Ātrā atbilde: AVV (Auftragsverarbeitungsvertrag) ir juridiski noteikts līgums saskaņā ar GDPR 28. pantu starp datu pārvaldnieku un datu apstrādātāju. Jebkurai organizācijai, kas apstrādā personas datus cita partijas vārdā, ir jābūt šādam līgumam. Darbība bez AVV pakļauj abas puses naudai līdz 20 miljoniem eiro vai 4% no globālā gada apgrozījuma, atkarībā no tā, kura summa ir lielāka.
Galvenie secinājumi
- AVV ir vācu termins Datu apstrādes līgumam (DPA), kas ir nepieciešams saskaņā ar GDPR 28. pantu, kad apstrādātājs apstrādā personas datus pārvaldnieka vārdā.
- Līgumā jānorāda priekšmets, mērķis, ilgums, datu veidi, tehniskie un organizatoriskie pasākumi (TOM) un apakšapstrādātāju noteikumi.
- Neesamība derīga AVV var novest pie regulatīvām naudām neatkarīgi no tā, vai ir notikusi datu noplūde.
- Mazas uzņēmējdarbības nav atbrīvotas: mākoņpakalpojumi, algu programmatūra un e-pasta mārketinga rīki parasti aktivizē AVV prasību.
- AVV ir līgums starp divām pusēm, nevis privātuma paziņojums, un tas pats par sevi neīsteno drošības pasākumus, piemēram, šifrēšanu.
- AVV jāizskata katru reizi, kad mainās apakšapstrādātāji, notiek datu pārsūtīšana uz trešām valstīm vai tiek mainītas apstrādes darbības.
- DACH reģionā (Vācija, Austrija, Šveice) AVV ir standarta prakse ar SaaS piegādātājiem, hostinga pakalpojumu sniedzējiem un ERP sistēmām.
- Veidlapas ir pieejamas no atbilstības organizācijām un piegādātājiem, taču pielāgošana, lai atspoguļotu faktiskās apstrādes darbības, ir būtiska.
Ko nozīmē AVV datu apstrādē?
AVV nozīmē Auftragsverarbeitungsvertrag, vācu saliktenis, kas tieši tulkojas kā "datu apstrādes līgums" angļu valodā. Tas ir līguma instruments, ko nosaka ES Vispārīgās datu aizsardzības regulas (GDPR) 28. pants, lai regulētu attiecības starp datu pārvaldnieku un datu apstrādātāju.
Termins ir specifisks vāciski runājošām jurisdikcijām (Vācija, Austrija un Šveice), taču pamatā esošais juridiskais jēdziens attiecas uz visām ES un EEA valstīm. Angļu valodas kontekstos tas pats dokuments tiek saukts par Datu apstrādes līgumu (DPA). Organizācijām, kas darbojas starptautiski, jānodrošina, ka to AVV ir pieejami attiecīgajās valodās, lai atvieglotu izpratni un atbilstību [5].
AVV nav privātuma politika vai sīkdatņu piekrišanas baneris. Tas ir saistošs divpusējs līgums, kas nosaka, kā apstrādātājs var apstrādāt personas datus, kādos apstākļos un ar kādiem drošības pasākumiem.
Kāpēc datu apstrādātājiem nepieciešams AVV?
AVV ir obligāts, kad datu pārvaldnieks piesaista apstrādātāju, lai apstrādātu personas datus tā vārdā. Tas nav izvēles jautājums; tas ir stingrs juridisks prasījums saskaņā ar GDPR 28. pantu [1].
Biežākie scenāriji, kas aktivizē AVV prasību, ietver:
- Mākoņhostings un infrastruktūra (piemēram, serveri, kas glabā klientu datu bāzes)
- Algu apstrāde, ko veic trešās puses HR pakalpojumu sniedzējs
- E-pasta mārketinga platformas, kas glabā abonentu sarakstus
- SaaS ERP piegādātāji, kas piekļūst uzņēmuma un darbinieku datiem
- Analītikas un izsekošanas rīki, kas apstrādā apmeklētāju uzvedības datus
Bez AVV nevienai pusei nav dokumentēta juridiska pamata apstrādes attiecībām. Uzraudzības iestādes uzskata AVV neesamību par atsevišķu atbilstības pārkāpumu, kas ir atsevišķs no jebkādas datu noplūdes izmeklēšanas [3].
Vai AVV ir tas pats, kas DPA?
Jā, AVV un DPA attiecas uz to pašu juridisko dokumentu. AVV ir vācu valodas apzīmējums; DPA ir angļu ekvivalents, ko izmanto lielākajā daļā citu ES dalībvalstu un starptautiskās atbilstības kontekstos [5].
Abi dokumenti atbilst GDPR 28. panta prasībām un tiem jāietver vienādi obligāti elementi. Ja Vācijas uzņēmums paraksta DPA ar ASV bāzētu SaaS piegādātāju, šis DPA darbojas kā AVV GDPR atbilstības nolūkos, ja tas atbilst visām būtiskajām prasībām.
Galvenā atšķirība, ko atcerēties: Dokumenta nosaukums ir mazāk svarīgs nekā tā saturs. Dokuments ar nosaukumu "Datu apstrādes pielikums", "Apstrādes līgums" vai "AVV" ir juridiski ekvivalents, ja tas aptver visus nepieciešamos elementus.
Kam nepieciešams AVV GDPR atbilstībai?
Jebkurai organizācijai, kas ir datu pārvaldnieks un izmanto trešās puses pakalpojumu, kas apstrādā personas datus tās vārdā, nepieciešams AVV. Tas attiecas uz uzņēmumiem visos izmēros visās nozarēs [1].
Pārvaldnieki, kuriem parasti nepieciešami AVV:
| Scenārijs | Pārvaldnieks | Apstrādātājs |
|---|---|---|
| Uzņēmums izmanto mākoņu CRM | Uzņēmums | CRM piegādātājs |
| Vietne izmanto analītiku | Vietnes īpašnieks | Analītikas pakalpojumu sniedzējs |
| HR outsources algu | Darba devējs | Algu birojs |
| Tiešsaistes veikals izmanto e-pasta rīku | Mazumtirgotājs | E-pasta platforma |
| Aģentūra pārvalda klientu reklāmas | Aģentūra | Reklāmu tehnoloģiju platforma |
Kas nav apstrādātājs: Puse, kas patstāvīgi nosaka apstrādes mērķus un līdzekļus, ir pārvaldnieks pati par sevi, nevis apstrādātājs. Kopīgie pārvaldnieki prasa citu veida līgumu saskaņā ar GDPR 26. pantu.
Mazas uzņēmējdarbības bieži ignorē šo prasību, pieņemot, ka tā attiecas tikai uz lieliem uzņēmumiem. Šī pieņēmuma ir nepareiza. Jebkuram vietnes īpašniekam, kurš izmanto trešās puses hostinga pakalpojumu sniedzēju, jaunumu pakalpojumu vai rezervēšanas sistēmu, visticamāk, ir nepieciešams vismaz viens AVV [5].
Ko vajadzētu iekļaut AVV?
Atbilstošam AVV jāietver specifiski obligāti elementi. Pat viena trūkstoša sastāvdaļa var padarīt līgumu nepietiekamu saskaņā ar GDPR prasībām [2].
Obligātās sastāvdaļas:
- Apstrādes priekšmets un ilgums
- Apstrādes raksturs un mērķis
- Personas datu veids un datu subjektu kategorijas
- Pārvaldnieka pienākumi un tiesības
- Tehniskie un organizatoriskie pasākumi (TOM), ko īsteno apstrādātājs
- Noteikumi, kas regulē apakšapstrādātāju iesaisti
- Procedūras datu subjektu tiesību pieprasījumiem
- Datu noplūdes paziņošanas pienākumi
- Datu atgriešana vai dzēšana pēc līguma izbeigšanas
- Audita tiesības pārvaldniekam
TOM sadaļa ir īpaši svarīga. Lai gan pats AVV neīsteno drošības pasākumus, tam jānorāda, kādi pasākumi apstrādātājam ir pieejami, piemēram, šifrēšanas standarti, piekļuves kontroles un pseudonimizācijas prakse [1].
Kas notiek, ja jums nav AVV?
Darbība bez derīga AVV pakļauj gan pārvaldnieku, gan apstrādātāju būtiskām regulatīvām sankcijām. Saskaņā ar GDPR 83(4) pantu naudas sodi par 28. panta pārkāpumiem var sasniegt 10 miljonus eiro vai 2% no globālā gada apgrozījuma, bet saskaņā ar 83(5) pantu par nopietnākiem pārkāpumiem līdz 20 miljoniem eiro vai 4% no globālā gada apgrozījuma, atkarībā no tā, kura summa ir lielāka [3].
Svarīgi, ka šie sodi var tikt piemēroti neatkarīgi no tā, vai ir notikusi datu noplūde. Uzraudzības iestāde, veicot rutīnas auditu vai reaģējot uz sūdzību, var identificēt AVV neesamību un izdot sodu tikai uz šī pamata.
Papildu sekas ietver:
- Reputācijas bojāšana un klientu uzticības zudums
- Līguma atbildība starp pārvaldnieku un apstrādātāju
- Iespējama apstrādes darbību apturēšana, kamēr tiek veikta novēršana
AVV vs. Datu apstrādes līgums: Galvenās atšķirības
AVV un DPA ir būtībā tas pats dokuments ar dažādiem nosaukumiem. Tomēr ir praktiskas atšķirības, kuras ir vērts ņemt vērā starptautiskajām organizācijām.
| Dimensija | AVV | DPA |
|---|---|---|
| Valoda | Vācu | Angļu (vai vietējā) |
| Jurisdikcijas fokuss | DACH reģions | ES/EEA plaši |
| Bieža lietošanas konteksts | Vācu valodas līgumi | Starptautiski SaaS līgumi |
| Juridiskais pamats | GDPR 28. pants | GDPR 28. pants |
| Satura prasības | Identiskas | Identiskas |
DACH reģionā (Vācija, Austrija, Šveice) ir īpaši spēcīga izpildes kultūra attiecībā uz AVV, padarot tos par standarta praksi līgumos ar hostinga pakalpojumu sniedzējiem, SaaS ERP piegādātājiem un citiem pakalpojumu partneriem [1].
Cik maksā AVV?
AVV izmaksas atšķiras atkarībā no tā, kā tas tiek izveidots un pārskatīts.
- Veidlapu bāzēts AVV: Daudzi piegādātāji piedāvā savu AVV kā daļu no saviem pakalpojumu noteikumiem, parasti bez papildu maksas. Organizācijas, piemēram, NexDeck, piedāvā detalizētas AVV veidlapas, tostarp apakšapstrādātāju sarakstus [4].
- Juridiskā konsultanta pārskats: Juridiskā aizsardzības advokāta sagatavots vai pārskatīts pielāgots AVV parasti maksā no 300 līdz 2000 eiro atkarībā no sarežģītības un jurisdikcijas.
- DPO palīdzība sagatavošanā: Organizācijas ar iekšēju vai ārēju Datu aizsardzības speciālistu (DPO) bieži var izmantot šo resursu, lai sagatavotu AVV bez papildu izmaksām, izņemot DPO uzturēšanas maksu.
Mazajiem uzņēmumiem vispraktiskākais risinājums ir sākt ar cienījamu veidlapu un pirms parakstīšanas to pārskatīt kvalificētam profesionālim.
Kā izveidot AVV veidni?
AVV izveide sākas ar visu apstrādes attiecību identificēšanu, kur trešā puse apstrādā personas datus jūsu vārdā. No turienes process seko šiem soļiem:
- Inventarizējiet savus apstrādātājus: Sarakstiet katru piegādātāju, rīku vai pakalpojumu, kas piekļūst personas datiem, kurus jūs kontrolējat.
- Iegūstiet vai sagatavojiet AVV: Daudzi apstrādātāji (īpaši SaaS piegādātāji) nodrošina savu standarta AVV. Pārskatiet to attiecībā uz iepriekš minētajiem obligātajiem elementiem.
- Pielāgojiet TOM sadaļu: Pārliecinieties, ka tehniskie un organizatoriskie pasākumi atspoguļo apstrādātāja faktiskās drošības prakses.
- Norādiet apakšapstrādātājus: Iekļaujiet pielikumu, kurā identificēti visi apakšapstrādātāji, ko izmanto apstrādātājs, kopā ar viņu lomām un atrašanās vietām.
- Definējiet datu pārsūtīšanas mehānismus: Ja dati tiek pārsūtīti ārpus ES/EEA, norādiet juridisko pārsūtīšanas mehānismu (piemēram, Standarta līguma klauzulas).
- Parakstiet un saglabājiet: Abām pusēm jāparaksta AVV. Saglabājiet kopiju savos datu apstrādes ierakstos.
Veidlapas no atbilstības orientētām organizācijām nodrošina stabilu strukturālu pamatu, taču katram AVV jābūt pielāgotam konkrētajai apstrādes darbībai, ko tas regulē [2].
AVV prasības mazajiem uzņēmumiem
Mazie uzņēmumi nav atbrīvoti no AVV prasības. Jebkurai organizācijai, kas pakļauta GDPR un izmanto trešās puses apstrādātāju, jābūt AVV, neatkarīgi no uzņēmuma lieluma vai darbinieku skaita [1].
Mazajiem uzņēmumiem praktiskā slodze ir mazāka, nekā varētu šķist:
- Lielākā daļa lielo SaaS piegādātāju (e-pasta platformas, rezervēšanas sistēmas, analītikas rīki) jau nodrošina standarta AVV vai DPA kā daļu no saviem pakalpojumu noteikumiem. Šo noteikumu pieņemšana parasti veido derīgu līgumu.
- Galvenais uzdevums ir nodrošināt, ka jūs patiešām esat pārskatījis un pieņēmis šos noteikumus, nevis pieņēmāt, ka tie pastāv.
- Uzturiet vienkāršu reģistru par saviem apstrādātājiem un attiecīgajiem AVV.
Biežā kļūda: Mazie uzņēmumu īpašnieki bieži pieņem, ka, jo piegādātājs ir liels un cienījams, juridiskā dokumentācija automātiski ir kārtībā. AVV pieņemšanai jābūt aktīvai, dokumentētai darbībai.
AVV audita pēdu prasības
AVV jāiekļauj noteikumi, kas piešķir pārvaldniekam tiesības auditēt apstrādātāja atbilstību. Šī audita tiesība ir obligāts elements saskaņā ar GDPR 28. panta 3. punkta (h) apakšpunktu [2].
Praksē audita pēdu prasības nozīmē:
- Apstrādātājam jāuztur apstrādes darbību ieraksti saskaņā ar GDPR 30. panta 2. punktu.
- Pārvaldniekam ir tiesības veikt auditus vai uzdot trešajām pusēm veikt auditus, lai pārbaudītu atbilstību.
- Daudzi apstrādātāji apmierina šo prasību, izmantojot trešo pušu sertifikācijas, piemēram, ISO 27001 vai SOC 2, kas var aizstāt klātienes auditus daudzos gadījumos.
AVV ir tieši saistīts ar ISO 27001 pielikuma A kontroles A.5.19 līdz A.5.22, kas regulē piegādātāju attiecības un informācijas drošību piegādes ķēdēs [2]. Organizācijām ar formālu Informācijas drošības pārvaldības sistēmu (ISMS) jānodrošina, ka to AVV ir integrēti viņu piegādātāju pārvaldības procesos.
AVV starptautiskajiem datu pārsūtījumiem
Kad apstrādātājs atrodas ārpus ES/EEA, AVV jārisina juridiskais mehānisms, lai pārsūtītu personas datus uz šo trešo valsti. Standarta līguma klauzulas (SCC) ir visbiežāk izmantotais mehānisms un parasti tiek iekļautas kā pielikums AVV [2].
Galvenie apsvērumi starptautiskajiem AVV:
- Identificējiet, vai apstrādātāja valstij ir ES atbilstības lēmums.
- Ja nē, iekļaujiet atbilstošās SCC (pārvaldnieka uz apstrādātāju vai pārvaldnieka uz pārvaldnieku, atkarībā no attiecībām).
- Veiciet pārsūtīšanas ietekmes novērtējumu (TIA), ja nepieciešams.
- Nodrošiniet, ka AVV ir pieejams abās līgumslēdzēju pušu valodās [5].
Cik bieži jāatjaunina AVV?
AVV jāizskata un jāatjaunina, kad notiek būtiskas izmaiņas apstrādes attiecībās. Nav noteikta fiksēta likumīga pārskata intervāla, taču labā prakse norāda vismaz uz ikgadēju pārskatu [2].
Izmaiņas, kas prasa tūlītēju AVV atjaunināšanu:
- Apstrādātājs piesaista jaunu apakšapstrādātāju vai noņem esošo
- Apstrādes darbības mainās raksturā, mērķī vai apjomā
- Dati tiek pārsūtīti uz jaunu trešo valsti
- Apstrādātāja TOM tiek būtiski atjaunināti
- Attiecīgā likumdošana vai regulatīvās vadlīnijas mainās
Proaktīva AVV pārskatīšana ir pamatprakse atbilstībā. Novecojuši līgumi, kas vairs neatspoguļo faktiskās apstrādes darbības, rada tādu pašu regulatīvo risku kā AVV neesamība.
Biežākās kļūdas, izveidojot AVV
Pat organizācijas, kas saprot AVV prasību, bieži pieļauj kļūdas tās īstenošanā.
Kļūda 1: Uzskatīt piegādātāja standarta veidni par automātiski pietiekamu. Piegādātāja nodrošināta AVV veidne var nesegt jūsu specifiskās apstrādes darbības. Vienmēr pārskatiet to attiecībā uz obligātajiem elementiem.
Kļūda 2: Izlaist vai neskaidri aprakstīt TOM. Uzraudzības iestādes rūpīgi pārbauda TOM sadaļu. Neskaidra valoda, piemēram, "atbilstoši drošības pasākumi" bez specifikācijām, ir nepietiekama.
Kļūda 3: Aizmirst par apakšapstrādātājiem. AVV jānorāda apakšapstrādātāji. Neatjauninot šo sarakstu, kad apstrādātājs maina savus apakšapstrādātājus, ir bieža atbilstības nepilnība [2].
Kļūda 4: Neuzglabāt parakstītas kopijas. AVV, ko nevar uzrādīt audita laikā, nesniedz juridisku aizsardzību. Uzturiet organizētus ierakstus.
Kļūda 5: Jaukt AVV ar privātuma politiku. Šie ir pilnīgi atšķirīgi dokumenti, kas kalpo dažādiem mērķiem. Privātuma politika informē datu subjektus; AVV regulē pārvaldnieka un apstrādātāja attiecības [1].
Secinājums
Galīgā rokasgrāmata par AVV: Kāpēc katram datu apstrādātājam tas ir nepieciešams, galu galā nonāk pie vienkāršas atbilstības realitātes: ja personas dati maina īpašnieku starp pārvaldnieku un apstrādātāju, derīgam AVV jāpastāv pirms šīs apstrādes uzsākšanas. Nav lieluma izņēmumu, nav nozares izņēmumu un nav žēlastības periodu organizācijām, kas jau darbojas saskaņā ar GDPR.
Rīcības soļi 2026. gadam:
- Pārbaudiet katru trešo pušu piegādātāju, kas piekļūst personas datiem, kurus jūs kontrolējat, un apstipriniet, ka katram ir AVV.
- Pārskatiet esošos AVV, salīdzinot ar obligāto elementu sarakstu, pievēršot īpašu uzmanību TOM un apakšapstrādātāju sarakstiem.
- Izveidojiet kalendāra atgādinājumu ikgadējiem AVV pārskatiem un atjauninājumiem, kad mainās apstrādes darbības.
- Organizācijām, kas pārvalda piekrišanu un sīkdatņu atbilstību kopā ar saviem AVV, apsveriet iespēju apvienot savu datu apstrādes dokumentāciju ar atbilstošu piekrišanas pārvaldības platformu, piemēram, Biscotti CMP, lai saglabātu pilnīgu un aizsargājamu atbilstības stāvokli.
- Konsultējieties ar kvalificētu datu aizsardzības profesionāli par jebkuru AVV, kas ietver sarežģītas apstrādes darbības vai starptautiskus datu pārsūtījumus.
Izmaksas, lai pareizi izstrādātu AVV, ir minimālas. Izmaksas, lai tās izstrādātu nepareizi, nav.
Bieži uzdotie jautājumi
Kas ir AVV vienkāršos vārdos? AVV ir rakstisks līgums starp uzņēmumu, kas pieder personas datiem (pārvaldnieks), un uzņēmumu, kas apstrādā šos datus tā vārdā (apstrādātājs). Tajā ir norādīts, kādi dati tiek apstrādāti, kāpēc, kā tie tiek aizsargāti un kādi pienākumi ir abām pusēm.
Vai AVV ir nepieciešams katrai piegādātāja attiecībai? Tikai tiem piegādātājiem, kas apstrādā personas datus jūsu vārdā. Piegādātājs, kurš vienkārši nodrošina rīku, ko jūs izmantojat, lai apstrādātu datus paši (bez piekļuves datiem), parasti nav apstrādātājs un neprasa AVV.
Vai mutisks līgums var aizstāt AVV? Nē. GDPR 28. pants skaidri prasa, lai apstrādes līgums būtu rakstveidā, tostarp elektroniskā formā.
Vai AVV aizsargā pret GDPR naudām? Derīga AVV būtiski samazina regulatīvo risku, taču tā nesniedz absolūtu imunitāti. Naudas sodi joprojām var tikt piemēroti par citiem pārkāpumiem. AVV demonstrē atbilstību tieši 28. pantam.
Kādas ir atšķirības starp apakšapstrādātāju un apstrādātāju? Apstrādātājs tieši apstrādā datus pārvaldnieka vārdā. Apakšapstrādātājs tiek piesaistīts apstrādātājam, lai palīdzētu šajā apstrādē. Pārvaldniekam jābūt informētam par apakšapstrādātājiem, un apstrādātājam jāsaista apakšapstrādātāji ar līdzīgām saistībām.
Cik ilgi jāuzglabā AVV? GDPR nav noteikta konkrēta uzglabāšanas perioda AVV, taču tie jāuzglabā apstrādes attiecību laikā un saprātīgā periodā pēc tam, parasti saskaņā ar regulatīvās rīcības termiņu attiecīgajā jurisdikcijā.
Vai DPA, ko parakstījusi ASV uzņēmums, skaitās kā AVV? Jā, ja tas ietver visus GDPR 28. panta prasītos elementus un iekļauj atbilstošus pārsūtīšanas mehānismus, piemēram, Standarta līguma klauzulas.
Vai apstrādātājs var izmantot personas datus saviem mērķiem? Nē. Apstrādātājs var apstrādāt personas datus tikai saskaņā ar dokumentētajām pārvaldnieka instrukcijām. Apstrāde apstrādātāja paša mērķiem pārklasificētu šo pusi par pārvaldnieku, ar atsevišķām juridiskām saistībām.
Kas ir TOM AVV kontekstā? TOM nozīmē Tehniskie un organizatoriskie pasākumi. Tie ir drošības pasākumi, ko apstrādātājs īsteno, lai aizsargātu personas datus, piemēram, šifrēšana, piekļuves kontroles un pseudonimizācija. AVV jānorāda šie pasākumi.
Vai AVV jānotarizē? Nē. GDPR neprasa notarizāciju. Parakstīts rakstveida līgums (tostarp elektroniskie paraksti) ir pietiekams.
Atsauces
[1] Datu apstrādes līgums - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai