Szybka odpowiedź: AVV (Auftragsverarbeitungsvertrag) i DPA (Data Processing Agreement) odnoszą się do tej samej umowy wymaganej prawnie na mocy artykułu 28 GDPR; niemiecki termin AVV jest używany w jurysdykcjach regionu DACH, podczas gdy DPA to anglojęzyczny odpowiednik stosowany w większości innych państw członkowskich UE i na świecie. Obie regulują, jak przetwarzający dane obsługuje dane osobowe w imieniu administratora. Wybór niewłaściwego ujęcia lub całkowite pominięcie umowy może narazić Twoją organizację na znaczne kary regulacyjne.
Kluczowe wnioski
- AVV to niemiecki skrót od Auftragsverarbeitungsvertrag; DPA oznacza Data Processing Agreement, są to funkcjonalnie te same instrumenty na mocy GDPR.
- Obie umowy są obowiązkowe na mocy artykułu 28 GDPR, gdy administrator angażuje przetwarzającego do obsługi danych osobowych.
- Różnica terminologiczna jest regionalna: AVV jest standardem w Niemczech, Austrii i Szwajcarii; DPA jest używane w kontekście anglojęzycznym i w większości innych krajów UE.
- Ważna umowa musi obejmować przedmiot, czas przetwarzania, kategorie danych, prawa osób, warunki dotyczące podprzetwarzających, środki bezpieczeństwa oraz postanowienia audytowe. [1]
- Brak odpowiedniej umowy może skutkować dochodzeniami ze strony organów nadzorczych, karami i sporami umownymi.
- Koszt wdrożenia waha się od zera (korzystając z standardowego szablonu dostawcy) do kilku tysięcy euro za niestandardowe opracowanie prawne.
- Niektóre firmy działające na rynkach DACH i poza nimi legalnie używają obu terminów w tej samej umowie dla jasności.
- Platforma zarządzania zgodami, taka jak Biscotti CMP, może wspierać Twoją szerszą zgodność z GDPR, ale nie zastępuje prawidłowo wykonanej AVV lub DPA.
Co oznacza AVV w ochronie danych i czy to to samo co DPA?
AVV oznacza Auftragsverarbeitungsvertrag, niemieckie określenie umowy przetwarzania danych. W praktycznych terminach prawnych, AVV i DPA to ten sam dokument, oba spełniają wymóg określony w artykule 28 GDPR dotyczący pisemnej umowy między administratorem danych a przetwarzającym dane. [1]
Różnica jest czysto językowa i jurysdykcyjna. Niemieccy, austriaccy i szwajcarscy praktycy ochrony danych używają AVV jako standardowego terminu w umowach, politykach prywatności i korespondencji regulacyjnej. Praktycy anglojęzyczni i większość innych państw członkowskich UE używają DPA. Kiedy niemiecki dostawca SaaS oferuje Ci "AVV", oferuje ten sam instrument prawny, który dostawca z siedzibą w Wielkiej Brytanii nazwałby "DPA".
Kluczowe wyjaśnienie: Żaden z terminów nie implikuje innego standardu prawnego. Oba muszą spełniać te same wymagania dotyczące treści określone w artykule 28(3) GDPR, aby być ważne. [1]
Jaka jest różnica między AVV a DPA?
Różnica między AVV a DPA jest terminologiczna, a nie merytoryczna. Oba opisują umowę wymaganą przez artykuł 28 GDPR między administratorem danych (podmiotem, który określa cel i środki przetwarzania) a przetwarzającym dane (podmiotem, który przetwarza dane w imieniu administratora).
Genuine różnice mogą pojawić się w stylu redakcyjnym i lokalnych wytycznych regulacyjnych:
- Niemieckie organy nadzorcze (Datenschutzbehörden) opublikowały konkretne klauzule szablonowe i notatki wytyczne, które dokumenty AVV często zawierają.
- Angielskojęzyczne DPA opracowane dla jurysdykcji w Wielkiej Brytanii lub Irlandii mogą odnosić się do krajowego ustawodawstwa wdrażającego obok GDPR.
- Szwajcarskie AVV muszą również uwzględniać zrewidowaną Federalną Ustawę o Ochronie Danych (revFADP), która w pewnych aspektach odbiega od GDPR.
Podsumowując: Jeśli dostawca wysyła Ci AVV, a potrzebujesz DPA, otrzymałeś to, czego potrzebujesz, pod warunkiem, że treść spełnia wymagania artykułu 28(3). [1]
Kiedy potrzebujesz AVV, a kiedy DPA?
Potrzebujesz jednej z tych umów za każdym razem, gdy Twoja organizacja dzieli się danymi osobowymi z zewnętrznym dostawcą usług, który przetwarza te dane zgodnie z Twoimi instrukcjami. Wyzwalaczem jest relacja administratora z przetwarzającym, a nie język umowy.
Użyj AVV, gdy:
- Twój kontrahent ma siedzibę w Niemczech, Austrii lub Szwajcarii, a ich standardowa umowa używa tej terminologii.
- Twoja organizacja działa zgodnie z niemieckim prawem ochrony danych, a Twoje wewnętrzne szablony podążają za wytycznymi BfDI lub stanowych DPA.
Użyj DPA, gdy:
- Twój kontrahent działa w anglojęzycznej jurysdykcji lub używa angielskiego jako języka umowy.
- Zawierasz umowę z dostawcą chmury z siedzibą w USA, dostawcą SaaS z Wielkiej Brytanii lub jakimkolwiek międzynarodowym przetwarzającym, którego szablony domyślnie odnoszą się do "DPA".
Typowy błąd: Zakładanie, że ponieważ dostawca nazywa swój dokument AVV zamiast DPA, obowiązują różne zasady prawne. Wymagania dotyczące treści są identyczne na mocy GDPR. Liczy się substancja, a nie etykieta na stronie tytułowej.
Kto potrzebuje AVV, a kto potrzebuje DPA?
Każda organizacja, która kwalifikuje się jako administrator danych na mocy GDPR i angażuje stronę trzecią do przetwarzania danych osobowych w swoim imieniu, potrzebuje jednej z tych umów. Dotyczy to:
- Firm e-commerce korzystających z zewnętrznych procesorów płatności lub platform marketingu e-mailowego.
- Przedsiębiorstw korzystających z dostawców infrastruktury chmurowej (IaaS, PaaS, SaaS).
- Agencji marketingu internetowego przetwarzających dane klientów.
- Programistów tworzących aplikacje, które obsługują dane osobowe użytkowników końcowych za pośrednictwem zewnętrznych interfejsów API.
- Właścicieli stron internetowych korzystających z narzędzi analitycznych, CDN-ów lub systemów CRM, które przetwarzają dane odwiedzających.
Organizacje z siedzibą na rynkach DACH zazwyczaj spotykają się z etykietą AVV; te działające międzynarodowo częściej mają do czynienia z DPA. Obie kategorie organizacji mają ten sam obowiązek prawny.
Co powinno być zawarte w AVV i DPA?
Zarówno AVV, jak i DPA muszą zawierać te same obowiązkowe elementy na mocy artykułu 28(3) GDPR. Brak któregokolwiek z tych klauzul sprawia, że umowa jest niezgodna. [1]
| Wymagana klauzula | Opis |
|---|---|
| Przedmiot i czas trwania | Jakie dane są przetwarzane i przez jak długo |
| Natura i cel | Dlaczego i jak odbywa się przetwarzanie |
| Typy danych i osoby, których dotyczą | Kategorie danych osobowych i osoby, których dotyczą |
| Prawa i obowiązki administratora | Instrukcje, których przetwarzający musi przestrzegać |
| Środki bezpieczeństwa | Techniczne i organizacyjne zabezpieczenia (TOM) |
| Warunki dotyczące podprzetwarzających | Zasady angażowania dalszych przetwarzających |
| Pomoc w zakresie praw osób | Wsparcie dla wniosków o dostęp, usunięcie, przenoszenie danych |
| Powiadomienie o naruszeniu | Obowiązek przetwarzającego do powiadomienia administratora o incydentach |
| Zwrócenie lub usunięcie danych | Co się dzieje z danymi po zakończeniu umowy |
| Prawa audytu | Prawo administratora do weryfikacji zgodności |
Kwestia marginalna: Jeśli szablon dostawcy pomija prawa audytu lub warunki dotyczące podprzetwarzających, nie podpisuj go w tej formie. Są to warunki niepodlegające negocjacjom na mocy artykułu 28(3). [1]
Ile kosztuje ustanowienie AVV lub DPA?
Koszt zależy całkowicie od tego, czy korzystasz z standardowego szablonu dostawcy, czy zlecasz niestandardowe opracowanie prawne.
- Szablon dostarczony przez dostawcę (najczęściej): Bezpłatnie. Większość dużych dostawców SaaS i chmur publikuje standardowy AVV lub DPA, który administratorzy mogą zaakceptować online lub za pomocą procesu kliknięcia.
- Negocjowana umowa niestandardowa: Koszty prawne zazwyczaj wahają się od 500 do 5 000 euro w zależności od złożoności, jurysdykcji i stawek prawnych. Umowy dla przedsiębiorstw z dużymi wolumenami danych lub wrażliwymi kategoriami danych znajdują się na wyższym końcu.
- Rozwój wewnętrznego szablonu: Jednorazowa inwestycja czasu prawników w stworzenie szablonu do ponownego wykorzystania; bieżący koszt jest minimalny.
Praktyczna uwaga: Dla większości MŚP i właścicieli stron internetowych standardowy szablon dostawcy jest wystarczający. Niestandardowe negocjacje są uzasadnione, gdy przetwarzanie dotyczy danych specjalnych kategorii (zdrowie, biometryczne, finansowe) lub gdy administrator ponosi znaczne ryzyko odpowiedzialności.
Jak różnią się wymagania AVV i DPA w zależności od kraju?
Na mocy GDPR wymagania merytoryczne są zharmonizowane we wszystkich państwach członkowskich UE, więc podstawowa treść AVV i DPA jest identyczna, niezależnie od tego, czy jesteś w Berlinie, Paryżu czy Warszawie. Jednak istnieją krajowe niuanse:
- Niemcy: BfDI i stanowe DPA opublikowały szczegółowe wytyczne i klauzule modelowe. Niemieckie AVV często zawierają bardziej szczegółową dokumentację technicznych i organizacyjnych środków (TOM).
- Szwajcaria: revFADP (obowiązująca od września 2023) nakłada dodatkowe wymagania poza GDPR, w tym konkretne postanowienia dotyczące transgranicznych transferów danych i terminy powiadamiania o naruszeniach danych.
- Wielka Brytania (po Brexicie): Obowiązuje UK GDPR; DPA muszą odnosić się do wytycznych UK ICO, a nie do organów nadzorczych UE. Standardowe klauzule umowne różnią się od SCC UE.
- Inne państwa członkowskie UE: Artykuł 28 GDPR ma zastosowanie bezpośrednio; lokalne wytyczne DPA mogą uzupełniać, ale nie mogą zmniejszać minimalnych wymagań.
Starannie wybierz klauzulę prawa właściwego. AVV na mocy prawa niemieckiego i DPA na mocy prawa irlandzkiego mogą wyglądać podobnie, ale będą interpretowane przez różne sądy i organy nadzorcze.
Czy można używać AVV zamiast DPA, lub używać obu jednocześnie?
Tak, AVV może zastąpić DPA, ponieważ są to prawnie równoważne instrumenty. Firma działająca na rynkach DACH i poza nimi może zawrzeć oba terminy w tym samym nagłówku umowy (np. "Umowa przetwarzania danych / Auftragsverarbeitungsvertrag"), aby uniknąć nieporozumień; jest to powszechna praktyka w dwujęzycznych umowach przedsiębiorstw i jest całkowicie dozwolone.
Używanie obu etykiet jednocześnie nie tworzy dwóch oddzielnych zobowiązań prawnych. Po prostu zapewnia, że strony mówiące po niemiecku i angielsku rozumieją, że patrzą na ten sam dokument.
Jakie są typowe błędy przy wyborze między AVV a DPA?
Najważniejsze błędy nie dotyczą tego, którego terminu używasz, ale tego, co umowa zawiera i czy w ogóle istnieje.
- Pomijanie umowy całkowicie ponieważ relacja z dostawcą wydaje się nieformalna lub niskiego ryzyka. Na mocy GDPR obowiązek powstaje w wyniku przetwarzania, a nie postrzeganego poziomu ryzyka.
- Akceptowanie niekompletnego szablonu, który pomija klauzule dotyczące podprzetwarzających lub prawa audytu, wierząc, że wersja dostawcy jest automatycznie zgodna.
- Mieszanie DPA z umową o udostępnianiu danych. DPA reguluje relacje przetwarzających; umowa o udostępnianiu danych reguluje wymiany danych między wspólnymi administratorami lub administratorami. To są różne instrumenty.
- Nieaktualizowanie umów gdy przetwarzający angażuje nowych podprzetwarzających lub zmienia charakter przetwarzania.
- Zakładanie, że zgodność z GDPR obejmuje prawo szwajcarskie. Organizacje z osobami, których dane dotyczą w Szwajcarii, muszą upewnić się, że ich AVV również spełnia wymagania revFADP.
Jakie są konsekwencje prawne błędów w AVV i DPA?
Brak ważnej, kompletnej umowy naraża zarówno administratorów, jak i przetwarzających na odpowiedzialność regulacyjną i cywilną.
Na mocy artykułu 83(4) GDPR, naruszenia artykułu 28 (wymóg DPA/AVV) mogą skutkować administracyjnymi karami do 10 milionów euro lub 2% globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa. Organy nadzorcze w Niemczech wykazały gotowość do badania i nakładania kar na organizacje za brak lub niedostateczne umowy przetwarzania.
Poza karami, konsekwencje obejmują:
- Audyty organów nadzorczych i nakazy korekcyjne.
- Niemożność egzekwowania warunków umownych wobec niezgodnego przetwarzającego.
- Odpowiedzialność cywilna, jeśli dojdzie do naruszenia danych bez ważnej umowy dokumentującej obowiązki dotyczące bezpieczeństwa.
- Uszczerbek na reputacji w kontekście B2B, gdzie klienci korporacyjni przeprowadzają due diligence dostawców.
Jak dowiedzieć się, jaką umowę naprawdę potrzebuje Twoja firma?
Decyzja jest prosta, gdy zidentyfikujesz relację i jurysdykcję.
Krok 1: Określ, czy Twoja organizacja jest administratorem (decydujesz, dlaczego i jak dane są przetwarzane) czy przetwarzającym (przetwarzasz dane zgodnie z czyimiś instrukcjami).
Krok 2: Zidentyfikuj język i jurysdykcję swojego kontrahenta. Jeśli są w regionie DACH, oczekuj AVV. Jeśli są gdzie indziej, oczekuj DPA.
Krok 3: Zweryfikuj, że dokument, który otrzymujesz, zawiera wszystkie dziesięć obowiązkowych elementów na mocy artykułu 28(3) GDPR. [1]
Krok 4: Jeśli Twoja organizacja musi również zarządzać zgodą użytkowników na pliki cookie i technologie śledzenia, Platforma Zarządzania Zgodami, taka jak Biscotti CMP, zajmuje się tym aspektem zgodności z GDPR, ale działa obok, a nie zamiast prawidłowo wykonanej AVV lub DPA.
Zasada decyzyjna: Jeśli przetwarzasz dane osobowe w imieniu innej organizacji, potrzebujesz DPA lub AVV, niezależnie od tego, jak nazywa się relacja komercyjnie. Jeśli inna organizacja przetwarza dane w Twoim imieniu, jesteś odpowiedzialny za zapewnienie, że umowa jest zawarta przed rozpoczęciem przetwarzania.
FAQ
Q: Czy AVV jest prawnie ważne poza Niemcami?
AVV jest prawnie ważne wszędzie tam, gdzie obowiązuje GDPR, pod warunkiem, że spełnia wymagania treści artykułu 28(3). Niemiecka terminologia nie ogranicza jej wykonalności w innych jurysdykcjach UE.
Q: Czy DPA musi być podpisana przez obie strony?
Tak. Artykuł 28(9) GDPR wymaga, aby umowa była w formie pisemnej, co obejmuje formę elektroniczną. Zarówno administrator, jak i przetwarzający muszą być związani jej warunkami.
Q: Czy DPA dostarczona przez dostawcę w formie kliknięcia spełnia wymagania GDPR?
Tak, jeśli treść spełnia wymagania artykułu 28(3). Wiele dużych dostawców chmur oferuje zgodne DPA w formie kliknięcia, które zostały sprawdzone przez organy nadzorcze.
Q: Co to jest podprzetwarzający i dlaczego ma znaczenie w DPA lub AVV?
Podprzetwarzający to strona trzecia zaangażowana przez przetwarzającego do realizacji działań przetwarzania. DPA lub AVV muszą określać warunki, na jakich można angażować podprzetwarzających, w tym prawo administratora do sprzeciwu. [1]
Q: Czy potrzebuję nowego AVV lub DPA za każdym razem, gdy przetwarzający aktualizuje swoją listę podprzetwarzających?
Niekoniecznie. Wiele umów zawiera ogólne upoważnienie do zmian podprzetwarzających, pod warunkiem, że przetwarzający powiadomi administratora, a administrator zachowa prawo do sprzeciwu w określonym czasie.
Q: Czy DPA obejmuje transfery danych poza UE?
DPA reguluje relację przetwarzania, ale sama w sobie nie autoryzuje transgranicznych transferów danych. Wymagane są oddzielne mechanizmy transferu (standardowe klauzule umowne, decyzje o adekwatności) dla transferów do krajów trzecich.
Q: Jak długo należy przechowywać DPA lub AVV?
Przechowuj umowę przez czas trwania relacji przetwarzania oraz przez rozsądny okres po jej zakończeniu, zazwyczaj co najmniej trzy do pięciu lat, aby wykazać zgodność w przypadku zapytania organu nadzorczego.
Q: Jaka jest różnica między DPA a DPIA?
DPA (Data Processing Agreement) to umowa między administratorem a przetwarzającym. DPIA (Data Protection Impact Assessment) to wewnętrzna ocena ryzyka wymagana dla działań przetwarzania wysokiego ryzyka. Służą różnym celom i żaden z nich nie zastępuje drugiego.
Q: Czy freelancer lub mała agencja może być zobowiązana do podpisania AVV lub DPA?
Tak. Obowiązek dotyczy niezależnie od wielkości przetwarzającego. Freelance'owy programista obsługujący dane klientów jest przetwarzającym i musi podpisać DPA lub AVV z każdym klientem administratorem.
Q: Czy Biscotti CMP zastępuje potrzebę DPA lub AVV?
Nie. Biscotti CMP to platforma zarządzania zgodami, która pomaga zarządzać zgodą użytkowników na pliki cookie i śledzenie, co jest osobnym wymogiem zgodności z GDPR. DPA lub AVV nadal są wymagane dla każdej relacji przetwarzającej, która obejmuje dane osobowe.
Podsumowanie
Pytanie o AVV i DPA rozwiązuje się szybko, gdy uznasz, że oba terminy opisują ten sam prawnie wymagany instrument na mocy artykułu 28 GDPR. Prawdziwym wyzwaniem nie jest wybór między nimi, ale zapewnienie, że dokument regulujący Twoje relacje z przetwarzającymi zawiera wszystkie obowiązkowe klauzule, jest prawidłowo wykonany i aktualizowany w miarę rozwoju działań przetwarzania.
Wykonalne następne kroki:
- Audyt wszystkich obecnych relacji z dostawcami, aby potwierdzić, że dla każdego przetwarzającego obsługującego dane osobowe w Twoim imieniu jest zawarta ważna DPA lub AVV.
- Przegląd istniejących umów w kontekście dziesięciu obowiązkowych elementów artykułu 28(3) GDPR i żądanie poprawek w przypadku jakichkolwiek luk. [1]
- Jeśli działasz w Szwajcarii, upewnij się, że umowy również spełniają wymagania revFADP wykraczające poza podstawowe wymagania GDPR.
- Ustanowienie wewnętrznego procesu wprowadzania nowych przetwarzających, żadne przetwarzanie nie powinno się rozpocząć przed podpisaniem umowy.
- W celu zarządzania zgodami i zgodności z plikami cookie na swojej stronie internetowej lub aplikacji, oceń Biscotti CMP jako część swojej szerszej struktury zgodności z GDPR.
Zgodność z ochroną danych nie jest jednorazowym projektem. Umowy muszą być przeglądane, gdy zmienia się przetwarzanie, gdy dodawani są podprzetwarzający i gdy ewoluują wytyczne regulacyjne. Wbudowanie tego cyklu przeglądowego w Twój program zgodności jest najbardziej praktycznym zabezpieczeniem przed narażeniem na regulacje.
Źródła
[1] Umowa przetwarzania danych - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai