Claude Team DSGVO: Vertrag, Datenhaltung und Einrichtung

Für den Team-Tarif von Claude gilt die kommerzielle Vertragsschiene von Anthropic. Der Auftragsverarbeitungsvertrag (DPA) mit Standardvertragsklauseln ist laut Anbieter automatisch Teil der Commercial Terms. Damit ist die vertragliche Grundlage für Claude Team und DSGVO gelegt, aber die Arbeit ist nicht erledigt. Ob Ihr Einsatz mit personenbezogenen Daten zulässig ist, hängt von Zweck, Rechtsgrundlage, Datenart, Admin-Einstellungen und Ihrer eigenen Prüfung ab.

Die Frage, die wir von Geschäftsführungen am häufigsten hören, lautet: Darf mein Team Claude nutzen, ohne dass wir ein Datenschutzproblem bekommen? Dieser Artikel beschreibt den vom Anbieter veröffentlichten Stand der Bedingungen. Er ist keine Rechtsberatung. Grundlage ist der Artikel im Anthropic Privacy Center zum DPA, datiert auf den 16. März 2026. Vertragsdokumente ändern sich. Lesen Sie den aktuellen Stand deshalb selbst, bevor Sie entscheiden. Wenn Sie dabei Unterstützung brauchen, finden Sie unter unseren Leistungen die passenden Formate.

Ist der Team-Tarif für personenbezogene Daten geeignet?

Anthropic trennt klar zwischen Consumer-Produkten und kommerziellen Produkten. Der DPA-Artikel im Privacy Center gilt ausdrücklich für kommerzielle Produkte wie Claude for Work und die Claude API. Für Claude Free und Claude Pro verweist er auf eine eigene Sammlung von Hilfeartikeln. Praktisch heißt das: Ein Mitarbeiter, der mit seinem privaten Pro-Konto Kundendaten verarbeitet, ist keine Lösung. Das ist Schatten-IT, und Ihr Unternehmen hat dafür keinen kommerziellen Vertrag mit dem Anbieter.

Der Team-Tarif ist also die Voraussetzung, nicht das Ergebnis. Ein Tarif allein macht keinen Prozess DSGVO-konform. Ob Sie personenbezogene Daten verarbeiten dürfen, hängt von mehreren Faktoren ab:

• Zweck und Rechtsgrundlage: Wofür genau wird Claude eingesetzt, und worauf stützt sich die Verarbeitung?
• Art der Daten: Besondere Kategorien nach Art. 9 DSGVO, etwa Gesundheitsdaten, brauchen deutlich mehr Prüfung.
• Datenschutz-Folgenabschätzung: Ob eine DSFA nach Art. 35 DSGVO nötig ist, entscheiden Sie gemeinsam mit Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten.
• Dokumentation: Verarbeitungsverzeichnis und Information der Betroffenen müssen den neuen Einsatz abbilden.

Für Gesundheitswesen und Non-Profit-Organisationen ist der zweite Punkt oft der entscheidende. Wer mit Klientendaten arbeitet, sollte die Prüfung nicht abkürzen.

Welche Dokumente müssen vorliegen: AVV, Vertragspartner, Drittlandtransfer?

Beim AVV bzw. DPA ist die Mechanik einfach. Laut Privacy Center wird das Anthropic-DPA mit Standardvertragsklauseln (SCCs) automatisch in die Commercial Terms of Service einbezogen. Wer die Commercial Terms akzeptiert, akzeptiert damit auch das DPA. Eine separate Unterschrift ist nach dieser Darstellung nicht vorgesehen. Für Ihre Akte bedeutet das: Archivieren Sie die Version der Commercial Terms und des DPA, die zum Zeitpunkt Ihres Vertragsabschlusses galt.

Eine wichtige Ausnahme betrifft Drittplattformen. Wenn Sie Claude über eine andere Plattform oder einen Dienstleister nutzen, gelten laut Anbieter die Nutzungsbedingungen dieser Plattform. Das betrifft etwa Claude in anderen Produkten oder über Cloud-Marktplätze. Dort ist dann der Vertrag mit dem Plattformbetreiber maßgeblich, nicht das Anthropic-DPA.

Welche Anthropic-Gesellschaft Ihr Vertragspartner ist, steht in den Commercial Terms. Lesen Sie das nach und tragen Sie es in Ihr Verarbeitungsverzeichnis ein. Beim Drittlandtransfer wissen wir aus dem Privacy Center, dass das DPA SCCs enthält. Offen bleibt für Ihre Prüfung, welches Modul der SCCs gilt, ob Sie ein Transfer Impact Assessment brauchen, ob eine Zertifizierung unter dem EU-US Data Privacy Framework besteht und welche Unterauftragnehmer wo sitzen. Diese Punkte klären Sie anhand des DPA und des Trust Centers.

Zur eigenen Dokumentation gehören außerdem eine kurze interne KI-Richtlinie und, falls vorhanden, die Einbindung des Betriebsrats. Gerade wenn Arbeitsergebnisse oder Nutzungsdaten von Mitarbeitenden im System landen, sollten Sie das früh besprechen.

So prüfen Sie den Stand selbst

• Commercial Terms lesen, Vertragspartner und Laufzeit notieren.
• Data Processing Addendum lesen, SCC-Modul und Unterauftragnehmer prüfen.
• Trust Center auf Zertifizierungen und Sicherheitsunterlagen durchsehen.
• Datum der Prüfung festhalten und jede Version als PDF oder Screenshot ablegen.

Wo liegen die Daten, und werden sie zum Training genutzt?

Diese Fragen sind für viele Entscheider die wichtigsten. Wir beantworten sie hier bewusst nicht mit einer pauschalen Aussage, weil die verbindliche Antwort in den aktuellen Dokumenten des Anbieters steht. Ob Team-Daten standardmäßig für das Modelltraining verwendet werden, beschreibt Anthropic im Artikel Is my data used for model training?. Prüfen Sie dort auch, wie Feedback-Funktionen wie Daumen hoch oder runter die Datennutzung beeinflussen.

Genauso müssen Sie Speicherort und Aufbewahrung klären. Gibt es für den Team-Tarif eine Datenhaltung in der EU? Wie lange werden Chats gespeichert, und was passiert mit gelöschten Chats? Der Unterschied ist erheblich. Werden Daten in der EU verarbeitet, ist die Lage anders als bei einer Verarbeitung, die sich auf SCCs stützt. Wenn Sie keine EU-Datenhaltung belegen können, ist der Drittlandtransfer der Normalfall. Dann muss er sauber dokumentiert sein, und Ihre Datenschutzbeauftragte oder Ihr Datenschutzbeauftragter muss ihn bewerten.

Welche Admin-Einstellungen setzen Sie vor dem ersten Login?

Die Reihenfolge ist entscheidend: erst die Einstellungen, dann die Einladungen. Wer zuerst alle Mitarbeitenden einlädt und danach konfiguriert, hat bereits Daten im System, bevor die Regeln stehen. Prüfen Sie im aktuellen Support-Center des Anbieters, welche Funktionen der Team-Tarif konkret bietet. Diese Punkte sollten Sie im Admin-Bereich durchgehen:

• Domain-Verifizierung und der Umgang mit privaten Konten, die eine Firmenadresse nutzen.
• Single Sign-On und Benutzerverwaltung, soweit im Tarif verfügbar.
• Rollen wie Owner, Admin und Mitglied. Klären Sie, wer Rechnungen und Verträge sieht.
• Standardwerte für Connectors, Integrationen, Web-Suche, Datei-Uploads und Code-Ausführung.
• Aufbewahrung, Export und Löschung. Wer darf Chats anderer einsehen?
• Freigabe und Sichtbarkeit von Projekten innerhalb des Teams.

Organisatorisch gehört vor den ersten Login eine verantwortliche Person, eine schriftliche interne Regel und eine geplante Schulung der Anwender. Starten Sie mit einer Pilotgruppe statt mit einem Rollout an alle. Bedenken Sie außerdem: Jede Anbindung an CRM, ERP oder Mailsystem verändert die Datenlage und braucht eine eigene Prüfung. Aus unserem Projekt mit einer großen österreichischen Sozialorganisation wissen wir, dass die Automatisierung technisch läuft, der Echtbetrieb aber an gewachsenen Abläufen mit uneinheitlichen Formaten und vielen Eingangskanälen hängt, nicht an der KI. Für den Datenschutz heißt das: Je mehr Kanäle Daten liefern, desto genauer müssen Sie wissen, was tatsächlich im Tool landet. Wie wir solche Abläufe analysieren, beschreibt unsere Methodik.

Claude Team und DSGVO: Welche Daten gehören nicht hinein?

Eine Negativliste leiten Sie aus Ihrer eigenen Risikobewertung ab, nicht aus einer Vorgabe des Anbieters. Als Ausgangspunkt empfehlen wir, folgende Daten auszuschließen, bis eine eigene Freigabe vorliegt:

• Besondere Kategorien wie Gesundheits-, Sozial- und Suchtdaten oder Gewerkschaftszugehörigkeit, solange Rechtsgrundlage, DSFA und Freigabe fehlen.
• Personalakten, Bewerbungen und Leistungsbeurteilungen.
• Kundendaten, bei denen Vertrag oder NDA eine Weitergabe an Dienstleister ausschließt.
• Zugangsdaten, Schlüssel und Passwörter.
• Geschäftsgeheimnisse unter Geheimhaltungsvereinbarung.

Oft gibt es eine bessere Alternative als das Weglassen. Anonymisieren oder pseudonymisieren Sie Daten, arbeiten Sie mit Platzhaltern statt Namen und mit Mustern statt Echtdaten. Für viele Aufgaben wie Textentwürfe, Strukturierung oder Zusammenfassungen reicht das völlig.

Im Gesundheitswesen und Non-Profit-Bereich sind Klientendaten der heikelste Punkt. Hier sollte nichts ohne DSFA und klare Freigabe ins Tool. In der Fertigung geht es eher um Konstruktionsdaten und Lieferantenverträge, die oft unter Geheimhaltung stehen. Im Projektmanagement landen schnell Teilnehmerlisten und Protokolle mit Namen im Chat. Eine einfache Regel hilft: Namen vor dem Einfügen durch Rollen ersetzen.

Manchmal ist die richtige Antwort auch: nicht in die KI. Eine bessere Vorlage oder ein klarer Workflow löst das Problem dann ohne jedes Datenschutzrisiko.

Was kostet der Team-Tarif, und lohnt er sich?

Preis, Mindestanzahl an Plätzen und Unterschiede zwischen den Sitzarten finden Sie auf der Preisseite von Anthropic. Wir nennen hier bewusst keine Zahl, weil sich diese Angaben ändern. Prüfen Sie dort auch Währung und Steuer, also ob Preise netto oder brutto und in Dollar oder Euro ausgewiesen sind.

Ob sich der Tarif lohnt, hängt von der Zahl der Nutzer ab, von der Nutzungsintensität und vor allem davon, ob ein konkreter Prozess dahintersteht. Ein Werkzeug ohne klaren Anwendungsfall bringt keinen Gewinn. Lizenzen für alle zu kaufen und abzuwarten, was passiert, ist die teuerste Variante.

Wie gehen Sie in der Praxis vor?

Diese Reihenfolge hat sich bewährt:

1. Anwendungsfall und Datenarten festlegen.
2. Aktuelle Commercial Terms und DPA lesen, Stand archivieren.
3. Datenschutzbeauftragte oder Datenschutzbeauftragten und gegebenenfalls Betriebsrat einbinden, über die DSFA entscheiden.
4. Admin-Einstellungen setzen.
5. Pilotgruppe mit schriftlicher Regel starten.
6. Nach einigen Wochen überprüfen, was tatsächlich eingegeben wurde.

Der letzte Schritt wird oft vergessen. Dabei zeigt er am besten, ob Ihre Regel im Alltag funktioniert oder ob Sie nachschärfen müssen.

Ihr nächster Schritt

Bei Claude Team und DSGVO ist der Vertrag selten das Hauptproblem. Meist ist ungeklärt, welche Daten wohin dürfen und wer das im Alltag kontrolliert. Wenn Sie das für Ihr Unternehmen sauber aufsetzen wollen, vereinbaren Sie ein kostenfreies Erstgespräch von 30 Minuten. Dort klären wir Anwendungsfall, Datenarten und die nächsten konkreten Schritte. Kontakt aufnehmen