Snabbt svar: AVV (Auftragsverarbeitungsvertrag) och DPA (Data Processing Agreement) hänvisar till samma juridiskt krav på kontrakt enligt GDPR Artikel 28, den tyska termen AVV används i DACH-regionens jurisdiktioner, medan DPA är den engelskspråkiga motsvarigheten som används i de flesta andra EU-medlemsstater och internationellt. Båda reglerar hur en databehandlare hanterar personuppgifter på uppdrag av en personuppgiftsansvarig. Att välja fel formulering eller att helt hoppa över avtalet kan utsätta din organisation för betydande regulatoriska påföljder.
Viktiga punkter
- AVV är den tyska förkortningen för Auftragsverarbeitungsvertrag; DPA står för Data Processing Agreement, de är funktionellt samma instrument enligt GDPR.
- Båda avtalen är obligatoriska enligt Artikel 28 GDPR när en personuppgiftsansvarig anlitar en databehandlare för att hantera personuppgifter.
- Terminologisk skillnad är regional: AVV är standard i Tyskland, Österrike och Schweiz; DPA används i engelskspråkiga och de flesta andra EU-sammanhang.
- Ett giltigt avtal måste täcka ämnesområde, behandlingsperiod, datakategorier, rättigheter för registrerade, villkor för underleverantörer, säkerhetsåtgärder och revisionsbestämmelser. [1]
- Att inte ha rätt avtal på plats kan leda till granskningar av tillsynsmyndigheter, böter och avtalsdispyter.
- Kostnaden för att implementera varierar från noll (använda en leverantörs standardmall) till flera tusen euro för skräddarsydd juridisk utformning.
- Vissa företag som verkar över DACH- och icke-DACH-marknader använder legitimt båda termerna i samma avtal för tydlighet.
- En samtyckeshanteringsplattform som Biscotti CMP kan stödja din bredare GDPR-efterlevnad, men ersätter inte ett korrekt utfört AVV eller DPA.
Vad står AVV för inom dataskydd, och är det samma som en DPA?
AVV står för Auftragsverarbeitungsvertrag, den tyskspråkiga termen för ett databehandlingsavtal. I praktiska juridiska termer är ett AVV och en DPA samma dokument, båda uppfyller kravet som anges i Artikel 28 i GDPR för ett skriftligt avtal mellan en personuppgiftsansvarig och en databehandlare. [1]
Skillnaden är rent språklig och jurisdiktionell. Tyska, österrikiska och schweiziska dataskyddspraktiker använder AVV som standardterm i kontrakt, integritetspolicyer och regulatorisk korrespondens. Engelskspråkiga praktiker och de flesta andra EU-medlemsstater använder DPA. När en tysk SaaS-leverantör erbjuder dig ett "AVV" erbjuder de samma juridiska instrument som en brittisk leverantör skulle kalla en "DPA."
Viktig förtydligande: Ingen av termerna antyder en annan juridisk standard. Båda måste uppfylla samma innehållskrav enligt GDPR Artikel 28(3) för att vara giltiga. [1]
Vad är skillnaden mellan AVV och DPA?
Skillnaden mellan AVV och DPA är terminologisk, inte substantiell. Båda beskriver det avtal som krävs av GDPR Artikel 28 mellan en personuppgiftsansvarig (den enhet som bestämmer syftet och medlen för behandlingen) och en databehandlare (den enhet som behandlar data på uppdrag av den personuppgiftsansvariga).
Där genuina skillnader kan uppstå är i utformningsstil och lokal regulatorisk vägledning:
- Tyska tillsynsmyndigheter (Datenschutzbehörden) har publicerat specifika mallklausuler och vägledande anteckningar som AVV-dokument ofta inkorporerar.
- Engelskspråkiga DPAs som utarbetats för brittiska eller irländska jurisdiktioner kan hänvisa till nationell implementeringslagstiftning tillsammans med GDPR.
- Schweiziska AVV måste också ta hänsyn till den reviderade federala dataskyddslagen (revFADP), som avviker från GDPR i vissa avseenden.
Slutsats: Om en leverantör skickar dig ett AVV och du behöver en DPA, har du fått vad du behöver, förutsatt att innehållet uppfyller kraven i Artikel 28(3). [1]
När behöver du ett AVV vs. en DPA?
Du behöver ett av dessa avtal varje gång din organisation delar personuppgifter med en tredjepartsleverantör som behandlar dessa uppgifter på dina instruktioner. Utlösaren är förhållandet mellan den personuppgiftsansvariga och databehandlaren, inte kontraktets språk.
Använd ett AVV när:
- Din motpart är baserad i Tyskland, Österrike eller Schweiz och deras standardkontrakt använder den terminologin.
- Din egen organisation verkar under tysk dataskyddslag och dina interna mallar följer BfDI eller statlig DPA-vägledning.
Använd en DPA när:
- Din motpart verkar i en engelskspråkig jurisdiktion eller använder engelska som kontraktsspråk.
- Du kontrakterar med en amerikansk molnleverantör, en brittisk SaaS-leverantör eller någon internationell databehandlare vars mallar som standard använder "DPA."
Vanligt misstag: Att anta att eftersom en leverantör kallar sitt dokument ett AVV istället för en DPA, gäller andra juridiska regler. Innehållskrav är identiska enligt GDPR. Vad som är viktigt är substans, inte etiketten på framsidan.
Vem behöver ett AVV och vem behöver en DPA?
Alla organisationer som kvalificerar sig som en personuppgiftsansvarig enligt GDPR och anlitar en tredje part för att behandla personuppgifter å sin vägnar behöver ett av dessa avtal. Detta gäller för:
- E-handelsföretag som använder tredjeparts betalningsprocessorer eller e-postmarknadsföringsplattformar.
- Företag som använder molninfrastrukturleverantörer (IaaS, PaaS, SaaS).
- Online marknadsföringsbyråer som behandlar kunddata från klienter.
- Utvecklare som bygger applikationer som hanterar slutanvändares personuppgifter via externa API:er.
- Webbplatsägare som använder analysverktyg, CDN:er eller CRM-system som behandlar besökares data.
Organisationer baserade i DACH-marknader kommer typiskt att stöta på AVV-etiketten; de som verkar internationellt kommer oftare att hantera DPAs. Båda kategorier av organisationer står inför samma juridiska skyldighet.
Vad bör ingå i ett AVV vs. en DPA?
Både ett AVV och en DPA måste innehålla samma obligatoriska element enligt GDPR Artikel 28(3). Att sakna någon av dessa klausuler gör avtalet icke-kompatibelt. [1]
| Obligatorisk klausul | Beskrivning |
|---|---|
| Ämnesområde och varaktighet | Vilka data som behandlas och under hur lång tid |
| Natur och syfte | Varför och hur behandlingen sker |
| Datatyper och registrerade | Kategorier av personuppgifter och berörda individer |
| Personuppgiftsansvarigs rättigheter och skyldigheter | Instruktioner som databehandlaren måste följa |
| Säkerhetsåtgärder | Tekniska och organisatoriska skyddsåtgärder (TOMs) |
| Villkor för underleverantörer | Regler för att anlita nedströms databehandlare |
| Stöd för rättigheter för registrerade | Stöd för begärningar om åtkomst, radering, portabilitet |
| Meddelande om brott | Databehandlarens skyldighet att informera den personuppgiftsansvariga om incidenter |
| Återlämnande eller radering av data | Vad som händer med data vid avtalets slut |
| Revisionsrättigheter | Den personuppgiftsansvarigas rätt att verifiera efterlevnad |
Kantfall: Om en leverantörs mall utelämnar revisionsrättigheter eller villkor för underleverantörer, skriv inte under den som den är. Dessa är icke-förhandlingsbara enligt Artikel 28(3). [1]
Hur mycket kostar det att upprätta ett AVV eller DPA?
Kostnaden beror helt på om du använder en leverantörs standardmall eller beställer skräddarsydd juridisk utformning.
- Leverantörs tillhandahållen mall (vanligast): Gratis. De flesta större SaaS- och molnleverantörer publicerar ett standard AVV eller DPA som personuppgiftsansvariga kan acceptera online eller via en klick-process.
- Förhandlat skräddarsytt avtal: Juridiska avgifter varierar vanligtvis från 500 till 5 000 euro beroende på komplexitet, jurisdiktion och advokatkostnader. Företagsavtal med betydande datavolymer eller känsliga datakategorier ligger i den högre änden.
- Intern mallutveckling: En engångsinvestering av juridisk rådgivningstid för att skapa en återanvändbar mall; löpande kostnad är minimal.
Praktisk not: För de flesta SME:er och webbplatsägare är leverantörens standardmall tillräcklig. Skräddarsydd förhandling är berättigad när behandlingen involverar särskilda datakategorier (hälsa, biometrisk, finansiell) eller när den personuppgiftsansvariga bär betydande ansvarsexponering.
Hur skiljer sig kraven för AVV och DPA mellan länder?
Enligt GDPR är de substantiella kraven harmoniserade över alla EU-medlemsstater, så kärninnehållet i ett AVV och en DPA är identiskt oavsett om du är i Berlin, Paris eller Warszawa. Men nationella nyanser finns:
- Tyskland: BfDI och statliga DPA:er har utfärdat detaljerad vägledning och modellklausuler. Tyska AVV inkluderar ofta mer detaljerad dokumentation av tekniska och organisatoriska åtgärder (TOMs).
- Schweiz: revFADP (gäller från september 2023) inför ytterligare krav utöver GDPR, inklusive specifika bestämmelser för gränsöverskridande datatransfer och tidslinjer för meddelande om dataintrång.
- Storbritannien (efter Brexit): UK GDPR gäller; DPAs måste hänvisa till UK ICO:s vägledning snarare än EU:s tillsynsmyndigheter. Standardkontraktsklausuler skiljer sig från EU:s SCC.
- Andra EU-medlemsstater: GDPR Artikel 28 gäller direkt; lokal DPA-vägledning kan komplettera men kan inte minska minimikraven.
Välj den tillämpliga lagklausulen noggrant. Ett AVV enligt tysk lag och en DPA enligt irländsk lag kan se lika ut men kommer att tolkas av olika domstolar och tillsynsmyndigheter.
Kan du använda ett AVV istället för en DPA, eller använda båda samtidigt?
Ja, ett AVV kan ersätta en DPA eftersom de är juridiskt likvärdiga instrument. Ett företag som verkar över DACH- och icke-DACH-marknader kan inkludera båda termerna i samma kontraktsrubrik (t.ex. "Data Processing Agreement / Auftragsverarbeitungsvertrag") för att undvika förvirring, detta är en vanlig praxis i tvåspråkiga företagskontrakt och är helt tillåtet.
Att använda båda etiketterna samtidigt skapar inte två separata juridiska skyldigheter. Det säkerställer helt enkelt att tysktalande och engelsktalande parter förstår att de tittar på samma dokument.
Vilka är vanliga misstag när man väljer mellan AVV och DPA?
De mest betydelsefulla misstagen handlar inte om vilken term du använder, utan om vad avtalet innehåller och om det överhuvudtaget finns.
- Att helt hoppa över avtalet eftersom en leverantörsrelation känns informell eller låg risk. Enligt GDPR utlöses skyldigheten av själva behandlingen, inte av upplevd risknivå.
- Att acceptera en ofullständig mall som utelämnar klausuler för underleverantörer eller revisionsrättigheter, i tron att leverantörens version automatiskt är kompatibel.
- Att blanda ihop en DPA med ett datadelningavtal. En DPA reglerar databehandlarrelationer; ett datadelningavtal reglerar gemensamma personuppgiftsansvariga eller personuppgiftsansvarig-till-personuppgiftsansvarig datadelningar. Dessa är olika instrument.
- Att inte uppdatera avtal när en databehandlare anlitar nya underleverantörer eller ändrar behandlingsnatur.
- Att anta att GDPR-efterlevnad täcker schweizisk lag. Organisationer med schweiziska registrerade måste säkerställa att deras AVV också uppfyller revFADP-krav.
Vilka är de juridiska konsekvenserna av att få AVV vs. DPA fel?
Att inte ha ett giltigt, fullständigt avtal på plats utsätter både personuppgiftsansvariga och databehandlare för regulatoriskt och civilt ansvar.
Enligt GDPR Artikel 83(4) kan överträdelser av Artikel 28 (kravet på DPA/AVV) resultera i administrativa böter på upp till 10 miljoner euro eller 2% av den globala årliga omsättningen, vilket som är högst. Tillsynsmyndigheter i Tyskland har visat vilja att utreda och bötfälla organisationer för saknade eller bristfälliga behandlingsavtal.
Utöver böter inkluderar konsekvenser:
- Tillsynsmyndighetsrevisioner och korrigerande order.
- Oförmåga att verkställa avtalsvillkor mot en icke-kompatibel databehandlare.
- Civil rättslig ansvarighet om ett dataintrång inträffar utan ett giltigt avtal som dokumenterar säkerhetsåtaganden.
- Skada på anseendet i B2B-sammanhang där företagskunder genomför leverantörs due diligence.
Hur vet du vilket avtal ditt företag faktiskt behöver?
Beslutet är enkelt när du identifierar relationen och jurisdiktionen.
Steg 1: Bestäm om din organisation är den personuppgiftsansvariga (du bestämmer varför och hur data behandlas) eller databehandlaren (du behandlar data på någon annans instruktioner).
Steg 2: Identifiera språket och jurisdiktionen för din motpart. Om de är i DACH-regionen, förvänta dig ett AVV. Om de är någon annanstans, förvänta dig en DPA.
Steg 3: Verifiera att vilket dokument du än får innehåller alla tio obligatoriska element enligt Artikel 28(3) GDPR. [1]
Steg 4: Om din organisation också behöver hantera användarsamtycke för cookies och spårningsteknologier, adresserar en samtyckeshanteringsplattform som Biscotti CMP det lagret av GDPR-efterlevnad, men den fungerar tillsammans med, inte istället för, ett korrekt utfört AVV eller DPA.
Beslutsregel: Om du behandlar personuppgifter på uppdrag av en annan organisation behöver du en DPA eller AVV oavsett vad relationen kallas kommersiellt. Om en annan organisation behandlar data på dina vägnar är du ansvarig för att säkerställa att det avtalet är på plats innan behandlingen börjar.
FAQ
Q: Är ett AVV juridiskt giltigt utanför Tyskland?
Ett AVV är juridiskt giltigt var som helst GDPR gäller, förutsatt att det uppfyller Artikel 28(3) innehållskrav. Den tyska terminologin begränsar inte dess verkställbarhet i andra EU-jurisdiktioner.
Q: Måste en DPA undertecknas av båda parter?
Ja. GDPR Artikel 28(9) kräver att avtalet är skriftligt, vilket inkluderar elektronisk form. Både den personuppgiftsansvariga och databehandlaren måste vara bundna av dess villkor.
Q: Kan en leverantörs online klicka-genom DPA uppfylla GDPR-krav?
Ja, om innehållet uppfyller Artikel 28(3) krav. Många stora molnleverantörer erbjuder kompatibla klicka-genom DPAs som har granskats av tillsynsmyndigheter.
Q: Vad är en underleverantör, och varför är det viktigt i en DPA eller AVV?
En underleverantör är en tredje part som anlitas av databehandlaren för att utföra behandlingsaktiviteter. DPA eller AVV måste specificera villkor under vilka underleverantörer kan anlitas, inklusive den personuppgiftsansvarigas rätt att motsätta sig. [1]
Q: Behöver jag ett nytt AVV eller DPA varje gång en databehandlare uppdaterar sin lista över underleverantörer?
Inte nödvändigtvis. Många avtal inkluderar en allmän auktorisering för ändringar av underleverantörer, förutsatt att databehandlaren informerar den personuppgiftsansvariga och den personuppgiftsansvariga behåller rätten att motsätta sig inom en angiven tidsperiod.
Q: Täckar en DPA datatransfer utanför EU?
En DPA reglerar behandlingsrelationen men auktoriserar inte i sig gränsöverskridande datatransfer. Separata överföringsmekanismer (Standardkontraktsklausuler, adekvansbeslut) krävs för överföringar till tredjeländer.
Q: Hur länge bör en DPA eller AVV behållas?
Behåll avtalet under hela behandlingsrelationen och under en rimlig period efteråt, vanligtvis minst tre till fem år, för att visa efterlevnad vid en granskning av tillsynsmyndigheten.
Q: Vad är skillnaden mellan en DPA och en DPIA?
En DPA (Data Processing Agreement) är ett avtal mellan personuppgiftsansvarig och databehandlare. En DPIA (Data Protection Impact Assessment) är en intern riskbedömning som krävs för hög-risk behandlingsaktiviteter. De tjänar olika syften och ingen av dem ersätter den andra.
Q: Kan en frilansare eller liten byrå krävas att underteckna ett AVV eller DPA?
Ja. Skyldigheten gäller oavsett databehandlarens storlek. En frilansutvecklare som hanterar kunddata är en databehandlare och måste underteckna en DPA eller AVV med varje klientpersonuppgiftsansvarig.
Q: Ersätter Biscotti CMP behovet av en DPA eller AVV?
Nej. Biscotti CMP är en samtyckeshanteringsplattform som hjälper till att hantera användarsamtycke för cookies och spårning, ett separat krav för GDPR-efterlevnad. En DPA eller AVV krävs fortfarande för varje databehandlarrelation som involverar personuppgifter.
Slutsats
Frågan AVV vs. DPA löses snabbt när du inser att båda termerna beskriver samma juridiskt krav på instrument enligt GDPR Artikel 28. Den verkliga utmaningen är inte att välja mellan dem, utan att säkerställa att vilket dokument som än reglerar dina databehandlarrelationer innehåller varje obligatorisk klausul, är korrekt utfört och hålls aktuellt i takt med att behandlingsaktiviteter utvecklas.
Handlingsbara nästa steg:
- Granska alla nuvarande leverantörsrelationer för att bekräfta att ett giltigt DPA eller AVV finns på plats för varje databehandlare som hanterar personuppgifter å dina vägnar.
- Granska befintliga avtal mot de tio obligatoriska elementen i Artikel 28(3) GDPR och begär ändringar för eventuella luckor. [1]
- Om du verkar i Schweiz, verifiera att avtalen också uppfyller revFADP-krav utöver GDPR-baslinjen.
- Etablera en intern process för onboarding av nya databehandlare, ingen behandling bör påbörjas innan avtalet är undertecknat.
- För samtyckeshantering och cookie-efterlevnad på din webbplats eller applikation, utvärdera Biscotti CMP som en del av din bredare GDPR-efterlevnadsram.
Efterlevnad av dataskydd är inte ett engångsprojekt. Avtal behöver granskas när behandlingen förändras, när underleverantörer läggs till och när regulatorisk vägledning utvecklas. Att bygga in den granskningstakten i ditt efterlevnadsprogram är det mest praktiska skyddet mot regulatorisk exponering.
Referenser
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai