Brzi odgovor: AVV (Auftragsverarbeitungsvertrag) je zakonski obavezni ugovor prema GDPR članu 28 između rukovaoca podacima i obrađivača podataka. Svaka organizacija koja obrađuje lične podatke u ime druge strane mora imati jedan. Rad bez AVV-a izlaže obe strane kaznama do 20 miliona evra ili 4% globalnog godišnjeg prometa, u zavisnosti od toga šta je veće.
Ključne tačke
- AVV je nemački termin za Ugovor o obradi podataka (DPA), koji je obavezan prema GDPR članu 28 kada obrađivač rukuje ličnim podacima za rukovaoca.
- Ugovor mora precizirati predmet, svrhu, trajanje, tipove podataka, tehničke i organizacione mere (TOM), i pravila o podobrađivačima.
- Nepostojanje važećeg AVV-a može rezultirati regulatornim kaznama bez obzira na to da li je došlo do povrede podataka.
- Mala preduzeća nisu izuzeta: cloud hosting, softver za obračun plata i alati za email marketing obično pokreću zahtev za AVV.
- AVV je ugovor između dve strane, a ne obaveštenje o privatnosti, i sam po sebi ne implementira mere sigurnosti poput enkripcije.
- AVV-e treba pregledati svaki put kada se promene podobrađivači, kada dođe do prenosa podataka u treće zemlje, ili kada se modifikuju aktivnosti obrade.
- U DACH regionu (Nemačka, Austrija, Švajcarska), AVV-e su standardna praksa kod SaaS provajdera, hosting provajdera i ERP sistema.
- Šabloni su dostupni od organizacija za usklađenost i provajdera, ali je prilagođavanje kako bi odražavali stvarne aktivnosti obrade od suštinskog značaja.
Šta znači AVV u obradi podataka?
AVV označava Auftragsverarbeitungsvertrag, nemačku složenu reč koja se direktno prevodi kao "ugovor o obradi podataka" na engleski. To je ugovorni instrument koji zahteva član 28 EU Opšte uredbe o zaštiti podataka (GDPR) kako bi regulisao odnos između rukovaoca podacima i obrađivača podataka.
Termin je specifičan za nemački govorni prostor (Nemačka, Austrija i Švajcarska), ali osnovni pravni koncept se univerzalno primenjuje širom EU i EEA. U kontekstu na engleskom jeziku, isti dokument se naziva Ugovor o obradi podataka (DPA). Organizacije koje posluju međunarodno treba da osiguraju da su njihovi AVV-i dostupni na relevantnim jezicima kako bi olakšali razumevanje i usklađenost [5].
AVV nije politika privatnosti ili banner za pristanak na kolačiće. To je obavezujući bilateralni ugovor koji definiše kako obrađivač može rukovati ličnim podacima, pod kojim uslovima i sa kakvim zaštitama.
Zašto obrađivači podataka trebaju AVV?
AVV je obavezan svaki put kada rukovalac podacima angažuje obrađivača da rukuje ličnim podacima u njegovo ime. Ovo nije opcionalno uputstvo; to je strogi pravni zahtev prema GDPR članu 28 [1].
Uobičajeni scenariji koji pokreću zahtev za AVV uključuju:
- Cloud hosting i infrastruktura (npr. serveri koji čuvaju baze podataka kupaca)
- Obrada plata koju vrši treća strana HR provajder
- Platforme za email marketing koje čuvaju liste pretplatnika
- SaaS ERP provajderi koji pristupaju poslovnim i podacima zaposlenih
- Alati za analitiku i praćenje koji obrađuju podatke o ponašanju posetilaca
Bez AVV-a, nijedna strana nema dokumentovanu pravnu osnovu za odnos obrade. Nadzorni organi tretiraju odsustvo AVV-a kao samostalno kršenje usklađenosti, odvojeno od bilo koje istrage o povredi podataka [3].
Da li je AVV isto što i DPA?
Da, AVV i DPA se odnose na isti pravni dokument. AVV je nemačka oznaka; DPA je engleski ekvivalent koji se koristi u većini drugih država članica EU i u međunarodnim kontekstima usklađenosti [5].
Oba dokumenta ispunjavaju zahteve GDPR člana 28 i moraju sadržati iste obavezne elemente. Ako nemačka kompanija potpiše DPA sa američkim SaaS provajderom, taj DPA funkcioniše kao AVV za svrhe usklađenosti sa GDPR-om, pod uslovom da ispunjava sve suštinske zahteve.
Ključna razlika koju treba zapamtiti: Oznaka na dokumentu je manje važna od njegovog sadržaja. Dokument sa naslovom "Dodatak o obradi podataka", "Ugovor o obradi" ili "AVV" je pravno ekvivalentan sve dok pokriva sve obavezne elemente.
Ko treba AVV za usklađenost sa GDPR-om?
Svaka organizacija koja je rukovalac podacima i koristi uslugu treće strane koja obrađuje lične podatke u njeno ime treba AVV. Ovo se odnosi na preduzeća svih veličina u svim industrijama [1].
Rukovaoci koji obično trebaju AVV-e:
| Scenario | Rukovalac | Obrađivač |
|---|---|---|
| Kompanija koristi cloud CRM | Poslovanje | CRM provajder |
| Veb sajt koristi analitiku | Vlasnik sajta | Provajder analitike |
| HR outsources obračun plata | Poslodavac | Agencija za obračun plata |
| Online prodavnica koristi email alat | Maloprodaja | Email platforma |
| Agencija upravlja oglasima klijenata | Agencija | Oglasi tehnološka platforma |
Ko nije obrađivač: Strana koja nezavisno određuje svrhe i sredstva obrade je sama po sebi rukovalac, a ne obrađivač. Zajednički rukovaoci zahtevaju drugačiji tip ugovora prema članu 26 GDPR-a.
Mala preduzeća često zanemaruju ovaj zahtev, pretpostavljajući da se odnosi samo na velike kompanije. Ta pretpostavka je netačna. Svaki vlasnik veb sajta koji koristi provajdera treće strane za hosting, uslugu biltena ili sistem za rezervacije verovatno treba da ima barem jedan AVV [5].
Šta treba da bude uključeno u AVV?
Usklađeni AVV mora sadržati specifične obavezne elemente. Nedostatak čak i jednog može učiniti ugovor nedovoljnim pod GDPR nadzorom [2].
Obavezni sastojci:
- Predmet i trajanje obrade
- Priroda i svrha obrade
- Tip ličnih podataka i kategorije subjekata podataka
- Obaveze i prava rukovaoca
- Tehničke i organizacione mere (TOM) koje je implementirao obrađivač
- Pravila koja uređuju angažovanje podobrađivača
- Procedure za zahteve prava subjekata podataka
- Obaveze o obaveštavanju o povredi podataka
- Vraćanje ili brisanje podataka po isteku ugovora
- Prava na reviziju za rukovaoca
Sekcija TOM-a je posebno važna. Dok sam AVV ne implementira mere sigurnosti, mora dokumentovati koje mere obrađivač ima na snazi, kao što su standardi enkripcije, kontrole pristupa i prakse pseudonimizacije [1].
Šta se dešava ako nemate AVV?
Rad bez važećeg AVV-a izlaže i rukovaoca i obrađivača značajnim regulatornim kaznama. Prema članu 83(4) GDPR-a, kazne za kršenje člana 28 mogu dostići 10 miliona evra ili 2% globalnog godišnjeg prometa, a prema članu 83(5) za ozbiljnija kršenja, do 20 miliona evra ili 4% globalnog godišnjeg prometa, u zavisnosti od toga šta je veće [3].
Kritično je da se ove kazne mogu izreći bez obzira na to da li je došlo do povrede podataka. Nadzorni organ koji sprovodi rutinsku reviziju ili odgovara na žalbu može identifikovati odsustvo AVV-a i izreći kaznu na toj osnovi.
Dodatne posledice uključuju:
- Oštećenje reputacije i gubitak poverenja klijenata
- Ugovorna odgovornost između rukovaoca i obrađivača
- Potencijalna obustava aktivnosti obrade dok se ne otklone problemi
AVV vs. Ugovor o obradi podataka: Ključne razlike
AVV i DPA su suštinski isti dokument pod različitim nazivima. Međutim, postoje praktične razlike koje vredi napomenuti za međunarodne organizacije.
| Dimenzija | AVV | DPA |
|---|---|---|
| Jezik | Nemački | Engleski (ili lokalni) |
| Fokus jurisdikcije | DACH region | EU/EEA uopšte |
| Uobičajeni kontekst korišćenja | Nemački jezički ugovori | Međunarodni SaaS ugovori |
| Pravni osnov | GDPR član 28 | GDPR član 28 |
| Zahtevi sadržaja | Identični | Identični |
DACH region (Nemačka, Austrija, Švajcarska) ima posebno snažnu kulturu sprovođenja AVV-a, što ih čini standardnom praksom u ugovorima sa provajderima hostinga, SaaS ERP provajderima i drugim partnerima usluga [1].
Koliko košta AVV?
Cena AVV-a varira u zavisnosti od načina na koji je kreiran i pregledan.
- AVV zasnovan na šablonu: Mnogi provajderi nude svoj AVV kao deo svojih uslovа usluge, obično bez dodatne naknade. Organizacije poput NexDeck-a nude detaljne AVV šablone uključujući liste podobrađivača [4].
- Pregled pravnog savetnika: Angažovanje advokata za zaštitu podataka da sastavi ili pregleda prilagođeni AVV obično košta između 300 i 2.000 evra, u zavisnosti od složenosti i jurisdikcije.
- Sastavljanje uz pomoć DPO-a: Organizacije sa internim ili spoljnim službenikom za zaštitu podataka (DPO) često mogu koristiti taj resurs za sastavljanje AVV-a bez dodatnih troškova osim retencije DPO-a.
Za mala preduzeća, najpraktičniji pristup je početi sa uglednim šablonom i imati ga pregledan od strane kvalifikovanog profesionalca pre potpisivanja.
Kako da kreiram AVV šablon?
Kreiranje AVV-a počinje identifikovanjem svih odnosa obrade gde treća strana rukuje ličnim podacima u vaše ime. Odatle, proces se sprovodi kroz sledeće korake:
- Inventarizujte svoje obrađivače: Napravite listu svih provajdera, alata ili usluga koje pristupaju ličnim podacima koje kontrolišete.
- Nabavite ili sastavite AVV: Mnogi obrađivači (posebno SaaS provajderi) nude svoj standardni AVV. Pregledajte ga u odnosu na obavezne elemente navedene iznad.
- Prilagodite sekciju TOM: Osigurajte da tehničke i organizacione mere odražavaju stvarne sigurnosne prakse obrađivača.
- Navedite podobrađivače: Uključite aneks koji identifikuje sve podobrađivače koje obrađivač koristi, zajedno sa njihovim ulogama i lokacijama.
- Definišite mehanizme prenosa podataka: Ako se podaci prenose van EU/EEA, navedite pravni mehanizam prenosa (npr. Standardne ugovorne klauzule).
- Potpišite i zadržite: Obe strane moraju potpisati AVV. Zadržite kopiju sa svojim evidencijama o obradi podataka.
Šabloni iz organizacija fokusiranih na usklađenost pružaju solidnu strukturalnu osnovu, ali svaki AVV treba prilagoditi specifičnoj aktivnosti obrade koju reguliše [2].
AVV zahtevi za mala preduzeća
Mala preduzeća nisu izuzeta od zahteva za AVV. Svaka organizacija koja je podložna GDPR-u i koristi obrađivača treće strane mora imati AVV, bez obzira na veličinu kompanije ili broj zaposlenih [1].
Za mala preduzeća, praktično opterećenje je manje nego što se može činiti:
- Većina velikih SaaS provajdera (platforme za email, sistemi za rezervacije, alati za analitiku) već pruža standardni AVV ili DPA kao deo svojih uslova usluge. Prihvatanje ovih uslova obično predstavlja važeći ugovor.
- Ključni zadatak je osigurati da ste zapravo pregledali i prihvatili te uslove, umesto da pretpostavljate da postoje.
- Održavajte jednostavan registar svojih obrađivača i odgovarajućih AVV-a.
Uobičajena greška: Vlasnici malih preduzeća često pretpostavljaju da, pošto je provajder veliki i ugledan, pravna dokumentacija automatski bude rešena. Prihvatanje AVV-a mora biti aktivan, dokumentovan korak.
Zahtevi za reviziju AVV-a
AVV mora sadržavati odredbe koje daju rukovaocu pravo na reviziju usklađenosti obrađivača. Ovo pravo na reviziju je obavezan element prema članu 28(3)(h) GDPR-a [2].
U praksi, zahtevi za reviziju znače:
- Obrađivač mora održavati evidenciju o aktivnostima obrade prema članu 30(2) GDPR-a.
- Rukovalac ima pravo da sprovodi revizije ili angažuje treće revizore da verifikuju usklađenost.
- Mnogi obrađivači zadovoljavaju ovaj zahtev kroz sertifikate trećih strana kao što su ISO 27001 ili SOC 2, koji mogu zameniti on-site revizije u mnogim slučajevima.
AVV je direktno relevantan za ISO 27001 Prilog A kontrole A.5.19 do A.5.22, koje regulišu odnose sa dobavljačima i bezbednost informacija u lancima snabdevanja [2]. Organizacije sa formalnim Sistemom upravljanja bezbednošću informacija (ISMS) treba da osiguraju da su njihovi AVV-i integrisani u procese upravljanja dobavljačima.
AVV za međunarodne transfere podataka
Kada je obrađivač smešten van EU/EEA, AVV mora obuhvatiti pravni mehanizam za prenos ličnih podataka u tu treću zemlju. Standardne ugovorne klauzule (SCC) su najčešće korišćeni mehanizam i obično se uključuju kao aneks AVV-u [2].
Ključna razmatranja za međunarodne AVV-e:
- Identifikujte da li zemlja obrađivača ima odluku o adekvatnosti EU.
- Ako ne, uključite odgovarajuće SCC (rukovalac prema obrađivaču ili rukovalac prema rukovaocu, u zavisnosti od odnosa).
- Sprovodite procenu uticaja na prenos (TIA) gde je to potrebno.
- Osigurajte da je AVV dostupan na jezicima obe strane u ugovoru [5].
Koliko često treba ažurirati AVV?
AVV treba pregledati i ažurirati svaki put kada dođe do materijalnih promena u odnosu na obradu. Ne postoji fiksni zakonski interval za reviziju, ali najbolje prakse ukazuju na najmanje godišnju reviziju [2].
Okidači za trenutnu ažuraciju AVV-a:
- Obrađivač angažuje novog podobrađivača ili uklanja postojećeg
- Aktivnosti obrade se menjaju u prirodi, svrsi ili obimu
- Podaci se prenose u novu treću zemlju
- TOM obrađivača su značajno ažurirane
- Važeći zakon ili regulatorna uputstva se menjaju
Proaktivni pregled AVV-a je osnovna disciplina usklađenosti. Zastareli ugovori koji više ne odražavaju stvarne aktivnosti obrade stvaraju istu regulatornu izloženost kao da AVV uopšte ne postoji.
Uobičajene greške prilikom postavljanja AVV-a
Čak i organizacije koje razumeju zahtev za AVV često prave greške u implementaciji.
Greška 1: Tretiranje provajderovog šablona kao automatski dovoljnog. AVV šablon koji obezbeđuje provajder možda ne pokriva vaše specifične aktivnosti obrade. Uvek ga pregledajte u odnosu na obavezne elemente.
Greška 2: Ometanje ili nejasno opisivanje TOM-a. Nadzorni organi pažljivo ispituju sekciju TOM. Nejasan jezik poput "odgovarajućih mera sigurnosti" bez specifičnosti je nedovoljan.
Greška 3: Zaboravljanje podobrađivača. AVV mora navesti podobrađivače. Ne ažuriranje ove liste kada obrađivač menja svoje podobrađivače je uobičajena praznina u usklađenosti [2].
Greška 4: Ne čuvanje potpisanih kopija. AVV koji ne može biti predstavljen tokom revizije ne pruža pravnu zaštitu. Održavajte organizovane evidencije.
Greška 5: Confuzija AVV-a sa politikom privatnosti. Ovo su potpuno različiti dokumenti koji služe različitim svrhama. Politika privatnosti obaveštava subjekte podataka; AVV reguliše odnos između rukovaoca i obrađivača [1].
Zaključak
Ultimativni vodič za AVV: Zašto svakom obrađivaču podataka treba jedan, u suštini se svodi na jednostavnu stvar usklađenosti: ako lični podaci prelaze iz ruku rukovaoca u ruke obrađivača, važeći AVV mora postojati pre nego što ta obrada počne. Nema izuzeća po veličini, nema izuzeća po industriji i nema grace perioda za organizacije koje već posluju pod GDPR-om.
Akcioni koraci za 2026:
- Revizija svakog trećeg provajdera koji pristupa ličnim podacima koje kontrolišete i potvrda da je AVV na snazi za svaki.
- Pregled postojećih AVV-a u odnosu na listu obaveznih elemenata, sa posebnim osvrtom na TOM i liste podobrađivača.
- Uspostavljanje kalendarskog podsetnika za godišnje preglede AVV-a i ažuracije na osnovu okidača kada se aktivnosti obrade promene.
- Za organizacije koje upravljaju pristanakom i usklađenošću kolačića zajedno sa svojim AVV-ima, razmotrite povezivanje svoje dokumentacije o obradi podataka sa usklađenom platformom za upravljanje pristankom kao što je Biscotti CMP kako biste održali potpun i odbranjiv stav usklađenosti.
- Konsultujte kvalifikovanog stručnjaka za zaštitu podataka za bilo koji AVV koji uključuje složene aktivnosti obrade ili međunarodne transfere podataka.
Cena ispravnog AVV-a je minimalna. Cena pogrešnog AVV-a nije.
Često postavljana pitanja
Šta je AVV jednostavnim rečima? AVV je pisani ugovor između kompanije koja poseduje lične podatke (rukovalac) i kompanije koja obrađuje te podatke u njeno ime (obrađivač). Precizira koji se podaci obrađuju, zašto, kako se štite i šta su obaveze obe strane.
Da li je AVV potreban za svaki odnos sa provajderom? Samo za provajdere koji obrađuju lične podatke u vaše ime. Provajder koji samo pruža alat koji koristite za obradu podataka sami (bez pristupa podacima) obično nije obrađivač i ne zahteva AVV.
Može li usmeni dogovor zameniti AVV? Ne. GDPR član 28 izričito zahteva da ugovor o obradi bude u pisanom obliku, uključujući elektronski oblik.
Da li AVV štiti od GDPR kazni? Imati važeći AVV značajno smanjuje regulatorni rizik, ali ne pruža apsolutnu imunitet. Kazne se i dalje mogu izreći za druga kršenja. AVV pokazuje usklađenost sa članom 28 posebno.
Koja je razlika između podobrađivača i obrađivača? Obrađivač direktno rukuje podacima za rukovaoca. Podobrađivač je angažovan od strane obrađivača da pomogne u toj obradi. Rukovalac mora biti obavešten o podobrađivačima, a obrađivač mora obavezati podobrađivače na jednake obaveze.
Koliko dugo se AVV mora čuvati? Ne postoji eksplicitno navedeni period čuvanja u GDPR-u za AVV, ali ih treba čuvati tokom trajanja odnosa obrade i razumnog perioda nakon toga, obično usklađenog sa rokom zastare za regulatorne akcije u relevantnoj jurisdikciji.
Da li DPA potpisan sa američkom kompanijom važi kao AVV? Da, pod uslovom da sadrži sve elemente zahtevane članom 28 GDPR-a i uključuje odgovarajuće mehanizme prenosa kao što su Standardne ugovorne klauzule.
Može li obrađivač koristiti lične podatke za svoje svrhe? Ne. Obrađivač može obrađivati lične podatke samo prema dokumentovanim uputstvima rukovaoca. Obrada za sopstvene svrhe obrađivača bi preklasifikovala tu stranu kao rukovaoca, sa posebnim pravnim obavezama.
Šta je TOM u kontekstu AVV-a? TOM označava Tehničke i Organizacione Mjere. To su sigurnosne prakse koje obrađivač implementira kako bi zaštitio lične podatke, kao što su enkripcija, kontrole pristupa i prakse pseudonimizacije. AVV mora dokumentovati te mere.
Da li AVV-e treba overiti? Ne. GDPR ne zahteva overu. Potpisani pisani ugovor (uključujući elektronske potpise) je dovoljan.
Reference
[1] Ugovor o obradi podataka - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai