DocMuse est un service privé et payant, exploité par The Muse Technology EOOD (Bulgarie). Ce n’est pas un site de l’administration française et nous ne sommes liés à aucune administration.
Contrat de sous-traitance selon l’art. 28 du RGPD (Allemagne)
Publié parDocMuse
Ce document est en allemand
Le PDF que vous téléchargez est en allemand – c’est la langue dans laquelle il doit être déposé, il n’est donc pas traduit. Tout le contenu de cette page sert à vous expliquer ce qu’il contient.
Le contrat de sous-traitance (Auftragsverarbeitungsvertrag, AVV) nécessaire à toute entreprise en Allemagne dont un prestataire traite des données personnelles : hébergement, logiciel cloud, paie, newsletters, support informatique. Il contient tout ce qu’exige l’art. 28, par. 3 du RGPD : objet, durée, nature et finalité, types de données et de personnes concernées, instructions, confidentialité, sécurité, sous-traitants ultérieurs, assistance, suppression ou restitution, information et audits, avec annexes sur les mesures techniques et organisationnelles et les sous-traitants. Des modèles gratuits existent aussi (autorités de contrôle, Commission européenne). En allemand.
- Pays d’utilisation : Allemagne
- Dernière mise à jour : 5 octobre 2026
Quand utiliser ce document
- Votre entreprise en Allemagne utilise un logiciel en ligne ou un hébergeur qui stocke des données de clients.
- Un prestataire externe gère votre paie ou votre newsletter et traite des données de salariés ou de clients.
- Vous fournissez du support informatique ou de l’hébergement et un client vous demande un contrat de sous-traitance des données.
- Vous avez besoin d’un contrat de sous-traitance (AVV) qui contient tout ce que le RGPD exige.
Ce que vous remplissez
Les informations demandées par le document.
- Responsable du traitement
- Adresse du responsable du traitement
- Signataire pour le responsable du traitement
- Sous-traitant (prestataire)
- Adresse du sous-traitant
- Signataire pour le sous-traitant
- Délégué à la protection des données du sous-traitant (s’il a été désigné)
- Contrat principal (intitulé et date)
- Objet, nature et finalité du traitement
- Catégories de données personnelles
- Catégories de personnes concernées
- Autorisation des sous-traitants ultérieurs
- Délai d’opposition en cas d’autorisation générale des sous-traitants ultérieurs
- Lieu de traitement des données
- Mesures : pseudonymisation et chiffrement
- Mesures : confidentialité et intégrité
- Mesures : disponibilité, résilience et rétablissement
- Mesures : tests et évaluations réguliers
- Sous-traitants ultérieurs autorisés (nom, adresse, prestation, lieu) ou « aucun »
- Ville
- Date
Aperçu
Ce document est établi pour vous. Vos réponses y sont saisies et le PDF final vous appartient.
Questions fréquentes
- Existe-t-il des modèles gratuits de contrat de sous-traitance en Allemagne ?
- Oui. Plusieurs autorités de protection des données des Länder allemands publient des aides à la rédaction, dont l’autorité bavaroise (BayLDA), et la Commission européenne a adopté des clauses contractuelles types entre responsables du traitement et sous-traitants (décision d’exécution (UE) 2021/915). Ce document est rédigé par nos soins : il contient tout ce qu’exige l’art. 28, par. 3 du RGPD et se remplit directement.
- Un contrat de sous-traitance allemand doit-il être signé sur papier ?
- Non. L’art. 28, par. 9 du RGPD exige que le contrat soit écrit, ce qui inclut la forme électronique. Un contrat échangé en PDF ou conclu en ligne suffit donc ; ni signature manuscrite ni signature électronique qualifiée ne sont exigées. L’essentiel est que le contrat soit documenté et en place avant le début du traitement.
- Quand une entreprise en Allemagne n’a-t-elle pas besoin d’un contrat de sous-traitance ?
- Lorsque le prestataire ne traite pas les données sur vos instructions, mais décide lui-même des finalités et des moyens : un cabinet d’avocats, une banque ou un service postal pour sa propre prestation, par exemple. Il est alors lui-même responsable du traitement. Un prestataire qui se contente de stocker ou de traiter des données selon vos instructions, comme un hébergeur, un fournisseur cloud ou un service de newsletter, est un sous-traitant (art. 4, point 8 et art. 28 du RGPD).
- Que doit faire un sous-traitant en Allemagne après une violation de données ?
- Notifier au responsable du traitement toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance (art. 33, par. 2 du RGPD), avec les informations dont celui-ci a besoin. Le responsable doit à son tour notifier l’autorité de contrôle compétente, si possible dans les 72 heures, sauf si la violation n’est pas susceptible d’engendrer un risque (art. 33, par. 1 du RGPD) ; pour une entreprise allemande, c’est en général l’autorité de protection des données de son Land.
Comment signer ce document
- Imprimez-le et signez-le à la main. Les lignes de signature du document sont volontairement laissées vides – signez-les à l’encre.
- Signez-le vous-même avec une signature électronique qualifiée. Si vous disposez déjà d’une signature qualifiée – Evrotrust, B-Trust, StampIT, ZealiD ou tout prestataire qualifié inscrit sur la liste de confiance de l’UE, sur une carte, une clé USB, dans une application mobile ou dans le cloud –, notre guide de signature explique pas à pas comment signer ce fichier précis sans l’invalider. Aide pas à pas et vérification du résultat
DocMuse vend des documents, pas des conseils juridiques. L’acceptation dépend toujours des règles du destinataire et du droit applicable localement.
Documents similaires
- Opposition à la transmission des données du registre de la population (Allemagne)
La lettre libre au bureau de déclaration de domicile allemand (Meldebehörde) qui fait inscrire des blocages de transmission au registre : vous vous opposez, point par point, à la transmission de vos données aux partis avant les élections, aux élus et à la presse pour les anniversaires de naissance et de mariage, aux éditeurs d’annuaires (§ 50, al. 5, de la loi fédérale BMG) et à la communauté religieuse d’un membre de la famille (§ 42, al. 3, du BMG). Elle omet l’opposition visant la Bundeswehr, supprimée le 1er janvier 2026. De nombreux bureaux proposent aussi leur propre formulaire gratuit. En allemand.
- Demande d’accès aux données selon l’article 15 du RGPD (Allemagne)
Votre demande à une entreprise, une association ou un autre organisme en Allemagne qui traite vos données : selon l’article 15 du RGPD (DSGVO en allemand), vous demandez quelles données il détient, pourquoi, qui les reçoit, combien de temps il les garde et leur origine, et une copie – la première gratuite. Réponse due sous un mois (article 12, paragraphe 3). Sans réponse, vous pouvez saisir l’autorité de protection des données de votre Land. Pour les comptes clients, membres et utilisateurs. En allemand.