måste jag ingå ett databehandlaravtal med min revisor

Ja, i de flesta fall är det nödvändigt

En revisor som behandlar personuppgifter på uppdrag av ett företag — tänk på löneadministration, kunduppgifter på fakturor eller anställdas uppgifter — gör det vanligtvis som en personuppgiftsbiträde. Det betyder att det måste finnas ett avtal mellan företaget och revisorn, oavsett om revisorn är egenföretagare eller arbetar för ett revisionskontor. Skyldigheten ligger inte i frågan om det gäller en "stor" eller "liten" kund, utan i den roll som revisorn faktiskt fyller: behandla uppgifter på uppdrag av och enligt instruktionerna från det företag som hanterar kund- eller personaluppgifterna.

Det finns ett undantag som ofta förbises i praktiken: om revisorn själv bestämmer varför och hur uppgifter behandlas — till exempel för att han eller hon har eget ansvar gentemot Skatteverket eller en annan lagstadgad uppgift — kan han eller hon möjligen vara personuppgiftsansvarig för den delen, och är ett avtal då inte rätt instrument. Exakt vilken roll som är tillämplig beror på vem som faktiskt fastställer ändamålen och medlen för behandlingen; det varierar från situation till situation och är beskrivet i förklaringen om personuppgiftsbiträde eller personuppgiftsansvarig. Vad som innehållsmässigt måste ingå i ett sådant avtal kan du läsa om i översikten över obligatoriska delar av ett avtal med personuppgiftsbiträde.

Där det följer från: artikel 4 och 28 GDPR

Artikel 4 i GDPR definierar personuppgiftsbiträdet som den som behandlar personuppgifter på uppdrag av den personuppgiftsansvarige, och artikel 28 i GDPR föreskriver att denna behandling måste fastställas i ett avtal med en bestämd uppsättning delar. EDPB:s riktlinjer utvecklar vidare när någon anses vara personuppgiftsbiträde och när egen personuppgiftsansvarig, vilket för en revisor — som ibland följer instruktioner och ibland har en egen lagstadgad roll — gör skillnaden avgörande.