n8n DSGVO-konform betreiben: Self-Hosting oder Cloud für den Mittelstand

Beide Betriebsarten lassen sich DSGVO-konform aufsetzen: n8n Cloud über einen Auftragsverarbeitungsvertrag (AVV) mit der n8n GmbH, Self-Hosting auf einem gemieteten Server über einen AVV mit dem Hosting-Anbieter, und Self-Hosting auf eigener Hardware im eigenen Haus ohne zusätzlichen externen Auftragsverarbeiter für die Workflow-Daten. Unabhängig von der Betriebsart bleiben zwei Fragen, die Sie selbst beantworten müssen: welche personenbezogenen Daten n8n bei jeder Ausführung speichert und wie lange, und an welche Dienste ein Workflow sie weitergibt.

Sobald ein n8n-Projekt über den Prototyp hinausgeht, stellt sich die Frage: Cloud oder eigener Server? Daraus wird schnell eine reine Ja-oder-nein-Frage zur DSGVO. Die eigentliche Entscheidung ist eine Verantwortungsfrage. Dieser Artikel ordnet ein, was sich zwischen den beiden Betriebsarten ändert, was n8n im laufenden Betrieb speichert und sendet, welche Einstellungen Sie dafür vor dem Start festlegen, und was die Lizenz von n8n beim Self-Hosting erlaubt.

Was sich zwischen den Betriebsarten ändert

Personenbezogene Daten – Kundennamen, E-Mail-Adressen, Mitarbeiterdaten in einem HR-Workflow – laufen durch n8n, sobald ein Workflow sie verarbeitet. Nach Art. 28 Abs. 1 DSGVO darf ein Verantwortlicher nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien dafür bieten, dass die Verarbeitung im Einklang mit der Verordnung erfolgt. Wer in Ihrem Fall als Auftragsverarbeiter auftritt, hängt an der Betriebsart:

• n8n Cloud: Die n8n GmbH verarbeitet die Daten in Ihrem Auftrag. Sie sind Verantwortlicher, n8n GmbH ist Auftragsverarbeiter – ein AVV zwischen beiden ist Pflicht, bevor personenbezogene Daten fließen.
• Self-Hosting auf eigener Hardware im eigenen Haus: Für die Verarbeitung Ihrer Workflow-Daten gibt es keinen zusätzlichen externen Auftragsverarbeiter, solange niemand außerhalb Ihres Unternehmens die Instanz betreut. Übernimmt ein Dienstleister Betrieb oder Wartung mit Zugriff auf die Daten, prüfen Sie, ob er dabei als Auftragsverarbeiter tätig wird. Sie bleiben Verantwortlicher und betreiben die Verarbeitung selbst – Ihre eigene IT muss dafür die technischen und organisatorischen Maßnahmen erfüllen, die sonst der Cloud-Anbieter übernimmt. Getrennt davon zu prüfen ist die Diagnose-Telemetrie, die n8n auch bei self-gehosteten Instanzen standardmäßig an n8n sendet (Details im Abschnitt „Welche Daten den Server verlassen“).
• Self-Hosting auf gemieteter Infrastruktur (VPS, Cloud-Server bei Hetzner, AWS, Azure & Co.): Der Hosting-Anbieter wird zum Auftragsverarbeiter für die Serverebene – auch hier braucht es einen AVV, nur eben mit dem Infrastruktur-Anbieter statt mit n8n GmbH.

Self-Hosting löst die Auftragsverarbeitungs-Frage also nicht auf, es verschiebt sie – außer bei echtem On-Premise-Betrieb auf eigener Hardware im eigenen Netz. n8n selbst sieht sich bei self-gehosteten Instanzen laut seiner Datenschutz-Dokumentation weder als Verantwortlicher noch als Auftragsverarbeiter, weil es Ihre Daten dort nicht verwaltet.

n8n Cloud: Auftragsverarbeitung mit der n8n GmbH

n8n GmbH hat ihren Sitz in Berlin und unterliegt damit deutschem und europäischem Datenschutzrecht. Für n8n Cloud stellt das Unternehmen nach eigenen Angaben ein Data Processing Agreement zum Abschluss bereit – den AVV, den Sie vor dem ersten produktiven Workflow mit personenbezogenen Daten benötigen. Laut der Datenschutz-Dokumentation von n8n gehört dieses Data Processing Agreement zu den Standard-Nutzungsbedingungen und enthält die Standardvertragsklauseln der EU-Kommission; auf seiner DPA-Seite bietet n8n zusätzlich an, es gesondert zu unterzeichnen (Stand 28. September 2026).

Ein solcher Vertrag ist nach Art. 28 Abs. 3 DSGVO kein formloses Dokument. Er muss unter anderem festlegen: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Lesen Sie den von n8n bereitgestellten Vertrag daraufhin selbst: Prüfen Sie, ob er Ihre Datenarten und die betroffenen Personen tatsächlich abdeckt, denn Art. 28 Abs. 3 verlangt, dass der Vertrag sie festlegt.

Zum Verarbeitungsort: n8n gibt an, die n8n Cloud auf Microsoft-Azure-Infrastruktur in der EU zu hosten; die Sub-processors-Liste nennt für Azure die EU, beispielhaft Deutschland und Schweden (Stand 28. September 2026, Liste zuletzt aktualisiert am 22. September 2026). Dieselbe Liste führt auch Unter-Auftragsverarbeiter, die außerhalb der EU verarbeiten, unter anderem in den USA, im Vereinigten Königreich und in Singapur: die n8n-Gesellschaften n8n US Inc. und n8n UK Ltd. für Support und Service sowie mehrere Anbieter für KI-Funktionen und das n8n Gateway. Die vollständige und laufend aktualisierte Liste der eingesetzten Sub-Prozessoren – wer über n8n GmbH hinaus an der Verarbeitung beteiligt ist – veröffentlicht n8n auf einer eigenen Sub-processors-Seite. Diese Angabe ist ein Software- und Infrastrukturstand, kein Dauerzustand: Prüfen Sie die Sub-processors-Liste zum Zeitpunkt Ihres eigenen Vertragsabschlusses, nicht nur den Stand dieses Artikels, und prüfen Sie für die Unter-Auftragsverarbeiter außerhalb der EU zusätzlich die Regeln für Übermittlungen in Drittländer (Kapitel V DSGVO).

Self-Hosting: Sie werden zum eigenen Betreiber

Self-Hosting verschiebt die Verantwortung, nicht nur den Serverstandort. Läuft n8n auf einer eigenen, im Haus betriebenen Maschine, gibt es für die Verarbeitung Ihrer Workflow-Daten keinen zusätzlichen Auftragsverarbeiter – aber die technischen und organisatorischen Maßnahmen, die sonst ein Cloud-Anbieter vertraglich zusichert, müssen Sie selbst nachweisen können: Zugriffsschutz, Verschlüsselung, Backup, Patch-Management, Protokollierung. n8n nennt für self-gehostete Instanzen unter anderem zwei Grundlagen: einen Reverse Proxy, der die Verbindung per TLS verschlüsselt, und verschlüsselte Partitionen oder Hardware-Verschlüsselung für den Speicherort von n8n und seiner Datenbank.

Läuft die self-gehostete Instanz stattdessen auf einem gemieteten Server, bleibt die AVV-Pflicht bestehen, nur mit anderem Vertragspartner. Hetzner etwa stellt einen AVV zum Abschluss über das Kundenkonto bereit; AWS bietet ein Global Data Processing Addendum an, das nach eigenen Angaben weltweit gilt, sobald Kunden mit AWS-Diensten personenbezogene Daten verarbeiten, also nicht an eine bestimmte Region gebunden ist. Der Unterschied zur n8n Cloud ist damit rechtlich kleiner, als er zunächst wirkt – Sie tauschen einen Auftragsverarbeiter (n8n GmbH) gegen einen anderen (Ihr Hosting-Anbieter), und die vertragliche Pflicht bleibt dieselbe.

Ein praktischer Grund für Self-Hosting kann unabhängig von der DSGVO-Frage hinzukommen: Greift ein Workflow auf einen Dienst zu, der nur im lokalen Netzwerk erreichbar ist – etwa auf die lokalen DATEVconnect-APIs –, erreicht eine Cloud-Instanz diesen Dienst nur, wenn Sie ihn gezielt nach außen freigeben, etwa über einen Reverse Proxy oder Tunnel. Das schafft ein eigenes Sicherheitsthema: n8n veröffentlicht zwar die IP-Adressen, von denen Cloud-Anfragen ausgehen, weist aber darauf hin, dass sie sich ohne Vorankündigung ändern können, und empfiehlt starke Authentifizierung (Stand 28. September 2026). Self-Hosting im eigenen Netz ist dann der direktere Weg, und die Entscheidung fällt aus technischen Gründen, nicht aus Datenschutzgründen. Dieselbe Betriebsverantwortung stellt sich noch einmal gesondert, wenn ein Workflow nicht nur n8n selbst, sondern auch ein Open-Weight-KI-Modell im eigenen Haus betreibt – dort entscheidet zusätzlich das Volumen, ob sich der eigene Betrieb überhaupt rechnet.

Was n8n bei jeder Ausführung speichert

Jeder Lauf eines Workflows ist in n8n eine Ausführung (Execution). Speichert n8n sie, liegen darin die Daten, die durch die einzelnen Schritte gelaufen sind: die eingelesene E-Mail, der Datensatz aus dem CRM, die Antwort des Sprachmodells. Wer in der Ausführungsliste einen alten Lauf öffnet, sieht diese Daten wieder. Für den Datenschutz heißt das: Neben den Systemen, die ein Workflow verbindet, entsteht in n8n selbst ein zweiter Datenbestand mit eigener Speicherdauer.

Die Grundeinstellungen einer self-gehosteten Instanz laut n8n-Dokumentation (Stand 28. September 2026):

Einstellung	Standard	Was das bedeutet	Prüffrage für den Datenschutzbeauftragten
EXECUTIONS_DATA_SAVE_ON_SUCCESS	all	Erfolgreiche Ausführungen werden mit ihren Daten gespeichert.	Braucht der Betrieb die Daten erfolgreicher Läufe, oder reicht die Information, dass der Lauf erfolgreich war?
EXECUTIONS_DATA_SAVE_ON_ERROR	all	Fehlgeschlagene Ausführungen werden mit ihren Daten gespeichert.	Wie lange werden Fehlerfälle zur Analyse gebraucht?
EXECUTIONS_DATA_SAVE_MANUAL_EXECUTIONS	true	Auch Testläufe aus dem Editor werden gespeichert.	Wird mit echten Personendaten getestet?
EXECUTIONS_DATA_PRUNE	true	Alte Ausführungen werden laufend gelöscht.	Bleibt die automatische Löschung eingeschaltet?
EXECUTIONS_DATA_MAX_AGE	336 Stunden (14 Tage)	Ab diesem Alter wird eine abgeschlossene Ausführung gelöscht.	Welche Löschfrist dokumentieren Sie für diese Daten?
EXECUTIONS_DATA_PRUNE_MAX_COUNT	10000	Hält die Instanz mehr Ausführungen, löscht n8n die ältesten zuerst.	Greift bei Ihrem Volumen das Alter oder die Anzahl zuerst?

Drei Punkte aus derselben Dokumentation gehören dazu. Erstens löscht n8n Ausführungen mit Tags oder Bewertungen nie automatisch. Wer Läufe zur Nachverfolgung markiert, hebt ihre Daten damit auf, bis jemand sie von Hand löscht. Zweitens lassen sich die Speichervorgaben je Workflow in den Workflow-Einstellungen überschreiben, getrennt für fehlgeschlagene, erfolgreiche und manuelle Ausführungen. Ein HR-Workflow kann damit strenger laufen als ein Workflow, der nur Lagerbestände abgleicht. Drittens gibt die Standarddatenbank SQLite den Speicherplatz gelöschter Ausführungen nicht automatisch frei, sondern verwendet ihn für neue Daten. Freigeben lässt er sich über DB_SQLITE_VACUUM_ON_STARTUP oder den Befehl VACUUM.

Welche der beiden Löschgrenzen zuerst greift, hängt am Volumen. Zwei Beispielrechnungen mit den Standardwerten, unter der Annahme, dass auf der Instanz nur dieser eine Workflow läuft und jede Ausführung gespeichert wird:

• Ein Workflow, der alle fünf Minuten läuft: 288 Ausführungen am Tag, nach 14 Tagen 4.032. Die Anzahlgrenze von 10.000 wird nie erreicht, es greift das Alter. Die Daten jedes Laufs liegen rund 14 Tage in n8n.
• Ein Workflow, der jede Minute läuft: 1.440 Ausführungen am Tag. Die Grenze von 10.000 ist nach knapp sieben Tagen erreicht (10.000 ÷ 1.440 ≈ 6,9). Ab dann löscht n8n nach Anzahl, die Daten liegen also rund sieben Tage in n8n, nicht 14.

Laufen mehrere Workflows auf derselben Instanz, teilen sie sich die Anzahlgrenze. Die tatsächliche Speicherdauer eines einzelnen Workflows verschiebt sich dann mit dem Volumen aller anderen. Die Dokumentation weist zudem darauf hin, dass n8n nicht exakt auf die eingestellte Anzahl herunterlöscht und Ausführungen, die jünger als eine Stunde sind, vom endgültigen Löschen ausnimmt. Die Rechnung gibt deshalb eine Größenordnung, keine auf die Minute genaue Frist.

Für Löschanfragen einzelner Personen schreibt n8n in seiner Datenschutz-Dokumentation: Wer self-hosted betreibt, ist für das Löschen von Nutzerdaten selbst verantwortlich, kann dafür die betreffende Ausführung löschen und sollte die automatische Löschung nach wenigen Tagen einstellen, um sich aufwendige Einzellöschungen zu ersparen. Prüffrage: Wer in Ihrem Haus findet bei einer Löschanfrage die Ausführungen, in denen die Person vorkommt, und wer löscht sie?

Zwei weitere Punkte betreffen die Datenbank selbst. Zugangsdaten zu angebundenen Systemen verschlüsselt n8n mit einem Schlüssel, den es beim ersten Start erzeugt und im Ordner ~/.n8n ablegt, oder mit einem eigenen Schlüssel über N8N_ENCRYPTION_KEY. Prüffrage: Wo liegt dieser Schlüssel, und liegt er getrennt vom Datenbank-Backup? Die Schwärzung von Ausführungsdaten (Redaction) blendet Ein- und Ausgabedaten in der Oberfläche und über die API aus; sie ist laut n8n nur im Enterprise-Tarif verfügbar, ab Version 2.16.0. Die Dokumentation stellt klar, dass die Daten in der Datenbank dabei unverändert bleiben und jeder mit direktem Datenbankzugriff sie lesen kann. Sie ersetzt also keine Löschfrist.

In der n8n Cloud legen Sie die Speicherung nicht über Umgebungsvariablen fest, sondern im Admin-Bereich unter „Executions to Save“ und in den Workflow-Einstellungen. Die automatische Löschung hängt laut n8n am Tarif, und es greift jeweils die Grenze, die zuerst erreicht ist (Stand 28. September 2026): im Starter-Tarif höchstens 2.500 gespeicherte Ausführungen und 7 Tage, im Pro-Tarif höchstens 25.000 und 30 Tage, im Enterprise-Tarif höchstens 50.000 Ausführungen ohne zeitliche Grenze. Prüffrage: Passt die Frist Ihres Tarifs zu der Löschfrist, die Sie für diese Daten dokumentieren? Löschen Sie Ihr Cloud-Konto, entfernt n8n nach eigenen Angaben Workflows, Zugangsdaten, Nutzer- und Ausführungsdaten am selben Tag und aus den Backups innerhalb von 90 Tagen (Stand 28. September 2026).

Welche Daten den Server verlassen

Ein Workflow, der ein Sprachmodell, einen Mailversand, ein Cloud-CRM oder eine Übersetzungs-API aufruft, schickt in diesem Schritt die Daten an den jeweiligen Anbieter, die der Node übergibt. Das gilt unabhängig davon, wo n8n läuft. Ein self-gehostetes n8n im eigenen Serverraum ändert nichts daran, dass der Text einer Kundenmail beim Anbieter des Sprachmodells ankommt, wenn ein Workflow ihn dorthin schickt. Prüffragen je Dienst: Welche Felder gehen hinaus, und braucht der Schritt sie alle? Wo verarbeitet der Anbieter, und welche Unter-Auftragsverarbeiter setzt er ein? Welcher Vertrag besteht mit ihm? Wie Sie das für KI-Dienste Schritt für Schritt prüfen, von der Feldauswahl bis zur Drittlandübermittlung, beschreibt unser Beitrag zu KI-Agenten und DSGVO.

Daneben sendet n8n selbst Daten an n8n und dessen Dienstleister. Laut Datenschutz-Dokumentation (Stand 28. September 2026):

• Telemetrie, self-hosted und Cloud: standardmäßig eingeschaltet. Übertragen werden unter anderem Nutzungsereignisse, die Struktur der Workflows, bei HTTP-Request-Nodes Domain, Pfad und Methode (personenbezogene Anteile laut n8n anonymisiert), Fehlermeldungen fehlgeschlagener Ausführungen ohne Nutzdaten und die IP-Adresse. Ausführungszahlen und ein Lebenszeichen der Instanz gehen alle sechs Stunden an n8n. Ausführungsdaten und Zugangsdaten gehören laut n8n nicht dazu. Bei Self-Hosting abschaltbar über N8N_DIAGNOSTICS_ENABLED=false; Update-Hinweise und die Vorlagen-Bibliothek laufen über eigene, separat abschaltbare Einstellungen (N8N_VERSION_NOTIFICATIONS_ENABLED, N8N_TEMPLATES_ENABLED).
• KI-Assistent von n8n: Daten gehen nur an KI-Dienste, wenn der Assistent aktiviert ist. In der n8n Cloud ist er standardmäßig eingeschaltet. Übertragen werden Workflow-Aufbau, Node-Konfiguration, Code und Ausdrücke sowie Datenschemata, laut n8n aber keine Werte aus Zugangsdaten und keine verarbeiteten Ausgabedaten. Personenbezogene Angaben, die direkt in Node-Parametern oder im Code eines Code-Nodes stehen, nimmt n8n von diesem Ausschluss ausdrücklich aus. n8n gibt an, dass die Daten nicht zum Training verwendet und nach 30 Tagen gelöscht werden.
• Sitzungsaufzeichnungen, nur n8n Cloud: n8n setzt dort zusätzlich PostHog ein, auch mit Aufzeichnungen der Sitzung. Die Aufzeichnungen umfassen laut n8n, was ein Nutzer auf dem Bildschirm sieht, mit Ausnahme von Zugangsdaten, und werden nach 21 Tagen gelöscht. Prüffrage: Öffnen Ihre Mitarbeitenden in der Cloud Ausführungen mit Personendaten, und was sagt der AVV mit n8n zu diesen Aufzeichnungen?

Diese Datenflüsse kommen zur Wahl der Betriebsart hinzu und gehören in Ihre Datenschutzdokumentation. Ob und wie sie ins Verzeichnis der Verarbeitungstätigkeiten gehören, klärt Ihr Datenschutzbeauftragter.

Was die Lizenz beim Self-Hosting erlaubt

n8n steht nicht unter einer klassischen Open-Source-Lizenz, sondern unter der hauseigenen Sustainable Use License, die n8n in seiner Dokumentation auch Community License nennt. Sie gilt nach der Lizenz-FAQ nur für die self-gehostete Version; die n8n Cloud ist ein Abonnement mit eigenen Bedingungen. Der Lizenztext regelt die Nutzung unter anderem so: Sie dürfen die Software für Ihre eigenen internen Geschäftszwecke oder für nicht-kommerzielle bzw. persönliche Zwecke nutzen und verändern. Die Weitergabe der Software an Dritte ist dagegen nur zulässig, wenn sie unentgeltlich und zu nicht-kommerziellen Zwecken erfolgt.

Für die Praxis im Mittelstand heißt das: Workflows für den eigenen Betrieb zu bauen und zu betreiben, fällt unter internen Geschäftszweck. Die Lizenz-FAQ von n8n erlaubt außerdem ausdrücklich, Workflows für Kunden zu bauen, einzurichten und zu warten und dafür Geld zu verlangen, auch auf Ihrer eigenen Instanz, solange die Kunden die Workflows nicht selbst erstellen oder bearbeiten können und keinen direkten Zugriff auf die Instanz haben (Stand 28. September 2026). Die FAQ erlaubt außerdem, n8n auf dem Server eines Kunden gegen Bezahlung zu installieren, einzurichten und zu betreuen, solange Sie nicht zusätzlich das Hosting übernehmen. Nicht erlaubt ist laut derselben FAQ unter anderem, n8n als Dienst zu hosten, auf dem Kunden eigene Workflows bauen, externe Endnutzer über Ihr Produkt eigene Workflows bauen oder konfigurieren zu lassen, ob über eine eigene Oberfläche, die n8n-API, MCP oder einen KI-Agenten, und n8n ohne das n8n-Branding unverändert als eigenes Angebot zu vertreiben. Wollen Sie n8n so in ein eigenes Produkt einbinden, dass Ihre Nutzer direkt mit dem n8n-Editor arbeiten, verlangt n8n dafür eine gesonderte kommerzielle OEM-Vereinbarung – das ist ein eigenes Thema außerhalb dieses Artikels.

Entscheidungshilfe: Welche Betriebsart passt?

Kriterium	n8n Cloud	Self-Hosting
Auftragsverarbeiter	n8n GmbH (AVV mit n8n)	Ihr Hosting-Anbieter (AVV mit ihm) – oder keiner, bei echtem On-Premise
Betriebsaufwand	Übernimmt n8n	Trägt Ihr Unternehmen (Updates, Backups, Sicherheit)
Zugriff auf lokale/interne Systeme	Nur über Schnittstellen, die Sie nach außen freigeben	Möglich bei Betrieb im eigenen Netz; auf gemieteten Servern ebenfalls nur über Freigabe oder Anbindung
Startaufwand	Gering – Account anlegen, AVV abschließen	Höher – Infrastruktur, Betrieb, Absicherung
Kontrolle über Datenhaltung	Vertraglich über den AVV	Direkt, im Rahmen der gewählten Infrastruktur
Speicherdauer der Ausführungsdaten	Nach Tarif: 7 Tage (Starter), 30 Tage (Pro), ohne Zeitgrenze (Enterprise), jeweils mit Höchstzahl; ob gespeichert wird, zusätzlich je Workflow	Löschgrenzen über Umgebungsvariablen (Standard: 14 Tage oder 10.000 Ausführungen); ob gespeichert wird, zusätzlich je Workflow
Daten an n8n und dessen Dienstleister	Telemetrie, Sitzungsaufzeichnungen, KI-Assistent standardmäßig aktiv	Telemetrie standardmäßig aktiv, abschaltbar

Keine der beiden Spalten ist die pauschal „sicherere“: Beide lassen sich datenschutzkonform betreiben, wenn der jeweils zuständige AVV geprüft und abgeschlossen ist und die technischen Maßnahmen zum Anwendungsfall passen.

Für den Mittelstand heißt das

Die Frage „Cloud oder Self-Hosting?“ lässt sich nicht pauschal beantworten, aber sie lässt sich auf drei konkrete Prüfschritte herunterbrechen. Erstens: Verfügen Sie über die IT-Kapazität, einen Server dauerhaft zu betreiben, zu patchen, abzusichern und zu überwachen? Wenn nicht, ist n8n Cloud mit abgeschlossenem AVV der pragmatischere Einstieg – die Verantwortung für die Infrastruktur liegt dann vertraglich bei n8n GmbH. Zweitens: Muss ein Workflow auf ein System zugreifen, das nur im eigenen Netz erreichbar ist, oder gibt es einen anderen zwingenden Grund, Daten im eigenen Haus zu halten? Dann ist Self-Hosting im eigenen Netz der direkte Weg, denn eine Cloud-Instanz erreicht ein solches System nur, wenn Sie es gezielt nach außen freigeben, und das schafft ein eigenes Sicherheitsthema. Drittens, in beiden Betriebsarten: Legen Sie vor dem ersten produktiven Lauf fest, welche Ausführungen n8n speichert und wie lange, und listen Sie für jeden Workflow die Dienste auf, an die er Daten schickt. Diese Liste und die eingestellten Löschgrenzen gehören in Ihre Datenschutzdokumentation (Verzeichnis der Verarbeitungstätigkeiten, Löschkonzept); ein Datenschutzbeauftragter braucht sie für seine Prüfung.

Prüfen Sie deshalb zuerst, welche Systeme ein Workflow anfassen muss – das kann die Betriebsfrage schon beantworten, bevor die reine DSGVO-Abwägung überhaupt beginnt.

Unsicher, wo Ihr eigener Anwendungsfall steht? Unser KI-Quick-Check hilft bei der ersten Einordnung, welche Systeme und Daten ein konkretes Vorhaben tatsächlich berührt.

FAQ

Ist n8n Cloud automatisch DSGVO-konform? Automatisch nicht – Sie brauchen dafür einen abgeschlossenen Auftragsverarbeitungsvertrag mit der n8n GmbH, bevor personenbezogene Daten durch die Cloud-Instanz laufen. n8n bezieht seinen AVV nach eigenen Angaben in die Nutzungsbedingungen ein und bietet ihn zusätzlich zur Unterzeichnung an; ob er zu Ihrem konkreten Fall passt, prüft Ihre Datenschutzberatung.

Macht Self-Hosting einen Auftragsverarbeitungsvertrag überflüssig? Das hängt davon ab, ob Dritte Zugriff auf die Instanz oder ihre Daten haben. Läuft n8n auf eigener Hardware im eigenen Haus und betreut niemand außerhalb Ihres Unternehmens die Instanz mit Zugriff auf die Daten, gibt es für die Workflow-Daten keinen zusätzlichen externen Auftragsverarbeiter. Betreiben Sie die self-gehostete Instanz stattdessen auf einem gemieteten Server – etwa bei Hetzner oder AWS –, wird dieser Anbieter zum Auftragsverarbeiter, und der AVV verschiebt sich von n8n GmbH auf den Hosting-Anbieter. Er entfällt nicht, er wechselt den Vertragspartner. Unabhängig davon prüfen Sie externe Dienste, die ein Workflow aufruft, gesondert.

Wie lange speichert n8n die Daten einer Ausführung? Bei einer self-gehosteten Instanz speichert n8n in der Grundeinstellung erfolgreiche und fehlgeschlagene Ausführungen samt der verarbeiteten Daten und löscht eine Ausführung, sobald sie älter als 336 Stunden (14 Tage) ist; hält die Instanz mehr als 10.000 Ausführungen, löscht n8n zusätzlich die ältesten zuerst (Stand 28. September 2026). Die Löschgrenzen ändern Sie über Umgebungsvariablen; ob eine Ausführung überhaupt gespeichert wird, zusätzlich je Workflow. Ausführungen mit Tags oder Bewertungen löscht n8n nie automatisch. In der n8n Cloud hängt die automatische Löschung laut n8n am Tarif, von 7 Tagen im Starter-Tarif bis zu keiner zeitlichen Grenze im Enterprise-Tarif.

Dürfen wir n8n self-hosted für Kundenprojekte nutzen? Für den eigenen Betrieb ja. Die Lizenz-FAQ von n8n (Stand 28. September 2026) erlaubt außerdem, Workflows für Kunden zu bauen, einzurichten und zu warten und dafür Geld zu verlangen, auch auf Ihrer eigenen Instanz, solange die Kunden die Workflows nicht selbst erstellen oder bearbeiten können und keinen direkten Zugriff auf die Instanz haben. Nicht erlaubt ist laut derselben FAQ unter anderem, n8n als Dienst zu hosten, auf dem Kunden eigene Workflows bauen, externe Endnutzer über Ihr Produkt eigene Workflows bauen oder konfigurieren zu lassen, ob über eine eigene Oberfläche, die n8n-API, MCP oder einen KI-Agenten, oder n8n ohne das n8n-Branding unverändert als eigenes Angebot zu vertreiben. Liegt Ihr Fall dazwischen, klären Sie ihn vorab mit n8n.

Wo verarbeitet n8n Cloud die Daten? Nach Angaben von n8n auf Microsoft-Azure-Infrastruktur in der EU; die Sub-processors-Liste nennt für Azure die EU, beispielhaft Deutschland und Schweden, führt aber auch Unter-Auftragsverarbeiter mit Verarbeitung außerhalb der EU, unter anderem in den USA, im Vereinigten Königreich und in Singapur, darunter n8n US Inc. und mehrere Anbieter für KI-Funktionen und das n8n Gateway (Stand 28. September 2026, Liste zuletzt aktualisiert am 22. September 2026). Das ist eine Momentaufnahme, keine vertragliche Festlegung für alle Zeit – welche Region und welche Sub-Prozessoren aktuell gelten, zeigt die laufend aktualisierte Sub-processors-Liste von n8n.