Rýchla odpoveď: AVV (Auftragsverarbeitungsvertrag) je právne požadovaná zmluva podľa článku 28 GDPR medzi správcov údajov a spracovateľom údajov. Akákoľvek organizácia, ktorá spracováva osobné údaje v mene inej strany, musí mať takúto zmluvu uzavretú. Prevádzkovanie bez AVV vystavuje obe strany pokutám až do výšky 20 miliónov € alebo 4 % globálneho ročného obratu, podľa toho, ktorá suma je vyššia.
Kľúčové poznatky
- AVV je nemecký termín pre Zmluvu o spracovaní údajov (DPA), ktorá je požadovaná podľa článku 28 GDPR, kedykoľvek spracovateľ spracováva osobné údaje pre správcu.
- Zmluva musí špecifikovať predmet, účel, trvanie, typy údajov, technické a organizačné opatrenia (TOM) a pravidlá pre sub-spracovateľov.
- Nedostatok platného AVV môže viesť k regulačným pokutám bez ohľadu na to, či došlo k porušeniu údajov.
- Malé podniky nie sú oslobodené: cloudové hostingy, mzdový softvér a nástroje na e-mailový marketing zvyčajne vyžadujú AVV.
- AVV je zmluva medzi dvoma stranami, nie oznámenie o ochrane súkromia, a sama o sebe neimplementuje bezpečnostné opatrenia ako šifrovanie.
- AVV by mali byť prehodnotené vždy, keď sa zmenia sub-spracovatelia, dochádza k prenosom údajov do tretích krajín alebo sa menia spracovateľské činnosti.
- V regióne DACH (Nemecko, Rakúsko, Švajčiarsko) sú AVV štandardnou praxou u dodávateľov SaaS, poskytovateľov hostingu a ERP systémov.
- Šablóny sú k dispozícii od compliance organizácií a dodávateľov, ale prispôsobenie na odraz skutočných spracovateľských činností je nevyhnutné.
Čo znamená AVV v spracovaní údajov?
AVV znamená Auftragsverarbeitungsvertrag, nemecké zložené slovo, ktoré sa priamo prekladá ako "zmluva o spracovaní údajov" v angličtine. Je to zmluvný nástroj požadovaný článkom 28 nariadenia EÚ o ochrane osobných údajov (GDPR), ktorý upravuje vzťah medzi správcom údajov a spracovateľom údajov.
Tento termín je špecifický pre nemecky hovoriace jurisdikcie (Nemecko, Rakúsko a Švajčiarsko), ale základný právny koncept platí univerzálne v celej EÚ a EHP. V anglicky hovoriacich kontextoch sa tento dokument nazýva Zmluva o spracovaní údajov (DPA). Organizácie pôsobiace na medzinárodnej úrovni by mali zabezpečiť, aby ich AVV boli dostupné v relevantných jazykoch na uľahčenie porozumenia a dodržiavania [5].
AVV nie je politika ochrany súkromia ani banner na súhlas s cookies. Je to záväzná bilaterálna zmluva, ktorá definuje, ako môže spracovateľ spracovávať osobné údaje, za akých podmienok a s akými zárukami.
Prečo potrebujú spracovatelia údajov AVV?
AVV je povinné vždy, keď správca údajov angažuje spracovateľa na spracovanie osobných údajov v jeho mene. Toto nie je voliteľné usmernenie; je to tvrdá právna požiadavka podľa článku 28 GDPR [1].
Bežné scenáre, ktoré spúšťajú požiadavku na AVV, zahŕňajú:
- Cloudové hostingy a infraštruktúra (napr. servery ukladajúce databázy zákazníkov)
- Spracovanie miezd vykonávané tretím poskytovateľom HR
- Platformy na e-mailový marketing, ktoré ukladajú zoznamy odberateľov
- SaaS ERP dodávatelia pristupujúci k obchodným a zamestnaneckým údajom
- Nástroje na analýzu a sledovanie spracovávajúce údaje o správaní návštevníkov
Bez AVV nemá žiadna strana zdokumentovaný právny základ pre spracovateľský vzťah. Dohľadové orgány považujú absenciu AVV za samostatné porušenie dodržiavania predpisov, oddelené od akéhokoľvek vyšetrovania porušenia údajov [3].
Je AVV to isté ako DPA?
Áno, AVV a DPA sa vzťahujú na ten istý právny dokument. AVV je označenie v nemeckom jazyku; DPA je anglický ekvivalent používaný vo väčšine ostatných členských štátov EÚ a v medzinárodných kontextoch dodržiavania predpisov [5].
Oba dokumenty spĺňajú požiadavky článku 28 GDPR a musia obsahovať rovnaké povinné prvky. Ak nemecká spoločnosť podpíše DPA s dodávateľom SaaS so sídlom v USA, táto DPA funguje ako AVV na účely dodržiavania GDPR, pokiaľ spĺňa všetky podstatné požiadavky.
Kľúčové rozlíšenie, ktoré si treba zapamätať: Označenie dokumentu je menej dôležité ako jeho obsah. Dokument s názvom "Dodatok k zmluve o spracovaní údajov", "Zmluva o spracovaní" alebo "AVV" je právne ekvivalentný, pokiaľ pokrýva všetky požadované prvky.
Kto potrebuje AVV na dodržiavanie GDPR?
Akákoľvek organizácia, ktorá je správcom údajov a používa službu tretej strany, ktorá spracováva osobné údaje v jej mene, potrebuje AVV. To platí pre podniky všetkých veľkostí vo všetkých odvetviach [1].
Správcovia, ktorí zvyčajne potrebujú AVV:
| Scenár | Správca | Spracovateľ |
|---|---|---|
| Spoločnosť používa cloud CRM | Podnik | Dodávateľ CRM |
| Webová stránka používa analytiku | Majiteľ webu | Poskytovateľ analytiky |
| HR outsourcuje mzdy | Zamestnávateľ | Mzdová kancelária |
| Online obchod používa e-mailový nástroj | Predajca | E-mailová platforma |
| Agentúra spravuje reklamy klientov | Agentúra | Reklamná technológia |
Kto nie je spracovateľ: Strana, ktorá nezávisle určuje účely a prostriedky spracovania, je sama o sebe správcom, nie spracovateľom. Spoločné správcovia vyžadujú iný typ zmluvy podľa článku 26 GDPR.
Malé podniky často prehliadajú túto požiadavku, predpokladajúc, že sa vzťahuje iba na veľké podniky. Tento predpoklad je nesprávny. Akýkoľvek majiteľ webu, ktorý používa poskytovateľa hostingu tretej strany, službu newslettera alebo systém rezervácií, pravdepodobne potrebuje aspoň jeden AVV uzavretý [5].
Čo by malo byť zahrnuté v AVV?
Vyhovujúce AVV musí obsahovať konkrétne povinné prvky. Chýbajúci aj len jeden môže zmluvu urobiť nedostatočnou pod dohľadom GDPR [2].
Povinné komponenty:
- Predmet a trvanie spracovania
- Povaha a účel spracovania
- Typ osobných údajov a kategórie dotknutých osôb
- Povinnosti a práva správcu
- Technické a organizačné opatrenia (TOM), ktoré spracovateľ implementoval
- Pravidlá upravujúce zapojenie sub-spracovateľov
- Postupy pre žiadosti o práva dotknutých osôb
- Povinnosti oznamovania porušenia údajov
- Vrátenie alebo vymazanie údajov po ukončení zmluvy
- Práva na audit pre správcu
Sekcia TOM je obzvlášť dôležitá. Hoci AVV sama o sebe neimplementuje bezpečnostné opatrenia, musí dokumentovať, aké opatrenia má spracovateľ zavedené, ako sú štandardy šifrovania, prístupové kontroly a praktiky pseudonymizácie [1].
Čo sa stane, ak nemáte AVV?
Prevádzkovanie bez platného AVV vystavuje správcu aj spracovateľa významným regulačným sankciám. Podľa článku 83(4) GDPR môžu pokuty za porušenia článku 28 dosiahnuť 10 miliónov € alebo 2 % globálneho ročného obratu, a podľa článku 83(5) za závažnejšie porušenia až 20 miliónov € alebo 4 % globálneho ročného obratu, podľa toho, ktorá suma je vyššia [3].
Kriticky, tieto pokuty môžu byť uložené bez ohľadu na to, či došlo k porušeniu údajov. Dohľadový orgán vykonávajúci rutinný audit alebo reagujúci na sťažnosť môže identifikovať absenciu AVV a uložiť pokutu na tomto základe.
Ďalšie dôsledky zahŕňajú:
- Poškodenie reputácie a strata dôvery klientov
- Zmluvná zodpovednosť medzi správcom a spracovateľom
- Potenciálne pozastavenie spracovateľských činností až do nápravy
AVV vs. Zmluva o spracovaní údajov: Kľúčové rozdiely
AVV a DPA sú obsahovo rovnaké dokumenty pod rôznymi názvami. Existujú však praktické rozdiely, ktoré stojí za to poznamenať pre medzinárodné organizácie.
| Rozmer | AVV | DPA |
|---|---|---|
| Jazyk | Nemecký | Anglický (alebo miestny) |
| Zameranie jurisdikcie | Región DACH | EÚ/EHP vo všeobecnosti |
| Bežný kontext použitia | Nemecké zmluvy | Medzinárodné zmluvy SaaS |
| Právny základ | Článok 28 GDPR | Článok 28 GDPR |
| Požiadavky na obsah | Identické | Identické |
Región DACH (Nemecko, Rakúsko, Švajčiarsko) má obzvlášť silnú kultúru vynucovania AVV, čo z nich robí štandardnú prax v zmluvách s dodávateľmi hostingu, dodávateľmi SaaS ERP a inými poskytovateľmi služieb [1].
Koľko stojí AVV?
Cena AVV sa líši v závislosti od toho, ako je vytvorená a prehodnotená.
- AVV na základe šablóny: Mnoho dodávateľov poskytuje svoj vlastný AVV ako súčasť svojich obchodných podmienok, zvyčajne bez dodatočných poplatkov. Organizácie ako NexDeck ponúkajú podrobné šablóny AVV vrátane zoznamov sub-spracovateľov [4].
- Prehľad právneho poradcu: Nechať advokáta na ochranu údajov vypracovať alebo prehodnotiť vlastný AVV zvyčajne stojí medzi 300 a 2 000 € v závislosti od zložitosti a jurisdikcie.
- Vypracovanie s pomocou DPO: Organizácie s interným alebo externým dôstojníkom na ochranu údajov (DPO) môžu často využiť tento zdroj na vypracovanie AVV bez dodatočných nákladov nad rámec retaineru DPO.
Pre malé podniky je najpraktickejším prístupom začať so spoľahlivou šablónou a nechať ju prehodnotiť kvalifikovaným odborníkom pred podpisom.
Ako vytvoriť šablónu AVV?
Vytvorenie AVV začína identifikovaním všetkých spracovateľských vzťahov, kde tretia strana spracováva osobné údaje vo vašom mene. Odtiaľ nasleduje proces týchto krokov:
- Zostavte zoznam svojich spracovateľov: Zaznamenajte každého dodávateľa, nástroj alebo službu, ktorá má prístup k osobným údajom, ktoré kontrolujete.
- Získajte alebo vypracujte AVV: Mnohí spracovatelia (najmä dodávatelia SaaS) poskytujú svoj vlastný štandardný AVV. Prehodnoťte ho voči povinným prvkom uvedeným vyššie.
- Prispôsobte sekciu TOM: Zabezpečte, aby technické a organizačné opatrenia odrážali skutočné bezpečnostné praktiky spracovateľa.
- Zaznamenajte sub-spracovateľov: Zahrňte prílohu identifikujúcu akýchkoľvek sub-spracovateľov, ktorých spracovateľ používa, spolu s ich úlohami a lokalitami.
- Definujte mechanizmy prenosu údajov: Ak sa údaje prenášajú mimo EÚ/EHP, špecifikujte právny mechanizmus prenosu (napr. štandardné zmluvné doložky).
- Podpíšte a uchovajte: Obe strany musia podpísať AVV. Uchovajte kópiu vo svojich záznamoch o spracovaní údajov.
Šablóny od organizácií zameraných na dodržiavanie predpisov poskytujú solídny štrukturálny základ, ale každé AVV by malo byť prispôsobené konkrétnej spracovateľskej činnosti, ktorú upravuje [2].
Požiadavky AVV pre malé podniky
Malé podniky nie sú oslobodené od požiadavky na AVV. Akákoľvek organizácia podliehajúca GDPR, ktorá používa spracovateľa tretej strany, musí mať AVV uzavretý, bez ohľadu na veľkosť spoločnosti alebo počet zamestnancov [1].
Pre malé podniky je praktická záťaž nižšia, než by sa mohlo zdať:
- Väčšina hlavných dodávateľov SaaS (e-mailové platformy, systémy rezervácií, analytické nástroje) už poskytuje štandardný AVV alebo DPA ako súčasť svojich obchodných podmienok. Akceptovanie týchto podmienok zvyčajne predstavuje platnú dohodu.
- Kľúčovou úlohou je zabezpečiť, aby ste skutočne prehodnotili a akceptovali tieto podmienky, namiesto predpokladu, že existujú.
- Udržujte jednoduchý register svojich spracovateľov a zodpovedajúcich AVV.
Bežná chyba: Majitelia malých podnikov často predpokladajú, že pretože je dodávateľ veľký a renomovaný, právne dokumenty sú automaticky vybavené. Akceptácia AVV musí byť aktívnym, zdokumentovaným krokom.
Požiadavky na auditnú stopu AVV
AVV musí obsahovať ustanovenia, ktoré dávajú správcovi právo na audit dodržiavania predpisov spracovateľa. Toto právo na audit je povinným prvkom podľa článku 28(3)(h) GDPR [2].
V praxi požiadavky na auditnú stopu znamenajú:
- Spracovateľ musí udržiavať záznamy o spracovateľských činnostiach podľa článku 30(2) GDPR.
- Správca má právo vykonávať audity alebo poveriť tretie strany audítorov na overenie dodržiavania predpisov.
- Mnohí spracovatelia splnia túto požiadavku prostredníctvom certifikácií tretích strán, ako sú ISO 27001 alebo SOC 2, ktoré môžu nahradiť on-site audity v mnohých prípadoch.
AVV je priamo relevantné k kontrolám ISO 27001 Prílohy A.5.19 až A.5.22, ktoré upravujú vzťahy s dodávateľmi a bezpečnosť informácií v dodávateľských reťazcoch [2]. Organizácie s formálnym systémom riadenia bezpečnosti informácií (ISMS) by mali zabezpečiť, aby ich AVV boli integrované do ich procesov riadenia dodávateľov.
AVV pre medzinárodné prenosy údajov
Keď je spracovateľ umiestnený mimo EÚ/EHP, AVV musí riešiť právny mechanizmus na prenos osobných údajov do tejto tretej krajiny. Štandardné zmluvné doložky (SCC) sú najčastejšie používaným mechanizmom a zvyčajne sú zahrnuté ako príloha k AVV [2].
Kľúčové úvahy pre medzinárodné AVV:
- Zistite, či má krajina spracovateľa rozhodnutie o primeranosti EÚ.
- Ak nie, zahrňte príslušné SCC (správca-spracovateľ alebo správca-správca, v závislosti od vzťahu).
- Vykonajte hodnotenie dopadu prenosu (TIA), kde je to potrebné.
- Zabezpečte, aby bolo AVV dostupné v jazykoch oboch zmluvných strán [5].
Ako často by ste mali aktualizovať svoje AVV?
AVV by malo byť prehodnotené a aktualizované vždy, keď dôjde k podstatným zmenám v spracovateľskom vzťahu. Neexistuje pevne stanovený zákonný interval na prehodnotenie, ale osvedčená prax naznačuje aspoň ročné prehodnotenie [2].
Spúšťače pre okamžitú aktualizáciu AVV:
- Spracovateľ angažuje nového sub-spracovateľa alebo odstráni existujúceho
- Spracovateľské činnosti sa menia v povahe, účele alebo rozsahu
- Údaje sú prenášané do novej tretej krajiny
- TOM spracovateľa sú významne aktualizované
- Zmeny v platnom práve alebo regulačných usmerneniach
Proaktívne prehodnocovanie AVV je základnou disciplínou dodržiavania predpisov. Zastarané zmluvy, ktoré už neodrážajú skutočné spracovateľské činnosti, vytvárajú rovnaké regulačné riziko ako mať vôbec žiadne AVV.
Bežné chyby pri nastavovaní AVV
Aj organizácie, ktoré rozumejú požiadavke na AVV, často robia chyby pri implementácii.
Chyba 1: Považovanie dodávateľskej šablóny za automaticky dostatočnú. Šablóna AVV poskytnutá dodávateľom nemusí pokrývať vaše konkrétne spracovateľské činnosti. Vždy ju prehodnoťte voči povinným prvkom.
Chyba 2: Vynechanie alebo nejasné popisovanie TOM. Dohľadové orgány starostlivo skúmajú sekciu TOM. Nejasný jazyk ako "primerané bezpečnostné opatrenia" bez špecifík je nedostatočný.
Chyba 3: Zabudnutie na sub-spracovateľov. AVV musí uvádzať sub-spracovateľov. Zanedbanie aktualizácie tohto zoznamu, keď spracovateľ mení svojich sub-spracovateľov, je bežná medzera v dodržiavaní predpisov [2].
Chyba 4: Neuchovávanie podpísaných kópií. AVV, ktorý nemožno predložiť počas auditu, neposkytuje žiadnu právnu ochranu. Udržujte organizované záznamy.
Chyba 5: Mýlenie AVV s politikou ochrany súkromia. Tieto sú úplne odlišné dokumenty, ktoré slúžia rôznym účelom. Politika ochrany súkromia informuje dotknuté osoby; AVV upravuje vzťah medzi správcom a spracovateľom [1].
Záver
Konečný sprievodca AVV: Prečo každý spracovateľ údajov potrebuje jeden sa nakoniec zameriava na jednoduchú realitu dodržiavania predpisov: ak sa osobné údaje prenášajú medzi správcom a spracovateľom, platný AVV musí existovať pred začiatkom spracovania. Neexistujú žiadne výnimky podľa veľkosti, žiadne odvetvové výnimky a žiadne prechodné obdobia pre organizácie, ktoré už pôsobia podľa GDPR.
Akčné kroky na rok 2026:
- Audítujte každého dodávateľa tretej strany, ktorý má prístup k osobným údajom, ktoré kontrolujete, a potvrďte, že pre každého je uzavretý AVV.
- Prehodnoťte existujúce AVV voči kontrolnému zoznamu povinných prvkov, pričom osobitnú pozornosť venujte TOM a zoznamom sub-spracovateľov.
- Založte si kalendárne pripomienky na ročné prehodnotenie AVV a aktualizácie na základe spúšťačov, keď sa zmenia spracovateľské činnosti.
- Pre organizácie spravujúce súhlas a dodržiavanie cookies spolu s AVV zvážte spárovanie vašej dokumentácie o spracovaní údajov s vyhovujúcou platformou na správu súhlasu, ako je Biscotti CMP, aby ste udržali kompletný a obhájiteľný postoj k dodržiavaniu predpisov.
- Konzultujte s kvalifikovaným odborníkom na ochranu údajov akýkoľvek AVV, ktorý sa týka zložitých spracovateľských činností alebo medzinárodných prenosov údajov.
Náklady na správne nastavenie AVV sú minimálne. Náklady na ich nesprávne nastavenie nie sú.
Často kladené otázky
Čo je AVV v jednoduchých termínoch? AVV je písomná zmluva medzi spoločnosťou, ktorá vlastní osobné údaje (správca), a spoločnosťou, ktorá tieto údaje spracováva v jej mene (spracovateľ). Špecifikuje, aké údaje sa spracovávajú, prečo, ako sú chránené a aké povinnosti majú obe strany.
Je AVV požadované pre každý vzťah s dodávateľom? Iba pre dodávateľov, ktorí spracovávajú osobné údaje vo vašom mene. Dodávateľ, ktorý len poskytuje nástroj, ktorý používate na spracovanie údajov sami (bez prístupu k údajom), zvyčajne nie je spracovateľ a nevyžaduje AVV.
Môže verbálna dohoda nahradiť AVV? Nie. Článok 28 GDPR výslovne požaduje, aby bola zmluva o spracovaní písomne, vrátane elektronickej formy.
Chráni AVV pred pokutami podľa GDPR? Mať platný AVV výrazne znižuje regulačné riziko, ale neposkytuje absolútnu imunitu. Pokuty môžu byť stále uložené za iné porušenia. AVV preukazuje dodržiavanie článku 28 konkrétne.
Aký je rozdiel medzi sub-spracovateľom a spracovateľom? Spracovateľ spracováva údaje priamo pre správcu. Sub-spracovateľ je zapojený spracovateľom na pomoc s týmto spracovaním. Správca musí byť informovaný o sub-spracovateľoch a spracovateľ musí viazať sub-spracovateľov na ekvivalentné povinnosti.
Ako dlho musí byť AVV uchovávané? V GDPR nie je explicitne stanovené obdobie uchovávania pre AVV, ale mali by byť uchovávané počas trvania spracovateľského vzťahu a po rozumné obdobie neskôr, zvyčajne v súlade so zákonnou lehotou na podanie žaloby v príslušnej jurisdikcii.
Počíta sa DPA podpísaná s americkou spoločnosťou ako AVV? Áno, pokiaľ obsahuje všetky prvky požadované článkom 28 GDPR a zahŕňa vhodné mechanizmy prenosu, ako sú štandardné zmluvné doložky.
Môže spracovateľ používať osobné údaje na vlastné účely? Nie. Spracovateľ môže spracovávať osobné údaje len na základe zdokumentovaných pokynov správcu. Spracovanie na vlastné účely spracovateľa by preklasifikovalo túto stranu ako správcu, s oddelenými právnymi povinnosťami.
Čo je TOM v kontexte AVV? TOM znamená Technické a organizačné opatrenie. Tieto sú bezpečnostné praktiky, ktoré spracovateľ implementuje na ochranu osobných údajov, ako sú šifrovanie, prístupové kontroly a praktiky pseudonymizácie. AVV musí tieto opatrenia dokumentovať.
Musí byť AVV notársky overené? Nie. GDPR nevyžaduje notárske overenie. Podpísaná písomná zmluva (vrátane elektronických podpisov) je dostatočná.
Odkazy
[1] Zmluva o spracovaní údajov - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai