Manus Pro

Manus ist ein autonomer KI-Agent, der mehrstufige Aufgaben ohne kontinuierliche menschliche Steuerung ausführt. Die Architektur folgt dem CodeAct-Paradigma: der Agent generiert Python-Code als Aktionsmechanismus und führt ihn in einem isolierten Ubuntu-Linux-Workspace mit Internetanbindung aus. Zur Verfügung stehen Shell-Zugriff, ein Browsersystem, Dateisystemoperationen sowie Python- und Node.js-Umgebungen.

Für die KI-Verarbeitung setzt Manus mehrere Foundation-Modelle dynamisch ein, darunter Claude (Anthropic) und Qwen-Finetunings (laut Chief Scientist der Firma); eine offizielle Modell-Disclosure auf den Produktseiten liegt nicht vor. Die Speicherarchitektur besteht aus Event Stream, dateibasiertem Storage und Knowledge Modules mit RAG-Funktion.

Für den Datenaustausch mit dem Browser-Agenten kann die Browser-Extension "Manus Rubra" installiert werden. Diese Extension hält eine persistente WebSocket-Verbindung zu wss://api.manus.im aufrecht und verfügt über die Chrome-Berechtigungen debugger, cookies und all_urls, was vollständigen Browserzugriff ergibt.

Der Pro-Tarif (ab 20 USD/Monat) bietet Zugang zu Manus 1.6 Max sowie den Lite- und Standardvarianten, bis zu 20 parallele und zeitgeplante Tasks sowie 4.000 Credits pro Monat. Das Credit-System misst Verbrauch aus LLM-Tokens, Virtual Machines und Drittanbieter-APIs. Anbieter ist Butterfly Effect Pte. Ltd. mit Sitz in Singapur; die operative Entwicklung findet laut Berichterstattung überwiegend in Beijing statt.

Butterfly Effect Pte. Ltd. agiert gegenüber dem Pro-Consumer-Nutzer als Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO, da der Nutzer den Dienst als Einzelperson für eigene Zwecke nutzt. Ein AVV nach Art. 28 DSGVO für den Pro-Consumer-Tarif ist in den verfügbaren öffentlichen Quellen nicht auffindbar; ein Bestehen ist nicht per Primärquelle belegbar. Der Team-Plan hat Admin-Kontrollen, aber kein explizit dokumentiertes DPA in öffentlichen Quellen.

Sobald eine Organisation oder ein Selbstständiger über Manus Pro personenbezogene Daten Dritter verarbeitet (Kundendaten, Mitarbeiterdaten, Patientendaten), ist ein AVV nach Art. 28 DSGVO erforderlich. Da dieser nicht verfügbar ist, ist der Pro-Tarif für solche Szenarien datenschutzrechtlich nicht einsetzbar.

Drittlandtransfers finden statt (Singapur-Anbieter + US-Subprozessoren), ohne dass eine dokumentierte DSGVO-Transfergrundlage (Art. 44 ff. DSGVO) nachweisbar ist. Dies stellt einen potenziellen Verstoß gegen Art. 44 DSGVO dar, der vor Einsatz mit personenbezogenen Daten EU-ansässiger Personen geprüft und ggf. durch eigene vertragliche Maßgaben (SCCs) abgesichert werden muss.

Die Trainingslage für den Pro-Tarif ist nicht abschließend belegt (s. trainsOnUserData = unknown). Ohne klare Aussage zum Pro-Tarif und ohne Opt-out-Feature besteht das Risiko, dass Nutzereingaben in Serviceverbesserungsprozesse einfließen.

Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO): Manus verarbeitet Nutzerdaten zur Diensterbringung. Die Privacy Policy enthält eine Generalabsage für Modelltraining mit persönlichen Daten, aber eine Ausnahme für de-identified-Serviceverbesserung. Die Grenzen dieser Ausnahme und die konkrete Zweckdefinition sind aus den verfügbaren Quellen nicht klar. Für den Pro-Tarif fehlt ein explizites Opt-out-Feature, das dem Team-Plan vorbehalten ist.

Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): Als autonomer Agent verarbeitet Manus potenziell umfangreiche Daten: Prompts, hochgeladene Dateien, Web-Inhalte aus autonomem Browsen, Browser-Cookies bei Extension-Nutzung. Die breite Datenbasis ist funktionsbedingt; eine Begrenzung auf das notwendige Minimum ist aus verfügbaren Quellen nicht dokumentiert.

Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f DSGVO): Verschlüsselung ist laut Security-Seite vorhanden, ohne Standardangabe (kein AES-256/TLS-Version dokumentiert). Die Browser-Extension erlaubt laut unabhängiger Sicherheitsanalyse vollständigen Browser-Zugriff, was das Vertraulichkeitsniveau bei Extension-Einsatz reduziert. Subprozessoren sind US-basiert; Transfer-Sicherungsmaßnahmen fehlen (keine SCCs dokumentiert).

Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO): ISO 27001:2022, ISO 27701:2019, SOC 2 Type I/II sind belegt. Kein AVV für Consumer/Pro; Angabe nicht per Primärquelle belegbar. Die Rechenschaftspflicht gegenüber Organisationen ist strukturell nicht erfüllt, da weder AVV noch transparente Trust-Center-Dokumentation verfügbar ist.

Rechtsgrundlage für den Nutzer als Einzelperson (Art. 6 Abs. 1 lit. b DSGVO): Die Verarbeitung der Nutzerdaten zur Erbringung des Manus-Pro-Dienstes stützt sich für persönliche Nutzung auf Vertragserfüllung mit dem Consumer-Nutzer. Das ist für rein persönliche Nutzung tragfähig.

Rechtsgrundlage für Serviceverbesserung mit de-identified-Daten: Das Help Center (Angabe nicht per Primärquelle belegbar) erwähnt Serviceverbesserung mit aggregierten/de-identified-Daten. Die Rechtsgrundlage für diese Verarbeitung (berechtigtes Interesse nach Art. 6 Abs. 1 lit. f oder Einwilligung) ist aus verfügbaren Quellen nicht explizit benannt.

Einsatz mit Drittdaten (Organisationskontext): Sobald eine Organisation den Pro-Tarif zur Verarbeitung personenbezogener Daten Dritter einsetzt, genügt Art. 6 DSGVO allein nicht. Ohne AVV nach Art. 28 DSGVO ist der Einsatz mit Drittdaten rechtlich unzulässig. Das Manus-DPA (soweit existent) steht für Consumer/Pro nicht zur Verfügung.

Drittlandtransfer (Art. 44 ff. DSGVO): Für die Übertragung von personenbezogenen Daten EU-ansässiger Nutzer an Butterfly Effect Pte. Ltd. (Singapur) und US-Subprozessoren fehlt eine dokumentierte Rechtsgrundlage. Art. 44 DSGVO verbietet Transfers ohne geeignete Garantien; der aktuelle Zustand stellt ein Compliance-Risiko dar.