muss ich eine Auftragsverarbeitungsvereinbarung mit meinem Buchhalter abschließen

Ja, in den meisten Fällen ist das erforderlich

Ein Buchhalter, der im Auftrag eines Unternehmens personenbezogene Daten verarbeitet – denken Sie an Lohnverwaltung, Kundendaten in Rechnungen oder Mitarbeiterdaten – tut dies in der Regel als Auftragsverarbeiter. Das bedeutet, dass zwischen dem Unternehmen und dem Buchhalter ein Auftragsverarbeitungsvertrag vorliegen muss, unabhängig davon, ob der Buchhalter ein Einzelunternehmer oder ein Büro ist. Die Verpflichtung ergibt sich nicht aus der Frage, ob es um einen "großen" oder "kleinen" Kunden geht, sondern aus der Rolle, die der Buchhalter tatsächlich erfüllt: Verarbeitung von Daten im Auftrag von und nach den Anweisungen des Unternehmens, das die Kunden- oder Mitarbeiterdaten verwaltet.

Es gibt eine Ausnahme, die in der Praxis häufig übersehen wird: Wenn der Buchhalter selbstständig bestimmt, warum und wie Daten verarbeitet werden – zum Beispiel weil er für das Finanzamt oder eine andere gesetzliche Aufgabe eine eigene Verantwortung trägt – dann kann er für diesen Teil selbst Verantwortlicher sein, und ein Auftragsverarbeitungsvertrag ist dann nicht das richtige Instrument. Welche Rolle genau anwendbar ist, hängt davon ab, wer tatsächlich die Zwecke und Mittel der Verarbeitung bestimmt; das unterscheidet sich je nach Situation und ist beschrieben in die Erläuterung zu Auftragsverarbeiter oder Verantwortlicher. Was inhaltlich in einem solchen Vertrag stehen muss, können Sie nachlesen in der Übersicht der erforderlichen Bestandteile eines Auftragsverarbeitungsvertrags.

Woher das folgt: Artikel 4 und 28 DSGVO

Artikel 4 der DSGVO definiert den Auftragsverarbeiter als denjenigen, der personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, und Artikel 28 der DSGVO bestimmt, dass diese Verarbeitung dann in einem Vertrag mit einem festgelegten Satz von Bestandteilen dokumentiert werden muss. Die Leitlinien des EDPB konkretisieren weiter, wann jemand als Auftragsverarbeiter gilt und wann als eigener Verantwortlicher, was bei einem Buchhalter – der manchmal Anweisungen befolgt und manchmal eine eigene gesetzliche Rolle hat – die Unterscheidung bestimmend macht.