快速回答： AVV（Auftragsverarbeitungsvertrag）和 DPA（Data Processing Agreement）是 GDPR 第 28 條下法律要求的相同合同，德語術語 AVV 用於 DACH 地區的司法管轄區，而 DPA 是在大多數其他歐盟成員國和國際上使用的英語等效詞。兩者都規範數據處理者如何代表控制者處理個人數據。選擇錯誤的框架或完全跳過協議可能會使您的組織面臨重大監管罰款。
主要要點
- AVV 是 Auftragsverarbeitungsvertrag 的德語縮寫；DPA 代表數據處理協議，它們在 GDPR 下功能上是相同的工具。
- 每當控制者聘請處理者處理個人數據時，根據 GDPR 第 28 條，這兩份協議都是強制性的。
- 術語差異是區域性的：AVV 在德國、奧地利和瑞士是標準用語；DPA 在英語國家和其他大多數歐盟背景下使用。
- 有效的協議必須涵蓋主題、處理持續時間、數據類別、數據主體權利、子處理者條件、安全措施和審計條款。[1]
- 未能擁有正確的協議可能會導致監管機構調查、罰款和合同爭議。
- 實施成本範圍從零（使用供應商的標準模板）到幾千歐元的自定義法律起草費用。
- 一些在 DACH 和非 DACH 市場運營的企業合法地在同一協議中使用這兩個術語以提高清晰度。
- 像 Biscotti CMP 這樣的同意管理平台可以支持您更廣泛的 GDPR 合規性，但不能替代正確執行的 AVV 或 DPA。
AVV 在數據保護中代表什麼，它與 DPA 相同嗎？
AVV 代表 Auftragsverarbeitungsvertrag，是數據處理協議的德語術語。在實際法律術語中，AVV 和 DPA 是相同的文件，兩者都滿足 GDPR 第 28 條對數據控制者和數據處理者之間書面合同的要求。[1]
這一區別純粹是語言和司法管轄區的問題。德國、奧地利和瑞士的數據保護從業者在合同、隱私政策和監管通信中使用 AVV 作為標準術語。英語使用者和大多數其他歐盟成員國使用 DPA。當德國的 SaaS 供應商向您提供“AVV”時，他們提供的法律工具與英國供應商所稱的“DPA”是相同的。
關鍵澄清： 這兩個術語都不暗示不同的法律標準。兩者必須滿足 GDPR 第 28 條第 3 款的內容要求才能有效。[1]
AVV 和 DPA 之間有什麼區別？
AVV 和 DPA 之間的區別是術語上的，而不是實質上的。兩者描述的是 GDPR 第 28 條規定的合同，該合同在數據控制者（決定處理目的和方式的實體）和數據處理者（代表控制者處理數據的實體）之間。
真正的區別可能出現在 起草風格和當地監管指導：
- 德國監管機構（Datenschutzbehörden）已發布特定的模板條款和指導說明，AVV 文件通常會納入這些內容。
- 為英國或愛爾蘭司法管轄區起草的英語 DPA 可能會參考國家實施立法以及 GDPR。
- 瑞士的 AVV 也必須考慮修訂後的聯邦數據保護法（revFADP），該法在某些方面與 GDPR 存在差異。
底線： 如果供應商向您發送 AVV，而您需要 DPA，只要內容符合第 28 條第 3 款的要求，您就已收到所需的文件。[1]
什麼時候需要 AVV 而不是 DPA？
每當您的組織與第三方服務提供商共享個人數據，並根據您的指示處理該數據時，您需要其中一份協議。觸發因素是控制者-處理者關係，而不是合同的語言。
當使用 AVV 時：
- 您的對方位於德國、奧地利或瑞士，且其標準合同使用該術語。
- 您自己的組織依據德國數據保護法運作，且您的內部模板遵循 BfDI 或州 DPA 指導。
當使用 DPA 時：
- 您的對方在英語國家或使用英語作為合同語言。
- 您正在與美國的雲服務提供商、英國的 SaaS 供應商或任何其模板默認為“DPA”的國際處理者簽約。
常見錯誤： 假設因為供應商稱其文件為 AVV 而不是 DPA，適用不同的法律規則。根據 GDPR，內容要求是相同的。重要的是實質，而不是封面上的標籤。
誰需要 AVV 誰需要 DPA？
任何根據 GDPR 資格為 數據控制者 的組織，並聘請第三方代表其處理個人數據，都需要其中一份協議。這適用於：
- 使用第三方支付處理器或電子郵件營銷平台的電子商務企業。
- 使用雲基礎設施提供商（IaaS、PaaS、SaaS）的企業。
- 處理客戶數據的在線營銷機構。
- 開發通過外部 API 處理最終用戶個人數據的應用程序的開發者。
- 使用分析工具、CDN 或 CRM 系統處理訪問者數據的網站所有者。
位於 DACH 市場的組織通常會遇到 AVV 標籤；而國際運營的組織則更常處理 DPA。這兩類組織面臨相同的法律義務。
AVV 和 DPA 中應包含什麼？
根據 GDPR 第 28 條第 3 款，AVV 和 DPA 必須包含相同的強制性要素。缺少任何這些條款會使協議不合規。[1]
| 必需條款 | 描述 |
|---|---|
| 主題和持續時間 | 處理哪些數據以及持續多長時間 |
| 性質和目的 | 為什麼以及如何進行處理 |
| 數據類型和數據主體 | 個人數據的類別和受影響的個體 |
| 控制者的權利和義務 | 處理者必須遵循的指示 |
| 安全措施 | 技術和組織保障（TOMs） |
| 子處理者條件 | 聘用下游處理者的規則 |
| 數據主體權利協助 | 支持訪問、刪除、可攜帶請求 |
| 事件通知 | 處理者通知控制者事件的義務 |
| 數據返回或刪除 | 合同結束時數據的處理方式 |
| 審計權利 | 控制者驗證合規性的權利 |
邊緣案例： 如果供應商的模板省略了審計權利或子處理者條件，請不要按原樣簽署。這些在第 28 條第 3 款下是不可協商的。[1]
設立 AVV 或 DPA 的成本是多少？
成本完全取決於您是使用供應商的標準模板還是委託自定義法律起草。
- 供應商提供的模板（最常見）： 免費。大多數主要的 SaaS 和雲服務提供商都發布了標準 AVV 或 DPA，控制者可以在線接受或通過點擊流程接受。
- 協商的自定義協議： 法律費用通常範圍從 500 到 5,000 歐元，具體取決於複雜性、司法管轄區和律師費率。涉及大量數據或敏感數據類別的企業合同通常位於較高的範圍。
- 內部模板開發： 一次性投資法律顧問的時間以創建可重用模板；持續成本很低。
實用提示： 對於大多數中小企業和網站所有者來說，供應商的標準模板已足夠。當處理涉及特殊類別數據（健康、生物識別、財務）或控制者承擔重大責任風險時，自定義協商是合理的。
AVV 和 DPA 的要求在不同國家有何不同？
根據 GDPR，實質要求在所有歐盟成員國之間是統一的，因此無論您身在柏林、巴黎還是華沙，AVV 和 DPA 的核心內容都是相同的。然而，國家層面的細微差別仍然存在：
- 德國： BfDI 和州級 DPA 已發布詳細的指導和模型條款。德國的 AVV 通常包含更詳細的技術和組織措施（TOMs）文檔。
- 瑞士： 修訂後的聯邦數據保護法（revFADP，2023 年 9 月生效）對 GDPR 之外的要求施加了額外要求，包括跨境數據傳輸和數據洩露通知時間表的具體條款。
- 英國（脫歐後）： 適用英國 GDPR；DPA 必須參考英國 ICO 的指導，而不是歐盟監管機構。標準合同條款與歐盟 SCC 不同。
- 其他歐盟成員國： GDPR 第 28 條直接適用；當地 DPA 指導可能會補充，但不能減少最低要求。
仔細選擇管轄法律條款。 德國法律的 AVV 和愛爾蘭法律的 DPA 可能看起來相似，但將由不同的法院和監管機構進行解釋。
可以使用 AVV 代替 DPA，還是同時使用兩者？
是的，AVV 可以替代 DPA，因為它們是法律上等效的工具。跨 DACH 和非 DACH 市場運營的公司可以在同一合同標題中包含這兩個術語（例如，“數據處理協議 / Auftragsverarbeitungsvertrag”）以避免混淆，這在雙語企業合同中是常見做法，完全是允許的。
同時使用這兩個標籤不會產生兩個獨立的法律義務。這僅僅確保德語和英語的各方理解他們正在查看相同的文件。
在選擇 AVV 和 DPA 時常見的錯誤是什麼？
最重要的錯誤不是關於使用哪個術語，而是關於協議的內容以及它是否存在。
- 完全跳過協議， 因為供應商關係感覺非正式或低風險。根據 GDPR，義務是由處理行為觸發的，而不是由感知的風險水平觸發的。
- 接受不完整的模板， 省略了子處理者條款或審計權利，認為供應商的版本自動合規。
- 將 DPA 與數據共享協議混淆。 DPA 管理處理者關係；數據共享協議管理共同控制者或控制者之間的數據交換。這些是不同的工具。
- 未能在處理者聘用新子處理者或改變處理性質時更新協議。
- 假設 GDPR 合規涵蓋瑞士法律。 擁有瑞士數據主體的組織必須確保其 AVV 也滿足 revFADP 的要求。
錯誤處理 AVV 和 DPA 的法律後果是什麼？
未能擁有有效、完整的協議會使控制者和處理者都面臨監管和民事責任。
根據 GDPR 第 83 條第 4 款，違反第 28 條（DPA/AVV 要求）可能會導致高達 1000 萬歐元或全球年營業額的 2% 的行政罰款，以較高者為準。德國的監管機構已表現出調查和罰款組織因缺失或缺陷的處理協議的意願。
除了罰款，後果還包括：
- 監管機構的審計和糾正命令。
- 無法對不合規的處理者執行合同條款。
- 如果在沒有有效協議記錄安全義務的情況下發生數據洩露，則面臨民事責任風險。
- 在企業客戶進行供應商盡職調查的 B2B 環境中造成聲譽損害。
如何知道您的業務實際需要哪種協議？
一旦確定關係和司法管轄區，決策就變得簡單。
步驟 1： 確定您的組織是控制者（您決定為什麼以及如何處理數據）還是處理者（您根據他人的指示處理數據）。
步驟 2： 確定您的對方的語言和司法管轄區。如果他們位於 DACH 地區，則期望 AVV。如果他們在其他地方，則期望 DPA。
步驟 3： 驗證您收到的任何文件是否包含 GDPR 第 28 條第 3 款下的所有十個強制性要素。[1]
步驟 4： 如果您的組織還需要管理用戶對 cookies 和跟踪技術的同意，像 Biscotti CMP 這樣的同意管理平台可以解決 GDPR 合規的那一層，但它是與正確執行的 AVV 或 DPA 一起運作，而不是取而代之。
決策規則： 如果您代表另一組織處理個人數據，則無論商業關係稱為什麼，您都需要 DPA 或 AVV。如果另一組織代表您處理數據，則您有責任確保在開始處理之前該協議已到位。
常見問題
問：AVV 在德國以外法律上有效嗎？ AVV 在 GDPR 適用的任何地方都是法律有效的，只要它滿足第 28 條第 3 款的內容要求。德語術語並不限制其在其他歐盟司法管轄區的可執行性。
問：DPA 需要雙方簽署嗎？ 是的。根據 GDPR 第 28 條第 9 款，要求協議以書面形式存在，包括電子形式。控制者和處理者都必須受其條款的約束。
問：供應商的在線點擊式 DPA 能滿足 GDPR 要求嗎？ 是的，如果內容符合第 28 條第 3 款的要求。許多主要雲服務提供商提供合規的點擊式 DPA，這些 DPA 已經過監管機構的審查。
問：什麼是子處理者，為什麼在 DPA 或 AVV 中很重要？ 子處理者是由處理者聘用以執行處理活動的第三方。DPA 或 AVV 必須指定可以聘用子處理者的條件，包括控制者的反對權。[1]
問：每次處理者更新其子處理者列表時，我需要新的 AVV 或 DPA 嗎？ 不一定。許多協議包括對子處理者變更的一般授權，只要處理者通知控制者，且控制者保留在指定期限內反對的權利。
問：DPA 涵蓋 EU 以外的數據傳輸嗎？ DPA 管理處理關係，但本身並不授權跨境數據傳輸。需要單獨的傳輸機制（標準合同條款、充分性決定）來進行對第三國的傳輸。
問：DPA 或 AVV 應保留多久？ 在處理關係持續期間及其後的合理期間內保留協議，通常至少三到五年，以便在監管機構查詢時證明合規性。
問：DPA 和 DPIA 之間有什麼區別？ DPA（數據處理協議）是控制者和處理者之間的合同。DPIA（數據保護影響評估）是對高風險處理活動的內部風險評估。它們的目的不同，且彼此不能替代。
問：自由職業者或小型機構是否需要簽署 AVV 或 DPA？ 是的。這一義務適用於處理者的大小。處理客戶數據的自由職業開發者是處理者，必須與每位客戶控制者簽署 DPA 或 AVV。
問：Biscotti CMP 是否取代了 DPA 或 AVV 的需要？ 不。 Biscotti CMP 是一個同意管理平台，幫助管理用戶對 cookies 和跟踪的同意，這是另一項 GDPR 合規要求。對於涉及個人數據的任何處理者關係，仍然需要 DPA 或 AVV。
結論
AVV 與 DPA 的問題在於一旦您認識到這兩個術語描述的是根據 GDPR 第 28 條要求的相同法律工具，便會迅速解決。真正的挑戰不在於選擇它們之間，而在於確保無論哪份文件管理您的處理者關係都包含每一個強制條款，正確執行，並隨著處理活動的演變保持最新。
可行的下一步：
- 審核所有當前的供應商關係，以確認每個處理個人數據的處理者都有有效的 DPA 或 AVV。
- 根據 GDPR 第 28 條第 3 款的十個強制性要素審查現有協議，並要求對任何缺口進行修訂。[1]
- 如果在瑞士運營，請驗證協議是否還滿足超出 GDPR 基準的 revFADP 要求。
- 建立內部流程以便於新處理者的上線，任何處理都不應在協議簽署之前開始。
- 對於網站或應用程序上的同意管理和 cookie 合規性，評估 Biscotti CMP 作為您更廣泛的 GDPR 合規框架的一部分。
數據保護合規性不是一次性項目。協議需要在處理變更、添加子處理者以及監管指導演變時進行審查。將這種審查節奏納入您的合規計劃是防範監管風險的最實用保障。
參考資料
[1] 數據處理協議 - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai