Raskt svar: AVV (Auftragsverarbeitungsvertrag) og DPA (Data Processing Agreement) refererer til den samme lovpålagte kontrakten under GDPR Artikkel 28, den tyske termen AVV brukes i DACH-regionens jurisdiksjoner, mens DPA er den engelskspråklige ekvivalenten som brukes i de fleste andre EU-medlemsland og internasjonalt. Begge regulerer hvordan en databehandler håndterer personopplysninger på vegne av en behandlingsansvarlig. Å velge feil rammeverk, eller å hoppe over avtalen helt, kan utsette organisasjonen din for betydelige regulatoriske straffer.
Viktige punkter
- AVV er den tyske forkortelsen for Auftragsverarbeitungsvertrag; DPA står for Data Processing Agreement, de er funksjonelt det samme instrumentet under GDPR.
- Begge avtalene er obligatoriske under Artikkel 28 GDPR når en behandlingsansvarlig engasjerer en databehandler for å håndtere personopplysninger.
- Terminologiforskjellen er regional: AVV er standard i Tyskland, Østerrike og Sveits; DPA brukes i engelskspråklige og de fleste andre EU-kontekster.
- En gyldig avtale må dekke emne, behandlingsvarighet, datakategorier, rettigheter for registrerte, betingelser for underbehandlere, sikkerhetstiltak og revisjonsbestemmelser. [1]
- Å ikke ha den riktige avtalen på plass kan resultere i undersøkelser fra tilsynsmyndigheter, bøter og kontraktstvister.
- Kostnaden for implementering varierer fra null (ved bruk av en leverandørs standardmal) til flere tusen euro for tilpasset juridisk utarbeidelse.
- Noen virksomheter som opererer på tvers av DACH- og ikke-DACH-markeder bruker legitimt begge termer i den samme avtalen for klarhet.
- En samtykkehåndteringsplattform som Biscotti CMP kan støtte din bredere GDPR-overholdelse, men erstatter ikke en korrekt utført AVV eller DPA.
Hva Står AVV For i Databeskyttelse, og Er Det Det Samme Som en DPA?
AVV står for Auftragsverarbeitungsvertrag, den tyskspråklige termen for en databehandlingsavtale. I praktiske juridiske termer er en AVV og en DPA det samme dokumentet, begge tilfredsstiller kravet i Artikkel 28 i GDPR om en skriftlig kontrakt mellom en databehandlingsansvarlig og en databehandler. [1]
Skillelinjen er rent språklig og jurisdiksjonelt. Tyske, østerrikske og sveitsiske databeskyttelsespraktikere bruker AVV som standardterm i kontrakter, personvernerklæringer og regulatorisk korrespondanse. Engelskspråklige praktikere og de fleste andre EU-medlemsland bruker DPA. Når en tysk SaaS-leverandør tilbyr deg en "AVV," tilbyr de det samme juridiske instrumentet som en britisk leverandør ville kalt en "DPA."
Viktig avklaring: Ingen av termene antyder en annen juridisk standard. Begge må oppfylle de samme innholdskravene i GDPR Artikkel 28(3) for å være gyldige. [1]
Hva Er Forskjellen Mellom AVV og DPA?
Forskjellen mellom AVV og DPA er terminologisk, ikke substansiell. Begge beskriver kontrakten som er pålagt av GDPR Artikkel 28 mellom en databehandlingsansvarlig (enheten som bestemmer formålet og midlene for behandlingen) og en databehandler (enheten som behandler data på vegne av den behandlingsansvarlige).
Der ekte forskjeller kan oppstå er i utformingsstil og lokal regulatorisk veiledning:
- Tyske tilsynsmyndigheter (Datenschutzbehörden) har publisert spesifikke maler og veiledningsnotater som AVV-dokumenter ofte inkorporerer.
- Engelsk-språklige DPA-er utarbeidet for britiske eller irske jurisdiksjoner kan referere til nasjonal implementeringslovgivning sammen med GDPR.
- Sveitsiske AVV-er må også ta hensyn til den reviderte føderale loven om databeskyttelse (revFADP), som avviker fra GDPR på visse punkter.
Bunnlinje: Hvis en leverandør sender deg en AVV og du trenger en DPA, har du mottatt det du trenger, forutsatt at innholdet oppfyller kravene i Artikkel 28(3). [1]
Når Trenger Du en AVV vs. en DPA?
Du trenger en av disse avtalene hver gang organisasjonen din deler personopplysninger med en tredjeparts tjenesteleverandør som behandler disse dataene etter dine instruksjoner. Utløseren er forholdet mellom behandlingsansvarlig og databehandler, ikke språket i kontrakten.
Bruk en AVV når:
- Din motpart er basert i Tyskland, Østerrike eller Sveits og deres standardkontrakt bruker den terminologien.
- Din egen organisasjon opererer under tysk databeskyttelseslov og dine interne maler følger BfDI eller statlig DPA-veiledning.
Bruk en DPA når:
- Din motpart opererer i en engelskspråklig jurisdiksjon eller bruker engelsk som kontraktspråk.
- Du inngår kontrakt med en amerikansk skyleverandør, en britisk SaaS-leverandør, eller en hvilken som helst internasjonal databehandler hvis maler standardmessig er "DPA."
Vanlig feil: Å anta at fordi en leverandør kaller dokumentet sitt en AVV i stedet for en DPA, gjelder forskjellige juridiske regler. Innholdskravene er identiske under GDPR. Det som betyr noe er substans, ikke etiketten på forsiden.
Hvem Trenger en AVV og Hvem Trenger en DPA?
Enhver organisasjon som kvalifiserer som en databehandlingsansvarlig under GDPR og engasjerer en tredjepart for å behandle personopplysninger på sine vegne trenger en av disse avtalene. Dette gjelder for:
- E-handelsvirksomheter som bruker tredjeparts betalingsbehandlere eller e-postmarkedsføringsplattformer.
- Bedrifter som bruker skyinfrastrukturleverandører (IaaS, PaaS, SaaS).
- Online markedsføringsbyråer som behandler kundedata for klienter.
- Utviklere som bygger applikasjoner som håndterer sluttbrukerens personopplysninger via eksterne API-er.
- Nettstedseiere som bruker analyseverktøy, CDN-er eller CRM-systemer som behandler besøksdata.
Organisasjoner basert i DACH-markeder vil typisk møte AVV-merket; de som opererer internasjonalt vil oftere håndtere DPA-er. Begge kategorier av organisasjoner står overfor den samme juridiske forpliktelsen.
Hva Bør Inkluderes i en AVV vs. en DPA?
Både en AVV og en DPA må inneholde de samme obligatoriske elementene under GDPR Artikkel 28(3). Å mangle noen av disse klausulene gjør avtalen ikke-kompatibel. [1]
| Obligatorisk Klausul | Beskrivelse |
|---|---|
| Emne og varighet | Hvilke data som behandles og hvor lenge |
| Natur og formål | Hvorfor og hvordan behandlingen skjer |
| Datatyper og registrerte | Kategorier av personopplysninger og berørte individer |
| Behandlingsansvarliges rettigheter og forpliktelser | Instruksjoner som databehandleren må følge |
| Sikkerhetstiltak | Tekniske og organisatoriske sikkerhetstiltak (TOMs) |
| Betingelser for underbehandlere | Regler for engasjement av nedstrøms databehandlere |
| Hjelp til rettigheter for registrerte | Støtte for forespørsel om tilgang, sletting, portabilitet |
| Varsling ved brudd | Databehandlerens plikt til å varsle behandlingsansvarlig om hendelser |
| Dataretur eller sletting | Hva som skjer med dataene ved kontraktens slutt |
| Revisjonsrettigheter | Behandlingsansvarliges rett til å verifisere overholdelse |
Spesiell situasjon: Hvis en leverandørs mal mangler revisjonsrettigheter eller betingelser for underbehandlere, ikke signer den som den er. Disse er ikke-forhandlingsbare under Artikkel 28(3). [1]
Hvor Mye Koster Det å Etablere en AVV eller DPA?
Kostnaden avhenger helt av om du bruker en leverandørs standardmal eller bestiller tilpasset juridisk utarbeidelse.
- Leverandørens mal (mest vanlig): Gratis. De fleste store SaaS- og skyleverandører publiserer en standard AVV eller DPA som behandlingsansvarlige kan akseptere online eller via en klikk-prosess.
- Forhandlet tilpasset avtale: Juridiske gebyrer varierer vanligvis fra 500 til 5 000 euro avhengig av kompleksitet, jurisdiksjon og rådgivningssatser. Bedriftskontrakter med betydelige datavolumer eller sensitive datakategorier ligger på den høyere enden.
- Intern malutvikling: En engangsinvestering av juridisk rådgivningstid for å lage en gjenbrukbar mal; løpende kostnad er minimal.
Praktisk merknad: For de fleste SMB-er og nettstedseiere er leverandørens standardmal tilstrekkelig. Tilpasset forhandling er berettiget når behandlingen involverer spesielle datakategorier (helse, biometrisk, finansiell) eller når den behandlingsansvarlige bærer betydelig ansvar.
Hvordan Skiller Kravene til AVV og DPA Seg Etter Land?
Under GDPR er de substansielle kravene harmonisert på tvers av alle EU-medlemsland, så kjernen i innholdet i en AVV og en DPA er identisk enten du er i Berlin, Paris eller Warszawa. Imidlertid finnes det nasjonale nyanser:
- Tyskland: BfDI og statlige DPAs har utgitt detaljert veiledning og modellklausuler. Tyske AVV-er inkluderer ofte mer detaljerte tekniske og organisatoriske tiltak (TOMs) dokumentasjon.
- Sveits: revFADP (gjeldende fra september 2023) pålegger ytterligere krav utover GDPR, inkludert spesifikke bestemmelser for grenseoverskridende datatransfer og tidslinjer for varsling ved databrudd.
- UK (etter Brexit): UK GDPR gjelder; DPA-er må referere til UK ICOs veiledning i stedet for EU-tilsynsmyndigheter. Standard kontraktsklausuler skiller seg fra EU SCC-er.
- Andre EU-medlemsland: GDPR Artikkel 28 gjelder direkte; lokal DPA-veiledning kan supplere, men kan ikke redusere minimumskravene.
Velg styringslovklausulen nøye. En AVV under tysk lov og en DPA under irsk lov kan se like ut, men vil bli tolket av forskjellige domstoler og tilsynsmyndigheter.
Kan Du Bruke en AVV I Stedet for en DPA, eller Bruke Begge Samtidig?
Ja, en AVV kan erstatte en DPA fordi de er juridisk ekvivalente instrumenter. Et selskap som opererer på tvers av DACH- og ikke-DACH-markeder kan inkludere begge termer i den samme kontraktsoverskriften (f.eks. "Data Processing Agreement / Auftragsverarbeitungsvertrag") for å unngå forvirring, dette er vanlig praksis i tospråklige bedriftskontrakter og er helt tillatt.
Å bruke begge etikettene samtidig skaper ikke to separate juridiske forpliktelser. Det sikrer bare at tyskspråklige og engelskspråklige parter forstår at de ser på det samme dokumentet.
Hva Er Vanlige Feil Når Du Velger Mellom AVV og DPA?
De mest konsekvensfulle feilene handler ikke om hvilken term du bruker, men om hva avtalen inneholder og om den eksisterer i det hele tatt.
- Å hoppe over avtalen helt fordi et leverandørforhold føles uformelt eller lavrisiko. Under GDPR utløses forpliktelsen av selve behandlingen, ikke av oppfattet risikonivå.
- Å akseptere en ufullstendig mal som utelater klausuler for underbehandlere eller revisjonsrettigheter, i troen på at leverandørens versjon automatisk er kompatibel.
- Å forveksle en DPA med en datadelingavtale. En DPA regulerer databehandlerforhold; en datadelingavtale regulerer felles behandlingsansvarlig eller behandlingsansvarlig-til-behandlingsansvarlig datadeling. Disse er forskjellige instrumenter.
- Å unngå å oppdatere avtaler når en databehandler engasjerer nye underbehandlere eller endrer behandlingsnatur.
- Å anta at GDPR-overholdelse dekker sveitsisk lov. Organisasjoner med sveitsiske registrerte må sikre at deres AVV også tilfredsstiller revFADP-kravene.
Hva Er De Juridiske Konsekvensene av Å Gjøre Feil Med AVV vs. DPA?
Å ikke ha en gyldig, komplett avtale på plass utsetter både behandlingsansvarlige og databehandlere for regulatorisk og sivil ansvar.
Under GDPR Artikkel 83(4) kan brudd på Artikkel 28 (DPA/AVV-kravet) resultere i administrative bøter på opptil 10 millioner euro eller 2% av global årlig omsetning, avhengig av hva som er høyest. Tilsynsmyndigheter i Tyskland har vist vilje til å undersøke og bøtelegge organisasjoner for manglende eller mangelfulle behandlingsavtaler.
Utover bøter inkluderer konsekvenser:
- Tilsynsmyndighetsrevisjoner og korrigerende ordre.
- Manglende evne til å håndheve kontraktsvilkår mot en ikke-kompatibel databehandler.
- Sivil ansvarlighet hvis et databrudd skjer uten en gyldig avtale som dokumenterer sikkerhetsforpliktelser.
- Omdømmeskade i B2B-sammenhenger der bedriftskunder gjennomfører leverandørdue diligence.
Hvordan Vet Du Hvilken Avtale Virksomheten Din Faktisk Trenger?
Beslutningen er enkel når du identifiserer forholdet og jurisdiksjonen.
Trinn 1: Bestem om organisasjonen din er den behandlingsansvarlige (du bestemmer hvorfor og hvordan data behandles) eller databehandleren (du behandler data etter andres instruksjoner).
Trinn 2: Identifiser språket og jurisdiksjonen til din motpart. Hvis de er i DACH-regionen, forvent en AVV. Hvis de er andre steder, forvent en DPA.
Trinn 3: Bekreft at dokumentet du mottar inneholder alle ti obligatoriske elementene under Artikkel 28(3) GDPR. [1]
Trinn 4: Hvis organisasjonen din også må håndtere brukerens samtykke for informasjonskapsler og sporingsteknologier, adresserer en samtykkehåndteringsplattform som Biscotti CMP det laget av GDPR-overholdelse, men den fungerer sammen med, ikke i stedet for, en korrekt utført AVV eller DPA.
Beslutningsregel: Hvis du behandler personopplysninger på vegne av en annen organisasjon, trenger du en DPA eller AVV uansett hva forholdet kalles kommersielt. Hvis en annen organisasjon behandler data på dine vegne, er du ansvarlig for å sikre at avtalen er på plass før behandlingen begynner.
FAQ
Q: Er en AVV juridisk gyldig utenfor Tyskland?
En AVV er juridisk gyldig hvor som helst GDPR gjelder, forutsatt at den oppfyller kravene i Artikkel 28(3). Den tyske terminologien begrenser ikke dens håndhevelighet i andre EU-jurisdiksjoner.
Q: Må en DPA signeres av begge parter?
Ja. GDPR Artikkel 28(9) krever at avtalen er skriftlig, noe som inkluderer elektronisk form. Både behandlingsansvarlig og databehandler må være bundet av vilkårene.
Q: Kan en leverandørs online klikk-gjennom DPA oppfylle GDPR-kravene?
Ja, hvis innholdet oppfyller kravene i Artikkel 28(3). Mange store skyleverandører tilbyr kompatible klikk-gjennom DPA-er som har blitt vurdert av tilsynsmyndigheter.
Q: Hva er en underbehandler, og hvorfor er det viktig i en DPA eller AVV?
En underbehandler er en tredjepart engasjert av databehandleren for å utføre behandlingsaktiviteter. DPA-en eller AVV-en må spesifisere betingelsene under hvilke underbehandlere kan engasjeres, inkludert behandlingsansvarliges rett til å protestere. [1]
Q: Trenger jeg en ny AVV eller DPA hver gang en databehandler oppdaterer listen over underbehandlere?
Ikke nødvendigvis. Mange avtaler inkluderer en generell autorisasjon for endringer av underbehandlere, forutsatt at databehandleren varsler behandlingsansvarlig og behandlingsansvarlig beholder retten til å protestere innen en spesifisert periode.
Q: Dekker en DPA datatransfer utenfor EU?
En DPA regulerer behandlingsforholdet, men autoriserer ikke i seg selv grenseoverskridende datatransfer. Separate overføringsmekanismer (Standard Contractual Clauses, tilstrekkelighetsbeslutninger) er nødvendige for overføringer til tredjeland.
Q: Hvor lenge bør en DPA eller AVV oppbevares?
Oppbevar avtalen i løpet av behandlingsforholdet og i en rimelig periode etterpå, vanligvis minst tre til fem år, for å demonstrere overholdelse i tilfelle en tilsynsmyndighetsforespørsel.
Q: Hva er forskjellen mellom en DPA og en DPIA?
En DPA (Data Processing Agreement) er en kontrakt mellom behandlingsansvarlig og databehandler. En DPIA (Data Protection Impact Assessment) er en intern risikovurdering som kreves for høy-risiko behandlingsaktiviteter. De tjener forskjellige formål, og ingen av dem kan erstatte den andre.
Q: Kan en frilanser eller lite byrå bli pålagt å signere en AVV eller DPA?
Ja. Forpliktelsen gjelder uavhengig av størrelsen på databehandleren. En frilansutvikler som håndterer kundedata for klienter er en databehandler og må signere en DPA eller AVV med hver klientbehandlingsansvarlig.
Q: Erstatter Biscotti CMP behovet for en DPA eller AVV?
Nei. Biscotti CMP er en samtykkehåndteringsplattform som hjelper til med å håndtere brukerens samtykke for informasjonskapsler og sporing, et separat krav for GDPR-overholdelse. En DPA eller AVV er fortsatt nødvendig for ethvert databehandlerforhold som involverer personopplysninger.
Konklusjon
Spørsmålet om AVV vs. DPA løses raskt når du innser at begge termer beskriver det samme lovpålagte instrumentet under GDPR Artikkel 28. Den virkelige utfordringen er ikke å velge mellom dem, men å sikre at dokumentet som regulerer dine databehandlerforhold inneholder hver obligatorisk klausul, er korrekt utført, og holdes oppdatert etter hvert som behandlingsaktiviteter utvikler seg.
Handlingsbare neste trinn:
- Revider alle nåværende leverandørforhold for å bekrefte at en gyldig DPA eller AVV er på plass for hver databehandler som håndterer personopplysninger på dine vegne.
- Gjennomgå eksisterende avtaler mot de ti obligatoriske elementene i Artikkel 28(3) GDPR og be om endringer for eventuelle mangler. [1]
- Hvis du opererer i Sveits, bekreft at avtalene også tilfredsstiller revFADP-kravene utover GDPR-basislinjen.
- Etabler en intern prosess for onboarding av nye databehandlere, ingen behandling bør begynne før avtalen er signert.
- For samtykkehåndtering og informasjonskapseloverholdelse på nettstedet eller applikasjonen din, vurder Biscotti CMP som en del av ditt bredere GDPR-overholdelsesrammeverk.
Databeskyttelsesoverholdelse er ikke et engangsprosjekt. Avtaler må revideres når behandlingen endres, når underbehandlere legges til, og når regulatorisk veiledning utvikler seg. Å bygge inn denne revisjonsfrekvensen i ditt overholdelsesprogram er den mest praktiske beskyttelsen mot regulatorisk eksponering.
Referanser
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai