Claude Desktop ist bequem. Genau deshalb darf die App nicht einfach auf jedem Rechner laufen. DSGVO-konform wird Claude erst durch Tarif, AVV, Regeln, Geräte-Kontrolle — und Menschen, die wissen, was sie nicht eingeben.
Nicht die App entscheidet. Euer Setup entscheidet.
Claude Desktop ist kein magischer Datenschutz-Verstoß. Aber auch kein Freifahrtschein.
Die App ist vergleichsweise neu. Viele offizielle Datenschutzinfos beziehen sich nicht nur auf die Desktop-App, sondern auf Claude allgemein — also Web, Team, Enterprise, API und Cloud-Integrationen. Heißt für Unternehmen: konservativ planen. Nicht raten.
Claude ist nicht automatisch DSGVO-konform. Ihr macht den Einsatz sauber — oder eben nicht.
Eine Desktop-App fühlt sich harmlos an. Icon im Dock. Kurzbefehl. Datei reinziehen. Antwort bekommen.
Genau da beginnt das Risiko. Nicht weil Claude heimlich euren Rechner leerliest. Sondern weil Menschen sehr schnell sehr sensible Daten in sehr praktische Werkzeuge kippen.
Free und Pro sind privat. Nicht euer Unternehmensstandard.
Wenn ihr Claude im Unternehmen nutzt, sind Free und Pro keine saubere Basis für personenbezogene Daten. Punkt.
Der Grund ist trocken, aber wichtig: Es fehlt der AVV nach Art. 28 DSGVO. Also der Auftragsverarbeitungsvertrag. Ohne AVV verarbeitet ihr personenbezogene Daten nicht sauber über einen Dienstleister.
Private Accounts sind doppelt schlecht. Ihr habt keine zentrale Kontrolle. Kein sauberes Offboarding. Keine verlässliche Steuerung, wer was nutzt. Und meistens auch keine klare Trennung zwischen privat und beruflich.
„Nur kurz testen“ ist kein Prozess. Es ist Schatten-IT mit besserer Oberfläche.
Team ist Minimum. Enterprise ist Kontrolle.
Für geschäftliche Nutzung braucht ihr mindestens Claude Team, sobald personenbezogene Daten eine Rolle spielen. Team bringt die wichtige Grundlage: AVV und vertraglich abgesicherten Ausschluss der Nutzung eurer Inhalte für Modelltraining.
Das reicht für viele normale Aufgaben. Brainstorming. Textentwürfe. Code-Erklärungen. Interne Checklisten. Vorausgesetzt, ihr arbeitet mit anonymisierten oder nicht-personenbezogenen Daten.
Aber Team hat Grenzen. Keine garantierte EU-Datenresidenz. Keine Zero Data Retention. Keine Audit-Logs. Kein SSO/SCIM auf Enterprise-Niveau.
Claude Enterprise ist die strengere Variante. Dort sind EU-Hosting, etwa über die Region Frankfurt, Zero Data Retention, Audit-Logs, SSO und SCIM möglich. Das ist relevant, wenn ihr mit sensiblen Kundendaten, Supportfällen, regulierten Branchen oder Art.-9-Daten arbeitet.
Mindestens Team. Bei sensiblen Daten Enterprise. Alles darunter bleibt aus Kundendaten raus.
DSGVO heißt Vertrag. Und Nachweis.
DSGVO-konform heißt nicht: „Wir haben doch bezahlt.“ Es heißt: Ihr könnt nachweisen, warum und wie ihr Claude nutzt.
Dazu gehören ein AVV, klare interne Regeln und eine dokumentierte Bewertung der Datenflüsse. Wenn Daten in die USA übertragen werden, reicht ein gutes Gefühl nicht. Dann braucht ihr Standardvertragsklauseln nach Art. 46 DSGVO — und ein Transfer Impact Assessment.
Das klingt nach Papier. Ist es auch. Aber wichtiges Papier.
Bei besonders sensiblen oder umfangreichen Verarbeitungen kommt eine DSFA nach Art. 35 DSGVO dazu. Also eine Datenschutz-Folgenabschätzung. Besonders dann, wenn Gesundheitsdaten, politische Meinungen, Mitarbeiterdaten, Rechtsfälle oder große Kundendatenmengen im Spiel sind.
Das ist kein Ersatz für euren Datenschutzbeauftragten. Aber es ist die Richtung, in der sauberes Arbeiten läuft.
Desktop beschleunigt. Und senkt die Hemmschwelle.
Claude Desktop macht KI näher am Alltag. Genau das ist der Nutzen. Und das Risiko.
Mitarbeitende kopieren schneller aus CRM, Ticketsystem, E-Mail oder Vertragsentwurf. PDFs werden reingezogen. Screenshots hochgeladen. Quellcode eingefügt. Alles in Sekunden.
Das Problem ist nicht die einzelne Aktion. Das Problem ist der fehlende Rahmen.
Unkontrollierter Zugriff kann viele Formen haben: eine App auf einem privaten MacBook, ein privater Claude-Login im Büro, ein verlorenes Gerät, ein nicht gesperrter Bildschirm, ein ehemaliger Mitarbeiter mit aktivem Account.
Und dann gibt es Integrationen. Wenn ihr MCP-Server oder lokale Konnektoren nutzt, wird es technischer. Dann kann Claude Desktop je nach Freigabe auf Ordner, Tools oder interne Systeme zugreifen.
Nicht pauschal. Nicht automatisch. Aber möglich.
Also gilt: Jeder zusätzliche Zugriff ist ein eigener Datenweg. Und jeder Datenweg braucht eine bewusste Freigabe.
Erst sortieren. Dann prompten.
Bevor jemand Claude öffnet, braucht ihr eine einfache Datenklassifizierung. Nicht akademisch. Alltagstauglich.
- Öffentlich — darf in Claude, wenn es ohnehin öffentlich ist.
- Intern — nur, wenn keine Geheimnisse oder personenbezogenen Details enthalten sind.
- Vertraulich — nur anonymisiert, gekürzt, geprüft.
- Streng vertraulich / Art.-9-Daten — nicht in Claude Desktop, außer mit Enterprise-Setup, DSFA und klarer Freigabe.
Anonymisieren heißt nicht, den Namen durch „Kunde A“ zu ersetzen, während E-Mail, Ort, Vertragsnummer und Projektkontext drin bleiben. Sauber anonymisieren heißt: Der Rückbezug ist wirklich raus.
Das ist Handwerk. Kein Datenschutz-Zauber.
Geräte verwalten. Sonst verwaltet euch der Zufall.
Claude Desktop gehört nicht wild auf private Geräte. Nicht für echte Unternehmensdaten.
1. Installation nur auf Firmen-Geräten
Rollt Claude Desktop über MDM aus. Zum Beispiel über Intune, Jamf oder Kandji. Dann wisst ihr, wo die App läuft, wer Zugriff hat und welches Gerät bei Verlust gesperrt oder gelöscht werden kann.
Kein BYOD für Claude, wenn sensible Daten im Spiel sind. Das klingt streng. Ist aber sauber.
2. Accounts zentral führen
Nutzt Unternehmensaccounts. Keine privaten Logins. Keine geteilten Accounts.
Mit Enterprise wird es besser: SSO, SCIM, zentrale Benutzerverwaltung. Wer das Unternehmen verlässt, verliert Zugriff. Sofort. Nicht nach drei Wochen, wenn es zufällig jemand merkt.
2FA ist Pflicht. Ohne Diskussion.
3. Lokale Sicherheit erzwingen
FileVault auf dem Mac. BitLocker unter Windows. Starke Passwörter. Automatische Bildschirmsperre nach wenigen Minuten.
Berufliches und Privates gehören in getrennte Profile. Besser noch: gar nicht auf dasselbe Gerät, wenn ihr mit sensiblen Kundenprojekten arbeitet.
4. Datenfluss begrenzen
DLP-Regeln können verhindern, dass Inhalte aus bestimmten Tools einfach in fremde Apps kopiert werden. Das ist nicht für jedes KMU sofort realistisch. Aber bei CRM, Ticketsystem, HR und Finanzen lohnt sich der Blick.
Bei besonders sensiblen Projekten gilt eine einfache Regel: kein Copy-Paste in Claude Desktop. Punkt.
5. Integrationen einzeln freigeben
Wenn Claude Desktop über MCP oder andere Konnektoren auf lokale Ordner oder Tools zugreift, braucht jeder Zugriff ein klares Limit.
Kein Zugriff auf das komplette Home-Verzeichnis. Keine Ordner mit Verträgen. Keine Exporte aus CRM oder Buchhaltung. Keine API-Schlüssel.
Nur das, was wirklich gebraucht wird. Alles andere bleibt zu.
Eine Richtlinie muss benutzt werden. Nicht bewundert.
Eine gute KI-Richtlinie passt auf zwei bis vier Seiten. Wenn sie 40 Seiten hat, liest sie niemand. Dann habt ihr Dokumentation, aber keinen Schutz.
Regelt klar:
- Welche Claude-Tarife erlaubt sind.
- Ob Claude Desktop genutzt werden darf.
- Auf welchen Geräten die App laufen darf.
- Welche Daten rein dürfen.
- Wer Freigaben erteilt.
Dazu gehören Beispiele. Gute und schlechte Prompts. Direkt aus eurem Alltag.
Erlaubt: „Schreibe aus diesen anonymisierten Stichpunkten einen Blogentwurf.“
Nicht erlaubt: „Hier ist der komplette Kundenvertrag mit Namen, Adresse und Preisen. Fass mal zusammen.“
So einfach muss es sein.
Schulung ist kein Termin. Es ist Rhythmus.
Einmal Datenschutz-Schulung im Januar reicht nicht. KI-Tools ändern sich. Teams ändern sich. Gewohnheiten ändern sich noch schneller.
Macht kurze Updates. 30 Minuten. Alle paar Monate. Mit echten Beispielen.
Zeigt, was nie in Claude gehört: Passwörter, API-Schlüssel, vollständige Kundendatenbanken, Personaldaten, Gesundheitsdaten, Vertragsentwürfe mit Klarnamen.
Einmal erklärt. Immer verfügbar. Als Checkliste im Intranet, in Notion, im Teams-Kanal — wo euer Team wirklich arbeitet.
Ein Setup für KMU. Pragmatismus statt Theater.
Für viele KMU und Agenturen reicht ein klarer Startpunkt.
Claude Team als Minimum. AVV abschließen. Private Accounts verbieten. Desktop nur auf verwalteten Firmen-Geräten. Kundendaten anonymisieren. Sensible Fälle rausnehmen.
Wenn ihr Supportdaten, Finanzdaten, Rechtsdokumente oder Art.-9-Daten verarbeitet, schaut auf Enterprise. Mit EU-Hosting, Zero Data Retention, Audit-Logs und zentraler Benutzerverwaltung.
Ein sauberer Arbeitsplan kann so aussehen:
Tag 1: Prüfen, wer Claude schon nutzt.
Tag 2 bis 4: Tarif, AVV, Datenflüsse klären.
Tag 5 bis 7: Richtlinie schreiben und testen.
Woche 2: Geräte ausrollen, Schulung machen, alte Wildwuchs-Installationen entfernen.
Nicht perfekt. Aber handwerklich sauber.
Was wir daraus machen.
KI ist ein Werkzeug. Kein Datenmüllschlucker.
Wir nutzen KI dort, wo sie Tempo bringt: Ideen, Struktur, Varianten, Entwürfe. Aber Kundendaten bleiben nicht einfach im Prompt kleben. Namen raus. Details raus. Kontext trennen.
Das ist weniger spektakulär als „wir machen jetzt alles mit KI“. Dafür hält es länger.
Handwerk schlägt Hype. Auch bei Claude Desktop.
Fazit: Claude Desktop ja. Wildwuchs nein.
Claude Desktop kann im Unternehmen richtig nützlich sein. Aber nur mit Grenzen.
Wenn ihr die App schon nutzt, macht heute eine Bestandsaufnahme: Welche Geräte, welche Accounts, welcher Tarif, welche Daten. Danach räumt ihr auf.
Mindestens Team. Bei sensiblen Daten Enterprise. AVV, TIA, Richtlinie, Geräteverwaltung, Schulung.
Nicht als Bürokratie-Show. Als Schutz für eure Kunden, euer Team, eure Daten.
Wenn ihr dafür einen sauberen Rahmen braucht, reden wir mit euch. Kein KI-Theater. Einmal prüfen, Regeln schleifen, Team arbeitsfähig machen.