Claude Datenschutz und DSGVO: was im Unternehmen gilt

Dein Team arbeitet schon mit Claude, oder du willst damit anfangen, und dann kommt die Frage, ob Kundendaten, Angebote und Mails dort überhaupt hineindürfen. Beim Thema Claude Datenschutz entscheidet sich viel an einer Stelle, die oft übersehen wird: am Tarif. Je nachdem, ob ein Konto unter den Verbraucherbedingungen oder unter den gewerblichen Bedingungen von Anthropic läuft, gelten andere Regeln für Vertrag, Training und Aufbewahrung. Hier stehen die Angaben von Anthropic für Unternehmen, mit Quelle und Stand. Ich schaue dabei aus technischer Sicht drauf, nach über zwanzig Jahren mit Hosting, Schnittstellen und Datenflüssen für kleine und mittlere Unternehmen im DACH-Raum.

Welcher Claude-Tarif für Firmendaten in Frage kommt

Anthropic bietet Claude in zwei Welten an. Free, Pro und Max sind Tarife für Einzelpersonen und laufen unter den Verbraucherbedingungen (Consumer Terms). Claude Team, Claude Enterprise und die API gehören zu den gewerblichen Angeboten, für die die Commercial Terms gelten. Die Commercial Terms sagen ausdrücklich, dass sie nicht für Verbraucher gedacht sind.

Für ein Unternehmen, das personenbezogene Daten von Kunden, Lieferanten oder Beschäftigten in Claude verarbeiten will, ist das der erste Filter. Ein Pro-Konto, das ein Mitarbeiter privat abschließt und dienstlich nutzt, bringt keinen Auftragsverarbeitungsvertrag mit. Die Einstellung, das Training abzuschalten, ändert daran nichts, denn sie ersetzt keinen Vertrag.

Die Tarife im Vergleich

Laut Preisseite von Anthropic kostet Claude Team im Standard-Platz 20 US-Dollar je Platz und Monat bei jährlicher Zahlung und 25 US-Dollar bei monatlicher Zahlung, der Premium-Platz 100 beziehungsweise 125 US-Dollar. Enterprise steht dort mit 20 US-Dollar je Platz und Monat bei jährlicher Abrechnung, dazu kommen nutzungsabhängige Kosten. Die Preisseite weist darauf hin, dass anfallende Steuern nicht enthalten sind. Stand 13. Oktober 2026, die Preise ändern sich, maßgeblich ist die aktuelle Preisseite.

Was der Auftragsverarbeitungsvertrag von Anthropic regelt

Laut Anthropic ist der DPA (Data Processing Addendum) Bestandteil der Commercial Terms und gilt mit der Buchung von Team, Enterprise oder der API, ein eigenes Formular sieht Anthropic nicht vor. Die aktuelle Fassung des DPA gilt seit dem 24. Februar 2025, die Commercial Terms seit dem 17. Juni 2025. Leg beide Fassungen mit Datum ab, damit du den Vertragsschluss belegen kannst.

← Grafik seitlich scrollen →

Dazu drei Punkte aus Commercial Terms und DPA:

Trainiert Anthropic mit deinen Daten?

In Team, Enterprise und der API laut Anthropic standardmäßig nicht. Die Commercial Terms schließen das Training mit Kundeninhalten aus, also mit Eingaben und Ausgaben. Für Feedback nennt Anthropic eine Ausnahme: Inhalte, die jemand ausdrücklich als Feedback oder Fehlermeldung einreicht, etwa über die Daumen-Bewertung eines Chats. Solche Feedback-Daten kann Anthropic laut Privacy Center bis zu fünf Jahre aufbewahren.

Für ein Unternehmen heißt das: Die Ausnahme betrifft nicht die tägliche Nutzung, sondern einen bewussten Klick. Inhaber und Hauptinhaber einer Team- oder Enterprise-Organisation können das Bewerten von Chats für alle Mitglieder abschalten, in den Organisationseinstellungen unter Daten und Datenschutz bei „Rate chats“. Ich rate dazu, das vor dem ersten produktiven Chat zu erledigen, weil sonst jede Person im Team selbst entscheidet, ob sie Chats als Feedback an Anthropic meldet.

Und in Free, Pro und Max?

Laut den Verbraucherbedingungen, die seit dem 8. Oktober 2025 gelten, nutzt Anthropic Chats fürs Training, sofern die Person dem nicht in den Kontoeinstellungen widerspricht. Bleibt das Training eingeschaltet, kann Anthropic die Daten in einer Form ohne direkten Personenbezug bis zu fünf Jahre in der Trainingsumgebung aufbewahren. Auch bei abgeschaltetem Training nutzt Anthropic Inhalte, die als Feedback gemeldet oder für eine Sicherheitsprüfung markiert wurden. Für Firmendaten ist das zu wenig Kontrolle, und ein Vertrag fehlt ohnehin.

Wo Claude Daten speichert und wie lange

Das ist der Punkt, an dem viele Datenschutzbeauftragte nachhaken. Anthropic schreibt im Privacy Center: Daten werden in den USA gespeichert. Anfragen können zur Verarbeitung in Rechenzentren in den USA, Europa, Asien und Australien geleitet werden. Eine Datenspeicherung in der EU für Claude Team sagt Anthropic nicht zu.

Bei der Aufbewahrung unterscheiden sich die Tarife deutlich:

• Claude Team: Chats bleiben gespeichert, damit sie im Verlauf verfügbar sind. Eine feste Frist nennt Anthropic dafür nicht. Gelöschte Chats verschwinden sofort aus dem Verlauf und binnen 30 Tagen aus den Systemen im Hintergrund.
• Claude Enterprise: Inhaber legen eine eigene Aufbewahrungsfrist fest, mindestens 30 Tage. Ohne Einstellung bleiben Daten laut Anthropic unbegrenzt gespeichert.
• API: Ein- und Ausgaben werden laut Anthropic in der Regel nach 30 Tagen gelöscht. Eine Null-Speicherung (Zero Data Retention) gibt es nur für berechtigte API-Nutzung und Claude Code im Enterprise-Tarif, nach Freigabe durch Anthropic, nicht für Chats in Claude Team oder Enterprise.

Für Team bedeutet das: Die Löschung ist eine Frage deiner eigenen Regeln. Leg fest, welche Chats mit personenbezogenen Daten nach Abschluss eines Vorgangs gelöscht werden, und halte das im Verzeichnis der Verarbeitungstätigkeiten fest.

Claude Team einrichten: die Schritte vor dem ersten Chat

Angenommen, ein Großhandel für Sanitärbedarf mit zwölf Beschäftigten will Claude für Angebote, Produkttexte und Lieferantenmails einsetzen. Einige nutzen bereits private Pro-Konten. So kann ein Start aussehen:

1. 1

   Team- oder Enterprise-Organisation anlegen und private Konten ablösen. Dienstliche Inhalte gehören in die Organisation, nicht in Pro-Konten einzelner Beschäftigter. Chats mit Kundendaten aus privaten Konten werden nicht übertragen, sondern mit dem Datenschutzbeauftragten oder einer Kanzlei bewertet und dann gelöscht. War dort das Training eingeschaltet, kann Anthropic die Daten laut Privacy Center in einer Form ohne direkten Personenbezug bis zu fünf Jahre aufbewahren.

2. 2

   Vertragsunterlagen ablegen. Commercial Terms und DPA mit Datum sichern, die Liste der Unterauftragsverarbeiter verlinken und festlegen, wer die Mitteilungen über neue Unterauftragsverarbeiter liest.

3. 3

   Feedback-Bewertung abschalten. In den Organisationseinstellungen unter Daten und Datenschutz „Rate chats“ deaktivieren, damit Mitglieder keine Chats über die Bewertung als Feedback an Anthropic melden.

4. 4

   Connectoren bewusst freigeben. In Team dürfen nur Inhaber benutzerdefinierte Connectoren für die Organisation anlegen. Jeder Connector ist ein weiterer Weg, über den Daten in Chats gelangen, und gehört in die Dokumentation.

5. 5

   Nutzungsregeln schreiben. Welche Daten dürfen hinein, welche nicht, wer prüft Ergebnisse vor der Verwendung, wann werden Chats gelöscht. Eine Seite ist ein guter Anfang.

6. 6

   Datenschutzbeauftragten oder Kanzlei einbinden. Rechtsgrundlage, Information der Betroffenen, Eintrag ins Verzeichnis der Verarbeitungstätigkeiten und die Frage nach einer Datenschutz-Folgenabschätzung legst du mit ihnen gemeinsam fest. Die Entscheidung und die Verantwortung liegen bei der Geschäftsführung, nicht beim Tarif.

Claude und das Firmenpostfach

Viele Teams wollen Claude früher oder später an ihre Mails lassen: Verläufe zusammenfassen, Antworten vorformulieren, Anfragen zählen. Technisch geht das über einen benutzerdefinierten Connector, den in Claude Team ein Inhaber für die Organisation anlegt. Einen fertigen Connector für Firmenpostfächer bei einem klassischen Hoster mit IMAP bringt Claude nicht mit.

Datenschutzrechtlich ist das Postfach eine eigene Stufe, denn darin stecken fast immer Daten Dritter. Neben dem Tarif mit DPA braucht es einen Vertrag mit dem Betreiber der Anbindung, und die Rechte der Anbindung sollten eng sein. Wie dieser Vertrag mit dem von Anthropic zusammenhängt, gehört zu den offenen Fragen unten. Wie eine solche Anbindung für IMAP-Postfächer aussehen kann, mit Lesen, Suchen und Entwürfen, aber ohne Senden und Löschen, beschreibt meine Seite Claude mit E-Mail-Postfach verbinden.

Was kein Tarif für dich klärt

Mit Team oder Enterprise stellt Anthropic die gewerblichen Bedingungen samt Auftragsverarbeitungsvertrag bereit. Ob sie für deinen Einsatz genügen und ob der konkrete Einsatz zulässig ist, hängt an deinen Daten und deinem Zweck. Einige Fragen lassen sich nicht pauschal beantworten:

Einen breiteren Überblick über Rechtsgrundlagen, Folgenabschätzung und typische Fehler gibt der Artikel KI Datenschutz und DSGVO. Wie sich Claude im Vergleich zu ChatGPT und Gemini für Unternehmen schlägt, zeigt der Vergleich Claude, ChatGPT und Gemini, und wer parallel ChatGPT nutzt, findet die Gegenstücke im Artikel ChatGPT im Unternehmen einsetzen.

Quellen zu den Angaben von Anthropic

• Commercial Terms of Service, gültig ab 17. Juni 2025
• Data Processing Addendum, gültig ab 24. Februar 2025
• Consumer Terms, gültig ab 8. Oktober 2025
• Privacy Center: Rolle als Auftragsverarbeiter, Training, Aufbewahrung für Verbraucherkonten, Aufbewahrung für Organisationen, Aufbewahrung in Enterprise, Zero Data Retention, Speicherort
• Hilfeartikel zu benutzerdefinierten Connectoren
• Regionale Anforderungen und Datenresidenz, Preisseite

Häufige Fragen zu Claude, Datenschutz und DSGVO

Ist Claude DSGVO-konform?

Das lässt sich nicht pauschal sagen, denn die DSGVO bewertet den Einsatz, nicht das Werkzeug. Laut Anthropic gelten in Claude Team, Enterprise und der API gewerbliche Bedingungen mit Auftragsverarbeitungsvertrag, Anthropic als Auftragsverarbeiter, kein Training mit Kundeninhalten und EU-Standardvertragsklauseln für die Übermittlung. Ob dein Einsatz zulässig ist, prüfst du mit deinem Datenschutzbeauftragten oder einer Kanzlei anhand deiner Daten und Zwecke, die Verantwortung liegt beim Unternehmen.

Hat Anthropic einen AVV für Claude?

Laut Anthropic ja, für die gewerblichen Angebote. Das Data Processing Addendum gilt in der aktuellen Fassung seit dem 24. Februar 2025 und ist Bestandteil der Commercial Terms, die für Claude Team, Claude Enterprise und die API gelten. Ein eigenes Formular sieht Anthropic nicht vor. Für Free, Pro und Max ist kein Auftragsverarbeitungsvertrag vorgesehen.

Trainiert Claude mit meinen Daten?

In Team, Enterprise und der API laut Anthropic standardmäßig nicht. Die gewerblichen Bedingungen schließen das Training mit Eingaben und Ausgaben aus. Ausnahme sind Inhalte, die jemand ausdrücklich als Feedback meldet. Inhaber können das Bewerten von Chats für die ganze Organisation abschalten. In Free, Pro und Max trainiert Anthropic, sofern die Person dem nicht in den Kontoeinstellungen widerspricht.

Wo speichert Claude meine Daten?

Laut Anthropic werden Daten in den USA gespeichert, verarbeitet werden können Anfragen in Rechenzentren in den USA, Europa, Asien und Australien. Eine Speicherung in der EU sagt Anthropic für Claude Team nicht zu. Datenresidenz in EU und EWR bietet Anthropic laut eigener Übersicht über Amazon Bedrock und Google Cloud Vertex AI an.

Darf ich Claude Pro geschäftlich nutzen?

Ohne personenbezogene Daten fällt die Frage nach dem Auftragsverarbeitungsvertrag weg. Vertrauliche Inhalte wie Angebote oder Kalkulationen können unter den Verbraucherbedingungen aber ins Training gehen, wenn die Person nicht widerspricht. Sobald Kunden-, Lieferanten- oder Beschäftigtendaten im Spiel sind, braucht es mindestens einen Tarif mit Auftragsverarbeitungsvertrag wie Team oder Enterprise. Ob der Einsatz damit zulässig ist, bleibt eine eigene Prüfung.

Was kostet Claude Team?

Laut Preisseite von Anthropic (Stand 13. Oktober 2026) kostet ein Standard-Platz 20 US-Dollar je Monat bei jährlicher Zahlung und 25 US-Dollar bei monatlicher Zahlung, ein Premium-Platz 100 beziehungsweise 125 US-Dollar, anfallende Steuern laut Preisseite nicht enthalten. Team ist für 2 bis 150 Plätze gedacht. Die Preise ändern sich, maßgeblich ist die aktuelle Preisseite.

Wie lange speichert Claude Team meine Chats?

Eine feste Frist nennt Anthropic für Team nicht, Chats bleiben im Verlauf, bis sie gelöscht werden. Gelöschte Chats entfernt Anthropic binnen 30 Tagen aus den Systemen im Hintergrund. Eine einstellbare Aufbewahrungsfrist gibt es in Claude Enterprise, mit mindestens 30 Tagen.