AdminDaten & Compliance

API und Datenspeicherung

Erfahre, wie Anthropics APIs und zugehörige Features Daten speichern, einschließlich Informationen zu Zero Data Retention (ZDR) und HIPAA-fähigem API-Zugang.

Informationen zu Anthropics Standard-Aufbewahrungsrichtlinien findest du in Anthropics Richtlinie zur Aufbewahrung kommerzieller Daten und der Richtlinie zur Aufbewahrung von Verbraucherdaten.

Anthropic bietet zwei Datenverarbeitungsvereinbarungen für die Claude API an:

„Zero data retention" (keine Datenspeicherung), oder ZDR: Kundendaten werden nach der Rückgabe der API-Antwort nicht im Ruhezustand gespeichert, außer wenn dies zur Einhaltung von Gesetzen oder zur Bekämpfung von Missbrauch erforderlich ist.
HIPAA-Bereitschaft: Für Organisationen, die geschützte Gesundheitsinformationen (PHI) verarbeiten, bietet Anthropic HIPAA-fähigen API-Zugang mit einem unterzeichneten Business Associate Agreement (BAA). Siehe HIPAA-Bereitschaft.

Anthropics Ansatz zur Datenspeicherung

Verschiedene APIs und Features haben unterschiedliche Speicher- und Aufbewahrungsanforderungen. Wenn eine API oder ein Feature keine Speicherung von Kunden-Prompts oder -Antworten erfordert, kann sie bzw. es für ZDR infrage kommen. Wenn eine API oder ein Feature zwingend die Speicherung von Kunden-Prompts oder -Antworten erfordert, gestaltet Anthropic die Speicherung so minimal wie möglich. Für diese Features gilt:

Gespeicherte Daten werden niemals ohne deine ausdrückliche Erlaubnis für das Modelltraining verwendet.
Es wird nur das gespeichert, was technisch notwendig ist, damit die API und das Feature funktionieren. Gesprächsinhalte (deine Prompts und Claudes Ausgaben) werden standardmäßig nicht gespeichert. Bestimmte Modelle erfordern eine 30-tägige Datenspeicherung; siehe Modellspezifische Anforderungen an die Datenspeicherung.
Daten werden mit der kürzestmöglichen praktikablen TTL gelöscht, und Anthropic ist bestrebt, Kunden die Kontrolle darüber zu geben, wie lange Daten gespeichert werden. Was gespeichert wird und die Aufbewahrungsdauer, sofern eine bestimmte TTL gilt, ist auf der Seite des jeweiligen Features dokumentiert.

Daten, die über die Compliance API zugänglich sind, folgen einem eigenen Aufbewahrungsmodell. Der Activity Feed speichert Daten für 6 Jahre. Chat-, Datei- und Projektinhalte aus claude.ai folgen der Aufbewahrungsrichtlinie deiner Organisation, die unter claude.ai > Organisationseinstellungen > Daten und Datenschutz festgelegt wird.

In der Tabelle zur Feature-Berechtigung sind einige Features in der Spalte „ZDR-berechtigt" mit „Ja (qualifiziert)" gekennzeichnet. Wenn deine Organisation eine ZDR-Vereinbarung hat, kannst du diese Features mit der Gewissheit nutzen, dass das, was Anthropic speichert, eng begrenzt und für eine optimale Leistung erforderlich ist.

Umfang von Zero Data Retention (ZDR)

Claude Fable 5 und Claude Mythos 5 sind unter ZDR nicht verfügbar; siehe Modellspezifische Anforderungen an die Datenspeicherung.

Was ZDR abdeckt

Bestimmte Claude APIs: ZDR gilt für die Claude Messages API und die Token Counting API.
Claude Code: ZDR gilt bei Verwendung mit API-Keys einer kommerziellen Organisation oder über Claude Enterprise (siehe Claude Code ZDR-Dokumentation)

Was ZDR NICHT abdeckt

Console und Workbench: Jegliche Nutzung in der Console oder im Workbench
Claude Managed Agents: Claude Managed Agents ist eine zustandsbehaftete Ressource. Du kannst Sitzungsprotokolle löschen, aber es gibt keine automatische Löschung.
Claude-Verbraucherprodukte: Claude Free-, Pro- oder Max-Pläne, einschließlich wenn Kunden dieser Pläne Claudes Web-, Desktop- oder Mobile-Apps oder Claude Code nutzen
Claude Teams und Claude Enterprise: Die Produktoberflächen von Claude Teams und Claude Enterprise sind nicht ZDR-berechtigt, mit Ausnahme von Claude Code bei Nutzung über Claude Enterprise mit für die Organisation aktiviertem ZDR. Für andere Produktoberflächen sind nur API-Keys kommerzieller Organisationen für ZDR berechtigt.
Integrationen von Drittanbietern: Daten, die von Websites, Tools oder anderen Integrationen von Drittanbietern verarbeitet werden, sind nicht ZDR-berechtigt, auch wenn einige ähnliche Angebote haben können. Wenn du externe Dienste in Verbindung mit der Claude API nutzt, überprüfe unbedingt die Datenverarbeitungspraktiken dieser Dienste.

Die aktuellsten Informationen darüber, welche Produkte und Features ZDR-berechtigt sind, findest du in deinen Vertragsbedingungen, oder wende dich an deinen Anthropic-Ansprechpartner.

Modellspezifische Anforderungen an die Datenspeicherung

Claude Fable 5 und Claude Mythos 5 sind als Covered Models eingestuft und erfordern eine 30-tägige Datenspeicherung. Zero Data Retention ist für Claude Fable 5 oder Claude Mythos 5 nicht verfügbar. Auf der Claude API geben Anfragen an eines dieser Modelle von einer Organisation, deren Datenspeicherungskonfiguration diese Anforderung nicht erfüllt, einen 400 invalid_request_error zurück.

Die Anforderung einer 30-tägigen Datenspeicherung gilt überall dort, wo Covered Models angeboten werden. Auf der Claude API (einschließlich Claude Platform auf AWS) verwaltet Anthropic die gespeicherten Daten. Auf Amazon Bedrock, Google Cloud's Agent Platform und Microsoft Foundry verbleiben die gespeicherten Daten in der Umgebung deines Cloud-Anbieters; sieh dir die Dokumentation der jeweiligen Plattform für die Aktivierungsschritte an.

Organisationen mit einer ZDR-Vereinbarung können die Datenspeicherung auf Workspace-Ebene in der Claude Console > Settings > Workspaces konfigurieren: Öffne den Tab Privacy controls eines Workspace und aktiviere die 30-tägige Datenspeicherung für diesen Workspace. Dadurch werden Claude Fable 5 und Claude Mythos 5 im festgelegten Workspace verfügbar, während die anderen Workspaces der Organisation Zero Data Retention beibehalten. Workspaces ohne Überschreibung folgen dem Organisationsstandard.

HIPAA-Bereitschaft

Die Claude API unterstützt HIPAA-fähige Integrationen für Organisationen, die geschützte Gesundheitsinformationen (PHI) verarbeiten. Mit einem unterzeichneten BAA und einer HIPAA-aktivierten Organisation kannst du unterstützte API-Features nutzen, um PHI zu verarbeiten und gleichzeitig die HIPAA-Compliance deiner Organisation zu unterstützen.

Bisher mussten Organisationen, die HIPAA-Bereitschaft für die Claude API benötigten, ZDR aktivieren. HIPAA-fähiger API-Zugang beseitigt diese Anforderung und bietet eine Grundlage dafür, dass Anthropic schrittweise zusätzliche Features aktivieren kann, sobald sie auf HIPAA-Bereitschaft geprüft wurden.

Diese Seite behandelt die HIPAA-Bereitschaft für die Claude API. Den vollständigen HIPAA-Implementierungsleitfaden, der Claude Enterprise und Konfigurationsanforderungen abdeckt, findest du im Anthropic Trust Center.

Erste Schritte

So richtest du HIPAA-fähigen API-Zugang ein:

Unterzeichne ein Business Associate Agreement
Kontaktiere das Anthropic-Vertriebsteam, um ein BAA zu unterzeichnen, das die API-Nutzung abdeckt.
Stelle eine HIPAA-aktivierte Organisation bereit
Anthropic stellt eine dedizierte Organisation mit aktivierten HIPAA-Bereitschaftskontrollen bereit. Diese Organisation erzwingt automatisch Feature-Einschränkungen und blockiert API-Anfragen, die nicht berechtigte Features verwenden.
Entwickle mit berechtigten Features
Verwende die Tabelle zur Feature-Berechtigung, um zu bestätigen, welche Features unterstützt werden. Sieh dir die Richtlinien zum Umgang mit PHI für Features an, die spezifische Einschränkungen dafür erfordern, wo PHI erscheinen darf. Detaillierte Konfigurations- und Compliance-Anforderungen findest du im HIPAA-Implementierungsleitfaden.

Die HIPAA-Bereitschaft wird auf Organisationsebene durchgesetzt. Wenn du sowohl HIPAA-fähigen als auch allgemeinen API-Zugang benötigst, verwende für beide jeweils separate Organisationen.

Umfang der HIPAA-Bereitschaft

Was die HIPAA-Bereitschaft abdeckt

Claude API: Die HIPAA-Bereitschaft gilt für die Claude API (api.anthropic.com) für berechtigte Features, die in der Tabelle zur Feature-Berechtigung aufgeführt sind.

Was die HIPAA-Bereitschaft NICHT abdeckt

Claude-Verbraucherprodukte: Claude Free-, Pro- oder Max-Pläne
Console und Workbench: Nutzung über die Claude Console-Oberfläche
Von Partnern betriebene Plattformen: Amazon Bedrock oder Google Cloud (siehe die Compliance-Dokumentation dieser Plattformen)
Claude Platform auf AWS und Microsoft Foundry: HIPAA-Bereitschaft ist nicht verfügbar
Integrationen von Drittanbietern: Daten, die von externen Tools oder Diensten verarbeitet werden, die mit deiner Anwendung verbunden sind
Claude Code: Claude Code ist nicht von der HIPAA-Bereitschaft abgedeckt
Beta-Features: Features in der Beta-Phase sind im Allgemeinen nicht vom BAA abgedeckt, es sei denn, sie sind in der Tabelle zur Feature-Berechtigung ausdrücklich als berechtigt aufgeführt

Richtlinien zum Umgang mit PHI

Geschützte Gesundheitsinformationen (PHI) umfassen alle individuell identifizierbaren Gesundheitsinformationen. Im Kontext der Claude API erscheinen PHI typischerweise in:

Nachrichteninhalten (Prompts und Antworten von Claude)
Angehängten Dateien (Bilder, PDFs)
Dateinamen und Metadaten, die mit Nachrichteninhalten verknüpft sind

Die folgenden Felder sollten gemäß dem BAA keine PHI enthalten: Workspace-Namen, Benutzerinformationen (Name, E-Mail, Telefonnummer), Abrechnungsdaten und Support-Tickets.

Einschränkungen für Schemas und Tool-Definitionen

Bei der Verwendung von strukturierten Ausgaben oder Tools mit strict: true kompiliert die API JSON-Schemas in Grammatiken, die getrennt von Nachrichteninhalten zwischengespeichert werden. Diese zwischengespeicherten Schemas erhalten nicht denselben PHI-Schutz wie Prompts und Antworten.

Füge keine PHI in JSON-Schema-Definitionen ein. Diese Einschränkung gilt für:

Schema-Eigenschaftsnamen
enum-Werte
const-Werte
pattern-Reguläre-Ausdrücke

Patientenspezifische Informationen sollten nur in Nachrichteninhalten erscheinen, wo sie durch HIPAA-Schutzmaßnahmen geschützt sind.

HIPAA-Fehlerbehandlung

Dein unterzeichnetes BAA ist die offizielle Quelle der Wahrheit dafür, welche Features abgedeckt sind. Die API erzwingt diese Einschränkungen auch automatisch: Wenn eine HIPAA-aktivierte Organisation eine Anfrage sendet, die ein nicht berechtigtes Feature enthält, gibt die API einen 400-Fehler zurück, um die versehentliche Nutzung von Features zu verhindern, die nicht von deinem BAA abgedeckt sind:

{
  "type": "error",
  "error": {
    "type": "invalid_request_error",
    "message": "The requested features are not available for HIPAA-regulated organizations without Zero Data Retention: code_execution."
  }
}

Die Fehlermeldung listet die in der Anfrage erkannten nicht berechtigten Features auf. Entferne diese Features aus deiner Anfrage und versuche es erneut.

Feature-Berechtigung

Die folgende Tabelle listet auf, welche Claude API-Features für ZDR- und HIPAA-Bereitschaftsvereinbarungen berechtigt sind. Für HIPAA-aktivierte Organisationen werden Features, die in der HIPAA-Spalte mit „Nein" gekennzeichnet sind, automatisch blockiert, und Anfragen, die sie enthalten, geben einen 400-Fehler zurück.

Feature	Endpunkt	ZDR-berechtigt	HIPAA-berechtigt	Details
Messages API	`/v1/messages`	Ja	Ja	Standard-API-Aufrufe zur Generierung von Claude-Antworten.
Token-Zählung	`/v1/messages/count_tokens`	Ja	Ja	Zähle Token, bevor du Anfragen sendest.
Websuche	`/v1/messages` (mit `web_search`-Tool)	Ja¹	Ja¹	Echtzeit-Websuchergebnisse werden in der API-Antwort zurückgegeben.
Web-Abruf	`/v1/messages` (mit `web_fetch`-Tool)	Ja¹ ²	Nein	Abgerufene Webinhalte werden in der API-Antwort zurückgegeben.
Advisor-Tool	`/v1/messages` (mit `advisor`-Tool)	Ja	Nein	Die Ausgabe des Advisor-Modells wird in der API-Antwort zurückgegeben; nach der Antwort wird nichts serverseitig gespeichert.
Memory-Tool	`/v1/messages` (mit `memory`-Tool)	Ja	Ja	Clientseitige Speicherung, bei der du die Datenspeicherung kontrollierst.
Kontextverwaltung (Kompaktierung)	`/v1/messages` (mit `context_management`)	Ja	Nein	Serverseitige Kompaktierungsergebnisse werden zustandslos über die API-Antwort zurückgegeben/durchgereicht.
Kontextbearbeitung	`/v1/messages` (mit `context_management`)	Ja	Nein	Kontextbearbeitungen (Löschen von Tool-Nutzung + Löschen von Denkinhalten) werden in Echtzeit angewendet.
Schnellmodus	`/v1/messages` (mit `speed: "fast"`)	Ja	Ja	Derselbe Messages API-Endpunkt mit schnellerer Inferenz. ZDR gilt unabhängig von der Geschwindigkeitseinstellung.
1M-Token-Kontextfenster	`/v1/messages`	Ja	Ja	Die erweiterte Kontextverarbeitung verwendet die Standard-Messages API.
Adaptives Denken	`/v1/messages`	Ja	Ja	Die dynamische Denktiefe verwendet die Standard-Messages API.
Zitate	`/v1/messages`	Ja	Ja	Die Quellenangabe verwendet die Standard-Messages API.
Datenresidenz	`/v1/messages` (mit `inference_geo`)	Ja	Ja	Das geografische Routing verwendet die Standard-Messages API.
Effort	`/v1/messages` (mit `effort`)	Ja	Ja	Die Token-Effizienzsteuerung verwendet die Standard-Messages API.
Erweitertes Denken	`/v1/messages` (mit `thinking`)	Ja	Ja	Das schrittweise Schlussfolgern verwendet die Standard-Messages API.
PDF-Unterstützung	`/v1/messages`	Ja	Ja	Die PDF-Dokumentverarbeitung verwendet die Standard-Messages API. Die HIPAA-Berechtigung gilt für PDFs, die inline über die Messages API gesendet werden, nicht über die Files API.
Suchergebnisse	`/v1/messages` (mit `search_results`-Quelle)	Ja	Ja	Die RAG-Zitatunterstützung verwendet die Standard-Messages API.
Bash-Tool	`/v1/messages` (mit `bash`-Tool)	Ja	Ja	Clientseitiges Tool, das in deiner Umgebung ausgeführt wird.
Texteditor-Tool	`/v1/messages` (mit `text_editor`-Tool)	Ja	Ja	Clientseitiges Tool, das in deiner Umgebung ausgeführt wird.
Computernutzung	`/v1/messages` (mit `computer`-Tool)	Ja	Nein	Clientseitiges Tool, bei dem Screenshots und Dateien in deiner Umgebung erfasst und gespeichert werden, nicht von Anthropic. Siehe Computernutzung.
Feingranulares Tool-Streaming	`/v1/messages`	Ja	Ja	Das Streaming von Tool-Parametern verwendet die Standard-Messages API.
Prompt-Caching	`/v1/messages`	Ja	Ja	Deine Prompts und Claudes Ausgaben werden nicht gespeichert. KV-Cache-Darstellungen und kryptografische Hashes werden für die Cache-TTL im Speicher gehalten und nach Ablauf umgehend gelöscht. Siehe Prompt-Caching.
Strukturierte Ausgaben	`/v1/messages`	Ja (qualifiziert)	Ja³	Deine Prompts und Claudes Ausgaben werden nicht gespeichert. Nur das JSON-Schema wird zwischengespeichert, für bis zu 24 Stunden seit der letzten Verwendung. Dies umfasst auch die strikte Tool-Nutzung (`strict: true` bei Tools), die dieselbe Grammatik-Pipeline verwendet. Siehe Strukturierte Ausgaben.
Cache-Diagnose	`/v1/messages` (mit `diagnostics`)	Ja (qualifiziert)	Nein	Deine Prompts und Claudes Ausgaben werden nicht gespeichert. Ein Fingerabdruck aus kryptografischen Hashes und Token-Zählschätzungen wird kurzzeitig aufbewahrt, um einen Vergleich mit der nächsten Anfrage zu ermöglichen. Siehe Cache-Diagnose.
Tool-Suche	`/v1/messages` (mit `tool_search`-Tool)	Ja	Nein	Die Tool-Suche verwendet die Standard-Messages API.
Batch-Verarbeitung	`/v1/messages/batches`	Nein	Nein	29-tägige Aufbewahrung; asynchrone Speicherung erforderlich. Siehe Batch-Verarbeitung.
Code-Ausführung	`/v1/messages` (mit `code_execution`-Tool)	Nein	Nein	Container-Daten werden bis zu 30 Tage aufbewahrt. Siehe Code-Ausführung.
Programmatische Tool-Aufrufe	`/v1/messages` (mit `code_execution`-Tool)	Nein	Nein	Basiert auf Code-Ausführungs-Containern; Daten werden bis zu 30 Tage aufbewahrt. Siehe Programmatische Tool-Aufrufe.
Files API	`/v1/files`	Nein	Nein	Dateien werden aufbewahrt, bis sie explizit gelöscht werden. Siehe Files API.
Agent Skills	`/v1/messages` (mit `skills`) / `/v1/skills`	Nein	Nein	Skill-Daten werden gemäß der Standardrichtlinie aufbewahrt. Siehe Agent Skills.
MCP-Connector	`/v1/messages` (mit `mcp_servers`)	Nein	Nein	Daten werden gemäß der Standardrichtlinie aufbewahrt. Siehe MCP-Connector.
Claude Managed Agents	`/v1/agents`, `/v1/sessions`, `/v1/environments`	Nein	Nein	Sitzungen sind zustandsbehaftete Ressourcen; Protokolle bleiben bestehen, bis du sie löschst. Gilt für alle Unterfeatures von Managed Agents, einschließlich selbst gehosteter Sandboxes.
MCP-Tunnel	`/v1/tunnels`	Nein	Nein	Research Preview. Siehe MCP-Tunnel-Sicherheit für die Datenflussgrenze und Details zu Unterauftragsverarbeitern.

¹ Dynamisches Filtern ist nicht für ZDR oder HIPAA berechtigt.

² Obwohl der Web-Abruf ZDR-berechtigt ist, können Website-Betreiber Anfragedaten (wie abgerufene URLs und Anfrage-Metadaten) gemäß ihren eigenen Richtlinien speichern.

³ PHI dürfen nicht in JSON-Schema-Definitionen enthalten sein. Siehe Richtlinien zum Umgang mit PHI.

Einschränkungen und Ausschlüsse

CORS wird für ZDR nicht unterstützt

„Cross-Origin Resource Sharing" (CORS) wird für Organisationen mit ZDR-Vereinbarungen nicht unterstützt. Wenn du API-Aufrufe aus browserbasierten Anwendungen tätigen musst, musst du:

Einen Backend-Proxy-Server verwenden, um API-Aufrufe im Namen deines Frontends zu tätigen
Deine eigene CORS-Behandlung auf dem Proxy-Server implementieren
API-Keys niemals direkt in Browser-JavaScript offenlegen

Datenspeicherung bei Richtlinienverstößen und wo gesetzlich vorgeschrieben

Auch bei bestehenden ZDR- oder HIPAA-Vereinbarungen kann Anthropic Daten speichern, wenn dies gesetzlich vorgeschrieben ist oder wenn sie von Anthropics automatisierten Trust-and-Safety-Systemen markiert wurden. Wenn ein Chat oder eine Sitzung markiert wird, kann Anthropic daher Ein- und Ausgaben für bis zu 2 Jahre speichern.

Häufig gestellte Fragen

API und Datenspeicherung

Erfahre, wie Anthropics APIs und zugehörige Features Daten speichern, einschließlich Informationen zu Zero Data Retention (ZDR) und HIPAA-fähigem API-Zugang.

Informationen zu Anthropics Standard-Aufbewahrungsrichtlinien findest du in Anthropics Richtlinie zur Aufbewahrung kommerzieller Daten und der Richtlinie zur Aufbewahrung von Verbraucherdaten.

Anthropic bietet zwei Datenverarbeitungsvereinbarungen für die Claude API an:

„Zero data retention" (keine Datenspeicherung), oder ZDR: Kundendaten werden nach der Rückgabe der API-Antwort nicht im Ruhezustand gespeichert, außer wenn dies zur Einhaltung von Gesetzen oder zur Bekämpfung von Missbrauch erforderlich ist.
HIPAA-Bereitschaft: Für Organisationen, die geschützte Gesundheitsinformationen (PHI) verarbeiten, bietet Anthropic HIPAA-fähigen API-Zugang mit einem unterzeichneten Business Associate Agreement (BAA). Siehe HIPAA-Bereitschaft.

Anthropics Ansatz zur Datenspeicherung

Gespeicherte Daten werden niemals ohne deine ausdrückliche Erlaubnis für das Modelltraining verwendet.
Es wird nur das gespeichert, was technisch notwendig ist, damit die API und das Feature funktionieren. Gesprächsinhalte (deine Prompts und Claudes Ausgaben) werden standardmäßig nicht gespeichert. Bestimmte Modelle erfordern eine 30-tägige Datenspeicherung; siehe Modellspezifische Anforderungen an die Datenspeicherung.
Daten werden mit der kürzestmöglichen praktikablen TTL gelöscht, und Anthropic ist bestrebt, Kunden die Kontrolle darüber zu geben, wie lange Daten gespeichert werden. Was gespeichert wird und die Aufbewahrungsdauer, sofern eine bestimmte TTL gilt, ist auf der Seite des jeweiligen Features dokumentiert.

Umfang von Zero Data Retention (ZDR)

Claude Fable 5 und Claude Mythos 5 sind unter ZDR nicht verfügbar; siehe Modellspezifische Anforderungen an die Datenspeicherung.

Was ZDR abdeckt

Bestimmte Claude APIs: ZDR gilt für die Claude Messages API und die Token Counting API.
Claude Code: ZDR gilt bei Verwendung mit API-Keys einer kommerziellen Organisation oder über Claude Enterprise (siehe Claude Code ZDR-Dokumentation)

Was ZDR NICHT abdeckt

Console und Workbench: Jegliche Nutzung in der Console oder im Workbench
Claude Managed Agents: Claude Managed Agents ist eine zustandsbehaftete Ressource. Du kannst Sitzungsprotokolle löschen, aber es gibt keine automatische Löschung.
Claude-Verbraucherprodukte: Claude Free-, Pro- oder Max-Pläne, einschließlich wenn Kunden dieser Pläne Claudes Web-, Desktop- oder Mobile-Apps oder Claude Code nutzen
Claude Teams und Claude Enterprise: Die Produktoberflächen von Claude Teams und Claude Enterprise sind nicht ZDR-berechtigt, mit Ausnahme von Claude Code bei Nutzung über Claude Enterprise mit für die Organisation aktiviertem ZDR. Für andere Produktoberflächen sind nur API-Keys kommerzieller Organisationen für ZDR berechtigt.
Integrationen von Drittanbietern: Daten, die von Websites, Tools oder anderen Integrationen von Drittanbietern verarbeitet werden, sind nicht ZDR-berechtigt, auch wenn einige ähnliche Angebote haben können. Wenn du externe Dienste in Verbindung mit der Claude API nutzt, überprüfe unbedingt die Datenverarbeitungspraktiken dieser Dienste.

Die aktuellsten Informationen darüber, welche Produkte und Features ZDR-berechtigt sind, findest du in deinen Vertragsbedingungen, oder wende dich an deinen Anthropic-Ansprechpartner.

Modellspezifische Anforderungen an die Datenspeicherung

HIPAA-Bereitschaft

Erste Schritte

So richtest du HIPAA-fähigen API-Zugang ein:

Unterzeichne ein Business Associate Agreement
Kontaktiere das Anthropic-Vertriebsteam, um ein BAA zu unterzeichnen, das die API-Nutzung abdeckt.
Stelle eine HIPAA-aktivierte Organisation bereit
Anthropic stellt eine dedizierte Organisation mit aktivierten HIPAA-Bereitschaftskontrollen bereit. Diese Organisation erzwingt automatisch Feature-Einschränkungen und blockiert API-Anfragen, die nicht berechtigte Features verwenden.
Entwickle mit berechtigten Features
Verwende die Tabelle zur Feature-Berechtigung, um zu bestätigen, welche Features unterstützt werden. Sieh dir die Richtlinien zum Umgang mit PHI für Features an, die spezifische Einschränkungen dafür erfordern, wo PHI erscheinen darf. Detaillierte Konfigurations- und Compliance-Anforderungen findest du im HIPAA-Implementierungsleitfaden.

Die HIPAA-Bereitschaft wird auf Organisationsebene durchgesetzt. Wenn du sowohl HIPAA-fähigen als auch allgemeinen API-Zugang benötigst, verwende für beide jeweils separate Organisationen.

Umfang der HIPAA-Bereitschaft

Was die HIPAA-Bereitschaft abdeckt

Claude API: Die HIPAA-Bereitschaft gilt für die Claude API (api.anthropic.com) für berechtigte Features, die in der Tabelle zur Feature-Berechtigung aufgeführt sind.

Was die HIPAA-Bereitschaft NICHT abdeckt

Claude-Verbraucherprodukte: Claude Free-, Pro- oder Max-Pläne
Console und Workbench: Nutzung über die Claude Console-Oberfläche
Von Partnern betriebene Plattformen: Amazon Bedrock oder Google Cloud (siehe die Compliance-Dokumentation dieser Plattformen)
Claude Platform auf AWS und Microsoft Foundry: HIPAA-Bereitschaft ist nicht verfügbar
Integrationen von Drittanbietern: Daten, die von externen Tools oder Diensten verarbeitet werden, die mit deiner Anwendung verbunden sind
Claude Code: Claude Code ist nicht von der HIPAA-Bereitschaft abgedeckt
Beta-Features: Features in der Beta-Phase sind im Allgemeinen nicht vom BAA abgedeckt, es sei denn, sie sind in der Tabelle zur Feature-Berechtigung ausdrücklich als berechtigt aufgeführt

Richtlinien zum Umgang mit PHI

Geschützte Gesundheitsinformationen (PHI) umfassen alle individuell identifizierbaren Gesundheitsinformationen. Im Kontext der Claude API erscheinen PHI typischerweise in:

Nachrichteninhalten (Prompts und Antworten von Claude)
Angehängten Dateien (Bilder, PDFs)
Dateinamen und Metadaten, die mit Nachrichteninhalten verknüpft sind

Die folgenden Felder sollten gemäß dem BAA keine PHI enthalten: Workspace-Namen, Benutzerinformationen (Name, E-Mail, Telefonnummer), Abrechnungsdaten und Support-Tickets.

Einschränkungen für Schemas und Tool-Definitionen

Füge keine PHI in JSON-Schema-Definitionen ein. Diese Einschränkung gilt für:

Schema-Eigenschaftsnamen
enum-Werte
const-Werte
pattern-Reguläre-Ausdrücke

Patientenspezifische Informationen sollten nur in Nachrichteninhalten erscheinen, wo sie durch HIPAA-Schutzmaßnahmen geschützt sind.

HIPAA-Fehlerbehandlung

{
  "type": "error",
  "error": {
    "type": "invalid_request_error",
    "message": "The requested features are not available for HIPAA-regulated organizations without Zero Data Retention: code_execution."
  }
}

Die Fehlermeldung listet die in der Anfrage erkannten nicht berechtigten Features auf. Entferne diese Features aus deiner Anfrage und versuche es erneut.

Feature-Berechtigung

Feature	Endpunkt	ZDR-berechtigt	HIPAA-berechtigt	Details
Messages API	`/v1/messages`	Ja	Ja	Standard-API-Aufrufe zur Generierung von Claude-Antworten.
Token-Zählung	`/v1/messages/count_tokens`	Ja	Ja	Zähle Token, bevor du Anfragen sendest.
Websuche	`/v1/messages` (mit `web_search`-Tool)	Ja¹	Ja¹	Echtzeit-Websuchergebnisse werden in der API-Antwort zurückgegeben.
Web-Abruf	`/v1/messages` (mit `web_fetch`-Tool)	Ja¹ ²	Nein	Abgerufene Webinhalte werden in der API-Antwort zurückgegeben.
Advisor-Tool	`/v1/messages` (mit `advisor`-Tool)	Ja	Nein	Die Ausgabe des Advisor-Modells wird in der API-Antwort zurückgegeben; nach der Antwort wird nichts serverseitig gespeichert.
Memory-Tool	`/v1/messages` (mit `memory`-Tool)	Ja	Ja	Clientseitige Speicherung, bei der du die Datenspeicherung kontrollierst.
Kontextverwaltung (Kompaktierung)	`/v1/messages` (mit `context_management`)	Ja	Nein	Serverseitige Kompaktierungsergebnisse werden zustandslos über die API-Antwort zurückgegeben/durchgereicht.
Kontextbearbeitung	`/v1/messages` (mit `context_management`)	Ja	Nein	Kontextbearbeitungen (Löschen von Tool-Nutzung + Löschen von Denkinhalten) werden in Echtzeit angewendet.
Schnellmodus	`/v1/messages` (mit `speed: "fast"`)	Ja	Ja	Derselbe Messages API-Endpunkt mit schnellerer Inferenz. ZDR gilt unabhängig von der Geschwindigkeitseinstellung.
1M-Token-Kontextfenster	`/v1/messages`	Ja	Ja	Die erweiterte Kontextverarbeitung verwendet die Standard-Messages API.
Adaptives Denken	`/v1/messages`	Ja	Ja	Die dynamische Denktiefe verwendet die Standard-Messages API.
Zitate	`/v1/messages`	Ja	Ja	Die Quellenangabe verwendet die Standard-Messages API.
Datenresidenz	`/v1/messages` (mit `inference_geo`)	Ja	Ja	Das geografische Routing verwendet die Standard-Messages API.
Effort	`/v1/messages` (mit `effort`)	Ja	Ja	Die Token-Effizienzsteuerung verwendet die Standard-Messages API.
Erweitertes Denken	`/v1/messages` (mit `thinking`)	Ja	Ja	Das schrittweise Schlussfolgern verwendet die Standard-Messages API.
PDF-Unterstützung	`/v1/messages`	Ja	Ja	Die PDF-Dokumentverarbeitung verwendet die Standard-Messages API. Die HIPAA-Berechtigung gilt für PDFs, die inline über die Messages API gesendet werden, nicht über die Files API.
Suchergebnisse	`/v1/messages` (mit `search_results`-Quelle)	Ja	Ja	Die RAG-Zitatunterstützung verwendet die Standard-Messages API.
Bash-Tool	`/v1/messages` (mit `bash`-Tool)	Ja	Ja	Clientseitiges Tool, das in deiner Umgebung ausgeführt wird.
Texteditor-Tool	`/v1/messages` (mit `text_editor`-Tool)	Ja	Ja	Clientseitiges Tool, das in deiner Umgebung ausgeführt wird.
Computernutzung	`/v1/messages` (mit `computer`-Tool)	Ja	Nein	Clientseitiges Tool, bei dem Screenshots und Dateien in deiner Umgebung erfasst und gespeichert werden, nicht von Anthropic. Siehe Computernutzung.
Feingranulares Tool-Streaming	`/v1/messages`	Ja	Ja	Das Streaming von Tool-Parametern verwendet die Standard-Messages API.
Prompt-Caching	`/v1/messages`	Ja	Ja	Deine Prompts und Claudes Ausgaben werden nicht gespeichert. KV-Cache-Darstellungen und kryptografische Hashes werden für die Cache-TTL im Speicher gehalten und nach Ablauf umgehend gelöscht. Siehe Prompt-Caching.
Strukturierte Ausgaben	`/v1/messages`	Ja (qualifiziert)	Ja³	Deine Prompts und Claudes Ausgaben werden nicht gespeichert. Nur das JSON-Schema wird zwischengespeichert, für bis zu 24 Stunden seit der letzten Verwendung. Dies umfasst auch die strikte Tool-Nutzung (`strict: true` bei Tools), die dieselbe Grammatik-Pipeline verwendet. Siehe Strukturierte Ausgaben.
Cache-Diagnose	`/v1/messages` (mit `diagnostics`)	Ja (qualifiziert)	Nein	Deine Prompts und Claudes Ausgaben werden nicht gespeichert. Ein Fingerabdruck aus kryptografischen Hashes und Token-Zählschätzungen wird kurzzeitig aufbewahrt, um einen Vergleich mit der nächsten Anfrage zu ermöglichen. Siehe Cache-Diagnose.
Tool-Suche	`/v1/messages` (mit `tool_search`-Tool)	Ja	Nein	Die Tool-Suche verwendet die Standard-Messages API.
Batch-Verarbeitung	`/v1/messages/batches`	Nein	Nein	29-tägige Aufbewahrung; asynchrone Speicherung erforderlich. Siehe Batch-Verarbeitung.
Code-Ausführung	`/v1/messages` (mit `code_execution`-Tool)	Nein	Nein	Container-Daten werden bis zu 30 Tage aufbewahrt. Siehe Code-Ausführung.
Programmatische Tool-Aufrufe	`/v1/messages` (mit `code_execution`-Tool)	Nein	Nein	Basiert auf Code-Ausführungs-Containern; Daten werden bis zu 30 Tage aufbewahrt. Siehe Programmatische Tool-Aufrufe.
Files API	`/v1/files`	Nein	Nein	Dateien werden aufbewahrt, bis sie explizit gelöscht werden. Siehe Files API.
Agent Skills	`/v1/messages` (mit `skills`) / `/v1/skills`	Nein	Nein	Skill-Daten werden gemäß der Standardrichtlinie aufbewahrt. Siehe Agent Skills.
MCP-Connector	`/v1/messages` (mit `mcp_servers`)	Nein	Nein	Daten werden gemäß der Standardrichtlinie aufbewahrt. Siehe MCP-Connector.
Claude Managed Agents	`/v1/agents`, `/v1/sessions`, `/v1/environments`	Nein	Nein	Sitzungen sind zustandsbehaftete Ressourcen; Protokolle bleiben bestehen, bis du sie löschst. Gilt für alle Unterfeatures von Managed Agents, einschließlich selbst gehosteter Sandboxes.
MCP-Tunnel	`/v1/tunnels`	Nein	Nein	Research Preview. Siehe MCP-Tunnel-Sicherheit für die Datenflussgrenze und Details zu Unterauftragsverarbeitern.

¹ Dynamisches Filtern ist nicht für ZDR oder HIPAA berechtigt.

² Obwohl der Web-Abruf ZDR-berechtigt ist, können Website-Betreiber Anfragedaten (wie abgerufene URLs und Anfrage-Metadaten) gemäß ihren eigenen Richtlinien speichern.

³ PHI dürfen nicht in JSON-Schema-Definitionen enthalten sein. Siehe Richtlinien zum Umgang mit PHI.

Einschränkungen und Ausschlüsse

CORS wird für ZDR nicht unterstützt

„Cross-Origin Resource Sharing" (CORS) wird für Organisationen mit ZDR-Vereinbarungen nicht unterstützt. Wenn du API-Aufrufe aus browserbasierten Anwendungen tätigen musst, musst du:

Einen Backend-Proxy-Server verwenden, um API-Aufrufe im Namen deines Frontends zu tätigen
Deine eigene CORS-Behandlung auf dem Proxy-Server implementieren
API-Keys niemals direkt in Browser-JavaScript offenlegen

API und Datenspeicherung

Anthropics Ansatz zur Datenspeicherung

Umfang von Zero Data Retention (ZDR)

Modellspezifische Anforderungen an die Datenspeicherung

HIPAA-Bereitschaft

Erste Schritte

Umfang der HIPAA-Bereitschaft

Richtlinien zum Umgang mit PHI

Einschränkungen für Schemas und Tool-Definitionen

HIPAA-Fehlerbehandlung

Feature-Berechtigung

Einschränkungen und Ausschlüsse

CORS wird für ZDR nicht unterstützt

Datenspeicherung bei Richtlinienverstößen und wo gesetzlich vorgeschrieben

Häufig gestellte Fragen

Verwandte Ressourcen

API und Datenspeicherung

Anthropics Ansatz zur Datenspeicherung

Umfang von Zero Data Retention (ZDR)

Modellspezifische Anforderungen an die Datenspeicherung

HIPAA-Bereitschaft

Erste Schritte

Umfang der HIPAA-Bereitschaft

Richtlinien zum Umgang mit PHI

Einschränkungen für Schemas und Tool-Definitionen

HIPAA-Fehlerbehandlung

Feature-Berechtigung

Einschränkungen und Ausschlüsse

CORS wird für ZDR nicht unterstützt

Datenspeicherung bei Richtlinienverstößen und wo gesetzlich vorgeschrieben

Häufig gestellte Fragen

Verwandte Ressourcen

Anthropics Ansatz zur Datenspeicherung

Umfang von Zero Data Retention (ZDR)

Modellspezifische Anforderungen an die Datenspeicherung

HIPAA-Bereitschaft

Erste Schritte

Umfang der HIPAA-Bereitschaft

Richtlinien zum Umgang mit PHI

Einschränkungen für Schemas und Tool-Definitionen

HIPAA-Fehlerbehandlung

Feature-Berechtigung

Einschränkungen und Ausschlüsse

CORS wird für ZDR nicht unterstützt

Datenspeicherung bei Richtlinienverstößen und wo gesetzlich vorgeschrieben

Häufig gestellte Fragen

Woher weiß ich, ob meine Organisation ZDR-Vereinbarungen hat?

Kann ich ZDR-berechtigte (qualifizierte) Features im Rahmen meiner ZDR-Vereinbarung nutzen?

Was passiert, wenn ich ein Feature verwende, das unter ZDR mit "Nein" gekennzeichnet ist?

Kann ich die Löschung von Daten aus Features beantragen, die nicht ZDR-berechtigt sind?

Wie unterscheidet sich die HIPAA-Bereitschaft von ZDR?

Benötige ich weiterhin ZDR, wenn ich HIPAA-Bereitschaft habe?

Was passiert, wenn ich unter HIPAA ein nicht berechtigtes Feature verwende?

Kann ich dieselbe Organisation für HIPAA- und Nicht-HIPAA-Workloads verwenden?

Wie beantrage ich HIPAA-fähigen API-Zugang?

Gilt dies für Amazon Bedrock oder Google Cloud?

Ist Claude Platform auf AWS für ZDR oder HIPAA-Bereitschaft berechtigt?

Ist Claude Code für ZDR berechtigt?

Unterstützt Claude for Excel ZDR?

Wie beantrage ich ZDR?

Verwandte Ressourcen

Anthropics Ansatz zur Datenspeicherung

Umfang von Zero Data Retention (ZDR)

Modellspezifische Anforderungen an die Datenspeicherung

HIPAA-Bereitschaft

Erste Schritte

Umfang der HIPAA-Bereitschaft

Richtlinien zum Umgang mit PHI

Einschränkungen für Schemas und Tool-Definitionen

HIPAA-Fehlerbehandlung

Feature-Berechtigung

Einschränkungen und Ausschlüsse

CORS wird für ZDR nicht unterstützt

Datenspeicherung bei Richtlinienverstößen und wo gesetzlich vorgeschrieben

Häufig gestellte Fragen

Woher weiß ich, ob meine Organisation ZDR-Vereinbarungen hat?

Kann ich ZDR-berechtigte (qualifizierte) Features im Rahmen meiner ZDR-Vereinbarung nutzen?

Was passiert, wenn ich ein Feature verwende, das unter ZDR mit "Nein" gekennzeichnet ist?

Kann ich die Löschung von Daten aus Features beantragen, die nicht ZDR-berechtigt sind?

Wie unterscheidet sich die HIPAA-Bereitschaft von ZDR?

Benötige ich weiterhin ZDR, wenn ich HIPAA-Bereitschaft habe?

Was passiert, wenn ich unter HIPAA ein nicht berechtigtes Feature verwende?

Kann ich dieselbe Organisation für HIPAA- und Nicht-HIPAA-Workloads verwenden?

Wie beantrage ich HIPAA-fähigen API-Zugang?

Gilt dies für Amazon Bedrock oder Google Cloud?

Ist Claude Platform auf AWS für ZDR oder HIPAA-Bereitschaft berechtigt?

Ist Claude Code für ZDR berechtigt?

Unterstützt Claude for Excel ZDR?

Wie beantrage ich ZDR?

Verwandte Ressourcen

Anthropics Ansatz zur Datenspeicherung

Umfang von Zero Data Retention (ZDR)

Modellspezifische Anforderungen an die Datenspeicherung

HIPAA-Bereitschaft

Erste Schritte

Umfang der HIPAA-Bereitschaft

Richtlinien zum Umgang mit PHI

Einschränkungen für Schemas und Tool-Definitionen

HIPAA-Fehlerbehandlung

Feature-Berechtigung

Einschränkungen und Ausschlüsse

CORS wird für ZDR nicht unterstützt

Datenspeicherung bei Richtlinienverstößen und wo gesetzlich vorgeschrieben

Häufig gestellte Fragen

Verwandte Ressourcen

Anthropics Ansatz zur Datenspeicherung

Umfang von Zero Data Retention (ZDR)

Modellspezifische Anforderungen an die Datenspeicherung

HIPAA-Bereitschaft

Erste Schritte

Umfang der HIPAA-Bereitschaft

Richtlinien zum Umgang mit PHI

Einschränkungen für Schemas und Tool-Definitionen

HIPAA-Fehlerbehandlung

Feature-Berechtigung

Einschränkungen und Ausschlüsse

CORS wird für ZDR nicht unterstützt

Datenspeicherung bei Richtlinienverstößen und wo gesetzlich vorgeschrieben

Häufig gestellte Fragen

Verwandte Ressourcen