Claude DSGVO-konform einzusetzen ist möglich, wenn Sie ein kommerzielles Angebot wählen und es sauber einstellen. Bei Claude Team, Enterprise und der API ist der Auftragsverarbeitungsvertrag bereits Teil der Vertragsbedingungen. Zudem trainiert Anthropic nicht mit Ihren Eingaben. Offen bleiben zwei Punkte: Bei direkter Nutzung liegen die Daten in den USA. Außerdem ist Anthropic nicht unter dem Data Privacy Framework zertifiziert. Eine Verarbeitung in der EU erreichen Sie deshalb nur über bestimmte Zugangswege. Für Claude DSGVO-Fragen zählt also vor allem der gewählte Weg. Dieser Leitfaden vergleicht sechs Wege nach Vertrag, Datenort, Training und Speicherfristen. Danach folgt eine Checkliste für die Einführung. Pläne und Preise erklärt unser Beitrag Claude für Unternehmen. Alle Angaben haben wir am 13. November 2026 in den Primärquellen geprüft.
Ist Claude DSGVO-konform? Die kurze Antwort
Claude ist nicht pauschal DSGVO-konform oder unzulässig, entscheidend sind Plan, Zugangsweg und Konfiguration. Anthropic trennt dabei strikt zwischen Verbraucher- und Geschäftskunden. Für Free, Pro, Max und Ultra gelten die Verbraucherbedingungen, die eine geschäftliche Nutzung ausdrücklich ausschließen. Einen Auftragsverarbeitungsvertrag gibt es für diese Pläne nicht.
Für Unternehmen kommen daher nur Claude Team, Claude Enterprise und die API infrage. Alternativ nutzen Sie Claude über Amazon Bedrock, Google Cloud, Microsoft Foundry oder Microsoft 365 Copilot. Dort gelten jeweils die Verträge des Cloud-Anbieters. Die DSGVO-Pflichten Ihres Unternehmens bleiben auf jedem Weg bestehen. Dazu gehören eine Rechtsgrundlage nach Artikel 6, technische Schutzmaßnahmen und gegebenenfalls eine Datenschutz-Folgenabschätzung.
AVV, Vertragspartner und Drittlandtransfer bei Claude
Ihr Vertragspartner ist Anthropic Ireland, Limited, wenn Ihr Unternehmen im Europäischen Wirtschaftsraum sitzt. So regeln es die Commercial Terms von Anthropic. Der Auftragsverarbeitungsvertrag (Data Processing Addendum) ist automatisch Teil dieser Bedingungen. Anthropic handelt darin als Auftragsverarbeiter, Ihr Unternehmen bleibt Verantwortlicher.
Für Übermittlungen in die USA enthält der Vertrag die EU-Standardvertragsklauseln, Module zwei und drei. Eine Zertifizierung nach dem EU-US Data Privacy Framework hat Anthropic dagegen nicht. In der offiziellen DPF-Liste war das Unternehmen am 13. November 2026 nicht eingetragen. Sie benötigen deshalb ein dokumentiertes Transfer Impact Assessment.
Die Liste der Unterauftragsverarbeiter umfasst 22 Einträge. Dazu gehören Google Cloud, Amazon Web Services und Microsoft Azure als weltweit genutzte Infrastruktur. Über neue Unterauftragsverarbeiter informiert Anthropic vorab. Widersprechen können Sie innerhalb von 15 Tagen, sonst gilt die Änderung als akzeptiert. Abonnieren Sie deshalb die Benachrichtigungen im Trust Center. Nach Vertragsende löscht Anthropic Ihre Daten innerhalb von 30 Tagen oder gibt sie zurück. Anthropic ist nach ISO 27001 und ISO/IEC 42001 zertifiziert und legt SOC-2-Berichte auf Anfrage vor.
Was der AVV nicht regelt
Der Vertrag deckt nur die Verarbeitung durch Anthropic ab, nicht Ihre eigenen Pflichten. Sie legen weiterhin fest, welche Daten Beschäftigte eingeben dürfen. Zudem dokumentieren Sie die Verarbeitung im Verzeichnis nach Artikel 30 DSGVO. Aktivierte Konnektoren wie Google Drive oder Slack verarbeiten Daten außerdem nach eigenen Regeln. Prüfen Sie diese Dienste deshalb separat.
Trainiert Anthropic mit Ihren Unternehmensdaten?
Nein, Anthropic trainiert nicht mit Eingaben und Ausgaben aus kommerziellen Produkten. Das steht in den Commercial Terms und in der Datenschutz-Hilfe von Anthropic. Es gibt jedoch zwei Ausnahmen. Bewertet eine Person eine Antwort mit Daumen hoch oder runter, darf Anthropic diese Unterhaltung nutzen. Sie wird dann bis zu fünf Jahre gespeichert, getrennt von Nutzer- und Kunden-IDs.
Inhaber von Team- und Enterprise-Organisationen können diese Feedback-Funktion zentral abschalten. Die zweite Ausnahme ist eine bewusste Freigabe, etwa über das Development Partner Program für Claude Code. Bei Verbraucherplänen ist die Lage anders. Dort trainiert Anthropic mit den Daten, solange die Einstellung zur Modellverbesserung aktiv ist. Das gilt ausdrücklich auch für Claude Code mit einem Pro- oder Max-Konto. Gerade Entwicklerteams nutzen solche Konten oft unbemerkt mit Firmencode.
Speicherfristen: Wie lange bewahrt Anthropic Daten auf?
API-Daten löscht Anthropic standardmäßig innerhalb von 30 Tagen, Chats in claude.ai bleiben dagegen bis zur Löschung erhalten. Die Fristen veröffentlicht Anthropic in einem eigenen Hilfeartikel. Ausnahmen gelten für Feedback, Verstöße gegen Nutzungsrichtlinien und Enterprise-Organisationen ohne eigene Frist. Für Ihr Löschkonzept sind deshalb diese Werte wichtig:
| Daten | Speicherdauer bei kommerziellen Plänen |
|---|---|
| Ein- und Ausgaben der API | Löschung innerhalb von 30 Tagen; Dateien über die Files API bis zur Löschung |
| Chats in Claude Team | Bis Nutzer sie löschen; danach Entfernung aus dem Backend innerhalb von 30 Tagen |
| Chats in Claude Enterprise | Ohne Einstellung unbegrenzt; eigene Frist ab 30 Tagen festlegbar |
| Feedback per Daumen | Bis zu 5 Jahre, getrennt von Nutzer- und Kunden-IDs |
| Verstöße gegen Nutzungsrichtlinien | Inhalte bis zu 2 Jahre, Klassifizierungswerte bis zu 7 Jahre |
Achten Sie besonders auf Enterprise: Ohne eigene Einstellung speichert Anthropic Chats unbegrenzt. Legen Sie die Frist deshalb vor dem Rollout fest, passend zu Ihrem Löschkonzept. Sitzungen in Claude Cowork liegen zudem lokal auf den Rechnern der Nutzer. Admins können diese Verläufe nicht zentral löschen.
Zero Data Retention und neue Modelle
Mit Zero Data Retention (ZDR) speichert Anthropic API-Anfragen nach der Antwort nicht mehr. Diese Vereinbarung gibt es nur für die API und nur auf Anfrage beim Vertrieb. Die Oberflächen von Claude Team und Enterprise sind davon ausgenommen. Einige Funktionen sind ebenfalls nicht ZDR-fähig, etwa die Batch API, die Files API und der MCP-Konnektor. Für die Modellfamilien Claude Fable 5 und Claude Mythos 5 gilt seit Juni 2026 eine Pflichtspeicherung von 30 Tagen. ZDR gibt es für diese Modelle nur mit ausdrücklicher Freigabe durch Anthropic.
Claude und DSGVO: Sechs Zugangswege im Vergleich
Der Zugangsweg entscheidet über Ihren Vertragspartner und den Ort der Verarbeitung. Bei direkter Nutzung über Anthropic liegen die Daten laut Anthropic in den USA. Die Verarbeitung kann in den USA, Europa, Asien oder Australien stattfinden. Über die API lässt sich die Verarbeitung nur auf die USA begrenzen, eine EU-Option fehlt bisher. Der Vergleich zeigt den Stand vom 13. November 2026:
| Zugangsweg | Vertragspartner und Rolle | Verarbeitung in der EU | Training und Speicherung |
|---|---|---|---|
| claude.ai Team / Enterprise | Anthropic Ireland als Auftragsverarbeiter | Nein, Speicherung in den USA | Kein Training; Chats bis zur Löschung oder nach Enterprise-Frist |
| Claude API (Claude Platform) | Anthropic Ireland als Auftragsverarbeiter | Nein, nur global oder USA wählbar | Kein Training; Löschung nach 30 Tagen, ZDR auf Antrag |
| Amazon Bedrock | AWS; Prompts gehen nicht an Anthropic | Ja, mit EU-Inferenzprofil | Kein Training; ZDR-Modus möglich |
| Google Cloud (von Google verwaltet) | Google; Claude als Partnermodell | Ja, mit Endpunkt „eu“ | Kein Training; Protokollierung nur auf Wunsch |
| Microsoft Foundry | Anthropic als Verkäufer und Verarbeiter | Nein, global oder Datenzone USA | Nach Anthropic-AVV und Commercial Terms |
| Microsoft 365 Copilot | Microsoft, Anthropic als Unterauftragsverarbeiter | Laut Microsoft ab Anfang Dezember 2026 | Kein Training; Microsoft-AVV |
Bei Microsoft Foundry ist Claude kein Microsoft-Produkt, sondern ein Angebot von Anthropic. Laut Microsoft Learn gelten dort der Anthropic-AVV und die Anthropic-Bedingungen. Eine EU-Datenzone gibt es für Claude in Foundry bisher nicht. Abgerechnet wird jedoch über Azure, was den Einkauf vereinfacht.
Amazon Bedrock und Google Cloud: EU-Verarbeitung richtig einstellen
Bei Amazon Bedrock bleibt die Verarbeitung nur mit einem geografischen EU-Profil in der EU. Laut AWS verbleiben Anfragen an ein solches Profil in dieser Region. Aufrufe aus Frankfurt laufen dann etwa über Frankfurt, Irland, Paris, Stockholm, Mailand oder Spanien. Rufen Sie das EU-Profil dagegen aus Zürich oder London auf, können auch diese Regionen beteiligt sein. Globale Profile sind rund zehn Prozent günstiger, leiten Anfragen aber weltweit weiter. AWS gibt Ein- und Ausgaben nicht an Anthropic weiter.
Bei Google Cloud wählen Sie den Endpunkt „eu“. Laut Google bleiben die Daten dann in EU-Mitgliedstaaten. Der globale Endpunkt bietet keine solche Zusage. Beachten Sie zudem: Google Cloud bietet auch eine von Anthropic verwaltete Variante an. Dort ist Anthropic der Verarbeiter, eine EU-Option ist dafür nicht dokumentiert. Für eigene Anwendungen begleiten wir Sie bei der Integration von Claude per API.
Microsoft 365 Copilot: Was sich im Dezember 2026 ändert
In Microsoft 365 Copilot arbeitet Anthropic als Unterauftragsverarbeiter von Microsoft. Damit gelten Ihr Microsoft-AVV und die Product Terms. Bis Anfang Dezember 2026 läuft die Verarbeitung jedoch außerhalb der EU-Datengrenze. Am 5. November 2026 hat Microsoft angekündigt, Claude bis Ende 2026 in die EU-Datengrenze zu holen.
Laut Message-Center-Meldung MC1546438 vom 10. November 2026 hat das Folgen für Admins. Ab dem 9. Dezember 2026 schaltet Microsoft Claude für EU- und EFTA-Tenants ohne eigene Auswahl ein. Die Option „nur Copilot in Microsoft-365-Apps“ entfällt und wird auf alle Nutzer umgestellt. Entscheiden Sie deshalb vorher bewusst, ob Sie „Keine Benutzer“ oder bestimmte Gruppen wählen. Modelle mit Datenaufbewahrung wie Claude Fable 5 steuert eine separate Einstellung. Für sie gelten die Bedingungen von Anthropic statt des Microsoft-Vertrags. Details zu den Schaltern zeigt unser Beitrag zu Microsoft Copilot und DSGVO.
Claude DSGVO-konform einführen: Checkliste in sieben Schritten
Eine datenschutzgerechte Einführung folgt einer festen Reihenfolge: erst Daten und Weg, dann Vertrag, Technik und Mitbestimmung. Sie stufen zuerst Ihre Daten ein und lösen private Konten ab. Danach dokumentieren Sie Verträge, setzen Admin-Einstellungen und prüfen die Folgenabschätzung. Zum Schluss binden Sie den Betriebsrat ein und schulen die Beschäftigten:
- Schritt 1: Daten einstufen — Legen Sie fest, welche Datenklassen in Claude erlaubt sind. Daraus folgt der passende Zugangsweg.
- Schritt 2: Privatkonten ablösen — Stellen Sie ein kommerzielles Angebot bereit und untersagen Sie Pro- und Max-Konten für Firmendaten.
- Schritt 3: Verträge dokumentieren — Legen Sie AVV, Unterauftragsverarbeiter und Transfer Impact Assessment ab.
- Schritt 4: Admin-Einstellungen setzen — Prüfen Sie Feedback, Gedächtnis, Websuche, Konnektoren, Claude in Chrome und Speicherfristen.
- Schritt 5: Folgenabschätzung prüfen — Klären Sie nach Artikel 35 DSGVO, ob ein hohes Risiko vorliegt.
- Schritt 6: Betriebsrat einbinden — KI-Werkzeuge fallen meist unter § 87 BetrVG. Eine Betriebsvereinbarung für KI-Werkzeuge schafft Klarheit.
- Schritt 7: Beschäftigte schulen — Seit Februar 2025 verlangt der EU AI Act ausreichende KI-Kompetenz.
Schritt 4 wird am häufigsten unterschätzt. Claude in Chrome und Cowork sind in Team-Organisationen standardmäßig aktiv. Für beide gibt es keine Zero Data Retention. Neue Organisationen starten seit Ende Oktober 2026 zudem mit aktiviertem Gedächtnis.
Vorteile eines geregelten Claude-Einsatzes im Mittelstand
Ein geregelter Einsatz macht Claude für den Fachbereich nutzbar und für den Datenschutz prüfbar. Statt Verboten und Schatten-KI gibt es klare Regeln, die Beschäftigte verstehen. Zudem geben Datenschutzbeauftragter und Betriebsrat den Einsatz einmal dokumentiert frei, statt jeden Einzelfall zu prüfen. Die wichtigsten Vorteile in der Praxis:
- Weniger Schatten-KI: Dadurch ersetzt ein offizielles Angebot private Konten mit Firmendaten.
- Prüfbare Dokumentation: AVV, Transfer-Prüfung und Löschfristen liegen vollständig vor.
- Schnellere Freigaben: Datenschutz und Betriebsrat entscheiden auf Basis klarer Fakten.
- Passender Datenort: Sensible Anwendungen laufen daher über EU-Regionen, einfache Textarbeit über claude.ai.
- Weniger Abhängigkeit: Außerdem bleibt für besonders sensible Daten lokale oder private KI eine Alternative.
Typische Datenschutz-Fehler beim Einsatz von Claude
Der häufigste Fehler ist die Annahme, ein Business-Plan löse alle Datenschutzfragen. Der AVV regelt jedoch weder den Datenort noch Ihre Admin-Einstellungen oder private Konten. Am häufigsten unterstellen Unternehmen eine Speicherung in der EU, die es bei direkter Nutzung nicht gibt. Typisch sind diese Fehler:
- EU-Speicherung unterstellen: Bei Team, Enterprise und der direkten API liegen die Daten in den USA.
- Globale Profile nutzen: Bei Bedrock und Google Cloud verlässt die Verarbeitung dagegen ohne EU-Profil die EU.
- Enterprise-Frist vergessen: Ohne eigene Einstellung bleiben Chats deshalb unbegrenzt gespeichert.
- Copilot-Termin verpassen: Zudem schaltet Microsoft Claude ab dem 9. Dezember 2026 in Tenants ohne Auswahl ein.
- Claude Code übersehen: Mit Pro- oder Max-Konten gelten jedoch Verbraucherbedingungen, auch für Firmencode.
Was AURUM für Sie übernimmt
AURUM ist Anthropic (Claude) Partner, als Registered Partner im Claude Partner Network. Gleichzeitig sind wir Microsoft Solutions Partner. Wir kennen deshalb beide Seiten: die Verträge von Anthropic und die Einstellungen in Microsoft 365 und Azure. Gemeinsam wählen wir den Zugangsweg, der zu Ihren Daten passt. Anschließend richten wir Claude technisch ein und setzen die Admin-Einstellungen.
Für Ihren Datenschutzbeauftragten bereiten wir Datenflüsse, Speicherfristen und Unterauftragsverarbeiter verständlich auf. Eine Rechtsberatung ersetzen wir nicht, die rechtliche Bewertung bleibt bei Ihrem Datenschutzbeauftragten oder Ihrer Kanzlei. Mehr dazu finden Sie bei unserer Beratung zu KI-Datenschutz und EU AI Act. Haben Sie Detailfragen zu Claude und DSGVO? Nehmen Sie Kontakt auf, wir beantworten sie gern persönlich.
Häufige Fragen zu Claude und DSGVO
Ja, sobald Beschäftigte personenbezogene Daten in Claude eingeben. Bei Claude Team, Enterprise und der API ist der Auftragsverarbeitungsvertrag (DPA) automatisch Teil der Commercial Terms. Eine separate Unterschrift ist nicht nötig. Legen Sie den Vertrag trotzdem in Ihrer Dokumentation ab und tragen Sie die Verarbeitung ins Verarbeitungsverzeichnis ein.
Davon raten wir ab. Free, Pro, Max und Ultra laufen unter den Verbraucherbedingungen von Anthropic, die eine geschäftliche Nutzung ausschließen. Einen Auftragsverarbeitungsvertrag gibt es dafür nicht. Das gilt auch für Claude Code, wenn sich Entwickler mit einem privaten Pro- oder Max-Konto anmelden.
Bei direkter Nutzung über Anthropic nicht. Anthropic speichert Daten in den USA, die Verarbeitung kann weltweit erfolgen. Eine Verarbeitung innerhalb der EU erreichen Sie über Amazon Bedrock mit EU-Inferenzprofil oder über Google Cloud mit dem Endpunkt „eu“. Für Microsoft 365 Copilot hat Microsoft die EU-Datengrenze bis Ende 2026 angekündigt.
Weitere Fragen zu Claude, AVV und Datentransfer
Nein. In der offiziellen Liste des Data Privacy Framework war Anthropic am 13. November 2026 nicht eingetragen. Übermittlungen in die USA stützt Anthropic auf die EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag. Dokumentieren Sie deshalb ein Transfer Impact Assessment für diesen Datentransfer.
Das hängt vom Anwendungsfall ab, nicht vom Werkzeug. Artikel 35 DSGVO verlangt eine Folgenabschätzung bei voraussichtlich hohem Risiko für Betroffene. Werten Sie mit Claude etwa Bewerbungen, Leistungsdaten oder Gesundheitsdaten aus, liegt sie nahe. Für reine Textarbeit ohne Personenbezug genügt oft eine dokumentierte Schwellwertprüfung. Die Entscheidung trifft Ihr Datenschutzbeauftragter.
Fazit: Claude DSGVO-konform nutzen ist eine Frage der Konfiguration
Claude lässt sich DSGVO-konform nutzen, wenn Sie Plan, Zugangsweg und Einstellungen bewusst wählen. Der AVV ist bei allen Business-Plänen bereits enthalten, und Anthropic trainiert nicht mit Ihren Daten. Die offenen Punkte sind Datenort, Drittlandtransfer und Speicherfristen. Wer EU-Verarbeitung braucht, nutzt deshalb Bedrock oder Google Cloud mit EU-Endpunkt. Für Claude DSGVO-Fragen im Detail stehen wir Ihnen gern zur Verfügung. Bei allen weiteren Fragen hilft Ihnen unsere KI-Beratung.