Wer personenbezogene Daten mit Claude verarbeitet, braucht Klarheit über die datenschutzrechtlichen Rollen und den Vertragsrahmen. Bei Anthropic heißt die entsprechende Vereinbarung Data Processing Addendum, kurz DPA.
Der tatsächliche Bezugsweg entscheidet, welcher Vertrag für Sie gilt.Die kurze Antwort
Anthropic stellt für kommerzielle Produkte ein DPA bereit und erklärt, dass es über die Commercial Terms einschließlich einbezogener Standardvertragsklauseln gelten kann. Entscheidend ist jedoch Ihr tatsächlicher Bezugsweg: Bei Nutzung über eine Drittplattform kann deren DPA maßgeblich sein. Speichern Sie die gültige Fassung, prüfen Sie Anlagen und Unterauftragsverarbeiter und verbinden Sie den Vertrag mit Ihrem Verarbeitungsverzeichnis.
DPA und AV-Vertrag richtig einordnen
„AV-Vertrag“ ist die im deutschen Alltag übliche Bezeichnung; international wird häufig DPA verwendet. Der Vertrag regelt unter anderem Weisungsbindung, Sicherheit, Löschung, Unterstützungspflichten und den Umgang mit Unterauftragsverarbeitern. Er ersetzt weder eine Rechtsgrundlage noch die technische Datenminimierung.
Der Bezugsweg entscheidet
Nutzen Sie die Claude API unmittelbar bei Anthropic, prüfen Sie die direkten Commercial Terms und das zugehörige DPA. Erfolgt die Nutzung über einen Cloud-Marktplatz oder eine andere Plattform, kann diese Vertragspartei Auftragsverarbeiter sein. Ordnen Sie Datenfluss, Vertragspartner und Verantwortlichkeiten deckungsgleich zu.
Was in die Vertragsakte gehört
- Vertragspartner und verwendetes Produkt festhalten.
- Aktuelle DPA- und Terms-Fassung speichern.
- Standardvertragsklauseln und Transfermechanismus prüfen.
- Unterauftragsverarbeiter sowie Änderungsinformation bewerten.
- Lösch-, Auskunfts- und Incident-Prozess praktisch testen.
Vertrag und Technik zusammenführen
Ein unterschriebenes Dokument schützt keine unnötig übertragenen Daten. Ergänzen Sie den Vertrag durch Feldminimierung, rollenbasierte Zugriffe, eine genehmigte Prompt-Praxis und dokumentierte Ausgabekontrollen. Lassen Sie die abschließende Einordnung durch Ihre Datenschutzverantwortlichen vornehmen.
Was in die Vertragsakte gehört
Legen Sie die Fassung ab, die für Sie tatsächlich gilt, mit Datum und Bezugsweg. Eine allgemein abrufbare Musterfassung belegt nicht, welche Bedingungen für Ihren Zugang vereinbart wurden. Bei einer Prüfung zählt der Vertrag, dem Sie zugestimmt haben, und nicht der, den Sie gefunden haben.
Achten Sie auf die Kette bei mittelbarem Bezug. Läuft der Zugang über einen Wiederverkäufer oder über die Cloudplattform eines Dritten, ist Ihr Vertragspartner ein anderer, und die Unterauftragsverhältnisse sehen anders aus. Diese Kette gehört vollständig dokumentiert, nicht nur ihr letztes Glied.
Halten Sie die Liste der Unterauftragsverarbeiter nach. Sie ändert sich, und Änderungen sind für Ihr Verarbeitungsverzeichnis und für Auskunftsanfragen relevant. Legen Sie fest, wer diese Liste prüft und in welchem Abstand, sonst bemerkt es niemand.
Prüfen Sie die Regelungen zur Übermittlung in Drittländer gesondert. Standardvertragsklauseln allein genügen nicht, wenn keine Bewertung der tatsächlichen Umstände vorliegt. Diese Bewertung ist Ihre Aufgabe als Verantwortlicher und lässt sich nicht an den Anbieter abgeben.
Verbinden Sie Vertrag und Technik. Ein Vertrag, der eine Beschränkung vorsieht, die in der Konfiguration nicht eingestellt ist, schützt niemanden. Prüfen Sie deshalb nach der Unterzeichnung, ob die vereinbarten Einstellungen tatsächlich aktiv sind, und halten Sie das Ergebnis fest.
Verknüpfen Sie den Vertrag mit Ihrem Verarbeitungsverzeichnis. Ein abgelegtes Dokument, auf das kein Eintrag verweist, wird bei der nächsten Prüfung nicht gefunden, und die Verarbeitung erscheint undokumentiert. Der Verweis kostet eine Zeile und erspart die Rekonstruktion aus Erinnerung und Postfächern. Notieren Sie zusätzlich, wer den Vertrag auf Ihrer Seite angenommen hat, denn diese Angabe fehlt später am häufigsten.
Abnahme-Checkliste
- Zweck, Verantwortlichkeit und erwartetes Ergebnis sind dokumentiert.
- Nur notwendige Daten und Berechtigungen werden verwendet.
- Vertrag, Produktvariante und aktuelle Anbieterbedingungen sind geprüft.
- Normalfall, Grenzfall und Fehlerfall wurden nachvollziehbar getestet.
- Kritische Ausgaben benötigen eine fachliche menschliche Freigabe.
- Protokollierung, Löschung, Offboarding und Rollback sind festgelegt.
Häufige Fragen
Kann ich die Lösung ohne Datenschutzprüfung produktiv einsetzen?
Bei personenbezogenen Kunden- oder Beschäftigtendaten sollte die verantwortliche Datenschutzstelle den konkreten Zweck, Vertrag und Datenfluss vor der Produktivfreigabe prüfen.
Reicht eine gute Prompt-Anweisung als Schutz?
Nein. Prompts unterstützen das Verhalten, ersetzen aber keine Berechtigungsgrenzen, Datenminimierung, technische Validierung, Protokollierung und menschliche Freigabe.
Wie starte ich mit möglichst geringem Risiko?
Beginnen Sie mit synthetischen oder wirksam anonymisierten Daten, rein lesendem Zugriff und einem begrenzten Testdatensatz. Erweitern Sie den Umfang erst nach dokumentierter Qualitäts- und Risikoprüfung.
Quellen und ausführliche Anleitung
Stand: 13. August 2026. Anthropic: Data Processing Addendum (DPA), Anthropic: Controller- und Processor-Rollen, Anthropic Privacy Center: DSGVO und Datenschutz. Die ausführliche Fassung mit Betriebs- und Teststandard steht im Zophoria-Hilfebereich.