Zweck und Rechtsgrundlage vor dem Upload klären
Beschreiben Sie, wofür personenbezogene Informationen verarbeitet werden und welche Angaben dafür wirklich benötigt werden. Artikel 6 DSGVO verlangt eine passende Rechtsgrundlage; besondere Datenkategorien können zusätzliche Voraussetzungen auslösen. Eine interne Freigabe oder ein kostenpflichtiges Claude-Konto ersetzt diese Prüfung nicht. Für einen ersten Versuch eignen sich Daten, die den gewählten Zweck ohne unnötige Personenbezüge abbilden.
Den tatsächlichen Claude-Zugang prüfen
Anthropic unterscheidet kommerzielle Angebote von privaten Konten. Für kommerzielle Nutzung sind die DPA und vertraglichen Regeln relevant; bei Drittplattformen gelten deren Bedingungen. Die dokumentierte Trainingszusage für kommerzielle Chats und Coding-Sitzungen enthält Ausnahmen bei ausdrücklicher Teilnahme oder Rückmeldung. Sie ist deshalb weder eine allgemeine Löschzusage noch eine Garantie für jeden verbundenen Dienst.
Die Prüfung an einem konkreten Ablauf abschließen
Bei einer Antwort auf eine Kundenanfrage erfassen Sie Eingabe, Verarbeitung, Ablage und Weitergabe einzeln. Prüfen Sie Auftragsverarbeitung, gegebenenfalls Drittlandübermittlung, Informationspflichten, Löschwege und Zugriff. Bei voraussichtlich hohem Risiko ist die Erforderlichkeit einer Datenschutz-Folgenabschätzung zu klären. Das dokumentierte Ergebnis benennt zulässigen Umfang, offene Punkte und den Anlass einer erneuten Prüfung.
Entscheidungsmatrix
| Prüfpunkt | Weiter, wenn | Stoppen, wenn |
|---|---|---|
| Daten und Verantwortung | Dokumentiert: Datenklasse, Kontoart, Connectoren, Retention und menschliche Freigabe. | Scope, Daten oder Verantwortung sind noch ungeklärt. |
| Kontrollnachweis | Ein prüfbarer Nachweis verbindet den beschriebenen Anwendungsfall mit dokumentierten Kontoeinstellungen, betroffenen Connector-Rechten und den dafür einschlägigen Anbieterunterlagen. Nicht bestätigte Angaben bleiben ausdrücklich offen. | Es liegt nur eine unbewertete Demo ohne Abnahmenachweis vor. |
| Freigabegrenze | Owner, Freigabe, Ersatzweg und nächster Prüftermin sind festgelegt. | Zu vermeiden: pauschale Compliance-Aussagen ohne konkreten Datenweg. Ohne benannten Datenweg, überprüfte Rahmenbedingungen und zuständige Freigabe kann aus diesem Leitfaden keine Aussage zur Zulässigkeit eines konkreten Einsatzes abgeleitet werden. |
Nachvollziehbar bleiben
Primärquellen
- Anthropic: Commercial data and model trainingQuellenstand:
- Anthropic: Data Processing AddendumQuellenstand:
- EUR-Lex: Regulation (EU) 2016/679Quellenstand:
