Rövid válasz: Az AVV (Auftragsverarbeitungsvertrag) egy jogilag kötelező érvényű szerződés a GDPR 28. cikkének értelmében, amely egy adatkezelő és egy adatfeldolgozó között jön létre. Bármely szervezet, amely személyes adatokat dolgoz fel egy másik fél nevében, köteles ilyen szerződést kötni. Az AVV nélküli működés mindkét felet akár 20 millió eurós, vagy a globális éves forgalom 4%-ának megfelelő bírságnak teszi ki, attól függően, hogy melyik a magasabb.
Főbb megállapítások
- Az AVV a német kifejezés az Adatfeldolgozási Megállapodásra (DPA), amely a GDPR 28. cikkének értelmében kötelező, amikor egy feldolgozó személyes adatokat kezel egy kezelő nevében.
- A megállapodásnak meg kell határoznia a tárgyat, a célt, a tartamot, az adat típusait, a technikai és szervezési intézkedéseket (TOM), valamint a további feldolgozókra vonatkozó szabályokat.
- Érvényes AVV hiányában a szabályozó hatóságok bírságot szabhatnak ki, függetlenül attól, hogy történt-e adatvédelmi incidens.
- A kisvállalkozások sem mentesülnek: a felhőalapú szolgáltatások, a bérszámfejtő szoftverek és az e-mail marketing eszközök általában kiváltják az AVV követelményt.
- Az AVV két fél közötti szerződés, nem adatvédelmi tájékoztató, és önmagában nem valósít meg biztonsági intézkedéseket, mint például a titkosítást.
- Az AVV-ket felül kell vizsgálni, amikor a további feldolgozók változnak, adatátvételek harmadik országokba történnek, vagy a feldolgozási tevékenységek módosulnak.
- A DACH régióban (Németország, Ausztria, Svájc) az AVV-k a SaaS szolgáltatók, a tárhelyszolgáltatók és az ERP rendszerek esetében általános gyakorlatnak számítanak.
- A megfelelőségi szervezetek és szolgáltatók által biztosított sablonok elérhetők, de a tényleges feldolgozási tevékenységeket tükröző testreszabás elengedhetetlen.
Mit jelent az AVV az adatfeldolgozásban?
Az AVV az Auftragsverarbeitungsvertrag rövidítése, egy német összetett szó, amely angolul "adatfeldolgozási megállapodás"-t jelent. Ez a szerződéses eszköz, amelyet az EU Általános Adatvédelmi Rendelete (GDPR) 28. cikkének értelmében kell alkalmazni az adatkezelő és az adatfeldolgozó közötti kapcsolat szabályozására.
A kifejezés a német nyelvű joghatóságokra (Németország, Ausztria és Svájc) vonatkozik, de az alapvető jogi fogalom az EU és az EGT területén egyaránt érvényes. Angol nyelvű kontextusban ugyanazt a dokumentumot Adatfeldolgozási Megállapodásnak (DPA) nevezik. A nemzetközi szinten működő szervezeteknek biztosítaniuk kell, hogy az AVV-k elérhetők legyenek a releváns nyelveken a megértés és a megfelelés elősegítése érdekében [5].
Az AVV nem adatvédelmi politika vagy süti hozzájárulási banner. Ez egy kötelező érvényű kétoldalú szerződés, amely meghatározza, hogy a feldolgozó hogyan kezelheti a személyes adatokat, milyen feltételek mellett és milyen védelmi intézkedésekkel.
Miért van szükségük az adatfeldolgozóknak AVV-ra?
Az AVV kötelező, amikor egy adatkezelő feldolgozót bíz meg, hogy személyes adatokat kezeljen a nevében. Ez nem opcionális iránymutatás; ez egy szigorú jogi követelmény a GDPR 28. cikkének értelmében [1].
A leggyakoribb helyzetek, amelyek kiváltják az AVV követelményt:
- Felhőalapú tárhely és infrastruktúra (pl. ügyféladatbázisokat tároló szerverek)
- Bérszámfejtés, amelyet harmadik fél HR szolgáltató végez
- E-mail marketing platformok, amelyek előfizetői listákat tárolnak
- SaaS ERP szolgáltatók, akik üzleti és munkavállalói adatokat érnek el
- Elemző és nyomkövető eszközök, amelyek látogatói viselkedési adatokat dolgoznak fel
AVV nélkül egyik félnek sincs dokumentált jogi alapja a feldolgozási kapcsolatra. A felügyeleti hatóságok az AVV hiányát önálló megfelelési jogsértésként kezelik, függetlenül bármilyen adatvédelmi incidens vizsgálatától [3].
Ugyanaz az AVV, mint a DPA?
Igen, az AVV és a DPA ugyanarra a jogi dokumentumra utal. Az AVV a német nyelvű elnevezés; a DPA az angol megfelelő, amelyet a legtöbb más EU-tagállamban és nemzetközi megfelelőségi kontextusokban használnak [5].
Mindkét dokumentum megfelel a GDPR 28. cikkének követelményeinek, és tartalmaznia kell ugyanazokat a kötelező elemeket. Ha egy német cég DPA-t ír alá egy amerikai SaaS szolgáltatóval, az a DPA az AVV-ként működik a GDPR megfelelőségi célok érdekében, feltéve, hogy megfelel minden lényegi követelménynek.
Fontos megjegyezni: A dokumentum címkéje kevésbé számít, mint a tartalma. Egy "Adatfeldolgozási Kiegészítő", "Feldolgozási Megállapodás" vagy "AVV" című dokumentum jogilag egyenértékű, amennyiben lefedi az összes kötelező elemet.
Kinek van szüksége AVV-ra a GDPR megfeleléshez?
Bármely szervezet, amely adatkezelő, és harmadik fél szolgáltatást használ, amely személyes adatokat dolgoz fel a nevében, AVV-ra van szüksége. Ez minden méretű vállalkozásra vonatkozik, minden iparágban [1].
Az AVV-ra általában szükségük van a következő kezelőknek:
| Forgatókönyv | Kezelő | Feldolgozó |
|---|---|---|
| A cég felhő CRM-et használ | Vállalkozás | CRM szolgáltató |
| A weboldal analitikát használ | Weboldal tulajdonosa | Analitikai szolgáltató |
| A HR bérszámfejtést kiszervezi | Munkaadó | Bérszámfejtő iroda |
| Az online bolt e-mail eszközt használ | Kiskereskedő | E-mail platform |
| Az ügynökség kezeli az ügyfél hirdetéseit | Ügynökség | Hirdetési technológiai platform |
Ki nem feldolgozó: Az a fél, aki függetlenül határozza meg a feldolgozás céljait és eszközeit, önállóan kezelő, nem feldolgozó. A közös kezelőknek a GDPR 26. cikkének értelmében más típusú megállapodásra van szükségük.
A kisvállalkozások gyakran figyelmen kívül hagyják ezt a követelményt, feltételezve, hogy ez csak a nagyvállalatokra vonatkozik. Ez a feltételezés helytelen. Bármely weboldal tulajdonos, aki harmadik fél tárhelyszolgáltatót, hírlevél szolgáltatást vagy foglalási rendszert használ, valószínűleg legalább egy AVV-t köteles létrehozni [5].
Mit kell tartalmaznia egy AVV-nak?
A megfelelőségi AVV-nak konkrét kötelező elemeket kell tartalmaznia. Még egy hiányzó elem is elegendő ahhoz, hogy a megállapodás a GDPR ellenőrzése alatt elégtelennek minősüljön [2].
Kötelező összetevők:
- A feldolgozás tárgya és időtartama
- A feldolgozás jellege és célja
- A személyes adatok típusa és az érintettek kategóriái
- A kezelő kötelezettségei és jogai
- A feldolgozó által végrehajtott technikai és szervezési intézkedések (TOM)
- A további feldolgozók bevonására vonatkozó szabályok
- Az érintetti jogokkal kapcsolatos kérelmek eljárásai
- Adatvédelmi incidens bejelentési kötelezettségek
- Az adatok visszaadása vagy törlése a szerződés megszűnésekor
- Ellenőrzési jogok a kezelő számára
A TOM szakasz különösen fontos. Míg az AVV önmagában nem valósít meg biztonsági intézkedéseket, dokumentálnia kell, hogy a feldolgozó milyen intézkedéseket alkalmaz, például titkosítási szabványokat, hozzáférési ellenőrzéseket és álnévhasználati gyakorlatokat [1].
Mi történik, ha nincs AVV?
Érvényes AVV nélkül a kezelő és a feldolgozó is jelentős szabályozói büntetéseknek van kitéve. A GDPR 83. cikkének (4) bekezdése értelmében a 28. cikk megsértése esetén a bírságok elérhetik a 10 millió eurót vagy a globális éves forgalom 2%-át, míg a 83. cikk (5) bekezdése értelmében súlyosabb jogsértések esetén akár 20 millió eurót vagy a globális éves forgalom 4%-át, attól függően, hogy melyik a magasabb [3].
Kritikus, hogy ezeket a bírságokat függetlenül attól ki lehet szabni, hogy történt-e adatvédelmi incidens. Egy felügyeleti hatóság, amely rutinszerű ellenőrzést végez vagy panaszra reagál, az AVV hiányát azonosíthatja, és ezen az alapon bírságot szabhat ki.
További következmények közé tartozik:
- Reputációs kár és az ügyfélbizalom elvesztése
- Szerződéses felelősség a kezelő és a feldolgozó között
- A feldolgozási tevékenységek felfüggesztésének lehetősége a helyreállításig
AVV vs. Adatfeldolgozási Megállapodás: Kulcsfontosságú különbségek
Az AVV és a DPA lényegében ugyanaz a dokumentum, csak más néven. Azonban vannak gyakorlati különbségek, amelyeket érdemes figyelembe venni a nemzetközi szervezetek számára.
| Dimenzió | AVV | DPA |
|---|---|---|
| Nyelv | Német | Angol (vagy helyi) |
| Joghatósági fókusz | DACH régió | Szélesebb EU/EGT |
| Gyakori használati kontextus | Német nyelvű szerződések | Nemzetközi SaaS megállapodások |
| Jogi alap | GDPR 28. cikk | GDPR 28. cikk |
| Tartalmi követelmények | Azonos | Azonos |
A DACH régió (Németország, Ausztria, Svájc) különösen erős végrehajtási kultúrával rendelkezik az AVV-k körében, így ezek a szolgáltatók közötti szerződésekben standard gyakorlatnak számítanak [1].
Mennyibe kerül egy AVV?
Az AVV költsége változó, attól függően, hogy hogyan készítik el és vizsgálják felül.
- Sablon alapú AVV: Sok szolgáltató saját AVV-ját biztosítja a szolgáltatási feltételeik részeként, általában további költség nélkül. Az olyan szervezetek, mint a NexDeck részletes AVV sablonokat kínálnak, beleértve a további feldolgozók listáját is [4].
- Jogi tanácsadói felülvizsgálat: Egy adatvédelmi ügyvéd által készített vagy felülvizsgált egyedi AVV általában 300 és 2000 euró közötti költséggel jár, a bonyolultságtól és a joghatóságtól függően.
- DPO által segített tervezés: Azok a szervezetek, amelyeknek házon belüli vagy külső adatvédelmi tisztviselőjük (DPO) van, gyakran ezt az erőforrást használhatják az AVV-k elkészítésére, minimális költséggel, amely a DPO díját jelenti.
A kisvállalkozások számára a legpraktikusabb megközelítés az, ha egy megbízható sablonnal indulnak, és azt egy képzett szakemberrel felülvizsgáltatják, mielőtt aláírják.
Hogyan készíthetek AVV sablont?
Az AVV készítése azzal kezdődik, hogy azonosítjuk az összes feldolgozási kapcsolatot, ahol egy harmadik fél személyes adatokat kezel a nevében. Ezt követően a folyamat a következő lépéseket követi:
- Feldolgozók nyilvántartása: Készítsen listát minden szolgáltatóról, eszközről vagy szolgáltatásról, amely hozzáfér a kezelt személyes adatokhoz.
- AVV beszerzése vagy elkészítése: Sok feldolgozó (különösen a SaaS szolgáltatók) saját standard AVV-ját biztosítja. Ellenőrizze, hogy megfelel-e a fent említett kötelező elemeknek.
- A TOM szakasz testreszabása: Gondoskodjon arról, hogy a technikai és szervezési intézkedések tükrözzék a feldolgozó tényleges biztonsági gyakorlatát.
- További feldolgozók listázása: Tartalmazzon egy mellékletet, amely azonosítja a feldolgozó által használt további feldolgozókat, azok szerepét és helyét.
- Adatátviteli mechanizmusok meghatározása: Ha az adatokat az EU/EGT-n kívülre továbbítják, határozza meg a jogi átviteli mechanizmust (pl. Standard Szerződéses Klauzulák).
- Aláírás és megőrzés: Mindkét félnek alá kell írnia az AVV-t. Őrizzen meg egy másolatot az adatfeldolgozási nyilvántartásaival együtt.
A megfelelőségi szervezetek által biztosított sablonok szilárd struktúrális alapot nyújtanak, de minden AVV-t a konkrét feldolgozási tevékenységhez kell igazítani, amelyet szabályoz [2].
AVV követelmények kisvállalkozások számára
A kisvállalkozások nem mentesülnek az AVV követelmény alól. Bármely GDPR hatálya alá tartozó szervezet, amely harmadik fél feldolgozót használ, köteles AVV-t létrehozni, függetlenül a cég méretétől vagy a munkavállalók számától [1].
A kisvállalkozások számára a gyakorlati teher alacsonyabb, mint amilyennek tűnik:
- A legtöbb nagyobb SaaS szolgáltató (e-mail platformok, foglalási rendszerek, analitikai eszközök) már biztosít egy standard AVV-t vagy DPA-t a szolgáltatási feltételeik részeként. E feltételek elfogadása általában érvényes megállapodásnak számít.
- A kulcsfontosságú feladat annak biztosítása, hogy valóban átnézte és elfogadta ezeket a feltételeket, ahelyett, hogy feltételezné, hogy léteznek.
- Tartsanak fenn egy egyszerű nyilvántartást a feldolgozóikról és a megfelelő AVV-król.
Gyakori hiba: A kisvállalkozások tulajdonosai gyakran azt feltételezik, hogy mivel a szolgáltató nagy és megbízható, a jogi papírok automatikusan rendezve vannak. Az AVV elfogadása aktív, dokumentált lépés kell, hogy legyen.
AVV audit nyomvonal követelmények
Az AVV-nak tartalmaznia kell olyan rendelkezéseket, amelyek jogot biztosítanak a kezelő számára a feldolgozó megfelelőségének ellenőrzésére. Ez az audit jog a GDPR 28. cikkének (3) bekezdés (h) pontja alatt kötelező elem [2].
A gyakorlatban az audit nyomvonal követelmények a következőket jelentik:
- A feldolgozónak nyilvántartást kell vezetnie a feldolgozási tevékenységekről a GDPR 30. cikkének (2) bekezdése szerint.
- A kezelőnek joga van auditokat végezni, vagy harmadik fél auditorokat megbízni a megfelelőség ellenőrzésére.
- Sok feldolgozó ezt a követelményt harmadik fél tanúsítványokkal, például ISO 27001 vagy SOC 2 által teljesíti, amelyek sok esetben helyettesíthetik a helyszíni auditokat.
Az AVV közvetlenül kapcsolódik az ISO 27001 A melléklet A.5.19-től A.5.22-ig terjedő ellenőrzéseihez, amelyek a beszállítói kapcsolatokra és az információbiztonságra vonatkoznak a beszállítói láncokban [2]. A formális Információbiztonsági Irányítási Rendszerrel (ISMS) rendelkező szervezeteknek biztosítaniuk kell, hogy az AVV-k integrálva legyenek a beszállítói menedzsment folyamataikba.
AVV nemzetközi adatátvételekhez
Amikor a feldolgozó az EU/EGT-n kívül található, az AVV-nak foglalkoznia kell a személyes adatok harmadik országba történő átadásának jogi mechanizmusával. A Standard Szerződéses Klauzulák (SCC) a leggyakrabban használt mechanizmusok, és általában az AVV mellékleteként kerülnek beépítésre [2].
A nemzetközi AVV-k kulcsfontosságú szempontjai:
- Azonosítani kell, hogy a feldolgozó ország rendelkezik-e EU megfelelőségi határozattal.
- Ha nem, be kell építeni a megfelelő SCC-ket (kezelő-feldolgozó vagy kezelő-kezelő, a kapcsolattól függően).
- Szükség esetén végezzen el egy Átviteli Hatásértékelést (TIA).
- Gondoskodjon arról, hogy az AVV mindkét szerződő fél nyelvén elérhető legyen [5].
Milyen gyakran kell frissíteni az AVV-t?
Az AVV-t felül kell vizsgálni és frissíteni, amikor lényeges változások történnek a feldolgozási kapcsolatban. Nincs meghatározott jogszabályi felülvizsgálati időszak, de a legjobb gyakorlat legalább évi egy felülvizsgálatot javasol [2].
Azonnali AVV frissítést kiváltó tényezők:
- A feldolgozó új további feldolgozót von be vagy eltávolít egy meglévőt
- A feldolgozási tevékenységek természete, célja vagy terjedelme megváltozik
- Az adatokat új harmadik országba továbbítják
- A feldolgozó TOM-jai jelentősen frissülnek
- A vonatkozó jogszabály vagy szabályozói iránymutatás változik
Az AVV-k proaktív felülvizsgálata a megfelelőség alapvető diszciplínája. Az elavult megállapodások, amelyek már nem tükrözik a tényleges feldolgozási tevékenységeket, ugyanolyan szabályozói kitettséget jelentenek, mint az AVV hiánya.
Gyakori hibák az AVV beállításakor
Még azok a szervezetek is, amelyek értik az AVV követelményt, gyakran hibákat követnek el a végrehajtás során.
Hiba 1: A szolgáltató által biztosított sablon automatikus elegendőségnek kezelése. A szolgáltató által biztosított AVV sablon nem biztos, hogy lefedi a konkrét feldolgozási tevékenységeit. Mindig ellenőrizze a kötelező elemeknek megfelelően.
Hiba 2: TOM-ok kihagyása vagy homályos leírása. A felügyeleti hatóságok szigorúan ellenőrzik a TOM szakaszt. A "megfelelő biztonsági intézkedések" mint homályos kifejezés, konkrétumok nélkül, elégtelen.
Hiba 3: További feldolgozók elfelejtése. Az AVV-nak tartalmaznia kell a további feldolgozókat. Ennek a listának a frissítése, amikor a feldolgozó megváltoztatja a további feldolgozóit, gyakori megfelelőségi hiányosság [2].
Hiba 4: Aláírt példányok megőrzésének elmulasztása. Az AVV, amelyet nem tudnak bemutatni egy audit során, nem nyújt jogi védelmet. Tartsanak rendben nyilvántartásokat.
Hiba 5: Az AVV összekeverése egy adatvédelmi politikával. Ezek teljesen különböző dokumentumok, amelyek különböző célokat szolgálnak. Az adatvédelmi politika tájékoztatja az érintetteket; az AVV szabályozza a kezelő-feldolgozó kapcsolatot [1].
Következtetés
Az AVV-k végső útmutatója: Miért van szüksége minden adatfeldolgozónak egyre végső soron egy egyszerű megfelelőségi valóságra vezethető vissza: ha a személyes adatok egy kezelő és egy feldolgozó között cserélődnek, érvényes AVV-nek kell léteznie, mielőtt a feldolgozás megkezdődik. Nincsenek méretbeli kivételek, iparági mentességek, és nincsenek türelmi időszakok a GDPR alatt már működő szervezetek számára.
Teendők 2026-ra:
- Ellenőrizze minden harmadik fél szolgáltatót, aki hozzáfér a kezelt személyes adatokhoz, és erősítse meg, hogy minden esetben érvényes AVV van érvényben.
- Vizsgálja felül a meglévő AVV-ket a kötelező elemek ellenőrzőlistája alapján, különös figyelmet fordítva a TOM-ra és a további feldolgozók listájára.
- Állítson be naptári emlékeztetőt az éves AVV felülvizsgálatokra és a feldolgozási tevékenységek változásakor esedékes frissítésekre.
- Azok számára, akik a hozzájárulás és a süti megfelelőséget kezelik az AVV-ikkal együtt, érdemes megfontolni, hogy az adatfeldolgozási dokumentációt egy megfelelőségi Hozzájáruláskezelő Platformmal, például a Biscotti CMP párosítsák, hogy teljes és védhető megfelelőségi helyzetet tartsanak fenn.
- Konzultáljon egy képzett adatvédelmi szakemberrel bármely AVV esetében, amely összetett feldolgozási tevékenységeket vagy nemzetközi adatátvitelt érint.
Az AVV-k helyes kezelése minimális költséggel jár. A helytelen kezelés költsége nem az.
GYIK
Mi az AVV egyszerű szavakkal? Az AVV egy írásbeli szerződés egy olyan cég között, amely birtokolja a személyes adatokat (a kezelő), és egy olyan cég között, amely azokat a nevében feldolgozza (a feldolgozó). Meghatározza, hogy milyen adatokat dolgoznak fel, miért, hogyan védik őket, és mit kell tenniük a feleknek.
Minden szolgáltatói kapcsolatra szükséges AVV? Csak azoknak a szolgáltatóknak, akik a nevében személyes adatokat dolgoznak fel. Egy szolgáltató, aki csupán egy eszközt biztosít, amelyet önállóan használ a adatok feldolgozására (anélkül, hogy hozzáférne az adatokhoz), általában nem feldolgozó, és nem szükséges számára AVV.
Helyettesítheti egy szóbeli megállapodás az AVV-t? Nem. A GDPR 28. cikkének értelmében a feldolgozási megállapodásnak írásban kell lennie, beleértve az elektronikus formát is.
Véd-e az AVV a GDPR bírságok ellen? Egy érvényes AVV jelentősen csökkenti a szabályozói kockázatot, de nem nyújt abszolút mentességet. Bírságokat még más jogsértések miatt is kiszabhatnak. Az AVV kifejezetten a 28. cikknek való megfelelést bizonyítja.
Mi a különbség a további feldolgozó és a feldolgozó között? A feldolgozó közvetlenül kezeli az adatokat a kezelő számára. A további feldolgozó a feldolgozó által bevont fél, aki segít a feldolgozásban. A kezelőt tájékoztatni kell a további feldolgozókról, és a feldolgozónak kötelező érvényű kötelezettségeket kell előírnia a további feldolgozók számára.
Meddig kell megőrizni az AVV-t? A GDPR nem határoz meg kifejezett megőrzési időszakot az AVV-k számára, de azokat a feldolgozási kapcsolat időtartama alatt és egy ésszerű időszakig meg kell őrizni, általában a vonatkozó joghatóságban a szabályozói intézkedések elévülési idejével összhangban.
Számít-e az amerikai céggel aláírt DPA AVV-nak? Igen, feltéve, hogy tartalmazza a GDPR 28. cikkének minden követelményét, és megfelelő átviteli mechanizmusokat, például Standard Szerződéses Klauzulákat.
A feldolgozó saját céljaira használhatja a személyes adatokat? Nem. A feldolgozó csak a kezelő dokumentált utasításai alapján dolgozhat fel személyes adatokat. A feldolgozó saját céljaira történő feldolgozás azt jelentené, hogy az a fél kezelővé válik, külön jogi kötelezettségekkel.
Mi a TOM az AVV kontextusában? A TOM a Technikai és Szervezési Intézkedéseket jelenti. Ezek a biztonsági gyakorlatok, amelyeket a feldolgozó a személyes adatok védelme érdekében alkalmaz, például titkosítás, hozzáférési ellenőrzések és álnévhasználat. Az AVV-nek dokumentálnia kell ezeket az intézkedéseket.
Az AVV-knek szükséges közjegyző előtt hitelesíteni? Nem. A GDPR nem követeli meg a közjegyzői hitelesítést. Az aláírt írásbeli megállapodás (beleértve az elektronikus aláírásokat) elegendő.
Hivatkozások
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai