Генератор AVV (договір обробки даних)

Auftragsverarbeitungsvertrag, скорочено AVV (договір про обробку даних за дорученням), це один із найчастіше забутих обов'язків за DSGVO. Скрізь, де зовнішній постачальник послуг обробляє персональні дані за твоїм дорученням, Art. 28 DSGVO (Загальний регламент ЄС про захист даних) вимагає письмового договору з чітко визначеним мінімальним змістом. Це стосується більшої кількості випадків, ніж думає більшість: розсилки електронною поштою, хмарне сховище, бухгалтерське програмне забезпечення, системи підтримки, вебхостинг. Без AVV обробка формально незаконна, а в гіршому разі за неї загрожують штрафи.

AVV-Generator бере на себе складання договору. Він веде тебе чіткими кроками через сторони (відповідальна сторона, Verantwortlicher, і виконавець обробки, Auftragsverarbeiter), предмет і характер обробки, категорії осіб і даних, технічні й організаційні заходи, субвиконавців та юридичні положення. Готові шаблони для типових випадків співпраці з постачальниками дають розумну відправну точку.

Серцевина це технічні й організаційні заходи, TOM за Art. 32 DSGVO. Генератор поділяє їх на дев'ять категорій: вісім звичних на практиці (контроль доступу до приміщень, Zutrittskontrolle; до систем, Zugangskontrolle; до даних, Zugriffskontrolle; контроль передачі, Weitergabekontrolle; введення, Eingabekontrolle; виконання доручення, Auftragskontrolle; доступності, Verfügbarkeitskontrolle; і вимога розділення даних, Trennungsgebot) та додатково оцінювання й організація з регулярною перевіркою за Art. 32 Abs. 1 lit. d DSGVO (абзац 1, літера d), навчаннями і порядком дій в аварійних ситуаціях. Для кожної категорії ти обираєш відповідні заходи, а не вигадуєш формулювання з нуля.

Місце, де багато AVV зазнають невдачі, це передача даних до третьої країни (Drittlandtransfer). Щойно постачальник послуг або його субвиконавець розташований за межами ЄС, потрібен чинний механізм передачі: рішення про адекватність захисту (Angemessenheitsbeschluss) або стандартні договірні положення (SCC). Генератор за місцезнаходженням розпізнає, чи є передача до третьої країни, і підказує, чи потрібен механізм передачі та який саме, щоб це не лишилося непоміченим.

Субвиконавці (Unterauftragnehmer) ведуться системно. Якщо постачальник сам залучає інших постачальників, AVV має це врегулювати, разом із погодженням і передачею обов'язків далі. Генератор веде субвиконавців списком, перевіряє їхні місцезнаходження на зв'язок із третьою країною і вносить їх у договір. До цього додається чеклист за Art. 28 як допомога в перевірці: він показує, які ключові пункти твоя форма вже покриває.

Чесність теж потрібна: згенерований AVV це надійна основа, орієнтована на DSGVO, але в складних випадках він не замінює перевірку уповноваженим із захисту даних чи адвокатом-спеціалістом (Fachanwalt). Для більшості стандартних випадків із поширеними постачальниками це добра робоча основа. Усе працює ощадливо щодо даних, а готовий документ ти експортуєш у PDF, щоб обидві сторони могли його підписати.