Claude DSGVO-konform einführen: AVV, Datenkategorien, Team-Regeln

Claude bekommt in immer mehr Unternehmen Zugriff auf echte Firmendaten, von Kundenmails über Vertragsentwürfe bis zu internen Reports. Die Frage ist dabei selten, ob Claude technisch gut genug ist, sondern ob die Nutzung rechtlich sauber aufgesetzt ist. Drei Punkte entscheiden darüber: der Auftragsverarbeitungsvertrag, die Frage, welche Daten überhaupt in den Chat dürfen, und klare Regeln für das Team. Wer alle drei ignoriert, verlässt sich auf Glück statt auf ein Verfahren.

Vor dem ersten Prompt steht der Vertrag. Genau in dieser Reihenfolge sollte auch die Claude-Einführung im Unternehmen ablaufen. Foto: Kampus Production auf Pexels

Warum “wir nutzen ja nur den Chat” nicht reicht

Viele Unternehmen behandeln Claude im Kopf wie eine bessere Suchmaschine: ausprobieren, für gut befinden, einführen. Das unterschätzt, dass jeder Prompt eine Datenübermittlung ist, sobald personenbezogene Daten drinstehen, ein Name, eine Kundennummer, eine E-Mail-Adresse in einem eingefügten Textblock. Ab diesem Moment wird Anthropic zum Auftragsverarbeiter im Sinne der DSGVO, und die Firma, die den Prompt schickt, bleibt Verantwortliche mit voller Rechenschaftspflicht. Wer sich vorher einen Überblick über die Plattform verschaffen will, findet ihn in unserem Claude-Hub mit allen Plänen und Funktionen.

Der grundlegende Unterschied zu einem allgemeinen DSGVO-Check für KI-Tools, wie wir ihn in unserem Überblicksartikel zu ChatGPT, Copilot und Claude beschrieben haben, liegt darin, dass sich Anthropics Vertragswerk, Speicherfristen und Residenz-Optionen im Detail von denen anderer Anbieter unterscheiden. Wer nur die allgemeine 7-Punkte-Checkliste abhakt, übersieht claude-spezifische Fallstricke wie die fehlende EU-US-Datenschutzrahmen-Zertifizierung oder die Sonderrolle von Claude Cowork. Genau diese Details klärt dieser Artikel, zusammen mit der praktischen Frage: Wer im Team darf was mit welchen Daten tun?

Der Auftragsverarbeitungsvertrag: nicht jeder Claude-Plan ist abgedeckt

Der erste und wichtigste Filter ist der Tarif. Anthropic stellt einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ausschließlich für kommerzielle Angebote bereit: Claude for Work, das laut Anthropics eigener Einordnung sowohl den Team- als auch den Enterprise-Plan umfasst, sowie die Anthropic API. Der AVV steckt als Bestandteil in den Commercial Terms und wird elektronisch über das Kundenportal akzeptiert; ein separates PDF zum Herunterladen und Gegenzeichnen gibt es nicht. Wer im Aktenordner nach einem unterschriebenen Vertrag sucht, findet deshalb nichts und schließt daraus manchmal fälschlich, es gebe gar keinen. Wer stattdessen mit einem kostenlosen Claude.ai-Konto oder dem Einzelnutzer-Pro-Tarif arbeitet, hat keinen Vertrag, keine Verantwortlichenkette und damit keine Rechtsgrundlage, um personenbezogene Daten von Kunden oder Mitarbeitenden dort zu verarbeiten.

Das klingt nach einer Formalie, ist aber in der Praxis der häufigste Fehler: Ein einzelner Mitarbeiter probiert Claude über den privaten Pro-Account aus, findet es gut, und plötzlich läuft ein Teil der Kundenkommunikation über ein Konto, für das die Firma nie einen Vertrag geschlossen hat. Die erste Team-Regel, bevor überhaupt über Datenkategorien gesprochen wird, lautet deshalb schlicht: dienstliche Anfragen ausschließlich über den lizenzierten Firmen-Account, nie über private Zugänge.

Rechtlich deckt der AVV die klassischen Auftragsverarbeiter-Pflichten ab: Weisungsgebundenheit, Unterauftragsverarbeiter-Kontrolle, Löschpflichten und Unterstützung bei Betroffenenrechten. Für die grenzüberschreitende Übermittlung in die USA sind die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO automatisch Bestandteil der Commercial Terms. Was dabei fehlt und was Kanzleien wie Heuking in ihrer Einordnung zu Claude im Unternehmenseinsatz ausdrücklich betonen: Anthropic hält aktuell keine Zertifizierung unter dem EU-US Data Privacy Framework. Die Standardvertragsklauseln greifen zwar, offene Fragen zum Zugriff US-amerikanischer Behörden über den CLOUD Act oder FISA 702 bleiben aber bestehen. Für Unternehmen mit besonders sensiblen Daten, etwa aus dem Gesundheits- oder Finanzbereich, gehört diese Lücke in die Datenschutz-Folgenabschätzung, nicht in eine Fußnote.

Datenkategorien: was in den Chat darf und was draußen bleibt

Der AVV regelt die rechtliche Grundlage, beantwortet aber nicht die Frage, die im Alltag zählt: Welche Daten dürfen überhaupt eingegeben werden? Hier lohnt sich eine kurze, aber verbindliche Kategorisierung, bevor Claude firmenweit freigeschaltet wird. Als Faustregel für Bereiche, die vor dem breiten Rollout draußen bleiben sollten, nennen Compliance-Einordnungen zu Claude im Unternehmen regelmäßig vier Gruppen: Personaldaten mit Gesundheits- oder Leistungsbezug, Berufsgeheimnisse etwa aus Rechts- oder Steuerberatung, vertrauliche Unternehmensinterna wie unveröffentlichte Finanzzahlen, und Kommunikationsinhalte, die selbst wieder personenbezogene Daten Dritter enthalten, etwa komplette Kundenmail-Verläufe.

Das bedeutet nicht, dass Claude in diesen Bereichen nie eingesetzt werden kann, sondern dass jede Kategorie ihre eigene Prüfung braucht: Rechtsgrundlage, Löschfrist, technische Schutzmaßnahme. Ein Praxisbeispiel: Ein Angebot für einen Neukunden mit Firmenname und Ansprechpartner ist in der Regel unkritisch, sobald aber Gesundheitsdaten eines Bewerbers oder Gehaltsangaben eines Mitarbeiters im Prompt landen, ändert sich die Risikostufe grundlegend. Wer schon mit der Claude API arbeitet und eigene Workflows baut, sollte diese Kategorisierung direkt in die technische Anbindung einbauen, etwa über eine Vorprüfung, die erkennbare Personaldaten-Felder gar nicht erst an die API weiterreicht.

Eine kurze, dokumentierte Liste reicht meist aus: grün für unproblematisch, gelb für Freigabe durch die Datenschutzbeauftragte nötig, rot für grundsätzlich tabu. Ohne diese Liste trifft jeder Mitarbeiter die Entscheidung allein, im Zweifel unter Zeitdruck kurz vor Feierabend, und genau dann passieren die Fehler, die später in einer Meldepflicht enden.

Speicherfristen, Training und die Zero-Data-Retention-Option

Bei kommerziellen Produkten gilt als Standard: Anthropic nutzt Eingaben und Ausgaben nicht, um seine Modelle zu trainieren. Eine Ausnahme entsteht nur, wenn ein Nutzer aktiv über die Daumen-hoch- oder Daumen-runter-Funktion Feedback gibt. Diese Gespräche werden dann bis zu fünf Jahre in einem gesicherten Backend aufbewahrt und vor einer möglichen Trainingsnutzung von Nutzerkennungen gelöst. Organisationen können diese Feedback-Funktion für die gesamte Belegschaft in den Admin-Einstellungen deaktivieren, was für Unternehmen mit strengeren internen Richtlinien der einfachste erste Schritt ist.

Für die reguläre Aufbewahrung nennt Anthropic bei den kommerziellen Plänen 30 Tage: Ein- und Ausgaben werden im Backend innerhalb dieser Frist automatisch gelöscht, Claude Enterprise erlaubt eine eigene Konfiguration. Zwei Ausnahmen sollte man kennen, bevor jemand in der Geschäftsführung die 30 Tage als Zusage weitergibt. Was Anthropics automatische Missbrauchserkennung als Verstoß gegen die Nutzungsrichtlinien markiert, bleibt bis zu zwei Jahre gespeichert, die zugehörigen Bewertungsscores bis zu sieben Jahre. Und das oben erwähnte Daumen-Feedback zieht eine Fünf-Jahres-Frist nach sich. Für eine Datenschutz-Folgenabschätzung ist die realistische Obergrenze also nicht die 30-Tage-Zahl aus der Produktbeschreibung.

Wer enger fahren muss, kann Zero Data Retention beantragen, eine vertragliche Vereinbarung, die das Vertriebsteam pro Organisation freischaltet. Prompts und Antworten werden dann nach der Rückgabe der Antwort nicht mehr dauerhaft gespeichert. Der entscheidende Punkt für Entscheider steckt im Kleingedruckten: Zero Data Retention greift auf der Ebene der Anthropic-API. Die Produktoberflächen von Claude Team und Claude Enterprise sind laut Dokumentation ausdrücklich ausgenommen, ebenso Console und Workbench, Claude für Excel sowie die Claude Managed Agents, deren Sitzungsprotokolle bis zur manuellen Löschung bestehen bleiben. Eine einzige Ausnahme gibt es: Claude Code über Claude Enterprise, wenn Zero Data Retention für die Organisation aktiviert ist.

Zwei technische Randbedingungen gehören in dieselbe Prüfung. Stateful-Funktionen wie die Files API, die Batch-Verarbeitung und die Code-Ausführung fallen aus der Vereinbarung heraus, weil sie Dateien und Container speichern müssen. Und die Modelle Claude Fable 5 und Claude Mythos 5 sind als sogenannte Covered Models von Zero Data Retention ausgeschlossen: Sie verlangen 30 Tage Aufbewahrung, sonst antwortet die API mit einem Fehler.

EU-Datenresidenz gibt es bei Anthropic nicht

Hier hat sich seit der ersten Fassung dieses Artikels im Juli unsere eigene Darstellung als zu optimistisch erwiesen, und die Korrektur ist für jede Datenschutz-Folgenabschätzung erheblich. Wir hatten geschrieben, Claude for Enterprise lasse sich mit einer EU-Datenresidenz-Option buchen, bei der Prompts und Anhänge in Frankfurt oder Dublin bleiben. Diese Option existiert nicht.

Anthropics Dokumentation kennt zwei getrennte Stellschrauben. Der Wert inference_geo steuert pro Anfrage, wo das Modell rechnet. Der Workspace-Geo steuert, wo Daten ruhen und wo Nebenverarbeitung wie Bildumwandlung oder Code-Ausführung stattfindet; er wird beim Anlegen des Workspace gesetzt und lässt sich danach nicht mehr ändern. Der Abschnitt zu den aktuellen Grenzen der Funktion ist unmissverständlich: Für die Inferenz stehen us und global zur Wahl, für den Workspace ausschließlich us. Eine EU-Region kommt in keiner der beiden Listen vor, und zwar in keinem Plan, auch nicht in Claude Enterprise.

Wichtig ist auch, was die Voreinstellung tut: global bedeutet laut Anthropic, dass die Inferenz in jeder verfügbaren Region laufen kann. Wer wenigstens auf US-Infrastruktur festlegen will, setzt den Wert auf us, entweder pro Anfrage oder über die Workspace-Vorgaben default_inference_geo und allowed_inference_geos. Zwei Details für die Kalkulation: Anthropic berechnet für die US-Festlegung den 1,1-fachen Token-Preis, und der Parameter funktioniert erst ab Claude 4.6, ältere Modelle antworten mit einem Fehler 400. Wer früher die alte organisationsweite Abschaltung des globalen Routings gebucht hatte, wurde automatisch auf allowed_inference_geos: ["us"] migriert.

Verarbeitung innerhalb der EU bleibt damit an einen einzigen Weg gebunden: Claude über AWS Bedrock oder Google Cloud in einer EU-Region wie Frankfurt, Dublin, Paris oder Stockholm. Dort bestimmt die Endpunkt-URL beziehungsweise das Inferenzprofil die Region. Der Preis dafür ist ein Wechsel der Vertragskette. Auftragsverarbeiter ist dann der Cloud-Anbieter, nicht Anthropic, es gilt dessen Vertragswerk, und Anthropics eigene Vereinbarungen zu Zero Data Retention greifen dort nicht mehr. Für Microsoft Foundry gilt das übrigens ausdrücklich nicht: Der dort verfügbare Bereitstellungstyp hält die Inferenz in den USA, eine EU-Zone gibt es bislang nicht.

Weil Anthropic zusätzlich keine Zertifizierung unter dem EU-US Data Privacy Framework hält, bleibt die Übermittlung in jedem Fall auf die Standardvertragsklauseln nach Art. 46 DSGVO gestützt. Das Transfer Impact Assessment fällt also nicht weg, wenn ihr auf US-Inferenz umstellt, es wird nur besser dokumentierbar.

Der Einsatz generativer KI im Unternehmen sollte auf einem dokumentierten Risikorahmen sowie engen technischen und organisatorischen Kontrollen aufbauen.

— Heuking Rechtsanwälte, Einordnung zu Claude im Unternehmenseinsatz, 2026

Für Unternehmen, die ohnehin schon prüfen, welcher Claude-Tarif zu ihrer Größe passt, lohnt sich der Blick auf unseren Vergleich von Claude und ChatGPT im Unternehmenseinsatz, der die Plan-Unterschiede jenseits der reinen Datenschutzfrage einordnet.

Seit dem 2. August 2026 reicht die DSGVO-Prüfung allein nicht mehr

Als dieser Artikel im Juli erschien, war der Auftragsverarbeitungsvertrag die einzige rechtliche Hürde vor dem Rollout. Seit dem 2. August 2026 ist die KI-Verordnung der EU allgemein anwendbar, samt Bußgeldrahmen und Aufsichtskapitel. In Deutschland führt die Bundesnetzagentur die Marktüberwachung, Grundlage ist das KI-Marktüberwachungs- und Innovationsgesetz, das am 29. Juli 2026 in Kraft getreten ist. Zwei Punkte davon treffen einen typischen Claude-Rollout.

Der erste ist Artikel 4, die KI-Kompetenz. Die Pflicht gilt schon seit Februar 2025, der Digital Omnibus hat sie im Juli 2026 abgeschwächt: Aus dem Sicherstellen eines ausreichenden Kompetenzniveaus wurde die Pflicht, Maßnahmen zur Kompetenzentwicklung zu ergreifen. Ein bestimmtes Niveau einzelner Personen muss niemand garantieren. Für euch heißt das praktisch: Die kurze Einweisung, die ohnehin in jedes Rollout-Konzept gehört, erfüllt diese Pflicht mit, wenn ihr sie dokumentiert. Ein Teilnehmerprotokoll und die Schulungsunterlage reichen als Nachweis.

Der zweite Punkt ist Artikel 50, die Offenlegung. Er greift an zwei Stellen, an denen Claude im Mittelstand regelmäßig eingesetzt wird. Wenn ein KI-System direkt mit Menschen spricht, etwa als Chatbot im Kundenservice, müssen die Betroffenen wissen, dass sie mit einer Maschine reden; die Verordnung nimmt nur aus, was für einen aufmerksamen Nutzer ohnehin offensichtlich ist. Und wer KI-generierte Texte zu Themen von öffentlichem Interesse veröffentlicht, muss das kenntlich machen. Für diesen zweiten Fall gibt es eine Ausnahme, die im Marketing-Alltag oft passt: Wenn ein Mensch den Text redaktionell prüft und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt, entfällt die Kennzeichnung. Der Hinweis muss klar und unterscheidbar sein und spätestens bei der ersten Interaktion vorliegen.

Der Bußgeldrahmen für Verstöße gegen Artikel 50 liegt bei bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes; für kleine und mittlere Unternehmen greift jeweils der niedrigere Wert. Die Details zu Fristen, Formulierungen und Abgrenzungsfragen haben wir im Überblick zu den AI-Act-Fristen und der Kennzeichnungspflicht aufgeschrieben, die Rolle der deutschen Aufsicht im Beitrag zum KI-MIG und der Bundesnetzagentur.

Team-Regeln, die den Vertrag erst wirksam machen

Der AVV schützt rechtlich, verhindert aber technisch nichts. Was im Alltag zählt, sind klare, schriftlich festgehaltene Regeln, bevor Claude breit ausgerollt wird, nicht danach als Reaktion auf einen Vorfall.

Vier Punkte gehören in jedes Rollout-Konzept. Erstens ein Berechtigungskonzept nach dem Minimalprinzip: Nicht jede Kollegin braucht Zugriff auf jede Funktion, insbesondere nicht auf weitreichende Automatisierungen. Zweitens eine Sonderregel für Claude Cowork und ähnliche Agenten-Funktionen, die selbstständig auf Anwendungen, Dateien, Browserinhalte und andere Unternehmensressourcen zugreifen und Arbeitsschritte eigenständig ausführen können: Hier braucht es engere Freigabemechanismen und eine Protokollierung, die im Zweifel auch nachträglich nachvollziehbar macht, welche Aktion welche Daten berührt hat. Drittens eine kurze, für alle verständliche Datenkategorien-Liste wie oben beschrieben, greifbar in einem internen Wiki statt vergraben in einer Richtlinie, die niemand liest. Viertens eine kurze Einweisung für neue Team-Mitglieder, die genau diese drei Punkte in fünf Minuten erklärt, bevor der erste Zugang vergeben wird.

Wer parallel eigene Automatisierungen mit Claude aufbaut, etwa über Claude Code auch ohne Programmierkenntnisse im Team, sollte diese Regeln direkt in den Workflow einbauen, statt sie als separates Dokument nebenherlaufen zu lassen. Governance, die erst nach der technischen Einführung nachgereicht wird, kommt in der Praxis fast immer zu spät.

Ein realistischer Rollout-Ablauf für ein mittelständisches Unternehmen

Wie das konkret aussieht, zeigt sich am besten an einem typischen Fall: Ein Betrieb mit 60 Mitarbeitenden will Claude für die Angebotserstellung, interne Recherchen und erste Entwürfe der Kundenkommunikation einführen. Der erste Schritt ist ein kurzes Gespräch zwischen Geschäftsführung, IT und der oder dem Datenschutzbeauftragten, in dem genau die drei Punkte aus diesem Artikel geklärt werden: Welcher Plan wird es, welche Daten sind erlaubt, wer bekommt welchen Zugriff. Die Lizenzbestellung kommt danach.

Erst dann folgt die Lizenzentscheidung. Für ein Unternehmen dieser Größe reicht in den meisten Fällen Claude Team, weil der AVV bereits enthalten ist und sich die Rechteverwaltung zentral über die Admin-Konsole steuern lässt, ohne dass jeder Einzelplatz manuell verwaltet werden muss. Der Wechsel auf Enterprise lohnt sich, sobald ihr eine konfigurierbare Aufbewahrungsfrist, ein feineres Rechtekonzept oder Audit-Protokolle braucht. Und wenn ein Kunde aus dem Finanzsektor Verarbeitung innerhalb der EU verlangt, führt der Weg an Anthropic vorbei zu Bedrock oder Google Cloud, weil Enterprise diese Anforderung nach heutigem Stand nicht erfüllen kann.

Parallel dazu entsteht die Datenkategorien-Liste. Eine halbe Seite mit konkreten Beispielen aus dem eigenen Alltag genügt: Welche drei, vier Dokumenttypen landen täglich im Chat, und welche davon enthalten Namen, Gesundheitsangaben oder vertrauliche Zahlen. Diese Liste wird in einer kurzen Schulung vorgestellt, bevor die ersten Zugänge live gehen, als zehnminütiges Gespräch mit Beispielen aus der eigenen Praxis. Dieses Gespräch schlägt zwei Fliegen: Es macht die Liste im Kopf präsent und dokumentiert zugleich die KI-Kompetenzmaßnahme aus Artikel 4. Nach den ersten vier Wochen folgt eine kurze Rückschau: Welche Fragen sind aufgetaucht, welche Grenzfälle wurden unklar entschieden, muss die Liste nachgeschärft werden. Diese Schleife, klein anfangen, früh nachjustieren, ist in der Praxis wirksamer als ein einmal geschriebenes, nie wieder angefasstes Regelwerk.

Arno Hoffrichter

Chief Technology Officer, Collective Brain GmbH · Hamburg

CTO bei Collective Brain. Verantwortlich für die technische Umsetzung von Web-Projekten und SEO-Architektur.

Beratung anfragen