Datenschutz und Sicherheit bei Manola
Manola ist eine KI-Plattform der dasistweb GmbH aus Kolbermoor für Geschäftskunden.
Plattform, Datenhaltung und Datensicherung bei STACKIT in Rechenzentren in Deutschland.
AVV 9.5 ↗TOM 1.1 ↗Voreinstellung für Modelle. Der Administrator des Kunden kann eine andere Stufe wählen.
AVV 14.1 ↗Kundendaten werden weder von Manola noch von Unterauftragsverarbeitern zum Training von KI-Modellen verwendet.
AVV 14.2 ↗Zugriff auf produktive Systeme nur durch Personen, die sich in der EU aufhalten. Ein Zugriff von außerhalb ist ausgeschlossen, auch über VPN.
AVV 15.2 ↗Anbieter und Rollen
- Anbieterdasistweb GmbH, Spinnereiinsel 3d, 83059 Kolbermoor
Amtsgericht Traunstein, HRB 33322 · Geschäftsführer Martin WeinmayrAVV ↗ - LeistungBereitstellung und Betrieb der Plattform app.manola.ai als Software-as-a-Service.AVV 2.1 ↗
- RollenDer Kunde ist Verantwortlicher für die Daten, die er, seine Nutzer und Endkunden auf der Plattform verarbeiten. Manola verarbeitet sie als Auftragsverarbeiter und verfolgt damit keine eigenen Zwecke. Vertrags-, Abrechnungs- und Betriebsdaten verarbeitet Manola in eigener Verantwortung, ohne Inhalte aus Konversationen oder Dokumenten.AVV 3.1 ↗AVV 3.2 ↗AVV 3.3 ↗
Betrieb und Zugriff
- Plattform und DatensicherungSTACKIT (Schwarz Digits Cloud GmbH & Co. KG), Rechenzentren in Deutschland.TOM 1.1 ↗
- Selbst betriebene ModelleKI-Server bei Hetzner in Nürnberg.TOM 1.2 ↗
- DatenverkehrÜber die Web Application Firewall von Bunny.net. Das Routing ist auf Standorte in der EU beschränkt.TOM 4.1 ↗
- Zugriff durch ManolaNur soweit für Support, Störungsbehebung, Sicherheit oder gesetzliche Pflichten erforderlich und nur durch Personen, die sich in der EU aufhalten.AVV 15.1 ↗AVV 15.2 ↗
- Behörden und DritteHerausgabe nur bei rechtlicher Verpflichtung. Manola informiert den Kunden unverzüglich, soweit das zulässig ist.AVV 16 ↗
- Betrieb nur in DeutschlandAuf Anfrage, über einen gesonderten Enterprise-Vertrag.AVV 9.6 ↗
Verarbeitungsstufen
Der Administrator des Kunden wählt eine Verarbeitungsstufe für das gesamte Unternehmen. Sie bestimmt, welche Modelle zur Auswahl stehen. Jede Stufe schließt die vorherige ein. In der Plattform ist jedes Modell mit seiner Stufe gekennzeichnet.
-
01
Souverän DE
Modelle, betrieben von Unternehmen mit Sitz in Deutschland, auf Servern in Deutschland
- STACKIT · Open-Weight-Modelle über STACKIT AI Model Serving
- Hetzner · Betrieb des KI-Servers für die von Manola selbst betriebenen Modelle
- Mittwald · Open-Weight-Modelle über mittwald AI Hosting
-
02
Souverän EU
Zusätzlich: Modelle, betrieben von Unternehmen mit Sitz in der EU, auf Servern in der EU
Derzeit kein weiterer Anbieter.
-
03
Deutschland
Zusätzlich: Modelle anderer Anbieter, verarbeitet in Deutschland
- Google · Gemini über Vertex AI
-
04
EuropaVoreinstellung
Zusätzlich: Modelle anderer Anbieter, verarbeitet in der EU
- Microsoft · Modelle über Azure OpenAI / Foundry, Datenzone EU
- Google · Claude über Vertex AI
-
05
WeltweitNur auf ausdrückliche Wahl
Zusätzlich: Modelle, verarbeitet auch außerhalb der EU
- Microsoft · Modelle über Azure OpenAI / Foundry, Global Standard
- OpenAI · Modelle über die OpenAI API, auch Bildgenerierung
- Anthropic · Claude über die Anthropic API
Verarbeitungsort in der EUVerarbeitung auch außerhalb der EU
Bei Microsoft und Google ist ein Fernzugriff durch Personal aus Drittländern möglich. Er ist durch EU-Standardvertragsklauseln abgesichert.
- Kein TrainingManola und ihre Unterauftragsverarbeiter verwenden Kundendaten nicht zum Training von KI-Modellen.AVV 14.2 ↗
- Speicherung bei ModellanbieternOb und wie lange ein Modellanbieter Eingaben speichert, steht je Anbieter in der Liste der Unterauftragsverarbeiter.AVV 9.4 ↗Anlage 3 ↗
- EmbeddingsVerarbeitung in der EU, auf Wunsch des Kunden in Deutschland.AVV 14.1 ↗
- Eigene ModelleVom Kunden eingebundene Modelle liegen in seiner Verantwortung. Die Verarbeitungsstufe gilt für sie nicht.AVV 9.7 ↗
- Manola Model GatewayZugriff auf die Modelle per API. Manola leitet Anfragen und Antworten weiter, ohne sie zu speichern. Es gilt dieselbe Verarbeitungsstufe.AVV Anlage 1 ↗AVV 14.1 ↗
- ProtokolleKonversationen in Manola Hey sowie Abläufe von Agenten und Workflows werden mit vollständigem Kontext protokolliert und sind für Nutzer des Kunden im Rahmen ihrer Rechte einsehbar. Die Speicherdauer legt der Kunde fest, voreingestellt sind drei Monate. Aus dem Chat für Mitarbeitende erhält der Kunde standardmäßig nur Gruppenauswertungen.AVV 14.3 ↗
Technische und organisatorische Maßnahmen
Zugang
- Berechtigungen werden nach Rollen und nur im erforderlichen Umfang vergeben. Jede Person nutzt ein persönliches Konto.TOM 2.1 ↗TOM 2.2 ↗
- Anmeldung an produktiven Systemen nur mit zweitem Faktor. Administrative Zugriffe werden protokolliert, die Protokolle sechs Monate aufbewahrt.TOM 2.3 ↗TOM 2.4 ↗
- Berechtigungen werden regelmäßig überprüft, beim Ausscheiden alle Zugänge sofort gesperrt.TOM 7.2 ↗
- Kunden können für ihre Nutzer eine Anmeldung mit zweitem Faktor oder Single Sign-on einrichten.TOM 2.6 ↗
Daten
- Daten verschiedener Kunden sind voneinander getrennt.TOM 2.5 ↗
- Daten sind bei Übertragung und Speicherung verschlüsselt, Datensicherungen ebenfalls. Passwörter werden nur als Hashwert gespeichert.TOM 3.1 ↗TOM 3.2 ↗TOM 3.4 ↗
- Zugangsdaten mit AES-256-GCM verschlüsselt, Schlüssel in einem getrennten Key Management Service. KI-Agenten und Sprachmodelle haben keinen direkten Zugriff darauf.TOM 3.3 ↗
Software
Betrieb
Arbeitsplätze
Organisation
- Mitarbeitende schriftlich zur Vertraulichkeit verpflichtet und regelmäßig zum Datenschutz geschult.TOM 7.1 ↗
- Festgelegter Ablauf bei Verletzungen des Schutzes personenbezogener Daten. Betroffene Kunden werden unverzüglich informiert, spätestens innerhalb von 48 Stunden.TOM 7.5 ↗AVV 11.1 ↗
- Die Maßnahmen werden regelmäßig auf Wirksamkeit überprüft.TOM 8 ↗
Beteiligte Dienstleister
| Unternehmen | Leistung | Verarbeitungsort | Status |
|---|---|---|---|
| Schwarz Digits Cloud GmbH & Co. KG (STACKIT) | Betrieb der Plattform: Anwendung, Datenbank, Vektoren, Speicher, Datensicherung, Monitoring | Rechenzentren in Deutschland | aktiv |
| Schwarz Digits Cloud GmbH & Co. KG (STACKIT) | Open-Weight-Modelle über STACKIT AI Model Serving | Region EU01 „Germany South" (Deutschland) | aktiv |
| Hetzner Online GmbH | Betrieb des KI-Servers für die von Manola selbst betriebenen Modelle | Nürnberg | aktiv |
| BunnyWay d.o.o. (bunny.net) | Web Application Firewall für den Datenverkehr zur Plattform | Nur Standorte in der EU (Routing-Filter „European Union (EU) only") | aktiv |
| Positive Group Deutschland GmbH (rapidmail) | Versand von Transaktions-E-Mails | EU/EWR | aktiv |
| Microsoft Ireland Operations Limited | Microsoft 365: E-Mail-Kommunikation, auch im Support | Speicherung in Deutschland, Filterung eingehender E-Mails in der EU/im EWR | aktiv |
| Microsoft Ireland Operations Limited | Modelle über Azure OpenAI / Foundry, Datenzone EU | Datenzone EU, Ressource in germanywestcentral | aktiv |
| Microsoft Ireland Operations Limited | Modelle über Azure OpenAI / Foundry, Global Standard | Azure-Regionen weltweit | nur mit Stufe Weltweit |
| Google Cloud EMEA Limited | Gemini über Vertex AI | Region europe-west3 (Frankfurt), fest eingestellt | aktiv |
| Google Cloud EMEA Limited | Claude über Vertex AI | Regionen in der EU (je nach Modell) | aktiv |
| Mittwald CM Service GmbH & Co. KG | Open-Weight-Modelle über mittwald AI Hosting | Eigenes Rechenzentrum in Deutschland | aktiv |
| OpenAI Ireland Ltd. | Modelle über die OpenAI API, auch Bildgenerierung | USA | nur mit Stufe Weltweit |
| Anthropic Ireland, Limited | Claude über die Anthropic API | USA | nur mit Stufe Weltweit |
Über neue Unterauftragsverarbeiter informiert Manola mindestens 30 Tage im Voraus. Kunden können innerhalb von 30 Tagen aus datenschutzrechtlichem Grund widersprechen. Muss ein Anbieter wegen eines Sicherheitsvorfalls oder Ausfalls kurzfristig ersetzt werden, kann die Frist unterschritten werden.
Vertragsdokumente
Vereinbarung zur Auftragsverarbeitung
Mit Anlage 1: Gegenstand, Datenarten und betroffene Personen.
Technische und organisatorische Maßnahmen
Anlage 2 der AVV.
Unterauftragsverarbeiter
Anlage 3 der AVV.
Nutzungsbedingungen
Mit Annex „Anbieterwechsel“.
Service Level Agreement
Verfügbarkeit, Wartung und Support.
Datenschutzhinweise der Plattform
Für Daten, die Manola in eigener Verantwortung verarbeitet. In der Plattform abrufbar.
Preise
Tarife und Preisliste.
Service Level Agreement
im Monatsmittel, für alle Tarife. Als Ausfall gilt ein plattformweiter Ausfall. Die Verfügbarkeit der Modelle ist nicht Teil der Zusage.
SLA 1.1 ↗SLA 1.3 ↗SLA 1.4 ↗Erste Reaktion des Supports
| Tarif | Erste Reaktion |
|---|---|
| Manola Chat, Manola Hey S und M | 2 Werktage |
| Manola One, Manola Hey L | 1 Werktag |
| Manola Hey XL und XXL | 4 Stunden |
| Enterprise | nach dem Enterprise-Vertrag |
Innerhalb der Supportzeiten.
Ansprechpartner
Leopoldstr. 21, 80802 München
datenschutzbeauftragter@datenschutzexperte.de