Fassung 2026-08-21
Entwurf, noch nicht veröffentlichungsreif. Vor der Veröffentlichung sollte eine Fachanwältin für IT-Recht darübergehen. Diesen Hinweiskasten zuletzt löschen.
⚖️ Kein Rechtsrat. Entwurf nach Art. 28 DSGVO, geschrieben am 21.08.2026. Vor der Veröffentlichung sollte eine Fachanwältin für IT-Recht darübergehen. Stellen in [eckigen Klammern] füllen.
Wenn du im Manuskript-Kompass einen Text hochlädst, stehen darin manchmal Angaben über andere Menschen: eine Widmung, eine Danksagung mit Namen, eine autobiografische Passage über deine Familie, ein Sachbuchteil, eine Figur, die einem realen Menschen nachempfunden ist. Auch deine Notizen und der Projektchat können so etwas enthalten.
Über diese Angaben entscheidest du. Ich verarbeite sie nur, weil du sie mir gibst, und nur so, wie du es beauftragst. Datenschutzrechtlich heißt das: Du bist die Verantwortliche, ich bin deine Auftragsverarbeiterin. Dafür verlangt Artikel 28 der Datenschutz-Grundverordnung einen Vertrag. Das ist dieser hier.
Er gilt zusätzlich zu den Nutzungsbedingungen und ergänzt sie. Wo etwas anderes darin steht, gilt für die Verarbeitung personenbezogener Daten dieser Vertrag.
Wenn du ausschließlich privat schreibst, ohne jede Veröffentlichungsabsicht, gilt die Datenschutz-Grundverordnung für dich nicht (Art. 2 Abs. 2 lit. c DSGVO). Dann brauchst du diesen Vertrag nicht, und er läuft für dich ins Leere. Weil ich das nicht von außen erkennen kann, schließe ich ihn mit allen — er schadet dir in keinem Fall.
Auftraggeberin und Verantwortliche: Du, als Nutzerin des Manuskript-Kompass, mit den Daten, die in deinem Konto hinterlegt sind.
Auftragsverarbeiterin: Antje Backwinkel, Manuskript-Kompass — eine Marke von KI-Kreativschmiede Am Marienpfad 17, 55128 Mainz, Deutschland info@manuskript-kompass.de
Er kommt zustande, wenn du bei der Registrierung bestätigst, dass du ihn gelesen hast und ihm zustimmst. Eine Unterschrift ist nicht nötig; Art. 28 Abs. 9 DSGVO lässt ein elektronisches Format ausdrücklich zu.
Ich halte fest, wann du zugestimmt hast und welcher Fassung. Dieser Vermerk ist der Nachweis, den Art. 5 Abs. 2 DSGVO von mir verlangt. Du kannst ihn jederzeit anfordern.
Gegenstand ist die Verarbeitung der personenbezogenen Daten, die in den von dir hochgeladenen und in der Anwendung erzeugten Inhalten stecken.
Dauer: Der Vertrag läuft, solange dein Konto besteht. Er endet mit der Löschung des Kontos.
Art der Verarbeitung: Erheben, Speichern, Auslesen, Verwenden, Verändern, Übermitteln an die in Abschnitt 7 genannten Unterauftragsverarbeiter, Löschen.
Zweck: Ausschließlich die Erbringung der von dir beauftragten Leistungen — Textanalyse, Gutachten, Strukturdiagnose, Lektorat, Marktverortung, Serienverwaltung. Kein anderer.
Insbesondere:
Datenarten, soweit du sie in deinen Inhalten unterbringst: Namen, Anrede, Wohn- oder Aufenthaltsorte, berufliche Angaben, Beziehungen und Verwandtschaftsverhältnisse, Lebensdaten, Fotos und Beschreibungen, sowie alles Weitere, was ein Manuskript über einen Menschen sagen kann.
Kategorien betroffener Personen: Alle Menschen, über die deine Inhalte Angaben enthalten — zum Beispiel Widmungsempfänger, in der Danksagung Genannte, Familienangehörige, Vorbilder für Figuren, in Sachbuchteilen behandelte Personen.
Besondere Kategorien nach Art. 9 DSGVO — Gesundheit, Sexualleben und sexuelle Orientierung, religiöse oder weltanschauliche Überzeugungen, politische Meinungen, ethnische Herkunft, Gewerkschaftszugehörigkeit, biometrische und genetische Daten — sowie Daten über Straftaten nach Art. 10 DSGVO können in Manuskripten vorkommen. Für ihre Aufnahme in deinen Text bist du verantwortlich. Ich behandle sie wie den übrigen Text und mit denselben Schutzmaßnahmen.
Deine Pflicht dabei: Prüfe vor dem Hochladen, ob du reale Namen und identifizierbare Angaben über Dritte wirklich brauchst. Wo du sie nicht brauchst, verfremde sie. Für die Rechtmäßigkeit der Verarbeitung der Daten Dritter bist du verantwortlich, nicht ich — genau wie beim Schreiben selbst.
Ich verarbeite die Daten ausschließlich nach deinen Weisungen. Deine Weisungen ergeben sich aus diesem Vertrag, aus den Nutzungsbedingungen und aus dem, was du in der Anwendung tust: Was du hochlädst, welche Funktion du startest, was du löschst.
Zusätzliche Weisungen kannst du mir in Textform an info@manuskript-kompass.de geben. Ich setze sie um, soweit sie technisch möglich und vom Vertrag gedeckt sind. Halte ich eine Weisung für rechtswidrig, sage ich dir das und darf ihre Ausführung bis zur Klärung aussetzen (Art. 28 Abs. 3 Satz 3 DSGVO).
Ohne deine Weisung verarbeite ich nur, wenn das Unionsrecht oder deutsches Recht es von mir verlangt. In dem Fall informiere ich dich vorher, es sei denn, dieselbe Vorschrift verbietet mir das.
Ich bin zur Vertraulichkeit verpflichtet. Ich betreibe den Manuskript-Kompass allein; es gibt keine Beschäftigten, denen ich Zugriff einräume. Sollte sich das ändern, verpflichte ich jede Person vor dem ersten Zugriff schriftlich auf Vertraulichkeit, und diese Verpflichtung gilt auch nach dem Ende ihrer Tätigkeit weiter.
Mein eigener Zugriff: Ich kann technisch auf die Datenbank zugreifen. Das ist bei jeder Anwendung so, die ein Mensch betreibt. Ich nutze diesen Zugriff in drei Fällen und sonst nicht:
Ich lese keine Manuskripte, um sie zu lesen.
Du erteilst mir die allgemeine Genehmigung, folgende Unternehmen einzusetzen:
| Unternehmen | Wofür | Ort der Verarbeitung |
|---|---|---|
| Supabase Pte. Ltd. | Datenbank, Konto, deine Projekte und Texte | Irland (eu-west-1) |
| Amazon Web Services EMEA SARL, Luxemburg | KI-Analyse über Amazon Bedrock; verschlüsselte Sicherungen der Datenbank | Frankfurt am Main (eu-central-1) |
| Vercel Inc., USA | Betrieb der Anwendung | Frankfurt am Main (fra1), Zugriff aus den USA möglich |
| Plus Five Five, Inc. (Resend), USA | Systemnachrichten per E-Mail | USA |
| Anthropic PBC, USA | Websuche nach Vergleichstiteln, nur mit einem abstrakten Suchprofil ohne Manuskripttext | USA |
Mit jedem dieser Unternehmen besteht ein Vertrag mit Pflichten, die diesem hier im Wesentlichen entsprechen. Für die Einhaltung durch diese Unternehmen hafte ich dir gegenüber wie für eigenes Handeln.
Übermittlung in die USA: Für Vercel, Resend und Anthropic stütze ich die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission nach dem Durchführungsbeschluss (EU) 2021/914, Modul 2 oder 3. Eine Kopie bekommst du auf Anfrage.
Änderungen: Kommt ein Unternehmen hinzu oder fällt eines weg, informiere ich dich mindestens 30 Tage vorher per E-Mail. Du kannst innerhalb dieser Frist widersprechen. Widersprichst du und finden wir keine Lösung, kannst du den Vertrag über den Manuskript-Kompass zum Zeitpunkt der Umstellung beenden; ich erstatte dir den anteiligen Betrag für den nicht genutzten Zeitraum.
Nach Art. 32 DSGVO setze ich folgende Maßnahmen ein:
Verschlüsselung. Alle Verbindungen zur Anwendung und zwischen den beteiligten Diensten sind mit TLS verschlüsselt. Die Datenbank verschlüsselt Daten im Ruhezustand, ebenso die Sicherungen, die ich selbst anlege.
Passwortsicherheit. Passwörter liegen ausschließlich als kryptografischer Hashwert vor. Einen Abgleich gegen Passwörter aus bekannten Datenpannen führt die Anwendung bei der Vergabe nicht durch.
Keine Fremdinhalte auf der Website. Die Verkaufsseite lädt keine Schriften, Skripte oder Bilder von fremden Servern. Die Content-Security-Policy erlaubt ausschließlich die eigene Adresse, und der Bestellvorgang läuft über eine Weiterleitung statt über eine Einbettung. Damit entsteht auf der Seite selbst keine Übermittlung an Dritte.
Zugriffskontrolle. Der Zugriff auf deine Projekte ist auf Datenbankebene an dein Konto gebunden (Row Level Security). Andere Nutzerinnen können deine Inhalte technisch nicht sehen — das ist keine Regel in der Oberfläche, sondern eine Regel in der Datenbank. Der Zugang zum KI-Dienst läuft über ein eigenes technisches Konto, dessen Rechte auf genau zwei Aufrufe beschränkt sind.
Trennung. Deine Inhalte sind je Konto und je Projekt getrennt gespeichert. Der Nachweis über Einwilligungen liegt in einer eigenen Tabelle, aus der niemand nachträglich etwas ändern oder löschen kann.
Datenminimierung an der Grenze. Der einzige Verarbeitungsweg, der die Europäische Union verlässt, ist die freiwillige Suche nach Vergleichstiteln. Dort prüft eine automatische Kontrolle vor jedem Versand, dass keine sechs Wörter in Folge aus deinem Text und keine Namen im Suchprofil stehen, und dass das Profil insgesamt 400 Zeichen nicht überschreitet. Fällt die Prüfung durch, wird das Profil verworfen.
Verfügbarkeit. Die Anwendung läuft auf einer Infrastruktur mit automatischer Wiederherstellung. Den Datenbestand sichere ich zusätzlich selbst: verschlüsselt, getrennt von der Datenbank und innerhalb der Europäischen Union.
Überprüfbarkeit. Änderungen an der Anwendung durchlaufen eine automatisierte Testreihe, bevor sie live gehen. Die Regel, dass Manuskripttext die EU nicht verlässt, ist im Code als Vorgabewert hinterlegt: Ein Aufruf, der sie verletzen würde, bricht ab, bevor er sendet.
Ich passe diese Maßnahmen dem Stand der Technik an. Das Schutzniveau darf dabei nicht sinken.
Wenn sich jemand bei dir meldet, der in deinem Manuskript vorkommt und Auskunft, Löschung oder Berichtigung verlangt, unterstütze ich dich dabei, soweit die Anwendung das hergibt: Du kannst deine Inhalte jederzeit selbst einsehen, ändern und löschen.
Wenn sich jemand bei mir meldet, leite ich die Anfrage an dich weiter und beantworte sie nicht selbst — es sei denn, du hast mich dazu beauftragt.
Wenn du selbst Auskunft verlangst, bekommst du eine Datei mit deinen Kontodaten, deinen Projekten samt Manuskripttext, deinen Lektoratspaketen, deinem Autorinnen-Profil und den zu deinem Konto gehörenden Nutzungsereignissen.
Ich unterstütze dich außerdem bei einer Datenschutz-Folgenabschätzung und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde, soweit du sie brauchst und ich dazu beitragen kann (Art. 28 Abs. 3 lit. f, Art. 32 bis 36 DSGVO).
Erfahre ich von einer Verletzung des Schutzes personenbezogener Daten, die deine Inhalte betrifft, informiere ich dich unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis. Ich teile dir mit, was passiert ist, welche Daten betroffen sind, welche Folgen zu erwarten sind und was ich dagegen tue.
Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung der Betroffenen nach Art. 34 DSGVO liegen bei dir als Verantwortlicher. Ich liefere dir alles, was du dafür brauchst.
Löschst du dein Konto, lösche ich deine Inhalte aus den aktiven Systemen. Meine eigenen Sicherungen werden innerhalb von 30 Tagen überschrieben; spätestens dann verschwinden deine Inhalte auch aus ihnen.
Ausgenommen sind Daten, die ich gesetzlich aufbewahren muss: Rechnungen und Buchungsbelege acht Jahre nach § 147 Abs. 3 AO und § 257 Abs. 4 HGB, sonstige Geschäftskorrespondenz sechs Jahre. Dazu gehört kein Manuskripttext.
Ebenfalls ausgenommen ist der Nachweis über deine Einwilligungen — den brauche ich, um belegen zu können, dass die Verarbeitung rechtmäßig war.
Auf Wunsch bestätige ich dir die Löschung in Textform.
Auf Anfrage weise ich dir die Einhaltung dieses Vertrags nach: durch Auskunft in Textform, durch Vorlage der Zertifikate und Prüfberichte meiner Unterauftragsverarbeiter, oder durch die Angaben in der Datenschutzerklärung und in diesem Vertrag.
Reicht dir das nicht, kannst du eine Überprüfung verlangen — nach Vorankündigung von mindestens vier Wochen, zu üblichen Geschäftszeiten, ohne Störung des Betriebs und höchstens einmal im Jahr, es sei denn, es gibt einen konkreten Anlass. Du kannst dafür auch eine unabhängige Prüferin beauftragen, die nicht in Wettbewerb zu mir steht und zur Verschwiegenheit verpflichtet ist.
Kosten einer solchen Prüfung trägst du, außer die Prüfung deckt einen Verstoß von mir auf.
Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen.
Es gilt deutsches Recht. Ist eine Bestimmung dieses Vertrags unwirksam, bleibt der Rest wirksam; an die Stelle der unwirksamen Bestimmung tritt, was ihrem Zweck am nächsten kommt und wirksam ist.
Widersprechen sich dieser Vertrag und die Nutzungsbedingungen, gilt für die Verarbeitung personenbezogener Daten dieser Vertrag.
Änderungen dieses Vertrags teile ich dir mindestens 30 Tage vorher per E-Mail mit. Betrifft die Änderung deine Rechte wesentlich, kannst du widersprechen; wir suchen dann eine Lösung, und wenn wir keine finden, kannst du den Vertrag beenden.
Fassung 2026-08-21 · Frühere Fassungen bekommst du auf Anfrage.