クイックアンサー: AVV（Auftragsverarbeitungsvertrag）とDPA（Data Processing Agreement）は、GDPR第28条に基づく同じ法的に必要な契約を指します。ドイツ語の用語AVVはDACH地域の法域で使用され、DPAはほとんどの他のEU加盟国および国際的に使用される英語の同等語です。両者は、データ処理者が管理者のために個人データを扱う方法を規定しています。誤ったフレーミングを選択したり、契約を完全にスキップしたりすると、組織は重大な規制上の罰則にさらされる可能性があります。
主なポイント
- AVVはAuftragsverarbeitungsvertragのドイツ語の略称であり、DPAはData Processing Agreementを指し、GDPRの下で機能的には同じ契約です。
- 両方の契約は、管理者が処理者に個人データを扱わせる場合、GDPR第28条に基づき必須です。
- 用語の違いは地域的なものであり、AVVはドイツ、オーストリア、スイスで標準的に使用され、DPAは英語圏および他のほとんどのEUの文脈で使用されます。
- 有効な契約は、主題、処理期間、データカテゴリ、データ主体の権利、サブ処理者の条件、セキュリティ対策、監査条項をカバーする必要があります。[1]
- 正しい契約がない場合、監督当局の調査、罰金、契約上の争いが発生する可能性があります。
- 実施コストは、ベンダーの標準テンプレートを使用する場合はゼロから、カスタム法的ドラフトの場合は数千ユーロまでさまざまです。
- DACH市場と非DACH市場で運営されている一部の企業は、明確さのために同じ契約内で両方の用語を合法的に使用しています。
- Biscotti CMPのような同意管理プラットフォームは、GDPRコンプライアンスの全体的な姿勢をサポートできますが、適切に実行されたAVVまたはDPAの代わりにはなりません。
AVVはデータ保護において何を意味し、DPAと同じですか？
AVVはAuftragsverarbeitungsvertragの略で、データ処理契約のドイツ語の用語です。実際の法的な観点から、AVVとDPAは同じ文書であり、どちらもデータ管理者とデータ処理者の間の書面による契約に関するGDPR第28条の要件を満たします。[1]
この区別は純粋に言語的および法域的なものです。ドイツ、オーストリア、スイスのデータ保護の専門家は、契約、プライバシーポリシー、規制の通信においてAVVを標準用語として使用します。英語を話す専門家やほとんどの他のEU加盟国はDPAを使用します。ドイツのSaaSベンダーが「AVV」を提供する場合、彼らはUKのベンダーが「DPA」と呼ぶのと同じ法的文書を提供しています。
重要な明確化: どちらの用語も異なる法的基準を示すものではありません。両者は有効であるためにGDPR第28条第3項の内容要件を満たす必要があります。[1]
AVVとDPAの違いは何ですか？
AVVとDPAの違いは、用語的なものであり、実質的なものではありません。両者は、データ管理者（処理の目的と手段を決定する主体）とデータ処理者（管理者の指示に従ってデータを処理する主体）との間にGDPR第28条で義務付けられた契約を説明しています。
真の違いが生じる可能性があるのは、ドラフトスタイルと地域の規制ガイダンスにおいてです：
- ドイツの監督当局（Datenschutzbehörden）は、AVV文書にしばしば組み込まれる特定のテンプレート条項とガイダンスノートを発表しています。
- 英語圏のUKまたはアイルランドの法域向けにドラフトされたDPAは、GDPRとともに国内実施法を参照する場合があります。
- スイスのAVVは、GDPRとは異なる点がある改訂連邦データ保護法（revFADP）を考慮する必要があります。
結論: ベンダーがAVVを送信し、DPAが必要な場合、内容が第28条第3項の要件を満たしていれば、必要なものを受け取ったことになります。[1]
AVVとDPAはいつ必要ですか？
組織が第三者サービスプロバイダーと個人データを共有し、そのデータを指示に従って処理させる場合、これらの契約のいずれかが必要です。トリガーは管理者と処理者の関係であり、契約の言語ではありません。
AVVを使用する場合:
- 相手方がドイツ、オーストリア、スイスに拠点を置き、標準契約がその用語を使用している場合。
- 自組織がドイツのデータ保護法に基づいて運営されており、内部テンプレートがBfDIまたは州DPAのガイダンスに従っている場合。
DPAを使用する場合:
- 相手方が英語圏の法域で運営されているか、契約言語として英語を使用している場合。
- 米国のクラウドプロバイダー、UKのSaaSベンダー、または「DPA」にデフォルトするテンプレートを持つ国際的な処理者と契約している場合。
一般的な誤解: ベンダーが文書をAVVと呼ぶため、異なる法的ルールが適用されると仮定すること。GDPRの下で内容要件は同一です。重要なのは、表面的なラベルではなく、実質です。
誰がAVVを必要とし、誰がDPAを必要としますか？
GDPRの下でデータ管理者として資格のある組織が、第三者に個人データを処理させる場合、これらの契約のいずれかが必要です。これには以下が含まれます：
- 第三者の支払い処理業者やメールマーケティングプラットフォームを使用するeコマースビジネス。
- クラウドインフラプロバイダー（IaaS、PaaS、SaaS）を使用する企業。
- クライアントの顧客データを処理するオンラインマーケティングエージェンシー。
- 外部APIを介してエンドユーザーの個人データを扱うアプリケーションを構築する開発者。
- 訪問者データを処理する分析ツール、CDN、CRMシステムを使用するウェブサイトオーナー。
DACH市場に拠点を置く組織は通常AVVラベルに遭遇し、国際的に運営される組織はより頻繁にDPAに関与します。両方のカテゴリの組織は同じ法的義務に直面します。
AVVとDPAに含まれるべき内容は何ですか？
AVVとDPAの両方は、GDPR第28条第3項の下で同じ必須要素を含む必要があります。これらの条項のいずれかが欠けていると、契約は不適合となります。[1]
| 必須条項 | 説明 |
|---|---|
| 主題と期間 | どのデータが処理され、どのくらいの期間 |
| 性質と目的 | なぜ、どのように処理が行われるか |
| データの種類とデータ主体 | 個人データのカテゴリと影響を受ける個人 |
| 管理者の権利と義務 | 処理者が従うべき指示 |
| セキュリティ対策 | 技術的および組織的な保護措置（TOMs） |
| サブ処理者の条件 | 下流の処理者を関与させるためのルール |
| データ主体の権利支援 | アクセス、消去、移行要求のサポート |
| 違反通知 | 処理者が管理者に事件を通知する義務 |
| データの返却または削除 | 契約終了時のデータの扱い |
| 監査権 | 管理者のコンプライアンスを確認する権利 |
エッジケース: ベンダーのテンプレートが監査権またはサブ処理者の条件を省略している場合、そのまま署名しないでください。これらは第28条第3項の下で交渉不可能です。[1]
AVVまたはDPAを設定するのにかかる費用はどのくらいですか？
費用は、ベンダーの標準テンプレートを使用するか、カスタム法的ドラフトを依頼するかによって完全に異なります。
- ベンダー提供のテンプレート（最も一般的）: 無料。ほとんどの主要なSaaSおよびクラウドプロバイダーは、管理者がオンラインまたはクリックスループロセスを介して受け入れることができる標準AVVまたはDPAを公開しています。
- 交渉されたカスタム契約: 法的手数料は、複雑さ、法域、弁護士の料金に応じて通常500ユーロから5000ユーロの範囲です。重要なデータボリュームや敏感なデータカテゴリを持つ企業契約は、より高額になります。
- 内部テンプレートの開発: 再利用可能なテンプレートを作成するための法的助言の一度限りの投資；継続的なコストは最小限です。
実用的な注意: ほとんどの中小企業やウェブサイトオーナーにとって、ベンダーの標準テンプレートは十分です。特別なカテゴリのデータ（健康、バイオメトリック、財務）を処理する場合や、管理者が重大な責任リスクを負う場合は、カスタム交渉が必要です。
AVVとDPAの要件は国によってどのように異なりますか？
GDPRの下では、実質的な要件はすべてのEU加盟国で調和されているため、AVVとDPAのコアコンテンツはベルリン、パリ、ワルシャワのいずれにおいても同一です。しかし、国家レベルのニュアンスが存在します：
- ドイツ: BfDIおよび州レベルのDPAは、詳細なガイダンスとモデル条項を発表しています。ドイツのAVVは、しばしばより詳細な技術的および組織的措置（TOMs）の文書を含みます。
- スイス: revFADP（2023年9月施行）は、GDPRを超える追加要件を課し、特に国境を越えたデータ転送やデータ侵害通知のタイムラインに関する特定の規定を含みます。
- UK（ブレグジット後）: UK GDPRが適用され、DPAはEUの監督当局ではなくUK ICOのガイダンスを参照する必要があります。標準契約条項はEU SCCとは異なります。
- 他のEU加盟国: GDPR第28条が直接適用され、地域のDPAガイダンスが補足される場合がありますが、最低要件を減少させることはできません。
管轄法条項を慎重に選択してください。 ドイツ法のAVVとアイルランド法のDPAは似ているように見えますが、異なる裁判所や監督当局によって解釈されます。
AVVをDPAの代わりに使用することはできますか、それとも両方を同時に使用できますか？
はい、AVVはDPAの代わりとして使用できます。なぜなら、法的に同等の文書だからです。DACH市場と非DACH市場で運営されている企業は、混乱を避けるために同じ契約のヘッダーに両方の用語を含めることがあります（例：「データ処理契約 / Auftragsverarbeitungsvertrag」）。これはバイリンガルの企業契約では一般的な慣行であり、完全に許可されています。
両方のラベルを同時に使用することは、2つの別々の法的義務を生じさせるものではありません。単にドイツ語を話す当事者と英語を話す当事者が同じ文書を見ていることを理解できるようにするだけです。
AVVとDPAの選択時に一般的な間違いは何ですか？
最も重要な間違いは、どの用語を使用するかではなく、契約に何が含まれているか、または契約が存在するかどうかに関するものです。
- 契約を完全にスキップすること、ベンダー関係が非公式または低リスクに感じられるため。GDPRの下では、義務は処理行為によって引き起こされ、認識されたリスクレベルによって引き起こされるものではありません。
- サブ処理者の条項や監査権を省略した不完全なテンプレートを受け入れること、ベンダーのバージョンが自動的に準拠していると信じること。
- DPAとデータ共有契約を混同すること。 DPAは処理者関係を規定し、データ共有契約は共同管理者または管理者間のデータ交換を規定します。これらは異なる文書です。
- 処理者が新しいサブ処理者を関与させたり、処理の性質を変更した場合に契約を更新しないこと。
- GDPRの遵守がスイス法をカバーすると仮定すること。 スイスのデータ主体を持つ組織は、AVVがrevFADPの要件も満たすことを確認する必要があります。
AVVとDPAを間違えることの法的結果は何ですか？
有効で完全な契約がない場合、管理者と処理者の両方が規制上および民事上の責任にさらされます。
GDPR第83条第4項に基づき、記事28（DPA/AVV要件）の違反は、最大**1000万ユーロまたは全世界の年間売上高の2%**の行政罰金をもたらす可能性があります。ドイツの監督当局は、欠落または不十分な処理契約に対して組織を調査し、罰金を科す意欲を示しています。
罰金を超えた結果には以下が含まれます：
- 監督当局の監査および是正命令。
- 不適合な処理者に対して契約条件を強制できないこと。
- 有効な契約がない場合にデータ侵害が発生した場合の民事責任のリスク。
- ベンダーのデューデリジェンスを行う企業クライアントにおける評判の損害。
自社に必要な契約をどのように知ることができますか？
決定は、関係と法域を特定すれば簡単です。
ステップ1: 自組織が管理者（データがどのように処理されるかを決定する）か処理者（他者の指示に従ってデータを処理する）であるかを判断します。
ステップ2: 相手方の言語と法域を特定します。DACH地域にいる場合はAVVを期待し、他の地域にいる場合はDPAを期待します。
ステップ3: 受け取った文書がGDPR第28条第3項の下での10の必須要素をすべて含んでいることを確認します。[1]
ステップ4: 自組織がクッキーやトラッキング技術に対するユーザーの同意を管理する必要がある場合、Biscotti CMPのような同意管理プラットフォームがGDPRコンプライアンスのそのレイヤーに対処しますが、適切に実行されたAVVまたはDPAの代わりにはなりません。
決定ルール: 他の組織のために個人データを処理する場合、商業的にどのように呼ばれていてもDPAまたはAVVが必要です。他の組織があなたのためにデータを処理する場合、処理が始まる前にその契約が存在することを確認する責任があります。
FAQ
Q: AVVはドイツ以外で法的に有効ですか？
AVVはGDPRが適用される場所で法的に有効であり、記事28条第3項の内容要件を満たしている限り、他のEU法域でも執行可能です。
Q: DPAは両方の当事者によって署名される必要がありますか？
はい。GDPR第28条第9項は、契約が書面であることを要求しており、これには電子形式も含まれます。管理者と処理者の両方がその条件に拘束される必要があります。
Q: ベンダーのオンラインクリックスルーDPAはGDPR要件を満たすことができますか？
はい、内容が第28条第3項の要件を満たしている場合。多くの主要なクラウドプロバイダーは、監督当局によってレビューされた準拠したクリックスルーDPAを提供しています。
Q: サブ処理者とは何ですか、そしてそれはDPAまたはAVVでなぜ重要ですか？
サブ処理者は、処理者が処理活動を実行するために関与させる第三者です。DPAまたはAVVは、サブ処理者が関与できる条件を明記する必要があり、管理者の異議を唱える権利を含める必要があります。[1]
Q: 処理者がサブ処理者リストを更新するたびに新しいAVVまたはDPAが必要ですか？
必ずしもそうではありません。多くの契約には、サブ処理者の変更に対する一般的な承認が含まれており、処理者が管理者に通知し、管理者が指定された期間内に異議を唱える権利を保持する限り有効です。
Q: DPAはEU外へのデータ転送をカバーしますか？
DPAは処理関係を規定しますが、単独では国境を越えたデータ転送を承認するものではありません。第三国への転送には、別の転送メカニズム（標準契約条項、適合性決定）が必要です。
Q: DPAまたはAVVはどのくらいの期間保持すべきですか？
処理関係の期間中およびその後の合理的な期間、通常は少なくとも3年から5年保持し、監督当局の調査があった場合にコンプライアンスを示す必要があります。
Q: DPAとDPIAの違いは何ですか？
DPA（データ処理契約）は管理者と処理者の間の契約です。DPIA（データ保護影響評価）は、高リスクの処理活動に必要な内部リスク評価です。目的が異なり、どちらも他の代わりにはなりません。
Q: フリーランサーや小規模エージェンシーはAVVまたはDPAに署名する必要がありますか？
はい。義務は処理者の規模に関係なく適用されます。クライアントの顧客データを扱うフリーランスの開発者は処理者であり、各クライアントの管理者とDPAまたはAVVに署名する必要があります。
Q: Biscotti CMPはDPAまたはAVVの必要性を置き換えますか？
いいえ。Biscotti CMPは、クッキーやトラッキングに関するユーザーの同意を管理するための同意管理プラットフォームであり、GDPRコンプライアンスの別の要件です。個人データを含む処理者関係には、依然としてDPAまたはAVVが必要です。
結論
AVVとDPAの問題は、両方の用語がGDPR第28条に基づく同じ法的に必要な文書を指すことを認識すれば迅速に解決します。本当の課題は、どちらを選ぶかではなく、処理者関係を規定する文書がすべての必須条項を含み、適切に実行され、処理活動が進化するにつれて最新の状態に保たれることです。
実行可能な次のステップ:
- 現在のすべてのベンダー関係を監査し、個人データをあなたのために処理する各処理者に対して有効なDPAまたはAVVが存在することを確認します。
- 既存の契約をGDPR第28条第3項の10の必須要素と照らし合わせ、ギャップがある場合は修正を要求します。[1]
- スイスで運営している場合、契約がGDPRの基準を超えてrevFADPの要件も満たすことを確認します。
- 新しい処理者をオンボーディングするための内部プロセスを確立し、契約が署名される前に処理を開始しないでください。
- ウェブサイトやアプリケーションの同意管理およびクッキーコンプライアンスについて、GDPRコンプライアンスフレームワークの一部としてBiscotti CMPを評価します。
データ保護コンプライアンスは一度限りのプロジェクトではありません。処理が変更されたとき、サブ処理者が追加されたとき、規制のガイダンスが進化したときに契約を見直す必要があります。そのレビューのリズムをコンプライアンスプログラムに組み込むことが、規制上のリスクからの最も実用的な保護手段です。
参考文献
[1] データ処理契約 - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai