Übersetzung als Serviceleistung. Bei Abweichungen ist die italienische Fassung dieses Dokuments maßgeblich.

Datenschutzerklärung

Entwurf nicht unterzeichnet, zur Konsultation veröffentlicht. Die Gesellschaft, die den Dienst erbringt, hat eine Umsatzsteuernummer; die REA-Nummer wird ergänzt, sobald die Eintragung ins Unternehmensregister abgeschlossen ist. Bis dahin kann dieses Dokument nicht unterzeichnet werden.

Diese Datenschutzerklärung beschreibt, wie personenbezogene Daten verarbeitet werden, die im Rahmen der institutionellen Website Fibonacci (https://fibonaccimedica.it (öffnet in einem neuen Tab)), der SaaS-Anwendung Fibonacci unter der Adresse https://app.fibonaccimedica.it (öffnet in einem neuen Tab) und der damit verbundenen Dienste erhoben, gespeichert und verarbeitet werden. Das Dokument wird gemäß den Artikeln 13 und 14 der Verordnung (EU) 2016/679 (nachfolgend „GDPR“) und des D.Lgs. 30 giugno 2003 n. 196 in der durch das D.Lgs. 10 agosto 2018 n. 101 geänderten Fassung (nachfolgend „Codice Privacy“) bereitgestellt.

Fibonacci ist eine ambulante Patientenakte für die ästhetische Medizin, die als Software as a Service an Ärztinnen, Ärzte und Angehörige der Gesundheitsberufe vertrieben wird. Sie umfasst Patientenstammdaten und Patientenakte mit den Formularen der ästhetischen Medizin, verschlüsselte klinische Fotos, Gesichtsanalysen, Diktate, die von Diensten der künstlichen Intelligenz transkribiert werden, Einwilligungserklärungen (informierte Einwilligung) als PDF, Terminkalender und Erinnerungen, Zugriffsprotokoll, Zwei-Faktor-Authentifizierung sowie den Export der Daten im Format FHIR R4.

Vorbemerkung: Im Rahmen des Dienstes bestehen drei unterschiedliche Rollen nebeneinander. Für die Navigationsdaten der Website Fibonacci und für die Daten der Kundenärzte, die das Abonnement für die Software abschließen, handelt Fibonacci als Verantwortlicher. Für die Daten der Patienten, die von den Kundenärzten in die Software eingegeben werden, handelt Fibonacci als Auftragsverarbeiter gemäß Art. 28 GDPR, während der Verantwortliche der Kundenarzt ist, der die berufliche Beziehung zum Patienten unterhält. Die Verarbeitung der Patientendaten wird durch den Auftragsverarbeitungsvertrag (nachfolgend „DPA“) geregelt, den der Kundenarzt zusammen mit dem Dienstleistungsvertrag unterzeichnet; er ist in Abschnitt 3 und Abschnitt 8 dieser Datenschutzerklärung zusammenfassend beschrieben.

1. Verantwortlicher

Verantwortlicher für die Verarbeitung der personenbezogenen Daten ist:

Bezeichnung: Fibonacci Works S.r.l. Sitz: Via Brigata Liguria 105 R, 16121 Genova (GE) Umsatzsteuer-Identifikationsnummer (Partita IVA): 03108390992 REA-Nummer: GE-533577 Zertifizierte elektronische Post (PEC): fibonacciworks@pec.it Kontakt für Datenschutzfragen: info@fibonaccimedica.it Datenschutzbeauftragter (DSB): wird derzeit benannt; bis dahin schreibe an info@fibonaccimedica.it

Für alle Fragen zur Verarbeitung personenbezogener Daten, einschließlich der Ausübung der Rechte nach den Artt. 15-22 GDPR, steht dir folgender Kontaktkanal zur Verfügung:

Kontaktkanal: info@fibonaccimedica.it

2. Definitionen

Im Sinne dieser Datenschutzinformation gelten folgende Begriffe:

• „Verantwortlicher": die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet (Art. 4 Nr. 7 GDPR).
• „Auftragsverarbeiter": die natürliche oder juristische Person, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 8 GDPR).
• „Betroffene Person": die identifizierte oder identifizierbare natürliche Person, auf die sich die personenbezogenen Daten beziehen (Art. 4 Nr. 1 GDPR).
• „Personenbezogene Daten": alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 GDPR).
• „Besondere Kategorien personenbezogener Daten": die Daten nach Art. 9 GDPR, darunter Gesundheitsdaten, Daten zum Sexualleben, zur rassischen oder ethnischen Herkunft sowie zu religiösen oder weltanschaulichen Überzeugungen.
• „Verarbeitung": jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten (Art. 4 Nr. 2 GDPR).
• „Unterauftragsverarbeiter": der Dritte, der vom Auftragsverarbeiter benannt wird, um im Namen des Verantwortlichen bestimmte Verarbeitungstätigkeiten auszuführen, gemäß Art. 28 Abs. 2 und 4 GDPR.

3. Kategorien verarbeiteter Daten

Der Verantwortliche verarbeitet je nach Gruppe der betroffenen Personen unterschiedliche personenbezogene Daten. Nachfolgend die Unterscheidung.

3.1 Besucher der Fibonacci-Website

Im Zusammenhang mit den Besuchern der Unternehmenswebsite, mit potenziellen Kunden, die die Kontakt- oder Demo-Anfrageformulare ausfüllen, und mit potenziellen Partnern, die das Formular für Kooperationsvorschläge (Seite /partner) ausfüllen, werden folgende Daten verarbeitet:

• Stamm- und Kontaktdaten: Vorname, Nachname, E-Mail-Adresse, Telefonnummer, Firmenname der Praxis, der Klinik oder des Unternehmens, Berufsbezeichnung, medizinisches Fachgebiet oder Art der vorgeschlagenen Zusammenarbeit;
• Navigationsdaten: IP-Adresse, Browsertyp, aufgerufene Seiten, Datum und Uhrzeit, protokolliert in den technischen Server-Logs; die Website verwendet nur technisch notwendige Cookies (siehe Cookie-Richtlinie);
• freier Inhalt der Nachrichten, die über die Kontaktformulare gesendet werden;
• der Text der Fragen, die an den Assistenten der Website gestellt werden, der ausschließlich auf Basis der veröffentlichten Inhalte der Website antwortet.

3.2 Ärzte als Kunden und Nutzer der Software

In Bezug auf die Ärzte und Angehörigen der Gesundheitsberufe, die ein Abonnement für die Software Fibonacci abschließen, werden folgende Daten verarbeitet:

• Stamm- und Berufsdaten: Vorname, Nachname, Codice Fiscale, Geburtsdatum und Geburtsort, Anschrift, Eintragungsnummer bei der Berufskammer, Fachrichtung, Umsatzsteuer-Identifikationsnummer (Partita IVA), Rechnungsdaten;
• Zugangsdaten: E-Mail-Adresse, Passwort-Hash, Schlüssel für die Zwei-Faktor-Authentifizierung, als Hash gespeicherte Wiederherstellungscodes, Zugriffsprotokolle;
• Daten zur Nutzung des Dienstes: Konfiguration des Kontos, Präferenzen, Aktivitätsprotokolle, Audit-Trail der in der Anwendung durchgeführten Vorgänge;
• Zahlungsdaten: Die für die Verwaltung des Abonnements erforderlichen Daten (Name des Karteninhabers, Verweis auf die Zahlungsmethode) werden von Stripe Payments Europe Ltd verarbeitet, die die Kartendaten gemäß ihren eigenen Bedingungen verarbeitet. Fibonacci speichert keine vollständigen Kartennummern.

3.3 Patienten der Vertragsärzte

Die Daten der Patienten der Kundeneinrichtungen im Gesundheitswesen, die der Kundenarzt oder seine autorisierten Mitarbeiter in die Software eingeben, umfassen Stammdaten, Kontaktdaten, klinische Daten und Anamnesedaten, klinische Fotografien, Befunde, Verordnungen, Einwilligungen nach Aufklärung (informierte Einwilligungen) und alle weiteren Daten, die für die Erbringung der medizinischen Leistung erforderlich sind, einschließlich der Daten, die zu den besonderen Kategorien nach Art. 9 DSGVO gehören (insbesondere Gesundheitsdaten).

Für diese Daten handelt Fibonacci als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Verantwortlicher ist der Kundenarzt oder die Gesundheitseinrichtung, die die Software nutzt. Einzelheiten zu den Kategorien der verarbeiteten Daten, zu den dokumentierten Weisungen, zu den genehmigten Unterauftragsverarbeitern und zu den getroffenen Sicherheitsmaßnahmen regelt die Vereinbarung zur Datenverarbeitung (DPA), die zusammen mit dem Dienstleistungsvertrag unterzeichnet wird. Die DPA ist auf der Seite /dpa veröffentlicht, die Liste der Unterauftragsverarbeiter auf der Seite /sub-responsabili.

Patienten, die ihre Rechte ausüben möchten, wenden sich bitte an ihren behandelnden Arzt als Verantwortlichen. Fibonacci stellt dem Arzt als Verantwortlichem in seiner Rolle als Auftragsverarbeiter die technische Unterstützung bereit, die erforderlich ist, um Anfragen der betroffenen Personen zu beantworten.

4. Zwecke und Rechtsgrundlage der Verarbeitung

Die vom Verantwortlichen durchgeführten Verarbeitungen verfolgen die nachstehend genannten Zwecke, die jeweils auf einer eigenen Rechtsgrundlage beruhen.

Die Bereitstellung der Daten für die vertraglichen, administrativen und sicherheitsbezogenen Zwecke ist für die Erbringung des Dienstes erforderlich. Eine Weigerung hat zur Folge, dass der Dienst nicht erbracht werden kann. Der Verantwortliche versendet keine Newsletter und keine Werbemitteilungen und gibt die Adressen nicht an Dritte weiter.

5. Art der Verarbeitung und Sicherheitsmaßnahmen

Die Verarbeitung erfolgt mit elektronischen Mitteln, im Einklang mit dem Grundsatz der Integrität und Vertraulichkeit gemäß Art. 5 Abs. 1 Buchst. f GDPR und unter Anwendung angemessener technischer und organisatorischer Maßnahmen gemäß Art. 24, 25 und 32 GDPR. Insbesondere:

• Klinische Fotos werden im Browser mit AES-256-GCM verschlüsselt, mit Schlüsseln, die vom Betreiber des Dienstes verwahrt und pro Praxis getrennt geführt werden;
• nächtliche verschlüsselte Sicherungskopien, die 30 Tage im Rotationsverfahren aufbewahrt werden, mit erprobtem Wiederherstellungsverfahren;
• mit TLS verschlüsselter Datenverkehr zwischen Browser und Server, ohne Zwischenstellen;
• Zwei-Faktor-Authentifizierung, die vom Praxisinhaber beim ersten Zugang verlangt wird und für jeden Nutzer verfügbar ist;
• Zugriffsprotokoll auf die Patientenakten mit einer Hash-Kette, die jede Veränderung sichtbar macht;
• Trennung der Daten pro Praxis, sodass jeder Arzt als Verantwortlicher nur seine eigenen Patienten sieht;
• Infrastruktur in Italien, bei Aruba S.p.A.;
• Verzeichnisse von Verarbeitungstätigkeiten gemäß Art. 30 GDPR.

Die Datenbank ist zum Zeitpunkt dieser Fassung auf Festplattenebene nicht im Ruhezustand verschlüsselt. Die Kopie der Sicherungskopien bei einem zweiten Anbieter ist vorgesehen, bevor der Dienst Daten realer Patienten verarbeitet.

Auf die Daten haben ausschließlich die dazu befugten und angewiesenen Mitarbeiter von Fibonacci Zugriff, als zur Verarbeitung designierte Personen (soggetto designato) gemäß Art. 29 GDPR und Art. 2-quaterdecies Codice Privacy.

6. Unterauftragsverarbeiter und Empfänger der Daten

Für die Verarbeitungen, für die Fibonacci Verantwortlicher ist (Website, Assistent der Website, Beziehungen zu den Kundenärzten), setzt Fibonacci die folgenden Anbieter ein, die als seine Auftragsverarbeiter handeln:

Für die Patientendaten, die Fibonacci als Auftragsverarbeiter im Auftrag des Arztes verarbeitet, wird die Liste der Unterauftragsverarbeiter mit Sitz, verarbeiteten Daten und Vertragsstatus des jeweiligen Anbieters auf der Seite /sub-responsabili veröffentlicht. Änderungen werden dem Arzt mit einer Frist von 30 Tagen im Voraus mitgeteilt, wie im AVV vorgesehen.

Die Daten können außerdem mitgeteilt werden an:

• fachliche Berater (Steuerberater, Rechtsanwälte, Abschlussprüfer), die zu Auftragsverarbeitern oder zu eigenständigen Verantwortlichen bestellt wurden, im Rahmen der von ihnen erbrachten Leistungen;
• Justiz-, Sicherheits- und Aufsichtsbehörden oder öffentliche Verwaltungen, auf rechtmäßige Anfrage und in den gesetzlich vorgesehenen Fällen;
• Dritte im Rahmen außerordentlicher Transaktionen (Fusionen, Übernahmen, Veräußerung von Unternehmensteilen), nach vorheriger Information der betroffenen Personen.

Die Daten werden in keinem Fall verbreitet.

7. Datenübermittlungen außerhalb der Europäischen Union

Die Anwendungsinfrastruktur und die Datenbanken werden in Italien bei Aruba S.p.A. gehostet. Die Gesundheitsdaten der Patienten werden nicht außerhalb der Europäischen Union übermittelt: Die Software verhindert die Übermittlung klinischer Texte an Anbieter künstlicher Intelligenz außerhalb der Union.

Zwischen Browser und Backend ist kein Vermittler zwischengeschaltet. Die Domain der Website und die der Anwendung werden direkt auf die Adresse der Infrastruktur aufgelöst: Es werden keine Content-Delivery-Netzwerke, keine Reverse-Proxys von Dritten und keine von Dritten betriebenen Web Application Firewalls eingesetzt, und es gibt keine Stelle, an der eine andere Person als der Verantwortliche (Titolare del trattamento) die verschlüsselte Verbindung terminiert. Jeder kann dies von außen überprüfen, ohne unsere Zustimmung einzuholen, mit einer DNS-Abfrage zur Domain.

Eine Übermittlung in die Vereinigten Staaten kann die Zahlungsdaten der Kunden (Ärzte) betreffen, die von der Stripe-Gruppe verarbeitet werden, auf der Grundlage der Teilnahme von Stripe, LLC am EU-U.S. Data Privacy Framework und der Standardvertragsklauseln, die im Vertrag von Stripe vorgesehen sind. Eine Kopie der Unterlagen ist auf Anfrage erhältlich, schreibe dazu an info@fibonaccimedica.it.

8. Aufbewahrungsdauer

Personenbezogene Daten werden nur so lange aufbewahrt, wie es für die Zwecke, für die sie erhoben wurden, unbedingt erforderlich ist, unter Beachtung des Grundsatzes der Speicherbegrenzung nach Art. 5 Abs. 1 Buchst. e GDPR. Die jeweiligen Fristen sind in der folgenden Tabelle angegeben.

Nach Ablauf der angegebenen Fristen werden die Daten gelöscht oder unumkehrbar anonymisiert, es sei denn, es besteht eine gesetzliche Aufbewahrungspflicht oder die Daten werden für den gerichtlichen Rechtsschutz benötigt.

9. Rechte der betroffenen Person

Die betroffene Person kann jederzeit die in den Art. 15-22 GDPR anerkannten Rechte ausüben, insbesondere:

• Auskunftsrecht (Art. 15 GDPR): eine Bestätigung darüber erhalten, ob eine Verarbeitung stattfindet, und eine Kopie der personenbezogenen Daten erhalten;
• Recht auf Berichtigung (Art. 16 GDPR): die Korrektur unrichtiger Daten oder die Vervollständigung unvollständiger Daten erwirken;
• Recht auf Löschung (Art. 17 GDPR): die Löschung der Daten erwirken, die nicht mehr erforderlich sind, vorbehaltlich der gesetzlich vorgesehenen Grenzen, einschließlich der Aufbewahrungspflichten für medizinische und steuerliche Unterlagen;
• Recht auf Einschränkung der Verarbeitung (Art. 18 GDPR): in den von den Vorschriften vorgesehenen Fällen;
• Recht auf Datenübertragbarkeit (Art. 20 GDPR): die bereitgestellten personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten und ihre direkte Übermittlung an einen anderen Verantwortlichen erwirken, soweit technisch machbar. Für die Ärztinnen und Ärzte, die Kunden sind, steht eine Exportfunktion im ZIP-Format mit FHIR-R4-Daten zur Verfügung;
• Widerspruchsrecht (Art. 21 GDPR): jederzeit der Verarbeitung widersprechen, die auf dem berechtigten Interesse oder auf Direktwerbung beruht;
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 GDPR): erteilte Einwilligungen jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird;
• Recht, keiner automatisierten Entscheidung unterworfen zu werden (Art. 22 GDPR): Keine Entscheidung, die rechtliche Wirkung entfaltet oder in ähnlicher Weise erheblich beeinträchtigt, wird ausschließlich auf automatisierter Grundlage getroffen. Die Diktierfunktionen und die KI-Assistenz unterstützen die Ärztin bzw. den Arzt, die bzw. der die volle Entscheidungsautonomie behält.

Anfragen können an den Verantwortlichen unter folgenden Kontaktdaten gerichtet werden:

• E-Mail des Verantwortlichen: info@fibonaccimedica.it
• E-Mail: info@fibonaccimedica.it

Der Verantwortliche antwortet innerhalb von 30 Tagen nach Eingang der Anfrage. Die Frist kann bei besonderer Komplexität der Anfrage oder bei einer hohen Anzahl von Anfragen um weitere 60 Tage verlängert werden, wobei der betroffenen Person die Gründe mitgeteilt werden. Die Antwort ist kostenlos. Der Verantwortliche behält sich vor, bei offenkundig unbegründeten oder exzessiven Anträgen ein angemessenes Entgelt zu verlangen oder die Bearbeitung zu verweigern, gemäß Art. 12 Abs. 5 GDPR.

Die Patientinnen und Patienten der Ärztinnen und Ärzte, die Kunden sind, müssen ihre Anfragen an die Ärztin bzw. den Arzt als Verantwortlichen richten, die bzw. der ihre primäre Anlaufstelle bleibt. Fibonacci als Auftragsverarbeiter unterstützt die Ärztin bzw. den Arzt zeitnah bei der Bearbeitung dieser Anfragen, gemäß Art. 28 Abs. 3 Buchst. e GDPR.

10. Data breach

Bei einer Verletzung des Schutzes personenbezogener Daten nimmt der Verantwortliche eine Risikobewertung für die Rechte und Freiheiten der betroffenen Personen vor und ergreift die erforderlichen Maßnahmen, um die Verletzung einzudämmen und zu beheben. Gemäß Art. 33 GDPR wird die Verletzung der Aufsichtsbehörde (Garante) innerhalb von 72 Stunden nach Bekanntwerden gemeldet, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.

Gemäß Art. 34 GDPR benachrichtigt der Verantwortliche die betroffenen Personen unverzüglich direkt von der Verletzung, wenn diese voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten zur Folge hat, in klarer Sprache und mit den Hinweisen, wie sie sich vor den möglichen Folgen schützen können.

Betrifft die Verletzung Patientendaten, die im Auftrag des Arztes als Kunde und Verantwortlichem verarbeitet werden, meldet Fibonacci als Auftragsverarbeiter die Verletzung dem Arzt als Verantwortlichem unverzüglich und stellt ihm die Informationen zur Verfügung, die er benötigt, um seinen Melde- und Benachrichtigungspflichten gemäß Art. 33 und 34 GDPR nachzukommen, gemäß den Regelungen des DPA.

11. Beschwerde bei der Aufsichtsbehörde

Wenn du der Ansicht bist, dass die Verarbeitung deiner personenbezogenen Daten gegen die DSGVO verstößt, hast du das Recht, gemäß Art. 77 GDPR Beschwerde bei der zuständigen Aufsichtsbehörde einzulegen. In Italien ist die Aufsichtsbehörde der Garante per la protezione dei dati personali, mit folgenden Kontaktdaten:

Garante per la protezione dei dati personali Piazza Venezia 11, 00187 Roma Website: www.garanteprivacy.it (öffnet in einem neuen Tab) E-Mail: protocollo@gpdp.it PEC: protocollo@pec.gpdp.it

Das Recht, gemäß Art. 79 GDPR und den Artt. 140-bis ff. des Codice Privacy einen gerichtlichen Rechtsbehelf einzulegen, bleibt unberührt.

12. Cookies

Die Website Fibonacci verwendet ausschließlich technisch notwendige Cookies, die für ihren Betrieb erforderlich sind. Analyse-, Profiling- oder Drittanbieter-Cookies kommen nicht zum Einsatz. Einzelheiten zu den verwendeten Cookie-Arten, zu den Zwecken und zur Verwaltung der Einstellungen findest du in der Cookie-Richtlinie auf der Seite /cookie.

13. Minderjährige

Der Dienst Fibonacci richtet sich an volljährige Angehörige der Gesundheitsberufe, die die nach italienischem Recht erforderlichen berufsrechtlichen Voraussetzungen für die Berufsausübung erfüllen. Die institutionelle Website und der Abonnementbereich der Software richten sich nicht an Personen unter 18 Jahren. Der Verantwortliche erhebt im Rahmen seiner Beziehungen zu den ärztlichen Kunden nicht wissentlich Daten von Minderjährigen.

Ist ein Patient des ärztlichen Kunden minderjährig, erfolgen die Erhebung und die Verarbeitung der Daten unter der Verantwortung des Arztes als Verantwortlichem. Dieser holt die Einwilligung des Elternteils oder des gesetzlichen Vertreters in der Form ein, die das Gesundheitsrecht und das D.Lgs. 101/2018 vorsehen. Die Software ermöglicht es, zu erfassen, wer die Einwilligung im Namen des minderjährigen Patienten unterzeichnet.

14. Änderungen der Datenschutzerklärung

Diese Datenschutzerklärung kann jederzeit aktualisiert werden, um Gesetzesänderungen, Weiterentwicklungen des Dienstes oder Änderungen in der Organisation des Verantwortlichen zu berücksichtigen. Die jeweils gültige Fassung ist stets auf der Seite Fibonacci/privacy veröffentlicht, mit Angabe des Datums der letzten Überarbeitung.

Wesentliche Änderungen, also Änderungen, die sich erheblich auf die Zwecke der Verarbeitung, die Rechtsgrundlagen, die Unterauftragsverarbeiter oder die Rechte der betroffenen Personen auswirken, werden registrierten Nutzern per E-Mail mitgeteilt und im geschützten Bereich deutlich hervorgehoben, mit angemessener Frist vor dem Wirksamwerden der Änderungen.

Die Nutzung des Dienstes nach der Veröffentlichung der Änderungen gilt als Kenntnisnahme dieser Änderungen, unbeschadet des Kündigungsrechts und der Rechte der betroffenen Person.

15. Letzte Überarbeitung

Datum der letzten Überarbeitung: 9 novembre 2026 Version des Dokuments: 0.2 (Entwurf, zur Prüfung mit der Rechtsberatung)

Abschließender Hinweis: Dieses Dokument ist eine an den Kontext des Dienstes Fibonacci angepasste Vorlage und wird vor dem Start der gewerblichen Tätigkeit einer rechtlichen Prüfung unterzogen. Die hier veröffentlichte Fassung ist ein Entwurf mit der Nummer 0.2 und ersetzt nicht die Beratung durch einen qualifizierten Rechtsberater. Anmerkungen, Korrekturen oder Ergänzungen kannst du an info@fibonaccimedica.it richten.