Übersetzung als Serviceleistung. Bei Abweichungen ist die italienische Fassung dieses Dokuments maßgeblich.

Unterauftragsverarbeiter

Version 2.1 · Letzte Überarbeitung: 9 novembre 2026

Entwurf nicht unterzeichnet, zur Konsultation veröffentlicht. Die Gesellschaft, die den Dienst erbringt, hat eine Umsatzsteuernummer; die REA-Nummer wird ergänzt, sobald die Eintragung ins Unternehmensregister abgeschlossen ist. Bis dahin kann dieses Dokument nicht unterzeichnet werden.

Dieses Dokument ist Anhang B der Vereinbarung zur Auftragsverarbeitung (DPA) gemäß Art. 28 der Verordnung (EU) 2016/679 (nachfolgend „GDPR“), die zwischen dem Verantwortlichen (dem Arzt als Kunden) und Fibonacci als Auftragsverarbeiter für die Bereitstellung der SaaS-Software Fibonacci geschlossen wird. Es führt die nach Art. 28 Abs. 2 und 4 GDPR genehmigten Unterauftragsverarbeiter namentlich auf und wird laufend aktualisiert.

1. Vorbemerkung und Regelungen

1.1. Definition des Unterauftragsverarbeiters. Als Unterauftragsverarbeiter (nachfolgend „Unterauftragsverarbeiter") gilt der Dritte, natürliche oder juristische Person, dessen sich der Auftragsverarbeiter für die Durchführung bestimmter Verarbeitungstätigkeiten im Auftrag des Verantwortlichen bedient, gemäß Art. 28 Abs. 2 und 4 GDPR.

1.2. Allgemeine Genehmigung gemäß Art. 28 Abs. 2 GDPR. Mit der Unterzeichnung des DPA erteilt der Verantwortliche dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, die in dieser Anlage B genannten Unterauftragsverarbeiter einzusetzen. Er erkennt an, dass jeder von ihnen vom Auftragsverarbeiter nach einer Beurteilung seiner Zuverlässigkeit und der Eignung der gebotenen Garantien hinsichtlich der technischen und organisatorischen Sicherheit der Verarbeitung ausgewählt wurde, gemäß Art. 28 Abs. 1 GDPR.

1.3. Vertragskette. Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen schriftlichen Vertrag, der dieselben Datenschutzpflichten auferlegt, die im DPA zwischen Verantwortlichem und Auftragsverarbeiter vorgesehen sind, insbesondere in Bezug auf Vertraulichkeit, Sicherheitsmaßnahmen, Unterstützung des Verantwortlichen bei der Wahrnehmung der Rechte der betroffenen Personen und Zusammenarbeit mit der Aufsichtsbehörde. Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für die Nichterfüllung der Datenschutzpflichten durch die Unterauftragsverarbeiter, gemäß Art. 28 Abs. 4 GDPR.

1.4. Informationspflicht und Widerspruchsrecht. Jede Änderung der Liste der Unterauftragsverarbeiter, einschließlich der Hinzufügung eines neuen Unterauftragsverarbeiters, der Ersetzung eines bestehenden Unterauftragsverarbeiters oder der Beendigung der Zusammenarbeit mit einem Unterauftragsverarbeiter, teilt der Auftragsverarbeiter dem Verantwortlichen mindestens 30 (dreißig) Tage vor dem Zeitpunkt des Wirksamwerdens der Änderung mit. Die Mitteilung erfolgt per E-Mail an die im Dienstleistungsvertrag angegebene Adresse des Verantwortlichen und zugleich durch Aktualisierung dieser unter https://fibonaccimedica.it/sub-responsabili veröffentlichten Seite.

1.5. Ausübung des Widerspruchsrechts. Innerhalb der in Ziffer 1.4 genannten Frist von 30 Tagen kann der Verantwortliche der vorgeschlagenen Änderung begründet widersprechen. Das im Fall eines Widerspruchs anwendbare Verfahren ist in Abschnitt 3 dieser Anlage geregelt.

1.6. Transparenz. Diese Liste wird veröffentlicht, damit der Verantwortliche vor der Unterzeichnung des Dienstleistungsvertrags und während der gesamten Laufzeit des Vertragsverhältnisses die Identität und den Standort der Stellen überprüfen kann, die an der Verarbeitungskette beteiligt sind.

2. Liste der autorisierten Unterauftragsverarbeiter

Die Unterauftragsverarbeiter zum Zeitpunkt der letzten Überarbeitung dieses Dokuments sind die folgenden. Für jeden ist auch der Vertragsstatus angegeben: Zum Zeitpunkt dieser Version ist noch keine Vereinbarung unterzeichnet von der Gesellschaft, die den Dienst erbringen wird, und der Dienst verarbeitet keine Daten realer Patienten.

2.1. Aruba S.p.A.

• Rechtliche Bezeichnung: Aruba S.p.A.
• Sitz der Gesellschaft: Via San Clemente 53, 24036 Ponte San Pietro (BG), Italien
• Dienstkategorie: virtuelle Maschine, auf der die Software gehostet wird: Datenbank, verschlüsselte klinische Fotos, Sicherungskopien
• Art der verarbeiteten Daten: alle Daten des Dienstes, einschließlich der besonderen Kategorien gemäß Art. 9 GDPR
• Verschlüsselung: Die klinischen Fotos werden im Browser verschlüsselt (AES-256-GCM), mit Schlüsseln, die vom Auftragsverarbeiter verwaltet werden. Die Sicherungskopien werden verschlüsselt, bevor sie geschrieben werden. ⚠️ Die Datenbank ist zum Zeitpunkt dieser Version auf Festplattenebene nicht im Ruhezustand verschlüsselt
• Ort der Verarbeitung: Infrastruktur des Anbieters im italienischen Netz. Der Adressblock, der den Dienst hostet, ist in der RIPE-Datenbank als ARUBA-NET, Aruba S.p.A., Land IT eingetragen: Die Überprüfung ist für jeden möglich, mit einer whois-Abfrage der öffentlichen Adresse des Dienstes
• Drittlandübermittlungen: keine
• Vom Anbieter erklärte Garantien: Zertifizierung nach ISO/IEC 27001 und Beitritt zum CISPE Data Protection Code of Conduct, einem Verhaltenskodex im Sinne von Art. 40 GDPR. Die Eintragung ist im öffentlichen CISPE-Register überprüfbar
• Datenschutzerklärung des Anbieters: https://www.aruba.it/documents/tc-files/it/11_it_privacy_policy_aruba_spa.aspx (öffnet in einem neuen Tab)
• Öffentliches CISPE-Register: https://cispe.cloud/publicregister/ (öffnet in einem neuen Tab)
• Stand des Vertrags: ⚠️ Vereinbarung des Anbieters gemäß Art. 28 noch anzunehmen, mit dem Konto der Gesellschaft

2.2. Mistral AI SAS

• Rechtliche Bezeichnung: Mistral AI SAS (RCS Paris 952 418 325)
• Sitz: 15 rue des Halles, Paris, Frankreich
• Dienstkategorie: von Fibonacci verwendete Modelle der künstlichen Intelligenz: Transkription des Diktats und, wenn der Patient dies wählt, des Videoanrufs; Ordnen diktierter Texte; Assistent auf der geöffneten Akte
• Art der verarbeiteten Daten: klinischer Text ohne Name und Codice Fiscale des Patienten; Audioaufnahmen des Diktats; die Antworten der Modelle. Sie können besondere Kategorien von Daten nach Art. 9 DSGVO enthalten
• Verwendete Modelle: Mistral Small für Texte und Voxtral Mini Transcribe für die Transkription, über den europäischen Zugangspunkt api.eu.mistral.ai; die Software lehnt jede andere Adresse ab
• Ort der Verarbeitung: Europäische Union (Frankreich). Die Unterauftragsverarbeiter von Mistral veröffentlicht der Anbieter auf trust.mistral.ai, mit 10 Tagen für einen Widerspruch
• Speicherung und Training: Das Training mit den über die API gesendeten Daten ist in der Organisation des Auftragsverarbeiters abgeschaltet. Die Speicherung der Inhalte zur Missbrauchskontrolle wird durch die Option der Null-Speicherung ausgeschlossen, die der Anbieter bezahlten Tarifen vorbehält: Zum Datum dieser Fassung ist sie nicht aktiv
• Vereinbarung des Anbieters: https://legal.mistral.ai/terms/data-processing-addendum (öffnet in einem neuen Tab) (in Kraft seit 27. Juli 2026), durch Verweis in die Geschäftsbedingungen einbezogen
• Vertragsstatus: ⚠️ Die Bedingungen von Mistral und ihre Vereinbarung zur Datenverarbeitung gelten mit der Annahme bei der Registrierung; es gibt keine gesondert unterzeichnete Vereinbarung, und zum Datum dieser Fassung hat der Anbieter die Null-Speicherung und die Gültigkeit der Vereinbarung für die Organisation des Auftragsverarbeiters nicht schriftlich bestätigt. Bis zu diesen Bestätigungen werden die KI-Funktionen nicht für reale Patienten verwendet (DPA, Ziffer 7.6)

2.3. Hostinger International Ltd

• Rechtliche Bezeichnung: Hostinger International Ltd
• Sitz: 61 Lordou Vironos str., 6023 Larnaca, Zypern
• Dienstkategorie: E-Mail-Versand der Domain über einen authentifizierten SMTP-Server (Einladungen, Erstzugang, Erinnerungen, Benachrichtigungen, Übermittlung von Dokumenten an den Patienten) und autoritatives DNS der Domain des Dienstes
• Art der verarbeiteten Daten: E-Mail-Adresse und Name des Empfängers, Nachrichtentext, Versandprotokolle und, wenn der Verantwortliche ein Dokument an den Patienten sendet (Einwilligung, Informationsblatt, Behandlungsbogen), das angehängte Dokument, das Gesundheitsdaten enthält
• Weiterleitung vorgelagert: Der ausgehende E-Mail-Verkehr von Hostinger läuft über einen von Hostinger gewählten Weiterleitungsanbieter (MailChannels, in den Nachrichten-Headern erkennbar). Sitz und Garantien dieser Übermittlungsstufe werden derzeit geprüft
• Ort der Verarbeitung: Anbieter mit Sitz in der Europäischen Union (Zypern); der Standort der Mailserver wird derzeit geprüft
• Datenschutzerklärung des Anbieters: https://www.hostinger.com/legal/privacy-policy (öffnet in einem neuen Tab)
• Vertrag des Anbieters: https://www.hostinger.com/legal/dpa (öffnet in einem neuen Tab)
• Vertragsstatus: ⚠️ Vertrag des Anbieters muss mit dem Konto der Gesellschaft gelesen und akzeptiert werden

2.4. Stripe

• Rechtliche Bezeichnung: Stripe Payments Europe Limited (Irland), mit Stripe, Inc. (Vereinigte Staaten)
• Sitz: 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland
• Dienstkategorie: für den Verantwortlichen das Abonnement des Dienstes (Daten des Arztes, nicht der Patienten). Nur wenn der Verantwortliche die Zahlung bei der Buchung aktiviert, der Einzug vom Patienten auf das Stripe-Konto des Verantwortlichen
• Art der verarbeiteten Daten: für das Abonnement Stammdaten und Zahlungsdaten des Verantwortlichen. Für die Zahlung bei der Buchung E-Mail-Adresse des Patienten, Betrag und Beschreibung des Termins
• Ort der Verarbeitung: Irland und Vereinigte Staaten
• Rechtsgrundlage der Übermittlung: Stripe, LLC ist dem EU-U.S. Data Privacy Framework beigetreten (auf der offiziellen Liste geprüft am 6. August 2026); Standardvertragsklauseln in der Vereinbarung von Stripe
• Datenschutzerklärung des Anbieters: https://stripe.com/it/privacy (öffnet in einem neuen Tab)
• Vereinbarung des Anbieters: https://stripe.com/it/legal/dpa (öffnet in einem neuen Tab)
• Status: Zahlungen zum Zeitpunkt dieser Fassung nicht aktiv

2.5. Vorgesehene, noch nicht aktive Unterauftragsverarbeiter

Bevor sie eingesetzt werden, werden sie nach dem Verfahren in Abschnitt 3 in diese Liste aufgenommen:

• ein externes Archiv für Sicherungskopien (Offsite-Backup) bei einem anderen Anbieter als Aruba mit Sitz in der Europäischen Union;
• ein SMS-Anbieter für den Signaturcode der Einwilligungen und für die Erinnerungen.

2-bis. Stellen, die keine Unterauftragsverarbeiter sind

Kein Content-Delivery-Network (CDN), kein Reverse-Proxy eines Dritten, keine von Dritten betriebene Web Application Firewall. Die Domain des Dienstes wird direkt auf die Adresse der Infrastruktur gemäß Ziffer 2.1 aufgelöst, überprüfbar mit einer DNS-Abfrage.

Sie erhalten etwas von der Software, aber keine Patientendaten, und sind deshalb keine Unterauftragsverarbeiter:

• Benachrichtigungsdienste der Browser (Google, Mozilla, Apple): erhalten eine Benachrichtigung ohne Inhalt;
• Zeitstempel (FreeTSA): erhält nur den Hashwert des Dokuments, nicht das Dokument;
• Literaturrecherche (PubMed der National Library of Medicine, Vereinigte Staaten; Europe PMC): erhält den von der Ärztin oder dem Arzt verfassten Suchtext, der keine Patientendaten enthalten darf.

Der Verantwortliche wählt sie aus, nicht der Auftragsverarbeiter: die externen Programme, die der Verantwortliche mit einem eigenen Schlüssel anbindet, und WhatsApp, wenn die Ärztin oder der Arzt den Link zur Videosprechstunde von dort aus über das eigene Gerät versenden möchte.

Folge für Kapitel V der DSGVO: Die Kette, die die klinischen Daten verarbeitet, umfasst keine Anbieter mit Sitz außerhalb der Europäischen Union. Eine Ausnahme bildet die Zahlung bei der Buchung (Ziffer 2.4), nur wenn der Verantwortliche sie aktiviert.

3. Verfahren zur Änderung der Liste und Widerspruchsrecht

3.1. Vorherige Mitteilung. Jede Änderung dieser Liste (Hinzufügung eines neuen Unterauftragsverarbeiters, Ersetzung eines bestehenden Unterauftragsverarbeiters, Beendigung eines Unterauftragsverhältnisses) wird vom Auftragsverarbeiter dem Verantwortlichen mit einer Frist von mindestens 30 (dreißig) Tagen vor dem Zeitpunkt des Wirksamwerdens der Änderung mitgeteilt. Die Mitteilung wird per E-Mail an die im Dienstleistungsvertrag angegebene Kontaktadresse des Verantwortlichen gesendet, und gleichzeitig wird diese Seite aktualisiert.

3.2. Inhalt der Mitteilung. Die Mitteilung enthält: die Bezeichnung und den Sitz des betroffenen Unterauftragsverarbeiters, die Kategorie der übertragenen Dienstleistung, die Art der verarbeiteten Daten, den Ort der Verarbeitung, gegebenenfalls die Rechtsgrundlage der Übermittlung, die getroffenen Garantien und den Zeitpunkt des Wirksamwerdens.

3.3. Widerspruchsrecht. Innerhalb von 30 Tagen nach Erhalt der Mitteilung kann der Verantwortliche der vorgeschlagenen Änderung schriftlich widersprechen und die Gründe für den Widerspruch angeben. Der Widerspruch ist an die Adresse info@fibonaccimedica.it zu richten, oder per PEC oder per Einschreiben mit Rückschein an die Anschrift des Sitzes des Auftragsverarbeiters.

3.4. Behandlung des Widerspruchs. Nach Eingang des Widerspruchs prüft der Auftragsverarbeiter nach Treu und Glauben alternative Lösungen, die geeignet sind, den der Änderung zugrunde liegenden technischen oder organisatorischen Bedarf zu erfüllen. Das Recht des Auftragsverarbeiters, die für die Fortführung des Dienstes als am besten geeignet erachtete technische Lösung zu wählen, bleibt unberührt.

3.5. Fehlende Einigung. Kommt zwischen den Parteien innerhalb einer angemessenen Frist nach dem Widerspruch keine Einigung zustande, ist jede Partei berechtigt, den Dienstleistungsvertrag unter Einhaltung einer schriftlichen Kündigungsfrist zu kündigen. Die vertraglichen Bestimmungen zur Rückgabe und Löschung der Daten bei Beendigung des Vertragsverhältnisses bleiben unberührt.

3.6. Dringende Änderungen aus Sicherheitsgründen. Wird die Änderung dringend erforderlich, aus Gründen der Sicherheit, der Kontinuität des Dienstes oder zur Erfüllung einer gesetzlichen Verpflichtung, kann der Auftragsverarbeiter mit kürzerer Frist vorgehen und teilt dem Verantwortlichen die Gründe unverzüglich mit. In diesem Fall gelten das Widerspruchsrecht des Verantwortlichen und die Bestimmungen der Punkte 3.3, 3.4 und 3.5 dennoch, wenn auch nachträglich.

3.7. Fehlender Widerspruch. Erhebt der Verantwortliche innerhalb der Frist von 30 Tagen keinen Widerspruch, gilt dies als Zustimmung zur Änderung.

4. Versionsverzeichnis

5. Kontakt

Für Rückfragen, zur Ausübung des Widerspruchsrechts oder für Anfragen zu ergänzenden Unterlagen über die genehmigten Unterauftragsverarbeiter kann sich der Verantwortliche an folgende Kontaktdaten wenden:

• Kontakt für den Datenschutz: info@fibonaccimedica.it
• Datenschutzbüro: info@fibonaccimedica.it
• Auftragsverarbeiter: Fibonacci Works S.r.l. · eingetragener Sitz: Via Brigata Liguria 105 R, 16121 Genova (GE)

Dieses Dokument entspricht dem eingangs angegebenen Stand und wird fortlaufend überprüft. Der Verantwortliche kann jederzeit eine schriftliche Bestätigung der geltenden Fassung dieses Verzeichnisses anfordern, indem er an info@fibonaccimedica.it schreibt. Bei Abweichungen zwischen der gedruckten Kopie und der unter https://fibonaccimedica.it/sub-responsabili veröffentlichten Fassung gilt die online veröffentlichte Fassung.