Claude Datenschutz 2026: Ist Anthropic Claude im Unternehmen DSGVO-konform?

Claude Datenschutz 2026 ist für Unternehmen besonders relevant, wenn Anthropic Claude für Texte, Dokumente, Programmierung, Kundenkommunikation oder interne Analysen eingesetzt wird. Claude kann grundsätzlich datenschutzkonform genutzt werden – automatisch DSGVO-konform ist die Nutzung jedoch nicht.

Entscheidend sind die verwendete Claude-Version, der Vertrag, die Datenschutzeinstellungen, die eingegebenen Informationen, der Speicherort und der konkrete Einsatzzweck. Besonders wichtig ist die Trennung zwischen privaten Claude-Konten und kommerziellen Angeboten wie Claude Team, Enterprise und der Anthropic API.

Stand dieses Ratgebers: 1. September 2026. Berücksichtigt sind die aktuellen Datenschutzangaben von Anthropic sowie der seit dem 27. Juli 2026 geltende AI-Omnibus-Zeitplan.

Ist Anthropic Claude DSGVO-konform?

Claude ist nicht pauschal DSGVO-konform oder DSGVO-widrig. Die korrekte Bewertung hängt davon ab, welche Produktversion ein Unternehmen nutzt, welche Daten verarbeitet werden und welche technischen und organisatorischen Maßnahmen eingerichtet sind.

Anthropic stellt für kommerzielle Angebote mehrere wichtige Grundlagen bereit. Dazu gehören ein Data Processing Addendum, Standardvertragsklauseln für internationale Datenübermittlungen, administrative Kontrollmöglichkeiten und die Zusage, Eingaben und Ausgaben aus kommerziellen Produkten standardmäßig nicht zum Training der generativen Modelle zu verwenden.

Diese Grundlagen sind wichtig, ersetzen aber nicht die eigene Datenschutzprüfung. Anthropic kann nicht entscheiden, ob dein Unternehmen Kundendaten, Bewerbungen, Personalinformationen, Verträge oder Gesundheitsdaten für einen bestimmten Zweck in Claude verarbeiten darf.

Claude Datenschutz: Claude ist nicht gleich Claude

Unter der Bezeichnung Claude werden unterschiedliche Produkte angeboten. Für den Datenschutz macht es einen erheblichen Unterschied, ob ein Mitarbeiter ein privates Konto verwendet, über ein verwaltetes Unternehmenskonto arbeitet oder Claude über eine API beziehungsweise einen Cloudanbieter eingebunden wird.

Unternehmen sollten deshalb nicht nur dokumentieren: „Wir nutzen Claude.“ Erfasst werden sollten Produkt, Tarif, Kontoart, Zugang, Einsatzzweck, Datenarten, Integrationen und verantwortliche Personen.

Welche Daten kann Anthropic Claude verarbeiten?

Claude verarbeitet nicht nur den Text, den ein Nutzer sichtbar in das Eingabefeld schreibt. Abhängig von Produkt, Einstellungen und verbundenen Diensten können weitere Informationen hinzukommen.

• Prompts und Anweisungen,
• von Claude erzeugte Antworten,
• hochgeladene Dokumente, Bilder und weitere Dateien,
• Inhalte aus Projekten und Wissenssammlungen,
• Quellcode und Informationen aus Software-Repositories,
• Daten aus verbundenen Diensten und Konnektoren,
• Informationen von MCP-Servern und anderen Werkzeugen,
• Feedback, Fehlerberichte und freiwillig übermittelte Sitzungsprotokolle,
• Konto-, Nutzungs-, Geräte- und Abrechnungsinformationen,
• Protokolle über Aktionen, Zugriffe und Administrationsvorgänge.

Besonders kritisch wird die Verarbeitung, wenn Claude unterschiedliche Informationsquellen kombiniert. Ein einzelnes Dokument kann zunächst harmlos wirken. Zusammen mit Kundendaten, E-Mails, Kalenderinformationen oder Repository-Inhalten kann daraus jedoch ein umfangreiches Personen- oder Unternehmensprofil entstehen.

Welche Daten sollten nicht ungeprüft in Claude eingegeben werden?

• Gesundheitsdaten und andere besondere Kategorien personenbezogener Daten,
• Bewerbungsunterlagen und Beschäftigtendaten,
• Kundenlisten, Beschwerden und Vertragsunterlagen,
• Bank-, Zahlungs- und Kreditinformationen,
• Passwörter, private Schlüssel, API-Schlüssel und Zugangstokens,
• interner oder nicht veröffentlichter Quellcode,
• Geschäftsgeheimnisse und vertrauliche Strategien,
• nicht veröffentlichte Geschäftszahlen,
• Rechts-, Steuer- oder Versicherungsunterlagen,
• urheberrechtlich geschützte Inhalte ohne ausreichende Nutzungsrechte.

Verwendet Anthropic Claude Prompts zum Training?

Die Antwort hängt von der Kontoart und den Einstellungen ab.

Claude Team, Enterprise und API

Anthropic erklärt für seine kommerziellen Produkte, dass Ein- und Ausgaben standardmäßig nicht zum Training der generativen Modelle verwendet werden. Ausnahmen können entstehen, wenn das Unternehmen Daten ausdrücklich für Modellverbesserungen freigibt oder Feedback und Fehlerberichte übermittelt.

Beim Absenden einer Bewertung über die Daumen-Funktion kann nach den aktuellen Anthropic-Angaben die zugehörige vollständige Unterhaltung gespeichert und zur Produktverbesserung beziehungsweise zum Modelltraining verwendet werden. Für Feedback nennt Anthropic eine mögliche Aufbewahrung von bis zu fünf Jahren.

Administratoren eines Team- oder Enterprise-Kontos können die Möglichkeit zur Abgabe solcher Bewertungen über die Organisationseinstellungen einschränken.

Claude Free, Pro und Max

Bei Verbraucherprodukten kann Anthropic Chats und Claude-Code-Sitzungen zum Verbessern zukünftiger Modelle verwenden, wenn der Nutzer dies in den Datenschutzeinstellungen erlaubt. Zusätzlich können für eine Sicherheitsprüfung markierte Unterhaltungen analysiert werden.

Die Einstellung befindet sich im Claude-Konto unter den Datenschutzoptionen. Wird die Modellverbesserung deaktiviert, sollen neue Unterhaltungen nicht mehr für zukünftige Trainingsläufe verwendet werden. Daten, die bereits in ein laufendes Training oder ein fertiges Modell eingeflossen sind, können dadurch jedoch nicht rückwirkend entfernt werden.

Inkognito-Chats werden nach den aktuellen Anthropic-Angaben nicht für die Modellverbesserung verwendet, auch wenn die allgemeine Trainingsfreigabe aktiviert ist. Das macht Inkognito-Chats aber nicht automatisch zu einer ausreichenden Unternehmenslösung.

Wie lange speichert Anthropic Claude-Daten?

Auch die Speicherfrist hängt von Produkt, Funktion und Einstellungen ab.

Zero Data Retention ist kein Standard

Für bestimmte API- und Claude-Code-Enterprise-Kunden kann Anthropic nach individueller Prüfung eine Vereinbarung zur Zero Data Retention bereitstellen. Dabei sollen Ein- und Ausgaben grundsätzlich nicht serverseitig gespeichert werden, soweit keine gesetzlichen oder sicherheitsbezogenen Ausnahmen greifen.

Zero Data Retention ist jedoch nicht automatisch im normalen Enterprise-Angebot enthalten. Sie wird nach den Anthropic-Angaben organisationsbezogen geprüft und aktiviert. Außerdem können Sicherheitsklassifizierungen weiterhin gespeichert werden.

Unternehmen sollten deshalb nicht allein aufgrund der Bezeichnung „Enterprise“ davon ausgehen, dass keine Daten auf Anthropic-Systemen verbleiben.

Wo werden Claude-Daten gespeichert?

Der Datenstandort ist für europäische Unternehmen ein besonders wichtiger Punkt. Anthropic erklärt aktuell, dass Kundendaten standardmäßig in den USA gespeichert werden.

Der Datenverkehr kann nach den offiziellen Angaben ohne abweichende Vereinbarung oder Anweisung über ausgewählte Länder in den USA, Europa, Asien und Australien geleitet werden. Für bestimmte Produkte stehen Optionen zur Steuerung des Routings zur Verfügung. Eine europäische Verkehrsroute bedeutet jedoch nicht automatisch, dass auch die dauerhafte Speicherung ausschließlich in der EU erfolgt.

Für deutsche und europäische Unternehmen ergibt sich daraus ein Drittlandtransfer, der datenschutzrechtlich geprüft und dokumentiert werden sollte. Dabei sind insbesondere folgende Punkte relevant:

• die anwendbaren vertraglichen Garantien,
• die Standardvertragsklauseln,
• die tatsächlich beteiligten Unterauftragnehmer,
• die Datenarten und Schutzbedürftigkeit,
• mögliche Zugriffe aus Drittländern,
• Verschlüsselung und Zugriffskontrollen,
• zusätzliche technische und organisatorische Maßnahmen,
• die Notwendigkeit einer Transfer-Folgenabschätzung.

Wer Claude über Amazon Bedrock, Google Cloud, Microsoft Foundry oder einen anderen Anbieter nutzt, muss die Datenstandorte und Bedingungen der jeweiligen Plattform prüfen. In diesem Fall wird die Verarbeitung nicht allein durch die Anthropic-Bedingungen geregelt.

Auftragsverarbeitung, DPA und Standardvertragsklauseln

Anthropic stellt für seine kommerziellen Produkte ein Data Processing Addendum bereit. Nach den aktuellen Angaben ist dieses DPA einschließlich Standardvertragsklauseln automatisch in die kommerziellen Nutzungsbedingungen einbezogen.

Für Claude for Work beschreibt Anthropic die Rollenverteilung grundsätzlich so:

• Das Kundenunternehmen kontrolliert die von seinen Nutzern übermittelten Daten.
• Das Unternehmen entscheidet, wer Mitglied der Organisation wird.
• Das Unternehmen legt die erlaubten Einsatzzwecke fest.
• Anthropic verarbeitet die übermittelten Daten im Auftrag des Kunden, um den Dienst bereitzustellen.
• Kommerzielle Eingaben und Ausgaben werden standardmäßig nicht für das Training der generativen Modelle verwendet.

Diese Rollenbeschreibung ist eine wichtige Grundlage, aber kein Ersatz für die eigene Prüfung nach Artikel 28 DSGVO. Unternehmen sollten kontrollieren, ob das DPA tatsächlich für das eingesetzte Produkt gilt, welche Unterauftragnehmer beteiligt sind und ob die technischen und organisatorischen Maßnahmen zum konkreten Risiko passen.

Bei der Nutzung über einen Drittanbieter gelten dessen Bedingungen. Das Anthropic-DPA kann dann nicht einfach als alleinige Vertragsgrundlage behandelt werden.

Claude Code Datenschutz: Warum Quellcode besonders geschützt werden muss

Claude Code kann Dateien lesen, Quellcode analysieren, Änderungen vorschlagen, Befehle ausführen und mit weiteren Werkzeugen zusammenarbeiten. Dadurch entstehen andere Risiken als bei einem gewöhnlichen Textchat.

Welche Informationen können Claude Code erreichen?

• Quellcode und Konfigurationsdateien,
• Kommentare und interne Projektdokumentationen,
• Dateipfade und Repository-Strukturen,
• Fehlermeldungen und Protokolle,
• lokale Dateien, auf die der Prozess zugreifen darf,
• Umgebungsvariablen und Zugangsdaten bei schlechter Konfiguration,
• Informationen aus angebundenen MCP-Servern und Werkzeugen,
• Inhalte aus Remote-Repositories und Cloud-Sitzungen.

Claude Code läuft bei lokaler Nutzung auf dem Computer des Anwenders, sendet für die Modellverarbeitung jedoch Daten über das Netzwerk an den ausgewählten Modellanbieter. „Lokal installiert“ bedeutet deshalb nicht „vollständig lokal verarbeitet“.

Lokale Transkripte im Klartext

Nach der aktuellen Claude-Code-Dokumentation werden Sitzungsprotokolle standardmäßig lokal im Benutzerverzeichnis gespeichert. Anthropic beschreibt diese lokalen Transkripte als Klartextdateien und nennt eine voreingestellte Aufbewahrung von 30 Tagen. Die Frist kann über die Konfiguration angepasst werden.

Dadurch wird auch der lokale Rechner zum Datenschutz- und Sicherheitsfaktor. Festplattenverschlüsselung, Benutzerrechte, Geräteschutz, Backups und die Löschung alter Sitzungsdaten sollten Teil des Konzepts sein.

Feedback kann Quellcode enthalten

Wer in Claude Code Befehle wie Feedback-, Fehler- oder Freigabefunktionen verwendet, kann Sitzungsverläufe und darin enthaltenen Quellcode an Anthropic übertragen. Solche Übermittlungen sollten nicht spontan aus einem Projekt mit vertraulichem Code erfolgen.

Zugangsdaten gehören nicht in Prompts

API-Schlüssel, Passwörter, private Schlüssel und produktive Zugangstokens sollten technisch von Claude Code getrennt werden. Geheimnisse gehören in dafür vorgesehene Secret-Management-Systeme und sollten nicht in Dateien liegen, die der KI ohne Einschränkung zugänglich sind.

Wenn Claude Code eigenständig Werkzeuge aufrufen oder Änderungen ausführen darf, gelten zusätzlich die Grundsätze für KI-Agenten im Unternehmen: minimale Rechte, Freigabestufen, Protokollierung, Tests und ein funktionierender Stoppschalter.

Welche DSGVO-Pflichten haben Unternehmen bei Claude?

1. Claude-Nutzung vollständig erfassen

Dokumentiere Claude Free, Pro, Max, Team, Enterprise, API, Claude Code, Cloudanbieter, Browser-Erweiterungen, Konnektoren und MCP-Verbindungen. Auch privat eröffnete Konten von Mitarbeitern gehören in die Bestandsaufnahme.

2. Einsatzzwecke festlegen

Lege fest, wofür Claude verwendet werden darf. Ein allgemeiner Textentwurf ist anders zu bewerten als die Analyse von Bewerbungen, Patienteninformationen, Kundenbeschwerden oder Mitarbeiterleistungen.

3. Rechtsgrundlage bestimmen

Sobald personenbezogene Daten verarbeitet werden, braucht das Unternehmen eine tragfähige Rechtsgrundlage. Bei Gesundheitsdaten und anderen besonderen Kategorien gelten zusätzlich die strengeren Anforderungen aus Artikel 9 DSGVO.

4. Daten minimieren

Claude sollte nur die Informationen erhalten, die für die Aufgabe erforderlich sind. Namen, Kontaktdaten, Kundennummern und andere Identifikatoren können häufig entfernt, ersetzt oder pseudonymisiert werden.

5. Auftragsverarbeitung prüfen

Kontrolliere, ob das Anthropic-DPA oder die Vereinbarung des jeweiligen Cloudanbieters für die konkrete Nutzung greift. Produkt, Konto und Vertrag müssen zusammenpassen.

6. Drittlandtransfer dokumentieren

Da Anthropic die Speicherung standardmäßig in den USA beschreibt, sollten Standardvertragsklauseln, Datenarten, Unterauftragnehmer und zusätzliche Schutzmaßnahmen nachvollziehbar bewertet werden.

7. Speicher- und Löschkonzept festlegen

Definiere, wie lange Chats, Projekte, Dateien, API-Daten, Claude-Code-Transkripte und Protokolle benötigt werden. Eine sichtbare Löschfunktion ersetzt nicht die Dokumentation der Backend-Fristen und Ausnahmen.

8. Datenschutz-Folgenabschätzung prüfen

Eine Datenschutz-Folgenabschätzung kann erforderlich werden, wenn die Verarbeitung voraussichtlich ein hohes Risiko für betroffene Personen erzeugt. Das betrifft insbesondere sensible Daten, Profilbildung, Überwachung und KI-gestützte Entscheidungen über Menschen.

9. Betroffenenrechte vorbereiten

Das Unternehmen muss Auskunfts-, Berichtigungs-, Löschungs- und Widerspruchsanfragen auch dann bearbeiten können, wenn Claude an der Verarbeitung beteiligt war. Dafür muss nachvollziehbar sein, wo Daten gespeichert und in welche Systeme sie übernommen wurden.

10. Technische Schutzmaßnahmen umsetzen

Nutze Mehrfaktor-Authentifizierung, Rollen- und Rechtekonzepte, sichere Geräte, verschlüsselte Datenträger, geregelte Schnittstellen und getrennte Testumgebungen. Claude Code sollte nicht mit mehr Datei- und Systemrechten ausgestattet werden als unbedingt notwendig.

11. Interne KI-Richtlinie einführen

Eine interne KI-Richtlinie sollte erlaubte Claude-Konten, verbotene Daten, Freigaben, Qualitätskontrollen, Feedbackfunktionen, Claude-Code-Regeln und das Vorgehen bei Vorfällen festlegen.

12. Mitarbeitende schulen

Mitarbeitende müssen verstehen, warum ein privates Claude-Pro-Konto nicht mit einem verwalteten Unternehmenszugang gleichzusetzen ist. Sie sollten außerdem Halluzinationen, Datenschutzrisiken, vertrauliche Informationen und erforderliche Freigaben erkennen können.

Claude Datenschutz und der EU AI Act

Die DSGVO und der EU AI Act betrachten unterschiedliche Bereiche. Die DSGVO schützt personenbezogene Daten. Der AI Act regelt unter anderem Rollen, Risiken, Transparenz, verbotene Anwendungen und den verantwortungsvollen Einsatz von KI-Systemen.

Claude ist nicht automatisch Hochrisiko-KI

Claude wird nicht allein aufgrund seiner technischen Leistungsfähigkeit zur Hochrisiko-KI. Entscheidend ist, wofür das System eingesetzt wird.

Ein Textentwurf oder eine Zusammenfassung allgemeiner Informationen ist anders einzuordnen als ein System, das Bewerber bewertet, Beschäftigte überwacht, Kreditentscheidungen vorbereitet oder medizinische Entscheidungen beeinflusst.

Für bestimmte Hochrisiko-Einsatzbereiche nach Anhang III gilt nach dem aktuellen AI-Omnibus-Zeitplan der 2. Dezember 2027. Für Hochrisiko-KI in bestimmten regulierten Produkten gilt grundsätzlich der 2. August 2028. Die genaue Einordnung erklärt der Ratgeber zu den AI-Act-Risikoklassen und Hochrisiko-KI.

KI-Kompetenz gilt bereits

Artikel 4 des AI Act gilt seit dem 2. Februar 2025. Unternehmen müssen geeignete Maßnahmen zur Förderung der KI-Kompetenz der Personen treffen, die in ihrem Auftrag KI-Systeme einsetzen.

Claude-Nutzer sollten mindestens wissen:

• welches Claude-Konto für die Arbeit freigegeben ist,
• welche Daten nicht eingegeben werden dürfen,
• wie Modelltraining und Feedbackeinstellungen funktionieren,
• wie Halluzinationen und falsche Quellen erkannt werden,
• wann Ergebnisse menschlich geprüft werden müssen,
• welche zusätzlichen Risiken Claude Code erzeugt,
• wie Datenschutz- und Sicherheitsvorfälle gemeldet werden.

Weitere Informationen findest du im Ratgeber zur KI-Kompetenz nach Artikel 4.

Müssen mit Claude erstellte Inhalte gekennzeichnet werden?

Nicht jeder mit Claude erstellte oder überarbeitete Text benötigt automatisch einen sichtbaren KI-Hinweis. Die Transparenzpflichten aus Artikel 50 betreffen bestimmte Systeme und Inhalte.

Besonders relevant sind:

• öffentliche Chatbots, bei denen Menschen erkennen müssen, dass sie mit KI kommunizieren,
• Deepfakes und realistisch manipulierte Medien,
• bestimmte KI-generierte oder manipulierte Texte über Angelegenheiten von öffentlichem Interesse,
• technische, maschinenlesbare Markierungen durch Anbieter generativer KI-Systeme.

Ein intern verwendeter und menschlich geprüfter Textentwurf benötigt nicht allein wegen der Claude-Nutzung automatisch eine öffentliche Kennzeichnung. Nutze bei Unsicherheit den kostenlosen KI-Kennzeichnung-Check oder lies den Ratgeber zur KI-Kennzeichnungspflicht nach Artikel 50.

Claude im Unternehmen: typische Einsätze nach Risiko

Claude-Datenschutz-Checkliste für Unternehmen

1. Claude-Produkte erfassen: Free, Pro, Max, Team, Enterprise, API, Claude Code und Drittanbieter dokumentieren.
2. Private Konten erkennen: Prüfen, ob Mitarbeitende eigene Claude-Konten geschäftlich verwenden.
3. Unternehmenszugang auswählen: Für geregelte Nutzung ein geeignetes kommerzielles Angebot prüfen.
4. Einsatzzwecke festlegen: Erlaubte, eingeschränkte und verbotene Anwendungen definieren.
5. Datenarten erfassen: Kunden-, Mitarbeiter-, Bewerber-, Gesundheits- und vertrauliche Daten identifizieren.
6. Rechtsgrundlagen dokumentieren: Personenbezogene Verarbeitungen nachvollziehbar begründen.
7. DPA kontrollieren: Prüfen, welcher Vertrag für das tatsächlich eingesetzte Produkt gilt.
8. Drittlandtransfer prüfen: US-Speicherung, SCC, Unterauftragnehmer und zusätzliche Maßnahmen bewerten.
9. Trainingseinstellungen prüfen: Verbraucher- und Unternehmenskonten klar unterscheiden.
10. Feedback begrenzen: Verhindern, dass sensible Chats oder Quellcode unbedacht übermittelt werden.
11. Speicherfristen festlegen: Chats, Projekte, Dateien, API-Daten und lokale Transkripte einbeziehen.
12. Claude Code absichern: Repository-Rechte, Secrets, Befehlsausführung und lokale Dateien kontrollieren.
13. Konnektoren prüfen: Datenquellen, MCP-Server, Werkzeuge und externe Dienste dokumentieren.
14. DSFA prüfen: Bei voraussichtlich hohem Risiko eine Datenschutz-Folgenabschätzung durchführen.
15. KI-Richtlinie einführen: Konten, Datenverbote, Prüfungen, Freigaben und Vorfälle regeln.
16. Mitarbeitende schulen: Datenschutz, Halluzinationen, Quellenprüfung und AI-Act-Pflichten erklären.
17. Menschliche Kontrolle festlegen: Verantwortliche Personen und Freigabegrenzen benennen.
18. Regelmäßig aktualisieren: Neue Claude-Funktionen, Modelle und Vertragsbedingungen erneut prüfen.

Für eine vollständige Bestandsaufnahme eignet sich zusätzlich die AI Act Checkliste 2026.

Wenn dein Unternehmen weitere KI-Assistenten einsetzt, findest du hier die passenden Ratgeber:

• ChatGPT und DSGVO 2026
• Microsoft Copilot Datenschutz 2026
• Google Gemini Datenschutz 2026

Die häufigsten Fehler beim Claude Datenschutz

• Pro wird mit Business verwechselt: Ein Mitarbeiter nutzt Claude Pro und geht davon aus, damit automatisch einen geschützten Unternehmenszugang zu besitzen.
• Private Konten bleiben unkontrolliert: Kunden- und Unternehmensdaten werden über persönliche Claude-Konten verarbeitet.
• Kein Training wird mit keiner Speicherung verwechselt: Niemand prüft Chatverlauf, Backend-Fristen und Sicherheitsausnahmen.
• US-Speicherung wird übersehen: Der Drittlandtransfer taucht in keiner Datenschutzdokumentation auf.
• Feedback wird unbedacht gesendet: Eine vertrauliche Unterhaltung oder eine Claude-Code-Sitzung wird als Fehlerbericht übermittelt.
• Enterprise wird mit Zero Data Retention gleichgesetzt: Eine besondere ZDR-Vereinbarung wurde nie abgeschlossen.
• Claude Code erhält zu viele Rechte: Die KI kann auf vollständige Repositories, lokale Dateien und produktive Systeme zugreifen.
• Zugangsdaten liegen im Projekt: API-Schlüssel oder Passwörter werden von Claude Code mitgelesen.
• Lokale Transkripte werden vergessen: Sitzungsdaten bleiben ungeschützt auf Notebooks oder in Backups erhalten.
• Konnektoren werden nicht erfasst: Daten fließen über MCP-Server und Drittanbieter, ohne dass sie dokumentiert wurden.
• Keine menschliche Prüfung: Claude-Ausgaben werden ungeprüft an Kunden, Bewerber oder Geschäftspartner weitergegeben.
• Keine erneute Kontrolle: Neue Funktionen verändern Datenzugriffe und Speicherwege, ohne dass die ursprüngliche Prüfung aktualisiert wird.

FAQ zum Claude Datenschutz 2026

Ist Anthropic Claude DSGVO-konform?

Claude kann DSGVO-konform eingesetzt werden. Entscheidend sind Produktversion, Vertrag, Rechtsgrundlage, Datenarten, Speicherort, Einstellungen, Zugriffskontrollen und der konkrete Einsatzzweck.

Darf ich Claude im Unternehmen nutzen?

Ja, wenn das Unternehmen den Dienst geprüft, freigegeben und klare Regeln festgelegt hat. Für geschäftliche Daten sollte ein geeigneter kommerzieller Zugang verwendet werden.

Ist Claude Pro für Unternehmen geeignet?

Claude Pro ist nach der Anthropic-Einordnung ein Verbraucherprodukt. Für einzelne allgemeine Aufgaben kann es technisch nutzbar sein. Für eine zentral verwaltete Verarbeitung von Unternehmens- oder Kundendaten sollten Team, Enterprise oder eine geeignete API-Lösung geprüft werden.

Verwendet Anthropic Unternehmensdaten zum Training?

Anthropic erklärt, Eingaben und Ausgaben kommerzieller Produkte standardmäßig nicht zum Training seiner generativen Modelle zu verwenden. Eine Nutzung kann entstehen, wenn Daten ausdrücklich freigegeben oder als Feedback übermittelt werden.

Wo werden Claude-Daten gespeichert?

Anthropic gibt für kommerzielle Produkte aktuell an, dass Daten in den USA gespeichert werden. Der Datenverkehr kann ohne abweichende Vereinbarung über verschiedene Regionen geleitet werden.

Gibt es bei Anthropic einen Auftragsverarbeitungsvertrag?

Anthropic stellt für kommerzielle Angebote ein Data Processing Addendum bereit. Dieses ist nach den Anthropic-Angaben einschließlich Standardvertragsklauseln in die kommerziellen Bedingungen einbezogen.

Wie lange speichert die Claude API Prompts?

Anthropic nennt für die API standardmäßig eine Löschung von Ein- und Ausgaben innerhalb von 30 Tagen. Davon können bestimmte Funktionen, Sicherheitsfälle, gesetzliche Anforderungen oder besondere Vereinbarungen abweichen.

Bedeutet Claude Enterprise automatisch Zero Data Retention?

Nein. Zero Data Retention ist nicht automatisch Bestandteil des regulären Enterprise-Angebots. Sie muss für geeignete Produkte und Organisationen individuell vereinbart und aktiviert werden.

Speichert Claude Code Quellcode?

Bei der Nutzung werden für die Modellverarbeitung relevante Inhalte an den gewählten Anbieter übertragen. Claude Code speichert außerdem standardmäßig lokale Sitzungstranskripte. Art und Dauer der serverseitigen Speicherung richten sich nach Konto, Anbieter und Vertrag.

Darf ich Kundendaten in Claude eingeben?

Nicht pauschal. Vorher müssen insbesondere Rechtsgrundlage, Auftragsverarbeitung, Drittlandtransfer, Datenminimierung, Vertraulichkeit, Speicherfristen und der konkrete Claude-Zugang geprüft werden.

Braucht man für Claude eine Datenschutz-Folgenabschätzung?

Nicht automatisch. Eine DSFA kann erforderlich werden, wenn die geplante Verarbeitung voraussichtlich ein hohes Risiko erzeugt, etwa bei sensiblen Daten, Profilbildung, Überwachung oder KI-gestützten Entscheidungen über Menschen.

Ist Claude Hochrisiko-KI nach dem EU AI Act?

Nicht pauschal. Entscheidend ist der Einsatz. Allgemeine Textentwürfe sind anders zu bewerten als Bewerberauswahl, Personalbewertung, Kreditentscheidungen oder medizinische Anwendungen.

Müssen Claude-Texte als KI-generiert gekennzeichnet werden?

Nicht jeder Claude-Text benötigt automatisch einen sichtbaren KI-Hinweis. Besondere Pflichten können bei öffentlichen KI-Chatbots, Deepfakes und bestimmten Inhalten über Angelegenheiten von öffentlichem Interesse entstehen.

Fazit: Claude sicher im Unternehmen einsetzen

Claude Datenschutz 2026 bedeutet nicht, dass Unternehmen auf Anthropic Claude verzichten müssen. Die Nutzung sollte aber kontrolliert erfolgen und klar zwischen privaten Verbraucherprodukten und kommerziellen Unternehmensangeboten unterscheiden.

Die wichtigsten Punkte sind ein geeigneter Unternehmenszugang, eine dokumentierte Rechtsgrundlage, die Prüfung des US-Datentransfers, klare Speicher- und Löschregeln sowie ein sicherer Umgang mit Feedback, Konnektoren und Claude Code.

Unternehmen sollten besonders darauf achten, dass „kein Modelltraining“ nicht mit „keine Speicherung“ verwechselt wird. Auch ein Enterprise-Tarif bedeutet nicht automatisch Zero Data Retention oder eine ausschließliche Datenhaltung in Europa.

Mit einem passenden Vertrag, Datenminimierung, begrenzten Zugriffsrechten, einer internen KI-Richtlinie, geschulten Mitarbeitern und wirksamer menschlicher Kontrolle lässt sich Claude sinnvoll einsetzen, ohne Kunden- und Unternehmensdaten unnötig zu gefährden.

Hinweis: Dieser Beitrag bietet allgemeine Informationen und praktische Orientierung. Er ersetzt keine Rechtsberatung, Datenschutzberatung oder verbindliche Prüfung des konkreten Einzelfalls.