Claude Code datenschutzbewusst betreiben: Tarife, AVV, Bedrock — und der Schritt davor

Kurz: Kein Werkzeug ist „an sich" DSGVO-konform, auch Claude Code nicht. Konform kann nur der Verantwortliche sein, also du oder deine Firma, mit einem konkreten Setup. Das Setup hat drei Schichten: den Vertrag mit Anthropic (Verbraucher- oder Geschäftstarif, AVV, Speicherfrist), den Betriebsweg (Anthropic-API direkt, AWS Bedrock oder Google Vertex in einer EU-Region) und den Schritt, den fast alle Ratgeber auslassen: was mit dem Prompt passiert, bevor er den Rechner verlässt. Claude Code sendet nicht nur deine Frage, sondern Dateiinhalte, Shell-Ausgaben und Git-Diffs. Wer Kundendaten, Schlüssel oder Personennamen im Repo hat, schickt sie mit. Dieser Beitrag erklärt alle drei Schichten und endet mit einer Checkliste.

Welche Daten Claude Code verlassen

Claude Code ist ein Agent im Terminal. Das unterscheidet ihn von einem Chatfenster: Du gibst eine Aufgabe, das Werkzeug liest, führt aus und schickt die Ergebnisse als Kontext zurück ans Modell. Konkret gehen pro Sitzung typischerweise:

Quelle	Beispiel	Wann
Prompt und Systemanweisungen	deine Aufgabe, CLAUDE.md, Projektregeln	jeder Zug
Dateiinhalte	alles, was Read öffnet: Code, .env, Fixtures, Kundendaten-Exporte	sobald das Modell die Datei liest
Werkzeugergebnisse	Bash-Ausgaben, git diff, env, Logs, Testausgaben	jede Werkzeugrunde
MCP-Ergebnisse	Datenbankabfragen, Tickets, Mails aus angebundenen Servern	wenn ein MCP-Server angebunden ist
Telemetrie und Fehlerberichte	Nutzungsstatistik, Absturzberichte	je nach Konfiguration, abschaltbar

Der entscheidende Punkt steht in der dritten Zeile. Werkzeugergebnisse sind die ergiebigste Quelle für unbeabsichtigte Übertragungen: cat .env, ein Stacktrace mit Nutzer-E-Mail, ein SQL-Dump in fixtures/. Das Modell hat diese Inhalte nicht „gefragt", sie sind das normale Arbeitsmaterial eines Agenten.

Die Telemetrie ist der harmloseste Teil und der einzige, der sich per Umgebungsvariable abschalten lässt. Die aktuellen Schalter stehen in der Claude-Code-Dokumentation unter docs.anthropic.com, Abschnitt zur Datennutzung. Prüf die Namen dort, sie haben sich in den letzten Versionen mehrfach geändert.

Was Anthropic vertraglich bietet

Hier lohnt es sich, genau zu trennen. Anthropic hat zwei Vertragswelten, und Claude Code kann in beiden laufen.

Verbraucher- oder Geschäftstarif

• Verbraucherkonten (Claude Free, Pro, Max): Du meldest Claude Code mit deinem persönlichen Konto an. Es gelten die Verbraucherbedingungen. Seit Herbst 2025 gibt es dort eine Wahlmöglichkeit, ob Unterhaltungen zum Training verwendet werden dürfen, mit deutlich längerer Speicherfrist bei Zustimmung. Nach unserem Stand fällt auch die Nutzung über Claude Code unter diese Wahl. Für Firmendaten ist das der falsche Vertrag, unabhängig von der Einstellung: Du bekommst keinen AVV auf ein Privatkonto.
• Geschäftstarife (Team, Enterprise, API über die Console): Es gelten die kommerziellen Bedingungen. Anthropic sagt dort zu, Ein- und Ausgaben nicht zum Training zu verwenden, und stellt ein Data Processing Addendum bereit, also den AVV im Sinne von Art. 28 DSGVO. Die Speicherfrist für API-Daten liegt nach den Dokumentationen bei 30 Tagen, für zugelassene Kunden gibt es eine Nullspeicher-Option („Zero Data Retention").

Die Vertragstexte liegen unter anthropic.com/legal. Welche Fassung für dich gilt, welche Vertragspartei (US-Gesellschaft oder europäische Tochter) unterschreibt und welche Speicherfrist dein Tarif tatsächlich hat, steht dort, nicht in einem Blogbeitrag. Prüf es zum Vertragsdatum und leg die Fassung ab.

Datenresidenz: Bedrock und Vertex

Die Anthropic-API selbst wird nach unserem Stand aus den USA bedient. Wer Verarbeitung in der EU braucht, nimmt einen der beiden Cloud-Wege:

• AWS Bedrock bietet Claude-Modelle in EU-Regionen, darunter Frankfurt. Claude Code unterstützt diesen Weg direkt über die Umgebungsvariable CLAUDE_CODE_USE_BEDROCK. Der Vertragspartner ist dann AWS, mit dessen AVV und Regionsbindung. Details: aws.amazon.com/bedrock.
• Google Vertex AI bietet dasselbe für Google-Cloud-Regionen in Europa, über CLAUDE_CODE_USE_VERTEX.

Zwei Fallstricke: Erstens gibt es „Cross-Region Inference", bei der eine Anfrage innerhalb eines Kontinents auf eine andere Region ausweichen kann. Für EU-Profile bleibt das nach AWS-Angabe innerhalb der EU, aber du musst das Profil bewusst wählen. Zweitens ist nicht jedes Modell zu jedem Zeitpunkt in jeder Region verfügbar. Ein neues Modell erscheint oft zuerst in US-Regionen. Wer „nur EU" festschreibt, muss damit leben, manchmal ein älteres Modell zu fahren.

Bedrock löst die Frage „wo wird verarbeitet". Es löst nicht die Frage „was wird verarbeitet". Ein .env mit Produktionsschlüsseln ist in Frankfurt genauso gesendet wie in Virginia.

Was in Deutschland zusätzlich zählt

Für Firmen und Freelancer mit Kundenaufträgen kommen vier Dinge hinzu, die kein Anbieter für dich erledigen kann.

Art. 28 DSGVO, Auftragsverarbeitung. Sobald personenbezogene Daten an Anthropic, AWS oder Google gehen, brauchst du einen AVV mit genau diesem Dienstleister. Der Gesetzestext steht unter dsgvo-gesetz.de/art-28-dsgvo. Der AVV ist die Mindestbedingung, nicht der Beweis der Konformität.

Drittlandtransfer, Art. 44 ff. Bei der direkten Anthropic-API verlassen Daten die EU. Rechtsgrundlage sind dann Standardvertragsklauseln oder eine Zertifizierung nach dem EU-US Data Privacy Framework. Prüf im aktuellen DPF-Verzeichnis, ob der konkrete Vertragspartner eingetragen ist, und dokumentier das.

Verarbeitungsverzeichnis, Art. 30. Der Einsatz gehört als eigener Eintrag ins Verzeichnis: Zweck (Softwareentwicklung mit KI-Assistenz), Datenkategorien (Quellcode, ggf. Kundendaten in Testdaten und Logs), Empfänger, Speicherfrist, Löschkonzept.

DSFA-Frage, Art. 35. Eine Datenschutz-Folgenabschätzung ist nicht automatisch Pflicht. Sie wird es, wenn du regelmäßig besondere Kategorien (Gesundheit, Finanzen) oder große Mengen Kundendaten in Repositories hast, die der Agent liest. Auch hier entscheidet der Inhalt der Repos, nicht das Werkzeug.

Dazu kommt, was nicht DSGVO ist, aber oft härter: Geheimhaltungsvereinbarungen mit Kunden. Ein NDA, das Weitergabe an Dritte verbietet, ist mit einem KI-Anbieter ohne Freigabe des Kunden verletzt, egal wie gut der AVV ist. Und bei Beschäftigtendaten redet der Betriebsrat mit, weil ein Werkzeug, das Arbeitsverhalten protokollieren könnte, unter § 87 BetrVG fällt.

Der Schritt davor: was den Rechner gar nicht verlassen sollte

Alle bisherigen Punkte regeln, was mit Daten passiert, nachdem sie gesendet wurden. Der wirksamste Hebel liegt davor. Was nicht im Prompt steht, braucht keinen AVV.

Drei Maßnahmen, aufsteigend nach Aufwand:

1. Repos aufräumen. Keine Produktionsdumps in fixtures/, keine echten Kunden-E-Mails in Tests, .env in .gitignore und im Deny-Muster der Werkzeug-Freigaben. Das ist Hygiene, kein Datenschutz, aber es ist der größte Teil der Wirkung.
2. Eigener Schlüssel statt Sammelkonto. Ein API-Schlüssel je Team mit Geschäftsvertrag statt ein Privatkonto, das reihum benutzt wird. Damit ist geklärt, welcher Vertrag gilt und wer verantwortlich ist.
3. Geheimnisse und Personendaten vor dem Senden ersetzen. Das ist der Schritt, den UltraNOS mit cloak macht, und er ist gleichzeitig der, dessen Grenzen wir am ehrlichsten benennen müssen.

Wie cloak in UltraNOS arbeitet

UltraNOS ist ein KI-Workspace im Browser, gehostet in Nürnberg, der Claude wahlweise über die API oder über Claude Code als Unterprozess fährt. cloak sitzt im Backend unmittelbar vor dem Senden. Es ersetzt erkannte API-Schlüssel, Passwörter in Befehlszeilen, Connection-Strings, PEM-Blöcke und E-Mail-Adressen durch Platzhalter der Form CLOAK_SECRET_… oder CLOAK_EMAIL_…. Die Erkennung läuft über 57 Regeln, darunter 27 Anbieter-Präfixe (sk-ant-…, ghp_…, glpat-…) und 13 strukturelle Muster. Der Platzhalter ist je Wert stabil, sodass das Modell damit arbeiten kann, ohne den Wert zu sehen. Auf der gehosteten Instanz läuft das im Profil enforce; ob es aktiv ist, zeigt GET /api/health im Feld cloak.

Jetzt die Grenzen, weil sie für genau diesen Beitrag zählen:

• Auf dem Claude-Code-Weg werden nur Prompt und Systemprompt verhüllt. Claude Code führt seine Werkzeuge selbst aus und redet über eine eigene Verbindung mit Anthropic. Was Read oder Bash dort liefert, sieht cloak nicht. Die volle Abdeckung, also auch Werkzeugergebnisse jeder Runde, gilt nur auf den API-Wegen, die du mit eigenem Schlüssel wählst.
• Musterbasiert. Ein Passwort ohne Präfix, ohne Zuweisung und mit niedriger Entropie geht durch. Klarnamen im Fließtext werden nur erkannt, wenn sie im Tresor eingetragen sind. Bilder und PDFs werden nicht gescannt.
• Die Prüfkopie je Zug ist gebaut, aber noch nicht verdrahtet. Der Nachweis, was konkret ersetzt wurde, ist heute das Server-Protokoll und der Health-Endpunkt, nicht eine Ansicht im Chat.

Deshalb bewerben wir nicht „Geheimnisse erreichen das Modell nie". Richtig ist: erkannte Geheimnisse werden vor dem Senden ersetzt, und du kannst sehen, ob der Schutz an ist. Wie das im Alltag aussieht, steht in API-Keys im Prompt schützen. Den AVV für UltraNOS selbst findest du unter ultranos.de/#avv.

Checkliste: 10 Punkte vor dem Einsatz

1. Geschäftstarif oder API-Schlüssel über eine Console-Organisation, kein Privatkonto.
2. AVV mit dem tatsächlichen Vertragspartner abgeschlossen und archiviert (Anthropic, AWS oder Google, je nach Weg).
3. Speicherfrist des Tarifs notiert; Nullspeicher-Option geprüft, falls nötig.
4. Drittlandtransfer geklärt: Standardvertragsklauseln oder DPF-Eintrag dokumentiert, oder EU-Region über Bedrock/Vertex gewählt.
5. Bei Bedrock/Vertex: Regions- und Inferenzprofil so gesetzt, dass es in der EU bleibt.
6. Eintrag im Verarbeitungsverzeichnis angelegt, DSFA-Frage beantwortet und begründet.
7. Kunden-NDAs auf KI-Klauseln geprüft; wo nötig, Freigabe eingeholt.
8. Repos bereinigt: keine Produktionsdaten in Tests, .env und Dumps in Deny-Listen der Werkzeuge.
9. Telemetrie und Fehlerberichte des Werkzeugs bewusst konfiguriert, nicht auf Vorgabe belassen.
10. Vorverarbeitung eingerichtet (Schwärzung, Platzhalter) und ihre Grenzen im Team bekannt gemacht.

Für wen das nichts ist

Wer ausschließlich eigenen Code ohne Personendaten und ohne fremde Geheimnisse bearbeitet, braucht von alldem nur die Repo-Hygiene und den richtigen Tarif. Wer dagegen unter strenger Regulierung steht, etwa mit Gesundheitsdaten, Bankgeheimnis oder Verschlusssachen, wird mit keinem Cloud-Modell glücklich, auch nicht in Frankfurt. Dort bleibt nur ein lokal betriebenes Modell, mit dem Preis, dass es deutlich schwächer ist als Claude. Und wer erwartet, dass ein Werkzeug die Verantwortung übernimmt, sucht etwas, das es nicht gibt. Der Verantwortliche bleibt der Verantwortliche.

FAQ

Ist Claude Code DSGVO-konform?

Die Frage ist so nicht beantwortbar. Konform ist eine Verarbeitung, nicht ein Werkzeug. Claude Code lässt sich mit Geschäftsvertrag, AVV, EU-Region und bereinigten Repos datenschutzbewusst betreiben. Mit einem Privatkonto und Kundendaten im Repo lässt es sich auch anders betreiben.

Gibt es einen AVV von Anthropic?

Ja, für die Geschäftstarife und die API stellt Anthropic ein Data Processing Addendum bereit. Für Verbraucherkonten gibt es keinen. Prüf die aktuelle Fassung unter anthropic.com/legal und welche Vertragspartei für dich unterschreibt.

Reicht AWS Bedrock in Frankfurt für die DSGVO?

Bedrock in einer EU-Region klärt den Verarbeitungsort und den Vertragspartner. Es klärt nicht, welche Daten du hineinschickst, ob du ein Verarbeitungsverzeichnis führst oder ob deine Kunden-NDAs die Weitergabe erlauben. Es ist ein Baustein, kein Freifahrtschein.

Welche Einstellungen in Claude Code betreffen den Datenschutz?

Die Wahl des Kontos (Privat oder Geschäft), der Betriebsweg (API, Bedrock, Vertex), die Telemetrie-Schalter und die Freigabe- und Deny-Listen für Werkzeuge. Die genauen Variablennamen stehen in der Dokumentation unter docs.anthropic.com und ändern sich mit Versionen.

Was macht UltraNOS anders als Claude Code direkt?

UltraNOS setzt vor dem Senden eine Schwärzung erkannter Geheimnisse und E-Mail-Adressen ein, läuft auf Servern in Nürnberg und bietet einen AVV. Auf dem Claude-Code-Weg ist die Schwärzung auf Prompt und Systemprompt beschränkt. Volle Abdeckung inklusive Werkzeugergebnissen gibt es auf den API-Wegen mit eigenem Schlüssel.

Schlüssel bleiben bei dir — der Rest im Browser.

UltraNOS ist die Agentic Web IDE: mehrere KI-Agenten parallel, Editor, Git und Terminal. cloak ersetzt API-Schlüssel und Passwörter, bevor ein Prompt den Anbieter erreicht. Gehostet in Nürnberg, 14 Tage kostenlos.

14 Tage testen →