Contrato de encargado del tratamiento (AVV): cuándo lo necesita

Una empresa que utiliza un proveedor de hosting, una herramienta de newsletter o un software en la nube transmite datos personales de clientes a un proveedor externo. Sin un contrato de encargado del tratamiento (Auftragsverarbeitungsvertrag, AVV) válido, este tratamiento de datos no es lícito.

En pocas palabras: un contrato de encargado del tratamiento (AVV) es un acuerdo escrito entre usted, como responsable del tratamiento, y cada proveedor que trata datos personales por encargo suyo, por ejemplo proveedores de hosting, de newsletter o de servicios en la nube. Afecta a todas las empresas que utilizan tales servicios. Si falta el AVV, el tratamiento de datos es ilícito y se arriesgan multas conforme al art. 28 RGPD.

¿Quién debe celebrar un AVV?

Toda empresa que transmite datos personales de clientes a un proveedor externo para su tratamiento debe celebrar un AVV con dicho proveedor. Esto afecta típicamente a proveedores de hosting, herramientas de newsletter, sistemas CRM y proveedores de nube, es decir, prácticamente a toda empresa que utiliza servicios digitales estándar en los que se alojan datos de clientes. También las pequeñas empresas y los autónomos están afectados en cuanto hacen tratar direcciones de correo electrónico, datos de pedidos u otra información personal a través de un servicio externo. La responsabilidad de la celebración recae en usted como responsable del tratamiento en el sentido del RGPD, y no en el proveedor; la iniciativa y la comprobación corresponden, por tanto, a usted.

¿Qué debe regular concretamente un AVV?

El art. 28 RGPD prescribe que el AVV establezca las obligaciones del encargado del tratamiento, así como sus derechos de control como responsable. Entre ellos figuran, entre otros, el objeto y la duración del tratamiento, la naturaleza y la finalidad, las categorías de datos afectados, así como los derechos de instrucción y las obligaciones de supresión. El contrato garantiza que el proveedor trate los datos solo según sus instrucciones, adopte medidas de seguridad adecuadas y le conceda posibilidades de control y de acreditación. Si el proveedor trata datos fuera de la UE, el AVV por sí solo no basta: además se requiere un mecanismo de transferencia, como las cláusulas contractuales tipo de la UE, para que el nivel de protección de datos se mantenga también fuera de la UE.

¿Cómo proceder para celebrar un AVV?

La celebración puede estructurarse en pocos pasos. Al principio está una visión de conjunto completa de todos los proveedores utilizados; al final, el mantenimiento continuo de esa visión de conjunto:

1. Identificar a todos los proveedores que tratan datos de clientes por encargo suyo (hosting, marketing por correo electrónico, CRM, nube …).
2. Comprobar si el proveedor ofrece un AVV conforme al art. 28 RGPD (en el software estándar suele estar disponible en el portal de clientes).
3. Firmar el AVV y archivarlo de forma centralizada.
4. En el caso de proveedores fuera de la UE, comprobar además el mecanismo de transferencia (p. ej., cláusulas contractuales tipo).
5. Mantener actualizada la lista de AVV cuando haya proveedores nuevos o cambiados.

Precisamente cuando con los años se han ido sumando muchas herramientas y proveedores, se pierde enseguida la visión de qué contratos faltan todavía. Qué proveedores y obligaciones son relevantes en concreto en su empresa lo muestra de un vistazo una herramienta como Company Audit.

¿Qué riesgos hay si falta el AVV?

Si falta el AVV, el tratamiento de datos por parte del proveedor no es lícito, con independencia de lo cuidadosamente que el propio proveedor trate los datos. La mera ausencia del contrato ya constituye una infracción del art. 28 RGPD, aunque nunca se produzca un incidente de protección de datos. Conforme al art. 28 RGPD, se arriesgan multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual mundial, según cuál sea el importe más alto.

¿A qué debe prestar atención en la práctica?

Los grandes proveedores como Google, Microsoft o Stripe suelen poner su AVV a disposición como documento estándar para aceptar en línea, que puede celebrarse sin negociación. Con proveedores más pequeños o especializados merece la pena echar un vistazo activo al portal de clientes o preguntar directamente si no se encuentra ningún AVV. También con herramientas gratuitas es imprescindible un AVV: sin él, el tratamiento por encargo no es lícito, aunque no fluya dinero. Una lista central y actualizada de todos los AVV celebrados facilita aportar rápidamente la prueba en inspecciones o consultas de clientes.

Preguntas frecuentes

¿Necesito un AVV también para herramientas gratuitas?

Sí. Que un servicio sea de pago o no carece de importancia. En cuanto un proveedor externo trata datos personales por encargo suyo, es necesario un AVV conforme al art. 28 RGPD.

¿Basta con que el proveedor almacene los datos de forma segura?

No. La seguridad técnica por sí sola no hace lícito el tratamiento. Sin el AVV escrito falta la base contractual que el art. 28 RGPD prescribe para el tratamiento por encargo.

¿Dónde encuentro el AVV de un proveedor?

En el software estándar, el AVV suele estar disponible en el portal de clientes del proveedor y puede aceptarse allí directamente en línea, por ejemplo con grandes proveedores como Google, Microsoft o Stripe.

¿Qué debe tenerse en cuenta además si el proveedor tiene su sede fuera de la UE?

En una transferencia de datos a terceros países fuera de la UE es necesario, además del AVV, un mecanismo de transferencia, por ejemplo las cláusulas contractuales tipo de la UE.

¿Quién asume la responsabilidad si falta el AVV?

Como responsable del tratamiento en el sentido del RGPD, usted debe garantizar la celebración del AVV. Si falta, se arriesga a multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual conforme al art. 28 RGPD.

Fuente: art. 28 RGPD. Este artículo es información general y no sustituye el asesoramiento jurídico en cada caso concreto. Fecha: julio de 2026.