--- title: "Ist Anthropic DSGVO-konform? Leitfaden für Unternehmen (2026)" description: "Anthropic und DSGVO: AVV, US-Datenspeicherung, ZDR-Grenzen, Standardvertragsklauseln und Prüfungen vor dem Einsatz von Claude mit personenbezogenen Daten." image: "https://compound.law/assets/images/og-image-de.webp" source: "https://compound.law/de-DE/compliance/anthropic-dsgvo-compliance/" language: "de" --- ![Überblick zur DSGVO-Prüfung von Anthropic für Unternehmen in Deutschland](https://compound.law/assets/images/compliance/compliance_1.webp) Leitfäden # Ist Anthropic DSGVO-konform? Leitfaden für Unternehmen (2026) 13\. Mai 2026 Anthropic und DSGVO im Überblick Anthropic stellt Verträge und Sicherheitsmaßnahmen bereit, die einen DSGVO-konformen Einsatz von Claude unterstützen können. Sie machen nicht jede Nutzung rechtmäßig. Ihr Unternehmen muss Rechtsgrundlage, Datenflüsse, Speicherfristen und Risiken prüfen. Welche Bedingungen und Schutzmaßnahmen gelten, hängt vom Produkt und vom Zugangsweg ab. - Anthropics AVV ist in die kommerziellen Bedingungen einbezogen. Für Drittplattformen gelten eigene Bedingungen. - Die aktuelle öffentliche Dokumentation nennt die USA als Speicherort. Ein Enterprise-Tarif belegt keine ausschließliche Verarbeitung in der EU. - ZDR hängt von Dienst, Modell, Funktion und Vereinbarung ab. Ausnahmen von der Löschung können gelten. - Prüfen Sie internationale Datentransfers und die Pflicht zur Datenschutz-Folgenabschätzung vor der Verarbeitung. **Anthropic stellt Verträge und Sicherheitsmaßnahmen bereit, die einen DSGVO-konformen Einsatz von Claude unterstützen können.** Diese Maßnahmen machen nicht jede Nutzung rechtmäßig. Ihr Unternehmen muss Zweck, Rechtsgrundlage, Datenflüsse, Speicherfristen und Risiken prüfen. Welche Bedingungen und Schutzmaßnahmen gelten, hängt vom Produkt und vom Zugangsweg ab. **Zuletzt geprüft: 22. September 2026.** Dieser Leitfaden behandelt die geschäftliche Nutzung in Deutschland unter der DSGVO. Er beruht auf öffentlich zugänglichen Unterlagen. Individuell ausgehandelte Verträge können abweichende Regelungen enthalten. Die Seite bietet allgemeine Informationen und keine Rechtsberatung für einen konkreten Sachverhalt. | Prüfbereich | Was Sie prüfen sollten | | ----------------------------------------------- | --------------------------------------------------------------------------- | | Art. 28 DSGVO — Auftragsverarbeitung | Geltender AVV und Rollen der Parteien | | Kapitel V DSGVO — Internationale Datentransfers | Transfermechanismus, Empfänger, Zielland und erforderliche Prüfung | | Art. 32 DSGVO — Sicherheit | Einschlägige Prüfberichte, Zertifikate und tatsächlich umgesetzte Maßnahmen | | Datenminimierung und Speicherfristen | Erforderliche Daten, Löschfristen und mögliche ZDR-Ausnahmen | | Datenstandorte | Speicherung, Inferenz, Supportzugriffe und Sicherheitsprüfungen | | Art. 35 DSGVO — Verarbeitung mit hohem Risiko | Pflicht zur Datenschutz-Folgenabschätzung vor dem Einsatz | ## Ist Anthropic DSGVO-konform? Verträge und Sicherheitsnachweise eines Anbieters dienen als Grundlage für Ihre Prüfung. Sie belegen nicht, dass ein konkreter KI-Einsatz rechtmäßig ist. Ihr Unternehmen muss festlegen, welche personenbezogenen Daten es zu welchem Zweck und auf welcher Rechtsgrundlage übermitteln darf. Hinzu kommen geeignete Zugriffskontrollen, Löschregeln und Verfahren zur Wahrung der Betroffenenrechte. Dokumentieren Sie die Prüfung für den tatsächlichen Arbeitsablauf. Eine Anwendung für Beschäftigtendaten erfordert beispielsweise eine andere Bewertung als eine Anwendung, die ausschließlich öffentliche Texte ohne Personenbezug verarbeitet. Prüfen Sie den Einsatz erneut, wenn sich Zweck, Daten, Modell oder angebundene Dienste ändern. ## Anthropic als Auftragsverarbeiter: Die Rollen richtig bestimmen Für Kundendaten im Geltungsbereich seines kommerziellen AVV beschreibt Anthropic sich als Auftragsverarbeiter. Übertragen Sie diese Rolle nicht pauschal auf die Verarbeitung von Konto-, Abrechnungs- oder sonstigen Daten. Siehe [Anthropics Erläuterung seiner Rolle](https://privacy.claude.com/en/articles/9267385-does-anthropic-act-as-a-data-processor-or-controller). Bestimmen Sie die Rollen für Ihren Arbeitsablauf: - **Verantwortlicher:** entscheidet über Zwecke und Mittel der Verarbeitung. - **Auftragsverarbeiter:** verarbeitet personenbezogene Daten im Auftrag eines Verantwortlichen. - **Unterauftragsverarbeiter:** wird von einem Auftragsverarbeiter mit der Verarbeitung für den Verantwortlichen beauftragt. Ein Unternehmen, das Claude nutzt, kann selbst Auftragsverarbeiter für seine Kunden sein. Erfassen Sie Anthropic je nach Konstellation als Auftragsverarbeiter oder Unterauftragsverarbeiter. Prüfen Sie die erforderlichen Weisungen und Genehmigungen. Die bloße Eigenschaft als Dienstleister macht Anthropic nicht zum Unterauftragsverarbeiter. Bei einem Zugang über Amazon Bedrock oder Microsoft Foundry müssen Sie die Verträge und Datenflüsse der gewählten Plattform prüfen. Diese Zugangswege haben nicht zwangsläufig dieselbe Vertragskette. Anthropic verweist für Drittplattformen ausdrücklich auf deren Bedingungen. Microsoft bietet seine Claude-Integration über **Microsoft Foundry** an. Siehe [Anthropics Hinweis zu Drittplattformen](https://privacy.claude.com/en/articles/7996862-how-do-i-view-and-sign-your-data-processing-addendum-dpa) und [Microsofts Dokumentation](https://learn.microsoft.com/en-us/azure/foundry/how-to/develop/sdk-overview). ## Auftragsverarbeitungsvertrag (AVV) Anthropic bezieht seinen AVV, das Data Processing Addendum (DPA), in die kommerziellen Bedingungen ein. Der Text ist öffentlich zugänglich. Ein Kundenportal ist zum Lesen nicht erforderlich. Sichern Sie die für Ihren Vertrag geltende Fassung und dokumentieren Sie Ihre Prüfung. Siehe [Anthropics Hinweise zur Einbeziehung des AVV](https://privacy.claude.com/en/articles/7996862-how-do-i-view-and-sign-your-data-processing-addendum-dpa). Der [AVV](https://www.anthropic.com/legal/data-processing-addendum) regelt unter anderem Weisungen, Sicherheitsmaßnahmen, Unterauftragsverarbeiter, Unterstützung und Datentransfers. Prüfen Sie ihn anhand von Art. 28 DSGVO und Ihrer geplanten Nutzung. Die Vertragsbedingungen müssen zu den Daten und Verarbeitungsvorgängen passen, die Sie dem Anbieter anvertrauen wollen. Weitere Informationen finden Sie in unserem [Anthropic-AVV-Leitfaden](https://compound.law/de-DE/tools/anthropic-dpa/) und unserer [Analyse des Datenverarbeitungsvertrags](https://compound.law/de-DE/tools/anthropic-datenverarbeitungsvertrag/). Claude Free, Pro und Max sind Verbrauchertarife. Gehen Sie nicht davon aus, dass ein kostenpflichtiger Verbrauchertarif eine kommerzielle Vereinbarung zur Auftragsverarbeitung umfasst. Prüfen Sie die geltenden Bedingungen, bevor Sie den Dienst für eine geschäftliche Verarbeitung einsetzen, die eine solche Vereinbarung erfordert. Siehe [Anthropics Einordnung der Verbrauchertarife](https://privacy.claude.com/en/collections/10663362-consumers). ## Standardvertragsklauseln (SCC) für internationale Datentransfers Anthropics AVV bezieht die EU-Standardvertragsklauseln von 2021 ein, soweit erforderlich. Modul 2 betrifft Übermittlungen von Verantwortlichen an Auftragsverarbeiter, Modul 3 solche zwischen Auftragsverarbeitern. Er enthält auch Regelungen für das Vereinigte Königreich und die Schweiz. Wählen Sie das Modul anhand der Rollen der Parteien. Die Beteiligung einer Zwischenplattform ist dafür allein nicht maßgeblich. Siehe [Abschnitt I und Anhang 3 des AVV](https://www.anthropic.com/legal/data-processing-addendum). Erfassen Sie für jeden Transfer Exporteur, Empfänger, Daten, Zweck und Zielland. Klären Sie, welcher Transfermechanismus gilt. Eine Aussage zur Speicherung in der EU beantwortet nicht die gesonderten Fragen nach Zugriffen oder Verarbeitung außerhalb des EWR. Das EU-US Data Privacy Framework (DPF) kann Übermittlungen an erfasste US-Empfänger im Geltungsbereich des entsprechenden Angemessenheitsbeschlusses ermöglichen. Prüfen Sie Rechtsträger, aktiven Status und erfasste Daten im [offiziellen DPF-Verzeichnis](https://www.dataprivacyframework.gov/list). **Dieser Leitfaden bestätigt keine DPF-Abdeckung für Anthropic.** Der Eintrag eines Cloud-Anbieters belegt keine Abdeckung für ein anderes Unternehmen. Siehe die [DPF-Hinweise des Europäischen Datenschutzausschusses (EDSA) für Unternehmen](https://www.edpb.europa.eu/documents/other-guidance/eu-us-data-privacy-framework-faq-for-european-businesses-version-20_en). ## EU-Datenstandort: Speicherung und Inferenz getrennt prüfen Anthropics aktuelle [Dokumentation zu Serverstandorten](https://privacy.claude.com/en/articles/7996890-where-are-your-servers-located-do-you-host-your-models-on-eu-servers) nennt die USA als Speicherort. Sie beschreibt auch globales Traffic-Routing und Verarbeitung für Support, Sicherheitsprüfungen und die Bearbeitung von Vorfällen in Ländern, in denen Anthropic oder verbundene Unternehmen tätig sind. Die [API-Dokumentation zu Datenstandorten](https://platform.claude.com/docs/en/manage-claude/data-residency) unterscheidet den Ort der Modellberechnung, die Inferenz, vom Ort der Workspace-Speicherung und der Verarbeitung am API-Endpunkt. Zum Prüfdatum nennt sie US-weite oder globale Inferenz und ausschließlich einen Workspace-Speicherort in den USA. Diese Einstellungen belegen keinen Dienst, der ausschließlich in der EU arbeitet. Benötigt Ihr Unternehmen ausschließlich Speicherung oder Verarbeitung in der EU, lassen Sie sich dies für den gewählten Dienst schriftlich bestätigen. Prüfen Sie Inferenz, gespeicherte Inhalte, Protokolle, Sicherungskopien, Supportzugriffe und angebundene Tools. Bewerten Sie Angebote über andere Cloud-Plattformen gesondert. Deren Modellverfügbarkeit und regionale Einstellungen können abweichen. Den beschaffungsseitigen Vergleich der Deployment-Pfade behandelt unser Leitfaden zu [Claude EU-Hosting](https://compound.law/de-DE/tools/claude-eu-hosting/). ## Zero Data Retention (ZDR) ZDR ist eine vereinbarte Regelung für geeignete Dienste. Sie gilt nicht automatisch für jede Enterprise-Funktion. Anthropics [Hinweise zum ZDR-Geltungsbereich](https://privacy.claude.com/en/articles/8956058-i-have-a-zero-data-retention-agreement-with-anthropic-what-products-does-it-apply-to) nennen Ausnahmen für gesetzliche Pflichten sowie die Bekämpfung von Missbrauch oder Schäden. Ergebnisse von Sicherheitsklassifizierungen werden ebenfalls aufbewahrt. Prüfen Sie die [Dokumentation zur API-Datenaufbewahrung und zu geeigneten Funktionen](https://platform.claude.com/docs/en/manage-claude/api-and-data-retention) für Ihre konkrete Konfiguration. Manche Funktionen speichern technische Zwischenergebnisse oder haben eigene Speicherregeln. Die regulären Chat-Oberflächen von Team und Enterprise sind nicht ZDR-fähig. Für geeignete Claude-Code-Nutzungen gelten gesonderte Regeln. ZDR ist keine Garantie, dass niemals Daten auf einen Datenträger geschrieben werden. Anthropics [Regeln für „Covered Models“](https://support.claude.com/en/articles/15425695-covered-models) sehen grundsätzlich eine Aufbewahrung von 30 Tagen vor und beschreiben begrenzte, ausdrücklich zugelassene Ausnahmen. Prüfen Sie die aktuelle Modellregelung und Ihre schriftliche Vereinbarung, bevor Sie sich auf ZDR verlassen. Ohne besondere Vereinbarung löscht Anthropic nach eigenen Angaben reguläre API-Eingaben und -Ausgaben innerhalb von 30 Tagen, vorbehaltlich bestimmter Ausnahmen. Für gespeicherte Chats und Dateien können andere Fristen gelten. Siehe die [Aufbewahrungsregeln für kommerzielle Produkte](https://privacy.claude.com/en/articles/7996866-how-long-do-you-store-my-organization-s-data). Speicher- und Löschregeln ersetzen keine Rechtsgrundlage und heben keine beruflichen Verschwiegenheitspflichten auf. Übermitteln Sie auch bei ZDR nur die Daten, die für die Aufgabe erforderlich sind. ## Zertifizierungen und Prüfberichte Anthropic nennt in seinen [veröffentlichten Sicherheitsnachweisen](https://privacy.claude.com/en/articles/10015870-what-certifications-has-anthropic-obtained) eine ISO-27001:2022-Zertifizierung und SOC-2-Prüfberichte vom Typ I und Typ II. Ein SOC-2-Bericht ist ein Prüfbericht. Fordern Sie die aktuellen Unterlagen an. Prüfen Sie Geltungsbereich, Prüfzeitraum, Ausschlüsse und Maßnahmen, die Kunden selbst umsetzen müssen. Diese Unterlagen können eine Sicherheitsbewertung nach Art. 32 DSGVO unterstützen. Sie bestätigen nicht die Rechtmäßigkeit Ihrer Verarbeitung. DSGVO-Zertifizierungssysteme existieren. Der EDSA genehmigte die Europrivacy-Kriterien im Oktober 2022 als Europäisches Datenschutzsiegel nach Art. 42 Abs. 5 DSGVO. Art. 43 betrifft Zertifizierungsstellen. Wir haben kein einschlägiges DSGVO-Zertifikat für Anthropic verifiziert. Siehe [EDSA-Stellungnahme 28/2022](https://www.edpb.europa.eu/documents/opinion-of-the-board-art-64/opinion-282022-on-the-europrivacy-criteria-of-certification_en). ## Transfer-Folgenabschätzung (TIA) Wenn Sie sich auf SCC stützen, prüfen Sie die Rechtslage und Praxis im Zielland sowie erforderliche ergänzende Schutzmaßnahmen. Fällt der Transfer unter einen gültigen Angemessenheitsbeschluss, prüfen Sie dessen Fortgeltung und Anwendbarkeit auf Empfänger und Daten. Allein das Zielland USA löst keine Pflicht zu einer gesonderten Transfer-Folgenabschätzung nach dem SCC-Prüfmaßstab aus. Siehe [EDSA-Stellungnahme 22/2024, Randnummern 93–96](https://www.edpb.europa.eu/system/files/2024-10/edpb_opinion_202422_relianceonprocessors-sub-processors_en.pdf). Anthropic sagt in [Abschnitt I.4 des AVV](https://www.anthropic.com/legal/data-processing-addendum) angemessene Unterstützung bei der Transfer-Folgenabschätzung zu. Fordern Sie die für Ihre Prüfung erforderlichen Informationen an, etwa zu Standorten, Schutzmaßnahmen und staatlichen Zugriffsmöglichkeiten. Dokumentieren Sie Nachweislücken. Überprüfen Sie die Bewertung bei Änderungen am Dienst, an der Transferkette oder an der Rechtslage. ## Was Ihr Unternehmen weiterhin prüfen muss 1. **Anbieter und Vertrag bewerten.** Erfassen Sie Produkt, Rollen der Parteien, geltende Bedingungen, Sicherheitsnachweise und Datenflüsse. Unsere [DSGVO-Checkliste für KI-Tools](https://compound.law/de-DE/compliance/dsgvo-checkliste-ki-tools/) hilft Ihnen, die Prüfung zu strukturieren. 2. **Rechtsgrundlage und Schutzmaßnahmen dokumentieren.** Bestimmen Sie eine geeignete Rechtsgrundlage für jeden Zweck. Bei besonderen Kategorien personenbezogener Daten muss zusätzlich eine passende Voraussetzung nach Art. 9 DSGVO vorliegen. Berücksichtigen Sie Transparenz, Betroffenenrechte, Vertraulichkeit und anwendungsspezifische Anforderungen. 3. **Transfers und Speicherfristen prüfen.** Klären Sie den Transfermechanismus, führen Sie die dafür erforderliche Prüfung durch und legen Sie geeignete Löschfristen fest. Modell-, Funktions- und Tool-Einstellungen müssen zum Vertrag passen. 4. **Verarbeitungsverzeichnisse pflegen.** Soweit Art. 30 DSGVO gilt, aktualisieren Sie die einschlägigen Verzeichnisse mit den tatsächlichen Zwecken, Datenkategorien, Empfängern, Transfers und Löschfristen. Verwenden Sie die richtige Rolle als Auftragsverarbeiter oder Unterauftragsverarbeiter. 5. **DSFA-Pflicht prüfen.** Führen Sie vor einer Verarbeitung, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt, eine Datenschutz-Folgenabschätzung (DSFA) durch. Eine rechtliche Prüfung ersetzt keine erforderliche DSFA. Siehe die [DSFA-Hinweise des EDSA](https://www.edpb.europa.eu/topics/accountability-and-compliance-tools/data-protection-impact-assessment_en). Compound Law berät Unternehmen in Deutschland zur DSGVO-konformen Nutzung von KI-Tools. Wir bewerten den geplanten Einsatz, prüfen Verträge und Datenflüsse und unterstützen bei der erforderlichen Dokumentation. ## Weitere Compliance-Guides [![KI Kundenservice DSGVO und AI Act Compliance Deutschland](https://compound.law/assets/images/compliance/compliance_2.webp)](https://compound.law/de-DE/compliance/ai-customer-service/) [compliance](https://compound.law/de-DE/compliance/ai-customer-service/) ### [Datenschutzbedenken KI Kundenservice: Risiken & DSGVO](https://compound.law/de-DE/compliance/ai-customer-service/) [Datenschutzbedenken bei KI im Kundenservice: DSGVO-Pflichten, KI-Agenten, Bot-Audits und Checkliste für deutsche Unternehmen erklärt.](https://compound.law/de-DE/compliance/ai-customer-service/) [![KI-Gesichtserkennung Deutschland Compliance-Leitfaden 2026](https://compound.law/assets/images/compliance/compliance_2.webp)](https://compound.law/de-DE/compliance/ai-facial-recognition/) [compliance](https://compound.law/de-DE/compliance/ai-facial-recognition/) ### [KI-Gesichtserkennung in Deutschland: Compliance-Leitfaden 2026](https://compound.law/de-DE/compliance/ai-facial-recognition/) [Gesichtserkennung und Datenschutz: Was AI Act Art. 5 und DSGVO in Deutschland verbieten — und welche Hochrisiko-Pflichten seit dem 2. August 2026 gelten.](https://compound.law/de-DE/compliance/ai-facial-recognition/) [![EU KI-Verordnung Beschaffung vor 2027 fuer deutsche Einkaeufer](https://compound.law/assets/images/compliance/compliance_3.webp)](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) [compliance](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) ### [EU KI-Verordnung Beschaffung vor 2027 Deutschland](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) [EU KI-Verordnung Beschaffung vor 2027: Deutsche Einkaeufer sollten Vertragslogik und Betreiberunterstuetzung vor dem Rollout klaeren.](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) ## Häufige Fragen Bei Diensten unter Anthropics kommerziellen Bedingungen ist der AVV in diese Bedingungen einbezogen. Eine separate Unterschrift ist normalerweise nicht erforderlich. Prüfen Sie den öffentlich zugänglichen AVV, sichern Sie die geltende Fassung und klären Sie, ob Ihr Vertrag die geplante Nutzung abdeckt. Für Drittplattformen gelten eigene Bedingungen. Ja. Anthropic gibt an, reguläre API-Eingaben und -Ausgaben innerhalb von 30 Tagen zu löschen, vorbehaltlich bestimmter Ausnahmen. Für gespeicherte Chats und Dateien können andere Fristen gelten. ZDR gilt nur für geeignete Dienste nach entsprechender Vereinbarung. Rechtliche, sicherheitsbezogene, modell- und funktionsabhängige Ausnahmen sind möglich. Ja, für Dienste unter Anthropics kommerziellen Bedingungen. Diese gelten aber nicht für jeden Zugang zu Claude. Free, Pro und Max sind Verbrauchertarife. Allein die Zahlung für ein Abonnement belegt nicht, dass der kommerzielle AVV gilt. Prüfen Sie den Vertrag für das gewählte Produkt oder die Plattform. Der AVV bezieht die EU-Standardvertragsklauseln von 2021 ein, soweit erforderlich. Modul 2 betrifft Übermittlungen von Verantwortlichen an Auftragsverarbeiter, Modul 3 solche zwischen Auftragsverarbeitern. Maßgeblich sind die Rollen der Parteien. Der AVV enthält auch Regelungen für das Vereinigte Königreich und die Schweiz. Wir haben kein einschlägiges DSGVO-Zertifikat für Anthropic verifiziert. DSGVO-Zertifizierungssysteme gibt es: Der EDSA genehmigte 2022 die Europrivacy-Kriterien. Anthropic nennt eine ISO-27001-Zertifizierung und SOC-2-Prüfberichte. Diese bestätigen jedoch nicht die DSGVO-Konformität Ihres konkreten Einsatzes. Anthropics aktuelle öffentliche Dokumentation nennt die USA als Speicherort. Die API-Dokumentation beschreibt US-weite oder globale Inferenz und einen Workspace-Speicherort in den USA. Ein Enterprise-Tarif oder eine Routing-Einstellung belegt keine ausschließliche EU-Verarbeitung. Prüfen Sie gesonderte Vereinbarungen und die Bedingungen von Drittplattformen. ## Structured data ```json [ { "@context": "https://schema.org", "@type": [ "Organization", "LegalService" ], "@id": "https://compound.law/#organization", "name": "Compound Law", "alternateName": "Compound Law — AI Law Firm", "url": "https://compound.law/", "logo": { "@type": "ImageObject", "url": "https://compound.law/press/logos/PNG/Compound_Law_Icon.png", "width": 1024, "height": 1024 }, "image": "https://compound.law/assets/images/og-image.webp", "description": "Die KI-native Kanzlei in Berlin für Start-ups, Mittelstand und Konzerne: Commercial und Vertragsrecht, Datenschutz, KI-Verordnung, Marken, Gesellschaftsrecht sowie Sanierung und Insolvenz. Jedes Ergebnis prüft ein Anwalt, abgerechnet zum Festpreis.", "foundingDate": "2026", "founder": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] } ], "employee": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Marc Schuba", "jobTitle": "Founding Partner, Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/marc-schuba/", "sameAs": [ "https://www.linkedin.com/in/marcschuba/" ], "knowsAbout": [ "IP- und IT-Recht", "SaaS- und IT-Verträge, IT-Outsourcing", "Software- und Open-Source-Lizenzen", "Datenschutzrecht (DSGVO)", "KI-Recht und KI-Verordnung (AI Act)" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] }, { "@type": "Person", "name": "Philipp Brandt", "jobTitle": "Partner, Rechtsanwalt, Fachanwalt für gewerblichen Rechtsschutz", "url": "https://compound.law/de-DE/lawyers/philipp-brandt/", "sameAs": [ "https://www.linkedin.com/in/philipp-brandt-81b446a/" ], "knowsAbout": [ "Sanierungs- und Insolvenzrecht (Krisenberatung der Geschäftsführung, Schutzschirm- und Planverfahren, Insolvenzverwaltung)", "Gewerblicher Rechtsschutz (Marken, Wettbewerbsrecht, Urheberrecht, Geschäftsgeheimnisse, Lizenzverträge)", "Datenschutzrecht (Datenpannen, Bußgeldverfahren, Auskunft und Schadensersatz)", "Vertriebs- und Handelsrecht (Vertriebsverträge, Kauf und Verkauf von Industrieanlagen)" ] }, { "@type": "Person", "name": "Dr. Markus Dreißigacker", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/markus-dreissigacker/", "sameAs": [ "https://www.linkedin.com/in/markusdreissigacker" ], "knowsAbout": [ "M&A (Due Diligence, Post-Merger-Integration, IPO-Readiness)", "Gesellschaftsrecht (Governance, Gremienarbeit, Restrukturierung)", "Handelsrecht (Kundenverträge, Lieferantenvereinbarungen, NDAs)", "IP (Markenmanagement, IP-Übertragungsverträge)", "Compliance & ESG (Globale Compliance-Programme, Menschenrechte, Nachhaltigkeit)", "Datenschutz (DSGVO-Strategie, DPO-Erfahrung, Datenschutzprogramme)" ] } ], "address": { "@type": "PostalAddress", "addressLocality": "Berlin", "addressCountry": "DE" }, "areaServed": [ "Germany", "Austria", "Switzerland", "European Union", "United Kingdom", "United States", "Singapore" ], "availableLanguage": [ "de", "en" ], "serviceType": [ "AI law firm", "AI-native legal services", "legal counsel for start-ups and growth companies", "legal counsel for mid-sized companies and corporates", "Commercial Law", "Corporate Law", "Employment Law", "Regulatory & Compliance", "Intellectual Property", "Insolvency & Restructuring" ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "Compound Law services", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Commercial Contracts", "description": "Battle-tested contracts for your sales process", "serviceType": [ "enterprise contracts", "MSA", "DPA", "sales contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "International Employment", "description": "Compliant hiring across borders", "serviceType": [ "international employment", "hiring abroad", "employment contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "VSOP/ESOP Setup", "description": "Employee participation that actually works", "serviceType": [ "VSOP", "ESOP", "employee stock options", "equity incentives" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Funding Round Support", "description": "Clean legal for your next raise", "serviceType": [ "funding round", "term sheet", "SHA", "due diligence", "cap table" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Corporate Housekeeping", "description": "Get your legal house in order", "serviceType": [ "corporate governance", "board resolutions", "shareholder register" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Data Protection & Privacy", "description": "GDPR compliance that doesn't slow you down", "serviceType": [ "GDPR", "data protection", "privacy", "DPA", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI Act Compliance", "description": "Navigate EU AI regulation", "serviceType": [ "AI Act", "AI compliance", "AI governance", "EU AI regulation" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "IP & Competition", "description": "Protect and enforce what you've built", "serviceType": [ "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Fractional General Counsel", "description": "In-house legal without the full-time cost", "serviceType": [ "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "FinTech Compliance", "description": "Navigate financial regulation", "serviceType": [ "fintech compliance", "BaFin", "banking regulation", "AML", "KYC" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Legal Retainer", "description": "Predictable legal support when you need it", "serviceType": [ "legal retainer", "legal subscription", "ongoing legal support" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "M&A Preparation", "description": "Get ready for acquisition interest", "serviceType": [ "M&A preparation", "acquisition", "due diligence", "exit" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Restructuring & Insolvency", "description": "From the first liquidity check to the restructuring itself", "serviceType": [ "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } } ] }, "contactPoint": { "@type": "ContactPoint", "contactType": "sales", "email": "contact@compound.law", "availableLanguage": [ "English", "German" ], "areaServed": [ "DE", "AT", "CH", "EU", "GB", "US", "SG" ] }, "email": "contact@compound.law", "sameAs": [ "https://www.linkedin.com/company/compoundlawfirm", "https://x.com/CompoundLawFirm" ], "knowsAbout": [ "Commercial Contracts", "enterprise contracts", "MSA", "DPA", "sales contracts", "International Employment", "international employment", "hiring abroad", "employment contracts", "VSOP/ESOP Setup", "VSOP", "ESOP", "employee stock options", "equity incentives", "Funding Round Support", "funding round", "term sheet", "SHA", "due diligence", "cap table", "Corporate Housekeeping", "corporate governance", "board resolutions", "shareholder register", "Data Protection & Privacy", "GDPR", "data protection", "privacy", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR", "AI Act Compliance", "AI Act", "AI compliance", "AI governance", "EU AI regulation", "IP & Competition", "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance", "Fractional General Counsel", "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer", "FinTech Compliance", "fintech compliance", "BaFin", "banking regulation", "AML", "KYC", "Legal Retainer", "legal subscription", "ongoing legal support", "M&A Preparation", "M&A preparation", "acquisition", "exit", "Restructuring & Insolvency", "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ] }, { "@context": "https://schema.org", "@type": "Article", "headline": "Ist Anthropic DSGVO-konform? Leitfaden für Unternehmen (2026)", "description": "Anthropic und DSGVO: AVV, US-Datenspeicherung, ZDR-Grenzen, Standardvertragsklauseln und Prüfungen vor dem Einsatz von Claude mit personenbezogenen Daten.", "image": "https://compound.law/assets/images/compliance/compliance_1.webp", "datePublished": "2026-05-13T00:00:00.000Z", "dateModified": "2026-05-13T00:00:00.000Z", "author": { "@type": "Person", "name": "Dr. Markus Dreißigacker", "image": "https://compound.law/assets/images/team/markusdreissigacker.webp" }, "publisher": { "@type": "Organization", "@id": "https://compound.law/#organization", "name": "Compound Law" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://compound.law/de-DE/compliance/anthropic-dsgvo-compliance/" } }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://compound.law/de-DE/" }, { "@type": "ListItem", "position": 2, "name": "Compliance-Guides", "item": "https://compound.law/de-DE/compliance/" }, { "@type": "ListItem", "position": 3, "name": "Ist Anthropic DSGVO-konform? Leitfaden für Unternehmen", "item": "https://compound.law/de-DE/compliance/anthropic-dsgvo-compliance/" } ] }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Muss ich einen AVV mit Anthropic abschließen?", "acceptedAnswer": { "@type": "Answer", "text": "Bei Diensten unter Anthropics kommerziellen Bedingungen ist der AVV in diese Bedingungen einbezogen. Eine separate Unterschrift ist normalerweise nicht erforderlich. Prüfen Sie den öffentlich zugänglichen AVV, sichern Sie die geltende Fassung und klären Sie, ob Ihr Vertrag die geplante Nutzung abdeckt. Für Drittplattformen gelten eigene Bedingungen." } }, { "@type": "Question", "name": "Speichert Anthropic meine Daten?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Anthropic gibt an, reguläre API-Eingaben und -Ausgaben innerhalb von 30 Tagen zu löschen, vorbehaltlich bestimmter Ausnahmen. Für gespeicherte Chats und Dateien können andere Fristen gelten. ZDR gilt nur für geeignete Dienste nach entsprechender Vereinbarung. Rechtliche, sicherheitsbezogene, modell- und funktionsabhängige Ausnahmen sind möglich." } }, { "@type": "Question", "name": "Gilt der Anthropic-AVV automatisch?", "acceptedAnswer": { "@type": "Answer", "text": "Ja, für Dienste unter Anthropics kommerziellen Bedingungen. Diese gelten aber nicht für jeden Zugang zu Claude. Free, Pro und Max sind Verbrauchertarife. Allein die Zahlung für ein Abonnement belegt nicht, dass der kommerzielle AVV gilt. Prüfen Sie den Vertrag für das gewählte Produkt oder die Plattform." } }, { "@type": "Question", "name": "Welche Standardvertragsklauseln verwendet Anthropic?", "acceptedAnswer": { "@type": "Answer", "text": "Der AVV bezieht die EU-Standardvertragsklauseln von 2021 ein, soweit erforderlich. Modul 2 betrifft Übermittlungen von Verantwortlichen an Auftragsverarbeiter, Modul 3 solche zwischen Auftragsverarbeitern. Maßgeblich sind die Rollen der Parteien. Der AVV enthält auch Regelungen für das Vereinigte Königreich und die Schweiz." } }, { "@type": "Question", "name": "Ist Anthropic nach DSGVO zertifiziert?", "acceptedAnswer": { "@type": "Answer", "text": "Wir haben kein einschlägiges DSGVO-Zertifikat für Anthropic verifiziert. DSGVO-Zertifizierungssysteme gibt es: Der EDSA genehmigte 2022 die Europrivacy-Kriterien. Anthropic nennt eine ISO-27001-Zertifizierung und SOC-2-Prüfberichte. Diese bestätigen jedoch nicht die DSGVO-Konformität Ihres konkreten Einsatzes." } }, { "@type": "Question", "name": "Bietet Anthropic Speicherung und Verarbeitung ausschließlich in der EU an?", "acceptedAnswer": { "@type": "Answer", "text": "Anthropics aktuelle öffentliche Dokumentation nennt die USA als Speicherort. Die API-Dokumentation beschreibt US-weite oder globale Inferenz und einen Workspace-Speicherort in den USA. Ein Enterprise-Tarif oder eine Routing-Einstellung belegt keine ausschließliche EU-Verarbeitung. Prüfen Sie gesonderte Vereinbarungen und die Bedingungen von Drittplattformen." } } ] } ] ```