--- title: "Anthropic API DSGVO: AVV, EU-Datenresidenz & Compliance-Leitfaden" description: "Anthropic API DSGVO-Check: AVV-Status, EU-Datenhaltung, Training-Opt-out und Schritt-für-Schritt-Leitfaden für DSGVO-konforme KI-Produkte mit Claude." image: "https://compound.law/assets/images/og-image-de.webp" source: "https://compound.law/de-DE/tools/anthropic-api/" language: "de" --- ![Anthropic API DSGVO-Compliance und EU-Datenresidenz für Deutschland](https://compound.law/assets/images/tools/tools_3.webp) tools # Anthropic API DSGVO: AVV, EU-Datenresidenz & Compliance-Leitfaden 17\. April 2026 Kurzantwort Die Anthropic API kann DSGVO-konform eingesetzt werden: AVV abschließen, API-Eingaben werden standardmäßig nicht für das Training genutzt, EU-Verarbeitung ist über Amazon Bedrock Frankfurt verfügbar — Datenübermittlung, KI-Act-Pflichten und Betriebsratsrechte vor Einsatz klären. - AVV mit Anthropic abschließen — begründet das Auftragsverarbeitungsverhältnis nach Art. 28 DSGVO und enthält Standardvertragsklauseln für EU–US-Transfers. - Claude über Amazon Bedrock AWS eu-central-1 (Frankfurt) einsetzen — Verarbeitung bleibt vollständig in der EU, stärkste DSGVO-Datenresidenz. - Bestätigen, dass API-Daten standardmäßig nicht für das Training genutzt werden, und für sensible Anwendungsfälle Zero-Data-Retention beantragen. **Die Anthropic API kann von deutschen Unternehmen DSGVO-konform eingesetzt werden — aber Compliance entsteht nicht automatisch.** Die standardmäßige Regel, API-Eingaben nicht für das Modelltraining zu verwenden, beseitigt eines der häufigsten DSGVO-Risiken bei Consumer-KI-Diensten. Anthropic stellt zudem einen Auftragsverarbeitungsvertrag mit Standardvertragsklauseln für EU–US-Transfers bereit. Gleichwohl müssen Datenresidenz, Übermittlungsmechanismen, KI-Act-Pflichten und Betriebsratsrechte vor dem Einsatz aktiv adressiert werden. Einen Überblick über die von Compound Law bewerteten KI-Tools finden Sie unter [KI-Tools im DSGVO-Check](https://compound.law/de-DE/tools/). ## Ist die Anthropic API DSGVO-konform? Ja — bei korrekter Einrichtung. Die Anthropic API erfüllt die Anforderungen der **DSGVO** (Datenschutz-Grundverordnung, Verordnung EU 2016/679), wenn drei Voraussetzungen erfüllt sind: 1. **AVV mit Anthropic abgeschlossen.** Der Auftragsverarbeitungsvertrag begründet das Auftragsverarbeitungsverhältnis nach Art. 28 DSGVO und regelt Sicherheitsmaßnahmen, Unterauftragsverarbeiter und Datenpannenmeldung. 2. **Zulässiger Übermittlungsmechanismus vorhanden.** Der AVV enthält **Standardvertragsklauseln (SCC)** nach Art. 46 DSGVO, die EU–US-Datentransfers abdecken. Für Unternehmen, die eine vollständige EU-Datenresidenz benötigen, entfällt die Übermittlung beim Einsatz von **Amazon Bedrock in der Region AWS eu-central-1 (Frankfurt)** vollständig. 3. **Rechtsgrundlage dokumentiert.** In der Regel Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) oder lit. f (berechtigte Interessen) für interne API-Integrationen; Einwilligung, sofern Endnutzer-Daten einbezogen werden. Für die DSGVO-Praxis entscheidend: **Anthropic nutzt API-Eingaben und -Ausgaben standardmäßig nicht für das Training oder die Weiterentwicklung seiner Basismodelle.** Damit entfällt das Training-Risiko, das Consumer-KI-Dienste für den geschäftlichen Einsatz in Deutschland rechtlich problematisch macht. ## Anthropics Auftragsverarbeitungsvertrag (AVV) Der **Anthropic AVV** bildet die vertragliche Grundlage jedes DSGVO-konformen API-Einsatzes. Er kann über die Anthropic Console akzeptiert werden. Enterprise-Kunden mit Volumenverträgen können einen individuell verhandelten AVV anfragen. Wesentliche Regelungen des Anthropic AVV: - **Art. 28 DSGVO-Pflichten** — Anthropic verpflichtet sich, personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen hin zu verarbeiten. - **Standardvertragsklauseln (SCC)** — Die EU-SCC 2021 sind integriert und bieten den Rechtsrahmen für EU–US-Datenübermittlungen nach Kapitel V DSGVO. - **Unterauftragsverarbeiter** — Anthropic benennt autorisierte Unterauftragsverarbeiter und informiert vorab über Änderungen; Widerspruchsrechte sind vorgesehen. - **Technisch-organisatorische Maßnahmen (TOM)** — Verschlüsselung bei Übertragung und Speicherung, Zugriffskontrollen und Incident-Response sind beschrieben. - **Datenpannenmeldung** — Anthropic verpflichtet sich zur unverzüglichen Meldung von Sicherheitsvorfällen, die Kundendaten betreffen. - **Löschung** — Kundendaten werden auf Anfrage oder nach Vertragsende innerhalb definierter Fristen gelöscht. **Pflichten des Verantwortlichen:** Als datenverarbeitendes Unternehmen sind Sie verantwortlich für ein aktuelles Verzeichnis der Verarbeitungstätigkeiten (VVT), das den Anthropic-API-Einsatz abbildet, für die Dokumentation der Rechtsgrundlage und dafür, dass Nutzer keine Daten außerhalb des dokumentierten Verarbeitungszwecks einreichen. Kanzleien und Rechtsabteilungen sollten zusätzlich den [Leitfaden zu KI-APIs für Kanzleien in Deutschland](https://compound.law/de-DE/compliance/ki-apis-fuer-kanzleien/) berücksichtigen. ## EU-Datenresidenz für die Anthropic API Die direkte Anthropic API (**api.anthropic.com**) leitet Inferenz-Anfragen standardmäßig an Server in den **USA** weiter. Der AVV deckt diese Übermittlung durch Standardvertragsklauseln ab. Für Unternehmen, die eine vollständige EU-Datenverarbeitung benötigen, gibt es einen dedizierten Infrastrukturweg. **Amazon Bedrock mit AWS eu-central-1 (Frankfurt)** bietet die stärkste EU-Datenresidenz-Option für Claude-Modelle: - Claude-Modelle (Claude 3 Haiku, Sonnet, Opus) sind auf Amazon Bedrock in der Region Frankfurt verfügbar. - Mit der Konfiguration `eu-central-1` verbleibt die Modell-Inferenz vollständig **innerhalb Deutschlands**. - AWS eu-central-1 unterliegt dem **AWS-Datenschutznachtrag**, der Art. 28 DSGVO-Auftragsverarbeitungspflichten für die Cloud-Infrastruktur erfüllt. - Deutsche Unternehmen, die bereits andere Workloads auf AWS Frankfurt betreiben, profitieren von einheitlicher Datenschutz-Governance über ihren gesamten Tech-Stack. Dieser Ansatz ist direkt vergleichbar mit dem Einsatz von [Azure OpenAI mit Datenresidenz in Germany West Central](https://compound.law/de-DE/tools/azure-openai/) und ist der empfohlene Weg für alle Deployments mit sensiblen personenbezogenen Daten, Gesundheitsdaten oder Finanzdaten, die eine strikte EU-Datenverarbeitung erfordern. **Direkte API mit SCC:** Für Anwendungsfälle, bei denen US-basierte Verarbeitung mit entsprechender rechtlicher Dokumentation akzeptabel ist, bieten die SCC im Anthropic AVV den Übermittlungsmechanismus. Ihr Unternehmen muss gemäß Art. 46 DSGVO eine **Datentransfer-Folgenabschätzung (Transfer Impact Assessment, TIA)** erstellen, die dokumentiert, dass die SCC den konkreten Datenflüssen in der Praxis angemessenen Schutz bieten. ## Datenspeicherung und Training-Richtlinien Für die DSGVO-Praxis ist der Unterschied zwischen der Anthropic API und dem Consumer-Dienst Claude.ai entscheidend: - **Standard-API-Richtlinie:** Anthropic nutzt API-Eingaben und -Ausgaben **nicht** für das Training, Fine-Tuning oder die Verbesserung seiner Basismodelle. Die übermittelten Daten werden ausschließlich zur Beantwortung der API-Anfrage verwendet. - **Speicherdauer:** Standardmäßig speichert Anthropic API-Anfrage- und Antwortdaten für einen begrenzten Zeitraum zu Missbrauchsprävention und operativen Zwecken. Die genauen Fristen sind in der Anthropic-Datenschutzrichtlinie und im AVV dokumentiert. - **Zero-Data-Retention-Modus (ZDR):** Enterprise-Kunden können den **Zero-Data-Retention-Modus** beantragen. Dabei speichert Anthropic Prompts und Completions nach Abschluss des API-Aufrufs nicht. Dies ist angemessen für Deployments mit hochsensiblen personenbezogenen Daten, Mandatsgeheimnissen, Gesundheitsdaten oder regulierten Finanzinformationen. - **Consumer Claude.ai:** Das für Endverbraucher ausgelegte Claude.ai-Produkt operiert unter anderen, weitreichenderen Nutzungsbedingungen. DSGVO-Risikoabschätzungen müssen klar zwischen API-Zugang und Consumer-Produkt unterscheiden — es handelt sich um rechtlich unterschiedlich behandelte Dienste. Halten Sie die geltenden Speichereinstellungen im VVT und in internen Datenschutzfolgeabschätzungen fest. ## DSGVO-Rollen: Auftragsverarbeiter vs. Verantwortlicher Die Rollen bestimmen, wer welche DSGVO-Pflichten trägt: **Anthropic als Auftragsverarbeiter:** Wenn Ihre Anwendung personenbezogene Daten an die Anthropic API übermittelt, um eine Aufgabe zu erfüllen — etwa die Bearbeitung von Kundenanfragen, die Erstellung personalisierter Inhalte oder die Analyse von Nutzerdokumenten — handelt **Anthropic als Auftragsverarbeiter** nach Art. 4 Nr. 8 DSGVO. Anthropic verarbeitet die Daten auf Ihre dokumentierte Weisung und ist an den AVV gebunden. **Ihr Unternehmen als Verantwortlicher:** Das Unternehmen oder der Entwickler, der die API einsetzt, ist der **Verantwortliche** und trägt die Verantwortung für: - Festlegung von Zweck und Rechtsgrundlage der Verarbeitung (Art. 6 DSGVO) - Information der Betroffenen in der Datenschutzerklärung, dass ihre Daten durch KI-Systeme verarbeitet werden können - Durchführung einer **Datenschutz-Folgenabschätzung (DSFA)** nach Art. 35 DSGVO, sofern die Verarbeitung voraussichtlich ein hohes Risiko für natürliche Personen mit sich bringt — z. B. bei der groß angelegten automatisierten Verarbeitung sensibler Daten - Dokumentation des Anthropic-API-Einsatzes im VVT **Anthropic als eigenständiger Verantwortlicher:** Für interne Zwecke wie Kontoverwaltung, Abrechnung, Sicherheitsmonitoring und Missbrauchsprävention handelt Anthropic als eigenständiger Verantwortlicher nach seiner eigenen Datenschutzrichtlinie. Diese Verarbeitung ist von der AVV-Beziehung getrennt. ## EU AI Act: Pflichten für API-Anbieter und Deployer Claude-Modelle (Claude 3.x Haiku, Sonnet, Opus) sind **KI-Allzweckmodelle (GPAI-Modelle)** im Sinne des EU AI Act (Verordnung EU 2024/1689). Das begründet Pflichten sowohl für Anthropic als Modellanbieter als auch für Unternehmen, die Produkte auf Basis der API entwickeln. **Pflichten von Anthropic als GPAI-Modellanbieter (Art. 53 AI Act):** - Erstellung und Veröffentlichung technischer Dokumentation zu Fähigkeiten, Einschränkungen und Trainingsherkunft des Modells. - Veröffentlichung eines Modellsteckbriefs (Model Card) für nachgelagerte Deployer. - Einführung einer Urheberrechts-Compliance-Richtlinie nach EU-Richtlinie 2019/790. - Kooperation mit Deployern zur Erfüllung ihrer eigenen KI-Act-Pflichten. **Ihre Pflichten als Deployer:** - **Risikoeinstufung:** Prüfen Sie, ob Ihre Claude-Anwendung unter die **verbotenen Praktiken** (Art. 5), **Hochrisiko-KI-Systeme** (Anhang III) oder die Niedrig-/Minimalrisiko-Kategorie fällt. Standardmäßige Produktivitäts- und interne Tooling-Anwendungen fallen typischerweise unter minimales oder begrenztes Risiko. - **Transparenzpflicht:** Wenn Ihre Anwendung Claude in der Interaktion mit natürlichen Personen einsetzt, die möglicherweise nicht erkennen, dass sie mit einem KI-System kommunizieren, besteht eine **Kennzeichnungspflicht** nach Art. 50 AI Act. - **Hochrisiko-Systeme:** Anwendungen, die Claude für Bewerbervorauswahl, Kreditwürdigkeitsbewertung oder Entscheidungen in Bildung, Beschäftigung, Grundversorgung oder Strafverfolgung einsetzen, sind **Hochrisiko-KI-Systeme** nach Anhang III. Sie erfordern Konformitätsbewertung, menschliche Aufsichtsmaßnahmen und technische Dokumentation vor dem Deployment. - **Freie Berufe:** Kanzleien, Gesundheitsdienstleister und Finanzdienstleister sollten den [Compliance-Leitfaden für professionelle Dienstleistungen unter dem AI Act](https://compound.law/de-DE/ai-act/professional-services/) heranziehen. ## DSGVO-konforme API-Integration: Schritt-für-Schritt-Checkliste Eine praxisorientierte Checkliste für deutsche Unternehmen und Startups beim Einsatz der Anthropic API: 1. **AVV abschließen** — über die Anthropic Console akzeptieren, bevor personenbezogene Daten verarbeitet werden. 2. **Datenresidenz-Pfad festlegen** — direkte API mit SCC und TIA oder Amazon Bedrock Frankfurt für EU-interne Verarbeitung ohne Drittlandübermittlung. 3. **Zero-Data-Retention beantragen** — wenn sensible personenbezogene Daten, Gesundheitsdaten oder rechtlich geschützte Informationen verarbeitet werden. 4. **Rechtsgrundlage dokumentieren** — anwendbaren Art. 6 DSGVO-Tatbestand festhalten und Anthropic API in das VVT aufnehmen. 5. **DSFA durchführen, sofern erforderlich** — bei umfangreicher oder hochriskanter Verarbeitung ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO vor dem Go-live Pflicht. 6. **Datenschutzerklärung aktualisieren** — Endnutzer darüber informieren, dass Daten durch einen KI-Modell-Anbieter als Unterauftragsverarbeiter verarbeitet werden können. 7. **AI-Act-Risikostufe bestimmen** — vor dem Deployment prüfen, ob die Anwendung minimal, begrenzt oder hochriskant einzustufen ist. 8. **Betriebsrat einbinden** — wenn der API-Einsatz die Arbeit von Mitarbeitern in Deutschland verändert, können Mitbestimmungsrechte nach §87 BetrVG vor dem Rollout bestehen. ## Vergleich: Anthropic API vs. Azure OpenAI für EU-Compliance | | Anthropic API (direkt) | Anthropic über Bedrock | Azure OpenAI | | ------------------------------ | ------------------------------------- | ---------------------------- | ------------------------------------ | | EU-Datenresidenz | USA-Verarbeitung, SCC decken Transfer | AWS eu-central-1 (Frankfurt) | Germany North / Germany West Central | | AVV verfügbar | Ja (Anthropic Console) | Ja (AWS-DPA + Anthropic-AVV) | Ja (Microsoft DPA) | | Übermittlungsmechanismus nötig | Ja (SCC + TIA) | Nein (EU-Verarbeitung) | Nein (EU-Verarbeitung) | | Training mit API-Daten | Nein (Standard) | Nein | Nein | | Zero Data Retention | Auf Anfrage verfügbar | Auf Anfrage verfügbar | Pro Deployment konfigurierbar | | AI-Act-Modellstatus | GPAI (Anthropic) | GPAI (Anthropic) | GPAI (Microsoft/OpenAI) | [Azure OpenAI](https://compound.law/de-DE/tools/azure-openai/) bietet die ausgereifteste EU-Datenresidenz-Geschichte für Unternehmen, die eine Verarbeitung strikt innerhalb Deutschlands benötigen, ohne über AWS-Infrastruktur zu routen. [AWS Bedrock](https://compound.law/de-DE/tools/aws-bedrock/) mit Claude ist die bevorzugte Option für Organisationen, die ihren Stack bereits auf AWS Frankfurt betreiben. Unternehmen, die ein vollständig verwaltetes Enterprise-SaaS-Produkt statt einer direkten API-Integration bevorzugen, finden bei [Claude Enterprise](https://compound.law/de-DE/tools/claude-enterprise/) zusätzliche Verwaltungskontrollen und Zugangsmanagement. ## Betriebsratsrechte Wenn die Anthropic API die Arbeit von Mitarbeitern in Deutschland beeinflusst — etwa durch Automatisierung bisher manueller Aufgaben, Erstellung von Inhalten, die unter dem Namen von Mitarbeitern eingereicht werden, oder Verarbeitung von Arbeitskommunikation — kann der **Betriebsrat** Mitbestimmungsrechte nach §87 Abs. 1 BetrVG haben. Dies gilt besonders, wenn die API-Integration Mitarbeiteraktivitäten überwachen, Leistungsbewertungen beeinflussen oder Arbeitsprozesse grundlegend verändern könnte. Binden Sie den Betriebsrat frühzeitig ein: Erläutern Sie den Zweck des Tools, adressieren Sie Datenschutz- und Überwachungsbedenken und vereinbaren Sie eine angemessene Nutzungsrichtlinie vor dem Go-live. ## Spezialfall: Kanzleien und Rechtsabteilungen Wenn **Anthropic API** in einer Kanzlei oder Rechtsabteilung eingesetzt werden soll, reichen allgemeine DSGVO-Checks allein nicht aus. Berufsrecht, §43e BRAO, Mandatsdaten-Governance und Review-Prozesse kommen hinzu. Den Überblick finden Sie in unserem Leitfaden zu [AI APIs für Anwälte: §43a BRAO und DSGVO im Überblick](https://compound.law/de-DE/compliance/ki-api-brao-kanzleien/) sowie im allgemeinen [Compliance-Guide für KI-APIs in Kanzleien](https://compound.law/de-DE/compliance/ki-apis-fuer-kanzleien/). ## So hilft Compound Law - AVV-Prüfung und Gap-Analyse für Anthropic-API-Deployments - Erstellung der Transfer-Folgenabschätzung (TIA) für EU–US-Datenflüsse - Vorbereitung der Datenschutz-Folgenabschätzung (DSFA) für umfangreiche oder sensible Anwendungsfälle - AI-Act-Risikoeinstufung und technische Dokumentationsunterstützung - Betriebsratskoordination und Verhandlung von Betriebsvereinbarungen - Laufendes Compliance-Monitoring und Richtlinienaktualisierungen bei Änderungen der Anthropic-Nutzungsbedingungen ## Weitere Tool-Guides [![Canva AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_3.webp)](https://compound.law/de-DE/tools/canva-avv/) [tools](https://compound.law/de-DE/tools/canva-avv/) ### [Hat Canva eine AVV? Ja — Canva-AVV-Leitfaden für Deutschland](https://compound.law/de-DE/tools/canva-avv/) [Ja — Canva bietet einen Auftragsverarbeitungsvertrag: das Data Processing Addendum. Was der Canva AVV klauselweise regelt und wo deutsche Pflichten ansetzen.](https://compound.law/de-DE/tools/canva-avv/) [![Cursor AVV Auftragsverarbeitungsvertrag Art. 28 DSGVO für Deutschland](https://compound.law/assets/images/tools/tools_2.webp)](https://compound.law/de-DE/tools/cursor-avv/) [tools](https://compound.law/de-DE/tools/cursor-avv/) ### [Cursor AVV: Ja — Was der Anysphere-Auftragsverarbeitungsvertrag regelt](https://compound.law/de-DE/tools/cursor-avv/) [Ja, Cursor bietet einen AVV an — öffentlich unter cursor.com/terms/dpa. Was der Cursor-AVV nach Art. 28 DSGVO regelt und wie deutsche Teams ihn prüfen.](https://compound.law/de-DE/tools/cursor-avv/) [![ElevenLabs AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/elevenlabs-avv/) [tools](https://compound.law/de-DE/tools/elevenlabs-avv/) ### [Hat ElevenLabs eine AVV? Ja — ElevenLabs-AVV für Deutschland](https://compound.law/de-DE/tools/elevenlabs-avv/) [Ja — ElevenLabs bietet einen Auftragsverarbeitungsvertrag unter elevenlabs.io/dpa. Was der ElevenLabs AVV klauselweise nach Art. 28 DSGVO regelt.](https://compound.law/de-DE/tools/elevenlabs-avv/) [![Synthesia DSGVO-Fakten: KI-Training mit Kundendaten, AVV und EU-Speicherung](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/synthesia/) [tools](https://compound.law/de-DE/tools/synthesia/) ### [Synthesia DSGVO: Trainiert Synthesia auf Kundendaten? AVV & Fakten](https://compound.law/de-DE/tools/synthesia/) [Nein — Synthesia trainiert nicht auf Kundendaten. DSGVO-tauglich für deutsche Firmen: AVV nach Art. 28, EU-Speicherung in Irland. Was Sie prüfen müssen.](https://compound.law/de-DE/tools/synthesia/) [![Claude EU-Hosting Vergleich für Anthropic API, AWS Bedrock und Vertex AI](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-eu-hosting/) [tools](https://compound.law/de-DE/tools/claude-eu-hosting/) ### [Claude EU-Hosting: Wo Claude gehostet ist und was unter DSGVO gilt (2026)](https://compound.law/de-DE/tools/claude-eu-hosting/) [Wo ist Claude gehostet? Direkte Nutzung: US-Speicher als Standard. EU-Regionen gibt es über AWS Bedrock oder Vertex AI – inklusive DSGVO-Prüfpunkte.](https://compound.law/de-DE/tools/claude-eu-hosting/) [![Claude ZDR: Zero Data Retention erklärt — Scope für Anthropic API und Claude Code](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-zdr/) [tools](https://compound.law/de-DE/tools/claude-zdr/) ### [Claude ZDR: Zero Data Retention erklärt — Scope für API und Claude Code](https://compound.law/de-DE/tools/claude-zdr/) [ZDR bedeutet Zero Data Retention — keine dauerhafte Speicherung. Scope für Anthropic API und Claude Code, Policy-Quellen, AVV und DSGVO erklärt.](https://compound.law/de-DE/tools/claude-zdr/) Tool Library ### Mehr KI-Tools nach Thema durchsuchen Vergleichen Sie weitere Tools, Datenschutzfragen und Einsatzszenarien in unserer vollständigen KI-Tool-Bibliothek. [Alle KI-Tools ansehen](https://compound.law/de-DE/tools/) - [HubSpot DSGVO-konform? Marketing Hub, Free CRM und AVV tools](https://compound.law/de-DE/tools/hubspot/) - [Cursor AVV 2026: Wo Sie ihn finden und was er regelt tools](https://compound.law/de-DE/tools/cursor/) - [DeepSeek DSGVO-konform? Was deutsche Unternehmen wissen müssen tools](https://compound.law/de-DE/tools/deepseek/) - [Zapier DSGVO 2026: AVV, Art. 28 & EU-Datentransfer aktuell tools](https://compound.law/de-DE/tools/zapier/) - [Ist Claude Code DSGVO-konform? AVV, Datenspeicherung und Hosting tools](https://compound.law/de-DE/tools/claude-code-dsgvo/) - [Claude Enterprise Preise: Kein Listenpreis — Angebot, AVV, EU-Grenzen tools](https://compound.law/de-DE/tools/claude-enterprise/) - [Claude DSGVO: Welche Claude-Tarife fuer Unternehmen zulaessig sind tools](https://compound.law/de-DE/tools/claude-dsgvo/) - [Anthropic Standardvertragsklauseln (SCC): DSGVO-Leitfaden Modul 2 und 3 tools](https://compound.law/de-DE/tools/anthropic-scc/) - [Zoom AI Companion DSGVO-Konformität für deutsche Unternehmen tools](https://compound.law/de-DE/tools/zoom/) - [Hat Airtable einen AVV? Ja — aber nur im Enterprise-Plan (DSGVO) tools](https://compound.law/de-DE/tools/airtable-ai/) - [Claude Team vs. Enterprise: Tarifvergleich für Unternehmen in Deutschland tools](https://compound.law/de-DE/tools/claude-team-vs-enterprise/) - [Claude Enterprise für Kanzleien und Rechtsabteilungen tools](https://compound.law/de-DE/tools/claude-enterprise-kanzleien/) - [Anthropic AVV: Datenverarbeitungsvertrag nach Art. 28 DSGVO? tools](https://compound.law/de-DE/tools/anthropic-datenverarbeitungsvertrag/) - [Claude Enterprise für Deutschland — DSGVO-konform & sicher tools](https://compound.law/de-DE/tools/claude-enterprise-deutschland/) - [Anthropic DPA: Art. 28 DSGVO-Prüfung für Deutschland tools](https://compound.law/de-DE/tools/anthropic-dpa/) ## Häufige Fragen Die Anthropic API kann DSGVO-konform eingesetzt werden, wenn ein AVV nach Art. 28 DSGVO abgeschlossen wird, eine geeignete Rechtsgrundlage nach Art. 6 DSGVO vorliegt und ein zulässiger Mechanismus für EU–US-Datenübermittlungen — etwa Standardvertragsklauseln — vereinbart ist. API-Eingaben werden von Anthropic standardmäßig nicht für das Training der Modelle genutzt. Ja. Anthropic stellt einen Auftragsverarbeitungsvertrag zur Verfügung, der über die Anthropic Console akzeptiert werden kann. Er umfasst die Pflichten nach Art. 28 DSGVO, Standardvertragsklauseln für EU–US-Transfers, Angaben zu Unterauftragsverarbeitern, technisch-organisatorische Maßnahmen, Meldepflichten bei Datenpannen und Löschverpflichtungen. Die direkte Anthropic API verarbeitet Daten standardmäßig in den USA; Standardvertragsklauseln decken diese Übermittlung ab. Unternehmen, die Claude über Amazon Bedrock mit der Region AWS eu-central-1 (Frankfurt) einsetzen, halten die Verarbeitung vollständig innerhalb der EU — der stärkste verfügbare Datenresidenz-Ansatz unter der DSGVO. Nein. Anthropic nutzt API-Eingaben und -Ausgaben standardmäßig nicht für das Training oder die Verbesserung seiner Basismodelle. Enterprise-Kunden können zusätzlich den Zero-Data-Retention-Modus beantragen, bei dem Anthropic Prompts und Completions nach Abschluss des API-Aufrufs nicht speichert. Wenn Anthropic im Rahmen der API personenbezogene Daten im Auftrag eines Unternehmens verarbeitet, handelt Anthropic als Auftragsverarbeiter nach Art. 28 DSGVO. Das Unternehmen, das die API nutzt, ist der Verantwortliche und trägt die Verantwortung für Rechtsgrundlage, Betroffeneninformation und DSGVO-Konformität. ## Structured data ```json [ { "@context": "https://schema.org", "@type": [ "Organization", "LegalService" ], "@id": "https://compound.law/#organization", "name": "Compound Law", "alternateName": "Compound Law — AI Law Firm", "url": "https://compound.law/", "logo": { "@type": "ImageObject", "url": "https://compound.law/press/logos/PNG/Compound_Law_Icon.png", "width": 1024, "height": 1024 }, "image": "https://compound.law/assets/images/og-image.webp", "description": "Die KI-native Kanzlei in Berlin für Start-ups, Mittelstand und Konzerne: Commercial und Vertragsrecht, Datenschutz, KI-Verordnung, Marken, Gesellschaftsrecht sowie Sanierung und Insolvenz. Jedes Ergebnis prüft ein Anwalt, abgerechnet zum Festpreis.", "foundingDate": "2026", "founder": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] } ], "employee": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Marc Schuba", "jobTitle": "Founding Partner, Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/marc-schuba/", "sameAs": [ "https://www.linkedin.com/in/marcschuba/" ], "knowsAbout": [ "IP- und IT-Recht", "SaaS- und IT-Verträge, IT-Outsourcing", "Software- und Open-Source-Lizenzen", "Datenschutzrecht (DSGVO)", "KI-Recht und KI-Verordnung (AI Act)" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] }, { "@type": "Person", "name": "Philipp Brandt", "jobTitle": "Partner, Rechtsanwalt, Fachanwalt für gewerblichen Rechtsschutz", "url": "https://compound.law/de-DE/lawyers/philipp-brandt/", "sameAs": [ "https://www.linkedin.com/in/philipp-brandt-81b446a/" ], "knowsAbout": [ "Sanierungs- und Insolvenzrecht (Krisenberatung der Geschäftsführung, Schutzschirm- und Planverfahren, Insolvenzverwaltung)", "Gewerblicher Rechtsschutz (Marken, Wettbewerbsrecht, Urheberrecht, Geschäftsgeheimnisse, Lizenzverträge)", "Datenschutzrecht (Datenpannen, Bußgeldverfahren, Auskunft und Schadensersatz)", "Vertriebs- und Handelsrecht (Vertriebsverträge, Kauf und Verkauf von Industrieanlagen)" ] }, { "@type": "Person", "name": "Dr. Markus Dreißigacker", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/markus-dreissigacker/", "sameAs": [ "https://www.linkedin.com/in/markusdreissigacker" ], "knowsAbout": [ "M&A (Due Diligence, Post-Merger-Integration, IPO-Readiness)", "Gesellschaftsrecht (Governance, Gremienarbeit, Restrukturierung)", "Handelsrecht (Kundenverträge, Lieferantenvereinbarungen, NDAs)", "IP (Markenmanagement, IP-Übertragungsverträge)", "Compliance & ESG (Globale Compliance-Programme, Menschenrechte, Nachhaltigkeit)", "Datenschutz (DSGVO-Strategie, DPO-Erfahrung, Datenschutzprogramme)" ] } ], "address": { "@type": "PostalAddress", "addressLocality": "Berlin", "addressCountry": "DE" }, "areaServed": [ "Germany", "Austria", "Switzerland", "European Union", "United Kingdom", "United States", "Singapore" ], "availableLanguage": [ "de", "en" ], "serviceType": [ "AI law firm", "AI-native legal services", "legal counsel for start-ups and growth companies", "legal counsel for mid-sized companies and corporates", "Commercial Law", "Corporate Law", "Employment Law", "Regulatory & Compliance", "Intellectual Property", "Insolvency & Restructuring" ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "Compound Law services", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Commercial Contracts", "description": "Battle-tested contracts for your sales process", "serviceType": [ "enterprise contracts", "MSA", "DPA", "sales contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "International Employment", "description": "Compliant hiring across borders", "serviceType": [ "international employment", "hiring abroad", "employment contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "VSOP/ESOP Setup", "description": "Employee participation that actually works", "serviceType": [ "VSOP", "ESOP", "employee stock options", "equity incentives" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Funding Round Support", "description": "Clean legal for your next raise", "serviceType": [ "funding round", "term sheet", "SHA", "due diligence", "cap table" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Corporate Housekeeping", "description": "Get your legal house in order", "serviceType": [ "corporate governance", "board resolutions", "shareholder register" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Data Protection & Privacy", "description": "GDPR compliance that doesn't slow you down", "serviceType": [ "GDPR", "data protection", "privacy", "DPA", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI Act Compliance", "description": "Navigate EU AI regulation", "serviceType": [ "AI Act", "AI compliance", "AI governance", "EU AI regulation" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "IP & Competition", "description": "Protect and enforce what you've built", "serviceType": [ "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Fractional General Counsel", "description": "In-house legal without the full-time cost", "serviceType": [ "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "FinTech Compliance", "description": "Navigate financial regulation", "serviceType": [ "fintech compliance", "BaFin", "banking regulation", "AML", "KYC" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Legal Retainer", "description": "Predictable legal support when you need it", "serviceType": [ "legal retainer", "legal subscription", "ongoing legal support" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "M&A Preparation", "description": "Get ready for acquisition interest", "serviceType": [ "M&A preparation", "acquisition", "due diligence", "exit" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Restructuring & Insolvency", "description": "From the first liquidity check to the restructuring itself", "serviceType": [ "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } } ] }, "contactPoint": { "@type": "ContactPoint", "contactType": "sales", "email": "contact@compound.law", "availableLanguage": [ "English", "German" ], "areaServed": [ "DE", "AT", "CH", "EU", "GB", "US", "SG" ] }, "email": "contact@compound.law", "sameAs": [ "https://www.linkedin.com/company/compoundlawfirm", "https://x.com/CompoundLawFirm" ], "knowsAbout": [ "Commercial Contracts", "enterprise contracts", "MSA", "DPA", "sales contracts", "International Employment", "international employment", "hiring abroad", "employment contracts", "VSOP/ESOP Setup", "VSOP", "ESOP", "employee stock options", "equity incentives", "Funding Round Support", "funding round", "term sheet", "SHA", "due diligence", "cap table", "Corporate Housekeeping", "corporate governance", "board resolutions", "shareholder register", "Data Protection & Privacy", "GDPR", "data protection", "privacy", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR", "AI Act Compliance", "AI Act", "AI compliance", "AI governance", "EU AI regulation", "IP & Competition", "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance", "Fractional General Counsel", "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer", "FinTech Compliance", "fintech compliance", "BaFin", "banking regulation", "AML", "KYC", "Legal Retainer", "legal subscription", "ongoing legal support", "M&A Preparation", "M&A preparation", "acquisition", "exit", "Restructuring & Insolvency", "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ] }, { "@context": "https://schema.org", "@type": "Article", "headline": "Anthropic API DSGVO: AVV, EU-Datenresidenz & Compliance-Leitfaden", "description": "Anthropic API DSGVO-Check: AVV-Status, EU-Datenhaltung, Training-Opt-out und Schritt-für-Schritt-Leitfaden für DSGVO-konforme KI-Produkte mit Claude.", "image": "https://compound.law/assets/images/tools/tools_3.webp", "datePublished": "2026-04-17T00:00:00.000Z", "dateModified": "2026-04-17T00:00:00.000Z", "author": { "@type": "Person", "name": "Julian Jantze", "image": "https://compound.law/assets/images/team/julianjantze.webp" }, "publisher": { "@type": "Organization", "@id": "https://compound.law/#organization", "name": "Compound Law" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://compound.law/de-DE/tools/anthropic-api/" } }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://compound.law/de-DE/" }, { "@type": "ListItem", "position": 2, "name": "KI-Tools", "item": "https://compound.law/de-DE/tools/" }, { "@type": "ListItem", "position": 3, "name": "Anthropic API DSGVO: AVV, EU-Datenresidenz & Compliance-Leitfaden", "item": "https://compound.law/de-DE/tools/anthropic-api/" } ] }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Ist die Anthropic API DSGVO-konform?", "acceptedAnswer": { "@type": "Answer", "text": "Die Anthropic API kann DSGVO-konform eingesetzt werden, wenn ein AVV nach Art. 28 DSGVO abgeschlossen wird, eine geeignete Rechtsgrundlage nach Art. 6 DSGVO vorliegt und ein zulässiger Mechanismus für EU–US-Datenübermittlungen — etwa Standardvertragsklauseln — vereinbart ist. API-Eingaben werden von Anthropic standardmäßig nicht für das Training der Modelle genutzt." } }, { "@type": "Question", "name": "Bietet Anthropic einen Auftragsverarbeitungsvertrag (AVV) an?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Anthropic stellt einen Auftragsverarbeitungsvertrag zur Verfügung, der über die Anthropic Console akzeptiert werden kann. Er umfasst die Pflichten nach Art. 28 DSGVO, Standardvertragsklauseln für EU–US-Transfers, Angaben zu Unterauftragsverarbeitern, technisch-organisatorische Maßnahmen, Meldepflichten bei Datenpannen und Löschverpflichtungen." } }, { "@type": "Question", "name": "Verarbeitet Anthropic API-Daten in der EU?", "acceptedAnswer": { "@type": "Answer", "text": "Die direkte Anthropic API verarbeitet Daten standardmäßig in den USA; Standardvertragsklauseln decken diese Übermittlung ab. Unternehmen, die Claude über Amazon Bedrock mit der Region AWS eu-central-1 (Frankfurt) einsetzen, halten die Verarbeitung vollständig innerhalb der EU — der stärkste verfügbare Datenresidenz-Ansatz unter der DSGVO." } }, { "@type": "Question", "name": "Trainiert Anthropic die Modelle mit API-Daten?", "acceptedAnswer": { "@type": "Answer", "text": "Nein. Anthropic nutzt API-Eingaben und -Ausgaben standardmäßig nicht für das Training oder die Verbesserung seiner Basismodelle. Enterprise-Kunden können zusätzlich den Zero-Data-Retention-Modus beantragen, bei dem Anthropic Prompts und Completions nach Abschluss des API-Aufrufs nicht speichert." } }, { "@type": "Question", "name": "Welche Rolle nimmt Anthropic unter der DSGVO ein — Auftragsverarbeiter oder Verantwortlicher?", "acceptedAnswer": { "@type": "Answer", "text": "Wenn Anthropic im Rahmen der API personenbezogene Daten im Auftrag eines Unternehmens verarbeitet, handelt Anthropic als Auftragsverarbeiter nach Art. 28 DSGVO. Das Unternehmen, das die API nutzt, ist der Verantwortliche und trägt die Verantwortung für Rechtsgrundlage, Betroffeneninformation und DSGVO-Konformität." } } ] } ] ```