Kısa Cevap: AVV (Auftragsverarbeitungsvertrag), GDPR Madde 28 uyarınca bir veri denetleyicisi ile bir veri işleyicisi arasında yasal olarak zorunlu bir sözleşmedir. Başka bir taraf adına kişisel verileri işleyen herhangi bir kuruluşun bir AVV'si olmalıdır. AVV olmadan faaliyet göstermek, her iki tarafı da 20 milyon €'ya kadar veya küresel yıllık cirosunun %4'üne kadar, hangisi daha yüksekse, para cezasına maruz bırakır.
Ana Noktalar
- AVV, GDPR Madde 28 uyarınca bir işleyicinin bir denetleyici adına kişisel verileri işlediği her durumda gerekli olan Veri İşleme Sözleşmesi'nin (DPA) Almanca terimidir.
- Sözleşme, konu, amaç, süre, veri türleri, teknik ve organizasyonel önlemler (TOM'lar) ve alt işleyici kurallarını belirtmelidir.
- Geçerli bir AVV olmadan faaliyet göstermek, bir veri ihlali olup olmadığına bakılmaksızın düzenleyici para cezalarına yol açabilir.
- Küçük işletmeler muaf değildir: bulut barındırma, bordro yazılımı ve e-posta pazarlama araçları genellikle AVV gereksinimini tetikler.
- AVV, iki taraf arasında bir sözleşmedir, bir gizlilik bildirimi değildir ve kendisi şifreleme gibi güvenlik önlemlerini uygulamaz.
- AVV'ler, alt işleyiciler değiştiğinde, üçüncü ülkelere veri transferleri gerçekleştiğinde veya işleme faaliyetleri değiştiğinde gözden geçirilmelidir.
- DACH bölgesinde (Almanya, Avusturya, İsviçre), AVV'ler SaaS sağlayıcıları, barındırma sağlayıcıları ve ERP sistemleri ile standart uygulamadır.
- Uyum kuruluşları ve tedarikçilerden şablonlar mevcuttur, ancak gerçek işleme faaliyetlerini yansıtacak şekilde özelleştirme önemlidir.
AVV Veri İşleme'de Ne Anlama Gelir?
AVV, Auftragsverarbeitungsvertrag anlamına gelir; bu, doğrudan İngilizce'de "veri işleme sözleşmesi" olarak çevrilen Almanca bir bileşik kelimedir. Bu, bir veri denetleyicisi ile bir veri işleyicisi arasındaki ilişkiyi düzenlemek için AB Genel Veri Koruma Yönetmeliği (GDPR) Madde 28 tarafından zorunlu kılınan sözleşme aracıdır.
Bu terim, Almanca konuşulan yargı alanlarına (Almanya, Avusturya ve İsviçre) özgüdür, ancak temel yasal kavram, AB ve EEA genelinde evrensel olarak geçerlidir. İngilizce bağlamlarda, aynı belge Veri İşleme Sözleşmesi (DPA) olarak adlandırılır. Uluslararası faaliyet gösteren kuruluşlar, AVV'lerinin ilgili dillerde mevcut olduğundan emin olmalıdır [5].
AVV, bir gizlilik politikası veya çerez onay banner'ı değildir. Bu, bir işleyicinin kişisel verileri nasıl işleyebileceğini, hangi koşullar altında ve hangi güvenlik önlemleri ile tanımlayan bağlayıcı iki taraflı bir sözleşmedir.
Veri İşleyicilerinin Neden AVV'ye İhtiyacı Var?
Bir veri denetleyicisi, kişisel verileri kendi adına işlemek için bir işleyici ile anlaşma yaptığında AVV zorunludur. Bu isteğe bağlı bir rehberlik değildir; GDPR Madde 28 uyarınca katı bir yasal gerekliliktir [1].
AVV gereksinimini tetikleyen yaygın senaryolar şunlardır:
- Bulut barındırma ve altyapı (örneğin, müşteri veritabanlarını depolayan sunucular)
- Üçüncü taraf bir İK sağlayıcısı tarafından yürütülen bordro işlemleri
- Abone listelerini depolayan e-posta pazarlama platformları
- İş ve çalışan verilerine erişen SaaS ERP sağlayıcıları
- Ziyaretçi davranış verilerini işleyen analiz ve izleme araçları
AVV olmadan, hiçbir tarafın işleme ilişkisi için belgelenmiş bir yasal temeli yoktur. Denetim otoriteleri, AVV'nin yokluğunu, herhangi bir veri ihlali soruşturmasından bağımsız olarak, ayrı bir uyum ihlali olarak değerlendirir [3].
AVV ile DPA Aynı Mıdır?
Evet, AVV ve DPA aynı yasal belgeyi ifade eder. AVV, Almanca dilindeki adlandırmadır; DPA, diğer çoğu AB üye devletinde ve uluslararası uyum bağlamlarında kullanılan İngilizce eşdeğeridir [5].
Her iki belge de GDPR Madde 28'in gerekliliklerini yerine getirir ve aynı zorunlu unsurları içermelidir. Bir Alman şirketi, ABD merkezli bir SaaS sağlayıcısıyla bir DPA imzalarsa, bu DPA, tüm maddi gereklilikleri karşıladığı sürece GDPR uyumu açısından AVV olarak işlev görür.
Hatırlanması gereken ana ayrım: Belgenin üzerindeki etiket, içeriğinden daha az önemlidir. "Veri İşleme Ek Sözleşmesi", "İşleme Sözleşmesi" veya "AVV" başlıklı bir belge, gerekli tüm unsurları kapsadığı sürece yasal olarak eşdeğerdir.
GDPR Uyum İçin Kimlerin AVV'ye İhtiyacı Var?
Kişisel verileri kendi adına işleyen üçüncü taraf bir hizmet kullanan her veri denetleyicisi kuruluşun bir AVV'si olmalıdır. Bu, tüm sektörlerdeki her büyüklükteki işletmelere uygulanır [1].
Genellikle AVV'ye ihtiyaç duyan denetleyiciler:
| Senaryo | Denetleyici | İşleyici |
|---|---|---|
| Şirket bulut CRM kullanıyor | İşletme | CRM sağlayıcısı |
| Web sitesi analiz kullanıyor | Web sitesi sahibi | Analiz sağlayıcısı |
| İK bordro dış kaynak kullanıyor | İşveren | Bordro bürosu |
| Çevrimiçi mağaza e-posta aracı kullanıyor | Perakendeci | E-posta platformu |
| Ajans müşteri reklamlarını yönetiyor | Ajans | Reklam teknolojisi platformu |
Kim işleyici değildir: İşleme amaçlarını ve araçlarını bağımsız olarak belirleyen bir taraf, kendi başına bir denetleyici olup, işleyici değildir. Ortak denetleyiciler, GDPR Madde 26 uyarınca farklı bir tür sözleşmeye ihtiyaç duyar.
Küçük işletmeler genellikle bu gerekliliği göz ardı eder ve bunun yalnızca büyük işletmelere uygulandığını varsayar. Bu varsayım yanlıştır. Üçüncü taraf bir barındırma sağlayıcısı, bülten hizmeti veya rezervasyon sistemi kullanan herhangi bir web sitesi sahibinin muhtemelen en az bir AVV'si olması gerekmektedir [5].
AVV'de Neler Bulunmalıdır?
Uyumlu bir AVV, belirli zorunlu unsurları içermelidir. Birinin bile eksik olması, sözleşmenin GDPR denetimi altında yetersiz olmasına yol açabilir [2].
Zorunlu bileşenler:
- İşlemenin konusu ve süresi
- İşlemenin niteliği ve amacı
- Kişisel veri türü ve veri sahipleri kategorileri
- Denetleyicinin yükümlülükleri ve hakları
- İşleyici tarafından uygulanan teknik ve organizasyonel önlemler (TOM'lar)
- Alt işleyicilerin istihdamına ilişkin kurallar
- Veri sahibi hakları talepleri için prosedürler
- Veri ihlali bildirim yükümlülükleri
- Sözleşme sona erdiğinde verilerin iade edilmesi veya silinmesi
- Denetleyici için denetim hakları
TOM'lar bölümü özellikle önemlidir. AVV kendisi güvenlik önlemlerini uygulamasa da, işleyicinin şifreleme standartları, erişim kontrolleri ve takma adlandırma uygulamaları gibi hangi önlemleri aldığını belgelendirmelidir [1].
AVV'niz Yoksa Ne Olur?
Geçerli bir AVV olmadan faaliyet göstermek, hem denetleyici hem de işleyici için önemli düzenleyici cezalara yol açar. GDPR Madde 83(4) uyarınca, Madde 28 ihlalleri için cezalar 10 milyon € veya küresel yıllık cironun %2'sine kadar çıkabilir ve Madde 83(5) uyarınca daha ciddi ihlaller için 20 milyon € veya küresel yıllık cironun %4'üne kadar, hangisi daha yüksekse [3].
Kritik olarak, bu cezalar, bir veri ihlali olup olmadığına bakılmaksızın uygulanabilir. Bir denetim otoritesi, rutin bir denetim yaparken veya bir şikayete yanıt verirken AVV'nin yokluğunu tespit edebilir ve bu temele dayanarak ceza verebilir.
Ek sonuçlar şunları içerir:
- İtibar kaybı ve müşteri güveninin kaybı
- Denetleyici ile işleyici arasında sözleşmesel sorumluluk
- Düzeltme beklerken işleme faaliyetlerinin askıya alınması
AVV ile Veri İşleme Sözleşmesi: Ana Farklar
AVV ve DPA, farklı adlarla aynı belgeyi ifade eder. Ancak, uluslararası kuruluşlar için dikkate değer pratik farklılıklar vardır.
| Boyut | AVV | DPA |
|---|---|---|
| Dil | Almanca | İngilizce (veya yerel) |
| Yargı alanı odak | DACH bölgesi | AB/EEA genelinde |
| Yaygın kullanım bağlamı | Almanca sözleşmeler | Uluslararası SaaS anlaşmaları |
| Yasal dayanak | GDPR Madde 28 | GDPR Madde 28 |
| İçerik gereksinimleri | Aynı | Aynı |
DACH bölgesi (Almanya, Avusturya, İsviçre), AVV'ler etrafında özellikle güçlü bir uygulama kültürüne sahiptir ve bunlar, barındırma sağlayıcıları, SaaS ERP sağlayıcıları ve diğer hizmet ortakları ile yapılan sözleşmelerde standart uygulama haline gelmiştir [1].
AVV'nin Maliyeti Ne Kadardır?
AVV'nin maliyeti, nasıl oluşturulduğuna ve gözden geçirildiğine bağlı olarak değişir.
- Şablon bazlı AVV: Birçok sağlayıcı, hizmet şartlarının bir parçası olarak kendi AVV'lerini sunar ve genellikle ek bir ücret talep etmez. NexDeck gibi kuruluşlar, alt işleyici listelerini içeren ayrıntılı AVV şablonları sunar [4].
- Hukuki danışman incelemesi: Özelleştirilmiş bir AVV'nin hazırlanması veya gözden geçirilmesi, karmaşıklık ve yargı alanına bağlı olarak genellikle 300 € ile 2.000 € arasında bir maliyete sahiptir.
- DPO destekli taslak: İç veya dış bir Veri Koruma Görevlisi (DPO) olan kuruluşlar, genellikle bu kaynağı kullanarak AVV'leri, DPO ücretinin ötesinde ek bir maliyet olmadan hazırlayabilirler.
Küçük işletmeler için en pratik yaklaşım, güvenilir bir şablonla başlamak ve imzalamadan önce nitelikli bir profesyonel tarafından gözden geçirilmesini sağlamaktır.
AVV Şablonu Nasıl Oluşturulur?
AVV oluşturmak, üçüncü bir tarafın sizin adınıza kişisel verileri işlediği tüm işleme ilişkilerini tanımlamakla başlar. Bu noktadan sonra süreç şu adımları izler:
- İşleyicilerinizi envanterleyin: Kontrol ettiğiniz kişisel verilere erişen her tedarikçi, araç veya hizmetin listesini yapın.
- AVV'yi temin edin veya hazırlayın: Birçok işleyici (özellikle SaaS sağlayıcıları) kendi standart AVV'lerini sağlar. Yukarıda belirtilen zorunlu unsurlar ile karşılaştırarak gözden geçirin.
- TOM'lar bölümünü özelleştirin: Teknik ve organizasyonel önlemlerin, işleyicinin gerçek güvenlik uygulamalarını yansıttığından emin olun.
- Alt işleyicileri listeleyin: İşleyicinin kullandığı herhangi bir alt işleyiciyi, rolleri ve konumları ile birlikte tanımlayan bir ek ekleyin.
- Veri transfer mekanizmalarını tanımlayın: Veriler AB/EEA dışına transfer ediliyorsa, yasal transfer mekanizmasını belirtin (örneğin, Standart Sözleşme Hükümleri).
- İmzala ve sakla: Her iki taraf da AVV'yi imzalamalıdır. Kişisel veri işleme kayıtlarınızla birlikte bir kopyasını saklayın.
Uyum odaklı kuruluşlardan alınan şablonlar sağlam bir yapısal temel sağlar, ancak her AVV, yönettiği belirli işleme faaliyetlerine göre özelleştirilmelidir [2].
Küçük İşletmeler İçin AVV Gereksinimleri
Küçük işletmeler, AVV gerekliliğinden muaf değildir. GDPR'ye tabi olan ve üçüncü taraf bir işleyici kullanan her kuruluşun bir AVV'si olmalıdır; bu, şirket boyutu veya çalışan sayısı ile ilgili değildir [1].
Küçük işletmeler için pratik yükümlülük, göründüğünden daha düşüktür:
- Çoğu büyük SaaS sağlayıcısı (e-posta platformları, rezervasyon sistemleri, analiz araçları) zaten hizmet şartlarının bir parçası olarak standart bir AVV veya DPA sunmaktadır. Bu şartları kabul etmek genellikle geçerli bir anlaşma oluşturur.
- Ana görev, bu şartları gerçekten gözden geçirip kabul ettiğinizden emin olmaktır; var olduklarını varsaymak yerine.
- İşleyicilerinizi ve bunlara karşılık gelen AVV'leri basit bir kayıt altında tutun.
Yaygın hata: Küçük işletme sahipleri, bir tedarikçinin büyük ve itibarlı olduğu için yasal belgelerin otomatik olarak halledildiğini varsayar. Bir AVV'nin kabulü, aktif ve belgelenmiş bir adım olmalıdır.
AVV Denetim İzleri Gereksinimleri
Bir AVV, denetleyiciye işleyicinin uyumunu denetleme hakkı veren hükümler içermelidir. Bu denetim hakkı, GDPR Madde 28(3)(h) uyarınca zorunlu bir unsurdur [2].
Pratikte, denetim izleri gereksinimleri şunları ifade eder:
- İşleyici, GDPR Madde 30(2) uyarınca işleme faaliyetlerinin kayıtlarını tutmalıdır.
- Denetleyici, uyumu doğrulamak için denetimler gerçekleştirme veya üçüncü taraf denetçileri görevlendirme hakkına sahiptir.
- Birçok işleyici, bu gerekliliği, birçok durumda yerinde denetimlerin yerini alabilecek ISO 27001 veya SOC 2 gibi üçüncü taraf sertifikaları aracılığıyla karşılar.
AVV, tedarikçi ilişkilerini ve tedarik zincirindeki bilgi güvenliğini yöneten ISO 27001 Ek A kontrolleri A.5.19'dan A.5.22'ye doğrudan ilişkilidir [2]. Resmi bir Bilgi Güvenliği Yönetim Sistemi (ISMS) olan kuruluşlar, AVV'lerinin tedarikçi yönetim süreçlerine entegre edildiğinden emin olmalıdır.
Uluslararası Veri Transferleri İçin AVV
Bir işleyici AB/EEA dışında bulunuyorsa, AVV, kişisel verilerin o üçüncü ülkeye transferi için yasal mekanizmayı ele almalıdır. Standart Sözleşme Hükümleri (SCC'ler), en yaygın kullanılan mekanizmdir ve genellikle AVV'ye ek olarak dahil edilir [2].
Uluslararası AVV'ler için ana hususlar:
- İşleyicinin ülkesinin bir AB uygunluk kararı olup olmadığını belirleyin.
- Eğer yoksa, uygun SCC'leri (denetleyici-denetleyici veya denetleyici-işleyici, ilişkiye bağlı olarak) dahil edin.
- Gerekirse bir Transfer Etki Değerlendirmesi (TIA) gerçekleştirin.
- AVV'nin her iki sözleşme tarafının dillerinde mevcut olduğundan emin olun [5].
AVV'nizi Ne Sıklıkla Güncellemelisiniz?
Bir AVV, işleme ilişkisinde maddi değişiklikler meydana geldiğinde gözden geçirilmeli ve güncellenmelidir. Belirli bir yasal gözden geçirme aralığı yoktur, ancak en iyi uygulama en azından yıllık bir gözden geçirme yapılmasını önermektedir [2].
Hızlı bir AVV güncellemesi için tetikleyiciler:
- İşleyici yeni bir alt işleyici ile anlaşma yapar veya mevcut birini çıkarır
- İşleme faaliyetlerinin niteliği, amacı veya kapsamı değişir
- Veriler yeni bir üçüncü ülkeye transfer edilir
- İşleyicinin TOM'ları önemli ölçüde güncellenir
- Uygulanan yasa veya düzenleyici rehberlik değişir
AVV'lerin proaktif olarak gözden geçirilmesi, temel bir uyum disiplinidir. Artık geçerli olmayan ve gerçek işleme faaliyetlerini yansıtmayan eski sözleşmeler, hiç AVV olmamasıyla aynı düzenleyici riski yaratır.
AVV Kurulumunda Yaygın Hatalar
AVV gerekliliğini anlayan kuruluşlar bile uygulamada sık sık hatalar yapar.
Hata 1: Tedarikçinin standart şablonunu otomatik olarak yeterli görmek. Bir tedarikçi tarafından sağlanan AVV şablonu, sizin özel işleme faaliyetlerinizi kapsamayabilir. Her zaman zorunlu unsurlar ile karşılaştırarak gözden geçirin.
Hata 2: TOM'ları atlamak veya belirsiz tanımlamak. Denetim otoriteleri TOM'lar bölümünü dikkatle inceler. "Uygun güvenlik önlemleri" gibi belirsiz ifadeler yetersizdir.
Hata 3: Alt işleyicileri unutmak. AVV, alt işleyicileri listelemelidir. İşleyici alt işleyicilerini değiştirdiğinde bu listeyi güncellemeyi unutmamak, yaygın bir uyum açığıdır [2].
Hata 4: İmzalı kopyaları saklamamak. Denetim sırasında sunulamayan bir AVV, yasal koruma sağlamaz. Düzenli kayıtlar tutun.
Hata 5: AVV'yi gizlilik politikası ile karıştırmak. Bunlar, farklı amaçlara hizmet eden tamamen farklı belgelerdir. Gizlilik politikası, veri sahiplerini bilgilendirir; AVV, denetleyici-işleyici ilişkisini yönetir [1].
Sonuç
AVV'ler Hakkında Nihai Rehber: Her Veri İşleyicisinin Neden Birine İhtiyacı Var, nihayetinde basit bir uyum gerçeğine dayanıyor: kişisel veriler bir denetleyici ile bir işleyici arasında el değiştiriyorsa, o işleme başlamadan önce geçerli bir AVV olmalıdır. Boyut muafiyetleri, sektör ayrımları ve GDPR kapsamında zaten faaliyet gösteren kuruluşlar için geçici süreler yoktur.
2026 için uygulanabilir sonraki adımlar:
- Kontrol ettiğiniz kişisel verilere erişen her üçüncü taraf tedarikçisini denetleyin ve her biri için bir AVV'nin mevcut olduğunu doğrulayın.
- Mevcut AVV'leri zorunlu unsurlar kontrol listesinin karşısında gözden geçirin, özellikle TOM'lar ve alt işleyici listelerine dikkat edin.
- Yıllık AVV gözden geçirmeleri ve işleme faaliyetleri değiştiğinde tetikleyici tabanlı güncellemeler için bir takvim hatırlatıcısı oluşturun.
- Onay ve çerez uyumunu AVV'lerinizle birlikte yöneten kuruluşlar için, veri işleme belgelerinizi Biscotti CMP gibi uyumlu bir Onay Yönetim Platformu ile birleştirmeyi düşünün, böylece tam ve savunulabilir bir uyum durumu sağlarsınız.
- Karmaşık işleme faaliyetleri veya uluslararası veri transferleri içeren herhangi bir AVV için nitelikli bir veri koruma uzmanına danışın.
AVV'leri doğru bir şekilde almak maliyet açısından minimaldir. Yanlış almak ise öyle değildir.
SSS
AVV basit terimlerle nedir? AVV, kişisel verilerin sahibi olan bir şirket (denetleyici) ile bu verileri kendi adına işleyen bir şirket (işleyici) arasında yazılı bir sözleşmedir. Hangi verilerin işlendiğini, neden, nasıl korunduğunu ve her iki tarafın ne yapması gerektiğini belirtir.
Her tedarikçi ilişkisi için AVV gerekli midir? Sadece sizin adınıza kişisel verileri işleyen tedarikçiler için gereklidir. Verileri kendiniz işlemek için kullandığınız bir aracı sağlayıcı (verilere erişimi olmayan) genellikle bir işleyici değildir ve AVV gerektirmez.
Sözlü bir anlaşma AVV'nin yerini alabilir mi? Hayır. GDPR Madde 28, işleme anlaşmasının yazılı, elektronik formda dahil olmak üzere, olmasını açıkça gerektirir.
AVV, GDPR cezalarına karşı koruma sağlar mı? Geçerli bir AVV'ye sahip olmak, düzenleyici riski önemli ölçüde azaltır, ancak mutlak bir bağışıklık sağlamaz. Diğer ihlaller için hala cezalar verilebilir. AVV, özellikle Madde 28 ile uyumu gösterir.
Alt işleyici ile işleyici arasındaki fark nedir? Bir işleyici, verileri doğrudan denetleyici için işler. Bir alt işleyici, o işleme yardımcı olmak için işleyici tarafından görevlendirilir. Denetleyici, alt işleyicilerden haberdar olmalıdır ve işleyici, alt işleyicileri eşdeğer yükümlülüklere bağlamalıdır.
AVV ne kadar süreyle saklanmalıdır? GDPR'de AVV'ler için belirli bir saklama süresi belirtilmemiştir, ancak işleme ilişkisi süresince ve sonrasında makul bir süre boyunca saklanmalıdır; bu genellikle ilgili yargı alanındaki düzenleyici eylemler için zamanaşımı süresi ile uyumludur.
ABD şirketi ile imzalanan bir DPA, AVV olarak sayılır mı? Evet, sağladığı tüm unsurları GDPR Madde 28'in gerekliliklerini karşılıyorsa ve uygun transfer mekanizmalarını (örneğin, Standart Sözleşme Hükümleri) içeriyorsa.
İşleyici, kişisel verileri kendi amaçları için kullanabilir mi? Hayır. Bir işleyici, yalnızca denetleyicinin belgelenmiş talimatları doğrultusunda kişisel verileri işleyebilir. İşleyicinin kendi amaçları için işleme yapması, o tarafı denetleyici olarak yeniden sınıflandırır ve ayrı yasal yükümlülükler doğurur.
AVV bağlamında TOM nedir? TOM, Teknik ve Organizasyonel Önlem anlamına gelir. Bunlar, bir işleyicinin kişisel verileri korumak için uyguladığı güvenlik uygulamalarıdır; örneğin, şifreleme, erişim kontrolleri ve takma adlandırma. AVV, bu önlemleri belgelendirmelidir.
AVV'lerin noter onayına ihtiyacı var mı? Hayır. GDPR noter onayı gerektirmez. İmzalı yazılı bir anlaşma (elektronik imzalar dahil) yeterlidir.
Kaynaklar
[1] Veri İşleme Sözleşmesi - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai