Hiter odgovor: AVV (Auftragsverarbeitungsvertrag) in DPA (Data Processing Agreement) se nanašata na isto pravno zahtevano pogodbo po členu 28 GDPR, nemški izraz AVV se uporablja v jurisdikcijah DACH-regije, medtem ko je DPA angleški ekvivalent, ki se uporablja v večini drugih držav članic EU in mednarodno. Obe urejata, kako obdelovalec podatkov ravna s osebnimi podatki v imenu upravljavca. Izbira napačnega okvira ali popolno izpuščanje pogodbe lahko izpostavi vašo organizacijo pomembnim regulativnim kaznim.
Ključne točke
- AVV je nemška okrajšava za Auftragsverarbeitungsvertrag; DPA pomeni Data Processing Agreement, funkcionalno sta enaka instrumenta po GDPR.
- Obe pogodbi sta obvezni po členu 28 GDPR, kadar koli upravljavec angažira obdelovalca za ravnanje s osebnimi podatki.
- Razlika v terminologiji je regionalna: AVV je standard v Nemčiji, Avstriji in Švici; DPA se uporablja v angleško govorečih in večini drugih kontekstov EU.
- Veljavna pogodba mora pokrivati predmet, trajanje obdelave, kategorije podatkov, pravice posameznikov, pogoje podobdelovalcev, varnostne ukrepe in določbe o reviziji. [1]
- Neuspeh pri zagotavljanju pravilne pogodbe lahko privede do preiskav nadzornih organov, kazni in sporov glede pogodb.
- Stroški izvajanja se gibljejo od nič (uporaba standardne predloge dobavitelja) do več tisoč evrov za prilagojeno pravno oblikovanje.
- Nekatera podjetja, ki delujejo v DACH in ne-DACH trgih, legitimno uporabljajo oba izraza v isti pogodbi za jasnost.
- Platforma za upravljanje soglasij, kot je Biscotti CMP, lahko podpira vašo širšo skladnost z GDPR, vendar ne nadomešča pravilno izvedenega AVV ali DPA.
Kaj pomeni AVV v varstvu podatkov in ali je enak DPA?
AVV pomeni Auftragsverarbeitungsvertrag, nemški izraz za pogodbo o obdelavi podatkov. V praktičnih pravnih izrazih sta AVV in DPA isti dokument, oba izpolnjujeta zahtevo, določeno v členu 28 GDPR za pisno pogodbo med upravljavcem podatkov in obdelovalcem podatkov. [1]
Razlikovanje je čisto jezikovno in jurisdikcijsko. Nemški, avstrijski in švicarski strokovnjaki za varstvo podatkov uporabljajo AVV kot standardni izraz v pogodbah, politikah zasebnosti in regulativni korespondenci. Angleško govoreči strokovnjaki in večina drugih držav članic EU uporabljajo DPA. Ko vam nemški ponudnik SaaS ponudi "AVV", ponuja isti pravni instrument, ki bi ga britanski ponudnik imenoval "DPA".
Ključna razjasnitev: Noben izraz ne implicira drugačnega pravnega standarda. Obe morata izpolnjevati iste vsebinske zahteve iz člena 28(3) GDPR, da sta veljavna. [1]
Kakšna je razlika med AVV in DPA?
Razlika med AVV in DPA je terminološka, ne vsebinska. Obe opisujeta pogodbo, ki jo zahteva člen 28 GDPR med upravljavcem podatkov (subjektom, ki določa namen in sredstva obdelave) in obdelovalcem podatkov (subjektom, ki obdeluje podatke v imenu upravljavca).
Kjer se lahko pojavijo resnične razlike, je v slogu oblikovanja in lokalnih regulativnih smernicah:
- Nemški nadzorni organi (Datenschutzbehörden) so objavili specifične predloge klavzul in smernice, ki jih dokumenti AVV pogosto vključujejo.
- DPA v angleškem jeziku, oblikovani za britanske ali irske jurisdikcije, lahko omenjajo nacionalno izvajalno zakonodajo poleg GDPR.
- Švicarski AVV-ji morajo prav tako upoštevati spremenjeni Zvezni zakon o varstvu podatkov (revFADP), ki se v nekaterih vidikih razlikuje od GDPR.
Zaključek: Če vam ponudnik pošlje AVV in potrebujete DPA, ste prejeli tisto, kar potrebujete, pod pogojem, da vsebina izpolnjuje zahteve iz člena 28(3). [1]
Kdaj potrebujete AVV in kdaj DPA?
Potrebujete eno od teh pogodb, kadar koli vaša organizacija deli osebne podatke s tretjim ponudnikom storitev, ki te podatke obdeluje po vaših navodilih. Vzrok je razmerje med upravljavcem in obdelovalcem, ne jezik pogodbe.
Uporabite AVV, ko:
- Je vaša nasprotna stranka s sedežem v Nemčiji, Avstriji ali Švici in njihova standardna pogodba uporablja to terminologijo.
- Vaša organizacija deluje pod nemškim zakonom o varstvu podatkov in vaše notranje predloge sledijo smernicam BfDI ali državnim DPA.
Uporabite DPA, ko:
- Vaša nasprotna stranka deluje v angleško govoreči jurisdikciji ali uporablja angleščino kot jezik pogodbe.
- Sklenete pogodbo z ameriškim ponudnikom oblačnih storitev, britanskim ponudnikom SaaS ali katerim koli mednarodnim obdelovalcem, katerega predloge privzeto uporabljajo "DPA".
Pogosta napaka: Predpostaviti, da se zaradi tega, ker ponudnik imenuje svoj dokument AVV namesto DPA, uporabljajo različna pravna pravila. Zahteve glede vsebine so po GDPR identične. Pomembna je vsebina, ne oznaka na naslovni strani.
Kdo potrebuje AVV in kdo potrebuje DPA?
Vsaka organizacija, ki se kvalificira kot upravljavec podatkov po GDPR in angažira tretjo osebo za obdelavo osebnih podatkov v njenem imenu, potrebuje eno od teh pogodb. To velja za:
- E-trgovine, ki uporabljajo tretje ponudnike plačil ali platforme za e-poštni marketing.
- Podjetja, ki uporabljajo ponudnike oblačne infrastrukture (IaaS, PaaS, SaaS).
- Spletne marketinške agencije, ki obdelujejo podatke strank.
- Razvijalce, ki gradijo aplikacije, ki obravnavajo osebne podatke končnih uporabnikov prek zunanjih API-jev.
- Lastnike spletnih strani, ki uporabljajo analitična orodja, CDN-je ali CRM sisteme, ki obdelujejo podatke obiskovalcev.
Organizacije s sedežem na trgih DACH bodo običajno naletele na oznako AVV; tiste, ki delujejo mednarodno, se bodo pogosteje ukvarjale z DPA. Obe kategoriji organizacij se soočata z enako pravno obveznostjo.
Kaj mora vsebovati AVV in kaj DPA?
Tako AVV kot DPA morata vsebovati iste obvezne elemente po členu 28(3) GDPR. Manjkajoča katera koli od teh klavzul pomeni, da pogodba ni skladna. [1]
| Zahtevana klavzula | Opis |
|---|---|
| Predmet in trajanje | Katere podatke obdelujemo in koliko časa |
| Narava in namen | Zakaj in kako se obdelava izvaja |
| Vrste podatkov in subjekti podatkov | Kategorije osebnih podatkov in prizadete osebe |
| Pravice in obveznosti upravljavca | Navodila, ki jih mora obdelovalec upoštevati |
| Varnostni ukrepi | Tehnični in organizacijski varnostni ukrepi (TOM) |
| Pogoji za podobdelovalce | Pravila za angažiranje spodnjih obdelovalcev |
| Pomoč pri pravicah subjektov podatkov | Podpora za zahteve po dostopu, izbrisu, prenosljivosti |
| Obvestilo o kršitvah | Obveznost obdelovalca, da obvesti upravljavca o incidentih |
| Vrnitev ali izbris podatkov | Kaj se zgodi s podatki ob koncu pogodbe |
| Pravice do revizije | Pravica upravljavca, da preveri skladnost |
Poseben primer: Če predloga ponudnika ne vključuje pravic do revizije ali pogojev za podobdelovalce, je ne podpisujte takšne, kot je. To so nepogajljive zahteve po členu 28(3). [1]
Koliko stane vzpostavitev AVV ali DPA?
Stroški so povsem odvisni od tega, ali uporabljate standardno predlogo ponudnika ali naročite prilagojeno pravno oblikovanje.
- Predloga, ki jo zagotovi ponudnik (najpogostejša): Brezplačno. Večina večjih ponudnikov SaaS in oblačnih storitev objavi standardni AVV ali DPA, ki ga upravljavci lahko sprejmejo prek spleta ali s klikom.
- Pogodba po dogovoru: Pravni stroški se običajno gibljejo od 500 do 5.000 evrov, odvisno od kompleksnosti, jurisdikcije in stopenj svetovanja. Pogodbe podjetij z velikimi količinami podatkov ali občutljivimi kategorijami podatkov so na višjem koncu.
- Razvoj notranje predloge: Enkratna naložba časa pravnega svetovalca za ustvarjanje ponovne predloge; stalni stroški so minimalni.
Praktična opomba: Za večino MSP in lastnikov spletnih strani je standardna predloga ponudnika zadostna. Prilagojeno pogajanje je upravičeno, kadar obdelava vključuje podatke posebnih kategorij (zdravje, biometrija, finance) ali kadar upravljavec nosi pomembno odgovornost.
Kako se zahteve AVV in DPA razlikujejo po državah?
Po GDPR so vsebinske zahteve usklajene v vseh državah članicah EU, tako da je osnovna vsebina AVV in DPA identična, ne glede na to, ali ste v Berlinu, Parizu ali Varšavi. Vendar pa obstajajo nacionalne nianse:
- Nemčija: BfDI in državne DPA so izdali podrobne smernice in modelne klavzule. Nemški AVV-ji pogosto vključujejo bolj podrobno dokumentacijo o tehničnih in organizacijskih ukrepih (TOM).
- Švica: revFADP (v veljavi od septembra 2023) nalaga dodatne zahteve poleg GDPR, vključno s specifičnimi določbami za čezmejne prenose podatkov in roki za obvestila o kršitvah podatkov.
- VB (po brexitu): Velja britanski GDPR; DPA morajo sklicevati na smernice britanskega ICO namesto na nadzorne organe EU. Standardne pogodbene klavzule se razlikujejo od EU SCC.
- Druge države članice EU: Člen 28 GDPR se neposredno uporablja; lokalne smernice DPA lahko dopolnjujejo, vendar ne morejo zmanjšati minimalnih zahtev.
Skrbno izberite klavzulo o veljavnem pravu. AVV po nemškem pravu in DPA po irskem pravu se lahko zdijo podobni, vendar jih bodo razlagali različni sodišča in nadzorni organi.
Ali lahko uporabite AVV namesto DPA ali uporabite oba hkrati?
Da, AVV lahko nadomesti DPA, ker sta pravno ekvivalentna instrumenta. Podjetje, ki deluje v DACH in ne-DACH trgih, lahko v istem naslovu pogodbe vključuje oba izraza (npr. "Pogodba o obdelavi podatkov / Auftragsverarbeitungsvertrag"), da se izogne zmedi, kar je običajna praksa v dvojezičnih podjetniških pogodbah in je povsem dovoljeno.
Uporaba obeh oznak hkrati ne ustvarja dveh ločenih pravnih obveznosti. Preprosto zagotavlja, da nemško govoreče in angleško govoreče stranke razumejo, da gledajo na isti dokument.
Katere so pogoste napake pri izbiri med AVV in DPA?
Najbolj pomembne napake niso povezane s tem, kateri izraz uporabite, temveč s tem, kaj pogodba vsebuje in ali sploh obstaja.
- Popolno izpuščanje pogodbe zaradi občutka, da je odnos s ponudnikom neformalen ali nizko tvegan. Po GDPR se obveznost sproži z dejanjem obdelave, ne z zaznano stopnjo tveganja.
- Sprejemanje nepopolne predloge, ki izpušča klavzule o podobdelovalcih ali pravice do revizije, v prepričanju, da je različica ponudnika samodejno skladna.
- Zamenjava DPA s sporazumom o delitvi podatkov. DPA ureja odnose z obdelovalci; sporazum o delitvi podatkov ureja skupne upravljavce ali izmenjave podatkov med upravljavci. To sta različna instrumenta.
- Neuspeh pri posodabljanju pogodb, ko obdelovalec angažira nove podobdelovalce ali spremeni naravo obdelave.
- Predpostavka, da skladnost z GDPR pokriva švicarsko pravo. Organizacije s švicarskimi subjekti podatkov morajo zagotoviti, da njihov AVV izpolnjuje tudi zahteve revFADP.
Kakšne so pravne posledice napačne izbire med AVV in DPA?
Neuspeh pri zagotavljanju veljavne, popolne pogodbe izpostavi tako upravljavce kot obdelovalce regulativni in civilni odgovornosti.
Po členu 83(4) GDPR lahko kršitve člena 28 (zahteva po DPA/AVV) privedejo do administrativnih kazni do 10 milijonov evrov ali 2% svetovnega letnega prometa, kar je višje. Nadzorni organi v Nemčiji so pokazali pripravljenost, da preiskujejo in kaznujejo organizacije zaradi manjkajočih ali pomanjkljivih obdelovalnih pogodb.
Poleg kazni so posledice vključujejo:
- Revizije nadzornih organov in korektivna naročila.
- Nezmožnost uveljavljanja pogodbenih pogojev proti nekompliantnemu obdelovalcu.
- Civilna odgovornost, če pride do kršitve podatkov brez veljavne pogodbe, ki dokumentira varnostne obveznosti.
- Reputacijska škoda v B2B kontekstih, kjer podjetja stranke izvajajo skrbni pregled dobaviteljev.
Kako veste, katero pogodbo vaše podjetje dejansko potrebuje?
Odločitev je preprosta, ko identificirate razmerje in jurisdikcijo.
Korak 1: Določite, ali je vaša organizacija upravljavec (odločate, zakaj in kako se podatki obdelujejo) ali obdelovalec (obdelujete podatke po navodilih nekoga drugega).
Korak 2: Določite jezik in jurisdikcijo vaše nasprotne stranke. Če so v DACH regiji, pričakujte AVV. Če so drugje, pričakujte DPA.
Korak 3: Preverite, da kateri koli dokument, ki ga prejmete, vsebuje vseh deset obveznih elementov po členu 28(3) GDPR. [1]
Korak 4: Če vaša organizacija tudi upravlja soglasje uporabnikov za piškotke in tehnologije sledenja, platforma za upravljanje soglasij, kot je Biscotti CMP, obravnava to plast skladnosti z GDPR, vendar deluje poleg, ne namesto, pravilno izvedenega AVV ali DPA.
Pravilnik odločanja: Če obdelujete osebne podatke v imenu druge organizacije, potrebujete DPA ali AVV ne glede na to, kako se razmerje komercialno imenuje. Če druga organizacija obdeluje podatke v vašem imenu, ste odgovorni za zagotavljanje, da je ta pogodba sklenjena, preden se obdelava začne.
Pogosta vprašanja
Q: Je AVV pravno veljaven zunaj Nemčije?
AVV je pravno veljaven kjer koli se uporablja GDPR, pod pogojem, da izpolnjuje vsebinske zahteve iz člena 28(3). Nemška terminologija ne omejuje njene izvršljivosti v drugih jurisdikcijah EU.
Q: Ali mora biti DPA podpisana s strani obeh strank?
Da. Člen 28(9) GDPR zahteva, da je pogodba v pisni obliki, kar vključuje tudi elektronsko obliko. Tako upravljavec kot obdelovalec morata biti vezana na njene pogoje.
Q: Ali lahko spletni DPA, ki ga ponudi ponudnik, izpolnjuje zahteve GDPR?
Da, če vsebina izpolnjuje zahteve iz člena 28(3). Mnogi večji ponudniki oblačnih storitev ponujajo skladne DPA, ki so jih pregledali nadzorni organi.
Q: Kaj je podobdelovalec in zakaj je pomemben v DPA ali AVV?
Podobdelovalec je tretja oseba, ki jo angažira obdelovalec za izvajanje obdelovalnih dejavnosti. DPA ali AVV morata določiti pogoje, pod katerimi se lahko angažirajo podobdelovalci, vključno s pravico upravljavca, da se pritoži. [1]
Q: Ali potrebujem nov AVV ali DPA vsakič, ko obdelovalec posodobi svoj seznam podobdelovalcev?
Ne nujno. Mnoge pogodbe vključujejo splošno pooblastilo za spremembe podobdelovalcev, pod pogojem, da obdelovalec obvesti upravljavca in upravljavec obdrži pravico do pritožbe v določenem obdobju.
Q: Ali DPA pokriva prenose podatkov izven EU?
DPA ureja razmerje obdelave, vendar sama po sebi ne pooblašča čezmejnih prenosov podatkov. Za prenose v tretje države so potrebni ločeni mehanizmi prenosa (standardne pogodbene klavzule, odločitve o ustreznosti).
Q: Kako dolgo naj se hrani DPA ali AVV?
Pogodbo hranite za čas trajanja razmerja obdelave in za razumno obdobje po tem, običajno vsaj tri do pet let, da dokažete skladnost v primeru preiskave nadzornega organa.
Q: Kakšna je razlika med DPA in DPIA?
DPA (Pogodba o obdelavi podatkov) je pogodba med upravljavcem in obdelovalcem. DPIA (Ocena vpliva na varstvo podatkov) je notranja ocena tveganja, potrebna za dejavnosti z visokim tveganjem obdelave. Imata različne namene in nobena ne nadomešča druge.
Q: Ali lahko samostojni podjetnik ali mala agencija zahteva podpis AVV ali DPA?
Da. Obveznost velja ne glede na velikost obdelovalca. Samostojni razvijalec, ki obravnava podatke strank, je obdelovalec in mora podpisati DPA ali AVV s vsakim upravljavcem strank.
Q: Ali Biscotti CMP nadomešča potrebo po DPA ali AVV?
Ne. Biscotti CMP je platforma za upravljanje soglasij, ki pomaga upravljati soglasje uporabnikov za piškotke in sledenje, kar je ločena zahteva za skladnost z GDPR. DPA ali AVV je še vedno potrebna za vsako razmerje obdelovalca, ki vključuje osebne podatke.
Zaključek
Vprašanje AVV proti DPA se hitro razreši, ko spoznate, da oba izraza opisujeta isti pravno zahtevani instrument po členu 28 GDPR. Pravi izziv ni izbira med njima, temveč zagotovitev, da kateri koli dokument, ki ureja vaše odnose z obdelovalci, vsebuje vse obvezne klavzule, je pravilno izveden in je posodobljen, ko se dejavnosti obdelave razvijajo.
Izvedljivi naslednji koraki:
- Preverite vse trenutne odnose z dobavitelji, da potrdite, da je za vsakega obdelovalca, ki obravnava osebne podatke v vašem imenu, sklenjena veljavna DPA ali AVV.
- Preglejte obstoječe pogodbe glede na deset obveznih elementov člena 28(3) GDPR in zahtevajte spremembe za morebitne vrzeli. [1]
- Če delujete v Švici, preverite, ali pogodbe izpolnjujejo tudi zahteve revFADP poleg osnovnih zahtev GDPR.
- Ustanovite notranji postopek za vključevanje novih obdelovalcev, obdelava se ne sme začeti, preden pogodba ni podpisana.
- Za upravljanje soglasij in skladnost s piškotki na vaši spletni strani ali aplikaciji ocenite Biscotti CMP kot del vaše širše strukture skladnosti z GDPR.
Skladnost z varstvom podatkov ni enkratni projekt. Pogodbe je treba pregledati, ko se obdelava spremeni, ko se dodajo podobdelovalci in ko se razvijajo regulativne smernice. Vključitev te pregledne dinamike v vaš program skladnosti je najbolj praktična zaščita pred regulativno izpostavljenostjo.
Reference
[1] Pogodba o obdelavi podatkov - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai