Top-Themen in der KI-Compliance:
Claude-Konnektoren und MCP-Server verbinden Unternehmensdaten mit einer KI – eine KI-Governance muss dabei Rechtsgrundlage, Drittlandtransfer und Verantwortlichkeit nach der DSGVO absichern.
KI-Assistenten wie Claude sind längst mehr als ein Chatfenster. Über MCP-Server und Konnektoren lassen sich E-Mail-Postfächer (z. B. Gmail, Outlook), CRM-Systeme (z. B. HubSpot, Salesforce), Projektmanagement-Tools (z. B. Notion, Asana), Cloud-Speicher (z. B. Google Drive) und Hunderte weitere Anwendungen direkt anbinden. Technische Grundlage ist MCP (Model Context Protocol) – ein offener, von Anthropic entwickelter Standard, über den ein Claude MCP-Server mit dem jeweiligen System kommuniziert. Die KI liest dann nicht nur Daten, sie kann sie verarbeiten, verändern, versenden oder sogar eigenständig Aktionen auslösen.
Für Unternehmen eröffnet das enormes Effizienzpotenzial – und gleichzeitig ein Haftungsrisiko, das viele unterschätzen. Denn sobald ein Konnektor mit personenbezogenen Daten in Berührung kommt, ist nicht mehr nur eine technische, sondern vor allem eine datenschutzrechtliche Frage zu klären: Dürfen Sie das? Und wenn ja, unter welchen Voraussetzungen?
Dabei ist von Anfang an zwischen unterschiedlichen Konnektortypen zu unterscheiden: von Anthropic selbst bereitgestellten Integrationen, Konnektoren externer SaaS-Anbieter sowie selbst betriebenen oder frei verfügbaren MCP-Servern. Datenflüsse, Vertragsbeziehungen und Sicherheitsverantwortung können sich zwischen diesen drei Kategorien erheblich unterscheiden – die folgenden Punkte sind deshalb stets im konkreten Einzelfall zu prüfen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenDie erste Einordnung betrifft die Art der Daten, die über den Konnektor fließen.
Anbindungen ohne erkennbaren Personenbezug – etwa ein Design-Tool für Präsentationen ohne Kunden- oder Mitarbeiterdaten – bewegen sich in einem Bereich mit geringerem Risiko. Das heißt aber ausdrücklich nicht „datenschutzfrei“: Auch Account-Daten, Nutzungsprotokolle oder Metadaten des angebundenen Kontos können personenbezogen sein und eine Prüfung erfordern.
Deutlich höher ist das Risiko, sobald ein Konnektor Zugriff auf Systeme mit echten Personendaten erhält: das E-Mail-Postfach, der CRM-Datensatz mit Interessenten und Kunden, der Kalender mit Meeting-Teilnehmern, das Slack-Archiv mit internen Gesprächen oder das HR-System mit Mitarbeiterdaten. Hier verarbeiten Sie personenbezogene Daten im Sinne der DSGVO, und die KI wird zu einem weiteren Verarbeitungsschritt in einer Kette, für die Sie als Unternehmen verantwortlich bleiben.
Eine pauschale Antwort „Konnektor X ist erlaubt, Konnektor Y nicht“ gibt es dabei nicht. Entscheidend ist der konkrete Verarbeitungskontext: welche Daten fließen, zu welchem Zweck, mit welcher Rechtsgrundlage und mit welchen Schutzmaßnahmen.
Gerade E-Mail-Postfächer, HR-Systeme und CRM-Verläufe enthalten in der Praxis regelmäßig mehr als „normale“ personenbezogene Daten. Eine Krankschreibung im E-Mail-Verkehr, ein Hinweis auf Gewerkschaftszugehörigkeit in einer internen Notiz oder gesundheitsbezogene Angaben in einem Bewerbungsprozess sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO – für deren Verarbeitung Art. 6 DSGVO allein nicht ausreicht. Ähnliches gilt für Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO.
Kommt hinzu, dass bestimmte Berufsgruppen zusätzlich an Berufsgeheimnisse gebunden sind (etwa § 203 StGB für Ärzte, Anwälte oder Steuerberater). Wird ein solches Postfach oder System an einen KI-Konnektor angebunden, ist vorab zu klären, ob und wie diese besonderen Anforderungen eingehalten werden können – unabhängig von der allgemeinen DSGVO-Prüfung.
Nicht jede Konnektor-Nutzung erfordert automatisch eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO. Konstellationen wie HR-Scoring, automatisierte Bewerbervorauswahl, Profiling von Kunden oder Mitarbeitenden sowie die systematische Verarbeitung großer Datenmengen über KI-Konnektoren können jedoch ein voraussichtlich hohes Risiko begründen und damit eine DSFA-Pflicht auslösen. Maßgeblich sind stets der konkrete Einsatz und die einschlägigen Muss-Listen der zuständigen Datenschutzaufsichtsbehörden – hilfreiche Orientierung bietet dazu die DSK-Orientierungshilfe „Künstliche Intelligenz und Datenschutz“.
Wichtig ist zusätzlich die Grenze aus Art. 22 DSGVO: Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für eine Person – etwa eine Absage im Bewerbungsprozess oder eine automatisierte Vertragsablehnung – dürfen grundsätzlich nicht ausschließlich automatisiert getroffen werden. Für die gesetzlichen Ausnahmen von diesem Grundsatz gelten zusätzliche Schutzanforderungen, etwa das Recht auf Erwirkung menschlichen Eingreifens.
Bewerten Sie Datenschutzrisiken systematisch und dokumentieren Sie rechtssicher – mit der DSFA-Mustervorlage inkl. Schwellwertanalyse und Risikobewertungsmatrix, kostenlos als Download.
Sobald ein Konnektor personenbezogene Daten verarbeitet, sind Sie verpflichtet, die betroffenen Personen darüber zu informieren. Der Einwand „Das ist doch Claude, nicht mein System“ trägt rechtlich nicht: Verantwortlich ist, wer über Zwecke und Mittel der Verarbeitung entscheidet. Setzt Ihr Unternehmen den Konnektor für eigene Zwecke ein, ist es regelmäßig Verantwortlicher. Verarbeitet es die betreffenden Daten dagegen selbst nur im Auftrag eines Kunden, muss die Rollen- und Unterauftragsverarbeiterkette gesondert betrachtet werden.
In der Praxis bedeutet das: Die Informationspflichten müssen nicht zwingend über eine öffentliche Datenschutzerklärung erfüllt werden – je nach betroffener Gruppe sind gesonderte Datenschutzinformationen nach Art. 13 oder Art. 14 DSGVO oft passender, etwa für Kunden, Bewerber oder Website-Besucher. Diese müssen konkret benennen:
Eine allgemeine Formulierung wie „Wir setzen KI-Tools zur Effizienzsteigerung ein“ genügt diesen Anforderungen nicht.
Neben dem Auftragsverarbeitungsvertrag ist die Frage nach dem Ort der Verarbeitung eine der wichtigsten – und in der Praxis am häufigsten übersehene. Bei KI-Diensten wie Claude für Unternehmen kann der Datenverkehr standardmäßig über mehrere Regionen laufen, etwa USA, Europa, Asien und Australien; nach Angaben von Anthropic werden Daten dabei auch in den USA gespeichert.
Für Sie als verantwortliches Unternehmen bedeutet das: Es reicht nicht, nur den AVV abzuschließen. Zusätzlich zu prüfen sind:
Diese Prüfung sollte dokumentiert werden – nicht nur, weil sie gesetzlich verlangt ist, sondern weil sie im Streit- oder Auskunftsfall der Nachweis ist, dass Sie sich mit dem Thema befasst haben.
Wer bei einer Konnektor-Nutzung welche Rolle nach der DSGVO einnimmt, lässt sich nicht pauschal beantworten. Soweit ein Anbieter personenbezogene Daten weisungsgebunden im Auftrag verarbeitet, ist Art. 28 DSGVO einschlägig und ein Auftragsverarbeitungsvertrag erforderlich – Anthropic behandelt Kundendaten bei Claude for Work nach eigener Darstellung auf dieser Grundlage.
Verarbeitet ein Anbieter die Daten dagegen zu eigenen Zwecken, kann stattdessen eine eigene oder eine gemeinsame Verantwortlichkeit (Art. 26 DSGVO) vorliegen. Bindet ein Unternehmen zusätzliche Drittanbieter-Konnektoren an, ist diese Einordnung für jeden dieser Anbieter gesondert zu treffen.
Die Rollenverteilung ist deshalb für jeden angebundenen Datenfluss einzeln zu klären, nicht einmalig für „die KI“ insgesamt.
Setzen Sie die DSGVO-Anforderungen rechtssicher um – mit der strukturierten Vorlage nach Art. 28 DSGVO inkl. allen Pflichtbestandteilen und praxiserprobten Formulierungen für typische Verarbeitungstätigkeiten, kostenlos als Download.
Der Trainingsausschluss – also sicherzustellen, dass eigene Daten nicht in das Training der KI-Modelle einfließen – ist eine wichtige, aber nur eine von mehreren Maßnahmen. Ebenso relevant sind:
Ein Hinweis dazu, der in der Praxis häufig unterschätzt wird: Pseudonymisierung bedeutet nicht, lediglich Namen aus einem Text zu entfernen. Bleiben Kontextinformationen wie Position, Standort, Projektzugehörigkeit oder Formulierungsmuster erhalten, kann eine Person trotzdem identifizierbar sein.
Die technischen Einstellungen – Training deaktivieren, Zugriff auf Unternehmensaccounts beschränken – sind notwendig, aber bei Weitem nicht ausreichend. Für einen rechtssicheren Betrieb gehören zusätzlich dazu:
Werden Beschäftigtendaten verarbeitet oder ermöglicht der Konnektor faktisch eine Leistungs- oder Verhaltenskontrolle von Mitarbeitenden, ist zusätzlich die Mitbestimmung zu prüfen: Solche technischen Systeme lösen regelmäßig ein Mitbestimmungsrecht des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG aus.
Im öffentlichen Dienst richten sich die entsprechenden Beteiligungsrechte des Personalrats dagegen nach dem jeweils anwendbaren Bundes- oder Landespersonalvertretungsrecht. Dieser Schritt wird in der Praxis häufig übersprungen und führt dann rückwirkend zu erheblichem Aufwand.
Wird ein Konnektor zur weisungsgebundenen Verarbeitung personenbezogener Daten genutzt, greift Art. 28 DSGVO und damit die Pflicht zum Abschluss eines Auftragsverarbeitungsvertrags – einschließlich der Prüfung, ob eingesetzte Unterauftragsverarbeiter ordnungsgemäß offengelegt und genehmigt sind.
Das Verzeichnis von Verarbeitungstätigkeiten (VVT) dokumentiert dabei nicht zwingend jeden einzelnen Konnektor als separaten Eintrag. Entscheidend ist, dass die betroffenen Datenflüsse nachvollziehbar erfasst sind – mit Empfängern, Drittlandtransfers, Löschfristen, Rechtsgrundlagen und den getroffenen Schutzmaßnahmen. Nur so lässt sich im Fall einer Auskunftsanfrage oder eines Audits lückenlos nachweisen, welche Daten wie und wo verarbeitet wurden.
Prompt Injections – versteckte Anweisungen in Daten, die die KI über einen Konnektor liest und unter Umständen ausführt – sind ein reales Risiko. Sie sind aber nur eine von mehreren Angriffsflächen, die MCP-Anbindungen mit sich bringen. Der OWASP MCP Top 10 fasst die derzeit relevantesten Risikokategorien zusammen, darunter:
Für den Unternehmenseinsatz folgt daraus: Schreibende Aktionen – etwa das Versenden einer E-Mail oder das Verändern eines CRM-Eintrags – sollten getrennt von lesenden Zugriffen freigegeben werden, Berechtigungen sind so minimal wie möglich zu halten, und jeder neue Konnektor sollte vor der Freigabe auf Herkunft und Vertrauenswürdigkeit geprüft werden.
Diese technische und organisatorische Vorbereitung ersetzt die rechtliche Prüfung nicht – beides gehört zusammen.
Seit dem 2. August 2026 ist zusätzlich Art. 50 der KI-Verordnung zu beachten. Die Norm erfasst dabei nicht pauschal jede KI-generierte Kundenkommunikation, sondern unterscheidet unter anderem zwischen der direkten Interaktion einer Person mit einem KI-System, der Kennzeichnung von Deepfakes und Texten, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse erstellt werden. Welche Konnektor-Anwendungen konkret betroffen sind, muss im Einzelfall geprüft werden.
Bereits geltend ist außerdem die Pflicht aus Art. 4 KI-VO, für ausreichende KI-Kompetenz der eigenen Beschäftigten zu sorgen – ein Punkt, der bei der Einführung von KI-Konnektoren regelmäßig mitgedacht werden sollte, aber oft untergeht.
Claude-Konnektoren bieten enormes Potenzial, Unternehmensprozesse zu automatisieren und Datenverarbeitung intelligent zu unterstützen. Dieses Potenzial lässt sich aber nur dann verantwortbar und risikoadäquat nutzen, wenn die datenschutzrechtlichen Grundlagen vollständig mitgedacht werden: Drittlandtransfers, besondere Datenkategorien, DSFA-Pflichten, der gesamte Datenlebenszyklus, betriebliche Governance einschließlich Mitbestimmung sowie eine realistische Einschätzung der technischen MCP-Sicherheitsrisiken.
Vollständige Risikofreiheit gibt es dabei nicht – wohl aber ein handhabbares, dokumentiertes Restrisiko.
Umfassende Beratung rund um die KI-Verordnung – von der Risikoklassifizierung Ihrer KI-Systeme bis zur laufenden Begleitung als externer KI-Beauftragter.
Ein MCP-Server ist eine Schnittstelle nach dem Model Context Protocol (MCP), einem offenen Standard, den Anthropic 2024 veröffentlicht hat. Über einen solchen Server kann Claude mit einer externen Anwendung – etwa einem E-Mail-Postfach oder einem CRM-System – lesend und teils schreibend kommunizieren, ohne dass für jede Anwendung eine eigene Individualintegration programmiert werden muss.
Anthropic stellt selbst eine Reihe offizieller Konnektoren bereit, etwa für Google Workspace, Slack oder GitHub. Daneben existieren MCP-Server externer SaaS-Anbieter sowie frei verfügbare, selbst betriebene MCP-Server – welche Kategorie im Einzelfall vorliegt, ist für die datenschutzrechtliche Einordnung entscheidend.
Ja, grundsätzlich – vorausgesetzt, Unternehmen prüfen vor der Freigabe Rechtsgrundlage, Drittlandtransfer, Verantwortlichkeit und Informationspflichten für jeden einzelnen Datenfluss. Eine pauschale Freigabe „für die KI“ reicht nicht aus; maßgeblich ist immer der konkrete Verarbeitungskontext.
„Konnektor“ ist der Oberbegriff für die Anbindung einer externen Anwendung an Claude. Technisch basiert diese Anbindung in aller Regel auf einem MCP-Server, der die Kommunikation zwischen Claude und dem angebundenen System standardisiert. In der Praxis werden beide Begriffe daher oft synonym verwendet.
Profitieren Sie von der Expertise unserer KI-Experten, die Ihnen als externer KI-Beauftragter zur Seite stehen.
Wir begleiten Unternehmen dabei, Künstliche Intelligenz rechtssicher, transparent und verantwortungsvoll einzusetzen – digital, praxisnah und zu fixen Konditionen. Ob Risikobewertung nach EU AI-Act oder in der Schulung Ihrer Mitarbeitenden – Wir sorgen dafür, dass der Einsatz von KI-Systemen in Ihrem Unternehmen den regulatorischen Vorgaben entspricht und rechtliche Risiken minimiert werden.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen