Gyors válasz: Az AVV (Auftragsverarbeitungsvertrag) és a DPA (Data Processing Agreement) ugyanarra a GDPR 28. cikkelye szerinti, jogilag kötelező szerződésre utal; az AVV német kifejezést a DACH-régió joghatóságaiban használják, míg a DPA az angol nyelvű megfelelője, amelyet a legtöbb más EU tagállamban és nemzetközileg is alkalmaznak. Mindkettő szabályozza, hogy az adatfeldolgozó hogyan kezeli a személyes adatokat az adatkezelő nevében. A rossz megfogalmazás, vagy a megállapodás teljes kihagyása jelentős szabályozási szankcióknak teheti ki szervezetét.
Főbb tudnivalók
- Az AVV az Auftragsverarbeitungsvertrag német rövidítése; a DPA a Data Processing Agreement rövidítése, funkcionálisan ugyanazt az eszközt jelentik a GDPR értelmében.
- Mindkét megállapodás kötelező a GDPR 28. cikkelye szerint, amikor az adatkezelő adatfeldolgozót vesz igénybe személyes adatok kezelésére.
- A terminológiai különbség regionális: az AVV Németországban, Ausztriában és Svájcban a standard kifejezés; a DPA-t angol nyelvű és a legtöbb más EU-s kontextusban használják.
- Egy érvényes megállapodásnak ki kell terjednie a tárgyra, a feldolgozás időtartamára, az adatkategóriákra, az érintettek jogaira, az alfeldolgozókra vonatkozó feltételekre, a biztonsági intézkedésekre és az ellenőrzési rendelkezésekre. [1]
- A megfelelő megállapodás hiánya felügyeleti hatósági vizsgálatokhoz, bírságokhoz és szerződéses vitákhoz vezethet.
- A bevezetés költsége nulla (szállító standard sablonjának használata esetén) és több ezer euró között mozog egyedi jogi tervezés esetén.
- Egyes, DACH és nem DACH piacokon működő vállalkozások jogszerűen használják mindkét kifejezést ugyanabban a megállapodásban a tisztánlátás érdekében.
- Egy hozzájárulás-kezelő platform, mint például a Biscotti CMP, támogathatja szélesebb körű GDPR megfelelési pozícióját, de nem helyettesíti a megfelelően végrehajtott AVV-t vagy DPA-t.
Mit jelent az AVV az adatvédelemben, és ugyanaz-e, mint a DPA?
Az AVV az Auftragsverarbeitungsvertrag rövidítése, amely az adatfeldolgozási megállapodás német nyelvű kifejezése. Gyakorlati jogi értelemben az AVV és a DPA ugyanaz a dokumentum, mindkettő megfelel a GDPR 28. cikkelyében meghatározott követelménynek, miszerint írásbeli szerződésnek kell lennie az adatkezelő és az adatfeldolgozó között. [1]
A különbség pusztán nyelvi és joghatósági. A német, osztrák és svájci adatvédelmi szakemberek az AVV-t használják standard kifejezésként a szerződésekben, adatvédelmi szabályzatokban és a szabályozási levelezésben. Az angolul beszélő szakemberek és a legtöbb más EU tagállam a DPA-t használja. Amikor egy német SaaS szolgáltató "AVV-t" kínál Önnek, ugyanazt a jogi eszközt kínálja, amit egy Egyesült Királyságban működő szolgáltató "DPA-nak" nevezne.
Főbb tisztázás: Egyik kifejezés sem jelent eltérő jogi standardot. Mindkettőnek meg kell felelnie a GDPR 28. cikk (3) bekezdésében foglalt tartalomra vonatkozó követelményeknek ahhoz, hogy érvényes legyen. [1]
Mi a különbség az AVV és a DPA között?
Az AVV és a DPA közötti különbség terminológiai, nem pedig tartalmi. Mindkettő a GDPR 28. cikkelye által előírt szerződést írja le az adatkezelő (az a szervezet, amely meghatározza a feldolgozás célját és eszközeit) és az adatfeldolgozó (az a szervezet, amely az adatokat az adatkezelő nevében feldolgozza) között.
Valódi különbségek a szerkesztési stílusban és a helyi szabályozási útmutatásban merülhetnek fel:
- A német felügyeleti hatóságok (Datenschutzbehörden) közzétettek specifikus sablon záradékokat és útmutatókat, amelyeket az AVV dokumentumok gyakran tartalmaznak.
- Az Egyesült Királyság vagy Írország joghatóságai számára készült angol nyelvű DPA-k a GDPR mellett hivatkozhatnak nemzeti végrehajtási jogszabályokra is.
- A svájci AVV-knek figyelembe kell venniük a felülvizsgált szövetségi adatvédelmi törvényt (revFADP) is, amely bizonyos szempontból eltér a GDPR-tól.
Lényeg: Ha egy szolgáltató AVV-t küld Önnek, és Önnek DPA-ra van szüksége, akkor megkapta, amire szüksége van, feltéve, hogy a tartalom megfelel a 28. cikk (3) bekezdésében foglalt követelményeknek. [1]
Mikor van szüksége AVV-re vagy DPA-ra?
Ezen megállapodások egyikére bármikor szüksége van, amikor szervezete személyes adatokat oszt meg egy harmadik fél szolgáltatóval, amely az Ön utasításai szerint dolgozza fel ezeket az adatokat. A kiváltó ok az adatkezelő-adatfeldolgozó kapcsolat, nem pedig a szerződés nyelve.
AVV-t használjon, ha:
- Partnere Németországban, Ausztriában vagy Svájcban található, és standard szerződése ezt a terminológiát használja.
- Saját szervezete a német adatvédelmi törvények hatálya alá tartozik, és belső sablonjai követik a BfDI vagy az állami DPA útmutatását.
DPA-t használjon, ha:
- Partnere angol nyelvű joghatóságban működik, vagy az angolt használja szerződéses nyelvként.
- Egy amerikai felhőszolgáltatóval, egy egyesült királyságbeli SaaS szolgáltatóval vagy bármely nemzetközi adatfeldolgozóval szerződik, amelynek sablonjai alapértelmezetten "DPA"-t használnak.
Gyakori hiba: Feltételezni, hogy mivel egy szolgáltató a dokumentumát AVV-nek nevezi DPA helyett, eltérő jogi szabályok vonatkoznak rá. A tartalmi követelmények azonosak a GDPR értelmében. A lényeg a tartalom, nem a borítón lévő címke.
Kinek van szüksége AVV-re és kinek DPA-ra?
Bármely szervezetnek, amely a GDPR értelmében adatkezelőnek minősül, és harmadik felet vesz igénybe személyes adatok feldolgozására a nevében, szüksége van ezen megállapodások egyikére. Ez vonatkozik a következőkre:
- E-kereskedelmi vállalkozások, amelyek harmadik féltől származó fizetésfeldolgozókat vagy e-mail marketing platformokat használnak.
- Vállalatok, amelyek felhőinfrastruktúra-szolgáltatókat (IaaS, PaaS, SaaS) használnak.
- Online marketing ügynökségek, amelyek ügyféladatokat dolgoznak fel.
- Fejlesztők, akik olyan alkalmazásokat építenek, amelyek külső API-kon keresztül kezelik a végfelhasználói személyes adatokat.
- Weboldal tulajdonosok, akik analitikai eszközöket, CDN-eket vagy CRM rendszereket használnak a látogatói adatok feldolgozására.
A DACH piacokon működő szervezetek jellemzően az AVV címkével találkoznak; a nemzetközileg működő szervezetek gyakrabban foglalkoznak DPA-kkal. Mindkét kategóriájú szervezet ugyanazzal a jogi kötelezettséggel szembesül.
Mit kell tartalmaznia egy AVV-nek vagy egy DPA-nak?
Mind az AVV-nek, mind a DPA-nak tartalmaznia kell a GDPR 28. cikk (3) bekezdésében előírt kötelező elemeket. Ezen záradékok bármelyikének hiánya a megállapodást nem megfelelővé teszi. [1]
| Kötelező záradék | Leírás |
|---|---|
| Tárgy és időtartam | Milyen adatokat dolgoznak fel és mennyi ideig |
| Jelleg és cél | Miért és hogyan történik a feldolgozás |
| Adattípusok és érintettek | A személyes adatok kategóriái és az érintett személyek |
| Az adatkezelő jogai és kötelezettségei | Az adatfeldolgozó által követendő utasítások |
| Biztonsági intézkedések | Technikai és szervezési intézkedések (TOM-ok) |
| Alfeldolgozókra vonatkozó feltételek | Az alfeldolgozók bevonására vonatkozó szabályok |
| Az érintettek jogainak segítése | Támogatás a hozzáférési, törlési, adathordozhatósági kérelmekhez |
| Adatvédelmi incidens bejelentése | Az adatfeldolgozó kötelezettsége az incidensek bejelentésére az adatkezelőnek |
| Adatok visszaadása vagy törlése | Mi történik az adatokkal a szerződés lejártakor |
| Ellenőrzési jogok | Az adatkezelő joga a megfelelőség ellenőrzésére |
Különleges eset: Ha egy szolgáltató sablonja kihagyja az ellenőrzési jogokat vagy az alfeldolgozókra vonatkozó feltételeket, ne írja alá úgy, ahogy van. Ezek a 28. cikk (3) bekezdése szerint nem tárgyalhatók. [1]
Mennyibe kerül egy AVV vagy DPA létrehozása?
A költség teljes mértékben attól függ, hogy a szolgáltató standard sablonját használja, vagy egyedi jogi tervezést rendel.
- Szolgáltató által biztosított sablon (leggyakoribb): Ingyenes. A legtöbb nagy SaaS és felhőszolgáltató közzétesz egy standard AVV-t vagy DPA-t, amelyet az adatkezelők online vagy kattintással elfogadhatnak.
- Tárgyalt egyedi megállapodás: A jogi díjak jellemzően 500 és 5000 euró között mozognak, a bonyolultságtól, a joghatóságtól és a tanácsadói díjaktól függően. A jelentős adatmennyiséggel vagy érzékeny adatkategóriákkal járó vállalati szerződések a magasabb kategóriába tartoznak.
- Belső sablonfejlesztés: Egyszeri befektetés jogi tanácsadói időbe egy újrahasználható sablon létrehozására; a folyamatos költség minimális.
Gyakorlati megjegyzés: A legtöbb KKV és weboldal tulajdonos számára a szolgáltató standard sablonja elegendő. Egyedi tárgyalásra akkor van szükség, ha a feldolgozás különleges kategóriájú adatokat (egészségügyi, biometrikus, pénzügyi) érint, vagy ha az adatkezelő jelentős felelősségi kockázattal jár.
Hogyan különböznek az AVV és DPA követelmények országonként?
A GDPR értelmében az alapvető követelmények harmonizáltak az összes EU tagállamban, így az AVV és a DPA alapvető tartalma azonos, legyen szó Berlinről, Párizsról vagy Varsóról. Azonban nemzeti szintű árnyalatok léteznek:
- Németország: A BfDI és az állami szintű DPA-k részletes útmutatókat és modell záradékokat adtak ki. A német AVV-k gyakran tartalmaznak részletesebb technikai és szervezési intézkedéseket (TOM-ok) dokumentációt.
- Svájc: A revFADP (2023 szeptemberétől hatályos) további követelményeket ír elő a GDPR-on túl, beleértve a határokon átnyúló adatátadásokra és az adatvédelmi incidensek bejelentési határidőire vonatkozó specifikus rendelkezéseket.
- Egyesült Királyság (Brexit után): Az Egyesült Királyság GDPR-ja érvényes; a DPA-knak az Egyesült Királyság ICO útmutatására kell hivatkozniuk, nem pedig az EU felügyeleti hatóságaira. A standard szerződéses záradékok eltérnek az EU SCC-ktől.
- Egyéb EU tagállamok: A GDPR 28. cikkelye közvetlenül alkalmazandó; a helyi DPA útmutatás kiegészítheti, de nem csökkentheti a minimális követelményeket.
Gondosan válassza ki az irányadó jogi záradékot. Egy német jogi AVV és egy ír jogi DPA hasonlóan nézhet ki, de különböző bíróságok és felügyeleti hatóságok értelmezik majd.
Használhat-e AVV-t DPA helyett, vagy használhatja mindkettőt egyszerre?
Igen, az AVV helyettesítheti a DPA-t, mivel jogilag egyenértékű eszközök. Egy DACH és nem DACH piacokon működő vállalat mindkét kifejezést szerepeltetheti ugyanabban a szerződés fejlécében (pl. "Data Processing Agreement / Auftragsverarbeitungsvertrag") a félreértések elkerülése érdekében, ez gyakori gyakorlat a kétnyelvű vállalati szerződésekben, és teljesen megengedett.
Mindkét címke egyidejű használata nem hoz létre két külön jogi kötelezettséget. Egyszerűen biztosítja, hogy a németül és angolul beszélő felek megértsék, hogy ugyanazt a dokumentumot nézik.
Melyek a gyakori hibák az AVV és a DPA közötti választás során?
A legjelentősebb hibák nem arról szólnak, hogy melyik kifejezést használja, hanem arról, hogy mit tartalmaz a megállapodás, és egyáltalán létezik-e.
- A megállapodás teljes kihagyása, mert egy szolgáltatói kapcsolat informálisnak vagy alacsony kockázatúnak tűnik. A GDPR értelmében a kötelezettség a feldolgozás tényével keletkezik, nem az észlelt kockázati szinttel.
- Hiányos sablon elfogadása, amely kihagyja az alfeldolgozói záradékokat vagy az ellenőrzési jogokat, abban a hitben, hogy a szolgáltató verziója automatikusan megfelel.
- A DPA összetévesztése egy adatmegosztási megállapodással. A DPA az adatfeldolgozói kapcsolatokat szabályozza; az adatmegosztási megállapodás a közös adatkezelői vagy adatkezelő-adatkezelői adatcseréket szabályozza. Ezek különböző eszközök.
- A megállapodások frissítésének elmulasztása, amikor egy adatfeldolgozó új alfeldolgozókat vesz igénybe, vagy megváltoztatja a feldolgozás jellegét.
- Feltételezés, hogy a GDPR megfelelőség kiterjed a svájci jogra. A svájci érintettekkel rendelkező szervezeteknek biztosítaniuk kell, hogy AVV-jük megfeleljen a revFADP követelményeinek is.
Milyen jogi következményei vannak annak, ha rosszul választunk AVV vagy DPA között?
A hiányos vagy érvénytelen megállapodás hiánya mind az adatkezelőket, mind az adatfeldolgozókat szabályozási és polgári jogi felelősségnek teszi ki.
A GDPR 83. cikk (4) bekezdése szerint a 28. cikk (a DPA/AVV követelmény) megsértése akár 10 millió euróig terjedő közigazgatási bírságot vagy a globális éves forgalom 2%-át vonhatja maga után, attól függően, hogy melyik a magasabb. A német felügyeleti hatóságok hajlandóságot mutattak arra, hogy vizsgálatokat indítsanak és bírságoljanak olyan szervezeteket, amelyek hiányos vagy hibás adatfeldolgozási megállapodásokkal rendelkeznek.
A bírságokon túl a következmények a következők:
- Felügyeleti hatósági ellenőrzések és korrekciós utasítások.
- A szerződéses feltételek érvényesíthetetlensége egy nem megfelelő adatfeldolgozóval szemben.
- Polgári jogi felelősség kockázata adatvédelmi incidens esetén, ha nincs érvényes megállapodás a biztonsági kötelezettségekről.
- Hírnévromlás B2B környezetben, ahol a vállalati ügyfelek szállítói átvilágítást végeznek.
Honnan tudhatja, hogy melyik megállapodásra van szüksége vállalkozásának?
A döntés egyszerű, amint azonosítja a kapcsolatot és a joghatóságot.
1. lépés: Határozza meg, hogy szervezete adatkezelő (Ön dönti el, miért és hogyan dolgozzák fel az adatokat) vagy adatfeldolgozó (Ön más utasításai szerint dolgozza fel az adatokat).
2. lépés: Azonosítsa partnere nyelvét és joghatóságát. Ha a DACH régióban vannak, számítson AVV-re. Ha máshol, számítson DPA-ra.
3. lépés: Ellenőrizze, hogy a kapott dokumentum tartalmazza-e a GDPR 28. cikk (3) bekezdésében előírt mind a tíz kötelező elemet. [1]
4. lépés: Ha szervezete a felhasználói hozzájárulást is kezelnie kell a sütik és nyomkövető technológiák tekintetében, egy olyan hozzájárulás-kezelő platform, mint a Biscotti CMP, kezeli a GDPR megfelelőség ezen rétegét, de ez egy megfelelően végrehajtott AVV vagy DPA mellett, nem pedig helyette működik.
Döntési szabály: Ha személyes adatokat dolgoz fel egy másik szervezet nevében, szüksége van DPA-ra vagy AVV-re, függetlenül attól, hogy a kapcsolatot kereskedelmileg minek nevezik. Ha egy másik szervezet dolgozza fel az adatokat az Ön nevében, Ön felelős azért, hogy a megállapodás a feldolgozás megkezdése előtt létrejöjjön.
GYIK
K: Érvényes-e jogilag az AVV Németországon kívül? Az AVV jogilag érvényes bárhol, ahol a GDPR alkalmazandó, feltéve, hogy megfelel a 28. cikk (3) bekezdésében foglalt tartalmi követelményeknek. A német terminológia nem korlátozza annak érvényesíthetőségét más EU joghatóságokban.
K: A DPA-t mindkét félnek alá kell írnia? Igen. A GDPR 28. cikk (9) bekezdése előírja, hogy a megállapodásnak írásban kell lennie, ami magában foglalja az elektronikus formát is. Mind az adatkezelőnek, mind az adatfeldolgozónak köteleznie kell magát a feltételekre.
K: Egy szolgáltató online, kattintással elfogadható DPA-ja megfelelhet a GDPR követelményeknek? Igen, ha a tartalom megfelel a 28. cikk (3) bekezdésében foglalt követelményeknek. Sok nagy felhőszolgáltató kínál megfelelő, kattintással elfogadható DPA-kat, amelyeket a felügyeleti hatóságok felülvizsgáltak.
K: Mi az alfeldolgozó, és miért fontos ez egy DPA-ban vagy AVV-ben? Az alfeldolgozó egy harmadik fél, amelyet az adatfeldolgozó vesz igénybe feldolgozási tevékenységek végzésére. A DPA-nak vagy AVV-nek meg kell határoznia azokat a feltételeket, amelyek mellett alfeldolgozók bevonhatók, beleértve az adatkezelő kifogásolási jogát. [1]
K: Szükségem van új AVV-re vagy DPA-ra minden alkalommal, amikor egy adatfeldolgozó frissíti az alfeldolgozói listáját? Nem feltétlenül. Sok megállapodás tartalmaz általános felhatalmazást az alfeldolgozói változtatásokra, feltéve, hogy az adatfeldolgozó értesíti az adatkezelőt, és az adatkezelő fenntartja a kifogásolás jogát egy meghatározott időn belül.
K: A DPA fedezi-e az EU-n kívüli adatátadásokat? A DPA szabályozza a feldolgozási kapcsolatot, de önmagában nem engedélyezi a határokon átnyúló adatátadásokat. Külön átadási mechanizmusokra (Standard Szerződéses Záradékok, megfelelőségi határozatok) van szükség a harmadik országokba történő átadásokhoz.
K: Mennyi ideig kell megőrizni egy DPA-t vagy AVV-t? Őrizze meg a megállapodást a feldolgozási kapcsolat időtartama alatt és utána ésszerű ideig, jellemzően legalább három-öt évig, hogy a felügyeleti hatósági vizsgálat esetén bizonyítani tudja a megfelelést.
K: Mi a különbség a DPA és a DPIA között? A DPA (Data Processing Agreement) egy szerződés az adatkezelő és az adatfeldolgozó között. A DPIA (Data Protection Impact Assessment) egy belső kockázatértékelés, amely magas kockázatú feldolgozási tevékenységekhez szükséges. Különböző célokat szolgálnak, és egyik sem helyettesíti a másikat.
K: Egy szabadúszó vagy kis ügynökség is köteles aláírni egy AVV-t vagy DPA-t? Igen. A kötelezettség az adatfeldolgozó méretétől függetlenül érvényes. Egy szabadúszó fejlesztő, aki ügyféladatokat kezel, adatfeldolgozó, és minden ügyfél-adatkezelővel alá kell írnia egy DPA-t vagy AVV-t.
K: A Biscotti CMP helyettesíti-e a DPA vagy AVV szükségességét? Nem. A Biscotti CMP egy hozzájárulás-kezelő platform, amely segít kezelni a felhasználói hozzájárulást a sütikhez és a nyomkövetéshez, ami egy külön GDPR megfelelési követelmény. DPA vagy AVV továbbra is szükséges minden olyan adatfeldolgozói kapcsolathoz, amely személyes adatokat érint.
Konklúzió
Az AVV vs. DPA kérdés gyorsan megoldódik, amint felismeri, hogy mindkét kifejezés ugyanazt a GDPR 28. cikkelye szerinti, jogilag kötelező eszközt írja le. A valódi kihívás nem az, hogy melyiket válassza, hanem az, hogy bármely dokumentum, amely az adatfeldolgozói kapcsolatait szabályozza, tartalmazza-e az összes kötelező záradékot, megfelelően végrehajtott-e, és naprakész-e, ahogy a feldolgozási tevékenységek fejlődnek.
Cselekvési lépések:
- Ellenőrizze az összes jelenlegi szolgáltatói kapcsolatot, hogy megbizonyosodjon arról, hogy minden személyes adatot kezelő adatfeldolgozóval érvényes DPA vagy AVV van érvényben.
- Tekintse át a meglévő megállapodásokat a GDPR 28. cikk (3) bekezdésében foglalt tíz kötelező elem alapján, és kérjen módosításokat az esetleges hiányosságok pótlására. [1]
- Ha Svájcban működik, ellenőrizze, hogy a megállapodások a GDPR alapkövetelményein túl a revFADP követelményeinek is megfelelnek-e.
- Hozzon létre egy belső folyamatot az új adatfeldolgozók bevezetésére; a feldolgozás nem kezdődhet meg a megállapodás aláírása előtt.
- A weboldalán vagy alkalmazásában a hozzájárulás-kezelés és a sütikkel kapcsolatos megfelelőség érdekében értékelje a Biscotti CMP megoldást a szélesebb körű GDPR megfelelési keretrendszer részeként.
Az adatvédelmi megfelelőség nem egyszeri projekt. A megállapodásokat felül kell vizsgálni, amikor a feldolgozás megváltozik, amikor alfeldolgozók kerülnek bevonásra, és amikor a szabályozási útmutatás fejlődik. Ennek a felülvizsgálati ütemtervnek a beépítése a megfelelési programjába a legpraktikusabb védelem a szabályozási kockázatokkal szemben.
Hivatkozások
[1] Adatfeldolgozási megállapodás - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai