Die Frage „Ist Claude DSGVO-konform?“ lässt sich nicht seriös mit einem pauschalen Ja oder Nein beantworten. Entscheidend sind Produktvariante, Vertrag, Zweck, Datenarten, Speicheroptionen, Zugriffsrechte und der konkrete technische Prozess.
Die Antwort hängt von Produktvariante, Vertrag, Zweck und Datenart ab.Die kurze Antwort
Claude kann in einen DSGVO-gerecht gestalteten Unternehmensprozess eingebunden werden, doch das Produkt allein macht den Prozess nicht rechtskonform. Prüfen Sie Rechtsgrundlage, Datenminimierung, DPA beziehungsweise AV-Vertrag, internationale Übermittlungen, Löschkonzept, technische Schutzmaßnahmen und menschliche Kontrolle. Bei sensiblen oder umfangreichen Daten ist eine Datenschutz-Folgenabschätzung zu prüfen.
Warum die Produktfrage zu kurz greift
Die DSGVO bewertet eine Verarbeitung, nicht ein Werbeetikett. Derselbe Dienst kann für frei zugängliche Marketingtexte unkritischer sein als für Gesundheitsdaten, Personalakten oder vollständige CRM-Exporte. Dokumentieren Sie Zweck, Datenkategorien, betroffene Personen und erwarteten Nutzen, bevor Daten übertragen werden.
Vertrag und Rollen sauber bestimmen
Bei kommerziellen Angeboten beschreibt Anthropic den Kunden grundsätzlich als Verantwortlichen und Anthropic als Auftragsverarbeiter. Prüfen Sie, ob das DPA für Ihren Bezugsweg gilt; bei einem Drittanbieter gelten möglicherweise dessen Bedingungen. Bewahren Sie die Vertragsfassung und die Prüfung der Unterauftragsverarbeiter nachvollziehbar auf.
Technische und organisatorische Kontrollen
- Nur erforderliche Felder freigeben und direkte Identifikatoren entfernen.
- Geschäftliche Organisation oder API statt eines privaten Consumer-Kontos wählen.
- Aufbewahrung, Löschung, Rollen, Protokollierung und Offboarding festlegen.
- Ausgaben vor CRM-Änderungen fachlich und technisch validieren.
- Rest-Risiko und notwendige Datenschutz-Folgenabschätzung dokumentieren.
Eine belastbare Freigabeentscheidung
Erstellen Sie eine kurze Verarbeitungsskizze und lassen Sie sie durch Datenschutzverantwortliche prüfen. Dieser Artikel ist eine technische Orientierung und keine Rechtsberatung. Maßgeblich sind Ihre konkrete Nutzung, die aktuelle Vertragslage und die Entscheidung Ihrer verantwortlichen Stelle.
Wie Sie zu einer belastbaren Freigabe kommen
Eine pauschale Antwort auf die Konformitätsfrage gibt es nicht, weil die Bewertung nicht dem Werkzeug gilt, sondern Ihrer konkreten Verarbeitung. Dieselbe Software kann für eine anonymisierte Textzusammenfassung unbedenklich und für die Auswertung von Gesundheitsdaten unzulässig sein. Beschreiben Sie deshalb zuerst den Anwendungsfall.
Halten Sie die Rollen auseinander. Wer den Zweck und die Mittel bestimmt, ist verantwortlich, und wer im Auftrag verarbeitet, braucht einen entsprechenden Vertrag. Diese Einordnung entscheidet darüber, welche Unterlagen Sie brauchen, und sie sollte vor der ersten produktiven Nutzung schriftlich vorliegen.
Prüfen Sie den Bezugsweg, nicht nur das Produkt. Ob Sie direkt beim Anbieter, über einen Wiederverkäufer oder über eine Cloudplattform eines Dritten beziehen, ändert die Vertragskette und damit Ihre Nachweislage. Legen Sie den tatsächlich geltenden Vertrag in die Akte und nicht die allgemein zugängliche Fassung.
Trennen Sie die Nutzung zum Training von der Verarbeitung selbst. Für viele Bedenken ist entscheidend, ob Eingaben zur Verbesserung der Modelle verwendet werden und wie lange sie gespeichert bleiben. Diese Angaben unterscheiden sich zwischen den Produktvarianten und ändern sich über die Zeit, sie gehören deshalb mit Datum in Ihre Dokumentation.
Behandeln Sie die Freigabe als Zustand mit Verfallsdatum. Vertragsbedingungen, Speicherfristen und Funktionsumfang ändern sich, und eine Bewertung von heute belegt nicht die Zulässigkeit in einem Jahr. Legen Sie fest, wer die Grundlagen prüft und in welchem Abstand.
Beziehen Sie die betroffenen Personen in Ihre Betrachtung ein. Wenn Kundendaten verarbeitet werden, gehört diese Verarbeitung in Ihre Datenschutzhinweise, und Auskunfts- sowie Löschanfragen müssen auch diesen Weg erfassen. Eine Freigabe, die nur die Vertragslage prüft und die Betroffenenrechte auslässt, ist unvollständig.
Abnahme-Checkliste
- Zweck, Verantwortlichkeit und erwartetes Ergebnis sind dokumentiert.
- Nur notwendige Daten und Berechtigungen werden verwendet.
- Vertrag, Produktvariante und aktuelle Anbieterbedingungen sind geprüft.
- Normalfall, Grenzfall und Fehlerfall wurden nachvollziehbar getestet.
- Kritische Ausgaben benötigen eine fachliche menschliche Freigabe.
- Protokollierung, Löschung, Offboarding und Rollback sind festgelegt.
Häufige Fragen
Kann ich die Lösung ohne Datenschutzprüfung produktiv einsetzen?
Bei personenbezogenen Kunden- oder Beschäftigtendaten sollte die verantwortliche Datenschutzstelle den konkreten Zweck, Vertrag und Datenfluss vor der Produktivfreigabe prüfen.
Reicht eine gute Prompt-Anweisung als Schutz?
Nein. Prompts unterstützen das Verhalten, ersetzen aber keine Berechtigungsgrenzen, Datenminimierung, technische Validierung, Protokollierung und menschliche Freigabe.
Wie starte ich mit möglichst geringem Risiko?
Beginnen Sie mit synthetischen oder wirksam anonymisierten Daten, rein lesendem Zugriff und einem begrenzten Testdatensatz. Erweitern Sie den Umfang erst nach dokumentierter Qualitäts- und Risikoprüfung.
Quellen und ausführliche Anleitung
Stand: 13. August 2026. Anthropic Privacy Center: DSGVO und Datenschutz, Anthropic: Data Processing Addendum (DPA), Anthropic: Controller- und Processor-Rollen. Die ausführliche Fassung mit Betriebs- und Teststandard steht im Zophoria-Hilfebereich.