Szybka odpowiedź: AVV (Auftragsverarbeitungsvertrag) to prawnie wymagany kontrakt na mocy artykułu 28 GDPR między administratorem danych a procesorem danych. Każda organizacja, która przetwarza dane osobowe w imieniu innej strony, musi go posiadać. Działanie bez AVV naraża obie strony na kary w wysokości do 20 milionów euro lub 4% globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa.
Kluczowe informacje
- AVV to niemiecki termin oznaczający umowę o przetwarzaniu danych (DPA), wymaganą na mocy artykułu 28 GDPR, gdy procesor przetwarza dane osobowe dla administratora.
- Umowa musi określać przedmiot, cel, czas trwania, rodzaje danych, środki techniczne i organizacyjne (TOM) oraz zasady dotyczące podprocesorów.
- Brak ważnego AVV może skutkować karami regulacyjnymi, niezależnie od tego, czy doszło do naruszenia danych.
- Małe firmy nie są zwolnione: hosting w chmurze, oprogramowanie do płac i narzędzia do marketingu e-mailowego zazwyczaj wywołują wymóg AVV.
- AVV to umowa między dwiema stronami, a nie powiadomienie o prywatności, i sama w sobie nie wdraża środków bezpieczeństwa, takich jak szyfrowanie.
- AVV powinny być przeglądane za każdym razem, gdy zmieniają się podprocesory, następują transfery danych do krajów trzecich lub modyfikowane są działania przetwarzania.
- W regionie DACH (Niemcy, Austria, Szwajcaria) AVV są standardową praktyką w umowach z dostawcami SaaS, dostawcami hostingu i systemami ERP.
- Szablony są dostępne od organizacji zajmujących się zgodnością i dostawców, ale dostosowanie do rzeczywistych działań przetwarzania jest niezbędne.
Co oznacza AVV w kontekście przetwarzania danych?
AVV oznacza Auftragsverarbeitungsvertrag, niemieckie słowo złożone, które bezpośrednio tłumaczy się na "umowę o przetwarzaniu danych" w języku angielskim. Jest to instrument umowny wymagany przez artykuł 28 ogólnego rozporządzenia o ochronie danych osobowych (GDPR) UE, który reguluje relację między administratorem danych a procesorem danych.
Termin ten jest specyficzny dla jurysdykcji niemieckojęzycznych (Niemcy, Austria i Szwajcaria), ale leżąca u podstaw koncepcja prawna ma zastosowanie uniwersalnie w całej UE i EOG. W kontekście anglojęzycznym ten sam dokument nazywa się Umową o przetwarzaniu danych (DPA). Organizacje działające międzynarodowo powinny zapewnić, że ich AVV są dostępne w odpowiednich językach, aby ułatwić zrozumienie i zgodność [5].
AVV nie jest polityką prywatności ani banerem zgody na pliki cookie. Jest to wiążąca umowa dwustronna, która definiuje, w jaki sposób procesor może obsługiwać dane osobowe, na jakich warunkach i z jakimi zabezpieczeniami.
Dlaczego procesory danych potrzebują AVV?
AVV jest obowiązkowe, gdy administrator danych angażuje procesora do przetwarzania danych osobowych w jego imieniu. To nie jest opcjonalne zalecenie; to twardy wymóg prawny na mocy artykułu 28 GDPR [1].
Typowe scenariusze, które wywołują wymóg AVV, to:
- Hosting w chmurze i infrastruktura (np. serwery przechowujące bazy danych klientów)
- Przetwarzanie płac realizowane przez zewnętrznego dostawcę HR
- Platformy marketingu e-mailowego przechowujące listy subskrybentów
- Dostawcy SaaS ERP uzyskujący dostęp do danych biznesowych i pracowniczych
- Narzędzia analityczne i śledzące przetwarzające dane o zachowaniach odwiedzających
Bez AVV żadna ze stron nie ma udokumentowanej podstawy prawnej dla relacji przetwarzania. Organy nadzorcze traktują brak AVV jako samodzielne naruszenie zgodności, niezależnie od jakiegokolwiek dochodzenia w sprawie naruszenia danych [3].
Czy AVV to to samo co DPA?
Tak, AVV i DPA odnoszą się do tego samego dokumentu prawnego. AVV to niemieckojęzyczna nazwa; DPA to angielski odpowiednik używany w większości innych państw członkowskich UE oraz w międzynarodowych kontekstach zgodności [5].
Oba dokumenty spełniają wymagania artykułu 28 GDPR i muszą zawierać te same obowiązkowe elementy. Jeśli niemiecka firma podpisuje DPA z amerykańskim dostawcą SaaS, ta DPA działa jako AVV dla celów zgodności z GDPR, pod warunkiem, że spełnia wszystkie istotne wymagania.
Kluczowa różnica do zapamiętania: Etykieta na dokumencie ma mniejsze znaczenie niż jego treść. Dokument zatytułowany "Dodatek do umowy o przetwarzaniu danych", "Umowa o przetwarzaniu" lub "AVV" jest prawnie równoważny, o ile obejmuje wszystkie wymagane elementy.
Kto potrzebuje AVV do zgodności z GDPR?
Każda organizacja, która jest administratorem danych i korzysta z usługi zewnętrznej, która przetwarza dane osobowe w jej imieniu, potrzebuje AVV. Dotyczy to firm każdej wielkości we wszystkich branżach [1].
Administratorzy, którzy zazwyczaj potrzebują AVV:
| Scenariusz | Administrator | Procesor |
|---|---|---|
| Firma korzysta z chmurowego CRM | Biznes | Dostawca CRM |
| Strona internetowa korzysta z analityki | Właściciel strony | Dostawca analityki |
| HR zleca przetwarzanie płac | Pracodawca | Biuro płac |
| Sklep internetowy korzysta z narzędzia e-mailowego | Detalista | Platforma e-mailowa |
| Agencja zarządza reklamami klientów | Agencja | Platforma technologii reklamowej |
Kto nie jest procesorem: Strona, która samodzielnie określa cele i środki przetwarzania, jest administratorem danych, a nie procesorem. Wspólni administratorzy wymagają innego rodzaju umowy na mocy artykułu 26 GDPR.
Małe firmy często pomijają ten wymóg, zakładając, że dotyczy on tylko dużych przedsiębiorstw. To założenie jest błędne. Każdy właściciel strony internetowej korzystający z zewnętrznego dostawcy hostingu, usługi newsletterowej lub systemu rezerwacji prawdopodobnie potrzebuje przynajmniej jednego AVV [5].
Co powinno być zawarte w AVV?
Zgodny AVV musi zawierać określone obowiązkowe elementy. Brak nawet jednego może sprawić, że umowa będzie niewystarczająca w świetle przepisów GDPR [2].
Obowiązkowe składniki:
- Przedmiot i czas trwania przetwarzania
- Charakter i cel przetwarzania
- Rodzaj danych osobowych i kategorie osób, których dane dotyczą
- Obowiązki i prawa administratora
- Środki techniczne i organizacyjne (TOM) wdrożone przez procesora
- Zasady dotyczące zaangażowania podprocesorów
- Procedury dotyczące żądań praw osób, których dane dotyczą
- Obowiązki dotyczące powiadamiania o naruszeniach danych
- Zwrócenie lub usunięcie danych po zakończeniu umowy
- Prawo do audytu dla administratora
Sekcja TOM jest szczególnie ważna. Chociaż sam AVV nie wdraża środków bezpieczeństwa, musi dokumentować, jakie środki procesor ma na miejscu, takie jak standardy szyfrowania, kontrole dostępu i praktyki pseudonimizacji [1].
Co się stanie, jeśli nie masz AVV?
Działanie bez ważnego AVV naraża zarówno administratora, jak i procesora na znaczne kary regulacyjne. Na mocy artykułu 83(4) GDPR kary za naruszenia artykułu 28 mogą wynosić 10 milionów euro lub 2% globalnego rocznego obrotu, a na mocy artykułu 83(5) za poważniejsze naruszenia, do 20 milionów euro lub 4% globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa [3].
Krytycznie, te kary mogą być nałożone niezależnie od tego, czy doszło do naruszenia danych. Organ nadzorczy przeprowadzający rutynowy audyt lub reagujący na skargę może zidentyfikować brak AVV i nałożyć karę na tej podstawie.
Dodatkowe konsekwencje obejmują:
- Uszczerbek na reputacji i utrata zaufania klientów
- Odpowiedzialność umowna między administratorem a procesorem
- Potencjalne wstrzymanie działań przetwarzania do czasu usunięcia nieprawidłowości
AVV a Umowa o przetwarzaniu danych: Kluczowe różnice
AVV i DPA to zasadniczo ten sam dokument pod różnymi nazwami. Istnieją jednak praktyczne różnice, które warto zauważyć dla organizacji międzynarodowych.
| Wymiar | AVV | DPA |
|---|---|---|
| Język | Niemiecki | Angielski (lub lokalny) |
| Skupienie jurysdykcji | Region DACH | Szeroko UE/EOG |
| Typowy kontekst użycia | Umowy w języku niemieckim | Międzynarodowe umowy SaaS |
| Podstawa prawna | Artykuł 28 GDPR | Artykuł 28 GDPR |
| Wymagania dotyczące treści | Identyczne | Identyczne |
Region DACH (Niemcy, Austria, Szwajcaria) ma szczególnie silną kulturę egzekwowania przepisów dotyczących AVV, co czyni je standardową praktyką w umowach z dostawcami hostingu, dostawcami SaaS ERP i innymi partnerami usługowymi [1].
Ile kosztuje AVV?
Koszt AVV różni się w zależności od tego, jak jest tworzony i przeglądany.
- AVV oparty na szablonie: Wiele firm dostarcza swoje własne AVV jako część warunków świadczenia usług, zazwyczaj bez dodatkowych opłat. Organizacje takie jak NexDeck oferują szczegółowe szablony AVV, w tym listy podprocesorów [4].
- Przegląd przez doradcę prawnego: Sporządzenie lub przegląd niestandardowego AVV przez prawnika zajmującego się ochroną danych zazwyczaj kosztuje od 300 do 2000 euro, w zależności od złożoności i jurysdykcji.
- Pomoc DPO przy sporządzaniu: Organizacje z wewnętrznym lub zewnętrznym Inspektorem Ochrony Danych (DPO) mogą często wykorzystać ten zasób do sporządzania AVV bez dodatkowych kosztów poza wynagrodzeniem DPO.
Dla małych firm najbardziej praktycznym podejściem jest rozpoczęcie od renomowanego szablonu i jego przegląd przez wykwalifikowanego specjalistę przed podpisaniem.
Jak stworzyć szablon AVV?
Tworzenie AVV zaczyna się od zidentyfikowania wszystkich relacji przetwarzania, w których strona trzecia obsługuje dane osobowe w Twoim imieniu. Następnie proces przebiega według tych kroków:
- Inwentaryzacja procesorów: Sporządź listę każdego dostawcy, narzędzia lub usługi, które uzyskują dostęp do danych osobowych, które kontrolujesz.
- Uzyskaj lub sporządź AVV: Wiele procesorów (szczególnie dostawcy SaaS) dostarcza swoje standardowe AVV. Przejrzyj je pod kątem obowiązkowych elementów wymienionych powyżej.
- Dostosuj sekcję TOM: Upewnij się, że środki techniczne i organizacyjne odzwierciedlają rzeczywiste praktyki bezpieczeństwa procesora.
- Wymień podprocesorów: Dołącz aneks identyfikujący wszelkich podprocesorów, których używa procesor, wraz z ich rolami i lokalizacjami.
- Zdefiniuj mechanizmy transferu danych: Jeśli dane są transferowane poza UE/EOG, określ prawny mechanizm transferu (np. standardowe klauzule umowne).
- Podpisz i zachowaj: Obie strony muszą podpisać AVV. Zachowaj kopię w swoich dokumentach dotyczących przetwarzania danych.
Szablony od organizacji zajmujących się zgodnością zapewniają solidną podstawę strukturalną, ale każdy AVV powinien być dostosowany do specyficznych działań przetwarzania, które reguluje [2].
Wymagania dotyczące AVV dla małych firm
Małe firmy nie są zwolnione z wymogu AVV. Każda organizacja podlegająca GDPR, która korzysta z zewnętrznego procesora, musi mieć AVV, niezależnie od wielkości firmy czy liczby pracowników [1].
Dla małych firm praktyczne obciążenie jest mniejsze, niż mogłoby się wydawać:
- Większość dużych dostawców SaaS (platformy e-mailowe, systemy rezerwacji, narzędzia analityczne) już dostarcza standardowe AVV lub DPA jako część swoich warunków świadczenia usług. Akceptacja tych warunków zazwyczaj stanowi ważną umowę.
- Kluczowym zadaniem jest upewnienie się, że rzeczywiście przeglądano i zaakceptowano te warunki, a nie zakładanie, że istnieją.
- Utrzymuj prosty rejestr swoich procesorów i odpowiadających im AVV.
Typowy błąd: Właściciele małych firm często zakładają, że ponieważ dostawca jest duży i renomowany, dokumentacja prawna jest automatycznie załatwiona. Akceptacja AVV musi być aktywnym, udokumentowanym krokiem.
Wymagania dotyczące ścieżki audytu AVV
AVV musi zawierać postanowienia przyznające administratorowi prawo do audytu zgodności procesora. To prawo do audytu jest obowiązkowym elementem na mocy artykułu 28(3)(h) GDPR [2].
W praktyce wymagania dotyczące ścieżki audytu oznaczają:
- Procesor musi prowadzić rejestry działań przetwarzania zgodnie z artykułem 30(2) GDPR.
- Administrator ma prawo przeprowadzać audyty lub zlecać audyty osobom trzecim w celu weryfikacji zgodności.
- Wiele procesorów spełnia ten wymóg poprzez certyfikaty osób trzecich, takie jak ISO 27001 lub SOC 2, które mogą zastąpić audyty na miejscu w wielu przypadkach.
AVV jest bezpośrednio związane z kontrolami A.5.19 do A.5.22 załącznika A ISO 27001, które regulują relacje z dostawcami i bezpieczeństwo informacji w łańcuchach dostaw [2]. Organizacje z formalnym systemem zarządzania bezpieczeństwem informacji (ISMS) powinny zapewnić, że ich AVV są zintegrowane z ich procesami zarządzania dostawcami.
AVV dla międzynarodowych transferów danych
Gdy procesor znajduje się poza UE/EOG, AVV musi odnosić się do prawnego mechanizmu transferu danych osobowych do tego kraju trzeciego. Standardowe klauzule umowne (SCC) są najczęściej używanym mechanizmem i zazwyczaj są włączane jako aneks do AVV [2].
Kluczowe kwestie dotyczące międzynarodowych AVV:
- Zidentyfikuj, czy kraj procesora ma decyzję o adekwatności UE.
- Jeśli nie, włącz odpowiednie SCC (administrator-do-procesora lub administrator-do-administratora, w zależności od relacji).
- Przeprowadź ocenę wpływu transferu (TIA), gdy jest to wymagane.
- Upewnij się, że AVV jest dostępne w językach obu stron umowy [5].
Jak często należy aktualizować AVV?
AVV powinno być przeglądane i aktualizowane za każdym razem, gdy występują istotne zmiany w relacji przetwarzania. Nie ma ustalonego ustawowego okresu przeglądu, ale najlepsze praktyki wskazują na przynajmniej coroczny przegląd [2].
Czynniki wywołujące natychmiastową aktualizację AVV:
- Procesor angażuje nowego podprocesora lub usuwa istniejącego
- Działania przetwarzania zmieniają się pod względem charakteru, celu lub zakresu
- Dane są transferowane do nowego kraju trzeciego
- TOM procesora są znacząco aktualizowane
- Zmiany w obowiązującym prawie lub wytycznych regulacyjnych
Proaktywne przeglądanie AVV jest kluczową dyscypliną zgodności. Przestarzałe umowy, które już nie odzwierciedlają rzeczywistych działań przetwarzania, stwarzają takie samo ryzyko regulacyjne, jak brak AVV.
Typowe błędy przy zakładaniu AVV
Nawet organizacje, które rozumieją wymóg AVV, często popełniają błędy w implementacji.
Błąd 1: Traktowanie szablonu dostawcy jako automatycznie wystarczającego. Szablon AVV dostarczony przez dostawcę może nie obejmować Twoich specyficznych działań przetwarzania. Zawsze przeglądaj go pod kątem obowiązkowych elementów.
Błąd 2: Pomijanie lub niejasne opisywanie TOM. Organy nadzorcze dokładnie analizują sekcję TOM. Niejasny język, taki jak "odpowiednie środki bezpieczeństwa" bez szczegółów, jest niewystarczający.
Błąd 3: Zapominanie o podprocesorach. AVV musi wymieniać podprocesorów. Nieaktualizowanie tej listy, gdy procesor zmienia swoich podprocesorów, jest powszechną luką w zgodności [2].
Błąd 4: Nieprzechowywanie podpisanych kopii. AVV, którego nie można przedstawić podczas audytu, nie zapewnia żadnej ochrony prawnej. Utrzymuj zorganizowane rejestry.
Błąd 5: Mylenie AVV z polityką prywatności. To całkowicie różne dokumenty służące różnym celom. Polityka prywatności informuje osoby, których dane dotyczą; AVV reguluje relację między administratorem a procesorem [1].
Podsumowanie
Ostateczny przewodnik po AVV: Dlaczego każdy procesor danych potrzebuje jednego sprowadza się do prostej rzeczywistości zgodności: jeśli dane osobowe zmieniają właściciela między administratorem a procesorem, ważne AVV musi istnieć przed rozpoczęciem tego przetwarzania. Nie ma wyjątków ze względu na wielkość, nie ma wyłączeń branżowych ani okresów przejściowych dla organizacji już działających zgodnie z GDPR.
Wykonalne kroki na 2026 rok:
- Audytuj każdego dostawcę zewnętrznego, który uzyskuje dostęp do danych osobowych, które kontrolujesz, i potwierdź, że dla każdego z nich istnieje AVV.
- Przejrzyj istniejące AVV w odniesieniu do listy obowiązkowych elementów, zwracając szczególną uwagę na TOM i listy podprocesorów.
- Ustal przypomnienie kalendarzowe na coroczne przeglądy AVV i aktualizacje wywołane zmianami w działaniach przetwarzania.
- Dla organizacji zarządzających zgodnością w zakresie zgody i plików cookie obok swoich AVV, rozważ połączenie dokumentacji dotyczącej przetwarzania danych z zgodną platformą zarządzania zgodami, taką jak Biscotti CMP, aby utrzymać kompletną i obronną postawę zgodności.
- Skonsultuj się z wykwalifikowanym specjalistą ds. ochrony danych w przypadku jakiegokolwiek AVV dotyczącego złożonych działań przetwarzania lub międzynarodowych transferów danych.
Koszt prawidłowego przygotowania AVV jest minimalny. Koszt błędów w tej kwestii jest znaczny.
FAQ
Czym jest AVV w prostych słowach? AVV to pisemna umowa między firmą, która posiada dane osobowe (administratorem), a firmą, która przetwarza te dane w jej imieniu (procesorem). Określa, jakie dane są przetwarzane, dlaczego, jak są chronione i jakie obowiązki mają obie strony.
Czy AVV jest wymagane dla każdej relacji z dostawcą? Tylko dla dostawców, którzy przetwarzają dane osobowe w Twoim imieniu. Dostawca, który jedynie zapewnia narzędzie, które używasz do przetwarzania danych samodzielnie (bez dostępu do danych), zazwyczaj nie jest procesorem i nie wymaga AVV.
Czy ustna umowa może zastąpić AVV? Nie. Artykuł 28 GDPR wyraźnie wymaga, aby umowa o przetwarzaniu była sporządzona na piśmie, w tym w formie elektronicznej.
Czy AVV chroni przed karami GDPR? Posiadanie ważnego AVV znacznie zmniejsza ryzyko regulacyjne, ale nie zapewnia całkowitej immunizacji. Kary mogą być nadal nakładane za inne naruszenia. AVV wykazuje zgodność z artykułem 28 w szczególności.
Jaka jest różnica między podprocesorem a procesorem? Procesor przetwarza dane bezpośrednio dla administratora. Podprocesor jest angażowany przez procesora, aby pomóc w tym przetwarzaniu. Administrator musi być informowany o podprocesorach, a procesor musi zobowiązać podprocesorów do równoważnych obowiązków.
Jak długo należy przechowywać AVV? Nie ma wyraźnego okresu przechowywania określonego w GDPR dla AVV, ale powinny być one przechowywane przez czas trwania relacji przetwarzania oraz przez rozsądny okres po jej zakończeniu, zazwyczaj zgodny z okresem przedawnienia dla działań regulacyjnych w odpowiedniej jurysdykcji.
Czy DPA podpisana z amerykańską firmą liczy się jako AVV? Tak, pod warunkiem, że zawiera wszystkie elementy wymagane przez artykuł 28 GDPR i włącza odpowiednie mechanizmy transferu, takie jak standardowe klauzule umowne.
Czy procesor może używać danych osobowych do własnych celów? Nie. Procesor może przetwarzać dane osobowe tylko na podstawie udokumentowanych instrukcji administratora. Przetwarzanie dla własnych celów procesora klasyfikuje tę stronę jako administratora, z odrębnymi obowiązkami prawnymi.
Czym jest TOM w kontekście AVV? TOM oznacza Środki Techniczne i Organizacyjne. To praktyki bezpieczeństwa, które procesor wdraża w celu ochrony danych osobowych, takie jak szyfrowanie, kontrole dostępu i praktyki pseudonimizacji. AVV musi dokumentować te środki.
Czy AVV musi być notarialnie poświadczone? Nie. GDPR nie wymaga notarialnego poświadczenia. Podpisana umowa pisemna (w tym podpisy elektroniczne) jest wystarczająca.
Źródła
[1] Umowa o przetwarzaniu danych - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai