Claude Cowork DSGVO 2026: So setzt du KI datenschutzkonform ein

Claude ist eines der leistungsfähigsten KI-Modelle auf dem Markt – und mit Cowork hat Anthropic eine Plattform geschaffen, die Unternehmen produktiv macht. Doch genau hier beginnt das Problem: Sobald Kundendaten, Verträge oder interne Dokumente ins Spiel kommen, steht die DSGVO im Raum. Und die meisten Unternehmen in Deutschland setzen KI-Tools ein, ohne die datenschutzrechtlichen Grundlagen geklärt zu haben.

Wir bei Ostend Digital arbeiten täglich mit Claude Cowork – für Content-Erstellung, SEO-Analysen und automatisierte Workflows. Dabei haben wir uns intensiv mit der Frage beschäftigt: Lässt sich Claude DSGVO-konform einsetzen? Genauer: Wie steht es um den Claude Datenschutz im Unternehmensalltag? Dieser Guide fasst zusammen, was wir gelernt haben und was du konkret tun musst.

Ist Claude Cowork DSGVO-konform?

Die kurze Antwort: Es kommt darauf an, wie du es einsetzt. Ob Claude DSGVO-konform ist, lässt sich nicht mit einem einfachen Ja oder Nein beantworten. Es gibt mehrere Ebenen, die du getrennt bewerten musst – und die Anthropic DSGVO-Konformität hängt maßgeblich von deiner Konfiguration ab.

Zunächst die gute Nachricht: Anthropic hat sich deutlich stärker um Privacy by Design bemüht als viele Wettbewerber. In den kostenpflichtigen Plänen (Team, Enterprise) werden Nutzerdaten nicht für das Modelltraining verwendet. Das ist eine Grundvoraussetzung für den Unternehmenseinsatz – und bei weitem nicht selbstverständlich in der KI-Branche.

Die differenzierte Realität sieht so aus:

• ✅ Team- und Enterprise-Plan: Zero Data Retention (ZDR) für Prompts und Outputs. Daten werden nicht für Training genutzt. AVV abschließbar.
• 🚩 Free- und Pro-Plan: Anthropic behält sich vor, Konversationsdaten für Modellverbesserungen zu nutzen – es sei denn, du widersprichst aktiv. Für Unternehmen mit personenbezogenen Daten nicht empfehlenswert.
• ✅ API-Zugang: Standardmäßig keine Datennutzung für Training. Die strengste Option.

Ein weiterer kritischer Punkt: Der Serverstandort. Anthropic sitzt in San Francisco, und die Datenverarbeitung findet primär in den USA statt. Das macht den Drittlandtransfer nach Art. 44-49 DSGVO zu einem zentralen Thema, das wir in einem eigenen Abschnitt behandeln.

Dieser Artikel ersetzt keine Rechtsberatung. Bei konkreten datenschutzrechtlichen Fragen zu deinem Unternehmen solltest du einen spezialisierten Anwalt oder deinen Datenschutzbeauftragten hinzuziehen.

Wie Cowork deine Daten verarbeitet – die Architektur verstehen

Um den Datenschutz bei Claude Cowork richtig einzuordnen, musst du verstehen, wie die Datenflüsse technisch funktionieren. Cowork ist keine rein cloud-basierte Anwendung wie ChatGPT – es hat eine hybride Architektur, die sowohl lokale als auch cloud-basierte Komponenten umfasst.

Lokale Dateien vs. API-Calls

Cowork läuft als Desktop-Applikation auf deinem Rechner. Du kannst Ordner und Dateien aus deinem lokalen Dateisystem einbinden. Das klingt zunächst datenschutzfreundlich – aber hier liegt ein häufiges Missverständnis:

🚩 Häufiger Fehler: Viele Nutzer glauben, dass Cowork lokale Dateien nur lokal verarbeitet. Das stimmt nicht. Sobald du eine Datei in den Kontext einer Konversation einbindest, wird deren Inhalt an die Anthropic-API gesendet, damit Claude ihn analysieren kann.

Der Datenfluss sieht vereinfacht so aus:

1. Du bindest eine lokale Datei (z. B. einen Vertrag) in Cowork ein
2. Cowork liest den Dateiinhalt und sendet ihn als Teil des Prompts an Anthropics Server
3. Claude verarbeitet den Inhalt und sendet die Antwort zurück
4. Je nach Tarif werden die Daten auf Anthropics Servern gespeichert oder nicht

MCP-Verbindungen: Das unterschätzte Risiko

Cowork unterstützt das Model Context Protocol (MCP) – eine Schnittstelle, über die Claude auf externe Datenquellen zugreifen kann: WordPress-Systeme, Datenbanken, CRM-Tools, Google Drive und mehr. Für produktive Workflows ist das enorm mächtig, aber datenschutzrechtlich ein eigenes Thema.

Jede MCP-Verbindung ist ein potenzieller Datenfluss, den du dokumentieren und bewerten musst:

• ✅ MCP zu internem Tool (selbst gehostet): Daten fließen von deinem Server an die Anthropic-API – ein klar definierter Datenfluss
• 🚩 MCP zu Drittanbieter-Cloud (z. B. Google Drive): Hier entsteht eine Dreiecksbeziehung – dein Unternehmen, Anthropic und der Drittanbieter. Jede Verbindung braucht eine eigene datenschutzrechtliche Bewertung
• ✅ MCP zu lokalen Tools (z. B. lokale Datenbank): Daten verlassen deinen Rechner nur über die API-Verbindung zu Anthropic

Session-Daten und Konversationshistorie

In Cowork werden Konversationen als Sessions gespeichert. In den kostenpflichtigen Plänen gilt:

• Konversationshistorie wird lokal in deiner Cowork-Installation gespeichert
• Bei Team-Plänen gibt es eine Admin-Konsole mit Überblick über Team-Aktivitäten
• Ältere Konversationen können manuell gelöscht werden

Die lokale Speicherung ist aus Datenschutzsicht ein Vorteil – aber auch hier musst du organisatorische Maßnahmen treffen, z. B. regelmäßiges Löschen sensibler Konversationen.

Welcher Claude-Plan ist DSGVO-tauglich?

Nicht jeder Claude-Tarif eignet sich für den Unternehmenseinsatz mit personenbezogenen Daten. Die Unterschiede beim Claude Datenschutz sind erheblich – und entscheidend für die Frage, ob dein Einsatz Claude DSGVO-konform ist oder nicht.

Unsere Einschätzung: Für Unternehmen, die personenbezogene Daten mit Claude verarbeiten, ist der Team-Plan das Minimum. Der Enterprise-Plan bietet zusätzliche Sicherheitsfeatures wie SSO, erweiterte Audit-Logs und dedizierte Ansprechpartner – lohnt sich aber erst ab ca. 20 Nutzern.

Wenn du Claude ausschließlich für interne Recherche ohne personenbezogene Daten nutzt (z. B. Marktanalysen, Textentwürfe ohne Kundenbezug), kann auch der Pro-Plan ausreichen – allerdings ohne AVV und ohne volle Datenhoheit. In unserem Claude für Unternehmen Guide findest du einen detaillierten Vergleich aller Pläne.

API-Zugang: Die kontrollierteste Option

Für technisch versierte Teams ist der API-Zugang die datenschutzfreundlichste Variante. Du hast volle Kontrolle über:

• Welche Daten an die API gesendet werden
• Wie lange Antworten gespeichert werden (in deiner eigenen Infrastruktur)
• Welche Sicherheitsmaßnahmen greifen (Verschlüsselung, Zugriffskontrollen)

Mit Claude Code kannst du den API-Zugang direkt in deine Entwicklungsumgebung integrieren – und behältst dabei die volle Kontrolle über die Datenflüsse. In Kombination mit Claude Code Routines lassen sich wiederkehrende Workflows automatisieren, ohne dass Daten unkontrolliert fließen.

AVV mit Anthropic: So schließt du ihn ab

Ein Auftragsverarbeitungsvertrag (AVV) ist nach Art. 28 DSGVO Pflicht, wenn ein externer Dienstleister in deinem Auftrag personenbezogene Daten verarbeitet. Einen Claude AVV brauchst du, sobald du Kundendaten, Mitarbeiterdaten oder andere personenbezogene Informationen über Claude verarbeitest. Ohne gültigen AVV ist die Nutzung bei personenbezogenen Daten schlicht rechtswidrig.

Was muss der AVV enthalten?

Die DSGVO definiert klare Mindestinhalte für einen AVV:

• ✅ Gegenstand und Dauer der Verarbeitung
• ✅ Art und Zweck der Verarbeitung
• ✅ Art der personenbezogenen Daten und Kategorien betroffener Personen
• ✅ Pflichten und Rechte des Verantwortlichen
• ✅ Technische und organisatorische Maßnahmen (TOMs)
• ✅ Regelungen zu Unterauftragsverarbeitern
• ✅ Löschpflichten nach Ende der Verarbeitung

So kommst du an den AVV

Anthropic stellt ein Data Processing Agreement (DPA) bereit – das ist das englischsprachige Äquivalent zum AVV. So gehst du vor:

1. Team-Plan oder höher abschließen – im Free/Pro-Plan bietet Anthropic keinen AVV an
2. DPA auf der Anthropic-Website anfordern – verfügbar unter der Legal-/Compliance-Sektion
3. DPA prüfen lassen – idealerweise von deinem Datenschutzbeauftragten oder einem spezialisierten Anwalt
4. Gegenzeichnen und archivieren – der AVV muss nachweisbar sein

Besonderheiten bei Anthropics DPA

Einige Punkte, die bei Anthropics DPA auffallen:

• Englischsprachig: Das DPA ist auf Englisch. Ein deutsches Pendant gibt es aktuell nicht – das ist rechtlich aber kein Problem, solange die DSGVO-Anforderungen inhaltlich erfüllt sind.
• Standard Contractual Clauses (SCCs): Anthropic integriert die EU-Standardvertragsklauseln als Rechtsgrundlage für den Drittlandtransfer. Das ist der gängige Mechanismus seit dem Schrems-II-Urteil.
• Sub-Processor-Liste: Anthropic veröffentlicht eine Liste der Unterauftragsverarbeiter und informiert bei Änderungen. Du hast ein Widerspruchsrecht.

🚩 Wichtig: Ein AVV allein reicht nicht. Du brauchst zusätzlich eine gültige Rechtsgrundlage für die Datenverarbeitung (z. B. Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse) und musst die Verarbeitung in deinem Verarbeitungsverzeichnis dokumentieren.

Drittlandtransfer und EU-Serverstandorte

Der Drittlandtransfer ist eines der heikelsten Themen beim Einsatz von Claude in der EU. Anthropic verarbeitet Daten primär in den USA – einem Land, das aus DSGVO-Sicht kein angemessenes Datenschutzniveau bietet.

Die rechtliche Situation 2026

Nach dem Schrems-II-Urteil des EuGH (2020) war der Privacy Shield ungültig. Das EU-US Data Privacy Framework (DPF) wurde 2023 als Nachfolger eingeführt und bietet aktuell eine Rechtsgrundlage für Datentransfers an zertifizierte US-Unternehmen.

Absicherungsstrategien für den Drittlandtransfer

Selbst mit dem DPF empfehlen wir eine mehrschichtige Absicherung:

1. DPF-Zertifizierung prüfen: Ist Anthropic aktuell zertifiziert? Status regelmäßig checken.
2. Standard Contractual Clauses (SCCs): Als Fallback, falls das DPF gekippt wird (wie der Privacy Shield). Sind im Anthropic-DPA bereits enthalten.
3. Transfer Impact Assessment (TIA): Dokumentiere die Risikobewertung für den Datentransfer in die USA. Berücksichtige dabei US-Überwachungsgesetze (FISA 702, Executive Order 14086).
4. Datenminimierung: Sende nur die Daten an Claude, die für die jeweilige Aufgabe tatsächlich nötig sind. Pseudonymisiere wo möglich.

Amazon Bedrock Frankfurt: Die EU-Only-Option

Für Unternehmen mit strengen Compliance-Anforderungen gibt es eine Alternative: Claude über Amazon Bedrock in der Region eu-central-1 (Frankfurt). Dabei werden die Daten ausschließlich in der EU verarbeitet.

• ✅ Datenverarbeitung in Frankfurt (AWS eu-central-1)
• ✅ Kein Drittlandtransfer nötig
• ✅ AWS-AVV für die EU verfügbar
• 🚩 Technisch komplexer einzurichten als der direkte Anthropic-Zugang
• 🚩 Erfordert AWS-Know-how und eigene Infrastruktur

Cowork sicher konfigurieren: 7 Maßnahmen für den Unternehmenseinsatz

Du hast den richtigen Plan gewählt und den AVV abgeschlossen. Jetzt geht es darum, Cowork so einzurichten, dass die technischen Maßnahmen deine rechtliche Absicherung auch praktisch unterstützen. Hier sind die sieben wichtigsten Sicherheitsmaßnahmen für Claude Cowork im Unternehmen.

1. MCP-Server whitelisten

Cowork erlaubt den Anschluss beliebiger MCP-Server – von WordPress über Datenbanken bis hin zu Google Drive. Definiere eine Whitelist erlaubter MCP-Verbindungen für dein Team.

• ✅ Nur geprüfte und dokumentierte MCP-Server erlauben
• ❌ Keine spontanen MCP-Verbindungen zu ungeprüften Drittdiensten
• ✅ Jede neue MCP-Verbindung durch den Datenschutzbeauftragten freigeben lassen

2. Ordner-Berechtigungen einschränken

Cowork kann auf beliebige Ordner in deinem Dateisystem zugreifen – wenn du es erlaubst. Schränke den Zugriff gezielt ein.

• ✅ Nur projektspezifische Ordner freigeben
• ❌ Niemals das gesamte Home-Verzeichnis oder Netzlaufwerke einbinden
• ✅ Sensible Verzeichnisse (HR, Finanzen, Kundendaten) grundsätzlich ausschließen

3. Datenklassifizierung einführen

Nicht alle Daten sind gleich sensibel. Führe eine einfache Klassifizierung ein:

• Stufe 1 – Öffentlich: Marketingtexte, Blog-Entwürfe, allgemeine Recherche → ohne Einschränkung mit Claude nutzbar
• Stufe 2 – Intern: Strategiedokumente, Prozessbeschreibungen → mit Claude nutzbar, aber nicht in Free/Pro-Plan
• Stufe 3 – Vertraulich: Kundendaten, Verträge, Personalakten → nur mit AVV, Team/Enterprise-Plan und dokumentiertem Zweck
• Stufe 4 – Streng vertraulich: Gesundheitsdaten, Finanzdaten, besondere Kategorien nach Art. 9 DSGVO → Einzelfallprüfung, ggf. DSFA nötig

4. Konversationen regelmäßig bereinigen

Cowork speichert Konversationshistorien lokal. Richte einen Prozess ein, um alte Konversationen regelmäßig zu löschen – besonders wenn sensible Daten besprochen wurden.

🚩 Häufiger Fehler: Teams vergessen, dass lokale Konversationshistorien bei Gerätewechseln oder -diebstahl ein Risiko darstellen. Festplattenverschlüsselung (FileVault/BitLocker) ist Pflicht.

5. Zugangskontrollen durchsetzen

• ✅ Jeder Nutzer hat ein eigenes Konto (keine geteilten Accounts)
• ✅ Zwei-Faktor-Authentifizierung aktivieren
• ✅ Bei Enterprise: SSO/SAML anbinden, um zentrale Zugriffsverwaltung zu nutzen
• ❌ Keine generischen Team-Logins

6. Logging und Monitoring aktivieren

Im Team- und Enterprise-Plan bietet Anthropic Audit-Logs. Nutze sie:

• ✅ Regelmäßig prüfen, wer welche Daten an Claude sendet
• ✅ Ungewöhnliche Nutzungsmuster identifizieren
• ✅ Logs als Nachweis für Aufsichtsbehörden archivieren

7. Mitarbeiter schulen

Die beste technische Konfiguration hilft nichts, wenn Mitarbeiter unkontrolliert sensible Daten in Prompts eingeben.

• ✅ Klare Schulung: Was darf in Claude eingegeben werden, was nicht?
• ✅ Beispiele für erlaubte und verbotene Prompts
• ✅ Regelmäßige Auffrischung (mindestens jährlich)

Die KI-Kompetenzpflicht nach EU AI Act macht solche Schulungen ab 2025 sogar gesetzlich verpflichtend. In unseren KI Workshops behandeln wir das Thema DSGVO-konformer KI-Einsatz als festen Bestandteil.

KI-Richtlinie erstellen: Vorlage für Claude im Unternehmen

Eine interne KI-Richtlinie (auch: KI-Policy oder AI Usage Policy) ist kein Nice-to-have – sie ist eine praktische Notwendigkeit, sobald mehr als eine Person im Unternehmen mit Claude arbeitet. Sie definiert die Spielregeln und schützt dich im Streitfall gegenüber Aufsichtsbehörden.

Was muss eine KI-Richtlinie abdecken?

Hier die Kernbereiche, die deine Richtlinie mindestens enthalten sollte:

1. Geltungsbereich und Zweck
– Für welche Mitarbeiter/Abteilungen gilt die Richtlinie?
– Welche KI-Tools sind erlaubt? (Claude, ChatGPT, Gemini etc.)
– Welche Tarife sind für den Unternehmenseinsatz freigegeben?

2. Datenklassifizierung und Eingaberegeln
– Welche Daten dürfen in KI-Tools eingegeben werden?
– Welche Daten sind ausdrücklich verboten?
– Wie wird mit personenbezogenen Daten umgegangen?

3. Qualitätssicherung und Verantwortung
– Wer prüft KI-generierte Outputs vor der Verwendung?
– Wer trägt die Verantwortung für fehlerhafte Ergebnisse?
– Wie werden KI-generierte Inhalte gekennzeichnet?

4. Datenschutz und Compliance
– Verweis auf den AVV mit Anthropic
– Verweis auf das Verarbeitungsverzeichnis
– Regelungen zur Löschung und Aufbewahrung

5. Schulungspflichten
– Wie oft werden Mitarbeiter geschult?
– Wer ist für die Schulung verantwortlich?
– Wie wird die Teilnahme dokumentiert?

Für Unternehmen, die gerade erst mit KI starten, ist unser Artikel KI für KMU ein guter Einstiegspunkt – inklusive praktischer Tipps zur Einführung von KI-Tools im Unternehmen.

Datenschutz-Folgenabschätzung: Wann brauchst du eine DSFA?

Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist nicht bei jedem KI-Einsatz nötig – aber in bestimmten Fällen verpflichtend. Die DSFA ist eine systematische Bewertung der Risiken, die eine Datenverarbeitung für die Rechte und Freiheiten der betroffenen Personen mit sich bringt.

Wann ist eine DSFA Pflicht?

Eine DSFA ist erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die betroffenen Personen birgt. Bei Claude/Cowork ist das insbesondere der Fall, wenn:

• ✅ Systematische Profilerstellung: Du nutzt Claude, um Personen zu bewerten, zu kategorisieren oder Entscheidungen über sie zu treffen
• ✅ Verarbeitung besonderer Kategorien: Gesundheitsdaten, biometrische Daten, religiöse Überzeugungen etc. nach Art. 9 DSGVO
• ✅ Automatisierte Entscheidungen: Claude trifft oder unterstützt Entscheidungen, die rechtliche Wirkung auf Personen haben (Art. 22 DSGVO)
• ✅ Umfangreiche Verarbeitung: Du verarbeitest personenbezogene Daten einer großen Zahl von Personen systematisch über Claude

🚩 Wichtig: Die deutschen Aufsichtsbehörden haben sogenannte Blacklists veröffentlicht, die bestimmte Verarbeitungsarten auflisten, für die eine DSFA zwingend erforderlich ist. Der Einsatz von KI-Systemen zur Verarbeitung personenbezogener Daten taucht auf mehreren dieser Listen auf.

Wann ist keine DSFA nötig?

Keine DSFA brauchst du in der Regel, wenn:

• ❌ Du Claude nur für allgemeine Recherche, Texterstellung oder Brainstorming nutzt – ohne personenbezogene Daten
• ❌ Du Claude ausschließlich mit anonymisierten oder pseudonymisierten Daten verwendest
• ❌ Die Verarbeitung kein hohes Risiko für Betroffene birgt

Aufbau einer DSFA für Claude Cowork

Falls du eine DSFA durchführen musst, sollte sie mindestens diese Elemente enthalten:

1. Beschreibung der Verarbeitung: Was wird verarbeitet, warum, wie?
2. Notwendigkeit und Verhältnismäßigkeit: Ist der KI-Einsatz für den Zweck erforderlich? Gibt es mildere Mittel?
3. Risikobewertung: Welche Risiken bestehen für die betroffenen Personen?
4. Abhilfemaßnahmen: Welche technischen und organisatorischen Maßnahmen mindern die Risiken?
5. Stellungnahme des DSB: Dein Datenschutzbeauftragter muss die DSFA prüfen und kommentieren

EU AI Act: Was deutsche Unternehmen beachten müssen

Neben der DSGVO ist der EU AI Act (KI-Verordnung) das zweite große Regulierungswerk, das den Einsatz von Claude betrifft. Seit 2024 in Kraft, werden die Pflichten schrittweise scharf – einige gelten bereits jetzt, andere ab 2026.

Claude im Risikoklassifizierungssystem

Der EU AI Act stuft KI-Systeme in vier Risikokategorien ein:

• Unannehmbares Risiko: Verboten (Social Scoring, manipulative KI etc.) – Claude fällt nicht hierunter
• Hohes Risiko: Strengste Pflichten (Recruiting, Kreditvergabe, Strafverfolgung) – Claude kann hierunter fallen, wenn du es für solche Zwecke einsetzt
• Begrenztes Risiko: Transparenzpflichten (Chatbots, Deepfakes) – die meisten Claude-Einsatzszenarien fallen hierunter
• Minimales Risiko: Keine besonderen Pflichten

Was gilt bereits 2026?

• ✅ KI-Kompetenzpflicht (Art. 4): Alle Mitarbeiter, die mit KI arbeiten, müssen ausreichend geschult sein – hier erklären wir, was das konkret bedeutet
• ✅ Transparenzpflicht: Nutzer müssen informiert werden, wenn sie mit einer KI interagieren
• ✅ Dokumentationspflicht: Der KI-Einsatz muss dokumentiert werden (ähnlich dem DSGVO-Verarbeitungsverzeichnis)

Was kommt bis 2027?

• ✅ Pflichten für Hochrisiko-Systeme: Konformitätsbewertung, Qualitätsmanagementsystem, menschliche Aufsicht
• ✅ Pflichten für Anbieter von General Purpose AI (GPAI): Betrifft Anthropic als Claude-Anbieter – nicht dich als Nutzer direkt, aber indirekt (z. B. Transparenz über Trainingsdaten)

Claude vs. ChatGPT im Datenschutz-Vergleich

Wenn Unternehmen über KI-Datenschutz sprechen, fällt der Vergleich mit ChatGPT (OpenAI) fast automatisch. Beide Tools haben ähnliche Herausforderungen – aber unterschiedliche Ansätze. Hier ein sachlicher Vergleich der KI-Modelle unter Datenschutzgesichtspunkten.

Fazit des Vergleichs: Sowohl Anthropic DSGVO-Maßnahmen als auch OpenAIs Datenschutz-Infrastruktur haben in den letzten zwei Jahren massiv aufgeholt. Auf Enterprise-Level sind die beiden vergleichbar. Die Unterschiede liegen eher im Detail:

• ✅ Claude Vorteil: Anthropics Constitutional AI ist von Grund auf auf Sicherheit und Harmlosigkeit ausgelegt. Zero Data Retention bereits ab dem Team-Plan (bei ChatGPT erst ab Enterprise).
• ✅ ChatGPT Vorteil: Breitere EU-Präsenz durch Microsoft-Partnerschaft (Azure), längere Track Record mit europäischen Enterprise-Kunden.

🚩 Achtung: Beide Tools erfordern denselben Aufwand für DSGVO-Konformität. Ein Wechsel von ChatGPT zu Claude (oder umgekehrt) löst keine datenschutzrechtlichen Probleme – du brauchst in beiden Fällen AVV, Verarbeitungsverzeichnis und interne Richtlinie.

Checkliste: Claude Cowork DSGVO-konform einsetzen

Hier die vollständige Checkliste, die du Punkt für Punkt abarbeiten kannst. Wir empfehlen, diese als lebendes Dokument in deinem Unternehmen zu pflegen.

Vor dem Start

• ✅ Tarif wählen: Team-Plan oder Enterprise – kein Free/Pro für Unternehmensdaten
• ✅ AVV/DPA abschließen mit Anthropic (bei Enterprise) oder prüfen, ob im Team-Plan enthalten
• ✅ DPF-Zertifizierung prüfen: Ist Anthropic aktuell unter dem EU-US Data Privacy Framework zertifiziert?
• ✅ SCCs als Backup: Standard Contractual Clauses im DPA enthalten? Falls DPF wegfällt, brauchst du sie.
• ✅ Rechtsgrundlage festlegen: Auf welcher Basis (Art. 6 DSGVO) verarbeitest du Daten über Claude?
• ✅ Verarbeitungsverzeichnis aktualisieren: Claude als Verarbeitungstätigkeit eintragen

Technische Einrichtung

• ✅ 2FA aktivieren für alle Nutzerkonten
• ✅ MCP-Whitelist definieren: Nur geprüfte Verbindungen erlauben
• ✅ Ordner-Berechtigungen einschränken: Nur projektspezifische Verzeichnisse freigeben
• ✅ Festplattenverschlüsselung sicherstellen (FileVault/BitLocker)
• ✅ Audit-Logs aktivieren und regelmäßig prüfen
• ✅ SSO anbinden (bei Enterprise-Plan)

Organisation und Prozesse

• ✅ KI-Richtlinie erstellen und veröffentlichen
• ✅ Datenklassifizierung einführen: Was darf in Claude eingegeben werden?
• ✅ Mitarbeiterschulung durchführen (Pflicht nach EU AI Act Art. 4)
• ✅ KI-Register anlegen: Alle eingesetzten KI-Tools dokumentieren
• ✅ DSFA prüfen: Brauchst du eine Datenschutz-Folgenabschätzung?
• ✅ Regelmäßige Reviews einplanen: Quartalsmäßig Datenschutz-Compliance prüfen

Laufender Betrieb

• ✅ Konversationen bereinigen: Sensible Sessions regelmäßig löschen
• ✅ Sub-Processor-Liste monitoren: Änderungen bei Anthropics Dienstleistern beachten
• ✅ Schulungen auffrischen: Mindestens jährlich, bei Tool-Updates häufiger
• ✅ Neue MCP-Verbindungen immer erst prüfen, dann freigeben
• ✅ Datenpannen-Prozess definieren: Was passiert bei einem Incident mit Claude-Daten?

Wenn du bei der Umsetzung Unterstützung brauchst, helfen wir dir gerne – als KI Agentur kennen wir die Praxis-Herausforderungen aus eigener Erfahrung.

FAQ

Ist Claude DSGVO-konform?

Claude DSGVO-konform einzusetzen ist möglich, wenn der richtige Tarif (Team oder Enterprise) gewählt wird, ein Claude AVV mit Anthropic abgeschlossen ist und technische sowie organisatorische Maßnahmen umgesetzt werden. Das Tool selbst ist weder „konform” noch „nicht konform” – es kommt auf deine Konfiguration und Prozesse an.

Nutzt Anthropic meine Daten für das Training?

In den kostenpflichtigen Plänen (Team, Enterprise) und bei API-Nutzung: Nein. Anthropic verpflichtet sich vertraglich, Nutzerdaten in diesen Tarifen nicht für Modelltraining zu verwenden. Beim Free-Plan werden Konversationsdaten standardmäßig genutzt – du kannst widersprechen, aber eine Garantie gibt es nur in den bezahlten Plänen.

Brauche ich einen AVV für Claude?

Ja, sobald du personenbezogene Daten über Claude verarbeitest – also z. B. Kundennamen, E-Mail-Adressen, Vertragsinhalte oder Mitarbeiterdaten. Der AVV (bei Anthropic: DPA) ist ab dem Team-Plan verfügbar. Ohne personenbezogene Daten (reine Textgenerierung, allgemeine Recherche) ist formal kein AVV nötig – aber empfehlenswert.

Kann ich Claude auf EU-Servern betreiben?

Ja, über Amazon Bedrock in der Region eu-central-1 (Frankfurt). Dabei werden alle Daten ausschließlich in der EU verarbeitet. Diese Option erfordert technisches Setup und einen AWS-Account, bietet aber die höchste Datenhoheit. Alternativ bieten die Standard-Tarife von Anthropic den Drittlandtransfer über SCCs und DPF ab.

Was passiert bei einem Datenleck bei Anthropic?

Anthropic ist vertraglich (via DPA) verpflichtet, dich über Datenpannen zu informieren. Du hast dann die Pflicht, innerhalb von 72 Stunden die zuständige Aufsichtsbehörde zu informieren (Art. 33 DSGVO) und ggf. die betroffenen Personen zu benachrichtigen (Art. 34 DSGVO). Definiere den Prozess vorab – im Ernstfall zählt jede Stunde.

Ist Cowork datenschutzrechtlich anders zu bewerten als Claude.ai?

Ja, teilweise. Cowork greift auf lokale Dateien und MCP-Verbindungen zu – das erweitert den Datenfluss im Vergleich zur reinen Web-Oberfläche von claude.ai. Die Daten fließen am Ende über dieselbe API, aber die Einstiegspunkte (lokale Dateien, MCP-Server) schaffen zusätzliche Verarbeitungssituationen, die du im Verarbeitungsverzeichnis dokumentieren musst. Wie du einen KI Agent erstellen und dabei den Datenschutz im Blick behältst, erfährst du in unserem separaten Guide.