n8n DSGVO-konform betreiben: Was der Mittelstand wissen muss

Kurz gesagt

n8n selbst ist Open Source und lässt sich komplett auf einem Server in Deutschland betreiben, das ist die Voraussetzung für DSGVO-Konformität, aber nicht die ganze Antwort. Entscheidend sind vier Dinge: wo der Server steht, mit wem ein Auftragsverarbeitungsvertrag existiert, wie sparsam Daten in den Workflows gespeichert werden, und ob es ein Löschkonzept gibt. Fehlt eines davon, bringt der deutsche Serverstandort allein wenig.

Reicht ein Server in Deutschland für DSGVO-Konformität?

Nein. Ein deutscher Serverstandort ist die Voraussetzung, nicht die Lösung: Ein Workflow ist immer nur so DSGVO-konform wie die Dienste, die er verbindet. Die n8n Community Edition lässt sich selbst hosten, etwa bei Hetzner oder IONOS, damit verlässt der reine Workflow-Betrieb die EU nicht. Entscheidend ist aber, wohin die Daten von dort aus weiterlaufen.

• Ein Workflow, der Leads in ein CRM schreibt, das in den USA gehostet wird, verschiebt personenbezogene Daten trotzdem in ein Drittland, unabhängig davon, wo n8n selbst läuft.
• Ein KI-Schritt, der an ein US-Sprachmodell schickt, hat dasselbe Problem noch einmal, unabhängig vom Workflow-Tool.
• n8n Cloud (der gehostete Dienst des Herstellers) unterscheidet sich hier von Self-Hosting: Der Hersteller selbst nennt für die EU-Region einen Serverstandort in der EU, prüfenswert ist trotzdem im Einzelfall, welche Subunternehmer beteiligt sind.

Mit wem brauche ich einen Auftragsverarbeitungsvertrag?

Mit jedem Dienst einzeln, der im Workflow personenbezogene Daten verarbeitet, nicht mit "der Automatisierung" als Ganzes. n8n verbindet typischerweise mehrere Systeme, und jedes davon verarbeitet in dem Moment Daten. Praktisch heißt das:

1. Für den Server selbst (Hetzner, IONOS oder vergleichbar): ein AVV mit dem Hosting-Anbieter.
2. Für jeden angebundenen Drittdienst im Workflow (CRM, Ticketsystem, E-Mail-Versand, Sprachmodell): ein eigener AVV, nicht nur einer für "die Automatisierung" insgesamt.
3. Für ein selbst gehostetes Sprachmodell statt einer externen KI-API: kein zusätzlicher AVV mit einem Modellanbieter nötig, weil keine Daten das eigene System verlassen, dafür bleibt die Verantwortung für Betrieb und Absicherung vollständig im eigenen Haus.

Wer n8n nur "in Deutschland hostet" und dabei vergisst, dass drei angebundene SaaS-Tools in den USA sitzen, hat das eigentliche Risiko nicht gelöst, nur verschoben.

Wie hält man einen Workflow datensparsam?

An drei Stellen, und alle drei sind Einstellungssache statt Programmierarbeit: welche Felder überhaupt durchlaufen, wie lange Ausführungen protokolliert bleiben, und welche Zwischenspeicher es gibt.

• Nur die Felder durch den Workflow schleusen, die der jeweilige Schritt tatsächlich braucht, nicht den kompletten Datensatz weiterreichen, weil es bequemer ist.
• Execution-Logs regelmäßig löschen oder die Aufbewahrungsdauer in n8n begrenzen. Standardmäßig bleiben vergangene Workflow-Ausführungen inklusive der verarbeiteten Daten sonst unbegrenzt gespeichert.
• Zwischenspeicher in Workflow-eigenen Datenbanken oder Google Sheets, die "nur zum Testen" gedacht waren, sind ein häufiger Fund bei der Prozess-Diagnose, und regelmäßig der Punkt, an dem am meisten unnötig gespeichert wird.

Muss das Sprachmodell in der EU laufen?

Wenn personenbezogene Daten hineingehen: ja, oder es braucht eine tragfähige Rechtsgrundlage für den Drittlandtransfer. OpenAI, Anthropic und Google sind US-Anbieter und unterliegen dem CLOUD Act; auch mit Auftragsverarbeitungsvertrag bleibt ein Restrisiko, das viele Compliance-Verantwortliche im Mittelstand bewusst nicht eingehen.

• Alternative mit offenen Gewichten: ein Modell wie Mistral, gehostet auf deutschen Servern. Kein Token verlässt die EU, der AVV läuft nur noch mit dem Hoster.
• Nebeneffekt Latenz: Ein Server in Deutschland antwortet schneller als ein US-Endpunkt.
• Nebeneffekt Kosten: feste Hardwarekosten statt Abrechnung pro Token, was bei hohem Volumen den Unterschied macht.
• Der Preis dafür ist Betriebsaufwand: Modellpflege, Absicherung und Verfügbarkeit liegen dann vollständig im eigenen Haus.

Was gehört in ein Löschkonzept?

Löschfristen pro Datentyp und ein Job, der sie tatsächlich durchsetzt. Ein Workflow, der Daten verarbeitet, braucht eine Antwort darauf, wann diese Daten wieder verschwinden, nicht nur wie sie reinkommen. In der Praxis bedeutet das: Löschfristen pro Datentyp festlegen (Lead-Daten, Support-Anfragen, Gesprächsprotokolle unterscheiden sich hier), und einen Workflow-Schritt oder einen wiederkehrenden Job, der diese Fristen tatsächlich durchsetzt statt nur auf Papier zu stehen.

Fazit

n8n bringt die technischen Voraussetzungen für DSGVO-konformen Betrieb mit, Self-Hosting in Deutschland, aber die eigentliche Arbeit liegt in der Architektur drumherum: AVVs mit jedem angebundenen Dienst, sparsame Datenflüsse und ein Löschkonzept, das tatsächlich läuft. Das ist genau der Unterschied zwischen einem selbst zusammengeklickten Workflow und einer betreuten Automatisierung.

Wie sich das in der Praxis auf die Wahl zwischen n8n, Zapier und Make auswirkt, steht im n8n-Vergleich für den Mittelstand

Wo bei dir der größte Hebel liegt und wie sauber eure aktuellen Anbindungen sind, klären wir in einer Prozess-Diagnose