Claude Anthropic · Governance und Compliance

Claude Compliance-Dokumentation: ausgefüllt statt als Vorlage

Kurz gesagt

Eine Claude Compliance-Dokumentation besteht aus Angaben, nicht aus Vorlagen: Einsatzzwecke, Datenflüsse, Konfigurationsstände und Anbieternachweise Ihres eigenen Betriebs. Anthropic stellt SOC-2- und ISO-Nachweise über sein Trust Center auf Anfrage bereit. Ein deutsches IDW-PS-951- oder BSI-C5-Testat ist in der öffentlichen Übersicht nicht aufgeführt. Pexon Consulting erhebt diese Angaben technisch, ordnet jeden Nachweis Ihrem Prüfraster zu und übergibt eine Lückenliste mit Aufwand und Zuständigkeit je offener Position.

Behörden-Checklisten als Raster

Fundstelle und Datum je Aussage

Stand 12.08.2026

Microsoft Solutions Partner (Digital & App Innovation, Infrastructure Azure, Data & AI Azure), ISO/IEC 27001, Google Cloud Partner, AWS Partner

Jetzt Kontakt aufnehmen Claude und Datenschutz im Überblick

Warum die Vorlagensammlung ohne Daten teuer wird

Prüfungen scheitern selten daran, dass ein Dokument fehlt. Sie scheitern daran, dass die Dokumente leer sind: Standardtexte ohne die Angaben, die nur aus dem eigenen Betrieb kommen können.

Die Anbieternachweise sind US-zugeschnitten

Anthropic weist SOC 2, ISO 27001 und ISO 42001 nach, die Compliance-Übersicht im Trust Center nennt zusätzlich CSA STAR. Alles, was Ihren eigenen Betrieb betrifft, kann kein Anbieterzertifikat abdecken: Zwecke, Datenflüsse, Berechtigungen, Protokolle.

Die Muss-Liste entscheidet, nicht das Bauchgefühl

Die Datenschutzkonferenz führt 17 Verarbeitungstätigkeiten, bei denen eine Folgenabschätzung durchzuführen ist. Nummer 11 nennt KI, die mit Betroffenen interagiert oder persönliche Aspekte bewertet. Ob Ihr Einsatz darunter fällt, entscheidet Ihr Datenschutz, nicht wir.

Vorlagen sind billig, Angaben sind teuer

Standardtexte bekommen Sie fertig. Was keiner liefern kann, sind die Angaben aus Ihrem Betrieb: Einsatzzwecke, Datenflüsse, Konfigurationsstände und die Frage, welcher Anbieternachweis Ihr Prüfraster überhaupt trifft.

Die Zahlen hinter Ihrer Prüfung

Vier Zahlen bestimmen, wie aufwendig Ihre Claude Compliance-Dokumentation wird. Drei stammen aus Behördenquellen und Anbieterdokumenten, die vierte aus eigener Marktrecherche. Abgerufen am 12.08.2026.

17 Muss-Fälle für die Folgenabschätzung

So viele Verarbeitungstätigkeiten führt die Liste der Datenschutzkonferenz. Nummer 11 betrifft KI ausdrücklich. Ob Ihr Einsatz darunter fällt, entscheidet der Zweck, nicht das Werkzeug. (Datenschutzkonferenz, Muss-Liste v1.1 vom 17.10.2018)

20 Unterauftragsverarbeiter

So viele führt Anthropics Liste, abgerufen am 12.08.2026. Die Hälfte verarbeitet ausgewiesen in den USA, die vier Infrastruktur-Anbieter weltweit, einzelne in Südafrika, Kanada und Großbritannien. In regulierten Häusern wird jeder einzelne mit Funktion und Kritikalität erfasst. (Anthropic Trust Center, abgerufen 12.08.2026)

149 EUR kostet der Vorlagensatz

So günstig beginnt im deutschen Markt ein fertiges Vorlagenpaket für KI-Compliance, und die Checklisten der Aufsichtsbehörden kosten nichts. Wenn Ihnen nur Formulare fehlen, brauchen Sie uns nicht. (ki-compliance-kit.de, abgerufen 12.08.2026)

0 deutsches Testat in der Übersicht

In der öffentlichen Compliance-Übersicht des Anthropic Trust Center sind ein IDW-PS-951-Bericht und ein BSI-C5-Testat nicht aufgeführt. In regulierten Häusern ist das der Punkt, an dem die Prüfung zusätzliche Eigenleistung verlangt. (Anthropic Zertifikatsübersicht, abgerufen 12.08.2026)

Wann sich ein Nachweis-Paket lohnt

Ein Nachweis-Paket lohnt sich, sobald eine Prüfung terminiert ist, zwei oder mehr Regelwerke gleichzeitig greifen oder Ihr Einsatz die Muss-Liste zur Folgenabschätzung berührt.

terminierte Prüfung

greifende Regelwerke

Muss-Listen-Eintrag berührt

Anwendungsbeispiele

Beispiel 01

Register der Unterauftragsverarbeiter

Register werden in der Praxis je Dienstleister mit Funktion, Sitz und Kritikalität geführt. Welche Felder Ihres verlangt, gibt Ihre Revision vor. Wir bringen Anthropics Liste in diese Form und markieren, welche Angaben der Anbieter nicht liefert.

Ein registerfähiger Eintrag statt eines Screenshots der Anbieterseite.

Beispiel 02

Fristen-Matrix gegen Ihre Löschregel

Wir lesen die tatsächlich gesetzten Aufbewahrungseinstellungen aus und stellen sie Ihrer Löschregel gegenüber. Welche Fristen der Anbieter überhaupt vorsieht, prüft der AVV- und Datenschutz-Check.

Eine Matrix, die jede Abweichung sichtbar macht.

Beispiel 03

Protokollierung als Nachweisquelle

Die KI-Checkliste des Bayerischen Landesamts für Datenschutzaufsicht, Konsultationsstand vom 24.01.2024, fragt die Protokollierung ausdrücklich ab, einschließlich der Pseudonymisierung von Mitarbeiterbezügen. Wir prüfen, was Ihre vorhandenen Logs dazu hergeben.

Ein Protokollierungsnachweis mit benannter Quelle je Aussage.

Beispiel 04

Lückenliste für die Prüfung

Wir stellen die Anforderungen Ihrer Prüfung den vorhandenen Nachweisen gegenüber und benennen jede Lücke mit Aufwand und Zuständigkeit.

Eine Liste, die zeigt, was bis zum Prüftermin noch zu tun ist.

Integration in Ihre Umgebung

Vier Bausteine bilden die Claude Compliance-Dokumentation. Vorab zwei Dinge: an welchem Raster sich Ihre Prüfung orientiert, und was wir bewusst nicht liefern.

Prüfraster, die wir bedienen

Datenschutzaufsicht · Die Checkliste des Bayerischen Landesamts für Datenschutzaufsicht hat einen eigenen Abschnitt für den Einsatz einer KI-Anwendung. Wir arbeiten ihn Punkt für Punkt ab.

Auslagerungsmanagement · Register und Dienstleisterprüfung in regulierten Häusern verlangen Angaben je Unterauftragsverarbeiter, die der Anbieter so nicht liefert.

Interne Revision · Jeder Befund trägt eine aufrufbare Fundstelle mit Datum, damit er einer Nachprüfung standhält.

Was wir bewusst nicht liefern

Keine Rechtsprüfung · Ob eine Folgenabschätzung Pflicht ist oder welche Rechtsgrundlage trägt, entscheidet Ihr Datenschutz, nicht wir. Die rechtliche Bewertung überlassen wir Ihrer Kanzlei.

Kein Testat · Ein Nachweis-Paket ersetzt weder eine Zertifizierung noch einen Prüfbericht. Solche Bescheinigungen darf nur eine akkreditierte Stelle erteilen.

Keine Vorlagensammlung · Wir liefern die Angaben, nicht die Formulare.

Wie das Nachweis-Paket funktioniert

Prüfrahmen klären

Wer prüft, nach welchem Raster, mit welchem Termin. Danach richtet sich alles Weitere.

Einsatzzwecke erfassen

Je Zweck ein eigener Eintrag, weil davon abhängt, ob eine Folgenabschätzung überhaupt in Betracht kommt.

Datenflüsse aufnehmen

Welche Datenkategorien fließen wohin, an welche Unterauftragsverarbeiter, in welches Land.

Fristen und Konfiguration

Wir lesen die tatsächlich gesetzten Aufbewahrungs- und Zugriffseinstellungen aus, statt die Standardwerte zu übernehmen.

Anbieternachweise ordnen

Vorhandene Zertifikate und Berichte werden dem Prüfraster zugeordnet, fehlende ausdrücklich benannt.

Lückenliste übergeben

Jede offene Position mit Aufwand und Zuständigkeit.

Mehr dazu: Vertrag und Drittlandtransfer prüfen

Warum Pexon statt Vorlagenpaket und Kanzlei

Vorlagenpaket

✕Liefert Formulare, keine Angaben aus Ihrem Betrieb.

✕Ist anbieterneutral und kennt die Besonderheiten Ihres KI-Dienstes nicht.

✕Veraltet still, weil Anbieterdokumente sich laufend ändern.

Kanzlei allein

✕Bewertet die Rechtslage, erhebt aber keine Konfigurationsstände.

✕Bekommt den Sachverhalt vom Kunden, der ihn gerade nicht hat.

✕Bewertet die Rechtslage. Die technische Bestandsaufnahme ist üblicherweise nicht Teil des Mandats.

Mit Pexon

✓Pexon Consulting erhebt die Angaben technisch und belegt jede mit Fundstelle und Datum.

✓Wir kennen die Anbieterdokumente von Anthropic aus dem eigenen Betrieb.

✓Wir benennen auch die Lücken, die sich mit Anbieterunterlagen nicht schließen lassen.

In 5 Arbeitstagen zur Nachweismappe

Tag 1

Kickoff

60 Minuten mit Ihnen, danach lesender Zugriff.

Tag 2 bis 4

Erhebung

Wir arbeiten eigenständig, Ihre Mitwirkung beschränkt sich auf Rückfragen.

Tag 5

Übergabe

Ergebnis: Nachweismappe und Lückenliste.

danach

Nachzug, optional

Vor der nächsten Prüfung halten wir den Stand erneut fest und liefern nur die Abweichungen.

Pilot zum Festpreis

Ein abgeschlossenes Paket zum Festpreis. Fünf Arbeitstage sind die Durchlaufzeit bis zur Übergabe, nicht der Aufwand, den Sie bezahlen. Ihr eigener Aufwand liegt bei rund vier Stunden.

Preis

2.900 EUR

Festpreis · 5 Arbeitstage · rein lesend

Leistungsumfang

Leistungsumfang · Zweck- und Datenflusserfassung, Register der Unterauftragsverarbeiter, Fristen-Matrix, Protokollierungsnachweis, Zuordnung der Anbieternachweise und Lückenliste. Festpreis unabhängig von der Anzahl Ihrer Einsatzzwecke.

Abgrenzung · Wir liefern die technische Erhebung, die rechtliche Bewertung bleibt bei Ihnen. Abgrenzung zur Schwesterleistung: Der AVV- und Datenschutz-Check prüft Vertrag und Drittlandtransfer, dieses Paket erhebt Ihre Betriebsangaben.

Abnahme · Vor dem Kickoff steht ein NDA, auf Wunsch Ihr eigenes Muster. Abgenommen ist die Mappe, wenn jede Angabe eine aufrufbare Fundstelle mit Datum trägt. Ist eine Fundstelle nicht belegbar, korrigieren wir kostenfrei nach.

Jetzt Kontakt aufnehmen

Erstgespräch, 30 Minuten, ohne Verpflichtung

Häufige Fragen

Was enthält die Claude Compliance-Dokumentation konkret?

Eine Claude Compliance-Dokumentation besteht aus Angaben, nicht aus Vorlagen. Enthalten ist die Erhebung Ihrer Einsatzzwecke und Datenflüsse, das Register der Unterauftragsverarbeiter, der Konfigurationsstand, die Zuordnung der Anbieternachweise zu Ihrem Prüfraster und die Lückenliste. Nicht enthalten sind Dokumentvorlagen und jede rechtliche Bewertung.

Brauchen wir eine Datenschutz-Folgenabschätzung für Claude?

Diese Frage beantwortet Ihr Datenschutz, nicht wir. Was wir liefern, ist die Grundlage dafür: Die Muss-Liste der Datenschutzkonferenz nennt unter Nummer 11 KI, die mit Betroffenen interagiert oder persönliche Aspekte bewertet. Wir erheben je Einsatzzweck, welche Daten fließen und wer betroffen ist, damit die Schwellwertprüfung auf Fakten steht statt auf Annahmen.

Was kostet ein Nachweis-Paket für Claude?

2.900 EUR als Festpreis über fünf Arbeitstage Durchlaufzeit. Zum Vergleich: Reine Vorlagenpakete für KI-Compliance beginnen bei 149 EUR, und die Checklisten der Aufsichtsbehörden sind kostenlos. Wenn Ihnen nur Formulare fehlen, brauchen Sie uns nicht. Bezahlt wird hier die Erhebung.

Warum reichen die Zertifikate von Anthropic nicht?

Sie reichen für den Anbieterteil. Ein IDW-PS-951- oder BSI-C5-Testat ist in der öffentlichen Übersicht allerdings nicht aufgeführt, was in regulierten Häusern zusätzliche Eigenleistung verlangt. Und alles, was Ihren eigenen Betrieb betrifft, kann kein Anbieterzertifikat abdecken.

Erstellen Sie unsere Folgenabschätzung oder unser Löschkonzept?

Nein, und ein Testat können wir auch nicht erteilen. Bescheinigungen dieser Art darf nur eine akkreditierte Stelle ausstellen, Die Rechtsberatung überlassen wir Ihrer Kanzlei. Wir liefern den Sachverhalt, auf dem beides aufsetzt, und benennen die Lücken.

Gilt das auch, wenn wir Claude über Bedrock oder Google beziehen?

Ja. Wir erfassen den Bezugsweg zuerst, weil sich daran entscheidet, wessen Nachweise Ihre Prüfung überhaupt sehen will. Die vertragliche Seite dieser Verschiebung behandelt der AVV- und Datenschutz-Check.

Sagen Sie uns Ihren Prüftermin, wir sagen Ihnen, was fehlt

Sie nennen Prüfrahmen, Termin und Ihre Claude-Einsatzzwecke. Wir sagen Ihnen in 30 Minuten, welche Nachweise Sie bereits haben und wo die größte Lücke liegt.

Jetzt Kontakt aufnehmen

Nachricht senden

Lieber schriftlich? Schreiben Sie uns, wir melden uns innerhalb von 24 Stunden.

Antwort innerhalb von 24 Stunden

Unverbindliches Erstgespräch

Persönlicher Ansprechpartner

Phillip Pham

CEO @ Pexon Consulting

Aktualisiert am 12. August 2026

Sie suchen einen Partner für Ihr Projekt?

Wir analysieren Ihren individuellen Bedarf, geben erste Empfehlungen zu Umsetzungsstrategien und bieten Ihnen transparente Einblicke in unsere Methoden, Technologien und Referenzen.

Vertrieb kontaktieren

400+Projekte seit 2020

100+Kunden im DACH-Raum

ISO27001 zertifiziert

3Hyperscaler Partner