Prüfstand · KI-Assistent Stand:

Claude DSGVO-konform nutzen? Prüfstand mit Quellen (Stand Okt. 2026)

Zehn Kriterien, jede Aussage mit Quelle und wörtlichem Zitat. Geprüft am 19. Oktober 2026, nächste Prüfung spätestens am 17. Januar 2027.

von 10 Kriterien erfüllt
7 von 10 Kriterien erfüllt
mit Einschränkung
2 mit Einschränkung
nicht erfüllt oder nicht ausgewiesen
1 nicht erfüllt oder nicht ausgewiesen
Belege mit Zitat
26 Belege mit Zitat

Unser Kurzurteil

Kurzurteil für Claude: Mit Auflagen

Mit personenbezogenen Daten nur in Claude Team oder Enterprise, nie in Free, Pro oder Max. Vertragspartner ist Anthropic Ireland, die AVV gilt automatisch mit den Commercial Terms, und Ihre Inhalte gehen nicht ins Training. Einschränkungen bleiben: Anthropic ist nicht unter dem Data Privacy Framework gelistet, und die Daten von Claude Team und Enterprise liegen in den USA, ohne Wahl eines europäischen Speicherorts.

Geeigneter Tarif
Geeignet
Geeignet Claude Team oder Claude Enterprise (Rollen, SCIM, Audit-Log und Compliance-API nur Enterprise)
Ungeeignet
Ungeeignet
Ungeeignet Claude Free, Pro und Max: Verbrauchertarife ohne AVV, Inhalte können ins Training fließen, wenn die Einstellung dafür aktiv ist

In 30 Sekunden

  • Mit Auflagen: Einsetzbar, aber nur im richtigen Tarif und mit Einstellungen, die Sie selbst vornehmen müssen.
  • Nehmen Sie Claude Team oder Claude Enterprise (Rollen, SCIM, Audit-Log und Compliance-API nur Enterprise).
  • Offen bei den Kernkriterien: Drittlandübermittlung (mit Einschränkung).
  • Erster Schritt: Schließen Sie Claude Team oder Enterprise auf die Firma ab und untersagen Sie private Free-, Pro- oder Max-Konten für dienstliche Inhalte schriftlich.
  • 7 erfüllt
  • 2 mit Einschränkung
  • 1 nicht erfüllt

Die zehn Kriterien mit Belegen

Aufklappen zeigt Quelle, wörtliches Zitat und Abrufdatum. Bewertet ist der geeignete Tarif.

  1. Erfüllt 01 Vertragspartner Kern · Erfüllt Kunden mit Sitz im EWR, in der Schweiz oder im Vereinigten Königreich schließen den Vertrag mit der Anthropic Ireland, Limited. Es gilt irisches Recht.

    Prüffrage: Mit wem schließen Sie den Vertrag, und sitzt er in der EU?

    Maßstab: Grün: Vertragspartner mit Sitz in der EU oder im EWR. Gelb: Sitz außerhalb, Vertrag mit Standardvertragsklauseln. Rot: kein eindeutiger Vertragspartner.

    Andere Tarife: Free, Pro und Max laufen über die Verbraucher-Bedingungen. Dort ist Anthropic selbst Verantwortlicher, nicht Ihr Auftragsverarbeiter.

    • Anthropic Ireland, Limited für Kunden im EWR, in der Schweiz und im Vereinigten Königreich

      means Anthropic Ireland, Limited if Customer resides in the European Economic Area (“EEA”), Switzerland or UK, and Anthropic, PBC if Customer resides anywhere else.

      Quelle: anthropic.com (öffnet neues Fenster) abgerufen am

    • Team und Enterprise laufen über die Commercial Terms

      contain supplemental terms that apply to specific Services and form part of the agreement you or the organization, company, or other entity that you represent (“Customer”) have with Anthropic for such Services that links to or otherwise references these Service Specific Terms, such as the Commercial Terms of Service (“Agreement”).

      Quelle: anthropic.com (öffnet neues Fenster) abgerufen am

  2. Erfüllt 02 Auftragsverarbeitung (AVV) Kern · Erfüllt Das Data Processing Addendum mit Standardvertragsklauseln ist Teil der Commercial Terms. Wer die Commercial Terms annimmt, hat damit auch die AVV abgeschlossen.

    Prüffrage: Gibt es einen Vertrag nach Art. 28 DSGVO, und wie kommt er zustande?

    Maßstab: Grün: AVV nach Art. 28 DSGVO gilt für den Tarif automatisch oder per Klick. Gelb: nur auf Anfrage oder mit Einschränkungen. Rot: kein AVV.

    Andere Tarife: Für Free, Pro und Max gibt es keine AVV.

  3. Erfüllt 03 Unterauftragsverarbeiter · Erfüllt Die Liste der Unterauftragsverarbeiter steht öffentlich im Trust Center, mit Zweck, Ort und betroffenen Produkten. Neue Dienstleister kündigt Anthropic vorher an, und Sie können binnen 15 Tagen widersprechen.

    Prüffrage: Ist die Liste öffentlich, und werden Änderungen angekündigt?

    Maßstab: Grün: öffentliche Liste und Ankündigung von Änderungen mit Widerspruchsrecht. Gelb: Liste nur im Vertrag oder ohne Ankündigung. Rot: keine Liste.

    Andere Tarife: Die Frist von 15 Tagen ist kurz. Änderungen erfahren Sie nur zuverlässig, wenn Sie die Updates im Trust Center abonnieren.

    • Öffentliche Liste im Trust Center

      Anthropic’s list of subprocessors is available at https://www.anthropic.com/subprocessors.

      Quelle: anthropic.com (öffnet neues Fenster) abgerufen am

    • Vorherige Ankündigung, Widerspruch binnen 15 Tagen

      Customer may, on the basis of reasonable data privacy or data security concerns, object to Anthropic’s use of such Subprocessor by providing Anthropic with written notice of the objection within fifteen (15) days of the date of such notice, or Customer is deemed to consent to the new Subprocessor.

      Quelle: anthropic.com (öffnet neues Fenster) abgerufen am

    • Letzte Änderung am 14.10.2026: Parallel Web Systems (Websuche) und hCaptcha (Bot-Erkennung)

      We've updated our subprocessor list with two additions:

      Quelle: trust.anthropic.com (öffnet neues Fenster) abgerufen am

  4. Nicht erfüllt 04 Datenstandort · Nicht erfüllt Daten aus Claude Team und Enterprise speichert Anthropic in den USA. Wählbar ist nur, die Verarbeitung auf die USA zu beschränken; einen europäischen Speicherort gibt es für die Claude-Apps nicht.

    Prüffrage: Wo liegen die Inhalte, und lässt sich Europa wählen?

    Maßstab: Grün: Inhalte in der EU, als Standard oder im Tarif wählbar. Gelb: EU nur auf Antrag, gegen Aufpreis oder nur teilweise. Rot: keine EU-Option.

    Andere Tarife: Speicherung in Europa gibt es nur, wenn Sie Claude über AWS Bedrock oder Google Vertex AI in einer europäischen Region nutzen. Das ist ein anderes Produkt mit eigenem Vertrag beim Cloud-Anbieter, nicht Claude Team oder Enterprise.

  5. Mit Einschränkung 05 Drittlandübermittlung Kern · Mit Einschränkung Anthropic ist auf der Data-Privacy-Framework-Liste des US-Handelsministeriums nicht verzeichnet (Suche nach „Anthropic“ am 19.10.2026 ohne Treffer). Die Übermittlung in die USA stützt sich allein auf die Standardvertragsklauseln im DPA.

    Prüffrage: Worauf stützt sich die Übermittlung in die USA (DPF, Standardvertragsklauseln)?

    Maßstab: Grün: keine Übermittlung nötig oder Empfänger aktiv im EU-US Data Privacy Framework und Standardvertragsklauseln im Vertrag. Gelb: nur Standardvertragsklauseln. Rot: keine Grundlage.

    • Standardvertragsklauseln gelten als abgeschlossen

      The parties agree that, to the extent required by Applicable Data Protection Laws, the terms of the SCCs Module Two (controller to processor) and/or Module Three (processor to processor), as completed as described in Schedule 3 of this DPA, are hereby incorporated by reference and will be deemed to have been executed by the parties.

      Quelle: anthropic.com (öffnet neues Fenster) abgerufen am

    • SCC haben Vorrang vor DPA und Vertrag

      To the extent that there is any conflict between the terms of this DPA, the Agreement, and the terms of the SCCs, the terms of the following documents will prevail (in order of precedence): (i) the SCCs; (ii) this DPA; and (iii) the Agreement.

      Quelle: anthropic.com (öffnet neues Fenster) abgerufen am

  6. Erfüllt 06 KI-Training mit Ihren Daten Kern · Erfüllt Inhalte aus Claude Team und Enterprise nutzt Anthropic nicht zum Training. Das steht im Vertrag; Training gibt es nur, wenn Sie dem Development Partner Program beitreten oder Feedback einsenden.

    Prüffrage: Werden Ihre Inhalte zum Training von KI-Modellen genutzt?

    Maßstab: Grün: kein Training mit Ihren Inhalten, ohne dass Sie etwas tun müssen. Gelb: nur per Abschalten (Opt-out). Rot: Training ohne Abschaltmöglichkeit.

    Andere Tarife: In Free, Pro und Max nutzt Anthropic Chats zum Training, wenn die Einstellung dafür eingeschaltet ist; sie lässt sich abschalten.

    • Vertragliches Trainingsverbot

      Anthropic may not train models on Customer Content from Services.

      Quelle: anthropic.com (öffnet neues Fenster) abgerufen am

    • Kein Training mit Chats aus Team und Enterprise, außer mit Opt-in

      We will not use your chats or coding sessions to train our models, unless you choose to participate in our Development Partner Program.

      Quelle: privacy.claude.com (öffnet neues Fenster) abgerufen am

    • Ausnahme: ausdrücklich gemeldetes Feedback

      If you explicitly report materials to us (e.g.via our thumbs up/down feedback mechanisms), or by otherwise explicitly opting in to training, then we may use those materials to train our models.

      Quelle: privacy.claude.com (öffnet neues Fenster) abgerufen am

  7. Erfüllt 07 Zertifikate · Erfüllt Für Claude Team und Enterprise weist Anthropic SOC 2 Type 2, ISO 27001 und ISO 42001 aus, dazu CSA STAR. Ein BSI-C5-Testat ist nicht ausgewiesen.

    Prüffrage: ISO 27001, SOC 2, BSI C5: Was ist nachgewiesen?

    Maßstab: Grün: ISO 27001 oder SOC 2 Typ II nachgewiesen. Gelb: nur Selbstauskunft. Rot: kein Nachweis.

    • SOC-2-Bericht und Zertifikate auf Anfrage

      Upon Customer’s written request, and subject to the confidentiality obligations set forth in the Agreement, Anthropic will provide Customer with such audit reports or certificates applicable to the Services (e.g., SOC 2 report), to the extent available, or such other information reasonably necessary to demonstrate compliance with this DPA.

      Quelle: anthropic.com (öffnet neues Fenster) abgerufen am

    • Jährliche externe Prüfung, Berichte auf Anfrage

      Anthropic is audited annually against known, established industry standards performed by external auditors.

      Quelle: anthropic.com (öffnet neues Fenster) abgerufen am

    • Trust Center: SOC 2 Type II, ISO 27001:2022 und ISO/IEC 42001:2023 für Claude Team und Enterprise

      Here you can find our compliance artifacts, request documentation, and view high-level details on controls we adhere to.

      Quelle: trust.anthropic.com (öffnet neues Fenster) abgerufen am

  8. Mit Einschränkung 08 Verwaltung & Kontrolle · Mit Einschränkung Claude Team bietet SSO, Domain-Verifizierung und zentrale Verwaltung. Rollenrechte, SCIM, Audit-Log, Compliance-API und eigene Aufbewahrungsfristen gibt es erst in Enterprise.

    Prüffrage: SSO, Rollen und Audit-Log: Können Sie den Einsatz steuern?

    Maßstab: Grün: SSO, Rollen und Protokoll im geprüften Tarif. Gelb: nur teilweise oder erst im höheren Tarif. Rot: keine zentrale Verwaltung.

    Andere Tarife: In Enterprise vollständig erfüllt (SSO, SCIM, Rollen, Audit-Log, Compliance-API). Enterprise setzt mindestens 20 Plätze voraus.

  9. Erfüllt 09 Löschung · Erfüllt Gelöschte Chats verschwinden sofort aus dem Verlauf und binnen 30 Tagen aus den Systemen. Nach Vertragsende löscht Anthropic alle Kundendaten binnen 30 Tagen; als Verstoß gegen die Nutzungsrichtlinie markierte Chats bleiben bis zu zwei Jahre gespeichert.

    Prüffrage: Werden Daten nach Vertragsende und auf Anforderung gelöscht, und in welcher Frist?

    Maßstab: Grün: Löschfristen nach Vertragsende und auf Anforderung verbindlich genannt. Gelb: Frist offen. Rot: keine Löschzusage.

    Andere Tarife: Eine eigene Aufbewahrungsfrist für die ganze Organisation können Sie nur in Enterprise festlegen.

  10. Erfüllt 10 Betroffenenrechte · Erfüllt Anthropic leitet Anfragen Betroffener an Sie weiter und unterstützt Sie bei der Antwort. Der Primary Owner kann die Daten der Organisation in Team und Enterprise selbst exportieren.

    Prüffrage: Unterstützt der Anbieter Auskunft, Berichtigung und Löschung nach Art. 15 bis 17 DSGVO?

    Maßstab: Grün: Unterstützung vertraglich zugesagt und Export oder Löschung möglich. Gelb: nur allgemeiner Kontaktweg. Rot: keine Unterstützung.

    • Weiterleitung von Betroffenenanfragen

      Anthropic will forward to Customer promptly any Data Subject Request received by Anthropic relating to the Customer Personal Data and may advise the Data Subject to submit their request directly to Customer.

      Quelle: anthropic.com (öffnet neues Fenster) abgerufen am

    • Unterstützung bei der Beantwortung

      Anthropic will, taking into account the nature of the processing, provide Customer with reasonable and timely assistance as necessary for Customer to fulfill its obligation under Applicable Data Protection Laws to respond to Data Subject Requests.

      Quelle: anthropic.com (öffnet neues Fenster) abgerufen am

    • Export der Organisationsdaten durch den Primary Owner

      Primary Owners of Team and Enterprise plans can export organization data from Organization settings > Data and privacy on the web app or Claude Desktop.

      Quelle: support.claude.com (öffnet neues Fenster) abgerufen am

So setzen Sie Claude sauber ein

Die Schritte in dieser Reihenfolge abarbeiten. Was erledigt ist, können Sie abhaken; das bleibt nur in Ihrem Browser.

Aus dem Subprozessor-Monitor

Unterauftragsverarbeiter von Claude

Anthropic veröffentlicht seine Liste nicht so, dass unser Monitor sie täglich automatisch lesen kann (Anmeldung, Bot-Sperre oder nur im Vertragsanhang). Wir prüfen sie deshalb bei jeder Nachprüfung von Hand.

Erfüllt

Stand 19. Oktober 2026: Die Liste der Unterauftragsverarbeiter steht öffentlich im Trust Center, mit Zweck, Ort und betroffenen Produkten. Neue Dienstleister kündigt Anthropic vorher an, und Sie können binnen 15 Tagen widersprechen.

17 Anbieter im Monitor ansehen

Änderungshistorie

Nächste Prüfung spätestens am 17. Januar 2027.

  1. Erstprüfung.

Weiterlesen

Hugo DSB

Jedes Tool im Verzeichnis, jeder AVV an seinem Platz

Mit Hugo DSB dokumentieren Sie Claude und alle anderen Dienstleister im Verzeichnis der Verarbeitungstätigkeiten, mit externem Datenschutzbeauftragten an Ihrer Seite.

Hugo DSB ansehen

Einschätzung der frag.hugo Informationssicherheit GmbH auf Basis öffentlicher Angaben von Anthropic, Stand 19. Oktober 2026. Keine Rechtsberatung. Herstellerangaben können sich ändern; maßgeblich sind die verlinkten Originaldokumente. Wie wir prüfen: Methode.

In Claude Team und Enterprise ist ein DSGVO-konformer Einsatz nach unserer Einschätzung möglich: Vertragspartner ist Anthropic Ireland, die AVV gilt automatisch, und Ihre Inhalte gehen nicht ins Training. Die Daten liegen aber in den USA, und die Übermittlung stützt sich nur auf Standardvertragsklauseln, weil Anthropic nicht unter dem Data Privacy Framework gelistet ist. Free, Pro und Max sind für personenbezogene Daten ungeeignet.

Ja, für Claude Team, Enterprise und die API. Das Data Processing Addendum ist Teil der Commercial Terms; wer sie annimmt, hat die AVV abgeschlossen. Eine gesonderte Unterschrift ist dafür nicht nötig.

Für Claude Team und Enterprise in den USA. Die Verarbeitung kann laut Anthropic auch in Rechenzentren in Europa, Asien und Australien laufen; Enterprise-Kunden können sie auf die USA beschränken. Einen europäischen Speicherort gibt es nur, wenn Sie Claude über AWS Bedrock oder Google Vertex AI in einer EU-Region nutzen.

In Claude Team, Enterprise und über die API nicht, das schließen die Commercial Terms ausdrücklich aus. Ausnahmen sind das freiwillige Development Partner Program und Feedback, das Sie per Daumen hoch oder runter einsenden. In Free, Pro und Max nutzt Anthropic Chats zum Training, wenn die Einstellung dafür eingeschaltet ist.

Nur in einem Team- oder Enterprise-Konto mit AVV und nur, wenn der Zweck das deckt. In private Konten gehören keine Kundendaten, denn dort gibt es keine AVV. Besondere Kategorien wie Gesundheitsdaten sollten Sie auch im Team-Tarif nicht eingeben, solange die Daten in den USA liegen.

Gelöschte Chats verschwinden sofort aus dem Verlauf und binnen 30 Tagen aus den Systemen von Anthropic. Nach Vertragsende werden alle Kundendaten binnen 30 Tagen gelöscht. Chats, die als Verstoß gegen die Nutzungsrichtlinie markiert wurden, bewahrt Anthropic bis zu zwei Jahre auf.

Weitere kostenlose Werkzeuge

Alle ohne Anmeldung, alle ohne Kosten.

Alle Werkzeuge

Werkzeuge zeigen Lücken. Schließen muss sie jemand.

Wir übernehmen Datenschutz und Informationssicherheit als externer Dienstleister — TÜV-zertifiziert, mit festem Ansprechpartner, ab 79 € im Monat.

Angebot in 60 Sekunden 15 Minuten sprechen