n8n DSGVO-konform betreiben: Self-Hosting oder Cloud für den Mittelstand

Beide Betriebsarten lassen sich DSGVO-konform aufsetzen – n8n Cloud über einen Auftragsverarbeitungsvertrag (AVV) mit der n8n GmbH, Self-Hosting durch den Verzicht auf einen zusätzlichen externen Auftragsverarbeiter für die Verarbeitung Ihrer Workflow-Daten selbst. Der Unterschied liegt also nicht darin, ob eine Variante datenschutzrechtlich zulässig ist, sondern darin, wer als Auftragsverarbeiter auftritt und wer die technischen und organisatorischen Maßnahmen verantwortet.

Das ist die Frage, die uns im Zusammenhang mit n8n am häufigsten begegnet, sobald ein Projekt über den Prototyp hinausgeht: Cloud oder eigener Server? In Gesprächen wird daraus schnell eine reine Ja-oder-nein-Frage zur DSGVO – dabei ist die eigentliche Entscheidung eine Verantwortungsfrage. Dieser Artikel ordnet ein, was sich zwischen den beiden Betriebsarten konkret ändert, was ein Auftragsverarbeitungsvertrag regeln muss, und was die Lizenz von n8n beim Self-Hosting erlaubt.

Was sich zwischen den Betriebsarten ändert

Personenbezogene Daten – Kundennamen, E-Mail-Adressen, Mitarbeiterdaten in einem HR-Workflow – laufen durch n8n, sobald ein Workflow sie verarbeitet. Nach Art. 28 Abs. 1 DSGVO darf ein Verantwortlicher nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien dafür bieten, dass die Verarbeitung im Einklang mit der Verordnung erfolgt. Wer in Ihrem Fall als Auftragsverarbeiter auftritt, hängt an der Betriebsart:

• n8n Cloud: Die n8n GmbH verarbeitet die Daten in Ihrem Auftrag. Sie sind Verantwortlicher, n8n GmbH ist Auftragsverarbeiter – ein AVV zwischen beiden ist Pflicht, bevor personenbezogene Daten fließen.
• Self-Hosting auf eigener Hardware im eigenen Haus: Für die Verarbeitung Ihrer Workflow-Daten gibt es keinen zusätzlichen externen Auftragsverarbeiter. Sie bleiben Verantwortlicher und betreiben die Verarbeitung selbst – Ihre eigene IT muss dafür die technischen und organisatorischen Maßnahmen erfüllen, die sonst der Cloud-Anbieter übernimmt. Getrennt davon zu prüfen: n8n aktiviert nach eigenen Angaben standardmäßig eine Diagnose-Telemetrie, die auch bei self-gehosteten Instanzen Nutzungsereignisse und die IP-Adresse der Instanz an n8n GmbH sendet – abschaltbar über N8N_DIAGNOSTICS_ENABLED=false; separate Einstellungen regeln Update-Hinweise und den Zugriff auf die Vorlagen-Bibliothek.
• Self-Hosting auf gemieteter Infrastruktur (VPS, Cloud-Server bei Hetzner, AWS, Azure & Co.): Der Hosting-Anbieter wird zum Auftragsverarbeiter für die Serverebene – auch hier braucht es einen AVV, nur eben mit dem Infrastruktur-Anbieter statt mit n8n GmbH.

Self-Hosting löst die Auftragsverarbeitungs-Frage also nicht auf, es verschiebt sie – außer bei echtem On-Premise-Betrieb auf eigener Hardware im eigenen Netz.

n8n Cloud: Auftragsverarbeitung mit der n8n GmbH

n8n GmbH hat ihren Sitz in Berlin und unterliegt damit deutschem und europäischem Datenschutzrecht. Für n8n Cloud stellt das Unternehmen nach eigenen Angaben ein Data Processing Agreement zum Abschluss bereit – den AVV, den Sie vor dem ersten produktiven Workflow mit personenbezogenen Daten benötigen.

Ein solcher Vertrag ist nach Art. 28 Abs. 3 DSGVO kein formloses Dokument. Er muss unter anderem festlegen: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Lesen Sie den von n8n bereitgestellten Vertrag daraufhin selbst – ein AVV, der lediglich existiert, ohne dass Sie seinen Inhalt gegen Ihren konkreten Anwendungsfall geprüft haben, erfüllt die Pflicht nicht vollständig.

Zum Verarbeitungsort: n8n gibt an, die Daten der n8n Cloud in einem Rechenzentrum in Frankfurt zu verarbeiten, betrieben auf Microsoft-Azure-Infrastruktur (Stand 10. August 2026). Die vollständige und laufend aktualisierte Liste der eingesetzten Sub-Prozessoren – wer über n8n GmbH hinaus an der Verarbeitung beteiligt ist – veröffentlicht n8n auf einer eigenen Sub-processors-Seite. Diese Angabe ist ein Software- und Infrastrukturstand, kein Dauerzustand: Prüfen Sie die Sub-processors-Liste zum Zeitpunkt Ihres eigenen Vertragsabschlusses, nicht nur den Stand dieses Artikels.

Self-Hosting: Sie werden zum eigenen Betreiber

Self-Hosting verschiebt die Verantwortung, nicht nur den Serverstandort. Läuft n8n auf einer eigenen, im Haus betriebenen Maschine, gibt es für die Verarbeitung Ihrer Workflow-Daten keinen zusätzlichen Auftragsverarbeiter – aber die technischen und organisatorischen Maßnahmen, die sonst ein Cloud-Anbieter vertraglich zusichert, müssen Sie selbst nachweisen können: Zugriffsschutz, Verschlüsselung, Backup, Patch-Management, Protokollierung. Getrennt von dieser Frage steht ein schmalerer, aber eigenständig zu prüfender Datenfluss: n8n sendet nach eigenen Angaben auch bei self-gehosteten Instanzen standardmäßig eine Diagnose-Telemetrie – Nutzungsereignisse und ein Instanz-Lebenszeichen alle sechs Stunden, inklusive der IP-Adresse der Instanz – an n8n GmbH, sofern Sie das nicht über N8N_DIAGNOSTICS_ENABLED=false abschalten; Update-Hinweise und die Vorlagen-Bibliothek laufen über eigene, separat abschaltbare Einstellungen. Dieser Datenfluss betrifft Instanz-Metadaten, nicht die Workflow-Daten Ihrer Kunden oder Mitarbeiter – er gehört trotzdem in Ihre Datenschutzdokumentation und lässt sich unabhängig von der Auftragsverarbeitungsfrage abschalten.

Läuft die self-gehostete Instanz stattdessen auf einem gemieteten Server, bleibt die AVV-Pflicht bestehen, nur mit anderem Vertragspartner. Hetzner etwa stellt einen AVV zum Abschluss über das Kundenkonto bereit; AWS bietet mit seinem Global Data Processing Addendum ein DSGVO-konformes Vertragsdokument, das nach eigenen Angaben unabhängig von der gewählten Server-Region gilt – Frankfurt ist dort eine von mehreren wählbaren EU-Regionen, keine Voraussetzung für das DPA selbst. Der Unterschied zur n8n Cloud ist damit rechtlich kleiner, als er zunächst wirkt – Sie tauschen einen Auftragsverarbeiter (n8n GmbH) gegen einen anderen (Ihr Hosting-Anbieter), und die vertragliche Pflicht bleibt dieselbe.

Ein praktischer Grund für Self-Hosting kommt in manchen Projekten unabhängig von der DSGVO-Frage hinzu: Greift ein Workflow auf einen Dienst zu, der nur im lokalen Netzwerk erreichbar ist – etwa auf die lokalen DATEVconnect-APIs –, kommt eine Cloud-Instanz an diesen Dienst gar nicht heran. Dann ist Self-Hosting keine Datenschutz-Entscheidung mehr, sondern eine technische Notwendigkeit.

Was die Lizenz beim Self-Hosting erlaubt

n8n steht nicht unter einer klassischen Open-Source-Lizenz, sondern unter der hauseigenen Sustainable Use License. Der Lizenztext regelt die Nutzung so: Sie dürfen die Software für Ihre eigenen internen Geschäftszwecke oder für nicht-kommerzielle bzw. persönliche Zwecke nutzen und verändern. Die Weitergabe der Software an Dritte ist dagegen nur zulässig, wenn sie unentgeltlich und zu nicht-kommerziellen Zwecken erfolgt.

Für die Praxis im Mittelstand heißt das: Workflows für den eigenen Betrieb oder für Kundenprojekte zu bauen und zu betreiben, fällt unter internen Geschäftszweck – das ist der Regelfall, für den Self-Hosting gedacht ist. Anders liegt der Fall, wenn Sie selbst gehostete n8n-Zugänge als eigenes Produkt an mehrere Dritte weitergeben oder verkaufen wollen; dafür trifft die Lizenz eine engere Aussage, und Sie sollten diesen speziellen Fall gegen den Lizenztext prüfen, statt ihn anzunehmen. n8n bietet für solche Szenarien eine separate Enterprise-Lizenz an – das ist ein eigenes Thema außerhalb dieses Artikels.

Entscheidungshilfe: Welche Betriebsart passt?

Kriterium	n8n Cloud	Self-Hosting
Auftragsverarbeiter	n8n GmbH (AVV mit n8n)	Ihr Hosting-Anbieter (AVV mit ihm) – oder keiner, bei echtem On-Premise
Betriebsaufwand	Übernimmt n8n	Trägt Ihr Unternehmen (Updates, Backups, Sicherheit)
Zugriff auf lokale/interne Systeme	Nur über öffentlich erreichbare Schnittstellen	Möglich, auch auf Dienste im lokalen Netz
Startaufwand	Gering – Account anlegen, AVV abschließen	Höher – Infrastruktur, Betrieb, Absicherung
Kontrolle über Datenhaltung	Vertraglich über den AVV	Direkt, im Rahmen der gewählten Infrastruktur

Keine der beiden Spalten ist die pauschal „sicherere” – beide lassen sich datenschutzkonform betreiben, wenn der jeweils zuständige AVV geprüft und abgeschlossen ist und die technischen Maßnahmen zum Anwendungsfall passen.

Für den Mittelstand heißt das

Die Frage „Cloud oder Self-Hosting?” lässt sich nicht pauschal beantworten, aber sie lässt sich auf zwei konkrete Prüfschritte herunterbrechen. Erstens: Verfügen Sie über die IT-Kapazität, einen Server dauerhaft zu betreiben, zu patchen und abzusichern? Wenn nicht, ist n8n Cloud mit abgeschlossenem AVV der pragmatischere Einstieg – die Verantwortung für die Infrastruktur liegt dann vertraglich bei n8n GmbH. Zweitens: Muss ein Workflow auf ein System zugreifen, das nur im eigenen Netz erreichbar ist, oder gibt es einen anderen zwingenden Grund, Daten im eigenen Haus zu halten? Dann führt an Self-Hosting kein Weg vorbei, unabhängig davon, wie die DSGVO-Abwägung sonst ausfällt.

Für die meisten Automatisierungsprojekte, die wir im Mittelstand sehen, entscheidet am Ende weniger die grundsätzliche Zulässigkeit als die konkrete Systemlandschaft. Prüfen Sie deshalb zuerst, welche Systeme ein Workflow anfassen muss – das beantwortet die Betriebsfrage in den meisten Fällen schon, bevor die reine DSGVO-Abwägung überhaupt beginnt.

Unsicher, wo Ihr eigener Anwendungsfall steht? Unser KI-Quick-Check hilft bei der ersten Einordnung, welche Systeme und Daten ein konkretes Vorhaben tatsächlich berührt.

FAQ

Ist n8n Cloud automatisch DSGVO-konform? Automatisch nicht – Sie brauchen dafür einen abgeschlossenen Auftragsverarbeitungsvertrag mit der n8n GmbH, bevor personenbezogene Daten durch die Cloud-Instanz laufen. n8n bietet diesen AVV nach eigenen Angaben an; ob er zu Ihrem konkreten Fall passt, prüft Ihre Datenschutzberatung.

Macht Self-Hosting einen Auftragsverarbeitungsvertrag überflüssig? Nur wenn n8n vollständig auf eigener Hardware im eigenen Haus läuft. Betreiben Sie die self-gehostete Instanz stattdessen auf einem gemieteten Server – etwa bei Hetzner oder AWS –, wird dieser Anbieter zum Auftragsverarbeiter, und der AVV verschiebt sich von n8n GmbH auf den Hosting-Anbieter. Er entfällt nicht, er wechselt den Vertragspartner.

Was regelt der Auftragsverarbeitungsvertrag mit n8n GmbH konkret? Nach Art. 28 Abs. 3 DSGVO muss ein solcher Vertrag unter anderem Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegen. n8n stellt den Vertrag nach eigenen Angaben zum Abschluss bereit; lesen Sie ihn vor der ersten produktiven Nutzung selbst.

Dürfen wir n8n self-hosted für Kundenprojekte nutzen? Für den Bau und Betrieb von Workflows für eigene und für Kundenprojekte ja – das deckt der Wortlaut der Lizenz als internen Geschäftszweck. Anders liegt der Fall, wenn Sie selbst gehostete n8n-Zugänge unentgeltlich oder gegen Entgelt an Dritte weitergeben wollen: Die Lizenz erlaubt Weitergabe der Software selbst nur unentgeltlich und zu nicht-kommerziellen Zwecken. Prüfen Sie dieses Szenario gesondert, bevor Sie es planen.

Wo verarbeitet n8n Cloud die Daten? Nach Angaben von n8n in einem Rechenzentrum in Frankfurt auf Microsoft-Azure-Infrastruktur (Stand 10. August 2026). Das ist eine Momentaufnahme, keine vertragliche Festlegung für alle Zeit – welche Region und welche Sub-Prozessoren aktuell gelten, zeigt die laufend aktualisierte Sub-processors-Liste von n8n.