Datenschutzerklärung für ManaMail

Stand: 28. September 2026

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

Jonas Merlin Koschate
Karl-Kunger-Straße 57
12435 Berlin
Deutschland

E-Mail: support@manamail.io

Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt.

2. Überblick

ManaMail ist eine Chrome-Erweiterung, die E-Mails, Chat-Nachrichten und Meeting-Inhalte mithilfe künstlicher Intelligenz analysiert. Datenverarbeitung findet an fünf Stellen statt:

Lokal in Ihrem Browser (Speicherung von Einstellungen, erkannten Aufgaben, Meeting-Transkripten)
Auf einem vom Anbieter betriebenen Proxy-Server (Weiterleitung von Anfragen an KI-Anbieter, gehostet bei Vercel Inc.)
Bei externen KI-Anbietern in den USA (OpenAI für Text-Analyse und Vision, Groq für Sprach-Transkription)
In Ihrem Nutzerkonto (Datenbank bei Supabase in Irland) und beim E-Mail-Versand über Resend – für Anmeldung, Tarif, Guthaben und Newsletter
Beim Zahlungsdienstleister Stripe (Abwicklung von Käufen und Abonnements) – Ihre Zahlungsdaten geben Sie dort direkt ein, wir erhalten sie nicht

In Gmail und Outlook liest das Plugin die geöffnete E-Mail von der angezeigten Seite; ein Austausch mit Google oder Microsoft findet dafür nicht statt (siehe § 6.1).

3. Rechtsgrundlagen

Die Verarbeitung Ihrer Daten erfolgt auf Grundlage von:

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) – für Kernfunktionen des Plugins
Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) – für Meeting-Aufnahmen und für den Newsletter
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) – für Betriebssicherheit und Missbrauchsprävention

4. Chrome-Erweiterung und Bezug

ManaMail wird über den Chrome Web Store bereitgestellt. Betreiber: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland. Beim Herunterladen, Installieren und Aktualisieren verarbeitet Google Daten nach eigenen Datenschutzbestimmungen: <https://policies.google.com/privacy>. Auf diese Verarbeitung haben wir keinen Einfluss.

4.1 Erforderliche Chrome-Berechtigungen

Die Erweiterung fordert folgende Berechtigungen an:

Berechtigung	Zweck
`storage`	Speicherung von Einstellungen und Ihrer Anmeldesitzung im Browser
`sidePanel`	Anzeige des Plugins in der Chrome-Seitenleiste
`activeTab`	Zugriff auf den aktuellen Tab beim Klick auf „Erkennen"
`scripting`	Auslesen Ihrer aktuellen Text-Markierung, Screenshot-Overlay
`tabCapture`	Aufnahme des Tons eines Tabs oder Fensters (Meeting-Modus)
`offscreen`	Technisch notwendiges Hintergrund-Dokument für die Audio-Aufnahme
`identity`	Anmeldung mit Google (OAuth)
`<all_urls>` (Host)	Nötig, damit der Zeichen-Zähler und das „Erkennen" auf beliebigen Webseiten funktionieren
Command `Alt+E`	Globales Tastenkürzel zum Auslösen der Erkennung

Die <all_urls>-Berechtigung ist technisch erforderlich, weil Sie das Plugin z. B. auf WhatsApp Web, Slack, Teams oder anderen Web-Diensten nutzen können. Auf jeder Seite läuft nur ein sehr schlankes Content-Skript (selcount.js), das ausschließlich die Länge Ihrer aktuellen Textmarkierung und einen groben Kategorie-Kennzeichner der Webseite (z. B. „whatsapp", „slack", „teams") an das Plugin meldet. Der markierte Text wird nur ausgelesen, wenn Sie aktiv auf „Erkennen" klicken.

5. Lokale Datenspeicherung im Browser

5.1 localStorage (Einstellungen, Inhalte, Cache)

Das Plugin speichert Daten unter dem Schlüssel-Präfix manamail_* ausschließlich im localStorage Ihres Chrome-Browsers (Kontext: Side-Panel der Erweiterung). Diese Daten verlassen Ihr Gerät nicht und werden von uns nicht ausgelesen.

Speicherumfang und -dauer:

Datenkategorie	Konkrete Inhalte	Aufbewahrung
Einstellungen	Sprache, Farbe, Dark-Mode, Font, aktiver Tab, Tastenkürzel, Sortier-Präferenz, Antwort-Sprache	Bis manuell geändert oder Erweiterung deinstalliert
Nutzer-Profil	Name, Berufsposition, Tätigkeitsbereiche (aus Onboarding)	Bis manuell geändert
Erkannte Einträge	Erkannte E-Mails, Chats, Aufgaben und Meetings inkl. Absender, Betreff und aller sichtbaren Inhalte	Bis manuell entfernt oder das Speicher-Kontingent erschöpft ist
Meeting-Transkripte	Volltext-Transkripte bis 24.000 Zeichen, Highlights, Bullets, Entscheidungen, offene Fragen	Maximal 50 Meetings – ältere werden automatisch überschrieben
Protokolle zu E-Mails/Chats	Ähnlich zu Meetings, pro erkanntem Eintrag	Maximal 40 Einträge
Analyse-Cache	Zwischenspeicher für bereits analysierte Inhalte (spart Wiederholungen)	Maximal 40 Einträge, spätestens nach 30 Tagen
Zeitersparnis-Log	Metadaten (Anzahl Zeilen, Dauer, Zeitstempel) je erkanntem Element	365 Tage
Archiv erledigter Aufgaben	Als „erledigt" markierte Einträge inkl. eingebettetem Meeting-Transkript	365 Tage, danach automatisch gelöscht; früher, wenn Sie es manuell leeren oder das ~4 MB-Kontingent erreicht ist
Gelernte Kontakte	Zuordnung Telefonnummer/Chat-ID → Klarname aus Signaturen	Unbegrenzt, bis manuell gelöscht
Schreibstil-Beispiele	Von Ihnen hinterlegte eigene Antwort-Beispiele (bis zu 3 pro Sprache und Anredeform)	Unbegrenzt, bis manuell gelöscht
Retry-Puffer	Meeting-Transkript und Kontext für einen erneuten Analyse-Versuch bei technischen Fehlern	Bis zur erfolgreichen erneuten Analyse

5.2 chrome.storage.local (Anmeldesitzung, technische Zustände)

Zusätzlich nutzt das Plugin den chrome.storage.local-Bereich der Erweiterung für:

Anmeldesitzung Ihres Nutzerkontos (Zugangs- und Erneuerungs-Token) — bleibt gespeichert, bis Sie sich im Plugin abmelden (siehe § 8.5).
Icon-Farbe der Toolbar-Extension — reine UI-Einstellung.
manamail_pending_reply — vom Plugin generierter Antwort-Text plus Empfänger-E-Mail und Betreff, zwischengespeichert bis zum Einfügen in Ihre E-Mail-Anwendung und danach gelöscht.

5.3 Speicherung von Zugriffstokens

Für Gmail und Outlook verwendet das Plugin keine Zugriffstokens (siehe § 6.1). Gespeichert wird nur die Anmeldung an Ihrem ManaMail-Konto (siehe § 8).

5.4 Was nicht gespeichert wird

Wir setzen keine Cookies. Wir nutzen keine IndexedDB und keine WebSQL. Wir nutzen kein chrome.storage.sync (d. h. Daten werden nicht mit anderen Chrome-Geräten synchronisiert). Passwörter werden nie gespeichert.

5.5 Manuelle Löschung Ihrer lokalen Daten

Das Plugin bietet derzeit keinen einzelnen Button, mit dem alle lokal gespeicherten Daten auf einmal gelöscht werden können. Vollständig entfernen lassen sich die Daten wie folgt:

Deinstallation der Erweiterung über chrome://extensions → Daten werden vollständig entfernt.
Manuelles Leeren über die Chrome-Entwicklerkonsole (localStorage) bzw. chrome.storage.local.
Einzelne Einträge per „×"-Symbol im Plugin entfernen.
Schreibstil-Beispiele über die Einstellungen einzeln löschen.

6. E-Mails in Gmail und Outlook

6.1 Lesen der geöffneten E-Mail von der Seite

In Gmail und Outlook liest das Plugin die E-Mail, die Sie gerade geöffnet haben, direkt von der angezeigten Seite – und zwar erst, wenn Sie auf „Erkennen" klicken. Dafür ist keine Verbindung zu Ihrem Google- oder Microsoft-Konto nötig: ManaMail erhält keinen Zugriff auf Ihr Postfach und keine Zugriffstokens. Erfasst wird nur, was auf der Seite sichtbar ist, also Absender, Empfänger, Betreff, Datum und Text der geöffneten Nachricht. Eingeklappte ältere Nachrichten eines Verlaufs werden nicht erfasst. Die erfassten Angaben werden zur Analyse an unseren Proxy weitergeleitet (siehe § 7).

Antworten fügt das Plugin in das Antwortfeld der Seite ein. Versendet werden sie ausschließlich von Ihnen.

6.2 Frühere Verbindungen

Frühere Versionen des Plugins boten eine Verbindung zu Gmail bzw. Outlook an. Falls Sie diese genutzt haben, können Sie den damals erteilten Zugriff in Ihrem Konto entfernen:

Google: <https://myaccount.google.com/permissions>
Microsoft: <https://account.microsoft.com/privacy/app-access>

Im Plugin gespeicherte Outlook-Zugriffstokens aus dieser Zeit löscht das Plugin beim nächsten Start selbst.

7. KI-Verarbeitung über den ManaMail-Proxy

7.1 Datenfluss

Für alle KI-gestützten Funktionen (Erkennen von Aufgaben, Zusammenfassungen, Antwortvorschläge, Sprachtranskription, Meeting-Analyse) werden Ihre Inhalte an den ManaMail-Proxy unter der Adresse https://mm-api-proxy.vercel.app gesendet. Der Proxy leitet die Anfrage an den jeweiligen KI-Anbieter weiter und gibt das Ergebnis an das Plugin zurück.

Datenpfad: Ihr Browser → ManaMail-Proxy (Vercel Inc.) → OpenAI bzw. Groq → zurück über den Proxy.

Hosting-Anbieter des Proxys: Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA. Datenschutz: <https://vercel.com/legal/privacy-policy>. Die Übermittlung an Vercel und die weiteren US-Anbieter erfolgt auf Grundlage des EU-US Data Privacy Framework sowie zusätzlicher Standardvertragsklauseln (siehe § 13).

Log-Verhalten des Proxys: Der Proxy-Code protokolliert keine Anfrageinhalte (keine E-Mail-Texte, keine KI-Antworten, keine Nutzer-IPs). Vercel erfasst als Infrastruktur-Anbieter automatisch technische Zugriffslogs (HTTP-Methode, Pfad, Statuscode, Antwortzeit, Zeitstempel). Diese Logs enthalten keine Anfrage-Payloads und werden von Vercel gemäß deren Datenschutzrichtlinie für bis zu 30 Tage gespeichert. Eine Auswertung durch den Anbieter erfolgt ausschließlich zur Fehleranalyse.

7.2 Welche Inhalte werden übermittelt

Je nach genutzter Funktion werden folgende Daten übermittelt:

Funktion	Übermittelte Daten	Empfänger
E-Mail-/Chat-Erkennung (bei Gmail/Outlook)	Geöffnete E-Mail inkl. Absender, Empfänger, Betreff, Text, Datum; zusätzlich Ihr Name, Ihre Berufsposition und Tätigkeitsbereiche als Prompt-Kontext	OpenAI (Modell `gpt-4.1-mini`)
E-Mail-/Chat-Erkennung (auf anderen Webseiten, z. B. WhatsApp Web, Slack, Teams)	Screenshot des sichtbaren Tab-Bereichs (kann auch nicht-markierte Inhalte enthalten), plus Ihr Name/Ihre Position/Tätigkeitsbereiche	OpenAI (Modell `gpt-4.1-mini` mit Vision)
Follow-Up-Analyse	Neuer E-Mail-Text + Liste Ihrer bestehenden offenen Aufgaben	OpenAI
Werbe-Mail-Zusammenfassung	Erste 2.500 Zeichen der E-Mail	OpenAI
Antwort-Generierung	Bullet-Aufgaben, Ihre Notizen, Ihr Name, Ihre hinterlegten Schreibstil-Beispiele, Empfänger-Name, Sprach-Angabe	OpenAI
Voice-Reply (Diktat)	Ihre Mikrofon-Aufnahme; anschließend das Transkript für Bereinigung	Groq (Whisper) → OpenAI
Protokoll-Übersetzung (nur auf Knopfdruck)	Text des Protokolls (bis 6.000 Zeichen) und Zielsprache	OpenAI
Meeting-Aufnahme	Ton des geteilten Tabs oder Fensters und Ihre Mikrofon-Aufnahme; anschließend Ihr Nutzer-Profil und Notizen zur Analyse	Groq (Whisper `whisper-large-v3`) → OpenAI

7.3 Ihre Aktive Auslösung

Datenübermittlung an unseren Proxy erfolgt ausschließlich, wenn Sie eine Funktion aktiv auslösen – z. B. Klick auf „Erkennen", „Antworten generieren", „Meeting starten", „Voice-Reply" oder Betätigung des Tastenkürzels Alt+E. Ohne solche Handlung übermittelt das Plugin nichts.

7.4 Kein Training mit Ihren Daten

Nach den derzeitigen Zusicherungen von OpenAI und Groq werden Inhalte, die über deren APIs übertragen werden, nicht zum Training der KI-Modelle verwendet:

OpenAI: <https://openai.com/enterprise-privacy>
Groq: <https://groq.com/privacy-policy/>

Diese Zusicherungen sind Voraussetzung für die Nutzung. Sollten sie sich ändern, informieren wir Sie und passen ggf. den Anbieter an.

7.5 Rechtsgrundlage

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Für die Meeting-Aufnahme zusätzlich Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), siehe § 11.

8. Nutzerkonto und Guthaben

8.1 Zweck

Für die Verwaltung Ihres Tarifs und Ihres Guthabens (im Plugin „Mana“) benötigt ManaMail ein Nutzerkonto. Sie melden sich entweder mit einem Anmeldelink bzw. -code an, den wir an Ihre E-Mail-Adresse senden, oder mit Ihrem Google-Konto.

8.2 Anbieter und Speicherort

Das Nutzerkonto wird bei Supabase, Inc. (USA) geführt. Die Datenbank liegt in einem Rechenzentrum in Irland (EU). Da der Anbieter seinen Sitz in den USA hat, ist ein Zugriff aus den USA nicht auszuschließen (siehe § 13). Mit Supabase besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; er ist Teil der Nutzungsbedingungen von Supabase und schließt die Standardvertragsklauseln der EU-Kommission ein. Datenschutzhinweise von Supabase: <https://supabase.com/privacy>

8.3 Gespeicherte Daten

Datenkategorie	Inhalte
Kontodaten	E-Mail-Adresse, interne Nutzerkennung, Zeitpunkt der Registrierung und der letzten Anmeldung
Bei Anmeldung mit Google	zusätzlich die von Google übermittelten Profildaten: Name, Adresse des Profilbilds, Google-Nutzerkennung
Tarif und Guthaben	gebuchter Tarif, aktueller Guthabenstand, verbrauchtes Guthaben, Ende des Abrechnungszeitraums
Newsletter	siehe § 10
Tageszähler	Anzahl der Aufrufe kostenloser Funktionen (Übersetzen, Transkription, Meeting-Auswertung) je Tag und Art, ohne Inhalte – siehe § 8.4

Die Anmeldung mit Google gibt ManaMail keinen Zugriff auf Ihre E-Mails.

8.4 Abbuchung von Guthaben

Bei jeder kostenpflichtigen KI-Funktion prüft der Proxy Ihre Anmeldung und bucht das Guthaben in der Datenbank ab. Dafür werden nur Ihre Nutzerkennung, die Art der Funktion (z. B. „Email-Analyse") und die Höhe des Guthabenabzugs übermittelt. Inhalte Ihrer Anfragen gelangen nicht in die Datenbank.

Funktionen, die kein Guthaben kosten (Übersetzen, Transkription, Aufbereitung von Meeting-Transkripten), zählt der Proxy je Nutzer, Tag und Art, um Missbrauch zu begrenzen. Gespeichert werden nur Nutzerkennung, Datum, Art und Anzahl; die Zähler werden nach sieben Tagen gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

8.5 Anmeldesitzung auf Ihrem Gerät

Nach der Anmeldung speichert das Plugin einen Zugangs- und einen Erneuerungs-Token im chrome.storage.local Ihres Browsers, damit Sie angemeldet bleiben. Beim Abmelden im Plugin werden beide entfernt.

8.6 Rechtsgrundlage und Speicherdauer

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Kontodaten speichern wir, bis Sie Ihr Konto löschen lassen; dafür genügt eine Nachricht an support@manamail.io. Das Abmelden im Plugin beendet nur die Sitzung auf Ihrem Gerät, das Konto bleibt bestehen. Soweit gesetzliche Aufbewahrungspflichten bestehen (z. B. für Rechnungen), sperren wir die betroffenen Daten, statt sie zu löschen.

9. Bezahlung über Stripe

9.1 Zweck und Anbieter

Kostenpflichtige Tarife und Zusatzpakete werden über Stripe abgewickelt. Anbieter für Kunden im Europäischen Wirtschaftsraum ist die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland.

Wenn Sie einen Kauf starten, werden Sie auf eine von Stripe betriebene Bezahlseite geleitet. Ihre Zahlungsdaten geben Sie dort ein.

9.2 Was Stripe erhält — und was wir nicht sehen

An Stripe übermittelt	Inhalte
Von uns	Ihre E-Mail-Adresse, Ihre interne Nutzerkennung, das gewählte Produkt und der Preis
Von Ihnen direkt	Zahlungsdaten der von Ihnen gewählten Zahlungsart (z. B. Kartendaten), Name und Rechnungsanschrift
Durch die Nutzung der Bezahlseite	IP-Adresse, Gerät- und Browserangaben, Zeitpunkt — zur Betrugserkennung durch Stripe

Ihre Zahlungsdaten gelangen nicht zu uns. Wir sehen weder Kartennummer noch Kontoverbindung; sie werden ausschließlich zwischen Ihnen und Stripe ausgetauscht.

9.3 Was wir zum Kauf speichern

Datenkategorie	Inhalte
Kaufdaten	Art des Kaufs (Tarif oder Zusatzpaket), Betrag, Währung, Zeitpunkt
Zuordnung bei Stripe	Kennungen der Zahlung und des Abonnements bei Stripe
Rechnungsland	das Land Ihrer Rechnungsanschrift — wir verkaufen nur nach Deutschland; bei einer ausländischen Anschrift wird der Kauf sofort erstattet und nichts freigeschaltet
Ihre Erklärungen beim Kauf	dass Sie den sofortigen Beginn verlangt und den Hinweis zum Widerrufsrecht zur Kenntnis genommen haben, sowie die Fassung dieses Hinweises
Bei Zusatzpaketen	gutgeschriebenes Guthaben und dessen Ablaufdatum
Bei Erstattungen	Zeitpunkt der Erstattung

Die Erklärungen aus dem Kaufablauf halten wir fest, weil sie bei einem Widerruf darüber entscheiden, welcher Betrag zu erstatten ist (§ 357 Abs. 8 BGB).

9.4 Kündigung und Widerruf

Über die Formulare auf manamail.io können Sie kündigen oder widerrufen, ohne sich anzumelden. Dabei übermitteln Sie Ihre E-Mail-Adresse, Ihren Namen und Ihre Erklärung; freiwillig können Sie einen Grund angeben. Wir verwenden diese Angaben, um die Erklärung Ihrem Konto zuzuordnen, sie Ihnen in Textform zu bestätigen und sie auszuführen. Die Bestätigung versenden wir über Resend (siehe § 10). Gespeichert wird die Erklärung nicht gesondert; sie verbleibt in den beiden Postfächern.

9.5 Drittlandübermittlung

Stripe Payments Europe, Ltd. gibt Daten an die Stripe, Inc. in den USA weiter. Stripe, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert; für Übermittlungen darüber hinaus verwendet Stripe die Standardvertragsklauseln der EU-Kommission. Näheres in der Datenschutzerklärung von Stripe: <https://stripe.com/de/privacy>

9.6 Rechtsgrundlage und Speicherdauer

Rechtsgrundlage ist die Erfüllung des Vertrags mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO). Für die Betrugserkennung durch Stripe besteht zusätzlich ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Kaufdaten unterliegen den handels- und steuerrechtlichen Aufbewahrungspflichten und werden zehn Jahre aufbewahrt (§ 147 AO, § 257 HGB). Löschen Sie Ihr Konto, bleiben diese Daten für die Dauer der Aufbewahrungsfrist gesperrt gespeichert und werden danach gelöscht.

10. Newsletter

10.1 Anmeldung mit Bestätigung (Double-Opt-in)

Den Newsletter können Sie freiwillig in den Einstellungen des Plugins einschalten. Wir senden Ihnen daraufhin eine E-Mail mit einem Bestätigungslink. Erst wenn Sie diesen Link anklicken, ist der Newsletter aktiv. Der Link gilt 48 Stunden; ohne Klick erhalten Sie keine weiteren E-Mails.

10.2 Inhalt und Guthaben

Der Newsletter erscheint etwa einmal im Monat und enthält Neuigkeiten zu ManaMail, Tipps zur Nutzung und gelegentlich Angebote. Als Dankeschön schreiben wir Ihrem Konto Guthaben gut – einmalig bei der ersten Bestätigung und danach regelmäßig, solange der Newsletter aktiv ist; die aktuelle Höhe steht im Plugin. Die Anmeldung ist freiwillig: alle Funktionen des Plugins sind auch ohne Newsletter nutzbar.

10.3 Gespeicherte Daten

Ihre E-Mail-Adresse und die gewählte Sprache
der Bestätigungscode sowie die Zeitpunkte von Anmeldung und Bestätigung – als Nachweis Ihrer Einwilligung
ob der Newsletter aktiv ist, eine zufällige Kennung für den Abmeldelink und der Monat der letzten Guthaben-Gutschrift

10.4 Versand über Resend

Anmelde-, Bestätigungs- und Newsletter-E-Mails versenden wir über Resend (Plus Five Five, Inc., USA). Resend verarbeitet dafür Ihre E-Mail-Adresse und den Inhalt der jeweiligen E-Mail. Mit Resend besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; er ist Teil der Nutzungsbedingungen von Resend. Datenschutzhinweise von Resend: <https://resend.com/legal/privacy-policy>. Zur Übermittlung in die USA siehe § 13.

Wir messen nicht, ob oder wann Sie unsere E-Mails öffnen oder Links darin anklicken: Die Öffnungs- und Klickmessung von Resend ist ausgeschaltet, unsere E-Mails enthalten keine Zählbilder, und Links führen direkt zu ihrem Ziel.

10.5 Abmeldung

Sie können den Newsletter jederzeit abbestellen – über den Link in jeder Ausgabe oder mit dem Schalter in den Einstellungen des Plugins. Damit widerrufen Sie Ihre Einwilligung mit Wirkung für die Zukunft. Bereits gutgeschriebenes Guthaben bleibt Ihnen erhalten.

10.6 Rechtsgrundlage und Speicherdauer

Rechtsgrundlage für den Versand ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Den Nachweis der Einwilligung speichern wir auf Grundlage unseres berechtigten Interesses, sie belegen zu können (Art. 6 Abs. 1 lit. f i. V. m. Art. 7 Abs. 1 DSGVO). Die Newsletter-Daten bleiben gespeichert, bis Ihr Konto gelöscht wird; nach einer Abmeldung senden wir keine weiteren Ausgaben.

11. Besonderer Hinweis zur Meeting-Aufnahme

Die Meeting-Funktion des Plugins nimmt den Ton eines Browser-Tabs oder Programmfensters, das Sie dafür freigeben (z. B. einer Videokonferenz), und Ihre Mikrofon-Aufnahme auf und übermittelt diese zur Transkription an Groq.

Wichtig:

Meetings enthalten regelmäßig auch Stimmen und Aussagen anderer Personen. Diese Personen sind datenschutzrechtlich betroffen.
Sie sind selbst dafür verantwortlich, alle Meeting-Teilnehmenden vor Beginn der Aufnahme über die Aufnahme zu informieren und deren Einwilligung einzuholen.
Heimliches Aufnehmen des nichtöffentlich gesprochenen Wortes ist in Deutschland nach § 201 StGB strafbar.
Vor Ihrer ersten Aufnahme bittet Sie das Plugin, dies ausdrücklich zu bestätigen. Den Zeitpunkt Ihrer Bestätigung speichern wir nur lokal in Ihrem Browser.
Nutzen Sie die Aufnahme geschäftlich, sind Sie für die Aufnahme datenschutzrechtlich Verantwortlicher; wir verarbeiten die Inhalte in Ihrem Auftrag (siehe § 18). Bei rein privater Nutzung ist die DSGVO nach Art. 2 Abs. 2 lit. c in der Regel nicht anwendbar – § 201 StGB gilt trotzdem.
Wir stellen Ihnen die Funktion zur Verfügung, treffen aber selbst keine Aussage über die Zulässigkeit der Aufnahme in Ihrem konkreten Fall.

Die Rohaudio-Daten werden lediglich im flüchtigen Arbeitsspeicher Ihres Browsers gehalten (nicht persistent auf Ihrem Gerät gespeichert) und nach der Übermittlung an Groq gelöscht. Das anschließend erzeugte Text-Transkript wird lokal in Ihrem Browser gespeichert (siehe § 5.1 „Meeting-Transkripte").

12. Screenshot-Funktion

Auf Webseiten, die weder Gmail noch Outlook sind, funktioniert „Erkennen" über einen Screenshot des aktuell sichtbaren Tab-Bereichs. Dieser Screenshot wird an OpenAI (Vision-Modell) übermittelt.

Beachten Sie:

Ein Screenshot erfasst den gesamten sichtbaren Bereich Ihres Tabs, nicht nur den von Ihnen ausgewählten Ausschnitt oder markierten Text. Er kann daher auch Inhalte enthalten, die Sie nicht explizit auswählen wollten (z. B. andere Chats in der Kontaktliste, sichtbare Benachrichtigungen).
Nutzen Sie die Funktion nicht auf Webseiten mit sensiblen Inhalten (Online-Banking, Behördenportale, Patientenakten, Passwort-Manager etc.).
Das Plugin läuft technisch auf jeder Website (siehe <all_urls> in § 4.1), analysiert Daten aber nur, wenn Sie es aktiv auslösen.

13. Datenübermittlung in Drittländer (USA)

Wir übermitteln Ihre Daten in die USA an folgende Empfänger:

Vercel Inc. (Betrieb des Proxys)
OpenAI, L.L.C., 3180 18th Street, San Francisco, CA 94110, USA
Groq, Inc., 400 Castro Street #1201, Mountain View, CA 94041, USA
Google LLC (nur bei Anmeldung mit Google)
Supabase, Inc. (Nutzerkonto; die Datenbank selbst liegt in Irland, ein Zugriff durch das US-Unternehmen ist aber nicht auszuschließen)
Plus Five Five, Inc. (Resend) (Versand von Anmelde-, Bestätigungs- und Newsletter-E-Mails)
Stripe, Inc. (Zahlungsabwicklung; Ihr Vertragspartner ist die Stripe Payments Europe, Ltd. in Irland, die Daten an das US-Unternehmen weitergibt)

Rechtsgrundlage der Übermittlung:

EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023) für die zertifizierten Anbieter (OpenAI, Google, Vercel, Supabase, Resend, Stripe).
Für Groq, das nicht nach dem Data Privacy Framework zertifiziert ist: Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), Bestandteil des Auftragsverarbeitungsvertrags mit Groq.
Ergänzend Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Hinweise zu Restrisiken: Trotz dieser Schutzmechanismen kann in den USA nicht das gleiche Schutzniveau wie in der EU garantiert werden. Insbesondere können US-Behörden auf Grundlage von FISA 702 und Executive Order 12333 unter bestimmten Voraussetzungen Zugriff auf Daten fordern. Wenn Sie besonders schutzbedürftige Inhalte verarbeiten, sollten Sie diese nicht über KI-Funktionen des Plugins verarbeiten.

14. Externe Schriftarten (Bunny Fonts)

Die Oberfläche des Plugins nutzt die Schriftarten „DM Sans" und „DM Mono", die über einen @import vom Server fonts.bunny.net (Bunny CDN, Betreiber: BunnyWay d.o.o., Cesta komandanta Staneta 4A, 1215 Medvode, Slowenien) nachgeladen werden. Beim erstmaligen Laden des Plugins wird dabei Ihre IP-Adresse an Bunny CDN übermittelt.

Bunny Fonts ist ein datenschutzfreundlicher Ersatz für Google Fonts:

Kein Setzen von Cookies
Keine dauerhafte Speicherung von IP-Adressen (kurzzeitige Verarbeitung nur zur Auslieferung)
Kein Nutzer-Tracking, kein Profiling
Anbieter mit Sitz in der EU (Slowenien), damit primär DSGVO-anwendbar

Rechtsgrundlage: berechtigtes Interesse an einer konsistenten Darstellung (Art. 6 Abs. 1 lit. f DSGVO).

Datenschutzhinweise Bunny: <https://bunny.net/privacy> · Bunny-Fonts-Info: <https://fonts.bunny.net/about>

15. Analyse, Tracking, Werbung

Wir verwenden keine Analyse-Tools, kein Tracking, keine Cookies zu Werbezwecken, kein Retargeting, kein Nutzer-Profiling für Werbung. Es sind weder Google Analytics, Sentry, Plausible, PostHog noch vergleichbare Dienste in die Erweiterung eingebunden.

Innerhalb des Plugins wird lediglich lokal in Ihrem Browser ein persönliches Zeitersparnis-Log erstellt (siehe § 5.1). Diese Daten verlassen Ihr Gerät nicht.

16. Automatisierte Entscheidungen (Art. 22 DSGVO)

Es findet keine ausschließlich automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt. Die von der KI erzeugten Ergebnisse (Aufgaben-Vorschläge, Antwort-Texte, Zusammenfassungen) dienen ausschließlich als Vorschläge. Sie entscheiden selbst, ob und in welcher Form Sie diese übernehmen. Beachten Sie hierzu auch den Hinweis in unseren AGB, dass KI-Ergebnisse fehlerhaft sein können und stets von Ihnen zu prüfen sind.

17. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO)
Löschung Ihrer Daten (Art. 17 DSGVO) – soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) – insbesondere durch Beenden einer Meeting-Aufnahme oder Abbestellen des Newsletters

Zur Ausübung Ihrer Rechte – auch zur Löschung Ihres Nutzerkontos – genügt eine formlose Nachricht an support@manamail.io.

18. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe steht Ihnen das Recht zur Beschwerde bei einer Datenschutzaufsichtsbehörde zu, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes.

Für uns zuständig ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59–61
10555 Berlin

Übersicht aller Landesbehörden: <https://www.bfdi.bund.de/DE/Service/Anschriften/anschriften_table.html>

19. Auftragsverarbeitung bei geschäftlicher Nutzung

Nutzen Sie das Plugin geschäftlich und verarbeiten dabei personenbezogene Daten Dritter (z. B. Ihrer Kunden, Kollegen, Geschäftspartner), sind Sie datenschutzrechtlich Verantwortlicher. Wir sind in diesem Fall Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Ein Muster für den Auftragsverarbeitungsvertrag stellen wir Ihnen auf Anfrage unter support@manamail.io zur Verfügung.

20. Sicherheit der Datenübertragung

Alle Verbindungen zwischen Ihrem Browser, unserem Proxy-Server und den eingesetzten Drittanbietern erfolgen verschlüsselt über TLS (HTTPS).

21. Kontaktaufnahme

Im Impressum steht ein Kontaktformular. Senden Sie es ab, werden Ihre E-Mail-Adresse, Ihre Nachricht und – falls angegeben – Ihr Name über den Server der Website (Vercel, siehe § 7.1) und den E-Mail-Dienst Resend (siehe § 10.4) an unser Postfach support@manamail.io geschickt. Die Angaben werden dabei nicht in einer Datenbank gespeichert. Um Missbrauch zu begrenzen, zählt der Server kurzzeitig, wie viele Nachrichten von einer IP-Adresse kommen; diese Zählung liegt nur im Arbeitsspeicher und verschwindet nach spätestens zehn Minuten. Für die Nachricht selbst gilt dasselbe wie für eine E-Mail:

Wenn Sie uns per E-Mail unter support@manamail.io kontaktieren, werden die von Ihnen übermittelten Angaben (Ihre E-Mail-Adresse, ggf. Ihr Name, Ihre Nachricht) zur Bearbeitung Ihres Anliegens und für den Fall von Anschlussfragen gespeichert. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter. Rechtsgrundlage: Vertragserfüllung bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) oder berechtigtes Interesse an einer effizienten Bearbeitung Ihres Anliegens (Art. 6 Abs. 1 lit. f DSGVO). Kontaktanfragen werden spätestens 24 Monate nach dem letzten Kontakt gelöscht.

22. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich Funktionsumfang, Anbieterstruktur oder rechtliche Rahmenbedingungen ändern. Die jeweils aktuelle Fassung finden Sie unter https://manamail.io/datenschutz. Bei wesentlichen Änderungen (z. B. neuen Empfängern Ihrer Daten) informieren wir Sie proaktiv.

Geplante Erweiterungen, die zu gegebener Zeit in diese Datenschutzerklärung aufgenommen werden:

Weitere KI-Modelle und Anbieter — je nach technischer Entwicklung

Stand: 28. September 2026 · Für Plugin-Version: 1.0

This is a courtesy translation. Only the German version is legally binding.

Privacy Policy for ManaMail

Last updated: 28 September 2026

1. Controller

The controller within the meaning of the GDPR is:

Jonas Merlin Koschate
Karl-Kunger-Straße 57
12435 Berlin
Germany

Email: support@manamail.io

A data protection officer is not required by law and has not been appointed.

2. Overview

ManaMail is a Chrome extension that analyses emails, chat messages and meeting content with the help of artificial intelligence. Data is processed in five places:

Locally in your browser (storage of settings, detected tasks, meeting transcripts)
On a proxy server operated by the provider (forwarding of requests to AI providers, hosted by Vercel Inc.)
At external AI providers in the USA (OpenAI for text analysis and vision, Groq for speech transcription)
In your user account (database at Supabase in Ireland) and for sending emails via Resend – for sign-in, plan, usage balance and newsletter
At the payment provider Stripe (handling of purchases and subscriptions) – you enter your payment details there directly; we do not receive them

In Gmail and Outlook, the extension reads the open email from the displayed page; no exchange with Google or Microsoft takes place for this (see § 6.1).

3. Legal bases

Your data is processed on the basis of:

Art. 6(1)(b) GDPR (performance of a contract) – for the core functions of the extension
Art. 6(1)(a) GDPR (consent) – for meeting recordings and for the newsletter
Art. 6(1)(f) GDPR (legitimate interests) – for operational security and the prevention of misuse

4. Chrome extension and distribution

ManaMail is distributed via the Chrome Web Store. Operator: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Ireland. When you download, install and update the extension, Google processes data in accordance with its own privacy policy: <https://policies.google.com/privacy>. We have no influence on this processing.

4.1 Required Chrome permissions

The extension requests the following permissions:

Permission	Purpose
`storage`	Storing settings and your sign-in session in the browser
`sidePanel`	Displaying the extension in the Chrome side panel
`activeTab`	Access to the current tab when you click "Detect"
`scripting`	Reading your current text selection, screenshot overlay
`tabCapture`	Recording the audio of a tab or window (meeting mode)
`offscreen`	Technically required background document for audio recording
`identity`	Sign-in with Google (OAuth)
`<all_urls>` (host)	Required so that the character counter and "Detect" work on any website
Command `Alt+E`	Global keyboard shortcut to trigger detection

The <all_urls> permission is technically necessary because you can use the extension on, for example, WhatsApp Web, Slack, Teams or other web services. On every page, only a very lightweight content script (selcount.js) runs, which reports nothing to the extension except the length of your current text selection and a rough category identifier of the website (e.g. "whatsapp", "slack", "teams"). The selected text itself is only read when you actively click "Detect".

5. Local data storage in the browser

5.1 localStorage (settings, content, cache)

The extension stores data under the key prefix manamail_* exclusively in the localStorage of your Chrome browser (context: the extension's side panel). This data does not leave your device and is not read by us.

Scope and duration of storage:

Data category	Specific content	Retention
Settings	Language, colour, dark mode, font, active tab, keyboard shortcut, sort preference, reply language	Until changed manually or the extension is uninstalled
User profile	Name, job title, areas of work (from onboarding)	Until changed manually
Detected entries	Detected emails, chats, tasks and meetings including sender, subject and all visible content	Until removed manually or the storage quota is exhausted
Meeting transcripts	Full-text transcripts of up to 24,000 characters, highlights, bullets, decisions, open questions	A maximum of 50 meetings – older ones are overwritten automatically
Protocols for emails/chats	Similar to meetings, one per detected entry	A maximum of 40 entries
Analysis cache	Buffer for content that has already been analysed (avoids repetition)	A maximum of 40 entries, no longer than 30 days
Time-saved log	Metadata (number of lines, duration, timestamp) for each detected item	365 days
Archive of completed tasks	Entries marked as "done", including embedded meeting transcripts	365 days, then deleted automatically; earlier if you empty it manually or the ~4 MB quota is reached
Learned contacts	Mapping of phone number/chat ID → real name taken from signatures	Unlimited, until deleted manually
Writing-style samples	Your own reply samples that you have stored (up to 3 per language and form of address)	Unlimited, until deleted manually
Retry buffer	Meeting transcript and context for a new analysis attempt after technical errors	Until the analysis has been repeated successfully

5.2 chrome.storage.local (sign-in session, technical states)

In addition, the extension uses the extension's chrome.storage.local area for:

The sign-in session of your user account (access and refresh token) — stored until you sign out in the extension (see § 8.5).
Icon colour of the toolbar extension — a pure UI setting.
manamail_pending_reply — reply text generated by the extension plus recipient email and subject, temporarily stored until it is inserted into your email application and deleted afterwards.

5.3 Storage of access tokens

The extension uses no access tokens for Gmail or Outlook (see § 6.1). Only the sign-in to your ManaMail account is stored (see § 8).

5.4 What is not stored

We do not set cookies. We do not use IndexedDB or WebSQL. We do not use chrome.storage.sync (i.e. data is not synchronised with other Chrome devices). Passwords are never stored.

5.5 Manually deleting your local data

The extension currently does not offer a single button that deletes all locally stored data at once. The data can be removed completely as follows:

Uninstalling the extension via chrome://extensions → data is removed completely.
Clearing manually via the Chrome developer console (localStorage) or chrome.storage.local.
Removing individual entries with the "×" icon in the extension.
Deleting writing-style samples individually in the settings.

6. Emails in Gmail and Outlook

6.1 Reading the open email from the page

In Gmail and Outlook, the extension reads the email you currently have open directly from the displayed page – and only when you click "Detect". No connection to your Google or Microsoft account is required for this: ManaMail receives no access to your mailbox and no access tokens. Only what is visible on the page is captured, i.e. the sender, recipients, subject, date and text of the open message. Collapsed older messages in a thread are not captured. The captured details are forwarded to our proxy for analysis (see § 7).

The extension inserts replies into the reply field on the page. They are sent exclusively by you.

6.2 Earlier connections

Earlier versions of the extension offered a connection to Gmail or Outlook. If you used it, you can remove the access granted at that time in your account:

Google: <https://myaccount.google.com/permissions>
Microsoft: <https://account.microsoft.com/privacy/app-access>

Outlook access tokens stored in the extension from that time are deleted by the extension itself the next time it starts.

7. AI processing via the ManaMail proxy

7.1 Data flow

For all AI-supported functions (detecting tasks, summaries, reply suggestions, speech transcription, meeting analysis), your content is sent to the ManaMail proxy at https://mm-api-proxy.vercel.app. The proxy forwards the request to the respective AI provider and returns the result to the extension.

Data path: your browser → ManaMail proxy (Vercel Inc.) → OpenAI or Groq → back via the proxy.

Hosting provider of the proxy: Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA. Privacy: <https://vercel.com/legal/privacy-policy>. Data is transferred to Vercel and the other US providers on the basis of the EU-US Data Privacy Framework and additional standard contractual clauses (see § 13).

Logging behaviour of the proxy: The proxy code does not log any request content (no email texts, no AI responses, no user IP addresses). As the infrastructure provider, Vercel automatically records technical access logs (HTTP method, path, status code, response time, timestamp). These logs do not contain request payloads and are stored by Vercel for up to 30 days in accordance with its privacy policy. The provider evaluates them exclusively for error analysis.

7.2 Which content is transmitted

Depending on the function used, the following data is transmitted:

Function	Transmitted data	Recipient
Email/chat detection (in Gmail/Outlook)	Open email including sender, recipients, subject, text, date; additionally your name, job title and areas of work as prompt context	OpenAI (model `gpt-4.1-mini`)
Email/chat detection (on other websites, e.g. WhatsApp Web, Slack, Teams)	Screenshot of the visible area of the tab (may also contain content that was not selected), plus your name/job title/areas of work	OpenAI (model `gpt-4.1-mini` with vision)
Follow-up analysis	New email text + list of your existing open tasks	OpenAI
Promotional email summary	First 2,500 characters of the email	OpenAI
Reply generation	Bullet tasks, your notes, your name, your stored writing-style samples, recipient name, language setting	OpenAI
Voice reply (dictation)	Your microphone recording; then the transcript for clean-up	Groq (Whisper) → OpenAI
Protocol translation (only at the push of a button)	Text of the protocol (up to 6,000 characters) and target language	OpenAI
Meeting recording	Audio of the shared tab or window and your microphone recording; then your user profile and notes for analysis	Groq (Whisper `whisper-large-v3`) → OpenAI

7.3 Your active triggering

Data is transmitted to our proxy only when you actively trigger a function – e.g. by clicking "Detect", "Generate reply", "Start meeting", "Voice reply" or pressing the keyboard shortcut Alt+E. Without such an action, the extension transmits nothing.

7.4 No training with your data

According to the current assurances of OpenAI and Groq, content transmitted via their APIs is not used to train the AI models:

OpenAI: <https://openai.com/enterprise-privacy>
Groq: <https://groq.com/privacy-policy/>

These assurances are a prerequisite for use. Should they change, we will inform you and switch providers if necessary.

7.5 Legal basis

Performance of a contract (Art. 6(1)(b) GDPR). For meeting recordings, additionally your consent (Art. 6(1)(a) GDPR), see § 11.

8. User account and usage balance

8.1 Purpose

ManaMail needs a user account to manage your plan and your usage balance (called “Mana” in the Extension). You sign in either with a sign-in link or code that we send to your email address, or with your Google account.

8.2 Provider and storage location

The user account is maintained at Supabase, Inc. (USA). The database is located in a data centre in Ireland (EU). As the provider is based in the USA, access from the USA cannot be ruled out (see § 13). A data processing agreement pursuant to Art. 28 GDPR is in place with Supabase; it is part of Supabase's terms of use and includes the European Commission's standard contractual clauses. Supabase privacy information: <https://supabase.com/privacy>

8.3 Stored data

Data category	Content
Account data	Email address, internal user ID, time of registration and of the last sign-in
When signing in with Google	Additionally the profile data transmitted by Google: name, address of the profile picture, Google user ID
Plan and usage balance	Booked plan, current balance, balance used, end of the billing period
Newsletter	See § 10
Daily counter	Number of calls to free functions (translation, transcription, meeting analysis) per day and type, without content – see § 8.4

Signing in with Google does not give ManaMail access to your emails.

8.4 Deduction of balance

For every chargeable AI function, the proxy checks your sign-in and deducts the balance in the database. Only your user ID, the type of function (e.g. "email analysis") and the amount deducted from the balance are transmitted for this purpose. The content of your requests does not enter the database.

Functions that cost no balance (translation, transcription, cleanup of meeting transcripts) are counted by the proxy per user, day and type to limit abuse. Only the user ID, date, type and count are stored; the counters are deleted after seven days. The legal basis is our legitimate interest in preventing abuse (Art. 6(1)(f) GDPR).

8.5 Sign-in session on your device

After you sign in, the extension stores an access token and a refresh token in your browser's chrome.storage.local so that you remain signed in. Both are removed when you sign out in the extension.

8.6 Legal basis and storage period

The legal basis is the performance of a contract (Art. 6(1)(b) GDPR). We store the account data until you have your account deleted; a message to support@manamail.io is sufficient for this. Signing out in the extension only ends the session on your device; the account remains. Where statutory retention obligations apply (e.g. for invoices), we restrict the data concerned instead of deleting it.

9. Payment via Stripe

9.1 Purpose and provider

Paid plans and add-on packs are handled via Stripe. For customers in the European Economic Area the provider is Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Ireland.

When you start a purchase, you are taken to a payment page operated by Stripe. You enter your payment details there.

9.2 What Stripe receives — and what we do not see

Transmitted to Stripe	Content
By us	Your email address, your internal user ID, the product selected and the price
By you directly	Payment details for the payment method you choose (e.g. card details), name and billing address
Through use of the payment page	IP address, device and browser information, time — for fraud detection by Stripe

Your payment details do not reach us. We see neither the card number nor the bank details; they are exchanged solely between you and Stripe.

9.3 What we store about the purchase

Data category	Content
Purchase data	Type of purchase (plan or add-on pack), amount, currency, time
Stripe references	The IDs of the payment and of the subscription at Stripe
Billing country	The country of your billing address — we sell to Germany only; with a foreign address the purchase is refunded immediately and nothing is activated
Your declarations at purchase	That you requested immediate performance and acknowledged the notice on the right of withdrawal, together with the version of that notice
For add-on packs	The balance credited and its expiry date
For refunds	The time of the refund

We record the declarations made during the purchase because, in the event of a withdrawal, they determine the amount to be refunded (§ 357(8) German Civil Code).

9.4 Cancellation and withdrawal

The forms on manamail.io let you cancel or withdraw without signing in. In doing so you transmit your email address, your name and your declaration; you may state a reason voluntarily. We use this information to match the declaration to your account, to confirm it to you in text form and to carry it out. We send the confirmation via Resend (see § 10). The declaration is not stored separately; it remains in the two mailboxes.

9.5 Transfer to third countries

Stripe Payments Europe, Ltd. passes data on to Stripe, Inc. in the USA. Stripe, Inc. is certified under the EU-US Data Privacy Framework; for transfers beyond that, Stripe uses the European Commission's standard contractual clauses. For details see Stripe's privacy policy: <https://stripe.com/privacy>

9.6 Legal basis and storage period

The legal basis is the performance of the contract with you (Art. 6(1)(b) GDPR). Stripe's fraud detection is additionally based on a legitimate interest (Art. 6(1)(f) GDPR).

Purchase data is subject to retention obligations under commercial and tax law and is kept for ten years (§ 147 German Fiscal Code, § 257 German Commercial Code). If you have your account deleted, this data remains stored with restricted processing for the duration of the retention period and is deleted afterwards.

10. Newsletter

10.1 Subscription with confirmation (double opt-in)

You can voluntarily switch on the newsletter in the extension's settings. We then send you an email with a confirmation link. The newsletter only becomes active once you click this link. The link is valid for 48 hours; without a click, you will not receive any further emails.

10.2 Content and balance

The newsletter is published about once a month and contains news about ManaMail, tips on using it and occasional offers. As a thank-you, we add balance to your account – once upon the first confirmation and regularly thereafter as long as the newsletter is active; the current amount is shown in the extension. Subscribing is voluntary: all functions of the extension can be used without the newsletter.

10.3 Stored data

Your email address and the selected language
The confirmation code and the times of subscription and confirmation – as proof of your consent
Whether the newsletter is active, a random identifier for the unsubscribe link and the month of the last balance bonus

10.4 Sending via Resend

We send sign-in, confirmation and newsletter emails via Resend (Plus Five Five, Inc., USA). For this purpose, Resend processes your email address and the content of the respective email. A data processing agreement pursuant to Art. 28 GDPR is in place with Resend; it is part of Resend's terms of use. Resend privacy information: <https://resend.com/legal/privacy-policy>. For the transfer to the USA, see § 13.

We do not measure whether or when you open our emails or click links in them: Resend's open and click tracking is switched off, our emails contain no tracking pixels, and links lead directly to their destination.

10.5 Unsubscribing

You can unsubscribe from the newsletter at any time – via the link in every issue or with the switch in the extension's settings. By doing so, you withdraw your consent with effect for the future. Balance that has already been granted remains yours.

10.6 Legal basis and storage period

The legal basis for sending is your consent (Art. 6(1)(a) GDPR). We store the proof of consent on the basis of our legitimate interest in being able to demonstrate it (Art. 6(1)(f) in conjunction with Art. 7(1) GDPR). The newsletter data remains stored until your account is deleted; after you unsubscribe, we do not send any further issues.

11. Special notice on meeting recordings

The meeting function of the extension records the audio of a browser tab or application window that you share for this purpose (e.g. a video conference) and your microphone and transmits them to Groq for transcription.

Important:

Meetings regularly also contain the voices and statements of other people. These people are data subjects under data protection law.
You are yourself responsible for informing all meeting participants about the recording before it starts and for obtaining their consent.
Secretly recording words spoken in private is a criminal offence in Germany under § 201 StGB (German Criminal Code).
Before your first recording, the extension asks you to confirm this explicitly. The time of your confirmation is stored only locally in your browser.
If you use the recording for business purposes, you are the controller for the recording under data protection law; we process the content on your behalf (see § 19). For purely private use, the GDPR generally does not apply under Art. 2(2)(c) – § 201 StGB applies nonetheless.
We provide you with the function but make no statement about whether recording is permissible in your specific case.

The raw audio data is only held in your browser's volatile memory (not stored persistently on your device) and deleted after it has been transmitted to Groq. The text transcript generated afterwards is stored locally in your browser (see § 5.1 "Meeting transcripts").

12. Screenshot function

On websites other than Gmail or Outlook, "Detect" works by taking a screenshot of the currently visible area of the tab. This screenshot is transmitted to OpenAI (vision model).

Please note:

A screenshot captures the entire visible area of your tab, not just the section you selected or the text you highlighted. It may therefore also contain content you did not intend to select (e.g. other chats in the contact list, visible notifications).
Do not use the function on websites with sensitive content (online banking, government portals, patient records, password managers, etc.).
Technically, the extension runs on every website (see <all_urls> in § 4.1) but only analyses data when you actively trigger it.

13. Transfer of data to third countries (USA)

We transfer your data to the following recipients in the USA:

Vercel Inc. (operation of the proxy)
OpenAI, L.L.C., 3180 18th Street, San Francisco, CA 94110, USA
Groq, Inc., 400 Castro Street #1201, Mountain View, CA 94041, USA
Google LLC (only when signing in with Google)
Supabase, Inc. (user account; the database itself is located in Ireland, but access by the US company cannot be ruled out)
Plus Five Five, Inc. (Resend) (sending of sign-in, confirmation and newsletter emails)
Stripe, Inc. (payment processing; your contracting party is Stripe Payments Europe, Ltd. in Ireland, which passes data on to the US company)

Legal basis of the transfer:

EU-US Data Privacy Framework (adequacy decision of the European Commission of 10 July 2023) for the certified providers (OpenAI, Google, Vercel, Supabase, Resend, Stripe).
For Groq, which is not certified under the Data Privacy Framework: the European Commission's Standard Contractual Clauses (Art. 46(2)(c) GDPR), part of the data processing agreement with Groq.
In addition, the European Commission's standard contractual clauses (Art. 46(2)(c) GDPR).

Notes on residual risks: Despite these safeguards, the same level of protection as in the EU cannot be guaranteed in the USA. In particular, US authorities may, under certain conditions, demand access to data on the basis of FISA 702 and Executive Order 12333. If you process particularly sensitive content, you should not process it via the extension's AI functions.

14. External fonts (Bunny Fonts)

The extension's interface uses the fonts "DM Sans" and "DM Mono", which are loaded via an @import from the server fonts.bunny.net (Bunny CDN, operator: BunnyWay d.o.o., Cesta komandanta Staneta 4A, 1215 Medvode, Slovenia). When the extension is loaded for the first time, your IP address is transmitted to Bunny CDN.

Bunny Fonts is a privacy-friendly alternative to Google Fonts:

No cookies are set
No permanent storage of IP addresses (short-term processing for delivery only)
No user tracking, no profiling
Provider based in the EU (Slovenia), and therefore primarily subject to the GDPR

Legal basis: legitimate interest in a consistent presentation (Art. 6(1)(f) GDPR).

Bunny privacy information: <https://bunny.net/privacy> · Bunny Fonts info: <https://fonts.bunny.net/about>

15. Analytics, tracking, advertising

We use no analytics tools, no tracking, no advertising cookies, no retargeting and no user profiling for advertising. Neither Google Analytics, Sentry, Plausible, PostHog nor comparable services are integrated into the extension.

Within the extension, a personal time-saved log is created locally in your browser only (see § 5.1). This data does not leave your device.

16. Automated decisions (Art. 22 GDPR)

There is no decision-making based solely on automated processing within the meaning of Art. 22 GDPR. The results generated by the AI (task suggestions, reply texts, summaries) serve exclusively as suggestions. You decide yourself whether and in what form you adopt them. Please also note the statement in our terms and conditions that AI results may be inaccurate and must always be checked by you.

17. Your rights

You have the following rights towards us regarding the personal data concerning you:

Access to the processed data (Art. 15 GDPR)
Rectification of inaccurate or completion of incomplete data (Art. 16 GDPR)
Erasure of your data (Art. 17 GDPR) – unless statutory retention obligations prevent this
Restriction of processing (Art. 18 GDPR)
Data portability (Art. 20 GDPR)
Objection to processing based on legitimate interests (Art. 21 GDPR)
Withdrawal of consent with effect for the future (Art. 7(3) GDPR) – in particular by ending a meeting recording or unsubscribing from the newsletter

To exercise your rights – including the deletion of your user account – an informal message to support@manamail.io is sufficient.

18. Right to lodge a complaint with a supervisory authority

Without prejudice to any other remedy, you have the right to lodge a complaint with a data protection supervisory authority, in particular in the Member State of your habitual residence, your place of work or the place of the alleged infringement.

The authority responsible for us is:

Berliner Beauftragte für Datenschutz und Informationsfreiheit (Berlin Commissioner for Data Protection and Freedom of Information)
Alt-Moabit 59–61
10555 Berlin

Overview of all German state authorities: <https://www.bfdi.bund.de/DE/Service/Anschriften/anschriften_table.html>

19. Data processing on behalf of business users

If you use the extension for business purposes and process personal data of third parties (e.g. your customers, colleagues, business partners), you are the controller under data protection law. In this case, we are a processor within the meaning of Art. 28 GDPR. We will provide you with a template data processing agreement on request at support@manamail.io.

20. Security of data transmission

All connections between your browser, our proxy server and the third-party providers used are encrypted via TLS (HTTPS).

21. Contacting us

The legal notice contains a contact form. When you submit it, your email address, your message and – if given – your name are sent via the website's server (Vercel, see § 7.1) and the email service Resend (see § 10.4) to our mailbox support@manamail.io. The details are not stored in a database. To limit abuse, the server briefly counts how many messages come from an IP address; this count exists only in memory and disappears after ten minutes at the latest. The message itself is treated like an email:

If you contact us by email at support@manamail.io, the information you provide (your email address, your name if applicable, your message) is stored for the purpose of handling your request and in case of follow-up questions. We do not pass on this data without your consent. Legal basis: performance of a contract or pre-contractual measures (Art. 6(1)(b) GDPR) or our legitimate interest in handling your request efficiently (Art. 6(1)(f) GDPR). Contact requests are deleted no later than 24 months after the last contact.

22. Changes to this privacy policy

We adapt this privacy policy when the range of functions, the provider structure or the legal framework changes. You can find the current version at https://manamail.io/datenschutz. In the event of significant changes (e.g. new recipients of your data), we will inform you proactively.

Planned extensions that will be included in this privacy policy in due course:

Further AI models and providers — depending on technical development

Last updated: 28 September 2026 · For extension version: 1.0