Hızlı Cevap: AVV (Auftragsverarbeitungsvertrag) ve DPA (Data Processing Agreement), GDPR Madde 28 uyarınca yasal olarak gerekli olan aynı sözleşmeyi ifade eder; Almanca terim AVV, DACH bölgesi yargı alanlarında kullanılırken, DPA, diğer çoğu AB üye devletinde ve uluslararası alanda kullanılan İngilizce eşdeğeridir. Her ikisi de bir veri işleyicisinin, bir veri kontrolörü adına kişisel verileri nasıl yönettiğini düzenler. Yanlış bir çerçeve seçmek veya sözleşmeyi tamamen atlamak, kuruluşunuzu önemli düzenleyici cezalara maruz bırakabilir.
Ana Noktalar
- AVV, Auftragsverarbeitungsvertrag için Almanca kısaltmadır; DPA, Veri İşleme Sözleşmesi anlamına gelir, her ikisi de GDPR kapsamında işlevsel olarak aynı araçtır.
- Her iki sözleşme de, bir kontrolör bir işleyici ile kişisel verileri işlemek için anlaşma yaptığında, GDPR Madde 28 uyarınca zorunludur.
- Terminoloji farkı bölgeseldir: AVV Almanya, Avusturya ve İsviçre'de standarttır; DPA ise İngilizce konuşulan ve diğer çoğu AB bağlamında kullanılır.
- Geçerli bir sözleşme, konu, işleme süresi, veri kategorileri, veri sahiplerinin hakları, alt işleyici koşulları, güvenlik önlemleri ve denetim hükümlerini kapsamalıdır. [1]
- Doğru sözleşmenin olmaması, denetim otoritesi soruşturmalarına, para cezasına ve sözleşme ihtilaflarına yol açabilir.
- Uygulama maliyeti, sıfırdan (bir satıcının standart şablonunu kullanarak) birkaç bin euroya kadar özelleştirilmiş hukuki taslak için değişiklik göstermektedir.
- DACH ve DACH dışı pazarlarda faaliyet gösteren bazı işletmeler, açıklık sağlamak amacıyla aynı sözleşmede her iki terimi de meşru bir şekilde kullanmaktadır.
- Biscotti CMP gibi bir Onay Yönetim Platformu, daha geniş GDPR uyum duruşunuzu destekleyebilir, ancak düzgün bir şekilde yürütülmüş bir AVV veya DPA'nın yerini almaz.
AVV Veri Koruma Açısından Ne Anlama Gelir ve DPA ile Aynı Mıdır?
AVV, Auftragsverarbeitungsvertrag anlamına gelir; bu, Veri İşleme Sözleşmesi için Almanca terimdir. Pratik hukuki terimlerle, bir AVV ve bir DPA aynı belgedir; her ikisi de bir veri kontrolörü ile bir veri işleyici arasında yazılı bir sözleşme gereksinimini karşılar. [1]
Ayrım tamamen dilsel ve yargı yetkisine dayalıdır. Alman, Avusturyalı ve İsviçreli veri koruma uzmanları, sözleşmelerde, gizlilik politikalarında ve düzenleyici yazışmalarda AVV terimini standart terim olarak kullanmaktadır. İngilizce konuşan uzmanlar ve diğer çoğu AB üye devleti DPA kullanmaktadır. Bir Alman SaaS satıcısı size bir "AVV" sunduğunda, bu, bir Birleşik Krallık merkezli satıcının "DPA" olarak adlandıracağı aynı hukuki aracı sunmaktadır.
Ana açıklama: Hiçbir terim farklı bir hukuki standartı ima etmez. Her ikisi de geçerli olmak için aynı GDPR Madde 28(3) içerik gereksinimlerini karşılamalıdır. [1]
AVV ve DPA Arasındaki Fark Nedir?
AVV ve DPA arasındaki fark terminolojik olup, içerik açısından değildir. Her ikisi de, bir veri kontrolörü (işlemenin amacını ve yöntemlerini belirleyen varlık) ile bir veri işleyici (verileri kontrolörün adına işleyen varlık) arasında GDPR Madde 28 uyarınca zorunlu olan sözleşmeyi tanımlar.
Gerçek farklılıklar, taslak stili ve yerel düzenleyici rehberlik alanında ortaya çıkabilir:
- Alman denetim otoriteleri (Datenschutzbehörden), AVV belgelerinin sıklıkla dahil ettiği belirli şablon maddeleri ve rehber notları yayımlamıştır.
- Birleşik Krallık veya İrlanda yargı alanları için hazırlanan İngilizce DPA'lar, GDPR ile birlikte ulusal uygulama mevzuatına atıfta bulunabilir.
- İsviçre AVV'leri, GDPR'dan bazı yönlerde farklılık gösteren revize edilmiş Federal Veri Koruma Yasası (revFADP) gerekliliklerini de dikkate almalıdır.
Sonuç: Eğer bir satıcı size bir AVV gönderirse ve sizin bir DPA'ya ihtiyacınız varsa, içeriğin Madde 28(3) gereksinimlerini karşıladığı sürece, ihtiyacınız olanı almışsınızdır. [1]
Ne Zaman AVV, Ne Zaman DPA'ya İhtiyacınız Var?
Bu sözleşmelerden birine, kuruluşunuzun kişisel verileri, bu verileri sizin talimatlarınız doğrultusunda işleyen bir üçüncü taraf hizmet sağlayıcısıyla paylaştığı her zaman ihtiyacınız vardır. Tetikleyici, kontrolör-işleyici ilişkisidir, sözleşmenin dili değil.
AVV kullanın:
- Karşı tarafınız Almanya, Avusturya veya İsviçre'de bulunuyorsa ve standart sözleşmeleri bu terminolojiyi kullanıyorsa.
- Kendi kuruluşunuz Alman veri koruma yasası altında faaliyet gösteriyorsa ve iç şablonlarınız BfDI veya eyalet DPA rehberliğini takip ediyorsa.
DPA kullanın:
- Karşı tarafınız İngilizce konuşulan bir yargı alanında faaliyet gösteriyorsa veya sözleşme dili olarak İngilizce kullanıyorsa.
- Bir ABD merkezli bulut sağlayıcısı, bir Birleşik Krallık SaaS satıcısı veya şablonları "DPA" olarak varsayılan herhangi bir uluslararası işleyici ile sözleşme yapıyorsanız.
Yaygın hata: Bir satıcının belgesini AVV olarak adlandırdığı için farklı hukuki kuralların geçerli olduğunu varsaymak. İçerik gereksinimleri GDPR altında aynıdır. Önemli olan, içerik ve kapak sayfasındaki etiket değil, özdür.
Kimlerin AVV'ye, Kimlerin DPA'ya İhtiyacı Var?
GDPR uyarınca veri kontrolörü olarak nitelendirilen ve bir üçüncü tarafı kendi adına kişisel verileri işlemeye dahil eden her kuruluşun bu sözleşmelerden birine ihtiyacı vardır. Bu, aşağıdakileri kapsar:
- Üçüncü taraf ödeme işlemcileri veya e-posta pazarlama platformları kullanan e-ticaret işletmeleri.
- Bulut altyapı sağlayıcıları (IaaS, PaaS, SaaS) kullanan işletmeler.
- Müşteri verilerini işleyen çevrimiçi pazarlama ajansları.
- Son kullanıcı kişisel verilerini dış API'ler aracılığıyla işleyen uygulamalar geliştiren geliştiriciler.
- Ziyaretçi verilerini işleyen analiz araçları, CDN'ler veya CRM sistemleri kullanan web sitesi sahipleri.
DACH pazarlarında bulunan kuruluşlar genellikle AVV etiketini karşılaşırken; uluslararası faaliyet gösterenler daha sık DPA ile karşılaşır. Her iki kategori de aynı hukuki yükümlülükle karşı karşıyadır.
AVV ve DPA'da Neler Bulunmalıdır?
Hem AVV hem de DPA, GDPR Madde 28(3) uyarınca aynı zorunlu unsurları içermelidir. Bu maddelerden herhangi birinin eksik olması, sözleşmeyi uyumsuz hale getirir. [1]
| Zorunlu Madde | Açıklama |
|---|---|
| Konu ve süre | Hangi verilerin işlendiği ve ne kadar süreyle |
| Doğa ve amaç | İşlemenin neden ve nasıl gerçekleştiği |
| Veri türleri ve veri sahipleri | Kişisel veri kategorileri ve etkilenen bireyler |
| Kontrolörün hakları ve yükümlülükleri | İşleyicinin uyması gereken talimatlar |
| Güvenlik önlemleri | Teknik ve organizasyonel koruma önlemleri (TOM'lar) |
| Alt işleyici koşulları | Aşağıdaki işleyicilerin dahil edilmesi için kurallar |
| Veri sahibi hakları yardımı | Erişim, silme, taşınabilirlik talepleri için destek |
| İhlal bildirimleri | İşleyicinin kontrolöre olayları bildirme yükümlülüğü |
| Verilerin iadesi veya silinmesi | Sözleşme sona erdiğinde verilerin ne olacağı |
| Denetim hakları | Kontrolörün uyumu doğrulama hakkı |
Sınır durumu: Eğer bir satıcının şablonu denetim haklarını veya alt işleyici koşullarını içeriyorsa, olduğu gibi imzalamayın. Bunlar Madde 28(3) uyarınca müzakere edilemez. [1]
AVV veya DPA Kurmak Ne Kadar Maliyete Mal Olur?
Maliyet, tamamen bir satıcının standart şablonunu kullanıp kullanmamaya veya özelleştirilmiş hukuki taslak sipariş edip etmemeye bağlıdır.
- Satıcı tarafından sağlanan şablon (en yaygın): Ücretsiz. Çoğu büyük SaaS ve bulut sağlayıcısı, kontrolörlerin çevrimiçi olarak veya tıklama ile kabul edebileceği standart bir AVV veya DPA yayımlar.
- Müzakere edilmiş özel sözleşme: Hukuk ücretleri genellikle karmaşıklığa, yargı alanına ve danışmanlık ücretlerine bağlı olarak 500 ile 5,000 euro arasında değişmektedir. Önemli veri hacimleri veya hassas veri kategorileri içeren kurumsal sözleşmeler, daha yüksek uçta yer alır.
- İç şablon geliştirme: Yeniden kullanılabilir bir şablon oluşturmak için hukuk danışmanının zamanına yapılan bir defalık yatırım; sürekli maliyet minimaldir.
Pratik not: Çoğu KOBİ ve web sitesi sahibi için, satıcının standart şablonu yeterlidir. Özel müzakere, işleme özel kategori verileri (sağlık, biyometrik, finansal) içeriyorsa veya kontrolör önemli bir sorumluluk maruziyeti taşıyorsa gereklidir.
AVV ve DPA Gereksinimleri Ülkeye Göre Nasıl Farklılık Gösterir?
GDPR uyarınca, maddi gereksinimler tüm AB üye devletlerinde uyumlu hale getirilmiştir, bu nedenle bir AVV ve DPA'nın temel içeriği Berlin, Paris veya Varşova'da olsanız bile aynıdır. Ancak, ulusal düzeyde farklılıklar mevcuttur:
- Almanya: BfDI ve eyalet düzeyindeki DPA'lar, ayrıntılı rehberlik ve model maddeler yayımlamıştır. Alman AVV'leri genellikle daha ayrıntılı teknik ve organizasyonel önlemler (TOM'lar) belgeleri içerir.
- İsviçre: revFADP (Eylül 2023 itibarıyla yürürlükte) GDPR'dan daha fazla gereklilik getirmekte olup, sınır ötesi veri transferleri ve veri ihlali bildirim süreleri için özel hükümler içermektedir.
- Birleşik Krallık (Brexit sonrası): Birleşik Krallık GDPR geçerlidir; DPA'lar, AB denetim otoriteleri yerine Birleşik Krallık ICO'nun rehberliğine atıfta bulunmalıdır. Standart sözleşme maddeleri, AB SCC'lerinden farklıdır.
- Diğer AB üye devletleri: GDPR Madde 28 doğrudan uygulanır; yerel DPA rehberliği eklenebilir ancak asgari gereksinimleri azaltamaz.
Yönetim hukuku maddesini dikkatlice seçin. Alman hukuku AVV'si ve İrlanda hukuku DPA'sı benzer görünebilir, ancak farklı mahkemeler ve denetim otoriteleri tarafından yorumlanacaktır.
AVV'yi DPA'nın Yerine Kullanabilir Misiniz, Yoksa Her İkisini Aynı Anda Kullanabilir Misiniz?
Evet, bir AVV, DPA'nın yerini alabilir çünkü her ikisi de hukuken eşdeğer araçlardır. DACH ve DACH dışı pazarlarda faaliyet gösteren bir şirket, karışıklığı önlemek için aynı sözleşme başlığında her iki terimi de (örneğin, "Veri İşleme Sözleşmesi / Auftragsverarbeitungsvertrag") dahil edebilir; bu, iki dilli kurumsal sözleşmelerde yaygın bir uygulamadır ve tamamen kabul edilebilir.
Her iki terimi aynı anda kullanmak, iki ayrı hukuki yükümlülük yaratmaz. Sadece Almanca konuşan ve İngilizce konuşan tarafların aynı belgeyi incelediklerini anlamalarını sağlar.
AVV ve DPA Seçerken Yaygın Hatalar Nelerdir?
En önemli hatalar, hangi terimi kullandığınızla değil, sözleşmenin içeriğiyle ve var olup olmadığıyla ilgilidir.
- Sözleşmeyi tamamen atlamak, çünkü bir satıcı ilişkisi resmi veya düşük riskli görünüyor. GDPR uyarınca, yükümlülük, işleme eylemiyle tetiklenir, algılanan risk seviyesiyle değil.
- Alt işleyici maddelerini veya denetim haklarını içermeyen eksik bir şablonu kabul etmek, satıcının versiyonunun otomatik olarak uyumlu olduğunu düşünmek.
- DPA ile veri paylaşım sözleşmesini karıştırmak. DPA, işleyici ilişkilerini yönetir; veri paylaşım sözleşmesi, ortak kontrolör veya kontrolörden kontrolöre veri değişimlerini yönetir. Bunlar farklı araçlardır.
- Yeni alt işleyiciler dahil edildiğinde veya işlemenin niteliği değiştiğinde sözleşmeleri güncellemeyi ihmal etmek.
- GDPR uyumunun İsviçre yasasını kapsadığını varsaymak. İsviçreli veri sahiplerine sahip kuruluşlar, AVV'lerinin revFADP gerekliliklerini de karşıladığından emin olmalıdır.
AVV ve DPA Yanlış Yapmanın Hukuki Sonuçları Nelerdir?
Geçerli, eksiksiz bir sözleşmenin olmaması, hem kontrolörleri hem de işleyicileri düzenleyici ve medeni sorumluluğa maruz bırakır.
GDPR Madde 83(4) uyarınca, Madde 28'in (DPA/AVV gereksinimi) ihlalleri, 10 milyon euroya kadar veya küresel yıllık cirosunun %2'sine kadar idari para cezasıyla sonuçlanabilir; hangisi daha yüksekse. Almanya'daki denetim otoriteleri, eksik veya yetersiz işleme sözleşmeleri için kuruluşları soruşturma ve ceza verme istekliliğini göstermiştir.
Cezaların ötesinde, sonuçlar şunları içerir:
- Denetim otoritesi denetimleri ve düzeltici emirler.
- Uyumsuz bir işleyiciye karşı sözleşme şartlarını uygulama yeteneğinin kaybı.
- Geçerli bir sözleşme olmadan bir veri ihlali gerçekleşirse medeni sorumluluk maruziyeti.
- Kurumsal müşterilerin satıcı incelemesi yaptığı B2B bağlamlarında itibar kaybı.
İşletmenizin Gerçekten Hangi Sözleşmeye İhtiyacı Olduğunu Nasıl Bilirsiniz?
Karar, ilişkiyi ve yargı alanını belirledikten sonra basittir.
Adım 1: Kuruluşunuzun kontrolör (verilerin neden ve nasıl işlendiğine karar veren) veya işleyici (başka birinin talimatları doğrultusunda veri işleyen) olup olmadığını belirleyin.
Adım 2: Karşı tarafınızın dili ve yargı alanını belirleyin. Eğer DACH bölgesindeyseler, AVV bekleyin. Eğer başka bir yerdeyseler, DPA bekleyin.
Adım 3: Aldığınız belgenin, GDPR Madde 28(3) uyarınca tüm on zorunlu unsuru içerdiğini doğrulayın. [1]
Adım 4: Kuruluşunuzun çerezler ve izleme teknolojileri için kullanıcı onayını yönetmesi gerekiyorsa, Biscotti CMP gibi bir Onay Yönetim Platformu, GDPR uyumunun bu katmanını ele alır, ancak düzgün bir şekilde yürütülmüş bir AVV veya DPA'nın yerini almaz.
Karar kuralı: Eğer başka bir kuruluş adına kişisel verileri işliyorsanız, ticari olarak bu ilişkinin ne olarak adlandırıldığına bakılmaksızın bir DPA veya AVV'ye ihtiyacınız vardır. Eğer başka bir kuruluş sizin adınıza veri işliyorsa, işlemlere başlamadan önce bu sözleşmenin mevcut olduğundan emin olmak sizin sorumluluğunuzdur.
SSS
S: AVV Almanya dışında hukuken geçerli midir? Bir AVV, GDPR'nın uygulandığı her yerde, Madde 28(3) içerik gereksinimlerini karşıladığı sürece hukuken geçerlidir. Almanca terminoloji, diğer AB yargı alanlarında uygulanabilirliğini sınırlamaz.
S: DPA'nın her iki tarafça imzalanması gerekir mi? Evet. GDPR Madde 28(9), sözleşmenin yazılı olmasını gerektirir; bu, elektronik formu da içerir. Hem kontrolör hem de işleyici, şartlarına bağlı olmalıdır.
S: Bir satıcının çevrimiçi tıklama ile DPA'sı GDPR gereksinimlerini karşılar mı? Evet, eğer içerik Madde 28(3) gereksinimlerini karşılıyorsa. Birçok büyük bulut sağlayıcısı, denetim otoriteleri tarafından incelenmiş uyumlu tıklama ile DPA'lar sunmaktadır.
S: Alt işleyici nedir ve DPA veya AVV'de neden önemlidir? Alt işleyici, işleyici tarafından işleme faaliyetlerini gerçekleştirmek üzere görevlendirilen üçüncü bir taraftır. DPA veya AVV, alt işleyicilerin dahil edilebileceği koşulları belirtmelidir; kontrolörün itiraz etme hakkı da dahil. [1]
S: Bir işleyici alt işleyici listesini güncellediğinde her seferinde yeni bir AVV veya DPA'ya ihtiyacım var mı? Zorunlu değildir. Birçok sözleşme, işleyicinin kontrolöre bildirimde bulunması ve kontrolörün belirli bir süre içinde itiraz etme hakkını koruması koşuluyla alt işleyici değişiklikleri için genel bir yetki içerir.
S: DPA, AB dışına veri transferlerini kapsar mı? Bir DPA, işleme ilişkisini yönetir ancak kendi başına sınır ötesi veri transferlerini yetkilendirmez. Üçüncü ülkelere transferler için ayrı transfer mekanizmaları (Standart Sözleşme Maddeleri, yeterlilik kararları) gereklidir.
S: DPA veya AVV ne kadar süreyle saklanmalıdır? Sözleşmeyi, işleme ilişkisi süresince ve sonrasında makul bir süre, genellikle en az üç ila beş yıl boyunca saklayın; bu, denetim otoritesi sorgulaması durumunda uyumu göstermek içindir.
S: DPA ile DPIA arasındaki fark nedir? DPA (Veri İşleme Sözleşmesi), kontrolör ile işleyici arasındaki bir sözleşmedir. DPIA (Veri Koruma Etki Değerlendirmesi), yüksek riskli işleme faaliyetleri için gereken iç bir risk değerlendirmesidir. Farklı amaçlara hizmet ederler ve biri diğerinin yerini almaz.
S: Bir serbest çalışan veya küçük ajansın AVV veya DPA imzalaması gerekebilir mi? Evet. Yükümlülük, işleyicinin boyutuna bakılmaksızın geçerlidir. Müşteri verilerini işleyen bir serbest geliştirici, bir işleyici olup her müşteri kontrolörü ile bir DPA veya AVV imzalamalıdır.
S: Biscotti CMP, DPA veya AVV gereksinimini ortadan kaldırır mı? Hayır. Biscotti CMP, çerezler ve izleme için kullanıcı onayını yönetmeye yardımcı olan bir Onay Yönetim Platformudur; bu, ayrı bir GDPR uyum gerekliliğidir. Kişisel verileri içeren herhangi bir işleyici ilişkisi için hala bir DPA veya AVV gereklidir.
Sonuç
AVV ve DPA sorusu, her iki terimin de GDPR Madde 28 uyarınca aynı yasal olarak gerekli aracı tanımladığını kabul ettiğinizde hızla çözülür. Gerçek zorluk, bunlar arasında seçim yapmak değil, hangi belgenin işleyici ilişkilerinizi yönettiğinden emin olmak, her zorunlu maddeyi içermesi, düzgün bir şekilde yürütülmesi ve işleme faaliyetleri geliştikçe güncel tutulmasıdır.
Eyleme geçirilebilir sonraki adımlar:
- Kişisel verileri sizin adınıza işleyen her işleyici için geçerli bir DPA veya AVV'nin mevcut olduğunu doğrulamak üzere tüm mevcut satıcı ilişkilerini denetleyin.
- Mevcut sözleşmeleri GDPR Madde 28(3) uyarınca on zorunlu unsur ile karşılaştırın ve herhangi bir boşluk için değişiklik talep edin. [1]
- İsviçre'de faaliyet gösteriyorsanız, sözleşmelerin GDPR temelinin ötesinde revFADP gerekliliklerini de karşıladığını doğrulayın.
- Yeni işleyicilerin dahil edilmesi için iç bir süreç oluşturun; sözleşme imzalanmadan önce hiçbir işleme başlamamalıdır.
- Web siteniz veya uygulamanızda onay yönetimi ve çerez uyumu için, daha geniş GDPR uyum çerçevenizin bir parçası olarak Biscotti CMP değerlendirin.
Veri koruma uyumu, tek seferlik bir proje değildir. Sözleşmeler, işleme değiştiğinde, alt işleyiciler eklendiğinde ve düzenleyici rehberlik geliştiğinde gözden geçirilmelidir. Bu gözden geçirme döngüsünü uyum programınıza dahil etmek, düzenleyici maruziyete karşı en pratik korumadır.
Referanslar
[1] Veri İşleme Sözleşmesi - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai