簡単な回答： AVV（Auftragsverarbeitungsvertrag）は、GDPR第28条に基づくデータ管理者とデータ処理者の間の法的に義務付けられた契約です。他者のために個人データを処理する組織は、必ずAVVを締結する必要があります。AVVなしで運営することは、両者に対して最大2000万ユーロまたは全世界の年間売上高の4%のいずれか高い方の罰金を科すリスクがあります。
主なポイント
- AVVは、GDPR第28条に基づいて、処理者が管理者のために個人データを扱う際に必要なデータ処理契約（DPA）のドイツ語の用語です。
- 契約には、主題、目的、期間、データの種類、技術的および組織的措置（TOM）、およびサブ処理者のルールを明記する必要があります。
- 有効なAVVがない場合、データ侵害が発生していなくても、規制当局から罰金が科される可能性があります。
- 小規模企業も免除されません：クラウドホスティング、給与ソフトウェア、メールマーケティングツールは、通常AVVの要件を引き起こします。
- AVVは二者間の契約であり、プライバシー通知ではなく、暗号化などのセキュリティ対策を実施するものではありません。
- サブ処理者が変更されたり、第三国へのデータ移転が行われたり、処理活動が変更された場合には、AVVを見直す必要があります。
- DACH地域（ドイツ、オーストリア、スイス）では、AVVはSaaSベンダー、ホスティングプロバイダー、ERPシステムとの標準的な慣行です。
- コンプライアンス組織やベンダーからテンプレートが入手可能ですが、実際の処理活動を反映するようにカスタマイズすることが重要です。
AVVはデータ処理において何を意味するのか？
AVVはAuftragsverarbeitungsvertragの略で、英語では「データ処理契約」と直接翻訳されるドイツ語の複合語です。これは、データ管理者とデータ処理者の関係を規定するためにEU一般データ保護規則（GDPR）第28条によって義務付けられた契約的手段です。
この用語はドイツ語圏（ドイツ、オーストリア、スイス）に特有ですが、基礎となる法的概念はEUおよびEEA全体に普遍的に適用されます。英語の文脈では、同じ文書は**データ処理契約（DPA）**と呼ばれます。国際的に運営する組織は、理解とコンプライアンスを促進するために、関連する言語でAVVを用意する必要があります[5]。
AVVはプライバシーポリシーやクッキー同意バナーではありません。これは、処理者が個人データをどのように扱うか、どのような条件で、どのような保護措置を講じるかを定義する拘束力のある二者間契約です。
データ処理者がAVVを必要とする理由は？
AVVは、データ管理者が処理者に対して個人データを扱うよう依頼する際に義務付けられています。これはオプションのガイダンスではなく、GDPR第28条に基づく厳格な法的要件です[1]。
AVVの要件を引き起こす一般的なシナリオには以下が含まれます：
- クラウドホスティングおよびインフラストラクチャ（例：顧客データベースを保存するサーバー）
- 給与処理を行う第三者のHRプロバイダー
- メールマーケティングプラットフォームが保存する購読者リスト
- SaaS ERPベンダーがアクセスするビジネスおよび従業員データ
- 分析およびトラッキングツールが処理する訪問者行動データ
AVVがない場合、どちらの当事者も処理関係の文書化された法的根拠を持たないことになります。監督当局は、AVVの不在をデータ侵害調査とは別のコンプライアンス違反として扱います[3]。
AVVとDPAは同じものですか？
はい、AVVとDPAは同じ法的文書を指します。AVVはドイツ語の名称であり、DPAは他のEU加盟国および国際的なコンプライアンスの文脈で使用される英語の同義語です[5]。
両方の文書はGDPR第28条の要件を満たし、同じ必須要素を含む必要があります。ドイツの企業が米国に拠点を置くSaaSベンダーとDPAを締結した場合、そのDPAはGDPRコンプライアンスの目的でAVVとして機能します。ただし、すべての実質的要件を満たす必要があります。
覚えておくべき重要な違い： 文書のラベルはその内容よりも重要ではありません。「データ処理付録」、「処理契約」、または「AVV」と題された文書は、すべての必要な要素をカバーしていれば法的に同等です。
GDPRコンプライアンスのためにAVVが必要な人は？
個人データを第三者サービスに処理させるデータ管理者であるすべての組織はAVVを必要とします。これは、すべての業界のすべての規模のビジネスに適用されます[1]。
通常AVVが必要な管理者：
| シナリオ | 管理者 | 処理者 |
|---|---|---|
| 企業がクラウドCRMを使用 | ビジネス | CRMベンダー |
| ウェブサイトが分析を使用 | ウェブサイト所有者 | 分析プロバイダー |
| HRが給与を外注 | 雇用者 | 給与局 |
| オンラインショップがメールツールを使用 | 小売業者 | メールプラットフォーム |
| エージェンシーがクライアント広告を管理 | エージェンシー | 広告技術プラットフォーム |
処理者でない者： 処理の目的と手段を独立して決定する当事者は、処理者ではなく独自の管理者です。共同管理者はGDPR第26条に基づく異なるタイプの契約を必要とします。
小規模企業は、この要件を見落としがちで、大企業にのみ適用されると考えがちです。その考えは誤りです。第三者のホスティングプロバイダー、ニュースレターサービス、予約システムを使用しているウェブサイト所有者は、少なくとも1つのAVVを締結する必要がある可能性が高いです[5]。
AVVに含まれるべき内容は？
コンプライアンスに適合したAVVは、特定の必須要素を含む必要があります。1つでも欠けていると、GDPRの審査において不十分と見なされる可能性があります[2]。
必須要素：
- 処理の主題と期間
- 処理の性質と目的
- 個人データの種類とデータ主体のカテゴリ
- 管理者の義務と権利
- 処理者が実施する技術的および組織的措置（TOM）
- サブ処理者の関与に関するルール
- データ主体の権利要求手続き
- データ侵害通知義務
- 契約終了時のデータの返却または削除
- 管理者の監査権
TOMのセクションは特に重要です。AVV自体はセキュリティ対策を実施しませんが、処理者が持っている措置（暗号化基準、アクセス制御、仮名化の実践など）を文書化する必要があります[1]。
AVVがない場合はどうなるのか？
有効なAVVなしで運営することは、管理者と処理者の両方に重大な規制上の罰則をもたらします。GDPR第83条第4項に基づくと、記事28の違反に対する罰金は**1000万ユーロまたは全世界の年間売上高の2%**に達する可能性があり、記事83の第5項に基づくより深刻な違反の場合は、**2000万ユーロまたは全世界の年間売上高の4%**に達する可能性があります。いずれか高い方が適用されます[3]。
重要なのは、これらの罰金はデータ侵害が発生しているかどうかにかかわらず科される可能性があることです。監督当局が定期監査を行ったり、苦情に対応したりする際に、AVVの不在を特定し、その理由だけで罰金を科すことができます。
追加の結果には以下が含まれます：
- 評判の損失と顧客の信頼喪失
- 管理者と処理者間の契約上の責任
- 修正が行われるまでの処理活動の一時停止の可能性
AVVとデータ処理契約：主な違い
AVVとDPAは、異なる名前の下で実質的には同じ文書です。ただし、国際的な組織にとって注目すべき実務上の違いがあります。
| 次元 | AVV | DPA |
|---|---|---|
| 言語 | ドイツ語 | 英語（または現地語） |
| 法域の焦点 | DACH地域 | EU/EEA全体 |
| 一般的な使用文脈 | ドイツ語契約 | 国際的なSaaS契約 |
| 法的根拠 | GDPR第28条 | GDPR第28条 |
| 内容要件 | 同一 | 同一 |
DACH地域（ドイツ、オーストリア、スイス）では、AVVに関する特に強い執行文化があり、ホスティングプロバイダー、SaaS ERPベンダー、その他のサービスパートナーとのベンダー契約において標準的な慣行となっています[1]。
AVVのコストはどのくらいですか？
AVVのコストは、その作成およびレビューの方法によって異なります。
- テンプレートベースのAVV： 多くのベンダーは、サービス条件の一部として独自のAVVを提供しており、通常は追加料金なしで利用できます。NexDeckのような組織は、サブ処理者リストを含む詳細なAVVテンプレートを提供しています[4]。
- 法的助言のレビュー： データ保護弁護士にカスタムAVVを作成またはレビューしてもらう場合、通常は複雑さや法域に応じて300ユーロから2000ユーロの費用がかかります。
- DPO支援によるドラフト： 社内または外部のデータ保護責任者（DPO）がいる組織は、そのリソースを利用してAVVを作成することができ、DPOのリテイナー以外の追加コストは発生しません。
小規模企業にとって、最も実用的なアプローチは、信頼できるテンプレートから始め、署名する前に資格のある専門家にレビューしてもらうことです。
AVVテンプレートを作成するには？
AVVを作成するには、第三者があなたの代わりに個人データを扱うすべての処理関係を特定することから始めます。そこから、プロセスは以下のステップに従います：
- 処理者のインベントリを作成： あなたが管理する個人データにアクセスするすべてのベンダー、ツール、サービスをリストアップします。
- AVVを取得または作成： 多くの処理者（特にSaaSベンダー）は、標準のAVVを提供しています。それを上記の必須要素と照らし合わせてレビューします。
- TOMのセクションをカスタマイズ： 技術的および組織的措置が処理者の実際のセキュリティ慣行を反映していることを確認します。
- サブ処理者をリストアップ： 処理者が使用するサブ処理者を特定し、その役割と所在地を含む附属書を作成します。
- データ転送メカニズムを定義： データがEU/EEAの外に転送される場合、法的転送メカニズム（例：標準契約条項）を明記します。
- 署名して保持： 両当事者がAVVに署名する必要があります。データ処理記録とともにコピーを保持します。
コンプライアンスに焦点を当てた組織からのテンプレートは、堅固な構造的基盤を提供しますが、すべてのAVVはそれが管理する特定の処理活動に合わせて調整されるべきです[2]。
小規模企業のAVV要件
小規模企業はAVV要件から免除されません。GDPRの対象となるすべての組織は、第三者処理者を使用する場合、AVVを締結する必要があります。これは、企業の規模や従業員数に関係なく適用されます[1]。
小規模企業にとって、実際の負担は見た目ほど大きくありません：
- ほとんどの主要なSaaSベンダー（メールプラットフォーム、予約システム、分析ツール）は、すでにサービス条件の一部として標準のAVVまたはDPAを提供しています。これらの条件を受け入れることは、通常有効な契約を構成します。
- 重要なタスクは、実際にこれらの条件をレビューし、受け入れたことを確認することであり、存在することを仮定することではありません。
- 処理者とそれに対応するAVVの簡単な登録を維持します。
一般的な間違い： 小規模企業のオーナーは、ベンダーが大きく信頼できるものであれば、法的書類が自動的に処理されると仮定しがちです。AVVの受け入れは、積極的で文書化されたステップである必要があります。
AVV監査トレイル要件
AVVには、管理者に処理者のコンプライアンスを監査する権利を付与する条項が含まれている必要があります。この監査権はGDPR第28条第3項（h）に基づく必須要素です[2]。
実際の監査トレイル要件は以下を意味します：
- 処理者は、GDPR第30条第2項に基づいて処理活動の記録を維持する必要があります。
- 管理者は、コンプライアンスを確認するために監査を実施する権利を持ち、第三者の監査人を委託することもできます。
- 多くの処理者は、ISO 27001やSOC 2などの第三者認証を通じてこの要件を満たしており、多くの場合、現地監査の代わりとなります。
AVVは、供給者関係やサプライチェーンにおける情報セキュリティを管理するISO 27001附属書AのA.5.19からA.5.22に直接関連しています[2]。正式な情報セキュリティ管理システム（ISMS）を持つ組織は、AVVがサプライヤー管理プロセスに統合されていることを確認する必要があります。
国際データ転送のためのAVV
処理者がEU/EEAの外に所在する場合、AVVはその第三国への個人データ転送の法的メカニズムに対処する必要があります。標準契約条項（SCC）は、最も一般的に使用されるメカニズムであり、通常AVVの附属書として組み込まれます[2]。
国際AVVに関する重要な考慮事項：
- 処理者の国にEUの適合性決定があるかどうかを特定します。
- ない場合は、適切なSCC（管理者から処理者へのものまたは管理者から管理者へのもの）を組み込みます。
- 必要に応じて転送影響評価（TIA）を実施します。
- AVVが両当事者の言語で利用可能であることを確認します[5]。
AVVをどのくらいの頻度で更新すべきか？
AVVは、処理関係に重要な変更が発生した場合に見直し、更新する必要があります。固定された法定レビュー間隔はありませんが、ベストプラクティスとして少なくとも年に一度のレビューが推奨されます[2]。
AVVの即時更新を促すトリガー：
- 処理者が新しいサブ処理者を採用するか、既存のサブ処理者を削除する
- 処理活動の性質、目的、または範囲が変更される
- データが新しい第三国に転送される
- 処理者のTOMが大幅に更新される
- 適用法または規制のガイダンスが変更される
AVVの積極的なレビューは、コアコンプライアンスの規律です。実際の処理活動を反映しない古い契約は、AVVがまったくないのと同じ規制上のリスクを生じさせます。
AVV設定時の一般的な間違い
AVV要件を理解している組織でも、実施時にエラーを犯すことがよくあります。
間違い1：ベンダーのボイラープレートを自動的に十分と見なすこと。 ベンダー提供のAVVテンプレートは、あなたの特定の処理活動をカバーしていない可能性があります。必ず必須要素と照らし合わせてレビューしてください。
間違い2：TOMを省略または曖昧に記述すること。 監督当局はTOMセクションを厳しく scrutinize します。「適切なセキュリティ対策」のような曖昧な表現は不十分です。
間違い3：サブ処理者を忘れること。 AVVにはサブ処理者をリストアップする必要があります。処理者がサブ処理者を変更した際にこのリストを更新しないことは、一般的なコンプライアンスのギャップです[2]。
間違い4：署名されたコピーを保持しないこと。 監査中に提示できないAVVは法的保護を提供しません。整理された記録を保持してください。
間違い5：AVVをプライバシーポリシーと混同すること。 これらは全く異なる文書であり、異なる目的を持っています。プライバシーポリシーはデータ主体に通知し、AVVは管理者と処理者の関係を規定します[1]。
結論
AVVの究極ガイド：すべてのデータ処理者が必要とする理由は、個人データが管理者と処理者の間で移動する場合、有効なAVVがその処理が始まる前に存在しなければならないという単純なコンプライアンスの現実に帰着します。サイズの免除、業界の特例、GDPRの下で既に運営している組織への猶予期間はありません。
2026年のための実行可能な次のステップ：
- あなたが管理する個人データにアクセスするすべての第三者ベンダーを監査し、それぞれにAVVが存在することを確認します。
- 既存のAVVを必須要素チェックリストと照らし合わせてレビューし、特にTOMとサブ処理者リストに注意を払います。
- 年次AVVレビューと処理活動が変更された際のトリガーベースの更新のためのカレンダーリマインダーを設定します。
- AVVとともに同意およびクッキーコンプライアンスを管理する組織に対しては、データ処理文書をBiscotti CMPのようなコンプライアントな同意管理プラットフォームと組み合わせて、完全で防御可能なコンプライアンス姿勢を維持することを検討してください。
- 複雑な処理活動や国際データ転送を含むAVVについては、資格のあるデータ保護専門家に相談してください。
AVVを正しく設定するコストは最小限です。誤って設定するコストはそうではありません。
FAQ
AVVとは簡単に言うと何ですか？ AVVは、個人データを所有する企業（管理者）と、そのデータをそのために処理する企業（処理者）との間の書面による契約です。どのデータが処理され、なぜ、どのように保護され、両者が何を義務付けられているかを明記します。
すべてのベンダー関係にAVVは必要ですか？ あなたのために個人データを処理するベンダーにのみ必要です。データにアクセスせずに自分で処理するためのツールを提供するベンダーは、一般的に処理者ではなく、AVVは必要ありません。
口頭契約はAVVの代わりになりますか？ いいえ。GDPR第28条は、処理契約が書面（電子形式を含む）であることを明示的に要求しています。
AVVはGDPRの罰金から保護しますか？ 有効なAVVを持つことは、規制リスクを大幅に減少させますが、絶対的な免疫を提供するわけではありません。他の違反に対しても罰金が科される可能性があります。AVVは特に第28条のコンプライアンスを示します。
サブ処理者と処理者の違いは何ですか？ 処理者は管理者のためにデータを直接扱います。サブ処理者は、その処理を支援するために処理者によって雇われます。管理者はサブ処理者について通知を受ける必要があり、処理者はサブ処理者に同等の義務を課す必要があります。
AVVはどのくらいの期間保持する必要がありますか？ GDPRにはAVVの保持期間に関する明示的な規定はありませんが、処理関係の期間中およびその後の合理的な期間、通常は関連法域における規制行動の時効に沿った期間保持する必要があります。
米国企業と締結したDPAはAVVとしてカウントされますか？ はい、GDPR第28条に要求されるすべての要素を含み、標準契約条項のような適切な転送メカニズムを組み込んでいる限り、カウントされます。
処理者は個人データを自分の目的で使用できますか？ いいえ。処理者は、管理者の文書化された指示に基づいてのみ個人データを処理できます。処理者自身の目的での処理は、その当事者を管理者として再分類し、別の法的義務が生じます。
AVVにおけるTOMとは何ですか？ TOMは技術的および組織的措置を意味します。これらは、処理者が個人データを保護するために実施するセキュリティ慣行（暗号化、アクセス制御、仮名化など）です。AVVはこれらの措置を文書化する必要があります。
AVVは公証人による認証が必要ですか？ いいえ。GDPRは公証を要求していません。署名された書面による契約（電子署名を含む）があれば十分です。
参考文献
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai