快速回答： AVV（Auftragsverarbeitungsvertrag）是根据GDPR第28条在数据控制者和数据处理者之间法律要求的合同。任何代表其他方处理个人数据的组织都必须具备此合同。没有AVV的操作将使双方面临高达2000万欧元或全球年营业额的4%（以较高者为准）的罚款。
关键要点
- AVV是数据处理协议（DPA）的德语术语，根据GDPR第28条的规定，当处理者为控制者处理个人数据时，必须具备此协议。
- 协议必须明确主题、目的、持续时间、数据类型、技术和组织措施（TOMs）以及子处理者规则。
- 未能具备有效的AVV可能导致监管罚款，无论是否发生数据泄露。
- 小企业并不例外：云托管、薪资软件和电子邮件营销工具通常都会触发AVV的要求。
- AVV是两方之间的合同，而不是隐私通知，它本身并不实施加密等安全措施。
- 每当子处理者发生变化、数据转移到第三国或处理活动发生修改时，应审查AVV。
- 在DACH地区（德国、奥地利、瑞士），AVV在SaaS供应商、托管提供商和ERP系统中是标准做法。
- 合规组织和供应商提供模板，但必须根据实际处理活动进行定制。
AVV在数据处理中的含义是什么？
AVV代表Auftragsverarbeitungsvertrag，这是一个德语复合词，直接翻译为英语是“数据处理协议”。这是根据欧盟通用数据保护条例（GDPR）第28条规定的合同工具，用于管理数据控制者与数据处理者之间的关系。
该术语特定于德语国家（德国、奥地利和瑞士），但其基本法律概念在整个欧盟和欧洲经济区普遍适用。在英语环境中，同一文件称为数据处理协议（DPA）。在国际运营的组织应确保其AVV以相关语言提供，以便于理解和合规[5]。
AVV不是隐私政策或cookie同意横幅。它是一个具有约束力的双边合同，定义了处理者如何处理个人数据、在什么条件下以及采取哪些保护措施。
数据处理者为什么需要AVV？
每当数据控制者聘请处理者代表其处理个人数据时，AVV是强制性的。这不是可选的指导，而是GDPR第28条下的严格法律要求[1]。
触发AVV要求的常见场景包括：
- 云托管和基础设施（例如，存储客户数据库的服务器）
- 由第三方人力资源提供商处理的薪资
- 存储订阅者列表的电子邮件营销平台
- 访问商业和员工数据的SaaS ERP供应商
- 处理访客行为数据的分析和跟踪工具
没有AVV，任何一方都没有记录的法律基础来支持处理关系。监管机构将AVV的缺失视为独立的合规违规，与任何数据泄露调查分开处理[3]。
AVV与DPA是同一回事吗？
是的，AVV和DPA指的是同一法律文件。AVV是德语名称；DPA是大多数其他欧盟成员国和国际合规环境中使用的英语等价物[5]。
这两份文件都满足GDPR第28条的要求，并且必须包含相同的强制性要素。如果一家德国公司与一家美国SaaS供应商签署DPA，只要满足所有实质性要求，该DPA就可以作为GDPR合规目的的AVV。
需要记住的关键区别： 文件的标签比内容重要得多。标题为“数据处理附录”、“处理协议”或“AVV”的文件在法律上是等同的，只要它涵盖所有必要的要素。
谁需要AVV以符合GDPR？
任何作为数据控制者并使用第三方服务处理其个人数据的组织都需要AVV。这适用于所有行业的各类企业[1]。
通常需要AVV的控制者：
| 场景 | 控制者 | 处理者 |
|---|---|---|
| 公司使用云CRM | 企业 | CRM供应商 |
| 网站使用分析 | 网站所有者 | 分析提供商 |
| 人力资源外包薪资 | 雇主 | 薪资局 |
| 在线商店使用电子邮件工具 | 零售商 | 电子邮件平台 |
| 代理管理客户广告 | 代理 | 广告技术平台 |
谁不是处理者： 独立决定处理目的和手段的一方是控制者，而不是处理者。联合控制者需要根据GDPR第26条签署不同类型的协议。
小企业常常忽视这一要求，认为它仅适用于大型企业。这种假设是错误的。任何使用第三方托管提供商、新闻通讯服务或预订系统的网站所有者都可能需要至少一份AVV[5]。
AVV应包含哪些内容？
合规的AVV必须包含特定的强制性要素。即使缺少一个也可能使协议在GDPR审查中不充分[2]。
强制性组成部分：
- 处理的主题和持续时间
- 处理的性质和目的
- 个人数据的类型和数据主体的类别
- 控制者的义务和权利
- 处理者实施的技术和组织措施（TOMs）
- 参与子处理者的规则
- 数据主体权利请求的程序
- 数据泄露通知义务
- 合同终止时数据的返回或删除
- 控制者的审计权
TOMs部分尤其重要。虽然AVV本身并不实施安全措施，但必须记录处理者所采取的措施，例如加密标准、访问控制和假名化实践[1]。
如果没有AVV会发生什么？
在没有有效AVV的情况下，控制者和处理者都面临重大监管处罚。根据GDPR第83(4)条，违反第28条的罚款可高达1000万欧元或全球年营业额的2%，而根据第83(5)条对于更严重的违规行为，罚款可高达2000万欧元或全球年营业额的4%，以较高者为准[3]。
重要的是，这些罚款可以在没有发生数据泄露的情况下施加。进行例行审计或响应投诉的监管机构可以识别AVV的缺失，并仅基于此发出罚款。
其他后果包括：
- 声誉损害和客户信任丧失
- 控制者与处理者之间的合同责任
- 在整改期间可能暂停处理活动
AVV与数据处理协议的关键区别
AVV和DPA在实质上是同一文件的不同名称。然而，对于国际组织而言，有一些值得注意的实际差异。
| 维度 | AVV | DPA |
|---|---|---|
| 语言 | 德语 | 英语（或当地语言） |
| 司法管辖区重点 | DACH地区 | 欧盟/欧洲经济区 |
| 常用上下文 | 德语合同 | 国际SaaS协议 |
| 法律基础 | GDPR第28条 | GDPR第28条 |
| 内容要求 | 相同 | 相同 |
DACH地区（德国、奥地利、瑞士）对AVV的执行文化特别强，使其在与托管提供商、SaaS ERP供应商和其他服务合作伙伴的合同中成为标准做法[1]。
AVV的费用是多少？
AVV的费用因其创建和审查方式而异。
- 基于模板的AVV： 许多供应商在其服务条款中提供自己的AVV，通常不收取额外费用。像NexDeck这样的组织提供详细的AVV模板，包括子处理者列表[4]。
- 法律顾问审查： 让数据保护律师起草或审查定制AVV的费用通常在300欧元到2000欧元之间，具体取决于复杂性和司法管辖区。
- DPO协助起草： 拥有内部或外部数据保护官（DPO）的组织通常可以利用该资源以零边际成本起草AVV。
对于小企业而言，最实用的方法是从一个信誉良好的模板开始，并在签署之前由合格的专业人士进行审查。
如何创建AVV模板？
创建AVV的第一步是识别所有处理关系，其中第三方代表您处理个人数据。接下来，流程遵循以下步骤：
- 清点您的处理者： 列出每个访问您控制的个人数据的供应商、工具或服务。
- 获取或起草AVV： 许多处理者（尤其是SaaS供应商）提供自己的标准AVV。根据上述强制性要素进行审查。
- 定制TOMs部分： 确保技术和组织措施反映处理者的实际安全实践。
- 列出子处理者： 包括附录，识别处理者使用的任何子处理者及其角色和位置。
- 定义数据转移机制： 如果数据转移到欧盟/欧洲经济区以外，指定法律转移机制（例如，标准合同条款）。
- 签署并保留： 双方必须签署AVV。将副本保留在您的数据处理记录中。
来自合规组织的模板提供了坚实的结构基础，但每个AVV都应根据其所管理的特定处理活动进行定制[2]。
小企业的AVV要求
小企业并不免于AVV要求。任何受GDPR约束并使用第三方处理者的组织都必须具备AVV，无论公司规模或员工人数如何[1]。
对于小企业而言，实际负担比看起来要低：
- 大多数主要SaaS供应商（电子邮件平台、预订系统、分析工具）通常已经提供标准AVV或DPA作为其服务条款的一部分。接受这些条款通常构成有效协议。
- 关键任务是确保您已实际审查并接受这些条款，而不是假设它们存在。
- 保持对您的处理者及其相应AVV的简单登记。
常见错误： 小企业主常常假设，由于供应商规模大且声誉良好，法律文件会自动处理。接受AVV必须是一个主动的、记录在案的步骤。
AVV审计跟踪要求
AVV必须包括条款，赋予控制者审计处理者合规性的权利。根据GDPR第28(3)(h)条，这一审计权是强制性要素[2]。
在实践中，审计跟踪要求意味着：
- 处理者必须根据GDPR第30(2)条维护处理活动记录。
- 控制者有权进行审计或委托第三方审计员验证合规性。
- 许多处理者通过第三方认证（如ISO 27001或SOC 2）满足这一要求，这在许多情况下可以替代现场审计。
AVV与ISO 27001附录A控制A.5.19至A.5.22直接相关，这些控制管理供应商关系和供应链中的信息安全[2]。拥有正式信息安全管理系统（ISMS）的组织应确保其AVV纳入其供应商管理流程。
国际数据转移的AVV
当处理者位于欧盟/欧洲经济区以外时，AVV必须解决将个人数据转移到该第三国的法律机制。标准合同条款（SCCs）是最常用的机制，通常作为AVV的附录纳入[2]。
国际AVV的关键考虑因素：
- 确定处理者所在国家是否有欧盟的适当性决定。
- 如果没有，纳入适当的SCC（控制者对处理者或控制者对控制者，具体取决于关系）。
- 在需要时进行转移影响评估（TIA）。
- 确保AVV以双方合同方的语言提供[5]。
您多久应更新一次AVV？
每当处理关系发生重大变化时，应审查和更新AVV。没有固定的法定审查间隔，但最佳实践建议至少每年审查一次[2]。
立即更新AVV的触发因素：
- 处理者聘请新的子处理者或移除现有子处理者
- 处理活动的性质、目的或范围发生变化
- 数据转移到新的第三国
- 处理者的TOMs发生重大更新
- 适用法律或监管指导发生变化
主动审查AVV是核心合规纪律。过时的协议如果不再反映实际处理活动，将产生与没有AVV相同的监管风险。
设置AVV时的常见错误
即使是理解AVV要求的组织，在实施过程中也常常会犯错误。
错误1：将供应商的模板视为自动足够。 供应商提供的AVV模板可能无法涵盖您的特定处理活动。始终根据强制性要素进行审查。
错误2：遗漏或模糊描述TOMs。 监管机构会密切审查TOMs部分。模糊的语言，如“适当的安全措施”，而没有具体说明，是不够的。
错误3：忘记子处理者。 AVV必须列出子处理者。未能在处理者更改其子处理者时更新此列表是常见的合规漏洞[2]。
错误4：未保留签署副本。 在审计期间无法提供的AVV不提供法律保护。保持有序的记录。
错误5：将AVV与隐私政策混淆。 这两者是完全不同的文件，服务于不同的目的。隐私政策通知数据主体；AVV管理控制者与处理者之间的关系[1]。
结论
AVV终极指南：每个数据处理者都需要一个的原因归结为一个简单的合规现实：如果个人数据在控制者和处理者之间转移，则必须在处理开始之前存在有效的AVV。没有规模豁免，没有行业例外，也没有已经在GDPR下运营的组织的宽限期。
2026年的可操作下一步：
- 审计每个访问您控制的个人数据的第三方供应商，并确认每个供应商都有AVV。
- 根据强制性要素清单审查现有AVV，特别关注TOMs和子处理者列表。
- 建立年度AVV审查的日历提醒，并在处理活动发生变化时触发更新。
- 对于同时管理同意和cookie合规性的组织，考虑将数据处理文档与合规的同意管理平台（如Biscotti CMP）配对，以保持完整和可辩护的合规态势。
- 对于涉及复杂处理活动或国际数据转移的任何AVV，咨询合格的数据保护专业人士。
正确处理AVV的成本很低。处理错误的成本则不容小觑。
常见问题
AVV简单来说是什么？ AVV是一个书面合同，涉及拥有个人数据的公司（控制者）与代表其处理该数据的公司（处理者）。它规定了处理哪些数据、为什么、如何保护以及双方的义务。
每个供应商关系都需要AVV吗？ 仅对代表您处理个人数据的供应商需要。仅提供您自己处理数据的工具（没有访问数据）的供应商通常不是处理者，因此不需要AVV。
口头协议可以替代AVV吗？ 不可以。GDPR第28条明确要求处理协议必须以书面形式存在，包括电子形式。
AVV能否保护免受GDPR罚款？ 拥有有效的AVV可以显著降低监管风险，但并不提供绝对免疫。仍然可能因其他违规行为而被罚款。AVV特别表明符合第28条的要求。
子处理者和处理者之间有什么区别？ 处理者直接为控制者处理数据。子处理者是由处理者聘请来协助处理的。控制者必须被告知子处理者，处理者必须将子处理者绑定到相同的义务上。
AVV必须保留多久？ GDPR中没有明确规定AVV的保留期限，但应在处理关系持续期间及其后合理期限内保留，通常与相关司法管辖区的监管行动时效相一致。
与美国公司签署的DPA算作AVV吗？ 是的，只要它包含GDPR第28条要求的所有要素，并纳入适当的转移机制，如标准合同条款。
处理者可以将个人数据用于其自身目的吗？ 不可以。处理者只能根据控制者的书面指示处理个人数据。为了处理者自身目的而处理将重新将该方归类为控制者，承担不同的法律义务。
在AVV中，TOM指的是什么？ TOM代表技术和组织措施。这些是处理者实施的保护个人数据的安全实践，例如加密、访问控制和假名化。AVV必须记录这些措施。
AVV需要公证吗？ 不需要。GDPR不要求公证。签署的书面协议（包括电子签名）即可。
参考文献
[1] 数据处理协议 - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai