Vereinbarung zur Auftragsverarbeitung für die Plattform Manola

1. Geltungsbereich und Rangfolge

1.1 Diese Vereinbarung ist Bestandteil der Nutzungsbedingungen und wird mit dem Vertrag über die Nutzung der Plattform (nachfolgend „Hauptvertrag") elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Sie gilt für alle Verarbeitungen personenbezogener Daten, die Manola im Rahmen des Hauptvertrags für den Kunden durchführt, einschließlich Support und Wartung. Begriffe haben die Bedeutung der Nutzungsbedingungen.

1.2 Bei Widersprüchen gilt folgende Rangfolge: individuelle Vereinbarungen in Textform, diese Vereinbarung mit Anlagen, die Nutzungsbedingungen, Leistungsbeschreibung und Preisliste. Innerhalb dieser Vereinbarung gehen Vertragstext und Anlage 1 den Anlagen 2 und 3 vor.

2. Gegenstand und Dauer der Verarbeitung

2.1 Gegenstand ist die Bereitstellung und der Betrieb der Plattform Manola als Software-as-a-Service im Umfang des gebuchten Tarifs. Gegenstand und Zweck je Funktion, Datenarten und betroffene Personen regelt Anlage 1.

2.2 Die Verarbeitung dauert für die Laufzeit des Hauptvertrags und bis zum Abschluss der Löschung nach Ziffer 13.

3. Art und Zweck der Verarbeitung, Rollen

3.1 Manola verarbeitet personenbezogene Daten im Auftrag des Kunden ausschließlich zur Erbringung der vertraglichen Leistungen, einschließlich der Übermittlung an Modellanbieter. Eigene Zwecke verfolgt Manola mit diesen Daten nicht.

3.2 Der Kunde ist Verantwortlicher für die Daten, die er, seine Nutzer und Endkunden auf der Plattform verarbeiten. Er bestimmt Zwecke, Konfiguration und Inhalte und verantwortet die Rechtmäßigkeit der Verarbeitung.

3.3 Daten, die Manola für eigene Zwecke verarbeitet, insbesondere Vertrags- und Abrechnungsdaten, Betriebsprotokolle und Ereignisse für Betrieb, Sicherheit und Produktanalyse, verarbeitet Manola in eigener Verantwortung. Sie enthalten keine Inhalte aus Konversationen oder Dokumenten. Dafür gelten die Datenschutzhinweise der Plattform.

4. Datenarten und betroffene Personen

4.1 Datenarten und Kategorien betroffener Personen regelt Anlage 1.

4.2 Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), Daten nach Art. 10 DSGVO und Daten, die einem Berufsgeheimnis unterliegen, dürfen verarbeitet werden. Rechtsgrundlage, eine erforderliche Datenschutz-Folgenabschätzung und die Information der betroffenen Personen verantwortet der Kunde. Für Daten nach § 203 StGB können die Parteien eine ergänzende Vereinbarung nach § 203 Abs. 4 StGB schließen.

5. Pflichten des Auftragsverarbeiters

Manola verpflichtet sich gemäß Art. 28 Abs. 3 DSGVO,

a) personenbezogene Daten nur auf dokumentierte Weisung des Kunden zu verarbeiten, auch bei Übermittlung in ein Drittland, es sei denn, Manola ist nach Unions- oder Mitgliedstaatsrecht zur Verarbeitung verpflichtet; in diesem Fall teilt Manola dies dem Kunden vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet (Ziffer 6);

b) die zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten (Ziffer 7);

c) alle nach Art. 32 DSGVO erforderlichen Maßnahmen zu ergreifen (Ziffer 8);

d) die Bedingungen des Art. 28 Abs. 2 und 4 DSGVO für weitere Auftragsverarbeiter einzuhalten (Ziffer 9);

e) den Kunden bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO zu unterstützen (Ziffer 10);

f) den Kunden bei der Einhaltung der Art. 32 bis 36 DSGVO zu unterstützen (Ziffern 10 und 11);

g) nach Abschluss der Leistungen alle personenbezogenen Daten nach Wahl des Kunden zu löschen oder zurückzugeben, sofern keine Speicherpflicht nach Unions- oder Mitgliedstaatsrecht besteht (Ziffer 13);

h) alle zum Nachweis der Einhaltung des Art. 28 DSGVO erforderlichen Informationen bereitzustellen und Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer zu ermöglichen (Ziffer 12).

Manola informiert den Kunden unverzüglich, wenn eine Weisung nach Auffassung von Manola gegen Datenschutzvorschriften verstößt, und darf ihre Durchführung bis zur Bestätigung oder Änderung durch den Kunden aussetzen.

6. Weisungen und Datenschutzkontakte

6.1 Weisungen erteilt der Kunde durch Nutzung und Konfiguration der Plattform. Handlungen seiner Nutzer im Rahmen der Rechte, die der Administrator ihnen eingeräumt hat, gelten als Weisungen des Kunden.

6.2 Datenschutzkontakte. Der Administrator kann in der Plattform Personen als Datenschutzkontakte festlegen. Solange niemand festgelegt ist, sind die Administratoren die Datenschutzkontakte. Die Datenschutzkontakte erteilen Weisungen außerhalb der Plattform in Textform an datenschutz@dasistweb.de. Alle Mitteilungen von Manola nach dieser Vereinbarung gehen ausschließlich an die Datenschutzkontakte.

7. Vertraulichkeit

7.1 Manola verpflichtet alle Personen, die Zugang zu Daten des Kunden haben, zur Vertraulichkeit, auch über das Ende ihrer Tätigkeit hinaus. Zugang gewährt Manola nur, soweit dies zur Erfüllung der jeweiligen Aufgabe erforderlich ist.

7.2 Datenschutzbeauftragter von Manola: Proliance GmbH / www.datenschutzexperte.de, Leopoldstr. 21, 80802 München, E-Mail datenschutzbeauftragter@datenschutzexperte.de.

8. Sicherheit der Verarbeitung

8.1 Manola trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 (Art. 32 DSGVO) und hält sie während der Laufzeit aufrecht.

8.2 Manola darf die Maßnahmen weiterentwickeln, ohne das Schutzniveau zu unterschreiten. Die geltende Fassung der Anlage 2 ist unter https://manola.ai/legal/tom abrufbar.

9. Unterauftragsverarbeiter und Drittlandübermittlung

9.1 Der Kunde erteilt die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter (Unterauftragsverarbeiter, Art. 28 Abs. 2 DSGVO). Die Unterauftragsverarbeiter und ihren Status nennt Anlage 3.

9.2 Manola informiert den Kunden mindestens 30 Tage vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters in Textform. Der Kunde kann innerhalb von 30 Tagen nach Zugang aus datenschutzrechtlichem Grund in Textform widersprechen. Widerspricht er nicht, gilt der Einsatz als genehmigt. Finden die Parteien nach einem Widerspruch innerhalb von 30 Tagen keine Lösung, kann der Kunde den Hauptvertrag außerordentlich kündigen, spätestens wirksam zum Einsatz des Unterauftragsverarbeiters. Muss ein Unterauftragsverarbeiter wegen eines Sicherheitsvorfalls oder seines Ausfalls kurzfristig ersetzt werden, kann Manola die Frist unterschreiten und informiert den Kunden unverzüglich. Das Widerspruchsrecht bleibt bestehen.

9.3 Manola setzt nur Unterauftragsverarbeiter ein, die hinreichende Garantien nach Art. 28 Abs. 4 DSGVO bieten. Manola verpflichtet sie vertraglich auf Datenschutzpflichten, die das Schutzniveau dieser Vereinbarung nicht unterschreiten. Für die Erfüllung dieser Pflichten haftet Manola dem Kunden.

9.4 Modellanbieter sind Unterauftragsverarbeiter. Ob und wie lange sie Eingaben und Ausgaben speichern, weist Anlage 3 aus.

9.5 Manola speichert die Daten des Kunden in Rechenzentren in Deutschland. Modellanfragen und weitere Dienste verarbeiten Unterauftragsverarbeiter auch in der EU und, wenn der Administrator die Stufe „Weltweit" gewählt hat, außerhalb der EU (Ziffer 14.1). Verarbeitungsorte und Übermittlungsmechanismen der Unterauftragsverarbeiter weist Anlage 3 aus. Eine Übermittlung in ein Drittland erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

9.6 Einen Betrieb ausschließlich in Deutschland und andere abweichende Betriebsformen regelt ein gesonderter Enterprise-Vertrag.

9.7 Bindet der Kunde eigene Modelle oder Modelle aus eigenen Verträgen ein, übermittelt Manola Eingaben auf Weisung des Kunden an den von ihm angegebenen Endpunkt. Diese Modelle und ihre Anbieter sind keine Unterauftragsverarbeiter. Die Verarbeitung dort liegt vollständig in der Verantwortung des Kunden. Die Verarbeitungsstufe nach Ziffer 14.1 gilt für sie nicht.

10. Unterstützungspflichten

10.1 Anträge betroffener Personen nach Art. 15 bis 22 DSGVO beantwortet der Kunde. Manola unterstützt ihn dabei durch die Funktionen der Plattform und, soweit diese nicht ausreichen, auf Weisung in Textform. Wendet sich eine betroffene Person direkt an Manola, leitet Manola den Antrag unverzüglich an den Kunden weiter und beantwortet ihn nicht selbst.

10.2 Manola unterstützt den Kunden bei den Pflichten aus Art. 32 bis 36 DSGVO, einschließlich Datenschutz-Folgenabschätzung und vorheriger Konsultation, durch die Anlagen 2 und 3 und die Manola vorliegenden Informationen.

10.3 Jede Partei trägt ihre Kosten selbst. Aufwand für Unterstützung und Weisungen über die Plattformfunktionen und vorhandene Unterlagen hinaus sowie für Inspektionen nach Ziffer 12.2 kann Manola nach vorheriger Ankündigung zu den jeweils gültigen Stundensätzen von Manola berechnen. Ergibt eine Inspektion einen wesentlichen Verstoß von Manola, entfällt die Vergütung dafür.

11. Meldung von Verletzungen des Schutzes personenbezogener Daten

11.1 Manola meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, in Textform. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie Manola vorliegen. Fehlende Angaben liefert Manola nach.

11.2 Meldungen an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen (Art. 33, 34 DSGVO) obliegen dem Kunden. Manola stellt ihm die dafür erforderlichen Informationen bereit, soweit sie Manola vorliegen.

12. Nachweise und Kontrollrechte

12.1 Manola weist die Einhaltung dieser Vereinbarung auf Anfrage vorrangig durch Unterlagen nach, insbesondere die Anlage 2 sowie vorhandene Zertifikate und Prüfberichte von Manola und den Hosting-Unterauftragsverarbeitern.

12.2 Eine Inspektion in den Geschäftsräumen von Manola kann der Kunde nur verlangen, wenn die Nachweise nach Ziffer 12.1 nicht ausreichen, konkrete Anhaltspunkte für einen Verstoß bestehen oder eine Aufsichtsbehörde sie verlangt. Er führt sie selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer durch, der nicht im Wettbewerb mit Manola steht. Die Inspektion ist höchstens einmal je Vertragsjahr zulässig, wird 30 Tage vorher in Textform angekündigt und findet während der Geschäftszeiten statt, ohne den Betrieb zu stören. Bei konkreten Anhaltspunkten für einen Verstoß gelten diese Grenzen nicht. Rechenzentren von Unterauftragsverarbeitern werden über deren Zertifikate und Prüfberichte nachgewiesen.

12.3 Der Kunde behandelt die erlangten Informationen vertraulich und nutzt sie nur zur Prüfung der Einhaltung dieser Vereinbarung.

13. Löschung und Rückgabe der Daten

13.1 Nach Beendigung des Hauptvertrags kann der Kunde seine Daten 30 Tage lang über die Exportfunktionen der Plattform exportieren (Exportfrist). Beim Anbieterwechsel gilt anstelle der Exportfrist die Abruffrist nach dem Annex „Anbieterwechsel" der Nutzungsbedingungen.

13.2 Nach Ablauf der Exportfrist löscht Manola alle Daten des Kunden und weist die Unterauftragsverarbeiter zur Löschung an. Ausgenommen sind Daten, die Manola aufgrund gesetzlicher Pflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen aufbewahren muss. Sie werden gesperrt und nach Wegfall des Grundes gelöscht.

13.3 Datensicherungen werden nach höchstens 30 Tagen überschrieben. Bis dahin verwendet Manola sie nur zur Wiederherstellung der Plattform.

14. KI-spezifische Regelungen

14.1 Modellwahl und Verarbeitungsstufen. Der Administrator legt für alle Nutzer des Kunden eine Verarbeitungsstufe fest und schränkt damit die Modellauswahl ein. Jeder Nutzer wählt im Rahmen seiner Rechte aus den Modellen, die ihm der Administrator zur Verfügung stellt. Diese Wahl ist eine Weisung nach Ziffer 6.1. Jede Stufe umfasst die vorherige und lässt zusätzlich zu:

a) „Souverän DE": Modelle, betrieben von Unternehmen mit Sitz in Deutschland, auf Servern in Deutschland,

b) „Souverän EU": Modelle, betrieben von Unternehmen mit Sitz in der EU, auf Servern in der EU,

c) „Deutschland": Modelle anderer Anbieter, verarbeitet in Deutschland,

d) „Europa": Modelle anderer Anbieter, verarbeitet in der EU,

e) „Weltweit": Modelle, verarbeitet auch außerhalb der EU.

Voreingestellt ist die Stufe „Europa". Jedes Modell ist in der Plattform mit seiner Stufe gekennzeichnet. Modelle mit Verarbeitung außerhalb der EU setzt Manola nur ein, wenn der Administrator die Stufe „Weltweit" gewählt hat. Diese Wahl ist die dokumentierte Weisung zur Übermittlung. Die Zulässigkeit dieser Übermittlung einschließlich der Information der betroffenen Personen verantwortet der Kunde. Die Verarbeitungsstufe gilt für die Modelle, die Nutzer auswählen, und für Aufrufe über das Manola Model Gateway. Embeddings werden in der EU verarbeitet, auf Wunsch des Kunden in Deutschland. Im Übrigen gilt Ziffer 9.5.

14.2 Kein Training. Manola und ihre Unterauftragsverarbeiter verwenden Daten des Kunden nicht zum Training von KI-Modellen.

14.3 Protokollierung und Einsicht. Die Plattform protokolliert Konversationen von Manola Hey und Abläufe von Agenten und Workflows jeweils mit ihrem gesamten Kontext. Das Gegenüber in Manola Hey ist in der Regel ein Endkunde und kann identifizierbar sein. Nutzer des Kunden können diese Protokolle im Rahmen ihrer Rechte einsehen und bewerten und in Konversationen von Manola Hey eingreifen. Aus dem Chat für Mitarbeitende erhält der Kunde standardmäßig nur Gruppenauswertungen. Eine Einsicht je Nutzer ist eine Funktion, die der Administrator des Kunden verwaltet. Ob Gespräche von Nutzern mit Agenten einsehbar sind, legt der Kunde in der Plattform fest. Jeder Agent führt ein Arbeitsprotokoll darüber, was er getan hat und für wen. Über die Nutzung von Agenten erfasst die Plattform nutzerbezogen nur die für die Abrechnung erforderlichen Daten und erstellt kein Profil der Nutzer. Die Speicherdauer dieser Protokolle stellt der Kunde in der Plattform ein. Voreingestellt sind drei Monate. Rechtsgrundlage, Information von Nutzern und Endkunden und die Beteiligung einer Arbeitnehmervertretung verantwortet der Kunde.

15. Zugriff durch Support und Betrieb

15.1 Mitarbeitende von Manola greifen auf Inhalte des Kunden nur zu, soweit dies für Support, Störungsbehebung, die Sicherheit der Plattform oder gesetzliche Pflichten erforderlich ist.

15.2 Der Zugriff auf produktive Systeme ist nur Personen gestattet, die sich in der EU aufhalten. Ein Zugriff von außerhalb der EU ist ausgeschlossen, auch über einen VPN mit Standort in der EU.

16. Herausgabeverlangen von Behörden und Dritten

Verlangt eine Behörde, ein Gericht oder ein Dritter Herausgabe von oder Zugang zu Daten des Kunden, gibt Manola Daten nur heraus, soweit Manola rechtlich dazu verpflichtet ist, und informiert den Kunden unverzüglich, soweit dies zulässig ist.

17. Haftung

17.1 Für die Haftung der Parteien untereinander gelten die Haftungsregelungen des Hauptvertrags auch für Ansprüche aus dieser Vereinbarung. Ziffer 13.4 der Nutzungsbedingungen („Keine Garantien") gilt für diese Vereinbarung und ihre Anlagen.

17.2 Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO. Für den Rückgriff im Innenverhältnis gilt Ziffer 17.1.

17.3 Für Ansprüche Dritter, die darauf beruhen, dass der Kunde Daten ohne Rechtsgrundlage eingebracht oder rechtswidrige Weisungen erteilt hat, gilt die Freistellung nach Ziffer 15 der Nutzungsbedingungen.

18. Laufzeit und Beendigung

18.1 Diese Vereinbarung gilt für die Dauer der Verarbeitung nach Ziffer 2.2. Eine gesonderte Kündigung dieser Vereinbarung ist ausgeschlossen.

18.2 Die Ziffern 7, 13, 16 und 17 gelten über das Vertragsende hinaus, solange Manola Daten des Kunden verarbeitet oder Ansprüche geltend gemacht werden können.

19. Änderungen dieser Vereinbarung

19.1 Manola kann diese Vereinbarung und ihre Anlagen ändern, soweit dies wegen Änderungen der Rechtslage, behördlicher Vorgaben oder der Plattform erforderlich ist und das Schutzniveau nicht sinkt. Für Anlage 2 gilt Ziffer 8.2, für Anlage 3 Ziffer 9.2.

19.2 Für Ankündigung, Widerspruch und Kündigung gelten die Ziffern 18.2 und 18.3 der Nutzungsbedingungen.

19.3 Andere Änderungen bedürfen der Textform.

20. Schlussbestimmungen

20.1 Für anwendbares Recht, Gerichtsstand, Erklärungen und Mitteilungen sowie unwirksame Bestimmungen gelten die Ziffern 19.1 bis 19.3 und 19.5 der Nutzungsbedingungen.

20.2 Anlagen dieser Vereinbarung sind Anlage 1 (Gegenstand, Datenarten und betroffene Personen), Anlage 2 (Technische und organisatorische Maßnahmen, https://manola.ai/legal/tom) und Anlage 3 (Unterauftragsverarbeiter, https://manola.ai/legal/subprozessoren).

Anlage 1 – Gegenstand, Datenarten und betroffene Personen

Version 1.0 · Stand 16.10.2026

A. Gegenstand und Zweck der Verarbeitung

B. Datenarten

1. Inhalte und Wissensbasen, die der Kunde hochlädt oder anbindet, einschließlich daraus abgeleiteter Suchindizes
2. Eingaben von Nutzern und Endkunden sowie Anweisungen und Anfragen des Kunden an Agenten und Modelle
3. Ausgaben der Modelle und Agenten
4. Konversationsverläufe und Protokolle nach Ziffer 14.3 AVV
5. Konfigurationen, einschließlich Zugangsdaten zu Systemen des Kunden
6. Nutzerkonten der Nutzer und Administratoren
7. Kennungen von Endkunden, soweit der Kunde sie erhebt oder übergibt
8. Daten, die Agenten und Workflows aus Systemen des Kunden abrufen oder dorthin übergeben
9. Verbindungsdaten von Endkunden bei der Nutzung von Manola Hey, insbesondere die IP-Adresse
10. Besondere Kategorien personenbezogener Daten, soweit der Kunde sie verarbeitet (Ziffer 4.2 AVV)

C. Kategorien betroffener Personen

1. Beschäftigte und Beauftragte des Kunden, einschließlich Nutzern und Administratoren
2. Kunden, Interessenten und Endkunden des Kunden, auch Verbraucher
3. Geschäftspartner des Kunden und deren Ansprechpersonen
4. Sonstige Personen, die in Inhalten, Eingaben oder Daten aus Systemen des Kunden genannt werden