Claude AVV prüfen: Was im DPA für Betriebe zählt

Anthropic stellt für seine kommerziellen Angebote ein Data Processing Addendum bereit, kurz DPA. Wer nach einem Claude AVV sucht, findet die einschlägigen Anbieterangaben in diesem DPA. Ob und wie der konkrete Einsatz datenschutzrechtlich einzuordnen ist, hängt von Rollen, Daten und Vertragsweg im Einzelfall ab. Im Data Processing Addendum von Anthropic steht: „This Data Processing Addendum is incorporated into and forms part of the Anthropic Commercial Terms of Service or other agreement between Customer and Anthropic that references this DPA and governs Customer’s use of the Services.“ Es hängt also am kommerziellen Vertrag. Greifen Ihre Leute über eine Drittplattform auf Claude zu, gelten für diesen Zugriff nach Anthropic die Bedingungen der Drittplattform; zusätzliche Vertragsbeziehungen müssen gesondert geprüft werden.

Dieser Beitrag ist eine fachliche Einordnung und keine Rechtsberatung. Für die Bewertung Ihres konkreten Falls brauchen Sie eine fachkundige Prüfung.

Was ist ein AVV, und warum steht bei Claude überall DPA?

Anthropic bezeichnet das einschlägige Dokument in seinen Vertragsunterlagen als Data Processing Addendum, kurz DPA. Dieser Beitrag verwendet dafür zusätzlich den deutschen Suchbegriff Claude AVV. Er erklärt den Anbieter-Vertragsrahmen und ersetzt keine rechtliche Einordnung des Einzelfalls.

Die Rollenverteilung darin ist knapp formuliert. Im Anthropic-DPA heißt es: „With respect to Customer Personal Data, Customer is the controller and Anthropic is Customer’s processor.“ Das beschreibt die Rollen im Anthropic-DPA. Welche datenschutzrechtliche Einordnung für Ihren konkreten Einsatz gilt, muss gesondert geprüft werden.

Anthropic formuliert im DPA: „Unless required by applicable law to which Anthropic is subject, Anthropic will only process Customer Personal Data to provide or maintain the Services, and in compliance with Customer’s documented instructions.“ Das DPA knüpft die Verarbeitung damit an dokumentierte Kundenweisungen. Welche konkrete Dokumentation dafür erforderlich ist, muss im Einzelfall geprüft werden.

Brauche ich für Claude überhaupt einen AVV?

Erfassen Sie für die Prüfung Ihres konkreten Einsatzes den tatsächlichen Zugangsweg und die verwendeten Datenarten. Die rechtliche Einordnung des Einzelfalls gehört zu einer zuständigen Aufsichtsbehörde oder fachkundigen Rechtsberatung.

Drei Wenn-dann-Regeln zur Selbsteinordnung:

• Wenn Sie Claude direkt bei Anthropic kommerziell nutzen, dann prüfen Sie, ob Ihr Vertrag das DPA einbezieht, und halten Sie das Ergebnis schriftlich fest.
• Wenn Sie Claude über eine Drittplattform, einen Reseller oder ein integriertes Werkzeug nutzen, dann ist der Anthropic-Vertrag nicht automatisch Ihre Grundlage. Die Anthropic-Hilfeseite zum DPA hält fest: „If you access Claude via a third-party platform or service provider, your use of Claude in those cases is governed by the third-party platform's terms of service.“ Sie prüfen dann die Verträge dieses Anbieters.
• Wenn Sie noch mit privaten Konten testen, dann klären Sie zuerst die Kontostruktur, bevor Sie über Verträge sprechen.

Für besondere Kategorien personenbezogener Daten, Berufsgeheimnisse und regulierte Fachprozesse lässt sich aus den Anbieterdokumenten keine allgemeine Freigabe ableiten. Diese Fälle gehören in eine eigene Prüfung mit fachkundiger Begleitung.

Wie kommt das DPA bei Anthropic zustande?

Über den kommerziellen Vertrag. Das DPA ist als Zusatz zu den Commercial Terms of Service konstruiert und wird nach Angabe von Anthropic Teil dieser Vereinbarung, sobald der Vertrag darauf verweist.

Für die Praxis heißt das: Sie brauchen Klarheit darüber, welcher Vertrag für Ihr Konto gilt. Genau hier wird es in Betrieben unscharf. Ein Team hat ein Konto, die Geschäftsführung ein anderes, die Marketingagentur nutzt ihr eigenes.

Anthropic unterscheidet dabei zwischen kommerziellen und Verbraucherprodukten. In der Anthropic-Hilfeseite zur Rollenverteilung steht: „When a commercial customer creates a Claude for Work account (Team or Enterprise plan), under our Commercial Terms of Service the customer is the Controller of the data submitted by its Users.“ Für andere Zugangsarten muss der tatsächlich geltende Vertragsrahmen gesondert geprüft werden. Entscheidend ist deshalb, die im Betrieb verwendeten Konten und Bezugswege vollständig zu erfassen.

Was steht drin, das für einen Mittelständler wirklich zählt?

Vier Punkte lösen in Betrieben die meisten Diskussionen aus: Training mit Ihren Daten, Rechte an den Ergebnissen, Speicherdauer und die Vertragskette bei Drittanbietern.

Zum Training hält Anthropic fest: „Anthropic does not use the data you share when using our commercial products to train our models, unless you choose to participate in our Development Partner Program.“ Das ist die Aussage, nach der ein Betriebsrat oder ein Datenschutzbeauftragter zuerst fragt. Beachten Sie den Nebensatz — es gibt eine freiwillige Ausnahme.

Zu den Rechten an Ein- und Ausgaben steht in den Commercial Terms of Service: „As between the parties and to the extent permitted by applicable law, Anthropic agrees that Customer retains all rights to its Inputs, and owns its Outputs.“ Für die Frage, ob Sie generierte Texte im Betrieb weiterverwenden dürfen, ist das der relevante Satz.

Bei der Speicherdauer wird es differenziert, und hier entstehen viele Missverständnisse. Für gespeicherte Unterhaltungen schreibt Anthropic: „If you use our other commercial products that allow you to save and continue conversations with Claude, we retain your chats and coding sessions in the product to provide you with a consistent product experience.“ Für einen bestimmten Modus dagegen gilt laut derselben Anthropic-Seite: „Incognito chats are automatically deleted within 30 days unless flagged as a Usage Policy violation.“ Eine einheitliche Löschfrist für alle Claude-Konfigurationen lässt sich daraus nicht ableiten. Prüfen Sie das je Produkt und Konto.

Nutzungsweg	Vertragliche Grundlage	Aufwand vor dem Start	Hauptrisiko	Wann sinnvoll
Kommerzielles Konto direkt bei Anthropic	DPA als Teil der Commercial Terms	Vertragsprüfung und Dokumentation der eigenen Weisungen	Unklare Kontostruktur im Betrieb	Sie wollen Claude breit im Team einsetzen
Zugriff über Drittplattform oder Reseller	Bedingungen des Drittanbieters	Zusätzliche Vertrags- und Datenschutzprüfung dieses Anbieters	Vertragskette wird nicht vollständig geprüft	Claude steckt in einem Werkzeug, das Sie ohnehin nutzen
Noch nicht zugeordneter Zugang	Vertragsrahmen offen	Konto und Bezugsweg erfassen	Falsche Zuordnung zum Anbieter-DPA	Bis zur Klärung nur mit freigegebenen Testdaten
Kein personenbezogener Inhalt	Frage der Auftragsverarbeitung stellt sich anders	Interne Regel, was rein darf und was nicht	Regel wird im Alltag nicht eingehalten	Sie starten mit Textarbeit ohne Personendaten

Woran scheitert die AVV-Prüfung in der Praxis?

Oft nicht am Vertrag, sondern an der Kontolandschaft. Ein möglicher Verlauf: Die Geschäftsführung klärt Vertrag und Rollen sauber und verabschiedet eine interne Regelung — und im Vertrieb läuft weiter ein privates Abonnement, weil das schon vor dem Projekt da war. Der Vertrag ist dann formal in Ordnung und praktisch wirkungslos.

Frühwarnzeichen, auf die Sie achten sollten:

• Niemand im Haus kann benennen, wie viele Claude-Zugänge existieren und wem sie gehören.
• Die Abrechnung läuft über eine Privatkarte oder die Spesenabrechnung.
• Auf die Frage „Was darf da rein?“ kommen aus zwei Abteilungen zwei verschiedene Antworten.
• Eine Integration nutzt Claude im Hintergrund, und niemand hat die Bedingungen dieses Anbieters gelesen.

Ein zweiter Stolperstein ist die dokumentierte Weisung. Prüfen Sie besonders, ob Ihre interne KI-Regelung tatsächlich beschreibt, welche Daten für welchen Zweck verarbeitet werden dürfen. Eine Handreichung dazu finden Sie im Beitrag zur KI-Richtlinie als einseitige Vorlage für KMU.

Wer die Dokumentationsseite strukturiert angehen will, findet in der 12-Punkte-Checkliste für DSGVO-konforme KI-Nutzung die praktischen Schritte. Gehen Sie die Vertragsprüfung im selben Zuschnitt an: nicht alles auf einmal, sondern passend zum geplanten Einsatz.

Wann Sie sich die AVV-Diskussion sparen können

Es gibt Situationen, in denen die Vertragsprüfung nicht Ihr erster Schritt ist. Wenn Claude bei Ihnen bisher nur Blogtexte formuliert, Produktbeschreibungen umschreibt oder öffentliche Fachartikel zusammenfasst und keine Personendaten eingegeben werden, dann ist eine große Vertrags- und Dokumentationsrunde verfrüht. Klären Sie in diesem Fall zuerst intern, was ins Werkzeug darf, und schreiben Sie diese Regel in fünf Sätzen auf.

Genauso ehrlich: Ein Vertragsdokument beantwortet nicht, ob ein bestimmter Prozess mit KI sinnvoll ist, ob Ihre Leute das Werkzeug bedienen können und ob die Ergebnisse Ihre Qualitätsanforderungen erfüllen. Für besonders geschützte Datenarten oder regulierte Fachprozesse ersetzt dieser Beitrag keine juristische Prüfung Ihres Einzelfalls.

Wer ohnehin kein kommerzielles Konto führen will, weil eine einzelne Person gelegentlich etwas ausprobiert, steckt den Aufwand besser in eine klare Nutzungsgrenze als in Vertragsprüfungen.

Welcher erste Schritt bringt sofort Klarheit?

Erstellen Sie eine Bestandsliste der Claude-Zugänge. Setzen Sie sich dafür eine Zeitbox von vierzig Minuten und öffnen Sie eine leere Tabelle mit drei Spalten: Wer nutzt Claude, über welchen Weg, mit welchen Daten. Fragen Sie dafür nicht die IT, sondern die Abteilungen — Vertrieb, Buchhaltung, Personal. Mehr als diese Liste ist in diesem Schritt nicht vorgesehen.

Danach sortieren Sie jede Zeile in eine von drei Schubladen: direkt bei Anthropic kommerziell, über einen Drittanbieter, privates Konto. Für die zweite Schublade notieren Sie den Namen des Anbieters, dessen Bedingungen Sie prüfen müssen. Für die dritte Schublade legen Sie ein Enddatum fest.

Das ist unspektakulär und fühlt sich wie Verwaltungsarbeit an. Es ist aber die Liste, ohne die jede Vertragsprüfung im Nebel stattfindet. Erst danach lohnt der Blick in die Dokumente selbst.

Wenn Sie an diesem Punkt merken, dass Lizenzmodelle, Kontostruktur und Datenschutzfragen zusammen entschieden werden müssen, sortieren Sie das am besten mit der Übersicht zu Claude im Unternehmen mit Lizenzen, Kosten und AVV. Die Eigentümerseite zu Claude für Unternehmen deckt Lizenzen, Kosten und den kommerziellen Einstieg ab; dieser Beitrag bleibt auf die vertragliche DPA-/AVV-Prüfung begrenzt. Beides gehört auf denselben Tisch, bevor Sie im Betrieb breit einsteigen.

Ein Hinweis zur Abgrenzung: Datenschutzvertrag und KI-Regulierung sind zwei verschiedene Baustellen. Verwechseln Sie sie nicht, und arbeiten Sie beide nicht gleichzeitig ab. Wer beides trennen will, findet die Einordnung im Praxisleitfaden zum EU AI Act für KMU.

Stand der hier zitierten Quellen: Abruf am 31. August 2026. Vertragsfassungen ändern sich; prüfen Sie das Datum der Dokumente, bevor Sie eine Entscheidung darauf stützen. Für die Bewertung Ihrer konkreten Lage ist die zuständige Aufsichtsbehörde oder eine fachkundige Rechtsberatung der richtige Ansprechpartner.