Rýchla odpoveď: AVV (Auftragsverarbeitungsvertrag) a DPA (Data Processing Agreement) sa týkajú rovnakej právne požadovanej zmluvy podľa článku 28 GDPR, nemecký termín AVV sa používa v jurisdikciách DACH, zatiaľ čo DPA je anglický ekvivalent používaný vo väčšine ostatných členských štátov EÚ a medzinárodne. Obe upravujú, ako spracovateľ údajov zaobchádza s osobnými údajmi v mene prevádzkovateľa. Výber nesprávneho rámca alebo úplné vynechanie zmluvy môže vystaviť vašu organizáciu významným regulačným sankciám.
Kľúčové poznatky
- AVV je nemecká skratka pre Auftragsverarbeitungsvertrag; DPA znamená Data Processing Agreement, sú funkčne rovnakým nástrojom podľa GDPR.
- Obe zmluvy sú povinné podľa článku 28 GDPR, kedykoľvek prevádzkovateľ angažuje spracovateľa na spracovanie osobných údajov.
- Rozdiel v terminológii je regionálny: AVV je štandardné v Nemecku, Rakúsku a Švajčiarsku; DPA sa používa v anglicky hovoriacich a väčšine iných kontextov EÚ.
- Platná zmluva musí pokrývať predmet, trvanie spracovania, kategórie údajov, práva subjektov údajov, podmienky sub-spracovateľov, bezpečnostné opatrenia a ustanovenia o audite. [1]
- Nedostatok správnej zmluvy môže viesť k vyšetrovaniam dozorných orgánov, pokutám a sporom o zmluvách.
- Náklady na implementáciu sa pohybujú od nuly (použitie štandardnej šablóny dodávateľa) po niekoľko tisíc eur za vlastné právne vypracovanie.
- Niektoré podniky pôsobiace na trhoch DACH a mimo DACH legitímne používajú oba termíny v tej istej zmluve pre jasnosť.
- Platforma na správu súhlasov, ako je Biscotti CMP, môže podporiť vašu širšiu súlad s GDPR, ale nenahrádza riadne vykonaný AVV alebo DPA.
Čo znamená AVV v ochrane údajov a je to to isté ako DPA?
AVV znamená Auftragsverarbeitungsvertrag, nemecký termín pre zmluvu o spracovaní údajov. V praktických právnych termínoch sú AVV a DPA rovnakým dokumentom, oba spĺňajú požiadavku stanovenú v článku 28 GDPR na písomnú zmluvu medzi prevádzkovateľom údajov a spracovateľom údajov. [1]
Rozlíšenie je čisto jazykové a jurisdikčné. Nemeckí, rakúski a švajčiarski odborníci na ochranu údajov používajú AVV ako štandardný termín v zmluvách, politikách ochrany súkromia a regulačnej korešpondencii. Odborníci hovoriaci anglicky a väčšina ostatných členských štátov EÚ používajú DPA. Keď vám nemecký dodávateľ SaaS ponúkne "AVV", ponúka vám rovnaký právny nástroj, ktorý by britský dodávateľ nazval "DPA".
Kľúčové objasnenie: Žiaden z termínov neimplikuje iný právny štandard. Obe musia spĺňať rovnaké požiadavky na obsah podľa článku 28(3) GDPR, aby boli platné. [1]
Aký je rozdiel medzi AVV a DPA?
Rozdiel medzi AVV a DPA je terminologický, nie obsahový. Obe popisujú zmluvu požadovanú článkom 28 GDPR medzi prevádzkovateľom údajov (subjektom, ktorý určuje účel a prostriedky spracovania) a spracovateľom údajov (subjektom, ktorý spracováva údaje v mene prevádzkovateľa).
Kde sa môžu objaviť skutočné rozdiely, je v štýle vypracovania a miestnych regulačných pokynoch:
- Nemecké dozorné orgány (Datenschutzbehörden) zverejnili konkrétne šablónové klauzuly a pokyny, ktoré dokumenty AVV často obsahujú.
- Anglicky písané DPA vypracované pre jurisdikcie v Spojenom kráľovstve alebo Írsku môžu odkazovať na národnú implementačnú legislatívu spolu s GDPR.
- Švajčiarske AVV musia tiež zohľadňovať revidovaný federálny zákon o ochrane údajov (revFADP), ktorý sa v niektorých ohľadoch odlišuje od GDPR.
Záverečné zhrnutie: Ak vám dodávateľ pošle AVV a potrebujete DPA, dostali ste to, čo potrebujete, pokiaľ obsah spĺňa požiadavky článku 28(3). [1]
Kedy potrebujete AVV a kedy DPA?
Potrebujete jednu z týchto zmlúv kedykoľvek vaša organizácia zdieľa osobné údaje s poskytovateľom služieb tretej strany, ktorý tieto údaje spracováva na vaše pokyny. Spúšťacím faktorom je vzťah prevádzkovateľa a spracovateľa, nie jazyk zmluvy.
Použite AVV, keď:
- Vaša protistrana sídli v Nemecku, Rakúsku alebo Švajčiarsku a ich štandardná zmluva používa túto terminológiu.
- Vaša vlastná organizácia funguje podľa nemeckého práva na ochranu údajov a vaše interné šablóny dodržiavajú pokyny BfDI alebo štátneho DPA.
Použite DPA, keď:
- Vaša protistrana pôsobí v anglicky hovoriacej jurisdikcii alebo používa angličtinu ako jazyk zmluvy.
- Uzatvárate zmluvu s poskytovateľom cloudových služieb so sídlom v USA, dodávateľom SaaS z UK alebo akýmkoľvek medzinárodným spracovateľom, ktorého šablóny predpokladajú "DPA".
Bežná chyba: Predpokladanie, že pretože dodávateľ nazýva svoj dokument AVV namiesto DPA, platia iné právne pravidlá. Požiadavky na obsah sú podľa GDPR identické. Dôležitý je obsah, nie označenie na obálke.
Kto potrebuje AVV a kto potrebuje DPA?
Každá organizácia, ktorá sa kvalifikuje ako prevádzkovateľ údajov podľa GDPR a angažuje tretiu stranu na spracovanie osobných údajov v jej mene, potrebuje jednu z týchto zmlúv. To sa vzťahuje na:
- E-commerce podniky používajúce spracovateľov platieb tretej strany alebo platformy na e-mailový marketing.
- Podniky používajúce poskytovateľov cloudovej infraštruktúry (IaaS, PaaS, SaaS).
- Online marketingové agentúry spracovávajúce údaje zákazníkov klientov.
- Vývojárov vytvárajúcich aplikácie, ktoré spracovávajú osobné údaje koncových používateľov prostredníctvom externých API.
- Majiteľov webových stránok používajúcich analytické nástroje, CDN alebo CRM systémy, ktoré spracovávajú údaje návštevníkov.
Organizácie so sídlom na trhoch DACH sa zvyčajne stretávajú s označením AVV; tie, ktoré pôsobia medzinárodne, sa častejšie zaoberajú DPA. Obe kategórie organizácií čelí rovnakým právnym povinnostiam.
Čo by malo byť zahrnuté v AVV a DPA?
Obe, AVV aj DPA, musia obsahovať rovnaké povinné prvky podľa článku 28(3) GDPR. Chýbanie ktorejkoľvek z týchto klauzúl robí zmluvu nekompatibilnou. [1]
| Povinná klauzula | Popis |
|---|---|
| Predmet a trvanie | Aké údaje sú spracovávané a na ako dlho |
| Povaha a účel | Prečo a ako sa spracovanie uskutočňuje |
| Typy údajov a subjekty údajov | Kategórie osobných údajov a dotknuté osoby |
| Práva a povinnosti prevádzkovateľa | Pokyny, ktoré musí spracovateľ dodržiavať |
| Bezpečnostné opatrenia | Technické a organizačné zabezpečenia (TOMs) |
| Podmienky sub-spracovateľov | Pravidlá pre angažovanie nižších spracovateľov |
| Podpora práv subjektov údajov | Podpora pre prístup, vymazanie, prenosnosť žiadostí |
| Oznámenie o porušení | Povinnosť spracovateľa informovať prevádzkovateľa o incidentoch |
| Návrat alebo vymazanie údajov | Čo sa stane s údajmi na konci zmluvy |
| Práva na audit | Právo prevádzkovateľa overiť súlad |
Okrajový prípad: Ak šablóna dodávateľa vynechá práva na audit alebo podmienky sub-spracovateľov, nepodpisujte ju tak, ako je. Tieto sú podľa článku 28(3) nevyjednateľné. [1]
Koľko stojí zriadenie AVV alebo DPA?
Náklady závisia výlučne od toho, či použijete štandardnú šablónu dodávateľa alebo si objednáte vlastné právne vypracovanie.
- Šablóna poskytnutá dodávateľom (najbežnejšie): Zadarmo. Väčšina hlavných poskytovateľov SaaS a cloudových služieb zverejňuje štandardný AVV alebo DPA, ktorý prevádzkovatelia môžu akceptovať online alebo prostredníctvom procesu kliknutia.
- Vyjednaná vlastná zmluva: Právne poplatky sa zvyčajne pohybujú od 500 do 5 000 eur v závislosti od zložitosti, jurisdikcie a sadzieb právnych poradcov. Podnikové zmluvy s významnými objemami údajov alebo citlivými kategóriami údajov sú na vyššom konci.
- Vývoj interných šablón: Jednorazová investícia času právneho poradcu na vytvorenie opakovateľnej šablóny; priebežné náklady sú minimálne.
Praktická poznámka: Pre väčšinu SME a majiteľov webových stránok je štandardná šablóna dodávateľa dostatočná. Vlastné vyjednávanie je opodstatnené, keď spracovanie zahŕňa údaje špeciálnych kategórií (zdravotné, biometrické, finančné) alebo keď prevádzkovateľ nesie významné riziko zodpovednosti.
Ako sa požiadavky AVV a DPA líšia podľa krajiny?
Podľa GDPR sú obsahové požiadavky harmonizované vo všetkých členských štátoch EÚ, takže základný obsah AVV a DPA je identický, či už ste v Berlíne, Paríži alebo Varšave. Avšak existujú národné nuansy:
- Nemecko: BfDI a štátne DPAs vydali podrobné pokyny a modelové klauzuly. Nemecké AVV často obsahujú podrobnejšiu dokumentáciu technických a organizačných opatrení (TOMs).
- Švajčiarsko: revFADP (účinný od septembra 2023) ukladá dodatočné požiadavky nad rámec GDPR, vrátane konkrétnych ustanovení pre cezhraniové prenosy údajov a časové rámce oznámenia o porušení údajov.
- UK (po brexite): Platí UK GDPR; DPA musia odkazovať na pokyny UK ICO namiesto dozorných orgánov EÚ. Štandardné zmluvné klauzuly sa líšia od EÚ SCCs.
- Iné členské štáty EÚ: Článok 28 GDPR sa uplatňuje priamo; miestne pokyny DPA môžu doplniť, ale nemôžu znížiť minimálne požiadavky.
Starostlivo vyberte klauzulu o platnom práve. AVV podľa nemeckého práva a DPA podľa írskeho práva môžu vyzerať podobne, ale budú interpretované rôznymi súdmi a dozornými orgánmi.
Môžete použiť AVV namiesto DPA, alebo použiť oboje súčasne?
Áno, AVV môže nahradiť DPA, pretože sú právne ekvivalentné nástroje. Spoločnosť pôsobiaca na trhoch DACH a mimo DACH môže zahrnúť oba termíny do hlavičky tej istej zmluvy (napr. "Zmluva o spracovaní údajov / Auftragsverarbeitungsvertrag"), aby sa predišlo zmätku, čo je bežná prax v dvojjazyčných podnikových zmluvách a je úplne prípustné.
Použitie oboch označení súčasne nevytvára dve samostatné právne povinnosti. Jednoducho zabezpečuje, že nemecky hovoriace a anglicky hovoriace strany chápu, že sa pozerajú na ten istý dokument.
Aké sú bežné chyby pri výbere medzi AVV a DPA?
Najdôležitejšie chyby nie sú o tom, ktorý termín použijete, ale o tom, čo zmluva obsahuje a či vôbec existuje.
- Úplné vynechanie zmluvy pretože vzťah s dodávateľom sa zdá neformálny alebo nízkorizikový. Podľa GDPR je povinnosť spustená aktom spracovania, nie vnímanou úrovňou rizika.
- Akceptovanie neúplnej šablóny, ktorá vynecháva klauzuly o sub-spracovateľoch alebo práva na audit, s presvedčením, že verzia dodávateľa je automaticky v súlade.
- Zamieňanie DPA so zmluvou o zdieľaní údajov. DPA upravuje vzťahy spracovateľa; zmluva o zdieľaní údajov upravuje výmeny údajov medzi spoločnými prevádzkovateľmi alebo prevádzkovateľmi a prevádzkovateľmi. Tieto sú rôzne nástroje.
- Nedostatok aktualizácie zmlúv pri angažovaní nových sub-spracovateľov alebo zmene povahy spracovania.
- Predpokladanie, že súlad s GDPR pokrýva švajčiarske právo. Organizácie s švajčiarskymi subjektmi údajov musia zabezpečiť, aby ich AVV tiež spĺňalo požiadavky revFADP.
Aké sú právne dôsledky nesprávneho zaobchádzania s AVV a DPA?
Nedostatok platnej, úplnej zmluvy vystavuje prevádzkovateľov aj spracovateľov regulačnej a občianskej zodpovednosti.
Podľa článku 83(4) GDPR môžu porušenia článku 28 (požiadavka na DPA/AVV) viesť k administratívnym pokutám až do 10 miliónov eur alebo 2% globálneho ročného obratu, podľa toho, čo je vyššie. Dozorné orgány v Nemecku preukázali ochotu vyšetrovať a pokutovať organizácie za chýbajúce alebo nedostatočné spracovateľské zmluvy.
Okrem pokút zahŕňajú dôsledky:
- Audity dozorných orgánov a opravné príkazy.
- Neschopnosť vynucovať zmluvné podmienky voči nesúladnému spracovateľovi.
- Občianska zodpovednosť, ak dôjde k porušeniu údajov bez platnej zmluvy dokumentujúcej bezpečnostné povinnosti.
- Poškodenie reputácie v B2B kontextoch, kde podnikové klienti vykonávajú dôvody dodávateľa.
Ako zistíte, ktorú zmluvu vaša firma skutočne potrebuje?
Rozhodnutie je jednoduché, ak identifikujete vzťah a jurisdikciu.
Krok 1: Určte, či je vaša organizácia prevádzkovateľom (rozhodujete, prečo a ako sa údaje spracovávajú) alebo spracovateľom (spracovávate údaje na pokyny niekoho iného).
Krok 2: Identifikujte jazyk a jurisdikciu vašej protistrany. Ak sú v regióne DACH, očakávajte AVV. Ak sú inde, očakávajte DPA.
Krok 3: Overte, že akýkoľvek dokument, ktorý dostanete, obsahuje všetky desať povinných prvkov podľa článku 28(3) GDPR. [1]
Krok 4: Ak vaša organizácia tiež potrebuje spravovať súhlas používateľov pre cookies a sledovacie technológie, platforma na správu súhlasov, ako je Biscotti CMP, rieši túto vrstvu súladu s GDPR, ale funguje vedľa, nie namiesto, riadne vykonaného AVV alebo DPA.
Pravidlo rozhodovania: Ak spracovávate osobné údaje v mene inej organizácie, potrebujete DPA alebo AVV bez ohľadu na to, ako sa vzťah komerčne nazýva. Ak iná organizácia spracováva údaje vo vašom mene, ste zodpovední za zabezpečenie, že táto zmluva je uzavretá pred začiatkom spracovania.
FAQ
Q: Je AVV právne platný mimo Nemecka?
AVV je právne platný kdekoľvek, kde sa uplatňuje GDPR, pokiaľ spĺňa požiadavky článku 28(3) na obsah. Nemecká terminológia neobmedzuje jeho vykonateľnosť v iných jurisdikciách EÚ.
Q: Musí byť DPA podpísaná oboma stranami?
Áno. Článok 28(9) GDPR vyžaduje, aby bola zmluva písomná, čo zahŕňa aj elektronickú formu. Obe strany, prevádzkovateľ a spracovateľ, musia byť viazané jej podmienkami.
Q: Môže online klikateľná DPA dodávateľa spĺňať požiadavky GDPR?
Áno, ak obsah spĺňa požiadavky článku 28(3). Mnohí hlavní poskytovatelia cloudu ponúkajú súladné klikateľné DPA, ktoré boli preskúmané dozornými orgánmi.
Q: Čo je sub-spracovateľ a prečo je to dôležité v DPA alebo AVV?
Sub-spracovateľ je tretia strana, ktorú angažuje spracovateľ na vykonávanie spracovateľských činností. DPA alebo AVV musia špecifikovať podmienky, za ktorých môžu byť sub-spracovatelia angažovaní, vrátane práva prevádzkovateľa namietať. [1]
Q: Potrebujem novú AVV alebo DPA zakaždým, keď spracovateľ aktualizuje svoj zoznam sub-spracovateľov?
Nie nevyhnutne. Mnohé zmluvy obsahujú všeobecné povolenie na zmeny sub-spracovateľov, pokiaľ spracovateľ informuje prevádzkovateľa a prevádzkovateľ si zachováva právo namietať v stanovenom období.
Q: Pokrýva DPA prenosy údajov mimo EÚ?
DPA upravuje spracovateľský vzťah, ale sama o sebe neautorizuje cezhraniové prenosy údajov. Na prenosy do tretích krajín sú potrebné samostatné prenosové mechanizmy (štandardné zmluvné klauzuly, rozhodnutia o primeranosti).
Q: Ako dlho by mala byť DPA alebo AVV uchovávaná?
Zmluvu uchovávajte počas trvania spracovateľského vzťahu a po rozumné obdobie neskôr, zvyčajne aspoň tri až päť rokov, aby ste preukázali súlad v prípade vyšetrovania dozorného orgánu.
Q: Aký je rozdiel medzi DPA a DPIA?
DPA (Data Processing Agreement) je zmluva medzi prevádzkovateľom a spracovateľom. DPIA (Data Protection Impact Assessment) je interné hodnotenie rizika požadované pre činnosti s vysokým rizikom spracovania. Slúžia rôznym účelom a ani jeden nenahrádza druhý.
Q: Môže byť freelancer alebo malá agentúra povinná podpísať AVV alebo DPA?
Áno. Povinnosť sa vzťahuje bez ohľadu na veľkosť spracovateľa. Freelance vývojár, ktorý spracováva údaje zákazníkov klientov, je spracovateľ a musí podpísať DPA alebo AVV s každým klientom-prevádzkovateľom.
Q: Nahrádza Biscotti CMP potrebu DPA alebo AVV?
Nie. Biscotti CMP je platforma na správu súhlasov, ktorá pomáha spravovať súhlas používateľov pre cookies a sledovanie, čo je samostatná požiadavka na súlad s GDPR. DPA alebo AVV sú stále potrebné pre akýkoľvek vzťah spracovateľa, ktorý zahŕňa osobné údaje.
Záver
Otázka AVV vs. DPA sa rýchlo vyrieši, ak si uvedomíte, že oba termíny opisujú rovnaký právne požadovaný nástroj podľa článku 28 GDPR. Skutočnou výzvou nie je výber medzi nimi, ale zabezpečenie, že akýkoľvek dokument, ktorý upravuje vaše vzťahy so spracovateľmi, obsahuje každú povinnú klauzulu, je riadne vykonaný a je aktuálny, keď sa spracovateľské činnosti vyvíjajú.
Akčné ďalšie kroky:
- Skontrolujte všetky aktuálne vzťahy s dodávateľmi, aby ste potvrdili, že pre každý spracovateľ, ktorý spracováva osobné údaje vo vašom mene, je platný DPA alebo AVV.
- Prejdite existujúce zmluvy v porovnaní s desiatimi povinnými prvkami článku 28(3) GDPR a požiadajte o zmeny pre akékoľvek nedostatky. [1]
- Ak pôsobíte vo Švajčiarsku, overte, že zmluvy tiež spĺňajú požiadavky revFADP nad rámec základných požiadaviek GDPR.
- Zriaďte interný proces na onboardovanie nových spracovateľov, žiadne spracovanie by sa nemalo začať pred podpísaním zmluvy.
- Pre správu súhlasov a súlad s cookies na vašej webovej stránke alebo aplikácii zhodnoťte Biscotti CMP ako súčasť vášho širšieho rámca súladu s GDPR.
Súlad s ochranou údajov nie je jednorazový projekt. Zmluvy je potrebné kontrolovať, keď sa spracovanie mení, keď sa pridávajú sub-spracovatelia a keď sa vyvíja regulačné usmernenie. Vytvorenie tejto kontrolnej frekvencie vo vašom súlade je najpraktickejšou ochranou proti regulačnej expozícii.
Odkazy
[1] Zmluva o spracovaní údajov - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai