快速回答： AVV（Auftragsverarbeitungsvertrag）是根據 GDPR 第 28 條在數據控制者和數據處理者之間法律要求的合同。任何代表其他方處理個人數據的組織都必須擁有一份。沒有 AVV 的運營會使雙方面臨高達 2000 萬歐元或全球年營業額的 4% 的罰款，以較高者為準。
主要要點
- AVV 是德語中數據處理協議（DPA）的術語，根據 GDPR 第 28 條的要求，當處理者為控制者處理個人數據時必須存在。
- 協議必須明確主題、目的、持續時間、數據類型、技術和組織措施（TOMs）以及子處理者規則。
- 如果沒有有效的 AVV，可能會導致監管罰款，無論是否發生數據洩露。
- 小型企業並不例外：雲託管、工資軟件和電子郵件營銷工具通常都會觸發 AVV 的要求。
- AVV 是兩方之間的合同，而不是隱私通知，並且本身不實施加密等安全措施。
- 每當子處理者變更、數據轉移到第三國或處理活動修改時，應審查 AVV。
- 在 DACH 地區（德國、奧地利、瑞士），AVV 是 SaaS 供應商、託管提供商和 ERP 系統的標準做法。
- 合規組織和供應商提供模板，但必須根據實際處理活動進行定制。
AVV 在數據處理中代表什麼？
AVV 代表 Auftragsverarbeitungsvertrag，這是一個德語複合詞，直接翻譯為英語的「數據處理協議」。它是根據歐盟通用數據保護條例（GDPR）第 28 條要求的合同工具，用於規範數據控制者和數據處理者之間的關係。
這個術語特定於德語國家（德國、奧地利和瑞士），但其基本法律概念在整個歐盟和歐洲經濟區普遍適用。在英語環境中，該文件稱為 數據處理協議（DPA）。在國際運營的組織應確保其 AVV 以相關語言提供，以促進理解和合規 [5]。
AVV 不是隱私政策或 Cookie 同意橫幅。它是一份具有約束力的雙邊合同，定義了處理者如何處理個人數據、在什麼條件下以及採取什麼保障措施。
為什麼數據處理者需要 AVV？
每當數據控制者聘用處理者代表其處理個人數據時，AVV 是強制性的。這不是可選的指導；根據 GDPR 第 28 條，這是一項嚴格的法律要求 [1]。
觸發 AVV 要求的常見情境包括：
- 雲託管和基礎設施（例如，存儲客戶數據庫的伺服器）
- 由第三方人力資源提供商處理的工資
- 存儲訂閱者名單的電子郵件營銷平台
- 訪問業務和員工數據的 SaaS ERP 供應商
- 處理訪客行為數據的分析和跟蹤工具
沒有 AVV，雙方都沒有文檔化的法律基礎來支持處理關係。監管機構將 AVV 的缺失視為獨立的合規違規行為，與任何數據洩露調查無關 [3]。
AVV 和 DPA 是一樣的嗎？
是的，AVV 和 DPA 指的是同一法律文件。AVV 是德語名稱；DPA 是在大多數其他歐盟成員國和國際合規環境中使用的英語對應詞 [5]。
這兩份文件都滿足 GDPR 第 28 條的要求，並且必須包含相同的強制性要素。如果一家德國公司與一家美國的 SaaS 供應商簽署 DPA，該 DPA 在 GDPR 合規目的上充當 AVV，只要它滿足所有實質性要求。
需要記住的關鍵區別： 文件的標題比內容重要得少。標題為「數據處理附錄」、「處理協議」或「AVV」的文件在法律上是等同的，只要它涵蓋所有要求的要素。
誰需要 AVV 以符合 GDPR？
任何作為數據控制者並使用第三方服務處理其個人數據的組織都需要 AVV。這適用於所有行業的各種規模的企業 [1]。
通常需要 AVV 的控制者：
| 情境 | 控制者 | 處理者 |
|---|---|---|
| 公司使用雲 CRM | 商業 | CRM 供應商 |
| 網站使用分析 | 網站擁有者 | 分析提供商 |
| 人力資源外包工資 | 雇主 | 工資局 |
| 在線商店使用電子郵件工具 | 零售商 | 電子郵件平台 |
| 代理管理客戶廣告 | 代理 | 廣告技術平台 |
誰不是處理者： 獨立決定處理目的和手段的方是其自身的控制者，而不是處理者。聯合控制者根據 GDPR 第 26 條需要不同類型的協議。
小型企業經常忽視這一要求，認為它僅適用於大型企業。這一假設是錯誤的。任何使用第三方託管提供商、通訊服務或預訂系統的網站擁有者都可能需要至少一份 AVV [5]。
AVV 中應包含什麼？
合規的 AVV 必須包含特定的強制性要素。即使缺少一項，也可能使協議在 GDPR 審查下不充分 [2]。
強制性組件：
- 處理的主題和持續時間
- 處理的性質和目的
- 個人數據的類型和數據主體的類別
- 控制者的義務和權利
- 處理者實施的技術和組織措施（TOMs）
- 管理子處理者的規則
- 數據主體權利請求的程序
- 數據洩露通知義務
- 合同終止時數據的返回或刪除
- 控制者的審計權
TOMs 部分特別重要。雖然 AVV 本身不實施安全措施，但必須記錄處理者已採取的措施，例如加密標準、訪問控制和假名化實踐 [1]。
如果沒有 AVV 會發生什麼？
在沒有有效 AVV 的情況下運營會使控制者和處理者面臨重大監管罰款。根據 GDPR 第 83(4) 條，違反第 28 條的罰款可達 1000 萬歐元或全球年營業額的 2%，根據第 83(5) 條對於更嚴重的違規行為，最高可達 2000 萬歐元或全球年營業額的 4%，以較高者為準 [3]。
關鍵是，這些罰款可以在沒有數據洩露的情況下施加。進行例行審計或回應投訴的監管機構可以識別 AVV 的缺失，並僅基於此發出罰款。
其他後果包括：
- 名譽損害和客戶信任的喪失
- 控制者和處理者之間的合同責任
- 在整改期間可能暫停處理活動
AVV 與數據處理協議：主要區別
AVV 和 DPA 在實質上是同一文件的不同名稱。然而，對於國際組織來說，有一些實際的區別值得注意。
| 維度 | AVV | DPA |
|---|---|---|
| 語言 | 德語 | 英語（或當地語言） |
| 法域焦點 | DACH 地區 | 整個 EU/EEA |
| 常用使用情境 | 德語合同 | 國際 SaaS 協議 |
| 法律依據 | GDPR 第 28 條 | GDPR 第 28 條 |
| 內容要求 | 相同 | 相同 |
DACH 地區（德國、奧地利、瑞士）對 AVV 的執法文化特別強，這使得它們在與託管提供商、SaaS ERP 供應商和其他服務合作夥伴的合同中成為標準做法 [1]。
AVV 的成本是多少？
AVV 的成本取決於其創建和審查的方式。
- 基於模板的 AVV： 許多供應商提供其自己的 AVV 作為服務條款的一部分，通常不收取額外費用。像 NexDeck 這樣的組織提供詳細的 AVV 模板，包括子處理者名單 [4]。
- 法律顧問審查： 讓數據保護律師起草或審查自定義 AVV 的費用通常在 300 到 2000 歐元之間，具體取決於複雜性和法域。
- DPO 協助起草： 擁有內部或外部數據保護官（DPO）的組織通常可以利用該資源以無額外成本起草 AVV，僅需支付 DPO 的保留費用。
對於小型企業來說，最實用的方法是從一個可靠的模板開始，並在簽署之前由合格的專業人士進行審查。
如何創建 AVV 模板？
創建 AVV 的第一步是識別所有處理關係，其中第三方代表您處理個人數據。然後，過程遵循以下步驟：
- 盤點您的處理者： 列出每個訪問您控制的個人數據的供應商、工具或服務。
- 獲取或起草 AVV： 許多處理者（特別是 SaaS 供應商）提供自己的標準 AVV。根據上述強制性要素進行審查。
- 定制 TOMs 部分： 確保技術和組織措施反映處理者的實際安全實踐。
- 列出子處理者： 包括附錄，識別處理者使用的任何子處理者及其角色和位置。
- 定義數據轉移機制： 如果數據轉移到 EU/EEA 以外，請具體說明法律轉移機制（例如，標準合同條款）。
- 簽署並保留： 雙方必須簽署 AVV。保留一份副本與您的數據處理記錄。
來自合規專注組織的模板提供了堅實的結構基礎，但每份 AVV 應根據其所管理的具體處理活動進行定制 [2]。
小型企業的 AVV 要求
小型企業並不免於 AVV 的要求。任何受 GDPR 約束的組織，只要使用第三方處理者，都必須擁有 AVV，無論公司規模或員工人數如何 [1]。
對於小型企業來說，實際負擔比看起來要小：
- 大多數主要的 SaaS 供應商（電子郵件平台、預訂系統、分析工具）已經提供標準 AVV 或 DPA 作為其服務條款的一部分。接受這些條款通常構成有效的協議。
- 關鍵任務是確保您實際上已審查並接受這些條款，而不是假設它們存在。
- 保持一個簡單的處理者和相應 AVV 的登記。
常見錯誤： 小企業主經常假設，由於供應商規模龐大且聲譽良好，法律文件自動處理。接受 AVV 必須是一個主動的、文檔化的步驟。
AVV 審計跟蹤要求
AVV 必須包含授予控制者審計處理者合規性權利的條款。這一審計權是根據 GDPR 第 28 條第 3 款（h）的一項強制性要素 [2]。
在實踐中，審計跟蹤要求意味著：
- 處理者必須根據 GDPR 第 30(2) 條維護處理活動的記錄。
- 控制者有權進行審計或委託第三方審計師以驗證合規性。
- 許多處理者通過第三方認證（如 ISO 27001 或 SOC 2）滿足此要求，這在許多情況下可以替代現場審計。
AVV 與 ISO 27001 附錄 A 控制 A.5.19 至 A.5.22 直接相關，這些控制規範供應商關係和供應鏈中的信息安全 [2]。擁有正式信息安全管理系統（ISMS）的組織應確保其 AVV 融入其供應商管理流程中。
國際數據轉移的 AVV
當處理者位於 EU/EEA 以外時，AVV 必須解決將個人數據轉移到該第三國的法律機制。標準合同條款（SCCs）是最常用的機制，通常作為 AVV 的附錄納入 [2]。
國際 AVV 的關鍵考慮因素：
- 確定處理者所在國是否有 EU 的適當性決定。
- 如果沒有，納入適當的 SCC（根據關係選擇控制者對處理者或控制者對控制者）。
- 根據需要進行轉移影響評估（TIA）。
- 確保 AVV 以雙方合同方的語言提供 [5]。
您應該多久更新一次 AVV？
每當處理關係中發生重大變更時，應審查和更新 AVV。沒有固定的法定審查間隔，但最佳實踐建議至少每年審查一次 [2]。
立即更新 AVV 的觸發因素：
- 處理者聘用新的子處理者或移除現有的子處理者
- 處理活動的性質、目的或範圍發生變化
- 數據轉移到新的第三國
- 處理者的 TOMs 發生重大更新
- 相關法律或監管指導變更
主動審查 AVV 是核心合規性紀律。過時的協議如果不再反映實際處理活動，會造成與沒有 AVV 相同的監管風險。
設置 AVV 時的常見錯誤
即使是了解 AVV 要求的組織，在實施中也經常出現錯誤。
錯誤 1：將供應商的標準條款視為自動足夠。 供應商提供的 AVV 模板可能無法涵蓋您的具體處理活動。始終根據強制性要素進行審查。
錯誤 2：省略或模糊描述 TOMs。 監管機構會密切審查 TOMs 部分。像「適當的安全措施」這樣的模糊語言而沒有具體內容是不足夠的。
錯誤 3：忘記子處理者。 AVV 必須列出子處理者。當處理者更改其子處理者時，未能更新此列表是常見的合規漏洞 [2]。
錯誤 4：未保留簽署副本。 在審計期間無法出示的 AVV 不提供法律保護。保持有序的記錄。
錯誤 5：將 AVV 與隱私政策混淆。 這些是完全不同的文件，服務於不同的目的。隱私政策告知數據主體；AVV 規範控制者與處理者之間的關係 [1]。
結論
AVV 完全指南：為什麼每個數據處理者都需要一份，最終歸結為一個簡單的合規現實：如果個人數據在控制者和處理者之間轉移，則必須在處理開始之前存在有效的 AVV。沒有規模豁免、行業豁免，也沒有對於已經根據 GDPR 運營的組織的寬限期。
2026 年的可行後續步驟：
- 審核每個訪問您控制的個人數據的第三方供應商，並確認每個供應商都有 AVV。
- 根據強制性要素清單審查現有的 AVV，特別注意 TOMs 和子處理者名單。
- 建立年度 AVV 審查的日曆提醒，並在處理活動變更時觸發更新。
- 對於同時管理同意和 Cookie 合規的組織，考慮將您的數據處理文檔與合規的同意管理平台（如 Biscotti CMP）配對，以維持完整且可辯護的合規姿態。
- 對於涉及複雜處理活動或國際數據轉移的任何 AVV，諮詢合格的數據保護專業人士。
正確處理 AVV 的成本微不足道。錯誤處理的成本則不容小覷。
常見問題
AVV 簡單來說是什麼？ AVV 是一份書面合同，介於擁有個人數據的公司（控制者）和代表其處理該數據的公司（處理者）之間。它規定了處理哪些數據、為什麼、如何保護以及雙方的義務。
每個供應商關係都需要 AVV 嗎？ 僅對於代表您處理個人數據的供應商。僅提供您用來自己處理數據的工具（無法訪問數據）的供應商通常不是處理者，無需 AVV。
口頭協議可以替代 AVV 嗎？ 不可以。GDPR 第 28 條明確要求處理協議必須以書面形式存在，包括電子形式。
AVV 可以防止 GDPR 罰款嗎？ 擁有有效的 AVV 可以顯著降低監管風險，但並不提供絕對的免疫。仍然可以因其他違規行為而發出罰款。AVV 具體表明遵守第 28 條的要求。
子處理者和處理者之間有什麼區別？ 處理者直接為控制者處理數據。子處理者由處理者聘用以協助該處理。控制者必須被告知子處理者，並且處理者必須將子處理者約束於相同的義務。
AVV 必須保留多久？ GDPR 中沒有明確規定 AVV 的保留期限，但應在處理關係期間及其後的合理期間內保留，通常與相關法域的監管行動的時效相一致。
與美國公司簽署的 DPA 算作 AVV 嗎？ 是的，只要它包含 GDPR 第 28 條要求的所有要素並納入適當的轉移機制，如標準合同條款。
處理者可以將個人數據用於自己的目的嗎？ 不可以。處理者僅可根據控制者的書面指示處理個人數據。為處理者自身目的進行處理將使該方重新分類為控制者，並承擔不同的法律義務。
在 AVV 中，TOM 是什麼？ TOM 代表技術和組織措施。這些是處理者實施的保護個人數據的安全實踐，例如加密、訪問控制和假名化。AVV 必須記錄這些措施。
AVV 需要公證嗎？ 不需要。GDPR 不要求公證。簽署的書面協議（包括電子簽名）即可。
參考文獻
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai