Генератор AVV (договор об обработке данных)

Auftragsverarbeitungsvertrag, сокращённо AVV (договор об обработке данных по поручению), это одна из самых часто упускаемых обязанностей по DSGVO. Везде, где внешний поставщик услуг обрабатывает персональные данные по твоему поручению, Art. 28 DSGVO (Общий регламент ЕС по защите данных) требует письменного договора с чётко определённым минимальным содержанием. Это касается большего числа случаев, чем думает большинство: рассылки по электронной почте, облачное хранилище, бухгалтерское программное обеспечение, системы поддержки, веб-хостинг. Без AVV обработка формально незаконна, а в худшем случае за неё грозят штрафы.

AVV-Generator берёт составление договора на себя. Он ведёт тебя чёткими шагами через стороны (ответственная сторона, Verantwortlicher, и исполнитель обработки, Auftragsverarbeiter), предмет и характер обработки, категории лиц и данных, технические и организационные меры, субисполнителей и юридические положения. Готовые шаблоны для типичных случаев работы с поставщиками дают разумную отправную точку.

Главное здесь это технические и организационные меры, TOM по Art. 32 DSGVO. Генератор делит их на девять категорий: восемь привычных на практике (контроль доступа в помещения, Zutrittskontrolle; к системам, Zugangskontrolle; к данным, Zugriffskontrolle; контроль передачи, Weitergabekontrolle; ввода, Eingabekontrolle; исполнения поручения, Auftragskontrolle; доступности, Verfügbarkeitskontrolle; и требование разделения данных, Trennungsgebot) и дополнительно оценка и организация с регулярной проверкой по Art. 32 Abs. 1 lit. d DSGVO (абзац 1, буква d), обучением и порядком действий в аварийных ситуациях. Для каждой категории ты выбираешь подходящие меры, а не придумываешь формулировки с нуля.

Место, где многие AVV терпят неудачу, это передача данных в третью страну (Drittlandtransfer). Как только поставщик услуг или его субисполнитель находится за пределами ЕС, нужен действующий механизм передачи: решение об адекватности защиты (Angemessenheitsbeschluss) или стандартные договорные условия (SCC). Генератор по местонахождению распознаёт, есть ли передача в третью страну, и подсказывает, нужен ли механизм передачи и какой именно, чтобы это не осталось незамеченным.

Субисполнители (Unterauftragnehmer) ведутся системно. Если поставщик сам привлекает других поставщиков, AVV должен это урегулировать, вместе с согласованием и передачей обязанностей дальше. Генератор ведёт субисполнителей списком, проверяет их местонахождение на связь с третьей страной и вносит их в договор. К этому прилагается чек-лист по Art. 28 как помощь в проверке: он показывает, какие ключевые пункты твоя форма уже покрывает.

Честность тоже нужна: сгенерированный AVV это надёжная основа, ориентированная на DSGVO, но в сложных случаях он не заменяет проверку уполномоченным по защите данных или адвокатом-специалистом (Fachanwalt). Для большинства стандартных случаев с распространёнными поставщиками это хорошая рабочая основа. Всё работает бережно к данным, а готовый документ ты экспортируешь в PDF, чтобы обе стороны могли его подписать.