Vereinbarung zur Auftragsverarbeitung

Der Auftragsverarbeiter (nachfolgend „Auftragsverarbeiter“ oder „Cibus“):

• Firma: TP53 S.r.l.
• USt-IdNr.: IT02203290388
• Sitz: Via Pomposa 153, 44123 Ferrara (FE), Italien
• Datenschutzkontakt: privacy@cibushealth.com — cibushealth.com
• PEC (zertifizierte E-Mail): tp53health@pec.it
• Datenschutzbeauftragter: nicht benannt (Datenschutzkontakt siehe oben)

Der Verantwortliche (nachfolgend „Verantwortlicher“):

• Vor- und Nachname / Praxis: [bei Unterzeichnung auszufüllen]
• USt-IdNr. / Steuernummer: [...]
• Eintragung in die Berufskammer: [...]
• Anschrift und E-Mail: [...]

• Der Verantwortliche nutzt die Cibus-Softwareplattform zur Verwaltung seiner Ernährungspraxis;
• bei der Erbringung der Dienstleistung verarbeitet Cibus personenbezogene Daten der Patienten des Verantwortlichen in dessen Auftrag und nach dessen Weisungen;
• die Parteien beabsichtigen, diese Verarbeitung gemäß Art. 28 DSGVO zu regeln;

vereinbaren die Parteien Folgendes.

• Betroffene Person: der Patient des Verantwortlichen (einschließlich Minderjähriger).
• Verantwortlicher: der Ernährungsberater, der Zwecke und Mittel der Verarbeitung bestimmt und gegenüber seinen Patienten dafür verantwortlich ist.
• Auftragsverarbeiter: Cibus (TP53 S.r.l.), das Daten im Auftrag des Verantwortlichen und nach dessen Weisungen verarbeitet.
• Unterauftragsverarbeiter: Dienstleister, die Cibus zur Erbringung der Leistung einsetzt (siehe Anlage B).

• Gegenstand: Bereitstellung der Cibus-Software zur Verwaltung der Ernährungspraxis.
• Art der Verarbeitung: Hosting, Speicherung, Organisation, Abruf, Dokumentenerstellung, Kommunikation, Unterstützung durch künstliche Intelligenz und Sprachtranskription.
• Zweck: Ermöglichung der Verwaltung der Patienten durch den Verantwortlichen — Stammdaten, Anamnese, Körpermessungen, Ernährungspläne, Termine, Abrechnung, Dokumente, Nachrichten und Beratungsberichte.
• Dauer: während der gesamten Laufzeit des Dienstleistungsvertrags (aktives Konto) zuzüglich der gesetzlichen Aufbewahrungsfrist nach Beendigung (siehe Art. 9).

Identifikations- und Kontaktdaten:

Vorname, Nachname, E-Mail, Telefonnummer, Anschrift, Stadt, Geburtsdatum, Geschlecht und Beruf.

Gesundheitsdaten (besondere Kategorie — Art. 9 DSGVO):

• Anamnese und medizinische Vorgeschichte, Erkrankungen, Allergien/Unverträglichkeiten
• Klinische Untersuchungen (Gesamt-/HDL-/LDL-Cholesterin, Triglyzeride, Blutdruck)
• Körpermessungen (Gewicht, Größe, Körperfettanteil, Muskelmasse, Umfänge, Hautfaltenmessung)
• Schwangerschaften, Essverhalten, Ziele, Ernährungspläne und Diätformen

Sonstige Daten:

Termine, Beratungsnotizen, Abrechnungs-/Steuerdaten, Zugangsdaten, IP-Adresse und User-Agent (Audit-Protokolle).

• Patienten des Verantwortlichen, einschließlich Minderjähriger (mit Daten des Elternteils/gesetzlichen Vertreters). Soweit anwendbar, ist der Verantwortliche für die elterliche Einwilligung nach Art. 8 DSGVO zuständig.
• Gegebenenfalls Kontakte/Interessenten des Verantwortlichen.

Cibus verpflichtet sich:

1. Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, sofern keine gesetzliche Pflicht entgegensteht;
2. sicherzustellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind;
3. die Sicherheitsmaßnahmen nach Art. 32 DSGVO umzusetzen (siehe Anlage A);
4. die Voraussetzungen für den Einsatz von Unterauftragsverarbeitern einzuhalten (Art. 6 dieser Vereinbarung);
5. den Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 12–23) zu unterstützen: Die Plattform ermöglicht den vollständigen Datenexport sowie Berichtigung und Löschung;
6. den Verantwortlichen bei der Einhaltung der Pflichten zu Sicherheit, Meldung von Verletzungen und Datenschutz-Folgenabschätzung (Art. 32–36) zu unterstützen;
7. nach Wahl des Verantwortlichen die Daten bei Vertragsende zu löschen oder zurückzugeben (siehe Art. 9);
8. dem Verantwortlichen alle zum Nachweis der Einhaltung erforderlichen Informationen bereitzustellen und Audits/Inspektionen zu ermöglichen (siehe Art. 10).

• Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage B aufgeführten Unterauftragsverarbeiter.
• Cibus informiert den Verantwortlichen über jede Änderung (Hinzufügung oder Austausch eines Unterauftragsverarbeiters) und räumt eine angemessene Frist für Einwände ein.
• Cibus verpflichtet jeden Unterauftragsverarbeiter zu gleichwertigen Datenschutzpflichten und bleibt dem Verantwortlichen gegenüber für deren Handlungen voll verantwortlich.

• Die Hauptinfrastruktur (Verarbeitung, Datenbank, Dokumentenerstellung, Speicherung und Backups) befindet sich in der Europäischen Union (siehe Anlage B).
• Einige Unterauftragsverarbeiter haben ihren Sitz in den USA; diese Übermittlungen unterliegen den von der EU-Kommission angenommenen Standardvertragsklauseln (SCC) und/oder den DPA der jeweiligen Anbieter, deren Gültigkeit Cibus sicherstellt.

Cibus meldet dem Verantwortlichen jede ihr bekannt werdende Verletzung des Schutzes personenbezogener Daten unverzüglich und in jedem Fall spätestens innerhalb von 72 Stunden. Die Meldung enthält Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Daten, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen.

• Während des Vertrags: Patientendaten werden nicht automatisch gelöscht; der Verantwortliche verwaltet den Lebenszyklus der Daten seiner Patienten.
• Nach Vertragsende: Der Verantwortliche hat 90 Tage Zeit für den Datenexport. Nach Ablauf dieser Frist löscht Cibus identifizierbare Daten, sofern keine gesetzliche Aufbewahrungspflicht besteht:

• Steuerdaten/Rechnungen: 10 Jahre (Art. 2220 italienisches Zivilgesetzbuch)
• Audit-Protokolle: 12–24 Monate
• Backups: Löschung innerhalb von 7 Tagen (automatische Rotation)

Cibus darf anonymisierte und aggregierte Daten aufbewahren, die keine Identifizierung von Personen ermöglichen und daher nicht in den Anwendungsbereich der DSGVO fallen.

• Cibus bleibt dem Verantwortlichen gegenüber für Datenschutzpflichtverletzungen ihrer Unterauftragsverarbeiter voll verantwortlich (Art. 28 Abs. 4).
• Der Verantwortliche ist zur Prüfung berechtigt: Cibus stellt die erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung und des Art. 28 DSGVO bereit.

• Anwendbares Recht: italienisches Recht.
• Gerichtsstand: Gericht Ferrara (Sitz von TP53 S.r.l.).

Diese Vereinbarung gilt ab Unterzeichnung und für die gesamte Laufzeit des Dienstleistungsvertrags. Pflichten zu Vertraulichkeit, Rückgabe/Löschung und Haftung gelten über das Vertragsende hinaus.

Die Unterzeichnung des Cibus-Dienstleistungsvertrags — auch durch digitale Annahme auf der Vertragsplattform — gilt als vollständige Annahme dieses DPA gemäß Art. 28 DSGVO.

• Verschlüsselung bei der Übertragung: TLS/HTTPS für alle Verbindungen.
• Verschlüsselung im Ruhezustand: durch die Infrastruktur-Anbieter gewährleistet (Neon-Datenbank; Vercel-Blob-Dateispeicher).
• Passwörter: bcrypt-Hashing (Kostenfaktor 10), niemals im Klartext gespeichert.
• Steuerzugangsdaten (Sistema Tessera Sanitaria): auf Anwendungsebene mit AES-256-GCM verschlüsselt.
• Authentifizierung und Zugriffe: sichere Sitzungsverwaltung; rollenbasierte Zugriffskontrolle (Ernährungsberater, Sekretariat, Steuerberater, Patient, Administrator) mit Mandantentrennung — jeder Ernährungsberater greift ausschließlich auf eigene Patienten zu.
• Datenexporte: über authentifizierte, zeitlich begrenzte Einmal-Links; die Datei verbleibt nicht in einem öffentlichen Archiv.
• Audit-Protokoll: Erfassung von Zugriffen, Erstellung/Änderung/Löschung von Patienten und Exporten einschließlich IP-Adresse und User-Agent.
• Backups: regelmäßige vollständige Kopie auf Cloudflare R2 (EU — Westeuropa), Aufbewahrung 7 Tage.
• Verarbeitungsstandort: Anwendungsfunktionen und Datenbank in der EU (Frankfurt); PDF-Erstellung in der EU (Amsterdam).

Transparenzhinweis: Gesundheitsdaten werden auf Anwendungsebene nicht feldweise verschlüsselt; die Verschlüsselung im Ruhezustand entspricht derjenigen der Infrastruktur-Anbieter. Eine Ende-zu-Ende-Verschlüsselung wird nicht zugesichert.

Hinweis zu Anthropic: Direkt identifizierende Patientendaten werden vor der Übermittlung aus den an die KI gesendeten Inhalten entfernt. Anthropic verwendet über die API empfangene Daten nicht zum Trainieren seiner Modelle.

Hinweis zu Aspose Cloud: optionaler Dienst. Ohne diesen erfolgt die DOCX→PDF-Konvertierung über LibreOffice/Gotenberg in der EU (Amsterdam), ohne Übermittlung.

In der Produktion NICHT verwendete und daher nicht aufgeführte Dienste: Stripe, Supabase, OpenAI, Upstash.