Übersetzung als Serviceleistung. Bei Abweichungen ist die italienische Fassung dieses Dokuments maßgeblich.

Vereinbarung zur Auftragsverarbeitung (DPA)

Version 0.2 (Entwurf, mit der Rechtsberatung zu prüfen) · Letzte Überarbeitung: 9 novembre 2026

Entwurf nicht unterzeichnet, zur Konsultation veröffentlicht. Die Gesellschaft, die den Dienst erbringt, hat eine Umsatzsteuernummer; die REA-Nummer wird ergänzt, sobald die Eintragung ins Unternehmensregister abgeschlossen ist. Bis dahin kann dieses Dokument nicht unterzeichnet werden.

Die vorliegende Vereinbarung zur Auftragsverarbeitung (nachfolgend „DPA" oder „Vereinbarung") wird gemäß Artikel 28 der Verordnung (EU) 2016/679 (nachfolgend „GDPR") und des D.Lgs. 196/2003 in der durch das D.Lgs. 101/2018 geänderten Fassung (nachfolgend „Codice Privacy") geschlossen. Sie regelt die Beziehungen zwischen den Parteien in Bezug auf die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen des Fibonacci-Dienstes durchführt.

Das vorliegende DPA ist wesentlicher und integraler Bestandteil des zwischen den Parteien geschlossenen Fibonacci-Dienstleistungsvertrags (nachfolgend „Dienstleistungsvertrag") und hat dieselbe Laufzeit wie dieser.

Art. 1 · Vorbemerkungen

1.1. Der Verantwortliche hat mit dem Auftragsverarbeiter den Dienstleistungsvertrag über die Bereitstellung der Software Fibonacci geschlossen, einer SaaS-Anwendung für die ambulante Patientenakte in der ästhetischen Medizin, die der Auftragsverarbeiter dem Verantwortlichen als Cloud-Dienst zur Verfügung stellt und die unter https://app.fibonaccimedica.it erreichbar ist. Die für die ästhetische Medizin spezifischen Daten sind in Anlage D beschrieben.

1.2. Die Durchführung des Dienstleistungsvertrags umfasst die Verarbeitung personenbezogener Daten und besonderer Kategorien von Daten im Sinne von Art. 9 GDPR durch den Auftragsverarbeiter im Auftrag des Verantwortlichen, die sich auf die Patienten des Verantwortlichen beziehen.

1.3. Die Parteien erkennen an, dass dieser DPA erforderlich ist, um die gegenseitigen Pflichten und Rechte im Sinne von Art. 28 GDPR zu regeln und die Konformität der Verarbeitung mit den anwendbaren Datenschutzvorschriften sicherzustellen.

1.4. Dieser DPA geht in den hier geregelten Angelegenheiten allen etwaigen entgegenstehenden Bestimmungen des Dienstleistungsvertrags oder sonstiger Vereinbarungen zwischen den Parteien vor.

1.5. Die Laufzeit dieses DPA entspricht der des Dienstleistungsvertrags. Pflichten, die ihrer Natur nach über die Beendigung des Vertragsverhältnisses hinaus fortbestehen sollen (Vertraulichkeit, Pflichten zur Rückgabe und Löschung der Daten, Zusammenarbeit mit der Aufsichtsbehörde), bleiben auch nach Beendigung des Dienstleistungsvertrags wirksam.

Art. 2 · Identifizierung der Parteien

2.1. Verantwortlicher

2.2. Auftragsverarbeiter

Im Folgenden werden der Verantwortliche und der Auftragsverarbeiter gemeinsam als „Parteien" und einzeln als „Partei" bezeichnet.

Art. 3 · Definitionen

Für die Zwecke dieses DPA haben die großgeschriebenen Begriffe die nachstehend angegebene Bedeutung. Soweit nicht ausdrücklich definiert, gelten die Begriffsbestimmungen des Art. 4 GDPR.

• Verantwortlicher: die in Art. 2.1 bezeichnete Person, die über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten der Patienten entscheidet, im Sinne von Art. 4 Nr. 7 GDPR.
• Auftragsverarbeiter: Fibonacci, wie in Art. 2.2 bezeichnet, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, im Sinne von Art. 4 Nr. 8 GDPR.
• Unterauftragsverarbeiter: jede weitere Person, die der Auftragsverarbeiter damit beauftragt, im Namen des Verantwortlichen bestimmte Verarbeitungstätigkeiten auszuführen, im Sinne von Art. 28 Abs. 2 und 4 GDPR.
• Personenbezogene Daten: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (die betroffene Person) beziehen und im Rahmen der Dienstleistung verarbeitet werden, im Sinne von Art. 4 Nr. 1 GDPR.
• Besondere Kategorien personenbezogener Daten: die personenbezogenen Daten nach Art. 9 GDPR, insbesondere die im Rahmen der Dienstleistung verarbeiteten Gesundheitsdaten.
• Verarbeitung: jeder Vorgang oder jede Vorgangsreihe im Zusammenhang mit Personenbezogenen Daten, im Sinne von Art. 4 Nr. 2 GDPR.
• Betroffene Person: die natürliche Person, auf die sich die Personenbezogenen Daten beziehen. Für die Zwecke dieses DPA sind betroffene Personen die Patienten des Verantwortlichen und, soweit einschlägig, ihre Vormunde oder die familiären Bezugspersonen.
• Verletzung des Schutzes personenbezogener Daten: eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu Personenbezogenen Daten führt, im Sinne von Art. 4 Nr. 12 GDPR.
• Software: die SaaS-Anwendung Fibonacci für die digitale Patientenakte (cartella clinica), die der Auftragsverarbeiter dem Verantwortlichen als Cloud-Dienst bereitstellt.
• Dienstleistung: die Gesamtheit der Leistungen, die der Auftragsverarbeiter in Erfüllung des Dienstleistungsvertrags für den Verantwortlichen erbringt, einschließlich der Bereitstellung der Software, ihrer Wartung, des technischen Supports und der zugehörigen Zusatzfunktionen.

Art. 4 · Gegenstand, Art, Zweck und Dauer der Verarbeitung

4.1. Gegenstand. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten im Auftrag des Verantwortlichen, soweit dies für die Erbringung des Fibonacci-Dienstes, wie im Dienstleistungsvertrag definiert, unbedingt erforderlich ist.

4.2. Art der Verarbeitung. Die Verarbeitung ist informationstechnischer und automatisierter Art und umfasst beispielhaft und nicht abschließend: Erhebung, Erfassung, Organisation, Strukturierung, Speicherung, Anpassung, Veränderung, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung, Abgleich, Löschung und Vernichtung der personenbezogenen Daten.

4.3. Zweck der Verarbeitung. Die Verarbeitung erfolgt ausschließlich zu dem Zweck, dem Verantwortlichen die Funktionen des Fibonacci-Dienstes bereitzustellen, insbesondere:

• a) Speicherung und Verwaltung der digitalen Patientenakte der Patienten des Verantwortlichen;
• b) Erhebung, Unterzeichnung und Archivierung der Einwilligungen nach Aufklärung (consenso informato) im PDF-Format;
• c) Transkription des Diktats des Verantwortlichen und Ordnen der diktierten Texte mithilfe von Diensten der künstlichen Intelligenz sowie Assistent auf der geöffneten Karteikarte, zu den Bedingungen von Art. 7.6;
• d) verschlüsselte Archivierung der klinischen Fotos der Patienten;
• e) Protokollierung der im Konto durchgeführten Vorgänge zu Auditzwecken;
• f) Terminkalender, Erinnerungen an Patienten, die eingewilligt haben, öffentliche Seite der Praxis und Terminbuchung, vom Patienten auf dem eigenen Telefon ausgefüllte Anamnese, Versand von Dokumenten per E-Mail an den Patienten;
• g) Zusatzfunktionen, deren Aktivierung der Verantwortliche verlangen kann: Patientenbereich, Videoanruf zur Fernkontrolle mit optionaler Transkription, Rechnungen an den Patienten und Zahlungsjournal, Zahlung bei der Buchung, Zugänge für externe Programme des Verantwortlichen, elektronische Gesundheitsakte.

4.4. Dauer. Die Verarbeitung hat dieselbe Dauer wie der Dienstleistungsvertrag. Mit Beendigung des Dienstleistungsvertrags finden die Bestimmungen von Art. 12 des vorliegenden DPA Anwendung.

Art. 5 · Kategorien betroffener Personen und Arten personenbezogener Daten

5.1. Kategorien betroffener Personen. Betroffene Personen der Verarbeitung sind:

• a) die Patienten des Verantwortlichen, deren klinische und administrative Informationen in die Software eingegeben werden;
• b) die gesetzlichen Vertreter, Sorgeberechtigten oder Bezugspersonen minderjähriger oder nicht geschäftsfähiger Patienten, beschränkt auf Kontakt- und Beziehungsdaten.

5.2. Arten der verarbeiteten personenbezogenen Daten. Gegenstand der Verarbeitung sind die folgenden Kategorien personenbezogener Daten der betroffenen Personen:

• a) Stammdaten: Vorname, Nachname, Codice Fiscale, Geburtsdatum, Geschlecht, Geburtsort.
• b) Kontaktdaten: Postanschrift, E-Mail-Adresse, Telefonnummer.
• c) Gesundheitsdaten (besondere Kategorie nach Art. 9 GDPR): Anamnese, Allergien, Erkrankungen, Medikamente, klinische Untersuchung, Notizen zu Untersuchung oder Sitzung, durchgeführte Behandlungen mit Produkt und Charge, klinische Fotos. Die Einzelheiten stehen in Anhang D.
• d) Audio des Diktats und, wenn der Patient dies wählt, des Videoanrufs: Audiospuren, die zur Transkription an den Unterauftragsverarbeiter Mistral AI SAS gesendet und vom Auftragsverarbeiter nicht gespeichert werden; der transkribierte Text wird nur dann in der Patientenakte gespeichert, wenn der Arzt ihn speichert.
• e) Einwilligungen nach Aufklärung: Text der Einwilligung, Identität des Unterzeichners, Telefonnummer und Ergebnis des Signaturcodes, Version und Hashwert der ausgehändigten Information. Die Software bietet eine Bibliothek von Einwilligungsvorlagen für die ästhetische Medizin, die der Arzt vor der Unterzeichnung als eigene übernimmt.
• f) Audit-Log: Protokollierung der Aufrufe und Änderungen der klinischen Ressourcen des Accounts des Verantwortlichen, mit Hash-Kette.
• g) Steuer- und Zahlungsdaten der Patienten, nur wenn der Verantwortliche Rechnungen an den Patienten oder die Zahlung bei der Buchung aktiviert: Codice Fiscale, Leistung, Betrag, Art und Datum der Zahlung, E-Mail-Adresse für die Quittung.

5.3. Der Verantwortliche garantiert, von den betroffenen Personen jede erforderliche Einwilligung eingeholt zu haben oder über eine andere gültige Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten zu verfügen, einschließlich der Daten nach Art. 9 GDPR, und den betroffenen Personen die Datenschutzinformation gemäß Art. 13 und 14 GDPR erteilt zu haben.

Art. 6 · Pflichten des Auftragsverarbeiters

Gemäß Art. 28 Abs. 3 GDPR verpflichtet sich der Auftragsverarbeiter zu Folgendem:

6.1. a) Dokumentierte Weisungen. Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, auch im Fall der Übermittlung personenbezogener Daten an ein Drittland oder an eine internationale Organisation, es sei denn, das Recht der Union oder des Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, verlangt dies. In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Verpflichtung vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Als dokumentierte Weisung des Verantwortlichen gelten: der Dienstleistungsvertrag, dieser DPA, die vom Verantwortlichen über die Anwendungsoberfläche vorgenommenen Konfigurationen der Software sowie die schriftlichen Mitteilungen an den technischen Support des Auftragsverarbeiters.

6.2. b) Vertraulichkeit des Personals. Zu gewährleisten, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und im Bereich des Schutzes personenbezogener Daten geschult sind.

6.3. c) Technische und organisatorische Maßnahmen. Alle geeigneten technischen und organisatorischen Maßnahmen gemäß Art. 32 GDPR zu ergreifen, wie in Art. 9 dieses DPA näher beschrieben, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

6.4. d) Unterauftragsverarbeiter. Unterauftragsverarbeiter nur nach vorheriger Genehmigung des Verantwortlichen im Sinne von Art. 7 dieses DPA einzusetzen und sicherzustellen, dass den Unterauftragsverarbeitern dieselben Datenschutzpflichten wie in diesem DPA durch einen entsprechenden Vertrag oder ein anderes Rechtsinstrument auferlegt werden.

6.5. e) Unterstützung bei den Rechten der betroffenen Personen. Unter Berücksichtigung der Art der Verarbeitung den Verantwortlichen, soweit möglich, mit geeigneten technischen und organisatorischen Maßnahmen dabei zu unterstützen, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte der betroffenen Person gemäß Art. 12-23 GDPR nachzukommen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Die Software stellt dem Verantwortlichen spezifische Funktionen zur Verfügung, um die Daten der betroffenen Personen zu extrahieren, zu berichtigen und zu löschen.

6.6. f) Unterstützung in Fragen der Sicherheit, bei Datenschutzverletzungen (data breach), bei der DPIA und der vorherigen Konsultation. Den Verantwortlichen bei der Einhaltung der Pflichten gemäß Art. 32 bis 36 GDPR zu unterstützen, unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.

6.7. g) Rückgabe oder Löschung der Daten. Nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Abschluss der Erbringung der Verarbeitungsleistungen zurückzugeben oder zu löschen und vorhandene Kopien zu löschen, es sei denn, nach dem Recht der Union oder des Mitgliedstaats besteht eine Pflicht zur Speicherung der Daten, nach Maßgabe von Art. 12 dieses DPA.

6.8. h) Audits und Informationen. Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten gemäß Art. 28 GDPR zur Verfügung zu stellen sowie Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Dritten durchgeführt werden, zu ermöglichen und dazu beizutragen, nach Maßgabe von Art. 11 dieses DPA.

6.9. i) Mitteilung über gegen die GDPR verstoßende Weisungen. Den Verantwortlichen unverzüglich zu informieren, wenn eine vom Verantwortlichen erteilte Weisung seiner Ansicht nach gegen die GDPR, den italienischen Datenschutzkodex (Codice Privacy) oder andere Datenschutzvorschriften der Union oder des Mitgliedstaats verstößt.

6.10. j) Verzeichnis der Verarbeitungstätigkeiten. Ein Verzeichnis zu allen Kategorien von im Auftrag des Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung gemäß Art. 30 Abs. 2 GDPR zu führen und dieses dem Verantwortlichen und der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen.

6.11. k) Zusammenarbeit mit der Aufsichtsbehörde. Auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammenzuarbeiten.

6.12. l) Benennung des DPO. Einen Datenschutzbeauftragten zu benennen, sofern hierzu gemäß Art. 37 GDPR eine Pflicht besteht, und dem Verantwortlichen dessen Kontaktdaten mitzuteilen. Die Kontaktdaten des DPO des Auftragsverarbeiters sind in Anlage C dieses DPA angegeben. Der Auftragsverarbeiter hat beschlossen, einen externen DPO zu benennen; bis zur förmlichen Benennung gilt der in Anlage C angegebene Kontakt.

Art. 7 · Autorisierte Unterauftragsverarbeiter

7.1. Der Verantwortliche erteilt dem Auftragsverarbeiter gemäß Art. 28 Abs. 2 GDPR eine allgemeine Genehmigung zum Einsatz der in der nachstehenden Ziffer 7.2 genannten Unterauftragsverarbeiter für die Erbringung des Dienstes. Der Auftragsverarbeiter ist verpflichtet, den Verantwortlichen über Änderungen der Liste nach Maßgabe der Ziffer 7.3 zu informieren.

7.2. Liste der zum Zeitpunkt der Unterzeichnung autorisierten Unterauftragsverarbeiter. Die namentliche Liste mit Sitz, Tätigkeit, verarbeiteten Daten sowie Ort und Stand des Vertrags eines jeden Unterauftragsverarbeiters ist Anlage B. Zusammengefasst:

• a) Aruba S.p.A. (Italien): virtuelle Maschine, auf der die Software, die Datenbanken, die Fotos und die Sicherungskopien gehostet werden. Verarbeitet alle Daten. Keine Übermittlung außerhalb der EU.
• b) Mistral AI SAS (Paris, Frankreich): stellt die Modelle der künstlichen Intelligenz (Transkription, Ordnen diktierter Texte, Assistent) über ihren europäischen Zugangspunkt (api.eu.mistral.ai) bereit. Erhält klinischen Text ohne Name und Codice Fiscale sowie das Audio des Diktats. Es gilt Ziffer 7.6.
• c) Hostinger International Ltd (Zypern), mit ihrem Anbieter für die Weiterleitung ausgehender E-Mails: E-Mail der Domain und DNS. Erhält E-Mail-Adressen, Nachrichtentexte und, wenn der Verantwortliche dem Patienten ein Dokument sendet, das Dokument als Anhang.
• d) Stripe (Irland und Vereinigte Staaten), nur wenn der Verantwortliche die Zahlung bei der Buchung aktiviert: E-Mail-Adresse des Patienten, Betrag und Beschreibung des Termins, auf das Stripe-Konto des Verantwortlichen.

Die SMS-Anbieter (für den Signaturcode und die Erinnerungen) und der Speicher für Offsite-Sicherungskopien sind zum Zeitpunkt dieser Fassung nicht aktiv: Sie werden vor ihrer Nutzung nach dem Verfahren der Ziffer 7.3 hinzugefügt.

7.3. Änderungen der Liste. Der Auftragsverarbeiter informiert den Verantwortlichen über jede Änderung der Liste der Unterauftragsverarbeiter, sowohl bei Hinzufügung als auch bei Ersetzung, mit einer Frist von mindestens 30 Tagen vor dem Wirksamwerden der Änderung. Die Information erfolgt durch Veröffentlichung der aktualisierten Übersicht unter der Adresse gemäß Anlage B und durch Mitteilung per E-Mail an die Adresse des Verantwortlichen gemäß Art. 2.1.

7.4. Widerspruchsrecht. Innerhalb der Frist von 30 Tagen kann der Verantwortliche der Benennung eines neuen Unterauftragsverarbeiters schriftlich und mit begründeter Stellungnahme widersprechen. In diesem Fall arbeiten die Parteien nach Treu und Glauben zusammen, um alternative Lösungen zu finden. Kommt keine Einigung zustande, ist jede Partei berechtigt, den Dienstleistungsvertrag mit einer Frist von 30 Tagen zu kündigen, ohne Vertragsstrafen zulasten des Verantwortlichen und unter anteiliger Erstattung der im Voraus gezahlten Entgelte für den nicht in Anspruch genommenen Zeitraum.

7.5. Vertragliche Pflichten gegenüber den Unterauftragsverarbeitern. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch schriftlichen Vertrag und vor dessen Einsatz für Daten realer Patienten im Wesentlichen dieselben Datenschutzpflichten auf wie in diesem DPA (Art. 28 Abs. 4 GDPR). Der Stand jedes Vertrags ist in Anlage B angegeben. Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für die Nichterfüllung der datenschutzrechtlichen Pflichten durch die Unterauftragsverarbeiter.

7.6. Funktionen der künstlichen Intelligenz und besondere Kategorien von Daten. Der Vertrag mit Mistral AI SAS kommt mit der Annahme ihrer Geschäftsbedingungen zustande, die ihre Vereinbarung zur Datenverarbeitung einbeziehen: Eine gesonderte Unterschrift wurde weder verlangt noch erteilt. Zum Datum dieser Fassung hat Mistral AI SAS die Null-Speicherung der Inhalte und die Gültigkeit ihrer Vereinbarung für die Organisation des Auftragsverarbeiters noch nicht schriftlich bestätigt. Solange der Auftragsverarbeiter diese Bestätigungen nicht erhalten und dem Verantwortlichen mitgeteilt hat, verwendet der Verantwortliche das Diktat, das Ordnen diktierter Texte, den Assistenten und die Transkription des Videoanrufs nicht für reale Patienten, und der Auftragsverarbeiter deaktiviert den Assistenten für das Konto des Verantwortlichen auf dessen Anfrage.

Art. 8 · Übermittlungen außerhalb der EU/des EWR

8.1. Die Gesundheitsdaten der Patienten werden in Italien gespeichert (Art. 7.2 lit. a), und die Software verhindert die Übermittlung klinischer Texte an andere Anbieter künstlicher Intelligenz als den europäischen Zugangspunkt von Mistral AI SAS (api.eu.mistral.ai) mit Sitz in Frankreich. Das Training von Modellen mit den gesendeten Daten ist in den Einstellungen der Organisation des Auftragsverarbeiters abgeschaltet.

8.2. Zwischen dem Browser des Verantwortlichen und der Software ist kein Netzwerkvermittler zwischengeschaltet: keine Content-Delivery-Netzwerke, Proxys oder von Dritten verwalteten Firewalls. Die verschlüsselte Verbindung endet auf dem in Art. 7.2 lit. a genannten Rechner.

8.3. Zu einer Übermittlung in die Vereinigten Staaten kann es bei den folgenden Diensten kommen, die daher mit ihrer jeweiligen Garantie in Anlage B aufgeführt sind: Stripe, nur bei Zahlung zum Zeitpunkt der Buchung; die Benachrichtigungsdienste der Browser, die eine Benachrichtigung ohne Inhalt erhalten; die Literaturrecherche des Arztes, die nur den Suchtext an einen öffentlichen US-amerikanischen Dienst sendet (der Verantwortliche gibt dort keine Patientendaten ein). Der Serverstandort des Anbieters für die Weiterleitung der E-Mails wird derzeit geprüft und ist in Anlage B angegeben.

8.4. Sollte der Auftragsverarbeiter künftig weitere Unterauftragsverarbeiter mit Sitz außerhalb der EU/des EWR einsetzen, finden die Bestimmungen von Art. 7 dieses DPA Anwendung, und es werden die in Kapitel V des GDPR vorgesehenen Übermittlungsmechanismen angewendet.

Art. 9 · Technische und organisatorische Maßnahmen (Art. 32 GDPR)

Der Auftragsverarbeiter ergreift und unterhält für die gesamte Laufzeit des DPA die folgenden technischen und organisatorischen Maßnahmen, die dem Risiko der Verarbeitung besonderer Kategorien von Daten gemäß Art. 9 GDPR angemessen sind.

9.1. Verschlüsselung.

• a) Klinische Fotos werden vor dem Hochladen im Browser mit AES-256-GCM verschlüsselt; der Schlüssel jedes Fotos wird durch einen Schlüssel pro Praxis geschützt, der vom Signaturdienst verwahrt wird, getrennt von der Hauptanwendung.
• b) Sicherungskopien werden vor dem Schreiben verschlüsselt.
• c) Der Datenverkehr ist mit TLS verschlüsselt.
• d) ⚠️ Die Datenbank ist zum Stand dieser Version auf Festplattenebene nicht im Ruhezustand verschlüsselt: Sie ist durch den Zugriffsschutz auf den Rechner und die Trennung nach Praxis geschützt.

9.2. Zugriffskontrolle.

• a) Authentifizierung ist für alle Nutzer der Software obligatorisch.
• b) Die Zwei-Faktor-Authentifizierung (TOTP) wird vom Praxisinhaber beim ersten Zugriff verlangt und steht allen Nutzern zur Verfügung.
• c) Trennung der Daten nach Praxis: Ein Verantwortlicher hat keinen Einblick in die Patienten eines anderen Verantwortlichen.
• d) Rollen und Berechtigungen innerhalb der Praxis des Verantwortlichen.

9.3. Integrität.

• a) Protokoll der Öffnungen und Änderungen der klinischen Ressourcen, mit einer Hash-Kette, die jede Veränderung sichtbar macht.
• b) Aufbewahrungsfrist des Protokolls: noch festzulegen, vor der Unterzeichnung zu bestimmen.
• c) Der Verantwortliche kann das Protokoll in der Anwendung einsehen.

9.4. Verfügbarkeit.

• a) Nächtliche Sicherungskopie der Datenbanken und der Dateien.
• b) Aufbewahrung der Kopien für 30 Tage im Rotationsverfahren.
• c) Getestetes Wiederherstellungsverfahren.
• d) ⚠️ Zum Stand dieser Version befinden sich die Kopien auf demselben Rechner; die externe Kopie bei einem anderen Anbieter ist vor dem ersten echten Datensatz vorgesehen und wird in Anlage B angegeben.

9.5. Sichere Entwicklung.

• a) Analyse des Codes und der Abhängigkeiten bei jeder Änderung, vor der Veröffentlichung.
• b) Regelmäßige Sicherheitsprüfungen der Software und Behebung der festgestellten Mängel.

9.6. Minimierung gegenüber Anbietern künstlicher Intelligenz. Der gesendete Text enthält weder Name noch Codice Fiscale des Patienten; der Assistent erhält eine opake Kennung; das Audio wird vom Auftragsverarbeiter nicht gespeichert.

9.7. Vertraulichkeit. Die vom Auftragsverarbeiter autorisierten Personen sind zur Vertraulichkeit verpflichtet und in der Verarbeitung von Gesundheitsdaten unterwiesen; die Systemadministratoren sind schriftlich benannt.

9.8. Betriebskontinuität. Die Wiederherstellungsziele (RTO und RPO) sind in Anlage A angegeben und werden erst nach Aktivierung der externen Kopie zu vertraglichen Verpflichtungen.

9.9. Die detaillierte technische Beschreibung der Sicherheitsmaßnahmen ist unter der in Anlage A angegebenen Adresse verfügbar und wird laufend aktualisiert.

Art. 10 · Verletzung des Schutzes personenbezogener Daten (Data Breach)

10.1. Meldepflicht des Auftragsverarbeiters gegenüber dem Verantwortlichen. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, von der er Kenntnis erlangt, innerhalb von 24 Stunden nach der Entdeckung, und zwar schriftlich an die E-Mail-Adresse des Verantwortlichen gemäß Art. 2.1. Die Meldung enthält:

• a) eine Beschreibung der Art der Verletzung, einschließlich, soweit möglich, der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen Datensätze personenbezogener Daten;
• b) Name und Kontaktdaten des DPO (Datenschutzbeauftragten) oder einer sonstigen Anlaufstelle für weitere Informationen;
• c) eine Beschreibung der wahrscheinlichen Folgen der Verletzung;
• d) eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

10.2. Aktualisierungen. Ist es nicht möglich, alle Informationen gemäß Punkt 10.1 gleichzeitig bereitzustellen, übermittelt der Auftragsverarbeiter dem Verantwortlichen zunächst Teilinformationen und ergänzt diese anschließend unverzüglich durch Aktualisierungen, sobald die Informationen vorliegen.

10.3. Verbleibende Pflichten des Verantwortlichen. Beim Verantwortlichen verbleiben die Pflicht zur Meldung der Verletzung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden gemäß Art. 33 GDPR sowie die Pflicht zur Benachrichtigung der betroffenen Personen gemäß Art. 34 GDPR, sofern die jeweiligen Voraussetzungen vorliegen.

10.4. Zusammenarbeit. Der Auftragsverarbeiter arbeitet aktiv mit dem Verantwortlichen bei der Bewältigung der Verletzung zusammen und stellt die Informationen sowie die technische und organisatorische Unterstützung bereit, die zur Erfüllung der Pflichten gemäß den vorstehenden Punkten erforderlich sind.

Art. 11 · Audit und Inspektionen

11.1. Der Verantwortliche ist berechtigt, vom Auftragsverarbeiter Informationen zu verlangen, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO und nach diesem AVV erforderlich sind, sowie Konformitätsaudits durchzuführen.

11.2. Das Audit darf höchstens einmal pro Jahr durchgeführt werden, außer in begründeten Dringlichkeitsfällen (zum Beispiel bei einer schwerwiegenden Verletzung des Schutzes personenbezogener Daten oder auf Anordnung der Aufsichtsbehörde), und setzt eine schriftliche Ankündigung mit einer Frist von mindestens 30 Tagen voraus.

11.3. Das Audit kann vom Verantwortlichen selbst oder von einem unabhängigen externen Prüfer durchgeführt werden, der von beiden Parteien akzeptiert wird und Vertraulichkeitspflichten unterliegt, die denen dieses AVV gleichwertig sind.

11.4. Der Auftragsverarbeiter kann seine Auditpflicht durch Vorlage einer gültigen Sicherheitszertifizierung erfüllen, die vom Verantwortlichen akzeptiert wird (beispielsweise ISO/IEC 27001, SOC 2 Typ II oder gleichwertig), zusammen mit der zusammenfassenden Konformitätsdokumentation.

11.5. Die Kosten des Audits trägt der Verantwortliche, es sei denn, das Audit deckt erhebliche Verstöße des Auftragsverarbeiters gegen diesen AVV oder die DSGVO auf. In diesem Fall trägt der Auftragsverarbeiter die Kosten.

11.6. Das Audit darf keinen Zugriff auf Daten anderer Kunden des Auftragsverarbeiters, auf Betriebsgeheimnisse, auf proprietären Quellcode oder auf Informationen gewähren, deren Offenlegung die Sicherheit des Dienstes für andere Kunden gefährden würde.

Art. 12 · Beendigung der Verarbeitung

12.1. Rückgabe der Daten. Bei Beendigung des Dienstleistungsvertrags gibt der Auftragsverarbeiter dem Verantwortlichen auf dessen schriftliche Anforderung, die innerhalb von 30 Tagen ab dem Datum der Beendigung zu stellen ist, alle in dessen Auftrag verarbeiteten personenbezogenen Daten in einem ZIP-Archiv, strukturiert nach dem Standard FHIR R4, zurück.

12.2. Löschung der Produktivdaten. Nach Ablauf von 30 Tagen ab Beendigung des Dienstleistungsvertrags bzw., falls der Verantwortliche die Rückgabe nicht angefordert hat, nach Ablauf von 90 Tagen ab Beendigung löscht der Auftragsverarbeiter alle klinischen Daten des Verantwortlichen aus den Produktivsystemen.

12.3. Löschung der Backups. Backups, die personenbezogene Daten des Verantwortlichen enthalten, werden innerhalb von weiteren 30 Tagen nach dem Datum der Löschung aus den Produktivsystemen gelöscht, entsprechend dem natürlichen Rotationszyklus der Backup-Aufbewahrung (30 Tage).

12.4. Ausnahmen. Von der Löschpflicht ausgenommen sind ausschließlich die Kopien, die aufgrund einer gesetzlichen Verpflichtung aufbewahrt werden. Diese Kopien bleiben in jedem Fall durch die Sicherheitsmaßnahmen gemäß Art. 9 geschützt und sind keiner weiteren Verarbeitungstätigkeit außerhalb der Erfüllung der gesetzlichen Verpflichtung unterworfen.

12.5. Bestätigung. Nach Abschluss der Löschvorgänge stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage eine schriftliche Bestätigung der durchgeführten Tätigkeiten aus.

Art. 13 · Haftung

13.1. Jede Partei haftet für Schäden, die Dritten entstehen, im Rahmen von Art. 82 GDPR und entsprechend ihrem jeweiligen Verantwortungsbereich. Der Verantwortliche (Titolare del trattamento) haftet für die Rechtmäßigkeit der Verarbeitung und für die Richtigkeit der dem Auftragsverarbeiter erteilten Weisungen; der Auftragsverarbeiter haftet für die Einhaltung der Pflichten, die ihm durch dieses DPA, durch Art. 28 GDPR und durch Art. 32 GDPR ausdrücklich auferlegt werden.

13.2. Im Innenverhältnis zwischen den Parteien richten sich etwaige Regressansprüche wegen Schäden, die betroffenen Personen entstanden sind, oder wegen Geldbußen, die von der Aufsichtsbehörde verhängt wurden, nach dem Grundsatz der verhältnismäßigen Haftung, entsprechend dem Verursachungsbeitrag jeder Partei zum Eintritt des schädigenden Ereignisses.

13.3. Die Gesamthaftung des Auftragsverarbeiters gegenüber dem Verantwortlichen für Verstöße gegen die Pflichten aus diesem DPA richtet sich, soweit nicht zwingendes Recht etwas anderes bestimmt, nach den Haftungsbeschränkungen im Dienstleistungsvertrag.

13.4. Die Regelungen dieses Artikels schränken die Rechte der betroffenen Personen nach der GDPR in keiner Weise ein.

Art. 14 · Anwendbares Recht und Gerichtsstand

14.1. Dieser DPA unterliegt italienischem Recht.

14.2. Für sämtliche Streitigkeiten zwischen den Parteien über die Auslegung, Durchführung oder Beendigung dieses DPA ist der im Servicevertrag angegebene Gerichtsstand zuständig.

Art. 15 · Anlagen

Die folgenden Anlagen sind fester Bestandteil dieses DPA, jeweils in der neuesten vom Auftragsverarbeiter veröffentlichten Fassung:

• Anlage A · Technische Beschreibung der Verarbeitung und der Sicherheitsmaßnahmen: detailliertes technisches Datenblatt, veröffentlicht unter https://fibonaccimedica.it/sicurezza.
• Anlage B · Verzeichnis der Unterauftragsverarbeiter: stets aktuelle Liste der zugelassenen Unterauftragsverarbeiter, veröffentlicht unter https://fibonaccimedica.it/sub-responsabili.
• Anlage C · Operative Kontakte: Kontakt für den Datenschutz des Auftragsverarbeiters: info@fibonaccimedica.it.
• Anlage D · Die spezifischen Daten der ästhetischen Medizin: siehe unten.

Anlage D · Die spezifischen Daten der ästhetischen Medizin

Art. 16 · Unterzeichnung

Diese Vereinbarung zur Datenverarbeitung wird von den Parteien wie folgt unterzeichnet. Die Unterzeichnung kann durch eigenhändige Unterschrift auf Papier oder durch fortgeschrittene elektronische Signatur bzw. qualifizierte elektronische Signatur erfolgen, mit gleichwertiger voller Rechtswirkung.

Für den Verantwortlichen

Für den Auftragsverarbeiter

Art. 17 · Letzte Überarbeitung

Letzte Überarbeitung dieses Dokuments: 9 novembre 2026.

Hinweis. Dieses Dokument beschreibt die Software in der Fassung zum Datum der letzten Überarbeitung und muss vor dem Abschluss mit Kunden rechtlich geprüft werden. Für den Abschluss steht auch die Fassung auf Grundlage der Standardvertragsklauseln der Kommission (Durchführungsbeschluss (EU) 2021/915) mit ausgefüllten Anhängen zur Verfügung: Die beiden Fassungen sind vor der Unterzeichnung zu einer einzigen zusammenzuführen. Die vorliegende Version 0.2 ist ein Entwurf.