skal jeg indgå en databehandleraftale med min revisor

Ja, i de fleste tilfælde er det nødvendigt

En bogholder, der behandler personoplysninger på vegne af en virksomhed — f.eks. lønregistrering, kundeoplysninger på fakturaer eller medarbejderoplysninger — gør det sædvanligvis som databehandler. Det betyder, at der skal være en databehandleraftale mellem virksomheden og bogholderen, uanset om bogholderen er selvstændig eller et revisionsbureau. Forpligtelsen ligger ikke i spørgsmålet om, hvorvidt det drejer sig om en "stor" eller "lille" kunde, men i den rolle, bogholderen faktisk udfylder: at behandle oplysninger på vegne af og efter instruks fra den virksomhed, der administrerer kunde- eller medarbejderoplysningerne.

Der er en undtagelse, som i praksis ofte overses: hvis bogholderen selvstændigt afgør, hvorfor og hvordan oplysninger behandles — f.eks. fordi han eller hun har eget ansvar over for Skattemyndigheder eller en anden juridisk forpligtelse — kan han eller hun muligvis være den dataansvarlige for denne del selv, og en databehandleraftale er da ikke det rigtige instrument. Hvilken rolle, der præcis gælder, afhænger af, hvem der faktisk fastlægger formål og midler for behandlingen; det varierer fra situation til situation og er beskrevet i forklaringen om databehandler eller datakontrollant. Hvad der konkret skal stå i sådan en aftale, kan læses i oversigten over obligatoriske elementer i en databehandleraftale.

Hvor det fremgår heraf: artikel 4 og 28 i GDPR

Artikel 4 i GDPR definerer databehandleren som den person, der på vegne af den dataansvarlige behandler personoplysninger, og artikel 28 i GDPR bestemmer, at denne behandling skal være fastlagt i en aftale med et fast sæt af elementer. Retningslinjerne fra EDPB udbyder yderligere vejledning om, hvornår nogen er databehandler, og hvornår de er selvstændigt dataansvarlige, hvilket hos en bogholder — som nogle gange følger instruktioner og nogle gange har en egen juridisk rolle — gør forskellen afgørende.