataka
AVV vs. Ugovor o obradi podataka: Ključne razlike
AVV i DPA su suštinski isti dokument pod različitim nazivima. Međutim, postoje praktične razlike koje vrijedi napomenuti za međunarodne organizacije.
| Dimenzija | AVV | DPA |
|---|---|---|
| Jezik | Njemački | Engleski (ili lokalni) |
| Fokus jurisdikcije | DACH regija | EU/EGP općenito |
| Uobičajeni kontekst upotrebe | Ugovori na njemačkom jeziku | Međunarodni SaaS ugovori |
| Pravna osnova | GDPR članak 28 | GDPR članak 28 |
| Zahtjevi za sadržaj | Identični | Identični |
DACH regija (Njemačka, Austrija, Švicarska) ima posebno snažnu kulturu provedbe oko AVV-ova, što ih čini standardnom praksom u ugovorima s dobavljačima hostinga, SaaS ERP dobavljačima i drugim partnerima za usluge [1].
Koliko košta AVV?
Trošak AVV-a varira ovisno o tome kako je stvoren i pregledan.
- AVV temeljen na predlošku: Mnogi dobavljači pružaju vlastiti AVV kao dio svojih uvjeta usluge, obično bez dodatne naknade. Organizacije poput NexDeck-a nude detaljne AVV predloške uključujući popise podobrađivača [4].
- Pravni pregled: Angažiranje odvjetnika za zaštitu podataka za izradu ili pregled prilagođenog AVV-a obično košta između 300 i 2.000 eura, ovisno o složenosti i jurisdikciji.
- Izrada uz pomoć DPO-a: Organizacije s internim ili vanjskim službenikom za zaštitu podataka (DPO) često mogu koristiti taj resurs za izradu AVV-ova bez dodatnih marginalnih troškova izvan naknade za DPO.
Za mala poduzeća, najpraktičniji pristup je započeti s uglednim predloškom i dati ga pregledati kvalificiranom stručnjaku prije potpisivanja.
Kako stvoriti predložak AVV-a?
Stvaranje AVV-a započinje identificiranjem svih odnosa obrade u kojima treća strana rukuje osobnim podacima u vaše ime. Odatle, postupak slijedi ove korake:
- Popišite svoje obrađivače: Navedite svakog dobavljača, alat ili uslugu koja pristupa osobnim podacima koje kontrolirate.
- Pribavite ili izradite AVV: Mnogi obrađivači (posebno SaaS dobavljači) pružaju vlastiti standardni AVV. Pregledajte ga u odnosu na gore navedene obvezne elemente.
- Prilagodite odjeljak TOMs: Osigurajte da tehničke i organizacijske mjere odražavaju stvarne sigurnosne prakse obrađivača.
- Navedite podobrađivače: Uključite dodatak koji identificira sve podobrađivače koje obrađivač koristi, zajedno s njihovim ulogama i lokacijama.
- Definirajte mehanizme prijenosa podataka: Ako se podaci prenose izvan EU/EGP-a, navedite pravni mehanizam prijenosa (npr. Standardne ugovorne klauzule).
- Potpišite i zadržite: Obje strane moraju potpisati AVV. Zadržite kopiju sa svojim evidencijama obrade podataka.
Predlošci iz organizacija usmjerenih na usklađenost pružaju solidnu strukturnu osnovu, ali svaki AVV treba biti prilagođen specifičnoj aktivnosti obrade koju regulira [2].
AVV zahtjevi za mala poduzeća
Mala poduzeća nisu izuzeta od zahtjeva za AVV-om. Svaka organizacija koja podliježe GDPR-u i koristi obrađivača treće strane mora imati AVV, bez obzira na veličinu tvrtke ili broj zaposlenika [1].
Za mala poduzeća, praktično opterećenje je manje nego što se čini:
- Većina velikih SaaS dobavljača (platforme za e-poštu, sustavi rezervacija, alati za analitiku) već pruža standardni AVV ili DPA kao dio svojih uvjeta usluge. Prihvaćanje ovih uvjeta obično predstavlja valjan sporazum.
- Ključni zadatak je osigurati da ste te uvjete stvarno pregledali i prihvatili, umjesto da pretpostavljate da postoje.
- Vodite jednostavan registar svojih obrađivača i odgovarajućih AVV-ova.
Uobičajena pogreška: Vlasnici malih poduzeća često pretpostavljaju da je, budući da je dobavljač velik i ugledan, pravna dokumentacija automatski riješena. Prihvaćanje AVV-a mora biti aktivan, dokumentiran korak.
AVV zahtjevi za revizijski trag
AVV mora uključivati odredbe koje voditelju obrade daju pravo na reviziju usklađenosti obrađivača. Ovo pravo na reviziju je obvezan element prema članku 28. stavku 3. točki (h) GDPR-a [2].
U praksi, zahtjevi za revizijskim tragom znače:
- Obrađivač mora voditi evidenciju aktivnosti obrade prema članku 30. stavku 2. GDPR-a.
- Voditelj obrade ima pravo provoditi revizije ili naručiti revizore treće strane za provjeru usklađenosti.
- Mnogi obrađivači ispunjavaju ovaj zahtjev putem certifikata trećih strana kao što su ISO 27001 ili SOC 2, koji u mnogim slučajevima mogu zamijeniti revizije na licu mjesta.
AVV je izravno relevantan za ISO 27001 Prilog A kontrole A.5.19 do A.5.22, koje reguliraju odnose s dobavljačima i informacijsku sigurnost u lancima opskrbe [2]. Organizacije s formalnim Sustavom upravljanja informacijskom sigurnošću (ISMS) trebale bi osigurati da su njihovi AVV-ovi integrirani u njihove procese upravljanja dobavljačima.
AVV za međunarodne prijenose podataka
Kada se obrađivač nalazi izvan EU/EGP-a, AVV mora obuhvatiti pravni mehanizam za prijenos osobnih podataka u tu treću zemlju. Standardne ugovorne klauzule (SCCs) su najčešće korišteni mehanizam i obično se uključuju kao dodatak AVV-u [2].
Ključna razmatranja za međunarodne AVV-ove:
- Identificirajte ima li zemlja obrađivača odluku EU-a o primjerenosti.
- Ako nema, uključite odgovarajuće SCC-ove (voditelj obrade-obrađivač ili voditelj obrade-voditelj obrade, ovisno o odnosu).
- Provedite procjenu utjecaja prijenosa (TIA) gdje je to potrebno.
- Osigurajte da je AVV dostupan na jezicima obiju ugovornih strana [5].
Koliko često trebate ažurirati svoj AVV?
AVV treba pregledati i ažurirati kad god dođe do značajnih promjena u odnosu obrade. Ne postoji fiksni zakonski interval pregleda, ali najbolja praksa ukazuje na barem godišnji pregled [2].
Okidači za hitno ažuriranje AVV-a:
- Obrađivač angažira novog podobrađivača ili uklanja postojećeg
- Aktivnosti obrade mijenjaju se u prirodi, svrsi ili opsegu
- Podaci se prenose u novu treću zemlju
- TOMs obrađivača značajno su ažurirani
- Mijenjaju se primjenjivi zakoni ili regulatorne smjernice
Proaktivni pregled AVV-ova je temeljna disciplina usklađenosti. Zastarjeli sporazumi koji više ne odražavaju stvarne aktivnosti obrade stvaraju istu regulatornu izloženost kao i nepostojanje AVV-a.
Uobičajene pogreške pri postavljanju AVV-a
Čak i organizacije koje razumiju zahtjev za AVV-om često čine pogreške u implementaciji.
Pogreška 1: Tretiranje standardnog teksta dobavljača kao automatski dovoljnog. Predložak AVV-a koji pruža dobavljač možda ne pokriva vaše specifične aktivnosti obrade. Uvijek ga pregledajte u odnosu na obvezne elemente.
Pogreška 2: Izostavljanje ili nejasno opisivanje TOMs-a. Nadzorna tijela pomno ispituju odjeljak TOMs. Nejasni jezik poput "odgovarajuće sigurnosne mjere" bez specifikacija je nedovoljan.
Pogreška 3: Zaboravljanje podobrađivača. AVV mora navesti podobrađivače. Propust da se ovaj popis ažurira kada obrađivač promijeni svoje podobrađivače je uobičajeni nedostatak usklađenosti [2].
Pogreška 4: Ne zadržavanje potpisanih kopija. AVV koji se ne može predočiti tijekom revizije ne pruža pravnu zaštitu. Vodite organiziranu evidenciju.
Pogreška 5: Brkanje AVV-a s politikom privatnosti. To su potpuno različiti dokumenti koji služe različitim svrhama. Politika privatnosti informira ispitanike; AVV regulira odnos voditelja obrade i obrađivača [1].
Zaključak
Vrhunski vodič za AVV-ove: Zašto je svakom obrađivaču podataka potreban u konačnici se svodi na jednostavnu stvarnost usklađenosti: ako se osobni podaci razmjenjuju između voditelja obrade i obrađivača, valjan AVV mora postojati prije početka te obrade. Nema izuzeća po veličini, nema izuzeća po industriji i nema grace perioda za organizacije koje već posluju pod GDPR-om.
Sljedeći koraci za 2026. godinu:
- Revidirajte svakog dobavljača treće strane koji pristupa osobnim podacima koje kontrolirate i potvrdite da je AVV na snazi za svakog.
- Pregledajte postojeće AVV-ove u odnosu na kontrolni popis obveznih elemenata, obraćajući posebnu pozornost na TOMs i popise podobrađivača.
- Postavite podsjetnik u kalendaru za godišnje preglede AVV-ova i ažuriranja temeljena na okidačima kada se aktivnosti obrade promijene.
- Za organizacije koje upravljaju pristankom i usklađenošću s kolačićima uz svoje AVV-ove, razmislite o uparivanju svoje dokumentacije o obradi podataka s usklađenom platformom za upravljanje pristankom kao što je Biscotti CMP kako biste održali potpunu i obranjivu poziciju usklađenosti.
- Posavjetujte se s kvalificiranim stručnjakom za zaštitu podataka za bilo koji AVV koji uključuje složene aktivnosti obrade ili međunarodne prijenose podataka.
Trošak ispravnog postavljanja AVV-ova je minimalan. Trošak pogrešnog postavljanja nije.
Često postavljana pitanja
Što je AVV u jednostavnim terminima? AVV je pisani ugovor između tvrtke koja posjeduje osobne podatke (voditelj obrade) i tvrtke koja te podatke obrađuje u njezino ime (obrađivač). On specificira koji se podaci obrađuju, zašto, kako su zaštićeni i što su obje strane dužne učiniti.
Je li AVV potreban za svaki odnos s dobavljačem? Samo za dobavljače koji obrađuju osobne podatke u vaše ime. Dobavljač koji samo pruža alat koji koristite za obradu podataka sami (bez pristupa podacima) općenito nije obrađivač i ne zahtijeva AVV.
Može li usmeni dogovor zamijeniti AVV? Ne. Članak 28. GDPR-a izričito zahtijeva da sporazum o obradi bude u pisanom obliku, uključujući elektronički oblik.
Štiti li AVV od GDPR kazni? Posjedovanje valjanog AVV-a značajno smanjuje regulatorni rizik, ali ne pruža apsolutni imunitet. Kazne se i dalje mogu izreći za druga kršenja. AVV dokazuje usklađenost s člankom 28. posebno.
Koja je razlika između podobrađivača i obrađivača? Obrađivač rukuje podacima izravno za voditelja obrade. Podobrađivača angažira obrađivač kako bi pomogao u toj obradi. Voditelj obrade mora biti obaviješten o podobrađivačima, a obrađivač mora obvezati podobrađivače na ekvivalentne obveze.
Koliko dugo se mora čuvati AVV? GDPR ne propisuje izričit rok čuvanja za AVV-ove, ali ih treba čuvati tijekom trajanja odnosa obrade i razumno razdoblje nakon toga, obično usklađeno sa zastarnim rokom za regulatorne radnje u relevantnoj jurisdikciji.
Smatra li se DPA potpisan s američkom tvrtkom AVV-om? Da, pod uvjetom da sadrži sve elemente propisane člankom 28. GDPR-a i uključuje odgovarajuće mehanizme prijenosa kao što su Standardne ugovorne klauzule.
Može li obrađivač koristiti osobne podatke za vlastite svrhe? Ne. Obrađivač smije obrađivati osobne podatke samo prema dokumentiranim uputama voditelja obrade. Obrada za vlastite svrhe obrađivača prekvalificirala bi tu stranu kao voditelja obrade, s odvojenim pravnim obvezama.
Što je TOM u kontekstu AVV-a? TOM je kratica za Tehničke i organizacijske mjere. To su sigurnosne prakse koje obrađivač provodi radi zaštite osobnih podataka, kao što su enkripcija, kontrole pristupa i pseudonimizacija. AVV mora dokumentirati te mjere.
Trebaju li AVV-ovi biti ovjereni kod javnog bilježnika? Ne. GDPR ne zahtijeva ovjeru kod javnog bilježnika. Potpisani pisani sporazum (uključujući elektroničke potpise) je dovoljan.
Reference
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai