Краткий ответ: AVV (Auftragsverarbeitungsvertrag) — это юридически обязательный контракт в соответствии со статьей 28 GDPR между контроллером данных и обработчиком данных. Любая организация, которая обрабатывает персональные данные от имени другой стороны, должна иметь такой контракт. Работа без AVV подвергает обе стороны штрафам до 20 миллионов евро или 4% от глобального годового оборота, в зависимости от того, что больше.
Основные выводы
- AVV — это немецкий термин для Соглашения об обработке данных (DPA), требуемого в соответствии со статьей 28 GDPR, когда обработчик обрабатывает персональные данные для контроллера.
- Соглашение должно указывать предмет, цель, срок, типы данных, технические и организационные меры (TOM), а также правила для субобработчиков.
- Отсутствие действительного AVV может привести к штрафам со стороны регуляторов независимо от того, произошел ли инцидент с утечкой данных.
- Малые предприятия не освобождены от этого требования: облачный хостинг, программное обеспечение для расчета заработной платы и инструменты email-маркетинга обычно требуют наличия AVV.
- AVV — это контракт между двумя сторонами, а не уведомление о конфиденциальности, и он сам по себе не реализует меры безопасности, такие как шифрование.
- AVV следует пересматривать каждый раз, когда меняются субобработчики, происходят передачи данных в третьи страны или изменяются виды обработки.
- В регионе DACH (Германия, Австрия, Швейцария) AVV является стандартной практикой для поставщиков SaaS, хостинг-провайдеров и ERP-систем.
- Шаблоны доступны от организаций по соблюдению норм и поставщиков, но их необходимо адаптировать для отражения фактической деятельности по обработке.
Что означает AVV в обработке данных?
AVV означает Auftragsverarbeitungsvertrag, немецкое составное слово, которое переводится как "соглашение об обработке данных" на английский. Это контрактный инструмент, предусмотренный статьей 28 Общего регламента ЕС по защите данных (GDPR), для регулирования отношений между контроллером данных и обработчиком данных.
Термин специфичен для немецкоязычных юрисдикций (Германия, Австрия и Швейцария), но основная юридическая концепция применяется универсально по всей ЕС и ЕЭП. В англоязычных контекстах тот же документ называется Соглашение об обработке данных (DPA). Организации, работающие на международном уровне, должны убедиться, что их AVV доступны на соответствующих языках для облегчения понимания и соблюдения [5].
AVV не является политикой конфиденциальности или баннером согласия на использование файлов cookie. Это обязательный двусторонний контракт, который определяет, как обработчик может обрабатывать персональные данные, при каких условиях и с какими мерами безопасности.
Почему обработчикам данных нужен AVV?
AVV является обязательным всякий раз, когда контроллер данных привлекает обработчика для обработки персональных данных от его имени. Это не является необязательной рекомендацией; это жесткое юридическое требование в соответствии со статьей 28 GDPR [1].
Распространенные сценарии, которые вызывают необходимость в AVV, включают:
- Облачный хостинг и инфраструктура (например, серверы, хранящие базы данных клиентов)
- Обработка заработной платы, выполняемая сторонним HR-поставщиком
- Платформы email-маркетинга, которые хранят списки подписчиков
- Поставщики SaaS ERP, имеющие доступ к данным бизнеса и сотрудников
- Инструменты аналитики и отслеживания, обрабатывающие данные о поведении посетителей
Без AVV ни одна из сторон не имеет документально подтвержденной юридической основы для отношений по обработке. Контрольные органы рассматривают отсутствие AVV как отдельное нарушение соблюдения норм, независимо от расследования инцидента с утечкой данных [3].
Является ли AVV тем же самым, что и DPA?
Да, AVV и DPA относятся к одному и тому же юридическому документу. AVV — это обозначение на немецком языке; DPA — это английский эквивалент, используемый в большинстве других стран-членов ЕС и в международных контекстах соблюдения норм [5].
Оба документа соответствуют требованиям статьи 28 GDPR и должны содержать одни и те же обязательные элементы. Если немецкая компания подписывает DPA с поставщиком SaaS из США, этот DPA будет функционировать как AVV для целей соблюдения GDPR, при условии, что он соответствует всем существенным требованиям.
Ключевое различие, которое следует помнить: Название документа имеет меньшее значение, чем его содержание. Документ с заголовком "Дополнение к соглашению об обработке данных", "Соглашение об обработке" или "AVV" является юридически эквивалентным, если он охватывает все необходимые элементы.
Кому нужен AVV для соблюдения GDPR?
Любая организация, которая является контроллером данных и использует сторонний сервис, обрабатывающий персональные данные от ее имени, нуждается в AVV. Это относится к бизнесу любого размера в любых отраслях [1].
Контроллеры, которым обычно нужны AVV:
| Сценарий | Контроллер | Обработчик |
|---|---|---|
| Компания использует облачный CRM | Бизнес | Поставщик CRM |
| Веб-сайт использует аналитику | Владелец сайта | Поставщик аналитики |
| HR аутсорсит обработку заработной платы | Работодатель | Бюро по расчету заработной платы |
| Интернет-магазин использует инструмент email | Розничный продавец | Email-платформа |
| Агентство управляет рекламой клиентов | Агентство | Рекламная платформа |
Кто не является обработчиком: Сторона, которая самостоятельно определяет цели и средства обработки, является контроллером сама по себе, а не обработчиком. Совместные контроллеры требуют другого типа соглашения в соответствии со статьей 26 GDPR.
Малые предприятия часто упускают это требование, предполагая, что оно касается только крупных компаний. Это предположение неверно. Любой владелец сайта, использующий стороннего хостинг-провайдера, сервис рассылки новостей или систему бронирования, вероятно, нуждается как минимум в одном AVV [5].
Что должно быть включено в AVV?
Соответствующий AVV должен содержать определенные обязательные элементы. Отсутствие даже одного из них может сделать соглашение недостаточным в соответствии с требованиями GDPR [2].
Обязательные компоненты:
- Предмет и срок обработки
- Характер и цель обработки
- Тип персональных данных и категории субъектов данных
- Обязанности и права контроллера
- Технические и организационные меры (TOM), реализованные обработчиком
- Правила, регулирующие привлечение субобработчиков
- Процедуры для запросов прав субъектов данных
- Обязанности по уведомлению о нарушении данных
- Возврат или удаление данных по окончании контракта
- Права на аудит для контроллера
Раздел TOM особенно важен. Хотя сам AVV не реализует меры безопасности, он должен документировать, какие меры у обработчика уже есть, такие как стандарты шифрования, контроль доступа и практики псевдонимизации [1].
Что происходит, если у вас нет AVV?
Работа без действительного AVV подвергает как контроллера, так и обработчика значительным штрафам со стороны регуляторов. В соответствии со статьей 83(4) GDPR штрафы за нарушения статьи 28 могут достигать 10 миллионов евро или 2% от глобального годового оборота, а в соответствии со статьей 83(5) за более серьезные нарушения — до 20 миллионов евро или 4% от глобального годового оборота, в зависимости от того, что больше [3].
Критически важно, что эти штрафы могут быть наложены независимо от того, произошла ли утечка данных. Контрольный орган, проводящий рутинный аудит или реагирующий на жалобу, может выявить отсутствие AVV и наложить штраф только на этом основании.
Дополнительные последствия включают:
- Ущерб репутации и потерю доверия клиентов
- Договорная ответственность между контроллером и обработчиком
- Потенциальная приостановка деятельности по обработке до устранения недостатков
AVV против Соглашения об обработке данных: ключевые различия
AVV и DPA по сути являются одним и тем же документом под разными названиями. Однако существуют практические различия, которые стоит учитывать для международных организаций.
| Параметр | AVV | DPA |
|---|---|---|
| Язык | Немецкий | Английский (или местный) |
| Фокус юрисдикции | Регион DACH | Широкий ЕС/ЕЭП |
| Общий контекст использования | Контракты на немецком языке | Международные соглашения SaaS |
| Юридическая основа | Статья 28 GDPR | Статья 28 GDPR |
| Требования к содержанию | Идентичные | Идентичные |
Регион DACH (Германия, Австрия, Швейцария) имеет особенно сильную культуру соблюдения норм в отношении AVV, что делает их стандартной практикой в контрактах с поставщиками хостинга, поставщиками SaaS ERP и другими партнерами по услугам [1].
Сколько стоит AVV?
Стоимость AVV варьируется в зависимости от того, как он создается и проверяется.
- AVV на основе шаблона: Многие поставщики предоставляют свой собственный AVV в рамках своих условий обслуживания, обычно без дополнительной платы. Организации, такие как NexDeck, предлагают подробные шаблоны AVV, включая списки субобработчиков [4].
- Проверка юридическим консультантом: Услуги юриста по защите данных для составления или проверки индивидуального AVV обычно стоят от 300 до 2000 евро в зависимости от сложности и юрисдикции.
- Составление с помощью DPO: Организации с внутренним или внешним Офицером по защите данных (DPO) могут часто использовать этот ресурс для составления AVV без дополнительных затрат, кроме удержания DPO.
Для малых предприятий наиболее практичным подходом является начало с надежного шаблона и его проверка квалифицированным специалистом перед подписанием.
Как создать шаблон AVV?
Создание AVV начинается с определения всех отношений по обработке, где третья сторона обрабатывает персональные данные от вашего имени. После этого процесс следует следующим шагам:
- Инвентаризация ваших обработчиков: Составьте список всех поставщиков, инструментов или услуг, которые имеют доступ к персональным данным, которые вы контролируете.
- Получите или составьте AVV: Многие обработчики (особенно поставщики SaaS) предоставляют свой стандартный AVV. Проверьте его на соответствие обязательным элементам, перечисленным выше.
- Настройте раздел TOM: Убедитесь, что технические и организационные меры отражают фактические практики безопасности обработчика.
- Составьте список субобработчиков: Включите приложение, идентифицирующее любых субобработчиков, используемых обработчиком, вместе с их ролями и местоположениями.
- Определите механизмы передачи данных: Если данные передаются за пределы ЕС/ЕЭП, укажите юридический механизм передачи (например, стандартные договорные условия).
- Подпишите и сохраните: Обе стороны должны подписать AVV. Сохраните копию в своих записях по обработке данных.
Шаблоны от организаций, ориентированных на соблюдение норм, обеспечивают надежную структурную основу, но каждый AVV должен быть адаптирован к конкретной деятельности по обработке, которую он регулирует [2].
Требования к AVV для малых предприятий
Малые предприятия не освобождены от требования AVV. Любая организация, подпадающая под действие GDPR и использующая стороннего обработчика, должна иметь AVV, независимо от размера компании или количества сотрудников [1].
Для малых предприятий практическое бремя ниже, чем может показаться:
- Большинство крупных поставщиков SaaS (email-платформы, системы бронирования, инструменты аналитики) уже предоставляют стандартный AVV или DPA в рамках своих условий обслуживания. Принятие этих условий обычно считается действительным соглашением.
- Ключевая задача — убедиться, что вы действительно проверили и приняли эти условия, а не предполагаете, что они существуют.
- Ведите простой реестр своих обработчиков и соответствующих AVV.
Распространенная ошибка: Владельцы малых предприятий часто предполагают, что поскольку поставщик крупный и авторитетный, юридическая документация автоматически оформлена. Принятие AVV должно быть активным, документированным шагом.
Требования к аудиту AVV
AVV должен включать положения, предоставляющие контроллеру право проводить аудит соблюдения норм обработчиком. Это право на аудит является обязательным элементом в соответствии со статьей 28(3)(h) GDPR [2].
На практике требования к аудиту означают:
- Обработчик должен вести учет деятельности по обработке в соответствии со статьей 30(2) GDPR.
- Контроллер имеет право проводить аудиты или поручать третьим лицам проводить аудит для проверки соблюдения норм.
- Многие обработчики удовлетворяют это требование через сторонние сертификаты, такие как ISO 27001 или SOC 2, которые могут заменить onsite-аудиты во многих случаях.
AVV напрямую относится к контролям ISO 27001 Приложения A.5.19–A.5.22, которые регулируют отношения с поставщиками и информационную безопасность в цепочках поставок [2]. Организации с формальной системой управления информационной безопасностью (ISMS) должны убедиться, что их AVV интегрированы в их процессы управления поставщиками.
AVV для международных передач данных
Когда обработчик находится за пределами ЕС/ЕЭП, AVV должен учитывать юридический механизм передачи персональных данных в эту третью страну. Стандартные договорные условия (SCC) являются наиболее часто используемым механизмом и обычно включаются в качестве приложения к AVV [2].
Ключевые моменты для международных AVV:
- Убедитесь, имеет ли страна обработчика решение о соответствии ЕС.
- Если нет, включите соответствующие SCC (от контроллера к обработчику или от контроллера к контроллеру, в зависимости от отношений).
- Проведите оценку воздействия на передачу данных (TIA), если это необходимо.
- Убедитесь, что AVV доступен на языках обеих сторон контракта [5].
Как часто следует обновлять AVV?
AVV следует пересматривать и обновлять всякий раз, когда происходят существенные изменения в отношениях по обработке. Нет фиксированного установленного интервала пересмотра, но лучшая практика предполагает как минимум ежегодный пересмотр [2].
События, требующие немедленного обновления AVV:
- Обработчик привлекает нового субобработчика или удаляет существующего
- Изменяются характер, цель или объем обработки
- Данные передаются в новую третью страну
- Существенно обновляются TOM обработчика
- Изменяются применимые законы или регуляторные рекомендации
Проактивный пересмотр AVV является основной дисциплиной соблюдения норм. Устаревшие соглашения, которые больше не отражают фактическую деятельность по обработке, создают такой же регуляторный риск, как и отсутствие AVV.
Распространенные ошибки при создании AVV
Даже организации, которые понимают требование AVV, часто совершают ошибки в его реализации.
Ошибка 1: Рассматривать стандартный шаблон поставщика как автоматически достаточный. Шаблон AVV, предоставленный поставщиком, может не охватывать ваши конкретные виды обработки. Всегда проверяйте его на соответствие обязательным элементам.
Ошибка 2: Пропуск или нечеткое описание TOM. Контрольные органы внимательно scrutinize раздел TOM. Неопределенные формулировки, такие как "соответствующие меры безопасности" без конкретики, недостаточны.
Ошибка 3: Забыть о субобработчиках. AVV должен содержать список субобработчиков. Невозможность обновить этот список, когда обработчик меняет своих субобработчиков, является распространенной ошибкой соблюдения норм [2].
Ошибка 4: Не сохранять подписанные копии. AVV, который не может быть представлен во время аудита, не предоставляет юридической защиты. Ведите организованные записи.
Ошибка 5: Путать AVV с политикой конфиденциальности. Это совершенно разные документы, служащие разным целям. Политика конфиденциальности информирует субъектов данных; AVV регулирует отношения между контроллером и обработчиком [1].
Заключение
Полное руководство по AVV: Почему каждому обработчику данных он необходим, в конечном итоге сводится к простой реальности соблюдения норм: если персональные данные передаются между контроллером и обработчиком, действительный AVV должен существовать до начала этой обработки. Нет исключений по размеру, нет исключений по отраслям и нет льготных периодов для организаций, которые уже работают в соответствии с GDPR.
Практические шаги на 2026 год:
- Проведите аудит каждого стороннего поставщика, который получает доступ к персональным данным, которые вы контролируете, и подтвердите наличие AVV для каждого.
- Проверьте существующие AVV на соответствие контрольному списку обязательных элементов, уделяя особое внимание TOM и спискам субобработчиков.
- Установите напоминание в календаре для ежегодных пересмотров AVV и обновлений на основе триггеров, когда изменяются виды обработки.
- Для организаций, управляющих согласиями и соблюдением норм в отношении файлов cookie наряду с их AVV, рассмотрите возможность сочетания вашей документации по обработке данных с совместимой платформой управления согласиями, такой как Biscotti CMP, чтобы поддерживать полное и защищенное соблюдение норм.
- Проконсультируйтесь с квалифицированным специалистом по защите данных для любого AVV, связанного со сложной деятельностью по обработке или международными передачами данных.
Стоимость правильного оформления AVV минимальна. Стоимость их неправильного оформления — нет.
ЧаВо
Что такое AVV простыми словами? AVV — это письменный контракт между компанией, владеющей персональными данными (контроллером), и компанией, которая обрабатывает эти данные от ее имени (обработчиком). Он указывает, какие данные обрабатываются, зачем, как они защищаются и что обязаны делать обе стороны.
Требуется ли AVV для каждого отношения с поставщиком? Только для поставщиков, которые обрабатывают персональные данные от вашего имени. Поставщик, который просто предоставляет инструмент, который вы используете для обработки данных самостоятельно (без доступа к данным), обычно не является обработчиком и не требует AVV.
Может ли устное соглашение заменить AVV? Нет. Статья 28 GDPR явно требует, чтобы соглашение о обработке было в письменной форме, включая электронную.
Защищает ли AVV от штрафов по GDPR? Наличие действительного AVV значительно снижает регуляторный риск, но не предоставляет абсолютной иммунности. Штрафы все еще могут быть наложены за другие нарушения. AVV демонстрирует соблюдение статьи 28 в частности.
В чем разница между субобработчиком и обработчиком? Обработчик обрабатывает данные непосредственно для контроллера. Субобработчик привлекается обработчиком для помощи в этой обработке. Контроллер должен быть информирован о субобработчиках, и обработчик должен обязывать субобработчиков к эквивалентным обязательствам.
Как долго необходимо хранить AVV? В GDPR нет явного срока хранения для AVV, но их следует хранить в течение всего срока отношений по обработке и в разумный период после этого, обычно в соответствии со сроком давности для регуляторных действий в соответствующей юрисдикции.
Считается ли DPA, подписанное с американской компанией, AVV? Да, при условии, что оно содержит все элементы, требуемые статьей 28 GDPR, и включает соответствующие механизмы передачи, такие как стандартные договорные условия.
Может ли обработчик использовать персональные данные для собственных целей? Нет. Обработчик может обрабатывать персональные данные только по документированным инструкциям контроллера. Обработка для собственных целей обработчика переклассифицировала бы эту сторону как контроллера с отдельными юридическими обязательствами.
Что такое TOM в контексте AVV? TOM означает Технические и Организационные Меры. Это меры безопасности, которые обработчик реализует для защиты персональных данных, такие как шифрование, контроль доступа и псевдонимизация. AVV должен документировать эти меры.
Нужна ли нотариальная заверка для AVV? Нет. GDPR не требует нотариальной заверки. Подписанное письменное соглашение (включая электронные подписи) является достаточным.
Ссылки
[1] Соглашение об обработке данных - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai