Stand: [Datum des Livegangs]
Entwurf, Fassung 2, noch nicht veröffentlichungsreif. Alle rot markierten Stellen prüfen und füllen, dann die Kästen entfernen. Vor der Veröffentlichung sollte eine Fachanwältin für IT-Recht darübergehen. Diesen Hinweiskasten zuletzt löschen.
⚖️ Kein Rechtsrat. Ich bin keine Anwältin. Dieser Text ist nach bestem Wissen und auf dem Rechtsstand vom 21.08.2026 geschrieben und bildet dein tatsächliches Setup ab, so wie ich es in Code, Datenbank, Vercel-Konfiguration und deinen Notizen vorgefunden habe. Fassung 2, nach einer adversarialen Gegenprüfung. Vor der Veröffentlichung sollte eine Fachanwältin für IT-Recht darübergehen. Alle Stellen in [eckigen Klammern] musst du füllen.
Deine Manuskripte sind unveröffentlichte Werke. Diese Erklärung sagt dir vollständig, was mit ihnen und mit deinen übrigen Daten passiert, wer sie zu sehen bekommt und wie lange sie bleiben.
Sie gilt für zwei Angebote: die Website manuskript-kompass.de und die Anwendung app.manuskript-kompass.de (bis auf Weiteres auch erreichbar unter ki.autorenpotenzial.de). Was nur für eines von beiden gilt, ist entsprechend gekennzeichnet.
Verantwortliche im Sinne der Datenschutz-Grundverordnung:
Manuskript-Kompass — eine Marke von KI-Kreativschmiede Inhaberin: Antje Backwinkel Am Marienpfad 17 55128 Mainz Deutschland
E-Mail: info@manuskript-kompass.de Telefon: +49 6131 791589
Als Kleinunternehmerin nach § 19 UStG weise ich keine Umsatzsteuer aus und führe keine Umsatzsteuer-Identifikationsnummer.
[⚠️ Zur Datenschutzbeauftragten: Der Satz „ist nicht bestellt, § 38 BDSG liegt nicht vor" gilt nur, solange keine umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 DSGVO die Kerntätigkeit ist. Bei autobiografischen Manuskripten ist das eine ernst zu nehmende Frage. Siehe Maßnahmenliste. Bis zur Klärung diesen Absatz weglassen oder anwaltlich abklären.]
Du hast jederzeit das Recht:
Eine Nachricht an info@manuskript-kompass.de genügt. Ich antworte innerhalb eines Monats.
Wie eine Auskunft praktisch abläuft: Auf Anfrage bekommst du eine Datei mit deinen Kontodaten, deinen Projekten samt Manuskripttext, deinen Lektoratspaketen, deinem Autorinnen-Profil und den zu deinem Konto gehörenden Nutzungsereignissen. Bei großen Manuskripten kann das ein umfangreiches Paket werden; ich schicke es dir über einen geschützten Downloadlink und nicht als E-Mail-Anhang.
Einige Verarbeitungen stütze ich auf mein berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO: die Server-Protokolle (4.1), die Beantwortung deiner E-Mails außerhalb eines Vertrags (4.5), die E-Mails an Käuferinnen (4.7), das Versenden von Umfragelinks (4.8), den Betriebs- und Missbrauchsteil der Nutzungsereignisse (5.8) und die Rückmeldungen aus der Feedback-Funktion (5.9).
Gegen jede dieser Verarbeitungen kannst du Widerspruch einlegen, aus Gründen, die sich aus deiner besonderen Situation ergeben (Art. 21 Abs. 1 DSGVO). Ich verarbeite die betroffenen Daten dann nicht mehr, es sei denn, ich kann zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung oder Verteidigung von Rechtsansprüchen.
Gegen Werbung kannst du jederzeit widersprechen, ohne das zu begründen (Art. 21 Abs. 2 DSGVO). Danach verarbeite ich deine Daten nicht mehr für Werbung. Das kostet dich nichts außer den Übermittlungskosten nach Basistarif.
Eine formlose Nachricht an info@manuskript-kompass.de genügt in beiden Fällen.
Beschwerde: Du kannst dich bei jeder Datenschutzaufsichtsbehörde beschweren. Für mich zuständig ist:
Musst du angeben: E-Mail-Adresse und Passwort, sonst kann ich dir kein Konto einrichten. Name und Rechnungsanschrift beim Kauf, weil ich ohne sie keine ordnungsgemäße Rechnung stellen darf (§ 14 UStG). Ohne diese Angaben kommt kein Vertrag zustande.
Brauchst du für einzelne Funktionen: Manuskripttext, Genre, Briefing. Ohne sie kann der Kompass nicht arbeiten. Ob du sie eingibst, entscheidest du von Projekt zu Projekt.
Ist völlig freiwillig: die Newsletter-Anmeldung, die Teilnahme an Umfragen, die Freigabe deiner Lektoratsentscheidungen für das Regelwerk, die Suche nach Vergleichstiteln, Rückmeldungen über die Feedback-Funktion und deine Telefonnummer. Sagst du hier Nein, hat das keine Folgen für deinen Vertrag und für das, was der Kompass für dich tut.
Die Website läuft bei der Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Ausgeliefert wird sie aus der Region Frankfurt am Main (fra1).
Bei jedem Aufruf überträgt dein Browser technische Daten, die der Server kurzzeitig protokolliert:
Diese Daten brauche ich, um die Seite überhaupt ausliefern zu können, Störungen zu finden und Angriffe abzuwehren. Rechtsgrundlage ist mein berechtigtes Interesse am sicheren und stabilen Betrieb, Art. 6 Abs. 1 lit. f DSGVO. Ich führe die Protokolle nicht mit anderen Daten zusammen und werte sie nicht personenbezogen aus. Vercel speichert sie nach eigenen Angaben nur kurzzeitig für Betrieb und Missbrauchsabwehr; ich habe darauf keinen Zugriff und sehe sie nicht ein.
Mit Vercel besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Die Daten liegen und werden verarbeitet in Frankfurt. Vercel ist aber ein US-Unternehmen, dessen Beschäftigte für Betrieb und Wartung aus den USA auf die Systeme zugreifen können. Deshalb ist das rechtlich trotzdem eine Übermittlung in die USA, und deshalb stütze ich sie auf die Standardvertragsklauseln — siehe Abschnitt 7.
Die Schriften Cormorant Garamond und Montserrat werden zusammen mit der Seite von meinem Hoster in Frankfurt ausgeliefert (Abschnitt 4.1). Es wird dabei keine Verbindung zu Google aufgebaut, und deine IP-Adresse erreicht Google auf diesem Weg nicht.
Verkauf und Bezahlung laufen über die ThriveCart LLC, 251 Little Falls Drive, Wilmington, Delaware 19808, USA.
Auf dieser Website findet dazu nichts statt. Es gibt kein eingebettetes Bestellformular, kein Skript von ThriveCart und keinen Bot-Schutz. Der Knopf „Gutachten bestellen" ist ein gewöhnlicher Link. Solange du ihn nicht anklickst, erfährt ThriveCart nichts von deinem Besuch.
Klickst du ihn an, wechselst du auf eine Seite von ThriveCart. Dort gilt deren Datenschutzerklärung, und dort werden auch Informationen in deinem Endgerät gespeichert — darunter ein Cookie zur Zuordnung von Empfehlungen mit einer Laufzeit von 30 Tagen.
Beim Kauf selbst verarbeite ich über ThriveCart:
Rechtsgrundlage ist die Erfüllung des Kaufvertrags, Art. 6 Abs. 1 lit. b DSGVO, sowie meine handels- und steuerrechtlichen Aufbewahrungspflichten, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB.
ThriveCart stellt dabei nur die Bestellsoftware. Verkäuferin bin ich; die Zahlung geht auf meine eigenen Konten bei den Zahlungsdienstleistern, und auf deiner Rechnung steht mein Name. ThriveCart arbeitet insoweit weisungsgebunden für mich.
[🔴 Blockiert die Veröffentlichung. Geprüft am 21.08.2026: ThriveCarts Auftragsverarbeitungs- vertrag verspricht Standardvertragsklauseln nach Art. 46 DSGVO, die von ihnen veröffentlichten Klauseln sind aber die aufgehobene Fassung von 2010 (Art. 26 Abs. 2 der Richtlinie 95/46/EG). Hier darf erst etwas stehen, wenn ThriveCart geantwortet hat. Vollständiger Befund und Anschreiben in der Maßnahmenliste, Abschnitt 16.]
Die eigentliche Zahlung wickeln die von dir gewählten Zahlungsdienstleister ab, je nach Zahlungsart Stripe oder PayPal. Deine vollständigen Zahlungsdaten — Kartennummer, Bankverbindung, PayPal-Zugangsdaten — erreichen mich nicht. Ich erfahre nur, ob die Zahlung erfolgreich war.
Diese Anbieter handeln bei der Zahlungsabwicklung als eigene Verantwortliche und unterliegen eigenen aufsichtsrechtlichen Pflichten, etwa aus dem Geldwäscherecht. Es gelten deshalb deren eigene Datenschutzerklärungen:
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Schreibst du mir eine E-Mail, verarbeite ich deine Adresse und den Inhalt deiner Nachricht, um sie zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag oder dessen Anbahnung geht, sonst mein berechtigtes Interesse an der Beantwortung deiner Anfrage, Art. 6 Abs. 1 lit. f DSGVO.
Mein Postfach liegt bei der Lima-City GmbH in Deutschland; mit diesem Unternehmen besteht ein Vertrag zur Auftragsverarbeitung. Von dort hole ich die Nachrichten in mein lokales E-Mail-Programm auf meinem eigenen Rechner. Ein Cloud-Postfach eines US-Anbieters ist dabei nicht im Spiel.
Ich lösche die Korrespondenz, sobald sie erledigt ist und keine Aufbewahrungspflicht entgegensteht.
Für den Newsletter nutze ich Encharge, betrieben von der PXCH Holding I, LLC, 2423 SW 147th Ave #2262, Miami, FL 33185, USA.
Die Anmeldung läuft im Double-Opt-in-Verfahren: Nach dem Absenden des Formulars bekommst du eine E-Mail mit einem Bestätigungslink. Erst wenn du ihn anklickst, trage ich dich ein. So ist ausgeschlossen, dass jemand dich mit einer fremden Adresse anmeldet.
Ich verarbeite dafür deine E-Mail-Adresse, deinen Namen, soweit du ihn angibst, sowie Zeitpunkt und IP-Adresse von Anmeldung und Bestätigung. Die beiden letzten Angaben brauche ich als Nachweis, dass die Einwilligung wirklich von dir stammt (Art. 7 Abs. 1 DSGVO).
Rechtsgrundlage ist deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie jederzeit widerrufen — der Abmeldelink steht unter jeder E-Mail. Nach dem Widerruf lösche ich deine Daten aus dem Verteiler; die Anmeldedaten bewahre ich noch drei Jahre als Nachweis auf und sperre sie für die weitere Nutzung.
Encharge misst, ob eine E-Mail geöffnet und ob Links angeklickt wurden. Diese Messung ist Teil deiner Einwilligung. Sie hilft mir zu erkennen, welche Themen dich interessieren, und ob meine E-Mails technisch überhaupt ankommen.
Encharge hostet die Kontodaten auf AWS in Irland. Für den Zugriff aus den USA besteht ein gezeichneter Auftragsverarbeitungsvertrag mit den Standardvertragsklauseln der Europäischen Kommission, Modul 2 (Verantwortliche an Auftragsverarbeiter).
Hast du bei mir gekauft, schicke ich dir im Anschluss einige E-Mails zu ähnlichen eigenen Angeboten. Das erlaubt mir § 7 Abs. 3 UWG, weil du deine Adresse beim Kauf hinterlassen hast. Rechtsgrundlage nach der DSGVO ist mein berechtigtes Interesse an Direktwerbung, Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Erwägungsgrund 47.
Damit das zulässig ist, muss ich dich zweimal auf dein Widerspruchsrecht hinweisen: einmal, wenn ich deine Adresse bekomme, und einmal in jeder Werbe-E-Mail. Beides tue ich — im Bestellformular steht der Hinweis über dem Kauf-Button, und in jeder dieser E-Mails steht er im Fuß, zusammen mit dem Abmeldelink. Der Widerspruch kostet dich nichts außer den Übermittlungskosten nach Basistarif.
Diese E-Mails schicke ich dir bis 24 Monate nach deinem letzten Kauf, danach nehme ich dich automatisch heraus. Früher, wenn du widersprichst.
Sie sind vom Newsletter getrennt. Für den Newsletter brauche ich deine ausdrückliche Einwilligung (Abschnitt 4.6), für diese E-Mails nicht.
Für Umfragen nutze ich Tally, betrieben von der Tally BV, Sint-Pietersnieuwstraat 11, 9000 Gent, Belgien. Tally hostet in Belgien, deine Antworten bleiben in der Europäischen Union.
Du entscheidest selbst, ob du teilnimmst. Antwortest du nicht, hat das keinerlei Folgen — weder für deinen Vertrag noch für irgendetwas anderes.
Wenn ich dir einen Umfragelink schicke, kann in diesem Link eine Kennung stecken, mit der ich deine Antwort deinem Kauf zuordnen kann. Das steht in der Umfrage noch einmal, bevor du die erste Frage beantwortest. Willst du das nicht, findest du dort auch einen Link zur anonymen Fassung ohne Zuordnung.
Rechtsgrundlage für die Verarbeitung deiner Antworten ist deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; du erteilst sie, indem du die Umfrage absendest. Rechtsgrundlage dafür, dir den Link überhaupt zu schicken und die Zuordnungskennung zu vergeben, ist mein berechtigtes Interesse daran zu erfahren, ob mein Angebot taugt, Art. 6 Abs. 1 lit. f DSGVO; dagegen kannst du widersprechen.
Umfrageantworten lösche ich nach 24 Monaten. Mit Tally besteht ein Auftragsverarbeitungsvertrag.
Auf der Dankeseite verlinke ich mein Profil bei ProvenExpert (Expert Systems AG, Quedlinburger Str. 1, 10589 Berlin). Das ist ein gewöhnlicher Link. Solange du ihn nicht anklickst, erfährt ProvenExpert nichts von deinem Besuch. Klickst du ihn an, gilt die Datenschutzerklärung von ProvenExpert. Eine Bewertung ist freiwillig und wird nicht belohnt.
Zurzeit findet auf der Website keine Reichweitenmessung statt. Kein Analyse-Werkzeug, kein Zählpixel, kein Werbe-Tracking.
[⚠️ Sobald Vercel Web Analytics, die Google Search Console oder Google Ads dazukommen, muss dieser Abschnitt ersetzt werden. Bausteine dafür liegen in der Maßnahmenliste.]
Die Website setzt keine Cookies und speichert nichts in deinem Endgerät. Sie lädt ausschließlich Dateien von ihrer eigenen Adresse — kein Skript, keine Schrift, kein Zählpixel von irgendwo sonst. Deshalb findest du hier kein Einwilligungsbanner: Es gibt nichts, worin du einwilligen müsstest.
Eine Ausnahme gibt es, und die betrifft nicht diese Seite: In der Anwendung app.manuskript-kompass.de speichert dein Browser nach dem Anmelden ein Sitzungsmerkmal, damit du eingeloggt bleibst und nicht bei jedem Klick dein Passwort eingeben musst. Ohne diese Speicherung könnte die Anwendung nicht funktionieren; sie ist deshalb unbedingt erforderlich im Sinne von § 25 Abs. 2 Nr. 2 TDDDG und braucht keine Einwilligung. Beim Abmelden wird sie gelöscht.
Was auf den Seiten passiert, zu denen ich verlinke — ThriveCart, ProvenExpert, Instagram, Facebook —, liegt in der Hand der dortigen Anbieter. Dorthin kommst du nur durch einen Klick.
Sollte sich daran etwas ändern, findest du an dieser Stelle die Erklärung dazu.
Auf /widerruf steht die elektronische Widerrufsfunktion, die § 356a BGB seit dem 19.06.2026 verlangt. Sie ist ohne Anmeldung erreichbar — wer widerrufen will, hat sich vielleicht nie eingeloggt.
Ich verarbeite dabei genau drei Angaben von dir: deinen Namen, eine Angabe zur Identifizierung des Vertrags (Bestellnummer oder Zugangscode) und deine E-Mail-Adresse für die Eingangsbestätigung. Kein Grund, kein Marketingfeld, nichts darüber hinaus.
Dazu kommt der Zeitpunkt des Eingangs. Den setzt der Server, nicht dein Formular — er ist der beweisrelevante Teil, und deshalb darf er nicht aus dem Browser kommen.
Ich speichere außerdem einen Prüfwert deiner IP-Adresse, nicht die Adresse selbst. Er entsteht durch ein Einwegverfahren, lässt sich nicht zurückrechnen und dient allein dazu, das Formular vor massenhaftem Absenden zu schützen (höchstens fünf Absendungen je Stunde). Rechtsgrundlage dafür ist mein berechtigtes Interesse am Schutz vor Missbrauch, Art. 6 Abs. 1 lit. f DSGVO.
Rechtsgrundlage für die übrigen Angaben ist meine rechtliche Verpflichtung aus § 356a BGB, Art. 6 Abs. 1 lit. c DSGVO, in Verbindung mit der Durchführung unseres Vertrags, Art. 6 Abs. 1 lit. b DSGVO.
Die Daten liegen in derselben Datenbank wie dein Konto, in Irland (Abschnitt 5.1). Die Eingangsbestätigung und die Benachrichtigung an mich verschickt Resend (Abschnitt 5.10). Das Formular lädt nichts von fremden Servern — kein Captcha, keine Schrift, kein Skript.
Widerrufe bewahre ich drei Jahre auf, gerechnet ab dem Ende des Jahres, in dem sie eingegangen sind. Das entspricht der Regelverjährung nach § 195 BGB; danach kann aus dem Widerruf niemand mehr etwas herleiten, und ich lösche ihn.
Hier geht es um deine Manuskripte. Der Abschnitt ist ausführlicher als üblich, weil das Thema es verdient.
Dein Konto liegt bei Supabase, betrieben von der Supabase Pte. Ltd. Die Datenbank steht in der Region eu-west-1 (Irland), also innerhalb der Europäischen Union.
Zur Anmeldung verarbeite ich deine E-Mail-Adresse und dein Passwort. Das Passwort speichere ich nicht im Klartext, sondern nur als kryptografischen Hashwert — ich kann es nicht auslesen. Dazu kommen Zeitpunkt der Registrierung und der letzten Anmeldung.
Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags, Art. 6 Abs. 1 lit. b DSGVO.
Nach dem Kauf erzeugt das System einen persönlichen Zugangscode und schickt ihn dir per E-Mail. Dazu speichere ich deinen Namen, deine E-Mail-Adresse, den Code, das gekaufte Paket, das Ablaufdatum, den Zeitpunkt der Einlösung sowie den Zustellstatus der Code-E-Mail. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Wenn du mit dem Kompass arbeitest, speichere ich:
Diese Daten liegen in der Supabase-Datenbank in Irland. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ohne diese Daten kann der Kompass die beauftragte Leistung nicht erbringen.
Wenn dein Manuskript Persönliches enthält. Manche Manuskripte erzählen von Krankheit, von Sexualität, von Glauben, von Herkunft, von erlebter Gewalt — eigenes Leben, in Text verwandelt. Solche Angaben sind nach Art. 9 DSGVO besonders geschützt, und ich darf sie nur mit deiner ausdrücklichen Einwilligung verarbeiten. Deshalb fragt dich der Kompass bei der Registrierung einmal, ob du damit einverstanden bist. Das ist ein eigenes Häkchen, getrennt von der Zustimmung zu den Vertragsdokumenten und nicht vorangekreuzt.
Du kannst diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — in deinen Kontoeinstellungen unter „Einwilligungen", mit einem Klick (Art. 9 Abs. 2 lit. a, Art. 7 Abs. 3 DSGVO). Nach dem Widerruf kannst du keine neuen Projekte mit solchen Inhalten anlegen; deine bestehenden Projekte bleiben, bis du sie selbst löschst.
Wann du das Häkchen wann brauchst: Schreibst du erfundene Geschichten über erfundene Menschen, brauchst du es nicht. Erzählst du von deinem eigenen Leben, deiner Krankheit, deinem Glauben, deiner Herkunft — dann schon.
[⚠️ Setzt den Einwilligungsschritt in der Anwendung voraus. Datenbankseitig steht er
(Tabelleeinwilligungen); die Oberfläche baut Claude Code. Erst freigeben, wenn beides läuft.]
Wer deine Manuskripte sehen kann. Andere Nutzerinnen nicht. Der Zugriff ist auf dein eigenes Konto beschränkt, und zwar auf der Ebene der Datenbank selbst, nicht erst in der Oberfläche.
Ich selbst kann technisch auf die Datenbank zugreifen. Das ist bei jeder Anwendung so, die von einem Menschen betrieben wird, und wer etwas anderes verspricht, verspricht zu viel. Ich nutze diesen Zugriff in drei Fällen und sonst nicht: wenn du mich um Hilfe bittest und mir die Einsicht ausdrücklich erlaubst; wenn ich einem Fehler nachgehe, der sich anders nicht eingrenzen lässt — dann sehe ich so wenig wie möglich und nichts länger als nötig; und wenn ich gesetzlich dazu verpflichtet bin. Ich lese keine Manuskripte, um sie zu lesen.
In Manuskripten stehen manchmal reale Personen: in einer Widmung, in der Danksagung, in autobiografischen Passagen, in einem Sachbuchteil, oder weil eine Figur den Namen und die Geschichte eines realen Menschen trägt. Dasselbe gilt für deine Notizen und für das, was du in den Projektchat schreibst. Sobald du so etwas hochlädst, verarbeite ich Daten von Menschen, die sie mir nicht selbst gegeben haben.
Wer dafür verantwortlich ist. Über den Inhalt deines Manuskripts entscheidest du allein. Für die Angaben über andere Menschen darin bist deshalb du die Verantwortliche im Sinne der Datenschutz-Grundverordnung, sobald du nicht rein privat schreibst, sondern mit dem Ziel zu veröffentlichen. Ich verarbeite diese Angaben ausschließlich in deinem Auftrag und nach deinen Weisungen. Den dafür nötigen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO findest du als eigenes Dokument; du stimmst ihm bei der Registrierung zu, unterschreiben musst du nichts.
Schreibst du ausschließlich für dich und ohne jede Veröffentlichungsabsicht, gilt die Datenschutz-Grundverordnung für dich nicht. Dann bin ich für diese Angaben selbst verantwortlich und stütze die Verarbeitung auf mein berechtigtes Interesse an der Erbringung der von dir beauftragten Leistung, Art. 6 Abs. 1 lit. f DSGVO.
Was ich mit diesen Angaben mache. Nichts anderes als mit dem übrigen Text: speichern, an die KI-Analyse in Frankfurt geben, dir das Ergebnis zeigen. Ich werte sie nicht gesondert aus, ich suche nicht nach realen Personen, ich gleiche nichts mit anderen Quellen ab, und ich gebe sie an niemanden weiter außer an die in Abschnitt 6 genannten Auftragsverarbeiter.
Information der Betroffenen. Wer in einem unveröffentlichten Manuskript vorkommt, kann von mir nicht benachrichtigt werden — ich weiß nicht, wer diese Person ist, und ich dürfte dafür dein unveröffentlichtes Werk nicht durchsuchen. Der Aufwand wäre unverhältnismäßig im Sinne von Art. 14 Abs. 5 lit. b DSGVO. Deshalb steht diese Information hier, öffentlich abrufbar. Wer meint, in einem hier verarbeiteten Manuskript vorzukommen, erreicht mich unter info@manuskript-kompass.de. Ich leite solche Anfragen an die verantwortliche Autorin weiter, soweit mir das erlaubt ist.
Was du beachten solltest. Überlege vor dem Hochladen, ob du reale Namen und identifizierbare Angaben über Dritte wirklich brauchst — besonders, wenn es um Gesundheit, Sexualleben, Religion, weltanschauliche oder politische Überzeugungen, ethnische Herkunft, Gewerkschaftszugehörigkeit oder Straftaten geht. Diese Angaben sind nach Art. 9 DSGVO besonders geschützt, und dafür bist du verantwortlich. Wo du sie für dein Manuskript nicht brauchst, verfremde sie vorher.
Die Analyse deiner Texte läuft über Amazon Bedrock, den KI-Dienst der Amazon Web Services. Vertragspartner ist die Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg. AWS arbeitet dabei ausschließlich nach meinen Weisungen; verantwortlich im Sinne der DSGVO bleibe ich.
Die Verarbeitung findet in der Region Frankfurt am Main (eu-central-1) statt. Dein Manuskript verlässt dabei die Europäische Union nicht.
Was für deine Texte gilt:
Amazon Bedrock kann Ein- und Ausgaben auf Wunsch des Kontoinhabers protokollieren („Model Invocation Logging"). Diese Protokollierung ist in meinem AWS-Konto deaktiviert. Es entstehen dort also keine Mitschnitte deiner Manuskripttexte, auch nicht bei mir selbst.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Mit Amazon Web Services besteht ein Auftragsverarbeitungsvertrag.
Diese eine Stelle möchte ich dir genau erklären, weil sie die einzige ist, an der etwas die EU verlässt.
Der Kompass kann nach vergleichbaren Büchern suchen, um dein Manuskript im Markt zu verorten. Eine solche Suche braucht einen Zugriff auf das Web, und den gibt es beim EU-Dienst nicht. Deshalb läuft die Suche in zwei Stufen:
Stufe 1 läuft in der EU. Aus deinem Textanfang und deinem Briefing entsteht in Frankfurt ein abstraktes Suchprofil mit sieben festen Feldern: Subgenre, Setting, Epoche, Tonalität, Themen, Zielgruppe und bis zu sechs Suchbegriffe. Jedes Feld ist auf 80 Zeichen begrenzt, alle Felder zusammen auf 400 Zeichen — ein Absatz passt da nicht durch.
Danach prüft eine automatische Kontrolle das Profil, bevor es das Haus verlässt. Sie ist deterministisch, arbeitet ohne Modell und kennt vier Regeln: Kein unbekanntes Feld, keine Überlänge, keine sechs Wörter in Folge im Wortlaut aus deinem Text, und keine großgeschriebene Zweierfolge aus der Quelle — also keine Figurennamen wie „Marlene Sonnenschein". Fällt das Profil durch, wird es verworfen. Die Recherche läuft dann mit Genre allein weiter; ein verworfenes Profil ist ein schlechteres Suchergebnis, kein Fehler. Auf deinen Textanfang fällt dabei nichts zurück.
Stufe 2 läuft in den USA. Nur dieses geprüfte Profil geht an die Anthropic PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA, die damit im Web sucht.
Was die EU verlässt und was nicht. In die USA gehen höchstens 400 Zeichen abstrakte Beschreibung: Genre, Setting, Epoche, Tonfall, Themen, Zielgruppe, Suchbegriffe. Nicht in die USA gehen dein Manuskripttext, dein Briefing im Wortlaut, deine Kapitelzusammenfassungen und deine Lektorate.
Kein Satz und keine Zeile deines Manuskripts verlässt dabei die Europäische Union. Das ist keine Zusicherung, sondern eine Messung: Die Kontrolle läuft bei jedem einzelnen Aufruf, und sie läuft, bevor gesendet wird.
Ich will trotzdem genau bleiben, weil Ungenauigkeit an dieser Stelle das Vertrauen kostet, um das es geht. Das Suchprofil ist aus deinem Manuskript abgeleitet, und es ist deinem Konto zuordenbar — datenschutzrechtlich also ein personenbezogenes Datum, auch wenn kein Romantext darin steht. „Nichts über dein Buch verlässt die EU" wäre falsch. „Dein Text verlässt die EU nicht" ist richtig.
Warum überhaupt etwas rausgeht. Eine Marktrecherche braucht Zugriff auf das Web, und den gibt es beim EU-Dienst nicht: Amazon Bedrock bietet die Websuche in keiner Region an, und die Datenresidenz-Steuerung des Erstanbieters kennt nur „USA" und „global", kein „EU". Websuche und EU-Verarbeitung sind im selben Aufruf technisch nicht zu haben. Deshalb der Schnitt in zwei Stufen: Was gesucht werden muss, wird in der EU so weit abstrahiert, dass die Suche selbst ohne deinen Text auskommt.
Wenn dir auch das zu weit geht: Die Vergleichstitelsuche ist freiwillig. Du löst sie selbst aus, und alles andere am Kompass funktioniert ohne sie.
Rechtsgrundlage ist deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Du erteilst sie, indem du die Suche in der Anwendung ausdrücklich startest; vorher steht dort noch einmal, was dabei in die USA geht. Du kannst die Suche jederzeit einfach nicht mehr nutzen — ein Widerruf für die Zukunft ist damit jederzeit möglich, und dir entsteht dadurch kein Nachteil bei den übrigen Funktionen. Die Übermittlung in die USA stütze ich zusätzlich auf die Standardvertragsklauseln (Abschnitt 7). Mit Anthropic besteht ein Auftragsverarbeitungsvertrag; deine Eingaben werden dort nicht zum Training von Modellen verwendet.
[⚠️ Lücke: Anthropic führt für diese Suche eine Websuche aus. Dahinter steht ein Suchdienst, an den das Profil als Suchanfrage geht. Dieser Empfänger fehlt hier und in der Tabelle. Bei Anthropic erfragen, welcher Anbieter das ist, und aufnehmen.]
Ich arbeite daran, auch diese Suche in die EU zu holen, über die Schnittstelle der Deutschen Nationalbibliothek. Sobald das umgesetzt ist, ändere ich diesen Abschnitt.
Der Kompass legt ein Profil deiner Schreibweise an, damit die Rückmeldungen zu dir passen. Es enthält deine eigenen Angaben und die vom System erkannten Merkmale deines Stils. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Freiwillige Mitarbeit am Regelwerk: Beim Einrichten fragt dich der Kompass, ob er aus deinen Lektoratsentscheidungen lernen darf — also daraus, welche Vorschläge du annimmst und welche du ablehnst. Gemeint sind die Entscheidungen, nicht dein Romantext.
Diese Frage ist ein echtes Ja oder Nein, kein vorangekreuztes Kästchen. Sagst du Nein, bleibt dein Lektorat vollständig privat, und es entsteht dir kein Nachteil. Sagst du Ja, kannst du das jederzeit zurücknehmen; ab dann fließt nichts Weiteres ein. Rechtsgrundlage ist deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO.
Damit ich Kontingente abrechnen, Störungen finden und Missbrauch erkennen kann, protokolliert die Anwendung technische Ereignisse: welche Funktion wann aufgerufen wurde, wie lange sie lief, wie viel Text verarbeitet wurde und welches Paket dein Konto hat. Inhaltlich ausgewertet wird dein Werk dabei nicht.
Rechtsgrundlagen sind zwei, je nach Zweck: Soweit die Ereignisse dazu dienen, dein gekauftes Kontingent korrekt abzurechnen und dir anzuzeigen, ist es die Erfüllung unseres Vertrags, Art. 6 Abs. 1 lit. b DSGVO. Soweit sie dazu dienen, Störungen zu finden und Missbrauch zu erkennen, ist es mein berechtigtes Interesse am sicheren Betrieb, Art. 6 Abs. 1 lit. f DSGVO; dagegen kannst du Widerspruch einlegen.
Eine Zeile bleibt bewusst länger stehen: Sobald für ein Projekt zum ersten Mal ein kostenpflichtiger Aufruf stattfindet, vermerkt das System das. Dieser Vermerk überlebt das Archivieren und das Löschen des Projekts, weil sonst dasselbe Guthaben mehrfach verbraucht werden könnte. Er dient der korrekten Abrechnung und steht deshalb auf Art. 6 Abs. 1 lit. b DSGVO. Er enthält deine Konto-Kennung, den Zeitpunkt und den Projektnamen, den du selbst vergeben hast — bei Romanprojekten ist das oft der Arbeitstitel. Manuskripttext enthält er nicht.
Nutzt du die Feedback-Funktion, verarbeite ich deine Nachricht, deine Bewertung, deine E-Mail-Adresse, die Seite, auf der du warst, und deine Browserkennung. Damit kann ich nachvollziehen, unter welchen Bedingungen ein Fehler auftrat. Rechtsgrundlage ist mein berechtigtes Interesse an der Verbesserung der Anwendung, Art. 6 Abs. 1 lit. f DSGVO.
Zugangscodes und andere Systemnachrichten verschickt Resend, betrieben von der Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Die Verarbeitung findet in den USA statt.
Übermittelt werden deine E-Mail-Adresse, dein Name und der Inhalt der Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Mit Resend besteht ein Auftragsverarbeitungsvertrag. Zur Übermittlung in die USA siehe Abschnitt 7.
[⚠️ Zu prüfen: Öffnungs- und Klick-Tracking bei Resend. Ist es aktiv, gehört hier ein eigener Absatz hin — und bei einer Zugangscode-Mail ist Tracking heikler als im Newsletter, weil die Mail selbst Vertragserfüllung ist, das Tracking darin aber nicht.]
Der Kompass bewertet Texte, nicht Personen. Es findet keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO statt, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt. Die Einschätzung deines Manuskripts ist eine Einschätzung — was du damit machst, entscheidest du.
Dass du mit einem KI-System arbeitest, ist dir aus dem Angebot ersichtlich; ich weise in der Anwendung zusätzlich darauf hin (Art. 50 Abs. 1 KI-Verordnung).
Die Rechte an deinem Werk bleiben bei dir. Ich erwerbe daran nichts. Das steht ausführlich in den Nutzungsbedingungen; hier steht es, weil es die häufigste Frage ist.
Die folgenden Unternehmen arbeiten weisungsgebunden für mich, jeweils auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO.
| Dienst | Wofür | Ort der Verarbeitung | Grundlage bei Drittland |
|---|---|---|---|
| Vercel Inc., USA | Betrieb von Website und Anwendung | Frankfurt am Main (fra1), Zugriff aus den USA möglich | Standardvertragsklauseln |
| Supabase Pte. Ltd. | Konto, Datenbank, deine Projekte und Texte | Irland (eu-west-1) | Standardvertragsklauseln, Modul 2 |
| Amazon Web Services EMEA SARL, Luxemburg | KI-Analyse über Amazon Bedrock; verschlüsselte Sicherungen der Datenbank | Frankfurt am Main (eu-central-1) | entfällt, EU-intern |
| Anthropic PBC, USA | Websuche nach Vergleichstiteln, nur mit abstraktem Suchprofil | USA | Standardvertragsklauseln |
| Plus Five Five, Inc. (Resend), USA | Zugangscodes und Systemnachrichten per E-Mail | USA | Standardvertragsklauseln, Modul 2 |
| PXCH Holding I, LLC (Encharge), USA | Newsletter und Käuferinnen-E-Mails | Irland (AWS), Zugriff aus den USA möglich | Standardvertragsklauseln, Modul 2 |
| ThriveCart LLC, USA | Bestellsoftware für den Bestellvorgang | USA | [⚠️ ungeklärt — siehe Maßnahmenliste 16] |
| Tally BV, Belgien | Umfragen | Belgien | entfällt, EU-intern |
| Celonis Inc. (Make), USA | Übergabe der Kaufdaten an das E-Mail-System | Irland (EU-Zone eu2), Zugriff aus den USA möglich | Data Privacy Framework, hilfsweise Standardvertragsklauseln |
| Lima-City GmbH, Deutschland | Postfach für meine geschäftlichen E-Mails | Deutschland | entfällt, EU-intern |
Eine jeweils aktuelle Fassung dieser Übersicht stelle ich dir auf Anfrage zur Verfügung.
⚠️ Vor der Veröffentlichung: Jede Zeile mit einem Platzhalter muss gefüllt werden. Eine veröffentlichte Datenschutzerklärung mit „zu klären" ist keine Information im Sinne des Art. 13 DSGVO, sondern ein Eingeständnis, dass die Verarbeitung ungeprüft läuft.
Stripe und PayPal entscheiden bei der Zahlungsabwicklung selbst über die Verarbeitung (Abschnitt 4.4). Für sie gelten deren eigene Datenschutzerklärungen.
Nach einem Kauf übergibt ein Automatisierungsdienst der Make (Celonis Inc.) deinen Namen, deine E-Mail-Adresse und die Angaben zum gekauften Produkt aus dem Bestellsystem an das E-Mail-System. Die Verarbeitung läuft in der EU-Zone von Make mit Rechenzentrum in Irland; Vertragspartner ist die in den USA ansässige Celonis Inc., deren Beschäftigte für Betrieb und Wartung zugreifen können. Ein Kauf allein ist dabei keine Einwilligung in Werbung; die Unterscheidung zwischen Newsletter und Käuferinnen-E-Mails aus den Abschnitten 4.6 und 4.7 bleibt bestehen.
Rechnungen und Buchungsbelege mit deinem Namen und deiner Anschrift bekommt außerdem meine Steuerberatung, die dafür berufsrechtlich zur Verschwiegenheit verpflichtet ist. Den Namen der Kanzlei nenne ich dir auf Anfrage.
[⚠️ Falls eine Buchhaltungssoftware im Einsatz ist — lexoffice, sevDesk oder ähnlich — gehört sie hier ebenfalls hin.]
Ich verkaufe keine Daten. Ich vermiete keine Adressen. Ich gebe deine Daten nicht an Dritte weiter, außer es ist oben beschrieben oder ich bin gesetzlich dazu verpflichtet, etwa gegenüber Finanzbehörden oder aufgrund einer gerichtlichen Anordnung.
Ein Teil der oben genannten Unternehmen sitzt in den Vereinigten Staaten. Was das bedeutet, sollst du wissen und nicht überlesen müssen.
US-Behörden können unter bestimmten Voraussetzungen auf Daten zugreifen, die bei US-Unternehmen liegen. Ein Schutzniveau, das dem europäischen vollständig entspricht, lässt sich dort nicht in jedem Fall garantieren. Insbesondere sind die Rechtsbehelfe für EU-Bürgerinnen begrenzt.
Ich stütze diese Übermittlungen auf die Standardvertragsklauseln der Europäischen Kommission nach dem Durchführungsbeschluss (EU) 2021/914. Soweit ein Unternehmen zusätzlich nach dem EU-US Data Privacy Framework zertifiziert ist, kommt der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 hinzu.
Eine Kopie der Standardvertragsklauseln, auf die ich mich stütze, bekommst du auf Anfrage unter info@manuskript-kompass.de. Den Text der Klauseln selbst kannst du auch direkt bei der Europäischen Kommission nachlesen, im Durchführungsbeschluss (EU) 2021/914 — das sind von der EU-Kommission vorgegebene Vertragstexte, die einen Anbieter außerhalb der EU vertraglich auf europäische Datenschutzstandards verpflichten.
Ich will dabei ehrlich bleiben: Diese Klauseln sind ein Vertrag. Ein Vertrag bindet die Vertragspartner, aber keine Behörde. Gegen einen behördlichen Zugriff in den USA helfen sie nur begrenzt. Die Verschlüsselung auf dem Übertragungsweg schützt gegen Mitlesen unterwegs, nicht gegen einen Zugriff beim Empfänger. Deshalb halte ich alles, was ich in der EU halten kann, in der EU — deine Manuskripte liegen in Irland, die KI-Analyse läuft in Frankfurt, die Website wird aus Frankfurt ausgeliefert — und deshalb ist die Liste der US-Dienste so kurz, wie sie ist.
| Daten | Frist |
|---|---|
| Server-Protokolle bei Vercel | kurzzeitig, nach Vorgabe des Hosters; ich habe keinen Zugriff darauf |
| Konto, Projekte, Manuskripte, Lektoratspakete | [Variante A, wenn die Löschautomatik steht:] Solange dein Konto besteht. Zusätzlich lösche ich Konten und alle zugehörigen Inhalte automatisch 24 Monate nach der letzten Anmeldung. Vorher bekommst du eine Vorwarnung per E-Mail. — [Variante B, solange sie nicht steht:] Solange dein Konto besteht. Du kannst einzelne Projekte jederzeit selbst löschen und dein Konto jederzeit vollständig löschen lassen. Eine automatische Löschung inaktiver Konten nach 24 Monaten ohne Anmeldung ist in Vorbereitung; sobald sie aktiv ist, steht sie hier mit dem Datum ihrer Einführung. |
| Autorinnen-Profil | Wie das Konto |
| Zugangscodes | Bis zum Ablauf, danach 12 Monate zur Nachvollziehbarkeit |
| Nutzungsereignisse | 24 Monate |
| Vermerk über verbrauchtes Guthaben | Solange dein Konto besteht, auch nach dem Löschen des Projekts (Abschnitt 5.8) |
| Newsletter-Daten | Bis zum Widerruf, danach 3 Jahre gesperrt als Nachweis der Einwilligung |
| Adressen im Werbeverteiler für Käuferinnen | 24 Monate nach dem letzten Kauf, früher bei Widerspruch |
| Umfrageantworten | 24 Monate |
| Rückmeldungen aus der Feedback-Funktion | 12 Monate |
| Eingegangene Widerrufe | 3 Jahre ab Ende des Eingangsjahres, § 195 BGB |
| Rechnungen und Buchungsbelege | 8 Jahre nach § 147 Abs. 3 AO und § 257 Abs. 4 HGB, seit dem 1. Januar 2025 verkürzt von zehn Jahren |
| Sonstige Geschäftskorrespondenz | 6 Jahre, § 257 Abs. 4 HGB |
Deine Projekte kannst du jederzeit selbst löschen. [Wie du dein gesamtes Konto löschen kannst — Funktion in der Anwendung beim Namen nennen, oder: eine Nachricht an info@ genügt, ich lösche innerhalb von 30 Tagen und bestätige dir das. Diese Angabe darf nicht fehlen.]
Nach einer Löschung verschwinden deine Inhalte aus den aktiven Systemen. Meine eigenen Sicherungen werden spätestens nach 30 Tagen überschrieben; spätestens dann verschwinden deine Inhalte auch aus ihnen.
Website und Anwendung sind durchgehend per TLS verschlüsselt, erkennbar am Schloss in der Adresszeile. Deine Manuskripte und Lektorate liegen in der Datenbank verschlüsselt, ebenso die Sicherungen, die ich selbst anlege und getrennt von der Datenbank aufbewahre. Der Zugriff auf deine Projekte ist auf Datenbankebene an dein Konto gebunden (Row Level Security). Die Zugriffsrechte auf den KI-Dienst sind auf das technisch Nötige beschränkt.
Zu deinem Passwort: Es liegt ausschließlich als kryptografischer Hashwert vor, ich kann es nicht auslesen. Einen Abgleich gegen Passwörter aus bekannten Datenpannen führt die Anwendung bei der Vergabe nicht durch. Wähl dein Passwort deshalb sorgfältig und benutz es nirgends sonst.
Die Website ist so gebaut, dass sie nichts nachlädt. Sie holt keine Schriften, keine Skripte und keine Bilder von fremden Servern. Wo das technisch durchgesetzt ist, siehst du an der Content-Security-Policy deiner Seite: Sie erlaubt ausschließlich die eigene Adresse.
Ein hundertprozentiger Schutz von Daten im Internet ist niemandem möglich. Wenn dir etwas auffällt, das nicht stimmt, schreib mir.
Wenn ich etwas an den eingesetzten Diensten ändere, ändere ich auch diesen Text. Es gilt die Fassung, die beim jeweiligen Besuch abrufbar ist. Bei wesentlichen Änderungen für bestehende Kundinnen informiere ich per E-Mail.
Stand: [Datum]