moet ik een verwerkersovereenkomst afsluiten met mijn boekhouder

Ja, in de meeste gevallen is dat nodig

Een boekhouder die namens een onderneming persoonsgegevens verwerkt — denk aan salarisadministratie, klantgegevens in facturen, of gegevens van personeel — doet dat meestal als verwerker. Dat betekent dat er een verwerkersovereenkomst moet liggen tussen de onderneming en de boekhouder, ongeacht of de boekhouder een zelfstandige is of een kantoor. De verplichting zit niet in de vraag of het om een "grote" of "kleine" klant gaat, maar in de rol die de boekhouder feitelijk vervult: gegevens verwerken in opdracht van, en volgens de instructies van, de onderneming die de klant- of personeelsgegevens beheert.

Er is een uitzondering die in de praktijk vaak over het hoofd wordt gezien: als de boekhouder zelfstandig bepaalt waarom en hoe gegevens worden verwerkt — bijvoorbeeld omdat hij voor de Belastingdienst of een andere wettelijke taak eigen verantwoordelijkheid draagt — dan is hij mogelijk zelf verwerkingsverantwoordelijke voor dat deel, en is een verwerkersovereenkomst dan niet het juiste instrument. Welke rol precies van toepassing is, hangt af van wie feitelijk de doelen en middelen van de verwerking bepaalt; dat verschilt per situatie en staat beschreven in de uitleg over verwerker of verwerkingsverantwoordelijke. Wat er inhoudelijk in zo'n overeenkomst moet staan, is terug te lezen in het overzicht van verplichte onderdelen van een verwerkersovereenkomst.

Waar dat uit volgt: artikel 4 en 28 AVG

Artikel 4 van de AVG definieert de verwerker als degene die ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt, en artikel 28 van de AVG bepaalt dat die verwerking dan vastgelegd moet zijn in een overeenkomst met een vaste set aan onderdelen. De richtsnoeren van de EDPB werken verder uit wanneer iemand als verwerker geldt en wanneer als eigen verwerkingsverantwoordelijke, wat bij een boekhouder — die soms instructies volgt en soms een eigen wettelijke rol heeft — het onderscheid bepalend maakt.