Datenschutzerklärung

Kontodaten (Art. 6 Abs. 1 lit. b DSGVO): Bei der Registrierung erheben wir Ihre E-Mail-Adresse und Ihr Passwort (verschlüsselt gespeichert via bcrypt). Optional können Sie einen Anzeigenamen, Organisation und Profilbild hinterlegen.

Projektdaten (Art. 6 Abs. 1 lit. b DSGVO): Dokumente, Projekte, Quellenverzeichnisse, Formeln und alle weiteren Inhalte, die Sie in Manuscript erstellen, werden in unserer Datenbank gespeichert.

Zahlungsdaten (Art. 6 Abs. 1 lit. b DSGVO): Die Zahlungsabwicklung erfolgt ausschließlich über Stripe, Inc. Wir speichern keine Kreditkartennummern oder Bankdaten. Stripe verarbeitet Ihre Daten als eigenständiger Verantwortlicher gemäß der Stripe-Datenschutzerklärung.

Neben der E-Mail/Passwort-Anmeldung bieten wir OAuth-Login über Google und Apple an. Dabei werden Name und E-Mail-Adresse vom jeweiligen Anbieter übermittelt. Die Anbieter verarbeiten Daten ggf. auch außerhalb der EU; die Übermittlung erfolgt auf Grundlage des EU-U.S. Data Privacy Framework (Art. 45 DSGVO) bzw. Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Es gelten deren jeweilige Datenschutzerklärungen.

• Bereitstellung, Betrieb und Wartung unseres Dienstes (Art. 6 Abs. 1 lit. b DSGVO)
• Abwicklung von Zahlungen und Abonnements (Art. 6 Abs. 1 lit. b DSGVO)
• Versand transaktionaler E-Mails wie Verifizierung, Passwort-Reset und Einladungen (Art. 6 Abs. 1 lit. b DSGVO)
• Erfüllung gesetzlicher Pflichten, z. B. steuerrechtliche Aufbewahrung (Art. 6 Abs. 1 lit. c DSGVO)

Wir setzen Plausible Analytics ein – cookiefrei, ohne personenbezogene Identifier und ohne Cross-Site-Tracker. Plausible erfasst pseudonyme Pageviews und wird auf EU-Servern (Plausible Insights OÜ, Estland) verarbeitet; das Tracking-Skript laden wir über einen eigenen Reverse-Proxy auf easy-manuscript.com aus, ohne dass dabei zusätzliche personenbezogene Daten an Plausible übermittelt werden. Eine Einwilligung ist hierfür nicht erforderlich: Es findet kein Zugriff auf in Ihrem Endgerät gespeicherte Informationen statt (§ 25 TDDDG ist nicht einschlägig) und es werden keine personenbezogenen Daten im Sinne der DSGVO verarbeitet. Rechtsgrundlage für die berechtigte Auswertung der pseudonymen Reichweitendaten: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der bedarfsgerechten Gestaltung und Optimierung unseres Angebots). Es findet kein Profiling im Sinne von Art. 22 DSGVO statt. Sie können der Verarbeitung jederzeit nach Art. 21 DSGVO widersprechen.

Manuscript bietet eine optionale KI-Lektorfunktion, die Ihre Texte auf Grammatik, Stil und Konsistenz prüft. Diese Funktion wird nur auf Ihre ausdrückliche Anforderung hin aktiviert.

Bei Nutzung des KI-Lektors wird der relevante Dokumentinhalt an die API von Anthropic, PBC (San Francisco, USA) zur Verarbeitung übermittelt. Anthropic verarbeitet diese Daten ausschließlich zur Erbringung des Dienstes und nutzt sie nicht für eigenes KI-Training. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) bzw. Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Anthropic ist nicht unter dem EU-U.S. Data Privacy Framework zertifiziert. Die Datenübermittlung in die USA erfolgt daher auf Grundlage von Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO (Module 2, Controller-to-Processor), die per Verweis Bestandteil des Anthropic Data Processing Addendum sind (https://www.anthropic.com/legal/data-processing-addendum). Ergänzend gelten technische Schutzmaßnahmen (TLS 1.3 in Transit, vertraglicher Ausschluss der Nutzung für Modell-Training, Übermittlung nur bei aktiver Anforderung).

Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt. Die KI gibt ausschließlich Vorschläge ab, über deren Annahme Sie selbst entscheiden.

Sie können den KI-Lektor jederzeit deaktiviert lassen. Ohne Ihre aktive Nutzung werden keine Dokumentinhalte an Dritte übermittelt.

Soweit die Verarbeitung auf Ihrer Einwilligung beruht (Art. 6 Abs. 1 lit. a DSGVO), können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die KI-Funktion deaktivieren. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt hiervon unberührt (Art. 7 Abs. 3 DSGVO).

Der Hosting-Provider erhebt bei jedem Zugriff auf den Server automatisch Informationen in sogenannten Server-Logfiles. Dazu gehören: IP-Adresse, Datum und Uhrzeit des Zugriffs, angeforderte URL, HTTP-Statuscode, übertragene Datenmenge und ggf. Referrer-URL und User-Agent. Diese Daten werden ausschließlich zur Gewährleistung des Betriebs und der Sicherheit gespeichert und nach 7 Tagen automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit und Stabilität des Dienstes).

Transaktionale E-Mails (Kontobestätigung, Passwort-Reset, Einladungen) werden über Resend versendet. Resend verarbeitet dabei ausschließlich die Empfänger-E-Mail-Adresse und den E-Mail-Inhalt als Auftragsverarbeiter gem. Art. 28 DSGVO.

Wir verwenden ausschließlich technisch notwendige Cookies und localStorage-Einträge. Es werden keine Analyse-, Marketing- oder Tracking-Cookies gesetzt.

Im Detail speichern wir lokal:

• Authentifizierungs-Session – für den Login-Status
• Spracheinstellung – Ihre gewählte Sprache (DE, EN, FR, ES)
• Theme-Einstellung – Dark/Light Mode
• Cookie-Einwilligung – ob Sie den Cookie-Banner bestätigt haben
• UI-Präferenzen – z. B. Sidebar-Status, Ansichtstyp

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Funktionsfähigkeit der Website). Weitere Details in unserer Cookie-Richtlinie .

Unser Dienst wird auf folgender Infrastruktur betrieben:

• Hetzner Online GmbH – Server-Hosting (Auftragsverarbeiter, Rechenzentren ausschließlich in Deutschland, keine Drittlandübermittlung)
• Supabase, Inc. – Datenbank & Authentifizierung (Auftragsverarbeiter, EU-Region Frankfurt am Main; US-Muttergesellschaft mit DPF-Zertifizierung als Fallback-Garantie)
• Stripe Payments Europe, Ltd. (Dublin, Irland) mit Stripe, Inc. (USA) – Zahlungsabwicklung (eigenständige Verantwortliche, PCI DSS Level 1 zertifiziert, Stripe Inc. unter EU-U.S. Data Privacy Framework gelistet)
• Resend (Plus Five Five, Inc., USA) – Transaktionaler E-Mail-Versand (Auftragsverarbeiter, USA; unter EU-U.S. Data Privacy Framework zertifiziert)
• Anthropic, PBC (San Francisco, USA) – KI-Textanalyse für Lektor und Ghostwriter (Auftragsverarbeiter; Anthropic nutzt seinerseits Amazon Web Services und Google Cloud als Cloud-Sub-Auftragsverarbeiter; aktuelle Liste: https://trust.anthropic.com). Übermittlung auf Basis von Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO (Module 2), die per Verweis Bestandteil des Anthropic Data Processing Addendum sind: https://www.anthropic.com/legal/data-processing-addendum. Ergänzende technische Maßnahmen: TLS 1.3 in Transit, vertraglicher Ausschluss der Nutzung für Modell-Training, Übermittlung nur bei aktiver Nutzung der KI-Funktion. Anthropic ist nicht DPF-zertifiziert.
• Google Ireland Ltd. mit Google LLC (USA) – OAuth-Anmeldung (eigenständig Verantwortliche, nur bei aktiver Wahl des Google-Logins; Google LLC unter EU-U.S. Data Privacy Framework zertifiziert)
• Apple Distribution International Ltd. mit Apple Inc. (USA) – OAuth-Anmeldung (eigenständig Verantwortliche, nur bei aktiver Wahl des Apple-Logins; Apple Inc. unter EU-U.S. Data Privacy Framework zertifiziert)
• Plausible Insights OÜ (Estland, EU) – pseudonyme Webseiten-Statistik (Auftragsverarbeiter, cookiefrei, ohne personenbezogene Identifier; keine Einwilligung erforderlich, da kein Zugriff auf Endgeräte-Speicher und keine Verarbeitung personenbezogener Daten – Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO)
• Cloudflare, Inc. (USA) mit Cloudflare Germany GmbH – Content-Delivery-Network, DDoS-Schutz und Bot-Abwehr via Turnstile (Auftragsverarbeiter; EU-Endpoints werden bevorzugt verwendet, Cloudflare Inc. unter EU-U.S. Data Privacy Framework zertifiziert)
• Dash0 GmbH (Deutschland) – Observability-Plattform für Telemetrie-Daten (Traces, Metrics, Logs) zur Stabilitäts- und Performance-Überwachung (Auftragsverarbeiter; technische Betriebs-Daten pseudonymisiert, keine Dokumenteninhalte)
• Functional Software, Inc. d/b/a Sentry (USA) – Error-Tracking und Crash-Reports (Auftragsverarbeiter, nur bei aktivierter Fehler-Protokollierung; unter EU-U.S. Data Privacy Framework zertifiziert, Dokumenteninhalte werden nicht übermittelt)
• PDF- und Webseiten-Inhaltsanalyse beim Quellen-Import erfolgt durch eine von uns selbst betriebene Instanz der Open-Source-Software Firecrawl auf unseren Servern in Deutschland (Hetzner). Es findet dabei keine Übermittlung an SideGuide Technologies, Inc. (Firecrawl) oder andere Dritte statt; verarbeitete Dateien werden nach der Analyse gelöscht.

Mit unseren Auftragsverarbeitern (Hetzner, Supabase, Resend, Anthropic, Plausible, Cloudflare, Dash0, Sentry) bestehen Auftragsverarbeitungsverträge gem. Art. 28 DSGVO. Bei Anthropic wird die Auftragsverarbeitung über das Data Processing Addendum geregelt, das per Verweis Bestandteil der Commercial Terms of Service ist und mit der kommerziellen API-Nutzung automatisch wirksam wird (https://www.anthropic.com/legal/data-processing-addendum). Eine vollständige Übersicht aller Auftragsverarbeiter und Sub-Auftragsverarbeiter (inkl. AWS und Google Cloud als Sub-Prozessoren von Anthropic) finden Sie unter https://easy-manuscript.com/legal/SUBPROZESSOREN.md.

Eine Datenübermittlung in Drittländer (USA) findet in folgenden Fällen statt – mit den jeweils angegebenen Garantien: (a) OAuth-Anmeldung Google/Apple – EU-U.S. Data Privacy Framework gem. Art. 45 DSGVO (Angemessenheitsbeschluss); (b) Zahlungsabwicklung Stripe – EU-U.S. Data Privacy Framework gem. Art. 45 DSGVO; (c) E-Mail-Versand Resend – EU-U.S. Data Privacy Framework gem. Art. 45 DSGVO; (d) KI-Textanalyse Anthropic – Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO mit technischen Zusatzmaßnahmen (Anthropic ist nicht DPF-zertifiziert); (e) CDN/Bot-Schutz Cloudflare und Error-Tracking Sentry – EU-U.S. Data Privacy Framework gem. Art. 45 DSGVO. Hosting (Hetzner, Supabase-EU-Region), PDF-/Web-Analyse beim Quellen-Import (selbst betriebene Firecrawl-Instanz), Statistik (Plausible) und Observability (Dash0) finden in der EU statt.

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15) – Kopie Ihrer gespeicherten Daten anfordern
• Berichtigung (Art. 16) – Fehlerhafte Daten korrigieren lassen
• Löschung (Art. 17) – Löschung Ihrer Daten verlangen
• Einschränkung (Art. 18) – Verarbeitung einschränken lassen
• Datenübertragbarkeit (Art. 20) – Daten in maschinenlesbarem Format erhalten
• Widerspruch (Art. 21) – Der Verarbeitung widersprechen

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter [email protected]. Wir antworten innerhalb eines Monats.

Wir speichern Ihre Daten, solange Ihr Konto aktiv ist. Endet Ihre Testphase oder Ihr Abonnement, bleiben Ihre Inhalte für 90 Tage im Lesemodus zugänglich (Grace-Period), damit Sie sie exportieren können. Danach werden Ihre Inhalte automatisch gelöscht. Ihr Konto können Sie jederzeit über die Kontoeinstellungen löschen — personenbezogene Daten werden dann innerhalb von 30 Tagen entfernt, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen (z. B. steuerrechtlich: bis zu 10 Jahre für Rechnungsdaten gem. § 147 AO).

Sie haben das Recht, eine Beschwerde bei einer Datenschutz-Aufsichtsbehörde einzureichen. Zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
www.lfd.niedersachsen.de

Wir können diese Datenschutzerklärung bei Bedarf aktualisieren, z. B. bei Änderungen unserer Datenverarbeitung oder neuer gesetzlicher Anforderungen. Die aktuelle Fassung ist stets auf dieser Seite verfügbar. Bei wesentlichen Änderungen informieren wir registrierte Nutzer per E-Mail.