Du kannst Claude DSGVO-konform nutzen, wenn Technik, Verträge und Prozesse zusammenpassen. Ein sicherer Tarif allein reicht dafür nicht. Dein Unternehmen bleibt für Zweck, Daten und Zugriffe verantwortlich.
Dieser Guide zeigt die nötigen Schritte für Claude Enterprise, Team und die API. Du lernst auch die Grenzen der aktuellen EU-Datenresidenz kennen. Der Text ersetzt keine Rechtsberatung für deinen Einzelfall.
Ist Claude DSGVO-konform?
Claude ist nicht pauschal DSGVO-konform oder rechtswidrig. Die Bewertung hängt immer vom konkreten Einsatz ab. Entscheidend sind Datenart, Zweck, Tarif, Speicherort und interne Regeln.
Für Geschäftskunden bietet Anthropic wichtige Bausteine. Dazu zählen ein Auftragsverarbeitungsvertrag und Standardvertragsklauseln. Hinzu kommen feste Regeln für Training, Speicherfristen und Löschung.
Trotzdem nimmt Anthropic deinem Unternehmen keine Pflichten ab. Du brauchst eine Rechtsgrundlage für personenbezogene Daten. Außerdem musst du Betroffene informieren und Risiken begrenzen.
Claude selbst trägt kein DSGVO-Siegel. Entscheidend ist der konkrete Prozess. Deshalb muss dein Unternehmen jeden Datenfluss einzeln prüfen.
Vier Voraussetzungen für einen zulässigen Einsatz
Ein tragfähiges Setup braucht vier Ebenen:
- Passendes Produkt: Nutze einen Commercial-Tarif oder die kommerzielle API.
- Saubere Verträge: Prüfe DPA, Standardvertragsklauseln und Unterauftragsverarbeiter.
- Klare Rechtsgrundlage: Dokumentiere Zweck, Datenarten und betroffene Gruppen.
- Wirksame Schutzmaßnahmen: Begrenze Eingaben, Zugriffe, Speicherfristen und Schnittstellen.
Fehlt eine Ebene, steigt das Risiko deutlich. Das gilt besonders für Personal-, Kunden- oder Gesundheitsdaten. Prüfe deshalb jeden Bereich vor dem Rollout.
Welches Claude-Angebot eignet sich für Unternehmen?
Anthropic trennt Verbraucher-Produkte von kommerziellen Angeboten. Diese Trennung ist für den Datenschutz entscheidend. Private Claude-Konten sollten keine sensible Firmenarbeit tragen.
Claude Free, Pro oder Max
- Training: Hängt von den privaten Einstellungen ab.
- Datenschutz-Vertrag: Kein Commercial-DPA.
- Speicherung: Verbraucher-Regeln gelten.
- Geeignet für: Private Tests ohne sensible Firmendaten.
Claude Team oder Enterprise
- Training: Kein Training mit Inhalten als Standard.
- Datenschutz-Vertrag: DPA über die Commercial Terms.
- Speicherung: Chats bleiben bis zur Löschung gespeichert.
- Geeignet für: Gesteuerter Einsatz durch Teams.
Anthropic API
- Training: Kein Training mit Ein- oder Ausgaben als Standard.
- Datenschutz-Vertrag: DPA über die Commercial Terms.
- Speicherung: Backend-Löschung meist binnen 30 Tagen.
- Geeignet für: Kontrollierte Apps und Prozesse.
Anthropic bestätigt den Trainings-Ausschluss für kommerzielle Produkte. Ausnahmen gelten bei bewusst gesendetem Feedback oder einer klaren Freigabe. Feedback kann samt Gespräch bis zu fünf Jahre gespeichert bleiben.
Bei Free, Pro und Max gelten andere Regeln. Nutzer steuern die Modellverbesserung in ihren Datenschutz-Einstellungen. Anthropic rät dort selbst von besonders sensiblen Inhalten ab.
Für Unternehmen ist deshalb Claude Enterprise oder die API meist besser. Beide Wege schaffen klare Rollen und zentrale Kontrollen. Die API bietet den größten technischen Spielraum.
Enterprise und Team richtig einordnen
Bei Claude for Work ist das Unternehmen im Regelfall Verantwortlicher. Anthropic arbeitet nach Weisung als Auftragsverarbeiter. Das beschreibt Anthropic in seiner Rollen-Erklärung.
Für Kontodaten, Abrechnung und Sicherheit kann Anthropic selbst Verantwortlicher sein. Das zeigt die Datenschutzrichtlinie. Dokumentiere die Rollen deshalb für jeden Datenfluss.
Enterprise-Admins können eigene Speicherfristen setzen. Der kleinste Zeitraum beträgt 30 Tage. Ohne eigene Regel speichert Enterprise Inhalte zeitlich unbegrenzt.
Das überrascht viele Teams. Ein Enterprise-Tarif löscht Daten also nicht automatisch schnell. Admins müssen passende Fristen aktiv festlegen.
Die API bietet mehr Kontrolle
Die API löscht Ein- und Ausgaben meist binnen 30 Tagen. Das gilt für normale Aufrufe ohne Speicher-Funktionen. Stateful-Funktionen können längere Fristen auslösen.
Dazu zählen etwa Files, Batch-Verarbeitung oder Code-Ausführung. Jede Zusatzfunktion braucht deshalb eine eigene Prüfung. Die Anthropic-Übersicht zur API-Speicherung nennt die aktuelle Logik.
Zero Data Retention, kurz ZDR, ist nur auf Antrag verfügbar. Anthropic speichert dann Prompts und Antworten nicht nach der Antwort. ZDR gilt jedoch nicht für jedes Modell und jede Funktion.
Claude Fable 5 und Claude Mythos 5 verlangen seit Juni 2026 stets 30 Tage Speicherung. Diese Modelle funktionieren deshalb nicht mit ZDR. Für sensible Abläufe kann ein anderes Claude-Modell besser passen.
Claude DSGVO-konform nutzen: Verträge und Datenflüsse
Der passende Tarif ist nur der Start. Danach folgen Verträge, Rechtsgrundlage und Transfer-Prüfung. Diese Punkte sollten vor dem ersten echten Datensatz stehen.
DPA und Standardvertragsklauseln prüfen
Anthropics Data Processing Addendum ist Teil der Commercial Terms. Laut DPA-Hilfe ist keine getrennte Unterschrift nötig. Der Vertrag enthält die EU-SCC-Module 2 und 3.
Neue Unterauftragnehmer werden vorab angekündigt. Das DPA nennt 15 Tage für einen begründeten schriftlichen Widerspruch. Lege dafür eine feste Zuständigkeit fest.
Standardvertragsklauseln lösen jedoch nicht jedes Transfer-Risiko allein. Das Unternehmen muss den Datenfluss trotzdem bewerten. Dazu gehört eine Prüfung des Rechts im Zielland.
Der Europäische Datenschutzausschuss empfiehlt sechs Schritte. Erfasse zuerst Transfers und das passende Transferinstrument. Bewerte danach Recht und Praxis im Zielland. Ergänze nötige Schutzmaßnahmen und prüfe sie regelmäßig.
Prüfe außerdem die aktuelle Liste der Unterauftragsverarbeiter. Dokumentiere relevante Cloud-Anbieter und Standorte im Anbieter-Check. Lege auch einen Prozess für Änderungen fest.
US-Speicherung klar bewerten
Anthropic speichert Daten seiner direkten kommerziellen Angebote derzeit in den USA. Datenverkehr kann durch mehrere Weltregionen laufen. Eine reine EU-Speicherung bietet der direkte Dienst aktuell nicht. Der EWR-Vertragspartner Anthropic Ireland ändert daran nichts.
Auch die neue Geo-Steuerung ändert das nicht. inference_geo unterstützt derzeit nur „global“ oder „us“. Der Workspace-Speicherort ist ebenfalls nur „us“.
Das steht in der aktuellen Dokumentation zur Datenresidenz. Ein Wert „eu“ existiert dort nicht. Unternehmen mit strikter EU-Vorgabe brauchen daher eine andere Architektur.
Eine Option sind regional gesteuerte Partner-Plattformen. Dabei gelten jedoch deren Verträge und Speicherregeln. Prüfe Bedrock, Google Cloud oder andere Wege separat.
Rechtsgrundlage vor dem Start festlegen
Jeder Einsatz mit personenbezogenen Daten braucht eine Rechtsgrundlage. Häufig kommen Vertrag, Rechtspflicht oder berechtigtes Interesse infrage. Die passende Basis hängt vom Zweck ab.
Ein berechtigtes Interesse verlangt eine dokumentierte Abwägung. Dabei zählen Nutzen, Erforderlichkeit und Rechte der Betroffenen. Eine pauschale Vorlage reicht dafür nicht.
Für besondere Daten gelten strengere Regeln. Dazu zählen Gesundheit, Religion, Biometrie oder politische Ansichten. Hier braucht dein Unternehmen zusätzlich eine Ausnahme nach Artikel 9 DSGVO. Anthropics Standard-DPA sieht solche Daten nicht als geplanten Normalfall vor.
Die DSGVO verlangt außerdem Transparenz, Datenminimierung und Zweckbindung. Diese Pflichten gelten bereits bei der Eingabe. Sie gelten auch für gespeicherte Claude-Ausgaben.
Transparenz und Betroffenenrechte planen
Betroffene brauchen klare Infos über Zweck, Rechtsgrundlage, Empfänger, Transfers und Speicherfrist. Artikel 13 gilt bei Direkterhebung. Artikel 14 gilt bei Daten aus anderen Quellen.
Plane Auskunft, Korrektur, Löschung, Einschränkung und Widerspruch von Beginn an. Prompts, Ausgaben und Logs müssen dafür auffindbar sein. Anthropics Hilfe ersetzt deine gesetzlichen Fristen nicht.
Seit 2. August 2026 können zusätzliche Pflichten aus dem EU AI Act greifen. Sie gelten neben der DSGVO. Prüfe beide Regelwerke für jeden Einsatz getrennt.
Technische und organisatorische Maßnahmen für Claude
Gute Verträge schützen keine unbedachte Eingabe. Der Alltag entscheidet über das echte Risiko. Deshalb braucht Claude klare technische und interne Leitplanken.
Daten vor der Eingabe klassifizieren
Eine einfache Ampel hilft vielen Teams:
- Grün: Öffentliche Daten oder komplett künstliche Testdaten.
- Gelb: Interne Daten ohne direkte Personenbezüge.
- Rot: Kundenakten, Personaldaten, Gesundheitsdaten, Zugangsdaten oder Geschäftsgeheimnisse.
Grüne Daten eignen sich für normale Tests. Gelbe Daten brauchen klare Freigaben und Zugriffsschutz. Rote Daten sollten nur nach einer eigenen Risikoanalyse verarbeitet werden.
Entferne Namen, E-Mail-Adressen und Kundennummern vor der Eingabe. Nutze Platzhalter statt echter Kennungen. Pseudonymisierte Daten bleiben im Regelfall personenbezogen.
Bei besonders sensiblen Daten hilft oft ein Hybrid-Modell. Unser Beitrag über Corporate LLMs im Unternehmen erklärt diesen Ansatz. Vertrauliche Daten bleiben intern, während Claude nur neutrale Teilaufgaben erhält.
Zugriffe und Konten absichern
Nutze nur Firmenkonten unter zentraler Verwaltung. Aktiviere SSO und Mehrfaktor-Login, falls der Tarif diese Funktionen bietet. Sperre private Konten für freigegebene Geschäftsprozesse.
Vergib Rechte nach Aufgaben und nicht nach Bequemlichkeit. Entferne Konten sofort beim Austritt. Prüfe Admin-, Export- und Connector-Rechte getrennt.
Schnittstellen brauchen eine eigene Freigabe. Ein CRM-Connector erweitert den Datenfluss erheblich. Gleiches gilt für MCP-Server, Browser-Zugriffe und Dateiablagen.
Jeder verbundene Dienst kann einen neuen Auftragsverarbeiter schaffen. Prüfe daher Vertrag, Zweck und Speicherfrist jeder Integration. ZDR schützt keine Daten bei fremden Diensten.
Claude Code kontrolliert einsetzen
Claude Code kann Repositories lesen, Befehle ausführen und externe Werkzeuge verbinden. Das schafft zusätzliche Datenflüsse und Systemrechte. Nutze nur freigegebene Firmenkonten und kommerzielle API-Organisationen.
Begrenze Repository-Zugriffe, Tool-Aufrufe, Connectoren und Geheimnisse. Speichere API-Schlüssel niemals in Prompts oder Projektdateien. Nutze getrennte Umgebungen für regulierte Abläufe.
Das technische Setup lernst du im Claude Code Kurs. Er umfasst 108 Lektionen in fünf Modulen. Der Kurs ersetzt keine rechtliche Einzelfallprüfung.
Speicherfristen aktiv setzen
Wähle die kürzeste Frist, die dein Zweck verlangt. Enterprise erlaubt mindestens 30 Tage. Bei der API gilt meist eine Backend-Löschung binnen 30 Tagen.
Prüfe zusätzlich lokale Logs und Datenbanken. Viele Apps speichern Prompts trotz kurzer Anbieterfrist unbegrenzt. Das eigene Backend wird dann zum größten Risiko.
Speichere keine kompletten Prompts für reine Kostenstatistiken. Nutze stattdessen Mengen, Zeiten und technische Fehlercodes. Trenne Betriebsdaten von Gesprächsinhalten.
Ergebnisse nie ungeprüft übernehmen
Claude kann falsche oder verzerrte Aussagen erzeugen. Das betrifft auch personenbezogene Bewertungen. Menschen müssen kritische Ergebnisse vor einer Handlung prüfen.
Artikel 22 DSGVO begrenzt rein automatische Entscheidungen mit großer Wirkung. Das betrifft etwa Einstellungen, Kredite oder Kündigungen. Claude sollte dort keine alleinige Entscheidung treffen.
Lege fachliche Prüfschritte und Eskalationen fest. Dokumentiere, wer Ergebnisse freigibt. Verankere diese Regeln in einer verbindlichen KI-Richtlinie.
Praxis-Checkliste: Claude DSGVO-konform nutzen
Diese zehn Schritte schaffen eine belastbare Basis. Passe sie an Branche, Daten und Risiko an. Beginne mit risikoarmen Prozessen.
- Zweck festlegen: Beschreibe konkret, welche Aufgabe Claude erfüllen soll.
- Datenfluss erfassen: Liste Eingaben, Ausgaben, Speicherorte und Empfänger.
- Commercial-Produkt wählen: Nutze Team, Enterprise oder eine kommerzielle API-Organisation.
- Rechtsgrundlage dokumentieren: Prüfe Artikel 6 und bei Bedarf Artikel 9 DSGVO.
- DPA prüfen: Dokumentiere Standardvertragsklauseln und aktuelle Unterauftragsverarbeiter.
- Transfer bewerten: Prüfe US-Speicherung, Ziellandrecht und ergänzende Schutzmaßnahmen.
- Daten minimieren: Entferne direkte Kennungen und verbiete unnötige sensible Eingaben.
- Fristen setzen: Konfiguriere Löschung bei Claude und in eigenen Systemen.
- Rechte absichern: Plane Auskunft, Korrektur, Export und Löschung betroffener Daten.
- Kontrollen testen: Prüfe Rollen, Logs, Schnittstellen und Freigaben vor dem Start.
Wann eine Datenschutz-Folgenabschätzung nötig wird
Eine DSFA ist nötig, wenn der Prozess voraussichtlich hohe Risiken schafft. Typische Signale sind große Datenmengen oder besonders sensible Daten. Auch systematische Bewertungen von Personen erhöhen das Risiko.
Prüfe eine DSFA besonders bei Personal, Gesundheit, Kredit oder öffentlicher Überwachung. Dokumentiere Risiko, Schutzmaßnahmen und verbleibende Gefahren. Bei hohem Rest-Risiko kann eine Behörden-Konsultation nötig sein.
Beschäftigtendaten brauchen zusätzliche Regeln
Für Beschäftigtendaten gilt zusätzlich § 26 BDSG. Die Verarbeitung muss für das Arbeitsverhältnis nötig sein. Einwilligungen sind wegen des Abhängigkeitsverhältnisses oft heikel.
Ein Betriebsrat kann ebenfalls beteiligt sein. § 87 Absatz 1 Nummer 6 BetrVG erfasst technische Kontrollsysteme. Das kann auch KI-Tools mit Leistungsdaten betreffen. § 90 BetrVG verlangt bei geplanten Arbeitsverfahren eine frühe Beratung. § 80 Absatz 3 BetrVG erleichtert fachliche Unterstützung bei KI.
Führe Claude deshalb nicht heimlich als Mitarbeiter-Analyse ein. Kläre Zweck, Zugriff und Mitbestimmung früh. Vermeide individuelle Leistungsprofile ohne klare Rechtsgrundlage.
Häufige Fehler im Unternehmen
Viele Teams nutzen private Pro-Konten für echte Kundendaten. Dadurch fehlen zentrale Verträge und Admin-Kontrollen. Dieser Weg spart kurzfristig Geld, erhöht aber das Risiko.
Ein zweiter Fehler betrifft ZDR. Teams setzen Zero Data Retention mit vollständiger Datenfreiheit gleich. Bestimmte Funktionen, Modelle und Sicherheitsfälle speichern trotzdem Daten.
Auch ein DPA ist kein Freifahrtschein. Ohne Rechtsgrundlage bleibt die Verarbeitung rechtswidrig. Gleiches gilt bei fehlender Transparenz oder zu vielen Daten.
Der vierte Fehler liegt in angeblicher EU-Residenz. Die direkte Claude API bietet aktuell keine EU-only Speicherung. Wer das verspricht, sollte die technische Quelle belegen.
Fazit: Claude DSGVO-konform nutzen braucht ein Gesamtsystem
Unternehmen können Claude DSGVO-konform nutzen. Dafür braucht es mehr als eine Datenschutz-Einstellung. Produktwahl, Verträge, Rechtsgrundlage und Technik müssen zusammenpassen.
Für normale Firmenprozesse bieten Enterprise und API gute Bausteine. Kommerzielle Inhalte dienen standardmäßig nicht dem Modelltraining. DPA und Standardvertragsklauseln sind ebenfalls verfügbar.
Die größte Grenze bleibt die direkte US-Speicherung. EU-only Anforderungen verlangen daher eine andere Plattform oder Architektur. Sehr sensible Daten sollten intern oder stark pseudonymisiert bleiben.
Starte zuerst mit grünen Daten und klaren Aufgaben. Prüfe danach Risiken, Rechte und Speicherfristen. So wächst der Einsatz kontrolliert statt unbemerkt.
Everlast AI unterstützt Unternehmen bei Auswahl, Einführung und sicherer Prozessgestaltung. Dabei verbinden wir Datenschutz, Automatisierung und messbare Geschäftsziele. Das schafft nutzbare KI statt bloßer Richtlinien.
Wer Claude Code praktisch umsetzen will, startet mit der Claude Code Masterclass. Sie vermittelt Einrichtung, Skills, Agents, MCP und Context Management. So wird die interne Richtlinie zu einem nutzbaren Arbeitsablauf.
Quellenstand
Die Produktangaben wurden am 2. August 2026 geprüft. Anthropic kann Tarife, Modelle und Speicherregeln später ändern. Prüfe deshalb vor dem Rollout die aktuellen Vertrags- und Datenschutzseiten.
.webp)
.png)
%20(1).png)
.png)
