Auftragsverarbeitungsvertrag (AVV) gem. Art. 28 DSGVO

Livioris — Berater:innen-AVV

Inhaltsverzeichnis

1. Parteien und Gegenstand
2. Rollen und Verantwortlichkeiten
3. Gegenstand, Art und Zweck der Verarbeitung
4. Datenkategorien und betroffene Personen
5. Dauer der Verarbeitung
6. Weisungsgebundenheit (Art. 28 Abs. 3 lit. a DSGVO)
7. Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)
8. Technische und Organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c DSGVO)
9. Sub-Processor-Regelung (Art. 28 Abs. 2 und 4 DSGVO)
10. Drittlandtransfer (Art. 44 ff. DSGVO)
11. Betroffenenrechte — Unterstützungspflicht (Art. 28 Abs. 3 lit. e DSGVO)
12. Unterstützung bei DPIA und Vorabkonsultation (Art. 28 Abs. 3 lit. f DSGVO) 12a. Meldung von Datenschutzverletzungen (Art. 33 Abs. 2 i.V.m. Art. 28 Abs. 3 lit. f DSGVO)
13. Löschung und Rückgabe nach Auftragsende (Art. 28 Abs. 3 lit. g DSGVO)
14. Aufbewahrungsfristen — Länderspezifische Tabelle
15. Nachweispflichten und Audits (Art. 28 Abs. 3 lit. h DSGVO)
16. Informationspflicht bei rechtswidrigen Weisungen
17. Haftung und Schadensersatz
18. Mandantentrennung — Rote Linie
19. Besondere Datenkategorien gem. Art. 9 DSGVO
20. Vertragsschluss — Digital-Consent und Versionierung
21. Laufzeit und Kündigung
22. Schlussbestimmungen (inkl. Gerichtsstand, Schriftform-Definition)
23. Anlage A — Technische und Organisatorische Maßnahmen (TOM)
24. Anlage B — Sub-Processor-Liste
25. Anlage C — Aufbewahrungsfristen nach Land und Berufsgruppe
26. Anlage D: Kalender-Synchronisation (separate Anlage)
27. Änderungshistorie

1. Parteien und Gegenstand

1.1 Auftragsverarbeiterin (Processor)

1.2 Verantwortliche (Controller)

Die Verantwortliche ist die jeweilige natürliche oder juristische Person, die als Berater:in die Livioris-Plattform nutzt und bei der Registrierung die Konditionen dieses Vertrages akzeptiert hat (im Folgenden: Verantwortliche oder Berater:in).

Die Berater:in ist die datenschutzrechtlich Verantwortliche gem. Art. 4 Nr. 7 DSGVO für alle personenbezogenen Daten ihrer Klient:innen, die über die Livioris-Plattform verarbeitet werden.

1.3 Geltungsbereich

Dieser AVV gilt für alle Verarbeitungstätigkeiten, die die Auftragsverarbeiterin BYOM/Livioris im Auftrag und nach Weisung der Berater:in im Rahmen der Nutzung der Livioris-Plattform durchführt, insbesondere die Verarbeitung von personenbezogenen Daten der Klient:innen der Berater:in.

Dieser AVV ist integraler Bestandteil der Nutzungsbedingungen von Livioris und wird gem. Art. 28 Abs. 3 DSGVO schriftlich (elektronisch) abgeschlossen.

2. Rollen und Verantwortlichkeiten

Klarstellung: Die Berater:in ist als Verantwortliche verpflichtet, für ihre eigenen Verarbeitungstätigkeiten eine eigene Rechtsgrundlage sicherzustellen, eine eigene Datenschutzerklärung gegenüber Klient:innen bereitzustellen und, sofern erforderlich, eine eigene DPIA gem. Art. 35 DSGVO durchzuführen. Livioris ist in diesem Verhältnis ausschließlich Auftragsverarbeiterin und gibt keine Rechtsauskunft.

2.1 Zahlungsinfrastruktur (Stripe Connect)

Soweit Berater:innen über die Livioris-Plattform Zahlungen ihrer Klient:innen abwickeln (Stripe Connect Direct Charges), gilt folgende Rollenverteilung:

• Die Berater:in ist als Inhaberin des Stripe-Connected-Accounts Merchant of Record und Verantwortliche gem. Art. 4 Nr. 7 DSGVO für die Zahlungsdaten ihrer Klient:innen.
• BYOM AS ist in diesem Zahlungsfluss NICHT Auftragsverarbeiterin gem. Art. 28 DSGVO und verarbeitet keine personenbezogenen Zahlungsdaten der Klient:innen. BYOM AS erhält ausschließlich Betrag, Währung und technische Transaktions-ID (ohne Personenbezug zur Klient:in).
• Die Berater:in stellt eigenständig sicher, dass eine gültige Datenschutzgrundlage für die Zahlungsverarbeitung vorliegt, Klient:innen gem. Art. 13/14 DSGVO informiert sind und der Stripe Services Agreement für den Connected Account akzeptiert wurde.
• Dieser AVV betrifft ausschließlich die Verarbeitung von Klienten-Stammdaten und Beratungsdokumentation durch BYOM AS im Auftrag der Berater:in. Er erstreckt sich nicht auf den Zahlungsfluss Klient:in zu Stripe zu Connected Account der Berater:in.

3. Gegenstand, Art und Zweck der Verarbeitung

3.1 Gegenstand

Gegenstand der Auftragsverarbeitung ist die Bereitstellung der webbasierten SaaS-Plattform Livioris für Beratungsberufe. Die Auftragsverarbeiterin stellt der Berater:in Speicher-, Verarbeitungs- und Kommunikationsinfrastruktur zur Verfügung, über die die Berater:in personenbezogene Daten ihrer Klient:innen speichert, verwaltet und dokumentiert.

3.2 Art der Verarbeitung

Die folgenden Verarbeitungsarten werden von der Auftragsverarbeiterin im Auftrag der Berater:in durchgeführt:

Rechtsgrundlagen-Hinweis: Die in der folgenden Tabelle aufgeführten Rechtsgrundlagen dienen der Orientierung. Als Verantwortliche bestimmen die Berater:innen die anwendbare Rechtsgrundlage für ihre Verarbeitungstätigkeiten eigenständig.

Disclaimer: Die genannten Rechtsgrundlagen dienen der Orientierung. Die rechtliche Verantwortung für die korrekte Bestimmung der Rechtsgrundlage liegt bei der jeweiligen Berater:in als Verantwortliche.

3.3 Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zum Zweck der Bereitstellung und des Betriebs der Livioris-Plattform im Auftrag der Berater:in:

• Praxisverwaltung (Klient:innenstammdaten, Terminverwaltung)
• Sitzungsdokumentation und Beratungsprotokollierung
• Ausbildungsnachweis-Tracking (Supervisions- und Fortbildungsstunden)
• Systemkommunikation (transaktionale E-Mails)
• Fehlerbehebung und technischer Betrieb (Fehlerüberwachung via Sentry, ausschließlich technische Daten ohne Klienteninhalte)

Keine Eigenverwendung: Die Auftragsverarbeiterin verarbeitet die Klient:innendaten der Berater:in zu keinem Zeitpunkt für eigene Zwecke, für Werbezwecke, für Profilbildung oder für die Weitergabe an Dritte außerhalb der in Anlage B genannten Sub-Processoren.

4. Datenkategorien und betroffene Personen

4.1 Kategorien betroffener Personen

4.2 Verarbeitete Datenkategorien

Die folgenden Datenkategorien werden im Rahmen der Auftragsverarbeitung verarbeitet:

Klient:innendaten (Auftragsverarbeitung):

Berater:innen-Account-Daten (eigene Verantwortung BYOM):

4.3 Datensparsamkeit gem. Art. 5 Abs. 1 lit. c DSGVO

Livioris erhebt und verarbeitet ausschließlich Daten, die für den jeweiligen Verarbeitungszweck erforderlich sind. Pflichtfelder sind auf das betriebliche Minimum beschränkt. Alle weiteren Felder sind optional.

5. Dauer der Verarbeitung

Die Auftragsverarbeitung beginnt mit der Aktivierung des Kontos der Berater:in und endet mit:

1. der Kündigung des Nutzungsvertrages durch die Berater:in, oder
2. der dauerhaften Einstellung des Livioris-Dienstes durch BYOM.

Im Falle einer dauerhaften Einstellung des Dienstes informiert BYOM die Berater:innen mindestens 90 Tage im Voraus per E-Mail und stellt einen vollständigen Datenexport (Art. 20 DSGVO) bereit.

Nach Ende der Verarbeitung gelten die Regelungen zu Löschung und Rückgabe gem. Abschnitt 13 dieses Vertrages.

6. Weisungsgebundenheit

gem. Art. 28 Abs. 3 lit. a DSGVO

6.1 Grundsatz

Die Auftragsverarbeiterin verarbeitet personenbezogene Daten der Klient:innen der Berater:in ausschließlich auf dokumentierte Weisung der Berater:in als Verantwortliche, es sei denn, sie ist aufgrund des Rechts der Europäischen Union oder des Rechts eines Mitgliedstaats, dem die Auftragsverarbeiterin unterliegt, zu einer anderen Verarbeitung verpflichtet.

6.2 Weisungsformen

Weisungen der Berater:in erfolgen im Rahmen der normalen Nutzung der Livioris-Plattform:

• Implizite Weisung: Jede Dateneingabe, -bearbeitung oder -löschung durch die Berater:in in der Applikation stellt eine Weisung dar.
• Explizite Weisung: Die Berater:in kann über den Support (karin@byom.com) oder die in-App-Funktionen explizite Weisungen zur Verarbeitung, Sperrung oder Löschung von Daten erteilen.
• Dieser AVV: Die Nutzungsbedingungen und dieser AVV definieren den Rahmen der zulässigen Verarbeitung.

6.3 Weisungsbeachtung und Dokumentation

Die Auftragsverarbeiterin führt eine Dokumentation über die erteilten Weisungen gem. Art. 28 Abs. 3 lit. a DSGVO. Weisungen, die nach Einschätzung der Auftragsverarbeiterin gegen anwendbares Datenschutzrecht verstoßen, werden unverzüglich an die Berater:in zurückgemeldet (s. Abschnitt 16).

Weisungen werden schriftlich über das Livioris-Dashboard (Bereich ‚Einstellungen → Datenschutz') oder per E-Mail an privacy@livioris.com erteilt und automatisch mit Zeitstempel protokolliert. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.

6.4 Autonome Verarbeitung ausgeschlossen

Die Auftragsverarbeiterin verarbeitet Klient:innendaten nicht:

• für eigene Geschäftszwecke
• für Profilbildung oder Werbezwecke
• für die Weitergabe an Dritte außerhalb der AVV-Kette gem. Anlage B
• über den in diesem AVV definierten Zweck hinaus

7. Vertraulichkeit

gem. Art. 28 Abs. 3 lit. b DSGVO

7.1 Vertraulichkeitspflicht

Die Auftragsverarbeiterin gewährleistet, dass alle zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7.2 Zugangsbeschränkung

Zum Zeitpunkt der Erstellung dieses Dokuments (Version 2.0) ist der Produktionszugang ausschließlich auf Karin Gutenbrunner Byom (Daglig leder, BYOM AS) beschränkt. Sollten künftig weitere Personen Zugang zu Produktionssystemen erhalten, werden diese vor Zugangsgewährung schriftlich zur Vertraulichkeit verpflichtet.

7.3 Keine Offenlegung gegenüber Dritten

Klient:innendaten werden nicht an Dritte offengelegt, außer an Sub-Processoren im Rahmen der dokumentierten AVV-Kette (Anlage B) oder aufgrund einer gesetzlichen Verpflichtung. Im letzteren Fall informiert die Auftragsverarbeiterin die Berater:in vorab, sofern dies rechtlich zulässig ist.

7.4 Postvertragliche Vertraulichkeit

Die Vertraulichkeitspflichten gelten über das Ende dieses Vertrages hinaus, solange und soweit die verarbeiteten personenbezogenen Daten noch nicht vollständig gelöscht oder zurückgegeben wurden.

8. Technische und Organisatorische Maßnahmen

gem. Art. 28 Abs. 3 lit. c DSGVO i.V.m. Art. 32 DSGVO

8.1 Verweis auf Anlage A

Die vollständige Beschreibung der technischen und organisatorischen Maßnahmen (TOM) ist in Anlage A zu diesem AVV enthalten (Kurzfassung) sowie im verknüpften Dokument legal/tom-art32.md (Vollversion, Stand 2026-03-21).

8.2 Kernsicherheitsmaßnahmen (Zusammenfassung)

8.3 Anpassungspflicht

Die Auftragsverarbeiterin verpflichtet sich, die TOM regelmäßig, mindestens einmal jährlich, sowie bei wesentlichen Systemänderungen zu überprüfen und erforderlichenfalls anzupassen. Wesentliche Verschlechterungen der Sicherheitsmaßnahmen werden der Berater:in unverzüglich mitgeteilt.

9. Sub-Processor-Regelung

gem. Art. 28 Abs. 2 und Abs. 4 DSGVO

9.1 Allgemeine Genehmigung

Die Berater:in erteilt hiermit ihre allgemeine Genehmigung gem. Art. 28 Abs. 2 DSGVO für die Beauftragung der in Anlage B aufgeführten Sub-Processoren. Diese allgemeine Genehmigung erstreckt sich auf alle in Anlage B zum Zeitpunkt der Zustimmung der Berater:in aufgeführten Sub-Processoren.

9.2 Änderung des Sub-Processor-Kreises

Die Auftragsverarbeiterin informiert die Berater:in über beabsichtigte Änderungen im Sub-Processor-Kreis (Hinzufügen oder Ersetzen von Sub-Processoren) mit angemessener Vorankündigung, mindestens 30 Tage vor Wirksamwerden der Änderung, über die in der Plattform hinterlegte E-Mail-Adresse.

Die Berater:in hat das Recht, gegen den Einsatz eines neuen Sub-Processors innerhalb von 14 Tagen nach Erhalt der Mitteilung schriftlich Widerspruch zu erheben. Kann kein Einvernehmen erzielt werden, ist die Berater:in berechtigt, den Nutzungsvertrag außerordentlich zu kündigen.

9.3 Vertragliche Bindung der Sub-Processoren

Alle Sub-Processoren werden vertraglich im Sinne von Art. 28 Abs. 4 DSGVO gebunden. Insbesondere werden ihnen dieselben Datenschutzpflichten auferlegt, die in diesem AVV festgelegt sind. Die aktuelle Sub-Processor-Liste mit AVV-Status ist in Anlage B enthalten.

9.4 Löschpflicht bei Sub-Processor-Wechsel

Wird ein Sub-Processor ersetzt oder aus der Anlage B entfernt, stellt die Auftragsverarbeiterin sicher, dass der bisherige Sub-Processor alle personenbezogenen Daten, die er im Rahmen der Auftragsverarbeitung erhalten hat, vollständig löscht oder an die Auftragsverarbeiterin zurückgibt, und bestehende Kopien vernichtet, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats die weitere Speicherung vorschreibt (Art. 28 Abs. 3 lit. g DSGVO, analog für Sub-Processoren gem. Art. 28 Abs. 4 DSGVO).

Auf Anfrage der Berater:in stellt die Auftragsverarbeiterin einen Nachweis über die erfolgte Löschung beim ausgeschiedenen Sub-Processor bereit.

9.5 Verantwortlichkeit für Sub-Processoren

Die Auftragsverarbeiterin haftet gegenüber der Berater:in für die Einhaltung der datenschutzrechtlichen Pflichten durch die Sub-Processoren in demselben Umfang, wie sie selbst haftet, sofern der Sub-Processor seinen datenschutzrechtlichen Pflichten nicht nachkommt (Art. 28 Abs. 4 DSGVO).

10. Drittlandtransfer

gem. Art. 44 ff. DSGVO

10.1 Übersicht

Durch den Einsatz der Sub-Processoren Render, Supabase, Sentry und Stripe werden personenbezogene Daten in die USA übermittelt. Diese Übermittlungen sind durch folgende Rechtsgrundlagen abgesichert:

10.2 Mitigierungsmaßnahmen

Die Übermittlung an US-Anbieter ist durch folgende technische Maßnahmen abgesichert:

• AES-256-Feldverschlüsselung: Personenbezogene Klient:innendaten und Beratungsnotizen sind auf Applikationsebene verschlüsselt, bevor sie in die Infrastruktur übermittelt werden. Infrastruktur-Betreiber, die auf Systemebene zugreifen, sehen ausschließlich Chiffretext.
• Schlüsselhoheit: Der AES-256-Verschlüsselungsschlüssel liegt bei BYOM und wird gemäß dem Stand der Technik verwaltet und gesichert. US-Anbieter haben keinen Zugriff auf das Schlüsselmaterial.
• Datensparsamkeit bei Sentry: Sentry erhält ausschließlich technische Fehlerdaten (Stacktrace, URL, Browser-Typ); keine Klienteninhalte.
• Datensparsamkeit bei Stripe: Stripe erhält ausschließlich Zahlungsdaten der Berater:in (nicht der Klient:innen); Kartendaten werden via Tokenisierung verarbeitet und nicht bei Livioris gespeichert.

10.3 Transfer Impact Assessment

Für Render Inc. (USA) wurde ein Transfer Impact Assessment (TIA) gem. EDSA-Leitlinien 05/2021 erstellt (Dokument: legal/tia-render.md, Stand 2026-03-22). Das TIA bewertet das Risiko der US-Gesetzgebung (FISA 702, CLOUD Act, EO 12333) und kommt zu dem Schluss, dass die Kombination aus SCC, DPF-Zertifizierung und AES-256-Feldverschlüsselung ein angemessenes Schutzniveau gewährleistet.

11. Betroffenenrechte — Unterstützungspflicht

gem. Art. 28 Abs. 3 lit. e DSGVO

11.1 Grundsatz

Die Auftragsverarbeiterin unterstützt die Berater:in als Verantwortliche bei der Erfüllung der Pflichten aus Art. 12–22 DSGVO (Rechte der betroffenen Personen) durch geeignete technische und organisatorische Maßnahmen.

11.2 Betroffenenrechte und Umsetzungswege

11.3 Weiterleitung von Betroffenenanfragen

Sollte eine Klient:in direkt Livioris (BYOM) mit einer Datenschutzanfrage kontaktieren, wird diese unverzüglich, spätestens binnen 3 Werktagen, an die zuständige Berater:in weitergeleitet. Livioris trifft in solchen Fällen keine eigenständigen Entscheidungen zu Auskunft, Löschung oder anderen Maßnahmen, die dem Verantwortlichen (Berater:in) vorbehalten sind.

12. Unterstützung bei DPIA und Vorabkonsultation

gem. Art. 28 Abs. 3 lit. f DSGVO

12.1 DPIA-Pflicht der Berater:in

Die Berater:in als Verantwortliche ist eigenständig dafür verantwortlich zu prüfen, ob sie gem. Art. 35 DSGVO zur Durchführung einer Datenschutz-Folgenabschätzung (DPIA) verpflichtet ist. Dies ist insbesondere dann anzunehmen, wenn die Berater:in:

• Gesundheitsdaten gem. Art. 9 Abs. 1 DSGVO in umfangreicher Weise verarbeitet (z.B. Psychotherapeut:innen, Psykolog:innen, Heilpraktiker:innen Psychotherapie)
• Eine systematische Bewertung persönlicher Aspekte von Klient:innen vornimmt
• Als gesetzlich verpflichtete Fachperson besondere Dokumentationspflichten erfüllt

12.2 Unterstützungspflicht von Livioris

Livioris unterstützt die Berater:in bei der DPIA durch:

12.3 Vorabkonsultation

Sollte die Berater:in aufgrund ihrer eigenen DPIA zu dem Schluss kommen, dass eine Vorabkonsultation gem. Art. 36 DSGVO bei der zuständigen Aufsichtsbehörde erforderlich ist, unterstützt Livioris die Berater:in auf Anfrage durch Bereitstellung technischer Informationen.

12a. Meldung von Datenschutzverletzungen

gem. Art. 33 Abs. 2 i.V.m. Art. 28 Abs. 3 lit. f DSGVO

12a.1 Meldepflicht der Auftragsverarbeiterin

Livioris meldet der Berater:in jede Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung. Diese Frist dient der Sicherstellung, dass die Berater:in als Verantwortliche die 72-Stunden-Meldefrist gegenüber der zuständigen Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO) einhalten kann.

12a.2 Inhalt der Meldung

Die Meldung enthält mindestens:

1. Art der Datenschutzverletzung — Beschreibung des Vorfalls (Vertraulichkeit, Integrität, Verfügbarkeit)
2. Betroffene Datenkategorien — welche personenbezogenen Daten betroffen sind (z.B. Klient:innendaten, Beratungsprotokolle, Kontaktdaten)
3. Geschätzte Anzahl betroffener Personen und betroffener Datensätze
4. Kontaktdaten der zuständigen Ansprechperson bei Livioris
5. Wahrscheinliche Folgen der Verletzung
6. Ergriffene und vorgeschlagene Maßnahmen zur Behebung und Eindämmung

Sind nicht alle Informationen gleichzeitig verfügbar, erfolgt die Meldung schrittweise gem. Art. 33 Abs. 4 DSGVO.

12a.3 Unterstützungspflicht

Livioris unterstützt die Berater:in bei der Erfüllung ihrer Meldepflicht gegenüber der Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO) und ggf. der Benachrichtigung betroffener Personen (Art. 34 DSGVO) durch Bereitstellung aller erforderlichen Informationen und technischen Protokolle.

12a.4 Dokumentation

Livioris dokumentiert alle Datenschutzverletzungen einschließlich der Umstände, Auswirkungen und ergriffenen Abhilfemaßnahmen gem. Art. 33 Abs. 5 DSGVO. Diese Dokumentation wird der Berater:in auf Anfrage zur Verfügung gestellt.

13. Löschung und Rückgabe nach Auftragsende

gem. Art. 28 Abs. 3 lit. g DSGVO

13.1 Optionen nach Vertragsende

Nach Beendigung des Nutzungsvertrages hat die Berater:in folgende Optionen:

13.2 Löschprozess

• Primärdaten: Löschung aus der Datenbank innerhalb von 30 Tagen.
• Backup-Daten: Backups werden spätestens 30 Tage nach Löschung der Primärdaten unwiderruflich gelöscht.
• Verschlüsselung: Alternativ zur Datenlöschung kann auf Weisung der Berater:in eine Löschung durch kryptografische Mittel eingesetzt werden; dies macht die Daten dauerhaft unzugänglich.
• Logs: Technische Logs werden nach 90 Tagen automatisch überschrieben; dieser Vorgang ist unabhängig vom Vertragsende.

13.3 Löschbestätigung

Auf Anfrage stellt Livioris der Berater:in eine schriftliche Bestätigung über die erfolgte Datenlöschung aus, sofern eine vollständige Datenlöschung durchgeführt wurde.

13.4 Pflicht zur Datensicherung durch die Berater:in

Die Berater:in ist als Verantwortliche verpflichtet, vor Vertragsende einen vollständigen Daten-Export durchzuführen, sofern sie Daten aufgrund gesetzlicher oder berufsrechtlicher Aufbewahrungspflichten weiter aufbewahren muss. Livioris haftet nicht für Datenverluste, die durch unterlassene Datensicherung vor Vertragsende entstehen.

14. Aufbewahrungsfristen — Länderspezifische Tabelle

Hinweis: Die angegebenen Fristen sind Empfehlungen auf Basis der zum Stand dieses Dokuments bekannten Rechts- und Standesregeln. Die Berater:in ist als Verantwortliche verpflichtet, die für sie geltenden Fristen eigenständig zu prüfen und einzuhalten. Livioris gibt keine Rechtsauskunft zu Aufbewahrungsfristen.

Technische Umsetzung: Livioris setzt keine automatischen Löschfristen für Beratungsdokumentationen durch, da die maßgebliche Frist von der Berufsgruppe und dem Land der Berater:in abhängt. Die Berater:in ist verantwortlich für die Einhaltung der für sie geltenden Aufbewahrungspflichten. Livioris stellt Exportfunktionen bereit, um die Migration oder Archivierung außerhalb der Plattform zu ermöglichen.

Hinweis zu Minderjährigen: Für Beratungsdaten von Minderjährigen können in einzelnen Ländern verlängerte Aufbewahrungsfristen gelten (z.B. Österreich: Die Frist beginnt erst mit Volljährigkeit). Die konkrete Frist obliegt der Berater:in als Verantwortliche.

15. Nachweispflichten und Audits

gem. Art. 28 Abs. 3 lit. h DSGVO

15.1 Nachweise durch Livioris

Die Auftragsverarbeiterin stellt der Berater:in auf schriftliche Anfrage folgende Nachweise zur Verfügung:

15.1a Verarbeitungsverzeichnis gem. Art. 30 Abs. 2 DSGVO

Die Auftragsverarbeiterin führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten gem. Art. 30 Abs. 2 DSGVO (legal/verarbeitungsverzeichnis-art30.md). Dieses Verzeichnis wird der Berater:in auf schriftliche Anfrage in angemessenem Umfang zur Verfügung gestellt und der zuständigen Aufsichtsbehörde gem. Art. 30 Abs. 4 DSGVO auf Anfrage zugänglich gemacht.

15.2 Audit-Recht der Berater:in

Die Berater:in hat das Recht, Audits und Inspektionen durchzuführen oder durch beauftragte Dritte durchführen zu lassen, um die Einhaltung dieses AVV zu überprüfen, gem. Art. 28 Abs. 3 lit. h DSGVO.

Praktische Durchführung:

• Audits sind mindestens 30 Tage im Voraus schriftlich anzukündigen (E-Mail an karin@byom.com).
• Audits dürfen den laufenden Betrieb nicht unverhältnismäßig beeinträchtigen.
• Kosten für Audits trägt die Berater:in, sofern kein Verstoß festgestellt wird.
• Alternativ kann die Berater:in ein anerkanntes Zertifikat oder einen Prüfbericht eines unabhängigen Dritten anfordern, sofern ein solches vorliegt.

15.3 Behördliche Anfragen

Erhält Livioris Anfragen von Datenschutzaufsichtsbehörden, die Verarbeitungen im Auftrag der Berater:in betreffen, informiert Livioris die Berater:in unverzüglich, sofern dies rechtlich zulässig ist.

16. Informationspflicht bei rechtswidrigen Weisungen

gem. Art. 28 Abs. 3 DSGVO a.E.

Teilt die Auftragsverarbeiterin die Auffassung, dass eine Weisung der Berater:in gegen die DSGVO oder sonstiges anwendbares Datenschutzrecht der Europäischen Union oder eines Mitgliedstaats verstößt, so unterrichtet sie die Berater:in unverzüglich schriftlich. Die Auftragsverarbeiterin ist berechtigt, die Ausführung einer solchen Weisung so lange auszusetzen, bis die Berater:in die Weisung bestätigt oder korrigiert hat.

In Fällen einer behördlichen Verpflichtung zur Verarbeitung informiert die Auftragsverarbeiterin die Berater:in über diese rechtliche Anforderung vor der Verarbeitung, sofern das betreffende Recht eine solche Unterrichtung nicht verbietet.

17. Haftung und Schadensersatz

gem. Art. 82 DSGVO

17.1 Haftung der Berater:in

Die Berater:in als Verantwortliche haftet nach den allgemeinen Regelungen des Art. 82 DSGVO für Schäden, die durch eine Verarbeitung entstehen, die gegen die DSGVO verstößt.

17.2 Haftung der Auftragsverarbeiterin

Die Auftragsverarbeiterin haftet gem. Art. 82 Abs. 2 DSGVO für Schäden, die durch eine Verarbeitung verursacht wurden, wenn sie die speziell an Auftragsverarbeiter gerichteten Pflichten der DSGVO nicht eingehalten hat oder wenn sie über die rechtmäßigen Weisungen der Berater:in hinaus oder diesen zuwider gehandelt hat.

17.3 Haftungsausschluss

Die Auftragsverarbeiterin haftet nicht für:

• Datenpannen oder Datenverluste, die auf Handlungen oder Unterlassungen der Berater:in zurückzuführen sind (z.B. Weitergabe von Zugangsdaten, Nutzung unsicherer Netzwerke)
• Verstöße der Berater:in gegen berufsrechtliche Dokumentationspflichten oder gegenüber Klient:innen bestehende Aufbewahrungspflichten
• Datenverluste infolge unterlassener Datensicherung durch die Berater:in vor Vertragsende

Verantwortlichkeit für Sub-Auftragsverarbeiter: BYOM haftet gegenüber den Berater:innen für die Einhaltung der Pflichten seiner Sub-Auftragsverarbeiter wie für eigenes Verschulden, soweit BYOM seine Sorgfaltspflichten bei Auswahl und Überwachung der Sub-Auftragsverarbeiter verletzt hat. BYOM stellt durch vertragliche Vereinbarungen und regelmäßige Prüfungen sicher, dass Sub-Auftragsverarbeiter ein gleichwertiges Datenschutzniveau gewährleisten (Art. 28 Abs. 4 DSGVO).

17.4 Haftungsobergrenze

Die Haftung der Auftragsverarbeiterin für vertragliche Pflichtverletzungen aus diesem AVV — mit Ausnahme von Vorsatz und grober Fahrlässigkeit — ist der Höhe nach begrenzt auf den Gesamtbetrag der von der Berater:in in den letzten 12 Monaten vor dem schadensbegründenden Ereignis gezahlten Nutzungsentgelte.

Diese Begrenzung gilt nicht für:

• Bußgelder, die Aufsichtsbehörden gem. Art. 83 DSGVO unmittelbar gegen die Auftragsverarbeiterin verhängen
• Haftung für vorsätzliche oder grob fahrlässige Pflichtverletzungen
• Ansprüche betroffener Personen gem. Art. 82 DSGVO, soweit zwingendes Recht die Begrenzung ausschließt

Hinweis: Die Wirksamkeit dieser Haftungsobergrenze nach norwegischem Recht (Erstatningsrettsloven) und nach dem Recht anderer EEA-Mitgliedstaaten wurde nicht anwaltlich geprüft. Anwaltliche Prüfung vor Go-Live empfohlen.

17.5 Gesamtschuldnerische Haftung

Sind Auftragsverarbeiterin und Berater:in für denselben Schaden verantwortlich, haften sie gem. Art. 82 Abs. 4 DSGVO als Gesamtschuldner:innen.

18. Mandantentrennung — Rote Linie

gem. Art. 5 Abs. 1 lit. f DSGVO (Integrität und Vertraulichkeit) i.V.m. Art. 25 DSGVO (Privacy by Design)

18.1 Grundsatz der absoluten Mandantentrennung

Berater:in A darf zu keinem Zeitpunkt erfahren, dass Berater:in B denselben Klienten hat. Dies ist die oberste technische und organisatorische Schutzverpflichtung von Livioris.

18.2 Technische Umsetzung

18.3 Verpflichtung der Auftragsverarbeiterin

Die Auftragsverarbeiterin verpflichtet sich, die technischen Maßnahmen zur Mandantentrennung dauerhaft aufrechtzuerhalten und bei jeder wesentlichen Systementwicklung auf die Wahrung der Mandantentrennung zu prüfen. Eine Verletzung der Mandantentrennung gilt als schwerwiegender Datenschutzvorfall und löst die Meldepflicht gem. Art. 33 DSGVO aus.

19. Besondere Datenkategorien gem. Art. 9 DSGVO

19.1 Grundsatz: Art. 9-Schutzniveau für alle Beratungsdaten

Livioris behandelt alle Beratungsprotokolle und Sitzungsnotizen mit dem Schutzniveau für besondere Datenkategorien gem. Art. 9 DSGVO, unabhängig von der Berufsgruppe der Berater:in. Dies ist eine bewusste Designentscheidung, die dem Schutz der Klient:innen zugute kommt (Art. 25 Abs. 1 DSGVO — Privacy by Design).

Die technische Gleichbehandlung aller Beratungsdaten auf Art. 9-Niveau bedeutet insbesondere:

• AES-256-Feldverschlüsselung auf Applikationsebene für alle Protokolldaten
• Strikte Mandantentrennung auf Anwendungs- und Datenbankebene für alle Beratungsdaten
• Kein PII-Logging in Systemlogs für Beratungsinhalte

19.2 Rechtliche Differenzierung nach Berufsgruppe

Die rechtliche Qualifikation, ob im Einzelfall Art. 9 DSGVO anwendbar ist, obliegt der Berater:in als Verantwortliche:

19.3 Verantwortung der Berater:in

Die Berater:in ist als Verantwortliche verpflichtet:

• die korrekte Rechtsgrundlage gem. Art. 9 Abs. 2 DSGVO für ihre Verarbeitungen zu bestimmen
• Klient:innen über die Verarbeitung von Art. 9-Daten zu informieren (Art. 13 und 14 DSGVO)
• bei Verarbeitung von Gesundheitsdaten zu prüfen, ob eine eigene DPIA gem. Art. 35 DSGVO erforderlich ist

20. Vertragsschluss — Digital-Consent und Versionierung

20.1 Elektronischer Vertragsschluss

Dieser AVV wird elektronisch gem. Art. 28 Abs. 9 DSGVO abgeschlossen. Der Vertragsschluss erfolgt durch aktive Zustimmung der Berater:in im Rahmen des Registrierungsprozesses auf der Livioris-Plattform:

• Checkbox: Aktive Markierung einer Pflicht-Checkbox mit dem Text „Ich akzeptiere den Auftragsverarbeitungsvertrag (AVV) gem. Art. 28 DSGVO" vor Abschluss der Registrierung.
• Zeitstempel: Der Zeitpunkt der Zustimmung wird in der Datenbank gespeichert.
• Version: Die zum Zeitpunkt der Zustimmung gültige AVV-Version wird in der Datenbank gespeichert.
• IP-Adresse: Die IP-Adresse zum Zeitpunkt der Zustimmung wird für Nachweiszwecke gespeichert.

20.2 Abrufbarkeit

Die jeweils aktuelle Fassung dieses AVV wird im Livioris-Dashboard unter ‚Einstellungen → Datenschutz → Auftragsverarbeitung' bereitgestellt. Bis zur Implementierung dieser Funktion ist die aktuelle Fassung per E-Mail an privacy@livioris.com erhältlich. Livioris verpflichtet sich, den AVV-Text dauerhaft und kostenfrei zugänglich zu halten.

20.3 Versionierung und Änderungen

Bei wesentlichen Änderungen dieses AVV (Erhöhung der Pflichten der Berater:in, Erweiterung des Sub-Processor-Kreises, Änderung der Verarbeitungszwecke) wird die avvVersion erhöht. Die Berater:in wird über die Änderungen per E-Mail informiert und muss den aktualisierten AVV aktiv akzeptieren, bevor sie die Plattform weiter nutzen kann.

Nicht-wesentliche Änderungen (z.B. Korrekturen von Tippfehlern, Klarstellungen ohne inhaltliche Änderung, Aktualisierung von Sub-Processor-Links) können ohne erneute Zustimmungspflicht vorgenommen werden; die Berater:in wird per E-Mail informiert.

20.4 Nachweis

Der Zeitpunkt der Zustimmung, die AVV-Version und die IP-Adresse bilden den elektronischen Nachweis über den Vertragsschluss gem. Art. 28 Abs. 9 DSGVO. Diese Daten werden für die Dauer des Nutzungsvertrages und darüber hinaus für die Dauer etwaiger Verjährungsfristen aufbewahrt.

21. Laufzeit und Kündigung

21.1 Laufzeit

Dieser AVV tritt mit Registrierung der Berater:in auf der Livioris-Plattform in Kraft und läuft auf unbestimmte Zeit parallel zum Nutzungsvertrag.

21.2 Kündigung

Die Kündigung dieses AVV erfolgt automatisch mit der Kündigung des Nutzungsvertrages. Eine isolierte Kündigung des AVV bei fortbestehendem Nutzungsvertrag ist nicht möglich, da ohne AVV keine DSGVO-konforme Auftragsverarbeitung möglich wäre.

21.3 Folgen der Kündigung

Nach Kündigung gelten die Regelungen zu Löschung und Rückgabe gem. Abschnitt 13. Die Vertraulichkeitspflichten aus Abschnitt 7 bleiben über das Vertragsende hinaus bestehen.

22. Schlussbestimmungen

22.1 Anwendbares Recht

Für diesen AVV gilt die DSGVO (Verordnung EU 2016/679). Ergänzend gelten:

• Norwegisches Datenschutzrecht (Personopplysningsloven) für die Auftragsverarbeiterin
• Das Recht des jeweiligen Mitgliedstaats der Berater:in für die Rechte und Pflichten der Berater:in als Verantwortliche
• Die Leitlinien des Europäischen Datenschutzausschusses (EDSA) als Auslegungshilfe

22.2 Zuständige Aufsichtsbehörde

• Primär (für BYOM/Livioris): Datatilsynet, Postboks 458 Sentrum, 0105 Oslo, Norwegen — www.datatilsynet.no
• Sekundär (für den österreichischen Markt): Datenschutzbehörde (DSB), Barichgasse 40–42, 1030 Wien, Österreich — www.dsb.gv.at
• Schweden: Integritetsskyddsmyndigheten (IMY) — www.imy.se
• Für die Berater:in als Verantwortliche gilt die Aufsichtsbehörde ihres Niederlassungsstaates.

22.3 Rangverhältnis

Dieser AVV hat Vorrang vor anderen vertraglichen Regelungen, soweit es die datenschutzrechtlichen Pflichten aus Art. 28 DSGVO betrifft.

22.4 Salvatorische Klausel

Sollte eine Bestimmung dieses AVV ganz oder teilweise unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.

22.5 Gerichtsstand

Für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist Follo og Nordre Østfold tingrett, rettsted Mysen (Norwegen) ausschließlich zuständig, soweit eine Gerichtsstandsvereinbarung gem. Art. 25 der Verordnung (EU) Nr. 1215/2012 (Brüssel Ia-VO) zulässig ist.

Unberührt bleiben:

• das Recht der Berater:in, die Auftragsverarbeiterin gem. Art. 79 Abs. 2 DSGVO vor dem Gericht ihres eigenen Aufenthaltsortes zu verklagen
• die Zuständigkeit einer Aufsichtsbehörde gem. Art. 77 ff. DSGVO

22.6 Schriftform-Definition

Soweit in diesem AVV „schriftlich" oder „Schriftform" verlangt wird, ist damit die Textform gem. Art. 28 Abs. 9 DSGVO gemeint. E-Mail, In-App-Nachrichten und andere elektronische Kommunikationsmittel mit dauerhafter Speicherung erfüllen dieses Erfordernis. Eine qualifizierte elektronische Signatur (QES) gem. eIDAS-VO (EU 910/2014) ist nicht erforderlich.

22.7 Hinweis

Dieser AVV wurde mit Unterstützung eines KI-Assistenten (Claude, Anthropic) erstellt. Er wurde inhaltlich auf Konsistenz mit den bestehenden Livioris-Rechtsdokumenten geprüft. Dieser AVV ersetzt keine anwaltliche Beratung. Vor dem produktiven Einsatz wird ausdrücklich die Prüfung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt empfohlen.

22.8 Geltende Sprache und Übersetzungen

Dieses AVV ist in deutscher Sprache verfasst. Sollte eine Übersetzung in andere Sprachen bereitgestellt werden, ist im Zweifel die deutsche Fassung maßgeblich.

Anlage A — Technische und Organisatorische Maßnahmen (TOM)

Diese Anlage enthält eine Kurzübersicht der TOM. Die vollständige Version befindet sich im Dokument legal/tom-art32.md (Stand: 2026-03-21), das integraler Bestandteil dieses AVV ist.

A.1 Systemarchitektur

A.2 Vertraulichkeitsmaßnahmen

A.3 Integrität und Mandantentrennung

A.4 Verfügbarkeit

A.5 Bekannte Interim-Risiken

Anlage B — Sub-Processor-Liste

Stand: 2026-03-23 | Diese Liste wird bei Änderungen des Sub-Processor-Kreises aktualisiert. Berater:innen werden gem. Abschnitt 9.2 über Änderungen informiert.

Entfernte Sub-Processoren (nicht mehr aktiv):

Anlage C — Aufbewahrungsfristen nach Land und Berufsgruppe

Diese Anlage ergänzt Abschnitt 14. Sie gilt als Orientierungshilfe. Die Berater:in ist als Verantwortliche für die Überprüfung und Einhaltung der konkret auf sie anwendbaren Fristen verantwortlich. Kein Rechtsrat.

C.1 Österreich (AT)

Hinweis zu Minderjährigen (AT): Bei Beratung von Minderjährigen verlängert sich die Aufbewahrungsfrist bis zum Erreichen der Volljährigkeit (18. Lebensjahr); danach beginnt die reguläre Aufbewahrungsfrist zu laufen.

C.2 Norwegen (NO)

C.3 Deutschland (DE)

C.4 Schweden (SE)

Änderungshistorie