AVV-Generator - Générateur de contrat de sous-traitance

L'Auftragsverarbeitungsvertrag, en abrégé AVV, est l'une des obligations du RGPD (DSGVO) les plus souvent oubliées. Partout où un prestataire externe traite des données personnelles pour ton compte, l'Art. 28 DSGVO impose un contrat écrit avec un contenu minimal précis. Cela concerne plus de cas que la plupart des gens ne le pensent : e-mailing, stockage cloud, logiciel de comptabilité, systèmes de support, hébergement web. Sans AVV, le traitement est formellement illicite et, dans le pire des cas, passible d'amendes.

L'AVV-Generator t'épargne la mise en place. Il te guide pas à pas à travers les parties (responsable du traitement et sous-traitant), l'objet et la nature du traitement, les catégories de personnes concernées et de données, les mesures techniques et organisationnelles, les sous-traitants ultérieurs et les clauses juridiques. Des modèles prêts à l'emploi pour les situations typiques avec des prestataires te donnent un point de départ raisonnable.

Le cœur, ce sont les mesures techniques et organisationnelles, les TOM selon l'Art. 32 DSGVO. Le générateur les répartit en neuf catégories : les huit usuelles dans la pratique (contrôle d'accès aux locaux, aux systèmes, aux données, de la transmission, de la saisie, des instructions, de la disponibilité et principe de séparation), plus l'évaluation et l'organisation avec un contrôle régulier selon l'Art. 32 Abs. 1 lit. d DSGVO (alinéa 1, point d), les formations et la procédure d'urgence. Pour chaque catégorie, tu choisis les mesures adaptées au lieu de les formuler à partir de rien.

Un point sur lequel beaucoup d'AVV échouent, c'est le transfert vers un pays tiers. Dès qu'un prestataire ou son sous-traitant est établi hors de l'UE, il te faut un mécanisme de transfert valable : une décision d'adéquation ou des clauses contractuelles types (SCC). Le générateur reconnaît d'après le lieu d'établissement s'il y a un transfert vers un pays tiers et t'indique si un mécanisme de transfert est nécessaire et lequel, pour que tu ne l'oublies pas.

Les sous-traitants ultérieurs sont gérés de façon systématique. Si ton prestataire fait lui-même appel à d'autres prestataires, l'AVV doit le régler, avec autorisation et transmission des obligations. Le générateur gère les sous-traitants ultérieurs sous forme de liste, vérifie si leur lieu d'établissement renvoie à un pays tiers et les intègre au contrat. Il y a aussi une checklist de l'Art. 28 comme aide au contrôle, qui montre quels points essentiels ton formulaire couvre déjà.

Un peu d'honnêteté s'impose : un AVV généré est une base solide, orientée RGPD (DSGVO), mais dans les situations délicates il ne remplace pas l'examen par un délégué à la protection des données (Datenschutzbeauftragter, DPO) ou un avocat spécialisé (Fachanwalt). Pour la plupart des cas standard avec des prestataires courants, c'est une bonne base de travail. Tout se fait avec un minimum de données ; le document final s'exporte en PDF, prêt à être signé par les deux parties.