Kurzantwort: Ist n8n self-hosted DSGVO-konform?
n8n selbst ist ein Werkzeug; DSGVO-konform wird erst Ihr Betrieb von n8n. Entscheidend sind Serverstandort, Verträge, Zugriffe, Löschfristen und vor allem die Frage, welche Daten Ihre Workflows an andere Dienste weitergeben.
Der Selbstbetrieb hat einen Vorteil: Sie bestimmen, wo n8n läuft und wer darauf zugreift. Dafür tragen Sie die Verantwortung für Updates, Sicherungen und Dokumentation. Wie Sie n8n technisch mit Docker aufsetzen, beschreibt unser Self-Hosting-Guide. Dieser Artikel ergänzt die Datenschutz-Seite.
Hinweis: Dieser Artikel ist eine praktische Einordnung und keine Rechtsberatung. Stimmen Sie die Details mit Ihrem Datenschutzbeauftragten ab.
Self-Hosting oder n8n-Cloud?
Beide Wege lassen sich datenschutzgerecht betreiben. Für die gehosteten Tarife gibt n8n an, Daten in der EU auf Servern in Frankfurt zu speichern; dann ist n8n selbst Ihr Auftragsverarbeiter. Beim Self-Hosting ist es Ihr Hoster, und Sie entscheiden selbst über Updates, Erweiterungen und Aufbewahrungsfristen. Die folgenden Punkte beziehen sich auf den Selbstbetrieb.
1. Serverstandort und Vertrag mit dem Hoster
Wählen Sie einen Server mit Rechenzentrum in der EU, zum Beispiel in Frankfurt am Main. Mit dem Hoster schließen Sie einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO; die meisten Anbieter stellen ihn im Kundenkonto bereit.
Prüfen Sie außerdem, ob der Hoster Unterauftragnehmer außerhalb der EU einsetzt, etwa für Support oder Backups. Das steht in der Regel in der Liste der Unterauftragsverarbeiter.
2. Zugriff absichern
- n8n nur über HTTPS erreichbar machen, nie über eine unverschlüsselte Verbindung
- Benutzerkonten mit starken Passwörtern und, wo verfügbar, einem zweiten Faktor schützen
- Zugriff auf den Server selbst (SSH) nur per Schlüssel und für so wenige Personen wie nötig
- Webhooks, die von außen erreichbar sind, mit einem geheimen Header oder Token absichern
n8n verschlüsselt gespeicherte Zugangsdaten (Credentials) mit einem eigenen Schlüssel, der über die Umgebungsvariable N8N_ENCRYPTION_KEY gesetzt wird. Bewahren Sie diesen Schlüssel getrennt und sicher auf; ohne ihn lassen sich gesicherte Zugangsdaten nicht wiederherstellen.
3. Ausführungsdaten nicht länger speichern als nötig
n8n speichert zu jeder Ausführung die verarbeiteten Daten, damit Sie Fehler nachvollziehen können. Darin stehen oft personenbezogene Daten, etwa Namen und E-Mail-Adressen aus Kontaktformularen.
Legen Sie deshalb eine Aufbewahrungsfrist fest und lassen Sie alte Ausführungen automatisch löschen. n8n bietet dafür Einstellungen über Umgebungsvariablen (EXECUTIONS_DATA_PRUNE und EXECUTIONS_DATA_MAX_AGE). Welche Frist passt, hängt von Ihrem Zweck ab; dokumentieren Sie die Entscheidung.
4. Datenwege zu anderen Diensten erfassen
Der größte Datenschutzhebel liegt nicht im Server, sondern in den Knoten Ihrer Workflows. Jeder Knoten, der Daten an einen externen Dienst schickt, ist ein eigener Datenweg:
| Datenweg | Typische Frage |
|---|---|
| E-Mail-Versand | Sitzt der Anbieter in der EU oder in den USA, gibt es AVV und Standardvertragsklauseln? |
| CRM oder Buchhaltung | Welche Felder werden übertragen, und brauchen Sie alle? |
| KI-Dienst | Gehen personenbezogene Daten im Klartext an das Sprachmodell? |
| Kalender und Messenger | Wer kann die Einträge sehen? |
Für KI-Aufrufe empfehlen wir, Namen, E-Mail-Adressen, Telefonnummern und Adressen vor dem KI-Knoten zu maskieren und erst danach wieder einzusetzen. So sieht das Sprachmodell nur Platzhalter.
5. Sicherungen und Updates
Sichern Sie Datenbank, Workflows und den Verschlüsselungsschlüssel regelmäßig und testen Sie die Wiederherstellung. Eine Sicherung, die nie zurückgespielt wurde, ist nur eine Vermutung.
Spielen Sie Updates von n8n und Betriebssystem zeitnah ein. Sicherheitslücken in n8n werden öffentlich bekannt gemacht; wer Monate hinterherhängt, bleibt angreifbar.
6. Dokumentation
Für die DSGVO zählt, dass Sie Ihre Verarbeitung erklären können. Halten Sie mindestens fest:
- welche Workflows welche personenbezogenen Daten verarbeiten und zu welchem Zweck
- welche Dienste beteiligt sind, mit AVV und Standort
- Löschfristen und technische Schutzmaßnahmen
- wer Zugriff auf n8n und den Server hat
Diese Angaben fließen in Ihr Verzeichnis von Verarbeitungstätigkeiten und gegebenenfalls in Ihre Datenschutzerklärung ein.
Checkliste zum Abhaken
- Server in der EU, AVV mit dem Hoster abgeschlossen
- HTTPS, starke Passwörter, zweiter Faktor wo verfügbar, SSH nur per Schlüssel
- Webhooks abgesichert
- Verschlüsselungsschlüssel gesichert
- Aufbewahrungsfrist für Ausführungsdaten gesetzt
- Datenwege je Workflow erfasst, AVV je Dienst vorhanden
- Personenbezogene Daten vor KI-Aufrufen maskiert
- Sicherung getestet, Updates eingeplant
- Dokumentation aktuell
So betreibt FlowBrain n8n
Bei FlowBrain laufen Website und n8n auf einem Hostinger-VPS in Frankfurt am Main. Für KI-Auswertungen gehen nur maskierte bzw. pseudonymisierte Daten an Anthropic (USA), abgesichert über einen AVV mit Standardvertragsklauseln; E-Mails versendet Resend (USA) auf Grundlage von Standardvertragsklauseln. Den AVV mit FlowBrain erhalten Sie inklusive, ohne Aufpreis.
Was der Selbstbetrieb kostet, steht im Ratgeber n8n Kosten 2026. Wenn Sie n8n nicht selbst betreuen möchten, übernimmt FlowBrain Einrichtung und Betrieb: Prozessautomatisierung mit n8n.