KI DSGVO-konform: Cloud-Tools, EU-Anbieter & lokale Modelle

Dein Auftraggeber schickt eine E-Mail: "Bitte keine US-amerikanischen KI-Tools auf Kundendaten anwenden, DSGVO." Du sitzt seit Wochen mit Claude Code, der Workflow läuft, du schreibst besseren Code in halb so langer Zeit. Und jetzt das.

Ist KI-Coding in Deutschland DSGVO-konform möglich?

Kurze Antwort: ja.

Aber es kommt darauf an, welchen Plan du nutzt und was du an das Modell schickst. Die meisten Entwickler machen genau einen Fehler: Sie nutzen einen Consumer-Plan ohne Auftragsverarbeitungsvertrag und tippen Kundendaten in die Eingabemaske, die dort nicht hingehören.

Dieser Artikel ist für Freelancer und kleine Agenturen geschrieben, nicht für Konzern-Juristen. Was ein Auftragsverarbeitungsvertrag (AVV) ist, wann er Pflicht wird, welche Tools ihn mitbringen, welche EU-native Alternativen es gibt und wie du mit einem lokalen Modell die Frage komplett umgehst, das steht hier.

Wann KI-Einsatz DSGVO-relevant wird

Die meisten denken: "Ich schreibe nur Code. Ich chatte nur mit einer KI. Keine Nutzerdaten. Ich bin safe." Das stimmt manchmal. Aber seltener als gedacht.

Die Datenschutz-Grundverordnung (DSGVO) gilt immer dann, wenn personenbezogene Daten, also Informationen, die eine Person identifizierbar machen, an Dritte weitergegeben werden. Das gilt für KI-Coding-Tools genauso wie für jede andere Software.

Was als Personenbezug zählt, ist breiter als viele denken:

• Echte Kundendaten in Test-Fixtures, zum Beispiel customer_email: "[email protected]"
• IP-Adressen in Log-Ausgaben, die du mit ins Chat-Fenster kopierst
• Datenbankschemas mit Feldinhalten wie echten Kundennamen oder Geburtsdaten
• .env-Dateien mit API-Keys, die auf personenbezogene Accounts zeigen
• Migrations-Skripte mit eingebetteten Echtdaten aus Produktionssystemen

Hier ist der Unterschied, der für deinen Alltag am meisten zählt: Was du deinem Coding-Tool schickst, ist eine Sache. Was dein fertiges System später verarbeitet, ist eine andere.

Wenn du nur generische Schemastrukturen und Funktionslogik an Claude Code schickst, ohne echte Datenwerte darin, greift die DSGVO für den Coding-Prozess selbst wahrscheinlich nicht. Die Datenschutzkonferenz (DSK), also die Zusammenkunft aller deutschen Datenschutzaufsichtsbehörden, formuliert das in ihrer Orientierungshilfe KI-Systeme vom Mai 2024 deutlich: Personenbezug entsteht durch das Vorhandensein identifizierbarer Personen, nicht allein durch die Beschreibung von Datenstrukturen.

Sobald du aber Echtdaten reinsendest, ob absichtlich oder aus Gewohnheit, brauchst du einen Vertrag.

Der AVV: Was du brauchst und wer ihn hat

Sobald Echtdaten an einen Cloud-Anbieter fließen, wird dieser Anbieter dein "Auftragsverarbeiter" im Sinne von Art. 28 DSGVO. Das bedeutet: Du brauchst mit ihm einen Auftragsverarbeitungsvertrag (AVV), auf Englisch Data Processing Agreement (DPA).

Dieser Vertrag regelt:

• Was der Anbieter mit deinen Daten tun darf und was nicht
• Welche technischen und organisatorischen Maßnahmen er einhält
• Wie lange Daten gespeichert werden und wann sie gelöscht werden
• Welche Unterauftragnehmer er einsetzt

Für US-basierte Anbieter braucht es zusätzlich EU-Standardvertragsklauseln (SCC), ein standardisierter EU-Vertragsrahmen, der Datenübermittlungen in Länder außerhalb der EU rechtlich absichert.

Anthropic und Claude Code

Wer Claude Code über die kommerzielle API nutzt (also über einen API-Key aus der Anthropic-Konsole), hat den AVV automatisch. Anthropic beschreibt das auf seiner Support-Seite: Bei der API-Nutzung ist Anthropic dein Auftragsverarbeiter, und der AVV steckt automatisch in den Commercial Terms drin.

Dieser AVV enthält die SCCs in den Modulen 2 und 3, ein UK-Addendum und ein Schweizer Addendum. Die EU-Vertragspartnerschaft läuft über Anthropic Ireland. Außerdem werden Prompts auf dem kommerziellen API nicht für das Training des Modells verwendet, weder standardmäßig noch optional.

Wichtig: Claude.ai Free, Claude Pro und Claude Max laufen unter Consumer-Bedingungen. Dort gibt es keinen AVV. Diese Pläne sind für gewerbliche Verarbeitung von Personendaten auf Kundenprojekten nicht geeignet.

Claude for Teams und Claude Enterprise sind anders. Sie fallen unter "Claude for Work". Dort ist Anthropic dein Auftragsverarbeiter, Prompts werden nicht für das Training verwendet, und du bleibst der Verantwortliche.

Ein Punkt für regulierte Branchen: Die direkte Anthropic-API hat keine EU-Datenresidenz. Verarbeitung findet in den USA statt, abgesichert durch SCCs. Wer physische EU-Verarbeitung braucht, muss über AWS Bedrock EU (Endpunkte in Frankfurt, Paris, Stockholm) oder Google Vertex AI mit europäischem Regionalendpunkt gehen.

GitHub Copilot: April 2026 hat alles verändert

Hier ist die Lage besonders klar, und besonders gefährlich für alle, die noch den Individual-Plan nutzen.

Seit dem 24. April 2026 kann GitHub Prompts, Code-Snippets und Ausgaben aus Copilot Free-, Pro- und Pro+-Accounts standardmäßig für das Training von Modellen verwenden, sofern Nutzer nicht aktiv widersprechen. Das hat GitHub im März 2026 angekündigt.

Copilot Business und Copilot Enterprise sind eine andere Welt: GitHub agiert dort als Auftragsverarbeiter unter einer eigenen DPA, Trainingsdaten-Nutzung ist vertraglich ausgeschlossen, und seit dem 13. April 2026 ist auch EU-Datenresidenz verfügbar.

Für gewerbliche Mandantenarbeit gilt: Nur Business oder Enterprise nutzen. Keine Ausnahmen.

Cursor: DSGVO-kritisch, aber nicht unmöglich

Cursor ist der schwierigste Fall im Vergleich. Deutsche Compliance-Berater stufen das Tool als "DSGVO-kritisch" ein, aus mehreren Gründen.

Code läuft durch mehrere US-Sub-Prozessoren: Baseten, Together AI und Fireworks für die Inferenz, plus OpenAI, Anthropic und xAI als Modell-Anbieter. Jede dieser Verbindungen braucht eine eigene Bewertung für den Datentransfer in Drittländer.

Es gibt keine EU-Datenresidenz-Garantie.

Der Privacy Mode ist real, kein reines Marketing. Er aktiviert Zero-Data-Retention bei den Modell-Providern, und auf dem Business-Plan wird er serverseitig erzwungen. Aber: Cursor selbst speichert Indexierungs-Embeddings und temporäre Datei-Caches, auch im Privacy Mode. Der schärfere "Privacy Mode Legacy" steht nur noch Bestandskunden offen.

Cursor ist mit einem Business-Plan und unterzeichnetem DPA rechtlich tragfähig. Für Mandanten-Code mit sensiblen Personendaten ist die Risikoabwägung eine andere als bei Claude Code via API.

Die Übersicht

EU-native Alternativen: Kein US-CLOUD-Act, keine SCCs

Anthropic, OpenAI und Microsoft sind US-Unternehmen und unterliegen dem US CLOUD Act. Das bedeutet: US-Behörden können theoretisch Zugriff auf Daten verlangen, auch wenn diese in EU-Rechenzentren liegen. SCCs sichern Transfers rechtlich ab, aber physische EU-Verarbeitung durch ein EU-Unternehmen ist das sauberere Setup.

Für die meisten Freelancer und Agenturen reicht der SCCs-Weg. Wer für öffentliche Auftraggeber, Gesundheitswesen oder regulierte Branchen arbeitet, sollte EU-native Anbieter in Betracht ziehen.

Mistral AI

Mistral ist ein französisches Unternehmen. Die API (La Plateforme) verarbeitet Daten ausschließlich in europäischen Rechenzentren, primär in der Paris-Region. Der DPA ist automatisch Bestandteil des API-Vertrags.

Was du zu den Plänen wissen musst:

Le Chat Free aktiviert Training standardmäßig. Nicht für Kundendaten geeignet. Le Chat Team (24,99 € pro Nutzer/Monat) hat DPA und kein Training. Für direkte API-Nutzung: La Plateforme, DPA automatisch, kein Training, 30 Tage Audit-Log.

Für Coding: kein nativer Claude-Code-kompatibler Endpoint, aber über die OpenAI-kompatible API gut in Cline, Continue.dev oder Aider nutzbar.

IONOS AI Model Hub

IONOS ist ein deutsches Unternehmen. Alle Daten des AI Model Hubs verarbeitet IONOS in Berlin und Frankfurt. Der AVV steckt seit dem 19. Juli 2022 in jedem IONOS-Standardvertrag. Kein separates Opt-in.

Die Infrastruktur ist BSI-IT-Grundschutz-zertifiziert. Verfügbare Modelle: Llama 3.3 70B, Mistral Small 24B, Qwen3-Coder-Next 80B für Coding. Alles über eine OpenAI-kompatible API ansprechbar, direkt in bestehende Workflows einbindbar.

Preise (Stand April 2026): zwischen 0,10 und 1,75 € pro Million Token, je nach Modell. Für viele Use Cases günstiger als die direkten US-Anbieter.

Was ist mit OpenAI?

OpenAI bietet seit Februar 2025 EU-Datenresidenz für die direkte API, aber nur für neu angelegte Projekte. Bestehende Projekte können nicht umgestellt werden. Und: Der DPA ist nicht automatisch aktiv. Du musst ihn im Admin Center manuell aktivieren.

Einfacher geht es über Azure OpenAI mit EU Data Zone. Den Deployment-Typ "Data Zone Standard (EUR)" in den Regionen Sweden Central oder Germany West Central wählen, und Daten bleiben in der EU. Wer bereits in der Microsoft-Welt arbeitet, ist das der unkomplizierteste Weg.

Der EU AI Act für Entwickler: Was jetzt gilt

Du hörst von "EU AI Act" und fragst dich: Bin ich als Freelancer oder kleine Agentur überhaupt betroffen?

Ja, aber deutlich weniger als die meisten denken.

Der EU AI Act reguliert KI-Systeme nach ihrem Risikopotenzial. Claude Code, Cursor und GitHub Copilot basieren auf sogenannten GPAI-Modellen (General Purpose AI, also KI-Modelle mit allgemeinem Verwendungszweck). Diese GPAI-Modelle haben eigene Regeln in Artikel 51 bis 56 des AI Act, die aber vor allem Anbieter wie Anthropic, OpenAI und Microsoft treffen, nicht dich als Nutzer.

Als Entwickler oder Freelancer bist du ein "Deployer", also jemand, der das System im eigenen Kontext einsetzt. Für normale Softwareentwicklung ohne Hochrisiko-Kontext hast du aktuell praktisch keine eigenständigen Pflichten aus dem AI Act.

Das ändert sich nur, wenn das System, das du baust, in Anhang III des AI Act aufgeführt ist. Hochrisiko-Systeme sind zum Beispiel:

• HR-Software für Recruiting-Entscheidungen oder Leistungsbewertungen
• Bonitätsbewertungssysteme und Kreditscoring
• Software zur medizinischen Diagnoseunterstützung
• Systeme in der kritischen Infrastruktur

Nicht Claude Code wird hochriskant, wenn du damit HR-Software schreibst. Das gebaute System wird hochriskant. Das Coding-Tool bleibt ein Entwicklerwerkzeug.

Die Timeline: Was wann gilt

• 2. Februar 2025: Verbotene KI-Praktiken (Social Scoring, biometrische Echtzeit-Überwachung) und Pflicht zur KI-Kompetenz der Mitarbeiter (Art. 4) sind in Kraft.
• 2. August 2025: GPAI-Provider-Pflichten greifen. Anthropic, OpenAI & Co. müssen technische Dokumentation, Trainingsdata-Zusammenfassungen und Incident-Reporting vorhalten.
• 2. August 2026: Hochrisiko-Pflichten für Annex-III-Systeme und volle Durchsetzbarkeit treten in Kraft. Wenn du bis dahin ein Hochrisiko-System entwickelt hast, muss es dokumentiert, geprüft und registriert sein.
• 2. August 2027: Pflichten für KI-Komponenten in regulierten Produkten starten (Medizingeräte, Maschinen, etc.).

Für die meisten Freelancer und kleine Agenturen ist August 2026 der Stichtag, der wirklich zählt.

Die drei Compliance-Stufen

Wie du mit deinem Workflow umgehst, hängt davon ab, was du entwickelst und für wen. Es gibt drei grundlegend verschiedene Setups, je nach Risikostufe.

Stufe 1: Cloud-Tool ohne AVV

Hier: claude.ai im Browser, Cursor mit Hobby-Plan, Copilot Individual. Für private Projekte und komplett synthetische Daten unproblematisch. Sobald auch nur die Chance besteht, dass Kundendaten in den Prompts landen, ist das ein Compliance-Problem.

Stufe 2: Cloud-Tool mit AVV und SCCs

Claude Code über Anthropic API, GitHub Copilot Business/Enterprise, Cursor Business mit aktiviertem DPA. Das ist für die meisten Freelancer und Agenturen der Standardweg. Mit pseudonymisierten Testdaten, einem Eintrag im Verarbeitungsverzeichnis (VVT, also der internen Dokumentation über alle Datenverarbeitungen in deinem Unternehmen) und einem kurzen Incident-Plan bist du auf der sicheren Seite.

Stufe 3: Lokales Modell, keine Cloud-Abhängigkeit

LM Studio plus lokales Modell auf deiner eigenen Maschine. Kein Datenfluss nach außen, kein externer Auftragsverarbeiter, keine Drittlandtransfer-Bewertung. Diese Option ist seit 2026 für Standard-Coding-Aufgaben tatsächlich produktionstauglich.

Wichtig: Auch mit lokalem Modell bleiben alle DSGVO-Pflichten, die das gebaute System betreffen. Du eliminierst die Tool-Risiken, nicht die Systemverantwortung.

Das lokale Setup: Claude Code mit LM Studio

Seit dem 30. Januar 2026 unterstützt LM Studio einen nativen Anthropic-kompatiblen Endpoint. Das bedeutet: Du startest LM Studio als lokalen Server, setzt eine Umgebungsvariable, und Claude Code läuft komplett auf deiner eigenen Hardware. Kein einziges Byte geht nach San Francisco.

# Einmalig in deinem Terminal setzen:
export ANTHROPIC_BASE_URL=http://localhost:1234
export ANTHROPIC_API_KEY=dummy-key-not-sent-anywhere

# Claude Code starten wie gewohnt:
claude

LM Studio übernimmt alle Anfragen, das lokale Modell antwortet, du siehst die gewohnten Claude-Code-Ausgaben. Für die DSGVO bedeutet das: kein externer Auftragsverarbeiter, kein Drittlandtransfer.

Wer Ollama statt LM Studio bevorzugt: Ollama unterstützt die Anthropic Messages API seit Version 0.14.0 (Januar 2026) ebenfalls. Für aktuelle Qwen3-Modelle empfehle ich aber aktuell LM Studio, dazu gleich mehr.

Ollama, LM Studio oder Jan.ai?

Alle drei laufen komplett offline. Der Unterschied ist die Oberfläche.

Ollama ist der klassische CLI-Runner. Schnell, flexibel, keine GUI. Gut für alle, die Modelle per API in eigene Anwendungen einbinden wollen.

LM Studio hat eine Desktop-GUI und ist für Einsteiger die einfachste Option. Modell herunterladen, starten, fertig. Seit Version 0.4.1 (Januar 2026) gibt es den nativen Anthropic-kompatiblen Endpoint.

Jan.ai ist Open-Source, MIT-Lizenz, über 5 Millionen Downloads. Es kombiniert Chat-Interface und lokalen API-Server in einer Anwendung. Gut für alle, die ein vollständiges Chat-Frontend wollen, nicht nur einen API-Server im Terminal.

Welches Modell für welchen Use Case?

Benchmark-Werte aus Modellkarten der Hersteller. Unabhängige Tests weichen ab. Im eigenen Use Case kurz testen ist sinnvoller als Zahlen zu vertrauen.

Welches Modell für 32-36 GB Apple Silicon?

Für einen M3 oder M4 Mac mit 32-36 GB Unified Memory gibt es seit April 2026 zwei klare Empfehlungen, je nachdem, was du hauptsächlich machst.

Bester Allrounder: Qwen 3.6-35B-A3B in der Q4_K_M-Quantisierung. Das Modell hat 35 Milliarden Parameter, aktiviert aber pro Token nur einen kleinen Teil davon. Diese MoE-Architektur (Mixture of Experts, ein Spezialistenteam, das je nach Aufgabe die passenden Experten aktiviert) sorgt für rund 20-21 GB RAM-Verbrauch bei geschätzten 30-45 Token pro Sekunde auf dem M3 Max.

Bestes Coding-Modell: Qwen 3.6-27B in der Q4_K_M-Quantisierung. Das dichte 27-Milliarden-Modell braucht nur rund 17 GB RAM und erreicht laut Modellkarte 77,2 Prozent auf dem SWE-bench Verified, dem Branchenstandard für autonomes Coding. Für reine Coding-Aufgaben ist es die schärfere Wahl.

Was du realistisch erwarten kannst:

• Einzeldatei-Edits, Test schreiben, Dokumentation generieren
• Kleinere Refactorings über 10 bis 20 Dateien
• Bug-Fixes in isolierten Modulen
• Boilerplate und Datenbankschemas entwerfen

Wo der Qualitätsunterschied zu Claude Sonnet noch deutlich spürbar ist: Große Refactorings über 50 oder mehr Dateien, sehr lange autonome Sessions, komplexe Tool-Use-Ketten mit MCP-Servern. Hier brauchst du mehr Aufsicht als mit dem Cloud-Modell.

Warum nicht Ollama für Qwen3.6? Ollama hat einen bekannten, Stand Mai 2026 nicht gefixten Bug mit dem Vision-Modul (mmproj) von Qwen3.5 und Qwen3.6 (GitHub Issues #14730 und #15346). Für Text-Only-Modelle funktioniert Ollama gut, aber für aktuelle Qwen3.6-Varianten empfehle ich LM Studio, bis der Fix kommt.

Als Alternative zu Claude Code für lokale Modelle: OpenCode (CLI/TUI, Go-basiert, 150.000 GitHub-Stars im Mai 2026) und Cline (VS Code Extension) sind beide mit Qwen3.6 und LM Studio getestet und offiziell vom Qwen-Team empfohlen.

Für VS Code-Nutzer ist Cline dabei der einfachste Einstieg. In den Einstellungen einfach "LM Studio" als Provider wählen, das geladene Modell auswählen, fertig. Kein Terminal, keine Umgebungsvariablen. Ich nutze genau dieses Setup auf meinem M3 Max für Kundenprojekte, bei denen kein Byte die Hardware verlassen darf.

Für wen welcher Weg

Wenn du als Solopreneur ausschließlich mit eigenem Code ohne Kundendaten arbeitest, reicht der kostenlose Claude-Plan für den Einstieg. Sobald du gewerblich für Kunden arbeitest, wechsle auf einen kommerziellen API-Plan.

Wenn du für Kunden mit Personendaten entwickelst, was bei jeder Agentur, die Webanwendungen oder Backends baut, der Normalfall ist, brauchst du:

1. Einen Plan mit AVV (Claude API, Copilot Business/Enterprise oder Cursor Business)
2. Pseudonymisierte Test-Fixtures, keine Echtdaten im Prompt
3. Einen Eintrag im Verarbeitungsverzeichnis: "Nutzung KI-Coding-Tool X, Anbieter Y, DPA-Datum Z, SCCs gemäß Modul 2"
4. Eine kurze interne Regel: welche Daten dürfen nicht in Prompts, was passiert bei einem Versehen

Wenn du für regulierte Branchen entwickelst (Gesundheit, Finanzen, Recht, öffentliche Auftraggeber), hast du drei Optionen, je nach Aufwandsbereitschaft:

Lokal: LM Studio plus Qwen3-Coder, kein Datenproblem überhaupt. EU-native Cloud: IONOS AI Model Hub (Berlin/Frankfurt, BSI-zertifiziert, kein CLOUD-Act-Risiko) oder Mistral La Plateforme (Paris/Schweden, automatischer DPA). US-Anbieter mit EU-Routing: Azure OpenAI mit EU Data Zone oder Claude via AWS Bedrock EU, wenn du trotzdem bei den frontier-Modellen bleiben willst.

Was tun, wenn versehentlich Echtdaten im Prompt landen?

Egal welches Tool du nutzt: Konfiguriere deinen Workspace-Indexer so, dass .env-Dateien, Datenbankdumps und Credentials-Dateien nicht indexiert werden. Cursor indexiert standardmäßig den gesamten Workspace. Wenn da eine .env mit echten Credentials liegt, landet die früher oder später in einem Embedding.

Das BSI (Bundesamt für Sicherheit in der Informationstechnik) und die französische ANSSI haben 2025 gemeinsam eine Sicherheitsempfehlung für KI-Coding-Assistenten veröffentlicht. Eine der klaren Regeln darin: Coding-Tools niemals Zugriff auf Produktions-Secrets geben, generierter Code immer reviewen, und AI-forbidden-Dateien in .gitignore und im Workspace-Indexer explizit ausschließen.

Was passiert, wenn doch eine .env mit Personendaten versehentlich an Anthropic geht? Dann liegt wahrscheinlich eine Datenschutzverletzung nach Art. 4 Nr. 12 DSGVO vor. Sofortmaßnahmen:

1. Löschanfrage an den Anbieter (bei Anthropic über das Privacy Center)
2. Vorfall im internen Datenschutz-Logbuch dokumentieren
3. Bei erkennbarem Risiko für betroffene Personen: Meldung an die zuständige Datenschutzbehörde innerhalb von 72 Stunden (Art. 33 DSGVO)
4. Credentials sofort rotieren und den Mandanten informieren

Mit einem Commercial-DPA ist das Risiko deutlich besser kontrollierbar als mit einem Consumer-Plan. Ohne DPA hast du einen zusätzlichen Compliance-Verstoß zur eigentlichen Datenpanne.

Zum Einordnen: Die Hamburger Datenschutzbehörde meldete für 2025 insgesamt 6.219 Beschwerden, gegenüber 4.247 im Vorjahr. Das ist ein Anstieg um 46 Prozent, getrieben unter anderem durch KI-bezogene Fälle (34. Tätigkeitsbericht HmbBfDI, März 2026). Noch gibt es kein veröffentlichtes Bußgeld explizit wegen eines Coding-Tools. Aber die Behörden schauen hin.