n8n DSGVO-konform nutzen: Was du wirklich wissen musst (2026)

n8n ist ein leistungsstarkes Automatisierungs-Tool. Wer damit Workflows baut, die Kundendaten, E-Mail-Inhalte oder CRM-Einträge verarbeiten, fragt früher oder später: Ist das eigentlich DSGVO-konform? Die ehrliche Antwort ist: Es kommt darauf an. Hauptsächlich darauf, welche Hosting-Variante du nutzt.

Ich betreibe n8n selbst lokal in Docker und habe mich intensiv mit der Frage beschäftigt, welche Daten wo landen. Was ich dabei gelernt habe, zeige ich in diesem Artikel.

Ist n8n DSGVO-konform?

n8n selbst ist ein Tool, kein Akteur. Die Software verarbeitet nur das, was du ihr gibst. Ob eine n8n-Instanz DSGVO-konform betrieben wird, hängt also weniger vom Tool ab als von drei Faktoren: wo die Instanz läuft, welche Daten du verarbeitest und ob du die nötigen rechtlichen Grundlagen geschaffen hast.

Meine persönliche Einschätzung: Self-Hosted n8n auf einem deutschen oder finnischen Server ist der am einfachsten DSGVO-konform zu betreibende Weg. Die Cloud-Variante erfordert mehr Aufwand, weil die Server außerhalb der EU stehen. Das ist kein Ausschlusskriterium, aber ein Faktor, den du nicht ignorieren solltest.

Cloud oder Self-Hosted: Der entscheidende DSGVO-Unterschied

n8n Cloud und der US Cloud Act

Die n8n-Cloud läuft auf Servern außerhalb der EU, betrieben von US-amerikanischen Anbietern. Das bedeutet: Daten, die durch deine Workflows fließen, werden auf US-Servern verarbeitet. Das ist ein Drittlandtransfer im Sinne der DSGVO und erfordert eine Rechtsgrundlage, typischerweise Standardvertragsklauseln (SCCs).

Hinzu kommt der US Cloud Act. US-Behörden können unter bestimmten Voraussetzungen auf Daten zugreifen, die bei US-Unternehmen oder deren Töchtern gespeichert sind, auch wenn die Server in der EU stehen. Das gilt für viele bekannte Tools: Google Sheets, HubSpot, Salesforce, Slack. Wer sensible Kundendaten verarbeitet, sollte das ernst nehmen.

n8n bietet für die Cloud-Version einen AV-Vertrag (Data Processing Agreement) an. Das löst das rechtliche Grundlagenproblem für viele Anwendungsfälle, aber nicht alle. Für Branchen mit hohen Datenschutzanforderungen, also Gesundheitswesen, Rechtsberatung oder Finanzdienstleistungen, reicht ein AVV allein oft nicht aus.

Self-Hosted auf EU-Servern: Die sicherere Wahl

Wer n8n auf einem eigenen Server in Deutschland oder Finnland hostet, behält die volle Kontrolle. Daten bleiben in der EU, kein US-Anbieter hat strukturellen Zugriff, und der Serveranbieter, z. B. Hetzner, bietet einen AVV an, der deutschen Datenschutzstandards entspricht. Das ist aus meiner Sicht der klarste Weg zu einer rechtssicheren n8n-Instanz.

Die technische Einrichtung dauert unter einer Stunde. Eine vollständige Anleitung findest du im Artikel n8n selbst hosten: Schritt-für-Schritt-Anleitung.

Welche Daten verarbeitet n8n überhaupt?

Workflow-Definitionen und Execution-Logs

n8n speichert zwei Arten von Daten. Erstens: Workflow-Definitionen. Das sind die JSON-Strukturen, die beschreiben, welche Nodes in welcher Reihenfolge ausgeführt werden. Diese enthalten keine Echtdaten, sondern nur die Logik. Zweitens: Execution-Logs. Hier ist Vorsicht geboten.

Wenn ein Workflow ausgeführt wird, speichert n8n standardmäßig die Ein- und Ausgabe-Daten jedes Nodes. Das bedeutet: Wenn dein Workflow eine CRM-Abfrage macht und Kundennamen zurückbekommt, landen diese Namen im Execution-Log. Wie lange, lässt sich konfigurieren, und das sollte man tun.

Credentials und API-Keys

API-Keys, Passwörter und OAuth-Tokens werden verschlüsselt in der n8n-Datenbank gespeichert. Der Verschlüsselungsschlüssel liegt in der Umgebungsvariable N8N_ENCRYPTION_KEY. Wer Self-Hosting betreibt, kontrolliert diesen Key selbst, ein klarer Vorteil gegenüber gehosteten Lösungen.

Webhooks empfangen Daten von außen und leiten sie in Workflows weiter. Diese Daten erscheinen ebenfalls in den Execution-Logs. Gerade bei Kontaktformularen oder Lead-Erfassungs-Workflows können das sensible Informationen sein.

n8n DSGVO-konform einrichten: 4 praktische Schritte

Die folgenden Schritte sind keine Rechtsberatung, sondern technische Maßnahmen, die ich selbst umsetze. Sie reduzieren das Datenschutzrisiko messbar.

AV-Vertrag: Wann brauchst du einen?

Ein Auftragsverarbeitungsvertrag (AV-Vertrag oder AVV) ist immer dann nötig, wenn du einem externen Dienstleister erlaubst, personenbezogene Daten in deinem Auftrag zu verarbeiten. n8n selbst ist eine Software, kein Dienstleister. Aber die Infrastruktur, auf der n8n läuft, ist es.

Bei der n8n-Cloud bist du Auftraggeber, n8n GmbH ist Auftragsverarbeiter. Ein DPA (Data Processing Agreement) ist verfügbar und muss abgeschlossen werden, bevor du personenbezogene Daten durch die Cloud-Version fließen lässt.

Bei Self-Hosted n8n auf einem VPS braucht es keinen AV-Vertrag mit n8n, wohl aber mit dem Serveranbieter. Hetzner, Strato und andere deutsche Anbieter stellen standardisierte AVVs bereit, die du in wenigen Minuten abschließen kannst.

Bei lokaler Installation auf dem eigenen Rechner fällt kein externer Auftragsverarbeiter an, solange keine Cloud-Synchronisation stattfindet.

n8n-Workflows und DSGVO: 6 typische Szenarien

Meine persönliche Einschätzung der häufigsten Anwendungsfälle. Kein Ersatz für rechtliche Beratung.

Pseudonymisierung ist ein praktischer Ansatz für KI-Workflows: Personenbezogene Felder werden vor dem Weitergeben an externe APIs durch Platzhalter ersetzt, die Zuordnungstabelle bleibt lokal. Das reduziert das Risiko bei Drittlandtransfers deutlich.

Was passiert bei einer Datenpanne?

Die DSGVO schreibt vor, dass Datenpannen, die ein Risiko für Betroffene darstellen, innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden müssen. n8n-Execution-Logs können im Fall einer Panne Aufschluss darüber geben, welche Daten betroffen sind und wann sie verarbeitet wurden. Das ist ein weiterer Grund, Logs gezielt aufzubewahren und nicht sofort zu löschen.

Bei Self-Hosting liegt die Verantwortung vollständig bei dir. Regelmäßige Backups, Zugriffskontrollen und Server-Monitoring sind keine optionalen Extras, sondern Teil der technischen und organisatorischen Maßnahmen (TOM), die die DSGVO fordert.

Häufig gestellte Fragen