Hiter odgovor: AVV (Auftragsverarbeitungsvertrag) je pravno obvezen pogodbeni dokument po členu 28 GDPR med upravljavcem podatkov in obdelovalcem podatkov. Vsaka organizacija, ki obdeluje osebne podatke v imenu druge stranke, mora imeti enega. Delovanje brez AVV izpostavlja obe stranki denarnim kaznim do 20 milijonov evrov ali 4 % svetovnega letnega prometa, kar je višje.
Ključne točke
- AVV je nemški izraz za pogodbo o obdelavi podatkov (DPA), ki je potrebna po členu 28 GDPR, kadar obdelovalec obdeluje osebne podatke za upravljavca.
- Pogodba mora določiti predmet, namen, trajanje, vrste podatkov, tehnične in organizacijske ukrepe (TOM) ter pravila o podobdelovalcih.
- Pomanjkanje veljavnega AVV lahko privede do regulativnih kazni, ne glede na to, ali je prišlo do kršitve podatkov.
- Majhna podjetja niso izvzeta: oblačno gostovanje, programska oprema za obračun plač in orodja za e-poštni marketing običajno sprožijo zahtevo po AVV.
- AVV je pogodba med dvema strankama, ne obvestilo o zasebnosti, in sama ne izvaja varnostnih ukrepov, kot je šifriranje.
- AVV je treba pregledati, kadar se spremenijo podobdelovalci, prenosi podatkov v tretje države ali se spremenijo dejavnosti obdelave.
- V regiji DACH (Nemčija, Avstrija, Švica) so AVV standardna praksa pri ponudnikih SaaS, gostiteljskih ponudnikih in ERP sistemih.
- Predloge je mogoče pridobiti od organizacij za skladnost in ponudnikov, vendar je prilagoditev, da odraža dejanske dejavnosti obdelave, bistvenega pomena.
Kaj pomeni AVV v obdelavi podatkov?
AVV pomeni Auftragsverarbeitungsvertrag, nemško sestavljeno besedo, ki se neposredno prevaja kot "pogodba o obdelavi podatkov" v angleščini. To je pogodbeni instrument, ki ga zahteva člen 28 Uredbe EU o splošni zaščiti podatkov (GDPR), da ureja razmerje med upravljavcem podatkov in obdelovalcem podatkov.
Izraz je specifičen za nemško govoreče jurisdikcije (Nemčija, Avstrija in Švica), vendar se osnovni pravni koncept uporablja univerzalno po EU in EEA. V angleško govorečih kontekstih se isti dokument imenuje Pogodba o obdelavi podatkov (DPA). Organizacije, ki delujejo na mednarodni ravni, bi morale zagotoviti, da so njihovi AVV na voljo v ustreznih jezikih, da olajšajo razumevanje in skladnost [5].
AVV ni politika zasebnosti ali pasica za soglasje o piškotkih. To je zavezujoča dvostranska pogodba, ki opredeljuje, kako lahko obdelovalec ravna z osebnimi podatki, pod katerimi pogoji in s kakšnimi zaščitnimi ukrepi.
Zakaj obdelovalci podatkov potrebujejo AVV?
AVV je obvezen, kadar upravljavec podatkov angažira obdelovalca, da obdeluje osebne podatke v njegovem imenu. To ni neobvezno vodilo; to je stroga pravna zahteva po členu 28 GDPR [1].
Pogosti scenariji, ki sprožijo zahtevo po AVV, vključujejo:
- Oblačno gostovanje in infrastrukturo (npr. strežniki, ki shranjujejo baze podatkov strank)
- Obdelavo plač, ki jo izvaja tretji ponudnik kadrovskih storitev
- Platforme za e-poštni marketing, ki shranjujejo sezname naročnikov
- SaaS ERP ponudnike, ki dostopajo do poslovnih in zaposlenih podatkov
- Orodja za analitiko in sledenje, ki obdelujejo podatke o obnašanju obiskovalcev
Brez AVV nobena stranka nima dokumentirane pravne podlage za razmerje obdelave. Nadzorni organi obravnavajo odsotnost AVV kot samostojno kršitev skladnosti, ločeno od kakršne koli preiskave kršitve podatkov [3].
Je AVV enak DPA?
Da, AVV in DPA se nanašata na isti pravni dokument. AVV je nemška oznaka; DPA je angleški ekvivalent, ki se uporablja v večini drugih držav članic EU in v mednarodnih kontekstih skladnosti [5].
Oba dokumenta izpolnjujeta zahteve člena 28 GDPR in morata vsebovati iste obvezne elemente. Če nemško podjetje podpiše DPA z ameriškim ponudnikom SaaS, ta DPA deluje kot AVV za namene skladnosti z GDPR, če izpolnjuje vse vsebinske zahteve.
Ključna razlika, ki si jo je treba zapomniti: Oznaka na dokumentu je manj pomembna od njegove vsebine. Dokument, naslovljen "Dodatak k pogodbi o obdelavi podatkov", "Pogodba o obdelavi" ali "AVV", je pravno enakovreden, dokler pokriva vse zahtevane elemente.
Kdo potrebuje AVV za skladnost z GDPR?
Vsaka organizacija, ki je upravljavec podatkov in uporablja storitev tretje osebe, ki obdeluje osebne podatke v njenem imenu, potrebuje AVV. To velja za podjetja vseh velikosti v vseh industrijah [1].
Upravljavci, ki običajno potrebujejo AVV:
| Scenarij | Upravljavec | Obdelovalec |
|---|---|---|
| Podjetje uporablja oblačno CRM | Podjetje | Ponudnik CRM |
| Spletna stran uporablja analitiko | Lastnik spletne strani | Ponudnik analitike |
| HR outsourca obračun plač | Delodajalec | Urad za obračun plač |
| Spletna trgovina uporablja orodje za e-pošto | Maloprodajalec | Platforma za e-pošto |
| Agencija upravlja oglase strank | Agencija | Oglasi tehnološka platforma |
Kdo ni obdelovalec: Stranka, ki neodvisno določa namene in sredstva obdelave, je sama upravljavec, ne obdelovalec. Skupni upravljavci potrebujejo drugačno vrsto pogodbe po členu 26 GDPR.
Majhna podjetja pogosto spregledajo to zahtevo, domnevajoč, da se nanaša le na velika podjetja. Ta predpostavka je napačna. Vsak lastnik spletne strani, ki uporablja ponudnika oblačnega gostovanja, storitev novic ali sistem za rezervacije, verjetno potrebuje vsaj en AVV [5].
Kaj mora vsebovati AVV?
Skladni AVV mora vsebovati specifične obvezne elemente. Manjkajoč tudi samo en lahko pogodbo naredi nezadostno pod nadzorom GDPR [2].
Obvezne komponente:
- Predmet in trajanje obdelave
- Narava in namen obdelave
- Vrsta osebnih podatkov in kategorije subjektov podatkov
- Obveznosti in pravice upravljavca
- Tehnični in organizacijski ukrepi (TOM), ki jih izvaja obdelovalec
- Pravila, ki urejajo angažiranje podobdelovalcev
- Postopki za zahteve pravic subjektov podatkov
- Obveznosti obveščanja o kršitvah podatkov
- Vračilo ali izbris podatkov ob prenehanju pogodbe
- Pravice revizije za upravljavca
Oddelek TOM je še posebej pomemben. Medtem ko AVV sam ne izvaja varnostnih ukrepov, mora dokumentirati, katere ukrepe ima obdelovalec na voljo, kot so standardi šifriranja, nadzor dostopa in prakse pseudonimizacije [1].
Kaj se zgodi, če nimate AVV?
Delovanje brez veljavnega AVV izpostavlja tako upravljavca kot obdelovalca pomembnim regulativnim kaznim. Po členu 83(4) GDPR lahko kazni za kršitve člena 28 dosežejo 10 milijonov evrov ali 2 % svetovnega letnega prometa, in po členu 83(5) za resnejše kršitve do 20 milijonov evrov ali 4 % svetovnega letnega prometa, kar je višje [3].
Ključno je, da se te kazni lahko naložijo ne glede na to, ali je prišlo do kršitve podatkov. Nadzorni organ, ki izvaja rutinski pregled ali odgovarja na pritožbo, lahko ugotovi odsotnost AVV in izda kazen na tej osnovi.
Dodatne posledice vključujejo:
- Reputacijsko škodo in izgubo zaupanja strank
- Pogodbeno odgovornost med upravljavcem in obdelovalcem
- Potencialno prekinitev dejavnosti obdelave do odprave težav
AVV proti pogodbi o obdelavi podatkov: Ključne razlike
AVV in DPA sta vsebinsko enaka dokumenta pod različnimi imeni. Vendar pa obstajajo praktične razlike, ki jih je vredno omeniti za mednarodne organizacije.
| Dimenzija | AVV | DPA |
|---|---|---|
| Jezik | Nemščina | Angleščina (ali lokalno) |
| Osredotočenost jurisdikcije | Regija DACH | Široko EU/EEA |
| Pogosta uporaba | Nemško govoreče pogodbe | Mednarodne SaaS pogodbe |
| Pravna podlaga | Člen 28 GDPR | Člen 28 GDPR |
| Zahteve po vsebini | Identične | Identične |
Regija DACH (Nemčija, Avstrija, Švica) ima še posebej močno kulturo izvajanja AVV, kar jih dela standardna praksa v pogodbah z dobavitelji, gostiteljskimi ponudniki, ponudniki SaaS ERP in drugimi storitvenimi partnerji [1].
Koliko stane AVV?
Cena AVV se razlikuje glede na to, kako je ustvarjen in pregledan.
- AVV na osnovi predloge: Mnogi ponudniki zagotavljajo svoj AVV kot del svojih pogojev storitve, običajno brez dodatnih stroškov. Organizacije, kot je NexDeck, ponujajo podrobne predloge AVV, vključno s seznami podobdelovalcev [4].
- Pregled pravnega svetovalca: Imati odvetnika za zaščito podatkov, ki pripravi ali pregleda prilagojen AVV, običajno stane med 300 in 2000 evri, odvisno od kompleksnosti in jurisdikcije.
- Pomoč DPO pri pripravi: Organizacije z notranjim ali zunanjim pooblaščencem za zaščito podatkov (DPO) lahko pogosto uporabijo ta vir za pripravo AVV brez dodatnih stroškov poleg retainerja DPO.
Za majhna podjetja je najbolj praktičen pristop začeti s priznano predlogo in jo pregledati pri kvalificiranem strokovnjaku pred podpisom.
Kako ustvariti predlogo AVV?
Ustvarjanje AVV se začne z identifikacijo vseh razmerij obdelave, kjer tretja oseba obdeluje osebne podatke v vašem imenu. Od tam postopek sledi tem korakom:
- Inventarizirajte svoje obdelovalce: Naštejte vsakega ponudnika, orodje ali storitev, ki dostopa do osebnih podatkov, ki jih nadzorujete.
- Pridobite ali pripravite AVV: Mnogi obdelovalci (zlasti ponudniki SaaS) zagotavljajo svoj standardni AVV. Preglejte ga glede obveznih elementov, navedenih zgoraj.
- Prilagodite oddelek TOM: Poskrbite, da tehnični in organizacijski ukrepi odražajo dejanske varnostne prakse obdelovalca.
- Naštejte podobdelovalce: Vključite prilogo, ki identificira vse podobdelovalce, ki jih obdelovalec uporablja, skupaj z njihovimi vlogami in lokacijami.
- Določite mehanizme prenosa podatkov: Če se podatki prenašajo izven EU/EEA, določite pravni mehanizem prenosa (npr. standardne pogodbene klavzule).
- Podpišite in hranite: Obe stranki morata podpisati AVV. Obdržite kopijo s svojimi evidencami o obdelavi podatkov.
Predloge iz organizacij, osredotočenih na skladnost, zagotavljajo trdno strukturno osnovo, vendar bi moral biti vsak AVV prilagojen specifični dejavnosti obdelave, ki jo ureja [2].
Zahteve AVV za majhna podjetja
Majhna podjetja niso izvzeta iz zahteve po AVV. Vsaka organizacija, ki je predmet GDPR in uporablja obdelovalca tretje osebe, mora imeti AVV, ne glede na velikost podjetja ali število zaposlenih [1].
Za majhna podjetja je praktična obremenitev manjša, kot se morda zdi:
- Večina večjih ponudnikov SaaS (platforme za e-pošto, sistemi za rezervacije, orodja za analitiko) že zagotavlja standardni AVV ali DPA kot del svojih pogojev storitve. Sprejem teh pogojev običajno predstavlja veljavno pogodbo.
- Ključna naloga je zagotoviti, da ste dejansko pregledali in sprejeli te pogoje, namesto da bi domnevali, da obstajajo.
- Ohranite preprost register svojih obdelovalcev in ustreznih AVV.
Pogosta napaka: Lastniki majhnih podjetij pogosto domnevajo, da ker je ponudnik velik in ugleden, je pravna dokumentacija samodejno urejena. Sprejem AVV mora biti aktivni, dokumentirani korak.
Zahteve po revizijski sledi AVV
AVV mora vključevati določbe, ki upravljavcu dajejo pravico do revizije skladnosti obdelovalca. Ta pravica do revizije je obvezni element po členu 28(3)(h) GDPR [2].
V praksi zahteve po revizijski sledi pomenijo:
- Obdelovalec mora vzdrževati evidence o dejavnostih obdelave po členu 30(2) GDPR.
- Upravljavec ima pravico izvajati revizije ali naročiti revizorje tretjih oseb, da preverijo skladnost.
- Mnogi obdelovalci izpolnjujejo to zahtevo s pomočjo certifikatov tretjih oseb, kot sta ISO 27001 ali SOC 2, ki lahko nadomestijo na-site revizije v mnogih primerih.
AVV je neposredno povezan z nadzornimi ukrepi ISO 27001 Priloga A, ki urejajo odnose s ponudniki in varnost informacij v dobavnih verigah [2]. Organizacije s formalnim sistemom upravljanja varnosti informacij (ISMS) bi morale zagotoviti, da so njihovi AVV vključeni v njihove procese upravljanja dobaviteljev.
AVV za mednarodne prenose podatkov
Ko je obdelovalec lociran izven EU/EEA, mora AVV obravnavati pravni mehanizem za prenos osebnih podatkov v to tretjo državo. Standardne pogodbene klavzule (SCC) so najpogosteje uporabljeni mehanizem in se običajno vključijo kot priloga k AVV [2].
Ključna razmišljanja za mednarodne AVV:
- Ugotovite, ali ima država obdelovalca odločitev o ustreznosti EU.
- Če ne, vključite ustrezne SCC (upravljavec-do-obdelovalca ali upravljavec-do-upravljavca, odvisno od razmerja).
- Izvedite oceno vpliva prenosa (TIA), kjer je to potrebno.
- Poskrbite, da bo AVV na voljo v jezikih obeh pogodbenih strank [5].
Kako pogosto bi morali posodobiti svoj AVV?
AVV je treba pregledati in posodobiti, kadar pride do materialnih sprememb v razmerju obdelave. Ni fiksnega zakonskega obdobja pregleda, vendar najboljša praksa kaže na vsaj letni pregled [2].
Sprožilci za takojšnjo posodobitev AVV:
- Obdelovalec angažira novega podobdelovalca ali odstrani obstoječega
- Dejavnosti obdelave se spremenijo po naravi, namenu ali obsegu
- Podatki se prenesejo v novo tretjo državo
- TOM obdelovalca so bistveno posodobljeni
- Ustrezna zakonodaja ali regulativna smernica se spremeni
Proaktiven pregled AVV je osnovna disciplina skladnosti. Zastarele pogodbe, ki ne odražajo dejanskih dejavnosti obdelave, ustvarjajo enako regulativno izpostavljenost kot pomanjkanje AVV.
Pogoste napake pri vzpostavljanju AVV
Tudi organizacije, ki razumejo zahtevo po AVV, pogosto delajo napake pri izvajanju.
Napaka 1: Obvladovanje predloge ponudnika kot samodejno zadostne. Predloga AVV, ki jo zagotovi ponudnik, morda ne pokriva vaših specifičnih dejavnosti obdelave. Vedno jo preglejte glede obveznih elementov.
Napaka 2: Izpuščanje ali nejasno opisovanje TOM. Nadzorni organi natančno preučujejo oddelek TOM. Nejasen jezik, kot je "ustrezni varnostni ukrepi" brez specifikacij, je nezadosten.
Napaka 3: Pozabljanje na podobdelovalce. AVV mora našteti podobdelovalce. Neuspeh pri posodabljanju tega seznama, ko obdelovalec spremeni svoje podobdelovalce, je pogosta vrzel v skladnosti [2].
Napaka 4: Nehranjevanje podpisanih kopij. AVV, ki ga ni mogoče predložiti med revizijo, ne nudi pravne zaščite. Ohranite organizirane evidence.
Napaka 5: Zmeda med AVV in politiko zasebnosti. To sta povsem različna dokumenta, ki služita različnim namenom. Politika zasebnosti obvešča subjekte podatkov; AVV ureja razmerje med upravljavcem in obdelovalcem [1].
Zaključek
Končni vodnik po AVV: Zakaj vsak obdelovalec podatkov potrebuje enega se na koncu zmanjšuje na preprosto resničnost skladnosti: če osebni podatki prehajajo med upravljavcem in obdelovalcem, mora veljaven AVV obstajati, preden se ta obdelava začne. Ni izjem glede velikosti, ni izjem glede industrije in ni prehodnih obdobij za organizacije, ki že delujejo pod GDPR.
Izvedljivi naslednji koraki za leto 2026:
- Preverite vsakega tretjega ponudnika, ki dostopa do osebnih podatkov, ki jih nadzorujete, in potrdite, da je za vsakega vzpostavljen AVV.
- Preglejte obstoječe AVV glede na seznam obveznih elementov, pri čemer posebno pozornost namenite TOM in seznamom podobdelovalcev.
- Ustanovite koledarski opomnik za letne preglede AVV in posodobitve, ki jih sprožijo spremembe dejavnosti obdelave.
- Za organizacije, ki upravljajo soglasje in skladnost s piškotki poleg svojih AVV, razmislite o povezovanju svoje dokumentacije o obdelavi podatkov s skladno platformo za upravljanje soglasij, kot je Biscotti CMP, da ohranite popolno in obrambo sposobno skladnost.
- Posvetujte se s kvalificiranim strokovnjakom za zaščito podatkov za vsak AVV, ki vključuje kompleksne dejavnosti obdelave ali mednarodne prenose podatkov.
Stroški pravilnega vzpostavljanja AVV so minimalni. Stroški napačnega ravnanja niso.
Pogosta vprašanja
Kaj je AVV v preprostih besedah? AVV je pisna pogodba med podjetjem, ki ima osebne podatke (upravljavec), in podjetjem, ki te podatke obdeluje v njegovem imenu (obdelovalec). Določa, kateri podatki se obdelujejo, zakaj, kako so zaščiteni in kaj sta dolžni storiti obe stranki.
Ali je AVV potreben za vsako razmerje s ponudnikom? Samo za ponudnike, ki obdelujejo osebne podatke v vašem imenu. Ponudnik, ki zgolj zagotavlja orodje, ki ga uporabljate za obdelavo podatkov sami (brez dostopa do podatkov), običajno ni obdelovalec in ne potrebuje AVV.
Ali lahko ustna pogodba nadomesti AVV? Ne. Člen 28 GDPR izrecno zahteva, da je pogodba o obdelavi v pisni obliki, vključno z elektronsko obliko.
Ali AVV ščiti pred kaznimi GDPR? Imeti veljaven AVV znatno zmanjšuje regulativno tveganje, vendar ne zagotavlja absolutne imunitete. Kazni se lahko še vedno izrečejo za druge kršitve. AVV dokazuje skladnost s členom 28 posebej.
Kakšna je razlika med podobdelovalcem in obdelovalcem? Obdelovalec obdeluje podatke neposredno za upravljavca. Podobdelovalec je angažiran s strani obdelovalca, da pomaga pri tej obdelavi. Upravljavec mora biti obveščen o podobdelovalcih, obdelovalec pa mora zavezati podobdelovalce k enakovrednim obveznostim.
Kako dolgo je treba hraniti AVV? V GDPR ni izrecno določenega obdobja hrambe za AVV, vendar jih je treba hraniti za čas trajanja razmerja obdelave in za razumljivo obdobje po tem, običajno v skladu z zastaralnimi roki za regulativne ukrepe v ustrezni jurisdikciji.
Ali DPA, podpisana z ameriškim podjetjem, šteje kot AVV? Da, pod pogojem, da vsebuje vse elemente, zahtevane po členu 28 GDPR, in vključuje ustrezne mehanizme prenosa, kot so standardne pogodbene klavzule.
Ali lahko obdelovalec uporablja osebne podatke za svoje namene? Ne. Obdelovalec sme obdelovati osebne podatke samo na dokumentiranih navodilih upravljavca. Obdelava za lastne namene obdelovalca bi to stranko ponovno razvrstila kot upravljavca, s posebnimi pravnimi obveznostmi.
Kaj pomeni TOM v kontekstu AVV? TOM pomeni Tehnični in organizacijski ukrep. To so varnostne prakse, ki jih obdelovalec izvaja za zaščito osebnih podatkov, kot so šifriranje, nadzor dostopa in prakse pseudonimizacije. AVV mora dokumentirati te ukrepe.
Ali je treba AVV notarizirati? Ne. GDPR ne zahteva notarizacije. Podpisana pisna pogodba (vključno z elektronskimi podpisi) je zadostna.
Reference
[1] Pogodba o obdelavi podatkov - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai