Moin @MB7 
Ja richtig, aber es werden generell die Bauanleitungen in Form von PKGBUILDs hochgeladen. Bei Spotify sind es zb die Deb-Pakete, die direkt von Spotify heruntergeladen werden und dann passend für Arch/Manjaro paketiert wird und installiert. Hier werden die Abhängigkeiten direkt von der Repo installiert, wenn du Flatpak verwendest, werden die Abhängigkeiten dort unabhägig vom System mitgeliefert.
https://aur.archlinux.org/cgit/aur.git/tree/PKGBUILD?h=spotify
Eigentlich brauchst du dir wenig sorgen machen wegen der Quelle… meist wird Quelle mit sha256 verifiziert und bei spoitfy zb. auch mit dem PGP Schlüssel. Es ist ausgeschlossen, dass du irgendwas inoffizielles installierst, aber bevor man sich was aus der AUR installiert sollte man sich wirklich zuerst das PKGBUILD anschauen.
Es kann vielleicht sein, dass die mitgelieferten Abhängigkeiten von Flatpak nicht so gut mit Manjaro laufen, weil Manjaro neuere Libs hat. Oder die mitgelieferten einen Bug haben… Keine Ahnung 
Naja bei dem Jdownloader ist das so, dass dieser sich selbst aktualisiert. Was die AUR da bereitstellt ist nur ein Script, zum Bereitstellen und einige Anpassungen bzw. es werden alle benötigeten Abhängigkeiten installiert. Es wird einfach nur das: http://installer.jdownloader.org/JDownloader.jar herunterladen.
https://aur.archlinux.org/cgit/aur.git/tree/PKGBUILD?h=jdownloader2