Coding-Agenten datenschutzkonform nutzen: die Lücke im Abo

Ein Entwickler, der mit seinem privaten Pro- oder Max-Abo an Firmencode arbeitet, fällt unter Anthropics Consumer-Bedingungen, nicht unter die kommerziellen. Dort ist die Trainingsnutzung eine Kontoeinstellung, ausdrücklich „including when you use Claude Code from these accounts”, und bei aktivierter Einstellung liegen die Daten fünf Jahre statt dreissig Tage.

Das ist kein Skandal und kein verstecktes Kleingedrucktes. Anthropic dokumentiert die Unterschiede auf einer öffentlichen Seite zur Datennutzung, detaillierter als die meisten Anbieter. Die Lücke entsteht in den Firmen, die den Unterschied zwischen Consumer- und Geschäftstarif nie geregelt haben. Wer Coding-Agenten datenschutzkonform nutzen will, beginnt deshalb beim Konto, nicht beim Werkzeug.

Warum das private Abo überhaupt auf Firmencode landet

Coding-Agenten kommen über den Entwickler ins Unternehmen, nicht über die Beschaffung. Jemand testet Claude Code abends am eigenen Projekt, findet es gut, tippt am nächsten Morgen claude im Kundenrepository und ist dabei immer noch mit dem privaten Konto angemeldet. Es gibt keinen Installationsdialog, der das bemerkt.

Der zweite Weg ist die Spesenabrechnung. Ein Team, das noch keine Lizenz hat, vergütet zwanzig Dollar im Monat als Auslage. Damit ist das Abo bezahlt, aber vertraglich bleibt es ein Konsumentenvertrag zwischen Anthropic und einer Privatperson. Der Arbeitgeber ist darin keine Partei.

Beide Wege sind technisch unauffällig. /status in Claude Code zeigt die Anmeldemethode und die Organisation an, aber niemand schaut dort hin, solange nichts kaputt ist.

Ist Firmencode überhaupt ein Datenschutzthema?

Firmencode ist ein Datenschutzthema, sobald Personendaten darin vorkommen, und das ist häufiger der Fall als gedacht. Test-Fixtures mit echten Namen, ein Datenbank-Dump für die Migration, ein Log-Auszug, den jemand in den Prompt kopiert: In diesen Momenten bearbeitet ein Coding-Agent Personendaten.

Der EDÖB hat am 24.09.2025 im Beitrag KI und Datenschutz festgehalten, dass „das Schweizer Datenschutzgesetz (DSG) auf KI-gestützte Datenbearbeitungen direkt anwendbar ist”. Es braucht kein KI-Sondergesetz, damit Pflichten gelten. Welche Normen im Einzelnen greifen und wer für einen Verstoss haftet, steht in unserem Beitrag zur revDSG-konformen KI-Architektur.

Wo keine Personendaten im Spiel sind, bleiben zwei andere Bindungen: das Geschäftsgeheimnis des Kunden und die Vertraulichkeitsklausel im Rahmenvertrag. Ob eine bestimmte Klausel die Weitergabe an einen Inferenzanbieter deckt, ist eine Frage des Einzelfalls und gehört vor den ersten Prompt geprüft, nicht danach.

Was Anthropic pro Tarif zusagt

Die Zusagen unterscheiden sich zwischen Consumer- und Geschäftstarifen in drei Punkten: Training, Aufbewahrung und Verhandelbarkeit. Alle Angaben stammen aus der Datennutzungsseite und der Preisseite, abgerufen am 20.08.2026.

Drei Details, die in Beschaffungsgesprächen regelmässig falsch wiedergegeben werden:

• Zero Data Retention ist nicht im Standard-Enterprise-Plan enthalten. Anthropic schreibt, ZDR sei für qualifizierte Konten verfügbar und werde pro Organisation vom Account-Team nach einer Eignungsprüfung freigeschaltet. Wer ZDR braucht, verhandelt ihn.
• Über /feedback, /bug und /share geteilte Transkripte werden fünf Jahre aufbewahrt, unabhängig vom Tarif. Freiwillig hochgeladene Sitzungstranskripte aus der Qualitätsumfrage bis zu sechs Monate.
• Fehlerberichte sind nur bei Pro- und Max-Anmeldung aktiv, ab Version 2.1.198 und nur bei direkter Verbindung zur Claude-API. Auch das ist eine Consumer-Eigenschaft, die im Geschäftstarif gar nicht erst auftritt.

Was es kostet, die Lücke zu schliessen

Der Wechsel von privaten Abos auf Team-Seats kostet ein zwölfköpfiges Team drei Dollar pro Kopf und Monat. Modellrechnung aus den Listenpreisen: zwölf Pro-Abos im Jahresabo kosten 12 × 17 = 204 USD monatlich, zwölf Team-Standard-Seats 12 × 20 = 240 USD. Delta: 36 USD im Monat, 432 USD im Jahr.

Für Vielnutzer sieht die Rechnung anders und noch günstiger aus. Wer heute ein Max-Abo für 100 USD monatlich hat, kostet als Team-Premium-Seat im Jahresabo ebenfalls 100 USD. Der Wechsel ist bei diesem Nutzungsprofil preisneutral.

Der ehrliche Vorbehalt: Ein Standard-Seat ist kein Ersatz für ein Max-Abo, die Nutzungskontingente unterscheiden sich. Wer heute Max spesiert, braucht einen Premium-Seat, nicht den günstigsten. Trotzdem bleibt die Grössenordnung dieselbe, und sie ist der Grund, warum diese Lücke ärgerlich ist: Sie kostet fast nichts, ausser der Entscheidung.

Wenn Sie nicht wissen, mit welchen Konten Ihr Team heute arbeitet, ist das eine Stunde Arbeit, keine Woche. Dreissig Minuten mit einem unserer Engineers reichen, um daraus eine Inventarliste und eine Reihenfolge zu machen.

Drei Datenflüsse, die auch im Geschäftstarif bleiben

Ein kommerzieller Tarif regelt das Training, nicht jeden Datenfluss. Drei davon bleiben bestehen und gehören ins Bearbeitungsverzeichnis, weil sie sonst in keiner Vertragsprüfung auftauchen.

Lokale Transkripte im Klartext. Claude Code legt Sitzungstranskripte unter ~/.claude/projects/ ab, standardmässig 30 Tage. Die Dokumentation ist dabei unmissverständlich: „Transcripts and history are not encrypted at rest. OS file permissions are the only protection.” Liest ein Tool eine .env-Datei, steht der Inhalt in der .jsonl-Datei. Steuerbar über cleanupPeriodDays, CLAUDE_CODE_SKIP_PROMPT_HISTORY und claude project purge.

Die WebFetch-Domainprüfung. Vor jedem Abruf sendet WebFetch den angefragten Hostnamen an api.anthropic.com, um ihn gegen eine Blockliste zu prüfen. Nur den Hostnamen, nicht die volle URL. Das läuft unabhängig vom Modellanbieter, also auch über Bedrock, und CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC erfasst es nicht. Abschaltbar allein über skipWebFetchPreflight.

Telemetrie und Fehlerberichte. Steuerbar über DISABLE_TELEMETRY, DISABLE_ERROR_REPORTING, DISABLE_FEEDBACK_COMMAND und CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC. Bei Amazon Bedrock, Google Cloud, Microsoft Foundry und Claude Platform on AWS sind Metriken, Fehlerberichte und /feedback bereits standardmässig aus. Sitzungsumfragen und die WebFetch-Prüfung laufen dort weiter.

Welcher Bezugsweg für welche Art von Code?

Der Bezugsweg richtet sich nach dem Inhalt des Repositorys, nicht nach der Grösse der Firma. Die Frage lautet also nicht „welchen Tarif kaufen wir”, sondern „was liegt in diesem Repository und was landet aus ihm im Prompt”.

Amazon Bedrock verschlüsselt mit AES-256 und erlaubt kundenverwaltete Schlüssel über AWS KMS, Google Cloud unterstützt CMEK. Bei Microsoft Foundry und „Hosted on Azure” bleiben Prompts und Completions in Azure, nur Nutzungsmetadaten und von Sicherheitssystemen markierte Inhalte gehen an Anthropic. Welche Regionen konkret verfügbar sind, steht nicht in der Datennutzungsseite und ist beim jeweiligen Cloud-Anbieter zu prüfen.

Wie Sie die datenschutzkonforme Nutzung technisch erzwingen

Die Anmeldung an einer bestimmten Organisation lässt sich erzwingen, und das ist der einzige Punkt der ganzen Liste, der ohne Disziplin auskommt. forceLoginOrgUUID und forceLoginMethod gehören in die Managed Settings und werden über Ihr Device Management ausgerollt: auf macOS nach /Library/Application Support/ClaudeCode/managed-settings.json, auf Linux nach /etc/claude-code/managed-settings.json.

{
  "forceLoginMethod": "claudeai",
  "forceLoginOrgUUID": "550e8400-e29b-41d4-a716-446655440000",
  "cleanupPeriodDays": 7,
  "env": {
    "DISABLE_TELEMETRY": "1",
    "DISABLE_ERROR_REPORTING": "1",
    "DISABLE_FEEDBACK_COMMAND": "1"
  },
  "permissions": {
    "deny": [
      "Read(./.env)",
      "Read(./.env.*)",
      "Read(./secrets/**)"
    ]
  }
}

Vier Einschränkungen, die Anthropic in der Dokumentation zur Authentifizierung selbst benennt und die man kennen muss, bevor man den Haken setzt: claude setup-token und /install-github-app erzwingen nur forceLoginMethod, können also ein Token in einer anderen Organisation erzeugen. Sitzungen über Cloud-Anbieter werden nicht blockiert, die schränken Sie über IAM ein. ANTHROPIC_API_KEY und apiKeyHelper werden beim Start blockiert, weil sich die Organisationszugehörigkeit dort nicht prüfen lässt. Und wenn Sie zusätzlich Server-managed Settings verteilen, müssen beide Schlüssel an beiden Orten stehen, weil die Quellen sich nicht mischen.

Die zweite Hälfte gehört ins Repository, nicht aufs Gerät, damit sie im Code-Review sichtbar ist. Eine .claude/settings.json mit Deny-Regeln greift für jeden, der das Projekt auscheckt:

{
  "permissions": {
    "deny": [
      "Read(./deploy/*.key)",
      "Read(./fixtures/prod-*.sql)"
    ]
  }
}

Und ein Prüfskript, das als MDM-Check oder im Onboarding läuft:

#!/usr/bin/env bash
# Prüft, ob die Vorgaben für Claude Code auf diesem Gerät greifen.
# Exit 1, sobald eine Vorgabe fehlt.
set -euo pipefail

case "$(uname -s)" in
  Darwin) managed="/Library/Application Support/ClaudeCode/managed-settings.json" ;;
  *)      managed="/etc/claude-code/managed-settings.json" ;;
esac

fail=0
note() { printf '%-26s %s\n' "$1" "$2"; }

if [ -f "$managed" ]; then
  org=$(jq -r '.forceLoginOrgUUID // empty' "$managed")
  [ -n "$org" ] || { note "forceLoginOrgUUID" "fehlt"; fail=1; }
  days=$(jq -r '.cleanupPeriodDays // empty' "$managed")
else
  note "managed-settings.json" "nicht vorhanden"
  fail=1
fi

# Klartext-Transkripte oberhalb der eigenen Aufbewahrungsfrist
alt=$(find "$HOME/.claude/projects" -name '*.jsonl' -mtime +"${days:-30}" 2>/dev/null | wc -l | tr -d ' ')
[ "$alt" = "0" ] || { note "alte Transkripte" "$alt Dateien über der Frist"; fail=1; }

exit "$fail"

OpenAI Codex: gleicher Prüfpfad, andere Namen

Bei OpenAI verläuft die Prüfung entlang derselben drei Fragen, die Bezeichnungen unterscheiden sich. Der Business-Tarif kostet laut Codex-Preisseite 20 USD pro Nutzer und Monat im Jahresabo und trägt die Zusage „No training on your business data by default”. Enterprise ergänzt Kontrollen für Aufbewahrung und Datenresidenz, SCIM, External Key Management, rollenbasierte Zugriffskontrolle sowie Audit-Logs über die Compliance-API.

Für Firmen, die den Datenfluss zu OpenAI ganz vermeiden wollen: Die Codex CLI unterstützt seit Release 0.148.0 Amazon Bedrock Runtime als eingebauten Provider, inklusive AWS-Profil und Region. Damit gilt für Codex derselbe Weg wie für Claude Code, nämlich Inferenz im eigenen AWS-Konto statt beim Modellanbieter.

Die praktische Konsequenz ist unbequem: Wer beide Werkzeuge im Haus hat, braucht zwei Prüfungen und zwei Richtlinienzeilen. Ein einziger Absatz „KI-Tools sind erlaubt” deckt das nicht ab.

Was am Montag in die Richtlinie gehört

Sechs Zeilen genügen, und sie sind in einer Stunde geschrieben. Der Reihe nach, weil die Reihenfolge den Aufwand bestimmt:

1. Inventar. Wer arbeitet mit welchem Werkzeug unter welchem Konto? /status beantwortet das pro Gerät in Sekunden.
2. Spesenregel. Private KI-Abos werden nicht mehr vergütet. Diese Zeile schliesst den zweiten Einfallsweg.
3. Anmeldung erzwingen. forceLoginOrgUUID und forceLoginMethod über das Device Management, mit den vier Einschränkungen oben im Hinterkopf.
4. Repository-Klassifikation. Eine Spalte im Repository-Inventar: Enthält es Personendaten, ja oder nein? Danach richtet sich der Bezugsweg aus der Tabelle.
5. Egress dokumentieren. api.anthropic.com gehört auf die Allowlist und in das Verzeichnis der Bearbeitungstätigkeiten, wegen der WebFetch-Prüfung auch dann, wenn Sie über Bedrock fahren.
6. Feedback-Pfad regeln. Entweder DISABLE_FEEDBACK_COMMAND setzen oder im Team festhalten, dass /feedback und /share Code an einen Empfänger geben, der ihn fünf Jahre aufbewahrt.

Die Leitplanken gehören dabei ins Repository und ins Gerätemanagement, nicht in ein Wiki, aus demselben Grund, aus dem wir sie auch bei der KI-gestützten Entwicklung dorthin legen: Was nicht im Werkzeug steht, gilt nach drei Wochen nicht mehr.

Wovon wir abraten

Vom Verbot. Ein Verbot von Coding-Agenten führt nicht dazu, dass niemand sie nutzt, sondern dazu, dass niemand es sagt. Das Ergebnis ist genau der Fall, den dieser Beitrag beschreibt: privates Konto, unbekannter Tarif, keine Aufsicht. Ein bezahlter Team-Seat ist die billigere Kontrolle.

Von Zero Data Retention als Reflex. ZDR ist nicht im Standard-Enterprise-Plan enthalten, wird pro Organisation freigeschaltet und braucht eine Verhandlung mit dem Account-Team. Für Repositories ohne Personendaten lösen dreissig Tage Aufbewahrung plus dokumentierte Auftragsbearbeitung dasselbe Problem, ohne Beschaffungsprojekt.

Von skipWebFetchPreflight als Standardeinstellung. Wer die Prüfung abschaltet, ruft URLs ohne Abgleich mit der Blockliste ab, und das ist bei einem Agenten, der Webinhalte in seinen Kontext zieht, kein guter Tausch. Der bessere Weg ist die Allowlist plus ein Eintrag im Verzeichnis.

Der Trade-off, den wir offen benennen: Bedrock und Foundry kaufen Datenresidenz mit Betriebsaufwand. Sie verwalten Regionen, IAM-Rollen und eigene Schlüssel, Sie verlieren die Abrechnung über einen einzigen Seat-Preis, und neue Modellversionen erreichen Sie tendenziell später. Für ein Repository mit Gesundheitsdaten ist das richtig. Für das interne Admin-Tool ist es Aufwand ohne Gegenwert.

Häufige Fragen

Darf ein Entwickler mit privatem Claude-Pro-Abo an Kundencode arbeiten?

Vertraglich möglich, betrieblich schwer zu verantworten. Consumer-Tarife unterliegen den Consumer-Bedingungen, die Trainingsnutzung hängt an einer persönlichen Kontoeinstellung, die der Arbeitgeber weder sieht noch steuert, und bei aktivierter Einstellung beträgt die Aufbewahrung fünf Jahre. Ob im konkreten Fall zusätzlich Datenschutz- oder Geheimhaltungspflichten verletzt werden, hängt vom Repository und vom Kundenvertrag ab.

Reicht ein Team-Abo, oder brauchen wir Enterprise?

Für die Trainingsfrage reicht Team: Anthropic trainiert unter kommerziellen Bedingungen nicht auf Code oder Prompts, und die Aufbewahrung liegt bei dreissig Tagen. Enterprise brauchen Sie für SSO, rollenbasierte Berechtigungen, die Compliance-API und die Managed Policy Settings für organisationsweite Konfiguration. Zero Data Retention gibt es nur auf diesem Weg, und auch dort nur nach Eignungsprüfung.

Wie bekommen wir Zero Data Retention?

Über das Account-Team, nicht über einen Schalter im Admin-Bereich. Anthropic beschreibt ZDR als für qualifizierte Konten verfügbar und pro Organisation nach bestätigter Eignung freigeschaltet, ausdrücklich nicht als Bestandteil des Standard-Enterprise-Plans. Rechnen Sie mit einer Vorlaufzeit und klären Sie vorher, für welche Repositories Sie ihn tatsächlich benötigen.

Löst Amazon Bedrock unsere Datenschutzfragen?

Bedrock löst die Residenz- und Schlüsselfrage, nicht die Bearbeitungsfrage. Verschlüsselung mit AES-256 und kundenverwaltete Schlüssel über AWS KMS sind dokumentiert, Telemetrie und Fehlerberichte sind dort standardmässig aus. Bestehen bleiben die lokalen Klartext-Transkripte, die WebFetch-Domainprüfung gegen api.anthropic.com und Ihre eigenen Pflichten zu Zweckbindung, Information und Protokollierung.

---

Nehmen Sie Ihre Entwicklerliste und tragen Sie in eine Spalte ein, unter welchem Konto jede Person angemeldet ist. Wenn dort ein privates Abo auftaucht, haben Sie das Ergebnis dieses Beitrags schon in der Hand.

Dreissig Minuten mit einem Engineer über Tarifwahl, Bezugsweg und Managed Settings, ohne Verkaufsgespräch: Termin buchen. Lieber schriftlich? Über Kontakt. Wie wir KI-Systeme bauen und absichern, steht unter Künstliche Intelligenz & Machine Learning.

Alle Produkt- und Vertragsangaben am 20.08.2026 an den Primärquellen von Anthropic und OpenAI geprüft. Dieser Beitrag beschreibt Produkt- und Vertragsbedingungen und leitet daraus technische Konsequenzen ab; er ist keine Rechtsberatung.