快速回答： AVV（Auftragsverarbeitungsvertrag）和DPA（Data Processing Agreement）指的是GDPR第28条下法律要求的同一合同，德语术语AVV在DACH地区的司法管辖区使用，而DPA是大多数其他欧盟成员国和国际上使用的英语等效术语。两者都规范数据处理者如何代表控制者处理个人数据。选择错误的框架或完全跳过协议可能会使您的组织面临重大监管处罚。
关键要点
- AVV是Auftragsverarbeitungsvertrag的德语缩写；DPA代表数据处理协议，它们在GDPR下功能上是相同的工具。
- 每当控制者聘请处理者处理个人数据时，根据GDPR第28条，两个协议都是强制性的。
- 术语差异是区域性的：AVV在德国、奥地利和瑞士是标准用语；DPA在英语国家和大多数其他欧盟环境中使用。
- 有效协议必须涵盖主题、处理持续时间、数据类别、数据主体权利、子处理者条件、安全措施和审计条款。[1]
- 未能拥有正确的协议可能导致监管机构调查、罚款和合同争议。
- 实施成本从零（使用供应商的标准模板）到几千欧元用于定制法律起草不等。
- 一些在DACH和非DACH市场运营的企业合法地在同一协议中使用这两个术语以提高清晰度。
- 像Biscotti CMP这样的同意管理平台可以支持您更广泛的GDPR合规性，但不能替代正确执行的AVV或DPA。
AVV在数据保护中代表什么，它与DPA相同吗？
AVV代表Auftragsverarbeitungsvertrag，是数据处理协议的德语术语。在实际法律术语中，AVV和DPA是相同的文件，均满足GDPR第28条对数据控制者和数据处理者之间书面合同的要求。[1]
这种区别纯粹是语言和司法管辖区的差异。德国、奥地利和瑞士的数据保护从业者在合同、隐私政策和监管通信中使用AVV作为标准术语。英语国家的从业者和大多数其他欧盟成员国使用DPA。当一家德国SaaS供应商向您提供“AVV”时，他们提供的是一家总部位于英国的供应商所称的“DPA”的相同法律工具。
关键澄清： 两个术语都不意味着不同的法律标准。两者必须满足GDPR第28条第3款的内容要求才能有效。[1]
AVV和DPA之间有什么区别？
AVV和DPA之间的区别是术语上的，而不是实质上的。两者描述的是GDPR第28条规定的合同，涉及数据控制者（决定处理目的和方式的实体）和数据处理者（代表控制者处理数据的实体）。
真正的差异可能出现在起草风格和地方监管指导上：
- 德国监管机构（Datenschutzbehörden）发布了特定的模板条款和指导说明，AVV文件通常会纳入这些内容。
- 为英国或爱尔兰司法管辖区起草的英语DPAs可能会参考国家实施立法以及GDPR。
- 瑞士的AVV还必须考虑修订后的联邦数据保护法（revFADP），该法在某些方面与GDPR有所不同。
底线： 如果供应商向您发送AVV，而您需要DPA，只要内容符合第28条第3款的要求，您就得到了所需的文件。[1]
何时需要AVV与DPA？
每当您的组织与第三方服务提供商共享个人数据，并指示其处理该数据时，您需要其中一种协议。触发因素是控制者-处理者关系，而不是合同的语言。
在以下情况下使用AVV：
- 您的对方位于德国、奥地利或瑞士，其标准合同使用该术语。
- 您自己的组织在德国数据保护法下运营，内部模板遵循BfDI或州DPA指导。
在以下情况下使用DPA：
- 您的对方在英语国家运营或使用英语作为合同语言。
- 您与一家总部位于美国的云服务提供商、英国SaaS供应商或任何国际处理者签约，其模板默认使用“DPA”。
常见错误： 假设因为供应商称其文件为AVV而不是DPA，适用不同的法律规则。根据GDPR，内容要求是相同的。重要的是实质，而不是封面上的标签。
谁需要AVV，谁需要DPA？
任何符合GDPR下数据控制者资格的组织，并聘请第三方代表其处理个人数据，都需要其中一种协议。这适用于：
- 使用第三方支付处理器或电子邮件营销平台的电子商务企业。
- 使用云基础设施提供商（IaaS、PaaS、SaaS）的企业。
- 处理客户数据的在线营销机构。
- 开发处理最终用户个人数据的应用程序的开发者。
- 使用分析工具、CDN或处理访客数据的CRM系统的网站所有者。
位于DACH市场的组织通常会遇到AVV标签；而国际运营的组织则更常处理DPA。这两类组织面临相同的法律义务。
AVV与DPA中应包含哪些内容？
根据GDPR第28条第3款，AVV和DPA必须包含相同的强制性要素。缺少任何这些条款将使协议不合规。[1]
| 必需条款 | 描述 |
|---|---|
| 主题和持续时间 | 处理哪些数据以及处理多长时间 |
| 性质和目的 | 为什么以及如何进行处理 |
| 数据类型和数据主体 | 个人数据的类别和受影响的个人 |
| 控制者的权利和义务 | 处理者必须遵循的指示 |
| 安全措施 | 技术和组织保障（TOMs） |
| 子处理者条件 | 参与下游处理者的规则 |
| 数据主体权利协助 | 支持访问、删除、可携带性请求 |
| 违规通知 | 处理者通知控制者事件的义务 |
| 数据返回或删除 | 合同结束时数据的处理方式 |
| 审计权利 | 控制者验证合规性的权利 |
边缘案例： 如果供应商的模板省略了审计权利或子处理者条件，请勿按原样签署。根据第28条第3款，这些是不可谈判的。[1]
设置AVV或DPA的成本是多少？
成本完全取决于您是使用供应商的标准模板还是委托定制法律起草。
- 供应商提供的模板（最常见）： 免费。大多数主要SaaS和云提供商发布标准AVV或DPA，控制者可以在线接受或通过点击过程接受。
- 协商定制协议： 法律费用通常在500到5000欧元之间，具体取决于复杂性、司法管辖区和律师费率。涉及大量数据或敏感数据类别的企业合同通常位于较高端。
- 内部模板开发： 一次性投资法律顾问时间以创建可重复使用的模板；持续成本很低。
实用提示： 对于大多数中小企业和网站所有者，供应商的标准模板已足够。当处理涉及特殊类别数据（健康、 biometric、财务）或控制者承担重大责任风险时，定制谈判是合理的。
AVV和DPA的要求在不同国家如何不同？
根据GDPR，实质性要求在所有欧盟成员国之间是统一的，因此无论您身处柏林、巴黎还是华沙，AVV和DPA的核心内容都是相同的。然而，国家层面的细微差别仍然存在：
- 德国： BfDI和州级DPA发布了详细的指导和模型条款。德国的AVV通常包括更详细的技术和组织措施（TOMs）文档。
- 瑞士： 修订后的联邦数据保护法（revFADP，2023年9月生效）在GDPR的基础上施加了额外要求，包括跨境数据传输和数据泄露通知时间表的具体条款。
- 英国（脱欧后）： 适用英国GDPR；DPA必须参考英国ICO的指导，而不是欧盟监管机构。标准合同条款与欧盟SCC不同。
- 其他欧盟成员国： GDPR第28条直接适用；当地DPA指导可能会补充，但不能减少最低要求。
仔细选择适用法律条款。 德国法律的AVV和爱尔兰法律的DPA可能看起来相似，但将由不同的法院和监管机构进行解释。
可以用AVV代替DPA，还是同时使用两者？
是的，AVV可以替代DPA，因为它们是法律上等同的工具。跨越DACH和非DACH市场运营的公司可以在同一合同标题中包含这两个术语（例如，“数据处理协议 / Auftragsverarbeitungsvertrag”），以避免混淆，这在双语企业合同中是常见做法，完全是允许的。
同时使用这两个标签并不会产生两个独立的法律义务。它只是确保德语和英语方都理解他们正在查看同一文件。
在选择AVV和DPA时常见的错误是什么？
最重要的错误不是关于您使用哪个术语，而是关于协议的内容以及它是否存在。
- 完全跳过协议， 因为供应商关系感觉非正式或低风险。根据GDPR，义务是由处理行为触发的，而不是由感知的风险水平触发。
- 接受不完整的模板， 省略了子处理者条款或审计权利，认为供应商的版本自动合规。
- 将DPA与数据共享协议混淆。 DPA管理处理者关系；数据共享协议管理共同控制者或控制者与控制者之间的数据交换。这些是不同的工具。
- 未能更新协议， 当处理者聘请新的子处理者或改变处理性质时。
- 假设GDPR合规涵盖瑞士法律。 拥有瑞士数据主体的组织必须确保其AVV也满足revFADP的要求。
错误处理AVV与DPA的法律后果是什么？
未能拥有有效、完整的协议使控制者和处理者都面临监管和民事责任。
根据GDPR第83条第4款，违反第28条（DPA/AVV要求）可能导致高达**1000万欧元或全球年营业额的2%**的行政罚款，以较高者为准。德国的监管机构已表现出愿意调查和罚款缺失或缺陷处理协议的组织。
除了罚款，后果还包括：
- 监管机构审计和纠正命令。
- 无法对不合规的处理者执行合同条款。
- 如果发生数据泄露而没有有效协议记录安全义务，则面临民事责任风险。
- 在企业客户进行供应商尽职调查的B2B环境中造成声誉损害。
如何确定您的企业实际需要哪种协议？
一旦您识别出关系和司法管辖区，决定就很简单。
步骤1： 确定您的组织是控制者（您决定数据如何处理）还是处理者（您根据他人的指示处理数据）。
步骤2： 确定您对方的语言和司法管辖区。如果他们位于DACH地区，期待AVV。如果他们在其他地方，期待DPA。
步骤3： 验证您收到的文件是否包含GDPR第28条第3款下的所有十个强制性要素。[1]
步骤4： 如果您的组织还需要管理用户对cookies和跟踪技术的同意，像Biscotti CMP这样的同意管理平台可以解决GDPR合规的这一层面，但它是与正确执行的AVV或DPA并行运作，而不是替代。
决策规则： 如果您代表另一组织处理个人数据，则无论商业关系如何称呼，您都需要DPA或AVV。如果另一组织代表您处理数据，您有责任确保在处理开始之前签署该协议。
常见问题
问：AVV在德国以外是否合法有效？ AVV在GDPR适用的任何地方都是合法有效的，只要它满足第28条第3款的内容要求。德语术语并不限制其在其他欧盟司法管辖区的可执行性。
问：DPA需要双方签署吗？ 是的。GDPR第28条第9款要求协议以书面形式存在，包括电子形式。控制者和处理者都必须受其条款的约束。
问：供应商的在线点击通过DPA是否满足GDPR要求？ 是的，只要内容符合第28条第3款的要求。许多主要云提供商提供合规的点击通过DPA，这些DPA已由监管机构审核。
问：什么是子处理者，为什么在DPA或AVV中很重要？ 子处理者是由处理者聘请的第三方，负责执行处理活动。DPA或AVV必须指定可以聘请子处理者的条件，包括控制者的反对权。[1]
问：每次处理者更新其子处理者列表时，我需要新的AVV或DPA吗？ 不一定。许多协议包括对子处理者变更的一般授权，只要处理者通知控制者，并且控制者在规定的时间内保留反对权。
问：DPA是否涵盖跨境数据传输？ DPA管理处理关系，但本身并不授权跨境数据传输。需要单独的传输机制（标准合同条款、适用性决定）来进行向第三国的传输。
问：DPA或AVV应保留多长时间？ 在处理关系期间及其后合理的时间内保留协议，通常至少三到五年，以便在监管机构调查时证明合规性。
问：DPA和DPIA之间有什么区别？ DPA（数据处理协议）是控制者与处理者之间的合同。DPIA（数据保护影响评估）是对高风险处理活动的内部风险评估。它们服务于不同的目的，且互不替代。
问：自由职业者或小型机构是否需要签署AVV或DPA？ 是的。该义务适用于处理者的规模。处理客户数据的自由职业开发者是处理者，必须与每个客户控制者签署DPA或AVV。
问：Biscotti CMP是否取代DPA或AVV的需要？ 不。 Biscotti CMP是一个同意管理平台，帮助管理用户对cookies和跟踪的同意，这是GDPR合规的另一个要求。涉及个人数据的任何处理者关系仍然需要DPA或AVV。
结论
AVV与DPA的问题在您认识到这两个术语描述的是GDPR第28条下同一法律要求的工具后，很快就能解决。真正的挑战不是在于选择它们，而是在于确保无论哪个文件管理您的处理者关系都包含每一个强制条款，正确执行，并在处理活动演变时保持最新。
可行的下一步：
- 审核所有当前的供应商关系，以确认每个处理个人数据的处理者都有有效的DPA或AVV。
- 根据GDPR第28条第3款的十个强制性要素审查现有协议，并请求对任何缺口进行修订。[1]
- 如果在瑞士运营，请验证协议是否还满足超出GDPR基线的revFADP要求。
- 建立一个内部流程来引入新的处理者，任何处理都不应在协议签署之前开始。
- 对于网站或应用程序上的同意管理和cookie合规性，评估Biscotti CMP作为您更广泛的GDPR合规框架的一部分。
数据保护合规不是一次性项目。协议需要在处理变化、添加子处理者以及监管指导演变时进行审查。将这种审查节奏纳入您的合规程序是防止监管风险的最实用保障。
参考文献
[1] 数据处理协议 - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai