Wer KI im Betrieb nutzt, gibt Texte, Mails und Unterlagen an einen Dienst weiter, der meist in den USA sitzt. Die Sorge ist berechtigt. Mit einem Geschäftskonto sind Ihre Daten deutlich besser geschützt als mit einem privaten. Eine Garantie gegen jeden Zugriff gibt es bei US-Anbietern allerdings nicht, und das sagen wir auch so.
Wir arbeiten mit Claude von Anthropic. Die Angaben unten beziehen sich deshalb auf Claude. Bei anderen Anbietern sind die Fragen dieselben, die Antworten können abweichen.
Geschäftskonto und Privatkonto sind zwei verschiedene Dinge
Für die Geschäftsangebote von Anthropic (Claude Team, Claude Enterprise und die Schnittstelle für Entwickler) gilt laut Anbieter:
- Ihre Eingaben und die Antworten werden nicht zum Training der KI verwendet. Eine Ausnahme ist Feedback, das Sie ausdrücklich per Daumen abgeben. Bei Team und Enterprise lässt sich auch das abschalten.
- Seit dem 24.02.2025 gibt es einen Auftragsverarbeitungsvertrag mit den Standardvertragsklauseln der EU.
- Gelöschte Daten sind binnen 30 Tagen entfernt. Inhalte, die wegen eines Verstoßes gegen die Nutzungsregeln markiert wurden, können bis zu zwei Jahre gespeichert bleiben.
Für private Konten gelten andere Bedingungen. Firmendaten gehören deshalb nie in ein privates Konto, auch nicht „nur mal kurz“.
Wo Ihre Daten verarbeitet werden
Wer Claude direkt nutzt, kann zwischen einer weltweiten Verarbeitung und einer Verarbeitung in den USA wählen. Eine Verarbeitung in der EU gibt es über die großen Cloud-Plattformen, etwa Amazon Bedrock mit Rechenzentrum in Frankfurt, Google Vertex oder Microsoft Foundry. Für Claude Team haben wir zum Stand dieses Artikels keine Möglichkeit gefunden, die Verarbeitung auf die EU zu beschränken.
Können US-Behörden auf die Daten zugreifen?
Grundsätzlich ja. Nach dem amerikanischen CLOUD Act (18 U.S.C. § 2713) müssen US-Anbieter Daten herausgeben, die sie besitzen oder kontrollieren, auch wenn diese außerhalb der USA gespeichert sind. Ein Rechenzentrum in Frankfurt ändert daran nichts. Entscheidend ist, wer die Kontrolle über die Daten hat, nicht wo sie liegen.
Wie oft das passiert, zeigt der Transparenzbericht von Anthropic. Für Juli bis Dezember 2025 nennt er zwei behördliche Anfragen auf Inhaltsdaten. In beiden Fällen wurden Daten herausgegeben.
Rechtlich erlaubt die DSGVO die Übermittlung in die USA derzeit über das EU-US Data Privacy Framework (Beschluss 2023/1795). Das Gericht der EU hat eine Klage dagegen am 03.09.2025 abgewiesen. Das Rechtsmittel beim Europäischen Gerichtshof läuft noch. Ob der Rahmen dauerhaft hält, ist offen.
Was Sie selbst tun können
- Nur Geschäftskonten nutzen, die auf Ihre Firma laufen
- Die Nutzung zum Training ausschalten, wo das möglich ist
- Den Auftragsverarbeitungsvertrag des Anbieters abschließen und ablegen
- Keine Gesundheitsdaten und anderen besonders geschützten Daten eingeben, und personenbezogene Daten nur, wo sie für die Aufgabe nötig sind
- Den Dienst ins Verarbeitungsverzeichnis aufnehmen und Ihren Datenschutzbeauftragten einbinden
- Das verbleibende Risiko bewusst abwägen und die Entscheidung schriftlich festhalten
Wie wir damit umgehen
Die Claude-Lizenz läuft auf Ihren Namen, Ihre Daten liegen in Ihrem Konto. Wir richten die Einstellungen ein, beschreiben die Datenflüsse und liefern die Unterlagen für Ihren Datenschutzbeauftragten.
Aus dem Brandschutz kennen wir das Prinzip. Gute Vorkehrungen machen einen Brand unwahrscheinlicher, unmöglich machen sie ihn nicht. Bei KI ist es ähnlich. Wir helfen Ihnen, die Risiken zu kennen, zu verringern und Ihre Entscheidung nachvollziehbar festzuhalten. Die rechtliche Bewertung im Einzelfall übernimmt Ihr Datenschutzbeauftragter oder Ihre Kanzlei.
Quellen
- Anthropic: Nutzung von Daten zum Training (Geschäftskonten)
- Anthropic: Auftragsverarbeitungsvertrag
- Anthropic: Aufbewahrung und Löschung
- Anthropic: Behördenanfragen und Transparenzbericht
- Anthropic: Datenresidenz
- CLOUD Act, 18 U.S.C. § 2713
- Durchführungsbeschluss (EU) 2023/1795 zum Data Privacy Framework
Dieser Artikel ist allgemeine Information und keine Rechtsberatung. Für Ihren Einzelfall fragen Sie Ihren Datenschutzbeauftragten oder Ihre Kanzlei.