Snelle Antwoord: AVV (Auftragsverarbeitungsvertrag) en DPA (Data Processing Agreement) verwijzen naar hetzelfde wettelijk vereiste contract onder GDPR Artikel 28. De Duitse term AVV wordt gebruikt in DACH-regio jurisdicties, terwijl DPA het Engelstalige equivalent is dat in de meeste andere EU-lidstaten en internationaal wordt gebruikt. Beide regelen hoe een gegevensverwerker persoonlijke gegevens behandelt namens een verwerkingsverantwoordelijke. Het kiezen van de verkeerde formulering of het volledig overslaan van de overeenkomst kan uw organisatie blootstellen aan aanzienlijke regelgevende sancties.
Belangrijkste Punten
- AVV is de Duitse afkorting voor Auftragsverarbeitungsvertrag; DPA staat voor Data Processing Agreement, ze zijn functioneel hetzelfde instrument onder de GDPR.
- Beide overeenkomsten zijn verplicht onder Artikel 28 GDPR wanneer een verwerkingsverantwoordelijke een verwerker inschakelt om persoonlijke gegevens te verwerken.
- Het terminologieverschil is regionaal: AVV is standaard in Duitsland, Oostenrijk en Zwitserland; DPA wordt gebruikt in Engelstalige en de meeste andere EU-contexten.
- Een geldige overeenkomst moet de onderwerp, verwerkingsduur, gegevenscategorieën, rechten van de betrokkenen, voorwaarden voor sub-verwerkers, beveiligingsmaatregelen en auditbepalingen dekken. [1]
- Het niet hebben van de juiste overeenkomst kan leiden tot onderzoeken door toezichthoudende autoriteiten, boetes en contractgeschillen.
- De kosten voor implementatie variëren van nul (gebruik van een standaard sjabloon van een leverancier) tot enkele duizenden euro's voor op maat gemaakte juridische opstelling.
- Sommige bedrijven die actief zijn in DACH- en niet-DACH-markten gebruiken beide termen legitiem in dezelfde overeenkomst voor duidelijkheid.
- Een Consent Management Platform zoals Biscotti CMP kan uw bredere GDPR-nalevingshouding ondersteunen, maar vervangt geen correct uitgevoerde AVV of DPA.
Wat Betekent AVV in Gegevensbescherming, en Is Het Hetzelfde als een DPA?
AVV staat voor Auftragsverarbeitungsvertrag, de Duitse term voor een Data Processing Agreement. In praktische juridische termen zijn een AVV en een DPA hetzelfde document, beide voldoen aan de vereiste die is vastgelegd in Artikel 28 van de GDPR voor een schriftelijk contract tussen een gegevensverwerkingsverantwoordelijke en een gegevensverwerker. [1]
Het onderscheid is puur linguïstisch en jurisdictiegebonden. Duitse, Oostenrijkse en Zwitserse gegevensbeschermingsprofessionals gebruiken AVV als de standaardterm in contracten, privacybeleid en regelgevende correspondentie. Engelstalige professionals en de meeste andere EU-lidstaten gebruiken DPA. Wanneer een Duitse SaaS-leverancier u een "AVV" aanbiedt, bieden ze hetzelfde juridische instrument aan dat een in het VK gevestigde leverancier een "DPA" zou noemen.
Belangrijke verduidelijking: Geen van beide termen impliceert een andere juridische standaard. Beide moeten voldoen aan dezelfde inhoudseisen van GDPR Artikel 28(3) om geldig te zijn. [1]
Wat Is Het Verschil Tussen AVV en DPA?
Het verschil tussen AVV en DPA is terminologisch, niet inhoudelijk. Beide beschrijven het contract dat wordt voorgeschreven door GDPR Artikel 28 tussen een gegevensverwerkingsverantwoordelijke (de entiteit die het doel en de middelen van verwerking bepaalt) en een gegevensverwerker (de entiteit die gegevens verwerkt namens de verwerkingsverantwoordelijke).
Echte verschillen kunnen ontstaan in opmaakstijl en lokale regelgevende richtlijnen:
- Duitse toezichthoudende autoriteiten (Datenschutzbehörden) hebben specifieke sjabloonclausules en richtlijnen gepubliceerd die AVV-documenten vaak opnemen.
- Engelstalige DPA's die zijn opgesteld voor Britse of Ierse jurisdicties kunnen nationale implementatiewetgeving naast de GDPR vermelden.
- Zwitserse AVV's moeten ook rekening houden met de herziene Federale Wet op Gegevensbescherming (revFADP), die in bepaalde opzichten afwijkt van de GDPR.
Conclusie: Als een leverancier u een AVV stuurt en u heeft een DPA nodig, heeft u gekregen wat u nodig heeft, mits de inhoud voldoet aan de vereisten van Artikel 28(3). [1]
Wanneer Heeft U Een AVV Nodig vs. Een DPA?
U heeft een van deze overeenkomsten nodig telkens wanneer uw organisatie persoonlijke gegevens deelt met een externe dienstverlener die die gegevens op uw instructies verwerkt. De trigger is de relatie tussen verwerkingsverantwoordelijke en verwerker, niet de taal van het contract.
Gebruik een AVV wanneer:
- Uw tegenpartij is gevestigd in Duitsland, Oostenrijk of Zwitserland en hun standaardcontract gebruikt die terminologie.
- Uw eigen organisatie opereert onder de Duitse gegevensbeschermingswet en uw interne sjablonen volgen BfDI- of staats DPA-richtlijnen.
Gebruik een DPA wanneer:
- Uw tegenpartij opereert in een Engelstalige jurisdictie of gebruikt Engels als contracttaal.
- U een contract aangaat met een in de VS gevestigde cloudprovider, een Britse SaaS-leverancier of een internationale verwerker wiens sjablonen standaard "DPA" zijn.
Veelgemaakte fout: Aannemen dat omdat een leverancier hun document een AVV noemt in plaats van een DPA, er andere juridische regels van toepassing zijn. De inhoudseisen zijn identiek onder de GDPR. Wat telt is de inhoud, niet het label op de omslag.
Wie Heeft Een AVV Nodig en Wie Heeft Een DPA Nodig?
Elke organisatie die kwalificeert als een gegevensverwerkingsverantwoordelijke onder de GDPR en een derde partij inschakelt om persoonlijke gegevens namens hen te verwerken, heeft een van deze overeenkomsten nodig. Dit geldt voor:
- E-commercebedrijven die gebruikmaken van externe betalingsverwerkers of e-mailmarketingplatforms.
- Ondernemingen die gebruikmaken van cloudinfrastructuurproviders (IaaS, PaaS, SaaS).
- Online marketingbureaus die klantgegevens verwerken.
- Ontwikkelaars die applicaties bouwen die persoonlijke gegevens van eindgebruikers via externe API's verwerken.
- Website-eigenaren die analysetools, CDN's of CRM-systemen gebruiken die bezoekersgegevens verwerken.
Organisaties die gevestigd zijn in DACH-markten zullen doorgaans de AVV-label tegenkomen; degenen die internationaal opereren, zullen vaker met DPA's te maken hebben. Beide categorieën organisaties hebben dezelfde juridische verplichting.
Wat Moet Worden Opgenomen in Een AVV vs. Een DPA?
Zowel een AVV als een DPA moeten dezelfde verplichte elementen bevatten onder GDPR Artikel 28(3). Het ontbreken van een van deze clausules maakt de overeenkomst niet-conform. [1]
| Vereiste Clausule | Beschrijving |
|---|---|
| Onderwerp en duur | Welke gegevens worden verwerkt en hoe lang |
| Aard en doel | Waarom en hoe de verwerking plaatsvindt |
| Gegevenssoorten en betrokkenen | Categorieën van persoonlijke gegevens en betrokken individuen |
| Rechten en verplichtingen van de verwerkingsverantwoordelijke | Instructies die de verwerker moet volgen |
| Beveiligingsmaatregelen | Technische en organisatorische waarborgen (TOM's) |
| Voorwaarden voor sub-verwerkers | Regels voor het inschakelen van downstream-verwerkers |
| Hulp bij rechten van betrokkenen | Ondersteuning voor toegang, verwijdering, verzoeken om overdraagbaarheid |
| Meldingsplicht bij inbreuken | Verplichting van de verwerker om de verwerkingsverantwoordelijke te informeren over incidenten |
| Gegevensretour of -verwijdering | Wat er met gegevens gebeurt aan het einde van het contract |
| Auditrechten | Recht van de verwerkingsverantwoordelijke om naleving te verifiëren |
Uitzondering: Als het sjabloon van een leverancier auditrechten of voorwaarden voor sub-verwerkers weglaat, onderteken het dan niet zoals het is. Deze zijn niet onderhandelbaar onder Artikel 28(3). [1]
Hoeveel Kost Het Om Een AVV of DPA Op Te Stellen?
De kosten hangen volledig af van of u een standaard sjabloon van een leverancier gebruikt of op maat gemaakte juridische opstelling laat maken.
- Sjabloon van de leverancier (meest gebruikelijk): Gratis. De meeste grote SaaS- en cloudleveranciers publiceren een standaard AVV of DPA die verwerkingsverantwoordelijken online of via een klikproces kunnen accepteren.
- Onderhandelde op maat gemaakte overeenkomst: Juridische kosten variëren doorgaans van 500 tot 5.000 euro, afhankelijk van complexiteit, jurisdictie en tarieven van juridische adviseurs. Ondernemingscontracten met aanzienlijke gegevensvolumes of gevoelige gegevenscategorieën bevinden zich aan de hogere kant.
- Ontwikkeling van interne sjablonen: Een eenmalige investering van tijd van juridische adviseurs om een herbruikbaar sjabloon te creëren; doorlopende kosten zijn minimaal.
Praktische opmerking: Voor de meeste MKB's en website-eigenaren is het standaard sjabloon van de leverancier voldoende. Aangepaste onderhandelingen zijn gerechtvaardigd wanneer de verwerking speciale categoriegegevens (gezondheid, biometrisch, financieel) omvat of wanneer de verwerkingsverantwoordelijke aanzienlijke aansprakelijkheidsrisico's draagt.
Hoe Verschillen De Vereisten Voor AVV en DPA Per Land?
Onder de GDPR zijn de inhoudelijke vereisten geharmoniseerd in alle EU-lidstaten, zodat de kerninhoud van een AVV en een DPA identiek is, ongeacht of u zich in Berlijn, Parijs of Warschau bevindt. Er bestaan echter nationale nuances:
- Duitsland: De BfDI en de staats-DPA's hebben gedetailleerde richtlijnen en modelclausules uitgegeven. Duitse AVV's bevatten vaak meer gedetailleerde documentatie van technische en organisatorische maatregelen (TOM's).
- Zwitserland: De revFADP (van kracht vanaf september 2023) legt aanvullende vereisten op die verder gaan dan de GDPR, inclusief specifieke bepalingen voor grensoverschrijdende gegevensoverdrachten en termijnen voor meldingen van gegevensinbreuken.
- VK (na de Brexit): UK GDPR is van toepassing; DPA's moeten verwijzen naar de richtlijnen van de UK ICO in plaats van de EU-toezichthoudende autoriteiten. Standaardcontractclausules verschillen van de EU SCC's.
- Andere EU-lidstaten: GDPR Artikel 28 is rechtstreeks van toepassing; lokale DPA-richtlijnen kunnen aanvullend zijn, maar kunnen de minimumvereisten niet verlagen.
Kies de clausule voor het toepasselijke recht zorgvuldig. Een AVV onder Duits recht en een DPA onder Iers recht kunnen er vergelijkbaar uitzien, maar zullen door verschillende rechtbanken en toezichthoudende autoriteiten worden geïnterpreteerd.
Kunt U Een AVV Gebruiken In Plaats Van Een DPA, Of Beide Tegelijkertijd Gebruiken?
Ja, een AVV kan een DPA vervangen omdat ze juridische gelijkwaardige instrumenten zijn. Een bedrijf dat actief is in DACH- en niet-DACH-markten kan beide termen in dezelfde contractkop opnemen (bijv. "Data Processing Agreement / Auftragsverarbeitungsvertrag") om verwarring te voorkomen; dit is gebruikelijke praktijk in tweetalige ondernemingscontracten en is volledig toegestaan.
Het gelijktijdig gebruik van beide labels creëert geen twee afzonderlijke juridische verplichtingen. Het zorgt er gewoon voor dat Duitstalige en Engelstalige partijen begrijpen dat ze naar hetzelfde document kijken.
Wat Zijn Veelvoorkomende Fouten Bij Het Kiezen Tussen AVV en DPA?
De meest ingrijpende fouten hebben niet te maken met welke term u gebruikt, maar met wat de overeenkomst bevat en of deze überhaupt bestaat.
- De overeenkomst volledig overslaan omdat een leveranciersrelatie informeel of laag-risico aanvoelt. Onder de GDPR wordt de verplichting geactiveerd door de handeling van verwerking, niet door het waargenomen risiconiveau.
- Een onvolledig sjabloon accepteren dat clausules voor sub-verwerkers of auditrechten weglaat, in de veronderstelling dat de versie van de leverancier automatisch compliant is.
- Een DPA verwarren met een gegevensdelingsovereenkomst. Een DPA regelt verwerkerrelaties; een gegevensdelingsovereenkomst regelt gegevensuitwisselingen tussen gezamenlijke verwerkingsverantwoordelijken of verwerkingsverantwoordelijke naar verwerkingsverantwoordelijke. Dit zijn verschillende instrumenten.
- Verzuimen om overeenkomsten bij te werken wanneer een verwerker nieuwe sub-verwerkers inschakelt of de aard van de verwerking verandert.
- Aannemen dat GDPR-naleving de Zwitserse wet dekt. Organisaties met Zwitserse betrokkenen moeten ervoor zorgen dat hun AVV ook voldoet aan de vereisten van de revFADP.
Wat Zijn De Juridische Gevolgen Van Het Foutief Kiezen Tussen AVV En DPA?
Het niet hebben van een geldige, complete overeenkomst stelt zowel verwerkingsverantwoordelijken als verwerkers bloot aan regelgevende en civiele aansprakelijkheid.
Onder GDPR Artikel 83(4) kunnen inbreuken op Artikel 28 (de vereiste DPA/AVV) leiden tot administratieve boetes van maximaal 10 miljoen euro of 2% van de wereldwijde jaarlijkse omzet, afhankelijk van wat hoger is. Toezichthoudende autoriteiten in Duitsland hebben bereidheid getoond om organisaties te onderzoeken en te beboeten voor ontbrekende of gebrekkige verwerkingsovereenkomsten.
Naast boetes omvatten de gevolgen:
- Audits door toezichthoudende autoriteiten en corrigerende bevelen.
- Onvermogen om contractuele voorwaarden af te dwingen tegen een niet-conforme verwerker.
- Civiele aansprakelijkheidsrisico's als er een gegevensinbreuk plaatsvindt zonder een geldige overeenkomst die beveiligingsverplichtingen documenteert.
- Reputatieschade in B2B-contexten waar ondernemingsklanten leveranciersdue diligence uitvoeren.
Hoe Weet U Welke Overeenkomst Uw Bedrijf Eigenlijk Nodig Heeft?
De beslissing is eenvoudig zodra u de relatie en de jurisdictie identificeert.
Stap 1: Bepaal of uw organisatie de verwerkingsverantwoordelijke is (u beslist waarom en hoe gegevens worden verwerkt) of de verwerker (u verwerkt gegevens op instructies van iemand anders).
Stap 2: Identificeer de taal en jurisdictie van uw tegenpartij. Als ze zich in de DACH-regio bevinden, verwacht dan een AVV. Als ze elders zijn, verwacht dan een DPA.
Stap 3: Controleer of het document dat u ontvangt alle tien verplichte elementen bevat onder Artikel 28(3) GDPR. [1]
Stap 4: Als uw organisatie ook gebruikersconsent voor cookies en trackingtechnologieën moet beheren, adresseert een Consent Management Platform zoals Biscotti CMP die laag van GDPR-naleving, maar het opereert naast, niet in plaats van, een correct uitgevoerde AVV of DPA.
Beslissingsregel: Als u persoonlijke gegevens namens een andere organisatie verwerkt, heeft u een DPA of AVV nodig, ongeacht hoe de relatie commercieel wordt genoemd. Als een andere organisatie gegevens namens u verwerkt, bent u verantwoordelijk voor het waarborgen dat die overeenkomst is afgesloten voordat de verwerking begint.
FAQ
V: Is een AVV juridisch geldig buiten Duitsland?
Een AVV is juridisch geldig waar de GDPR van toepassing is, mits het voldoet aan de inhoudseisen van Artikel 28(3). De Duitse terminologie beperkt de handhaafbaarheid in andere EU-jurisdicties niet.
V: Moet een DPA door beide partijen worden ondertekend?
Ja. GDPR Artikel 28(9) vereist dat de overeenkomst schriftelijk is, wat ook elektronische vorm omvat. Zowel de verwerkingsverantwoordelijke als de verwerker moeten aan de voorwaarden gebonden zijn.
V: Kan een online klik-door DPA van een leverancier voldoen aan de GDPR-vereisten?
Ja, als de inhoud voldoet aan de vereisten van Artikel 28(3). Veel grote cloudleveranciers bieden conforme klik-door DPA's aan die zijn beoordeeld door toezichthoudende autoriteiten.
V: Wat is een sub-verwerker en waarom is het belangrijk in een DPA of AVV?
Een sub-verwerker is een derde partij die door de verwerker is ingeschakeld om verwerkingsactiviteiten uit te voeren. De DPA of AVV moet voorwaarden specificeren waaronder sub-verwerkers kunnen worden ingeschakeld, inclusief het recht van de verwerkingsverantwoordelijke om bezwaar te maken. [1]
V: Heb ik elke keer dat een verwerker zijn sub-verwerkerslijst bijwerkt een nieuwe AVV of DPA nodig?
Niet noodzakelijk. Veel overeenkomsten bevatten een algemene autorisatie voor wijzigingen in sub-verwerkers, mits de verwerker de verwerkingsverantwoordelijke informeert en de verwerkingsverantwoordelijke het recht behoudt om binnen een bepaalde periode bezwaar te maken.
V: Deckt een DPA gegevensoverdrachten buiten de EU?
Een DPA regelt de verwerkingsrelatie, maar autoriseert op zichzelf geen grensoverschrijdende gegevensoverdrachten. Voor overdrachten naar derde landen zijn aparte overdrachtmechanismen (Standaardcontractclausules, adequaatheidsbesluiten) vereist.
V: Hoe lang moet een DPA of AVV worden bewaard?
Bewaar de overeenkomst gedurende de duur van de verwerkingsrelatie en voor een redelijke periode daarna, meestal ten minste drie tot vijf jaar, om naleving aan te tonen in het geval van een onderzoek door een toezichthoudende autoriteit.
V: Wat is het verschil tussen een DPA en een DPIA?
Een DPA (Data Processing Agreement) is een contract tussen verwerkingsverantwoordelijke en verwerker. Een DPIA (Data Protection Impact Assessment) is een interne risicobeoordeling die vereist is voor risicovolle verwerkingsactiviteiten. Ze dienen verschillende doeleinden en de een vervangt de ander niet.
V: Kan een freelancer of klein bureau verplicht worden om een AVV of DPA te ondertekenen?
Ja. De verplichting geldt ongeacht de grootte van de verwerker. Een freelance ontwikkelaar die klantgegevens verwerkt, is een verwerker en moet een DPA of AVV ondertekenen met elke klantverwerkingsverantwoordelijke.
V: Vervangt Biscotti CMP de noodzaak voor een DPA of AVV?
Nee. Biscotti CMP is een Consent Management Platform dat helpt bij het beheren van gebruikersconsent voor cookies en tracking, een aparte vereiste voor GDPR-naleving. Een DPA of AVV is nog steeds vereist voor elke verwerkerrelatie die persoonlijke gegevens omvat.
Conclusie
De vraag AVV vs. DPA wordt snel opgelost zodra u erkent dat beide termen hetzelfde wettelijk vereiste instrument onder GDPR Artikel 28 beschrijven. De echte uitdaging is niet om tussen hen te kiezen, maar om ervoor te zorgen dat welk document ook uw verwerkerrelaties regelt, elke verplichte clausule bevat, correct is uitgevoerd en actueel wordt gehouden naarmate de verwerkingsactiviteiten evolueren.
Actiepunten:
- Voer een audit uit van alle huidige leveranciersrelaties om te bevestigen dat voor elke verwerker die persoonlijke gegevens namens u verwerkt een geldige DPA of AVV is afgesloten.
- Beoordeel bestaande overeenkomsten aan de hand van de tien verplichte elementen van Artikel 28(3) GDPR en vraag om wijzigingen voor eventuele hiaten. [1]
- Als u in Zwitserland opereert, verifieer dan dat overeenkomsten ook voldoen aan de vereisten van de revFADP bovenop de GDPR-basislijn.
- Stel een intern proces in voor het onboarden van nieuwe verwerkers; er mag geen verwerking beginnen voordat de overeenkomst is ondertekend.
- Voor consentbeheer en cookie-naleving op uw website of applicatie, evalueer Biscotti CMP als onderdeel van uw bredere GDPR-nalevingskader.
Naleving van gegevensbescherming is geen eenmalig project. Overeenkomsten moeten worden herzien wanneer de verwerking verandert, wanneer sub-verwerkers worden toegevoegd en wanneer regelgevende richtlijnen evolueren. Het inbouwen van die herzieningscyclus in uw nalevingsprogramma is de meest praktische bescherming tegen regelgevende blootstelling.
Referenties
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai