Claude und DSGVO: Claude im Unternehmen datenschutzkonform einsetzen

Ist Claude DSGVO-konform?

Kein KI-Werkzeug ist aus sich heraus DSGVO-konform. Konform ist oder ist nicht der konkrete Einsatz: welche Variante, welche Verträge, welche Daten, welcher Zweck. Die DSGVO gilt für ein Unternehmen in Österreich, weil es hier niedergelassen ist (Art. 3 Abs. 1 DSGVO), unabhängig davon, dass Anthropic als Anbieter von Claude in den USA sitzt.

Verarbeitet ein Betrieb mit Claude personenbezogene Daten, ist er dafür Verantwortlicher. In den Geschäftsvarianten handelt Anthropic als Auftragsverarbeiter. Daraus folgen drei Aufgaben, um die es in diesem Ratgeber geht: ein Vertrag zur Auftragsverarbeitung, eine rechtliche Grundlage für die Übermittlung in die USA und die eigenen Dokumentations- und Informationspflichten.

Welche Claude-Variante erfüllt welche Voraussetzung?

Anthropic trennt Verbraucher- von Geschäftsbedingungen. Diese Trennlinie entscheidet über alles Weitere.

Seit der Änderung der Verbraucherbedingungen vom 28. August 2025 entscheiden Nutzerinnen und Nutzer der Privatabos selbst, ob ihre Chats und Coding-Sessions für das Training verwendet werden dürfen. Mit Zustimmung speichert Anthropic die Daten bis zu fünf Jahre, ohne Zustimmung 30 Tage. Die Einstellung lässt sich in den Privatsphäre-Einstellungen jederzeit ändern. Für die Geschäftsvarianten, die Programmierschnittstelle und die Nutzung über Cloud-Plattformen gilt diese Regelung nach Anbieterangaben nicht, dort ist Training mit Kundeninhalten ausgeschlossen.

Wichtig für kleine Betriebe: Ein Pro-Abo bleibt ein Verbraucherkonto, auch wenn das Unternehmen es bezahlt. Welche Variante zum eigenen Einsatz passt und worin sich Claude vom wichtigsten Mitbewerber unterscheidet, vergleicht der Ratgeber Claude oder ChatGPT.

Wie kommt der Vertrag zur Auftragsverarbeitung zustande?

Ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO regelt, dass der Anbieter personenbezogene Daten nur nach Weisung des Unternehmens verarbeitet, sie schützt und nicht für eigene Zwecke nutzt. Bei Claude muss dafür nichts gesondert unterschrieben werden: Die Datenschutzvereinbarung von Anthropic ist samt Standardvertragsklauseln in die Geschäftsbedingungen eingebunden und gilt mit deren Annahme.

Für die Privatabos gibt es keine solche Vereinbarung. Wer Claude über Amazon Bedrock oder Google Cloud nutzt, schließt die Vereinbarung mit der jeweiligen Cloud-Plattform, deren Bedingungen dann gelten.

Was bedeutet die Übermittlung in die USA?

Weil Anthropic in den USA sitzt und die Verarbeitung dort stattfindet, liegt ein Drittlandtransfer vor. Er braucht eine eigene Grundlage nach Kapitel V der DSGVO (Art. 44 ff.). Anthropic stützt ihn laut Datenschutzvereinbarung auf die Standardvertragsklauseln der EU-Kommission nach Art. 46 DSGVO.

Einen EU-Datenstandort bietet Anthropic direkt derzeit nicht an. Wer die Verarbeitung in Europa halten will, nutzt Claude über eine Cloud-Plattform mit europäischer Region, etwa Amazon Bedrock bei AWS oder Vertex AI bei Google Cloud. Die Plattform verarbeitet die Anfragen dann je nach Konfiguration in der gewählten Region, Vertragspartner für den Datenschutz ist die Plattform.

Welche Daten dürfen in Claude eingegeben werden?

Auch mit Geschäftsvariante und Vertrag gilt der Grundsatz der Datenminimierung (Art. 5 DSGVO): Es kommen nur die Daten hinein, die für die Aufgabe nötig sind. Eine einfache Einteilung in drei Klassen hilft im Alltag.

Anonymisierte Daten fallen nicht unter die DSGVO, pseudonymisierte schon. Wer Namen durch Kürzel ersetzt, die sich zurückverfolgen lassen, verarbeitet weiterhin personenbezogene Daten. Besondere Vorsicht gilt in Berufen mit Verschwiegenheitspflicht, etwa in Kanzleien, Steuerberatung und Ordinationen. Dort reicht der Datenschutzvertrag allein nicht, das Berufsrecht stellt eigene Anforderungen, die vor dem Einsatz geklärt sein müssen.

Welche Pflichten hat das Unternehmen selbst?

Mit dem richtigen Vertrag ist die Hälfte erledigt. Die andere Hälfte liegt beim Unternehmen.

Verarbeitungsverzeichnis. Der KI-Einsatz gehört als Verarbeitungstätigkeit ins Verzeichnis nach Art. 30 DSGVO, mit Zweck, Datenkategorien, Empfängern und Drittlandtransfer.

Information der Betroffenen. Wer Daten von Kundinnen und Kunden mit Claude verarbeitet, informiert darüber in der Datenschutzerklärung, einschließlich der Übermittlung in die USA (Art. 13 und 14 DSGVO).

Datenschutz-Folgenabschätzung. Werden Beschäftigte oder Kundschaft systematisch ausgewertet oder sensible Daten in größerem Umfang verarbeitet, ist häufig eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig.

Beschäftigte. Protokolliert die Geschäftsvariante die Nutzung personenbezogen, kann sie zur Kontrolle geeignet sein. Dann greifen in Österreich die Mitbestimmungsrechte des Betriebsrats, erklärt im Ratgeber zur Betriebsvereinbarung für KI.

Schulung. Wer mit Claude arbeitet, muss wissen, welche Daten nicht hineingehören. Das ist zugleich Teil der Pflicht, die KI-Kompetenz des Personals zu fördern, wie der Ratgeber zur KI-Kompetenz im Unternehmen zeigt.

Claude datenschutzkonform einführen in sechs Schritten

1. 01Variante wählen. Eine Geschäftsvariante oder die Programmierschnittstelle, bei Bedarf mit EU-Standort über eine Cloud-Plattform. Privatkonten für Unternehmensdaten ausschließen.
2. 02Vertrag sichern. Die Datenschutzvereinbarung ablegen und prüfen, ob sie den eigenen Anwendungsfall abdeckt.
3. 03Datenregeln festlegen. Welche Datenklassen hinein dürfen, welche nie, und wie anonymisiert wird.
4. 04Dokumentieren. Verarbeitungsverzeichnis ergänzen, Datenschutzerklärung anpassen, bei Bedarf eine Datenschutz-Folgenabschätzung durchführen.
5. 05Beschäftigte einbinden. Den Betriebsrat informieren oder, ohne Betriebsrat, die Kontrolleignung prüfen. Die Beteiligten schulen.
6. 06Überprüfen. Bei neuen Funktionen, Tarifänderungen oder neuen Anwendungsfällen die Einordnung wiederholen.

Wie sich der Datenschutz in eine KI-Einführung insgesamt einfügt, zeigt der Ratgeber KI im Unternehmen einführen.

Typische Fehler beim Datenschutz mit Claude

1. 01Privatkonto für die Arbeit. Das Pro-Abo auf der Firmenkreditkarte ist trotzdem ein Verbraucherkonto, ohne Vertrag zur Auftragsverarbeitung. Abhilfe: eine Geschäftsvariante mit Firmenkonten.
2. 02Private Nutzung übersehen. Mitarbeitende nutzen eigene Konten, sogenannte Schatten-KI, weil keine freigegebene Alternative existiert. Abhilfe: den Bestand erheben und eine freigegebene Variante bereitstellen.
3. 03Vertrag als Freibrief. Der Vertrag zur Auftragsverarbeitung regelt, wie der Anbieter mit Daten umgeht, nicht, welche Daten hineindürfen. Abhilfe: Datenregeln zusätzlich festlegen.
4. 04Informationspflicht vergessen. Die Datenschutzerklärung erwähnt die KI-Verarbeitung und den US-Transfer nicht. Abhilfe: vor dem produktiven Einsatz anpassen.

Checkliste: Claude und DSGVO

• Geschäftsvariante oder Programmierschnittstelle gewählt, Privatkonten für Unternehmensdaten ausgeschlossen
• Datenschutzvereinbarung abgelegt, Drittlandtransfer über Standardvertragsklauseln dokumentiert
• Bei Bedarf EU-Standort über eine Cloud-Plattform geprüft
• Datenklassen und Anonymisierungsregeln festgelegt
• Verarbeitungsverzeichnis und Datenschutzerklärung ergänzt
• Datenschutz-Folgenabschätzung geprüft und bei Bedarf durchgeführt
• Betriebsrat informiert oder Kontrolleignung ohne Betriebsrat geprüft
• Beteiligte geschult, Termin für die Überprüfung festgelegt

Stand: September 2026. Angaben zu Tarifen, Verträgen und Datenstandort sind Anbieterangaben und ändern sich. Dieser Ratgeber ist allgemeine Information zur DSGVO und ersetzt keine rechtliche Beratung im Einzelfall.