n8n hat sich in den letzten Jahren als eines der beliebtesten Automatisierungstools etabliert — gerade im Mittelstand, weil es flexibler als Zapier und transparenter als viele Cloud-Only-Lösungen ist. Wer es aber einfach aus dem Browser heraus als Cloud-Version startet, läuft Gefahr, unbemerkt gegen die DSGVO zu verstoßen.

Diese Anleitung richtet sich an österreichische Unternehmen, die n8n bereits nutzen oder einführen wollen — und dabei rechtlich auf der sicheren Seite bleiben möchten. Kein Juristendeutsch, keine Panik, nur das Wesentliche.

Was ist n8n — und warum ist DSGVO hier ein Thema?

n8n ist ein Open-Source-Automatisierungstool, mit dem man Workflows baut: "Wenn eine neue Bestellung eingeht, schreibe sie in die CRM-Datenbank und schicke eine Bestätigungs-E-Mail." Das klingt harmlos — aber bei solchen Workflows fließen fast immer personenbezogene Daten durch das System: Namen, E-Mail-Adressen, Bestelldaten, manchmal mehr.

Sobald personenbezogene Daten im Spiel sind, greift die DSGVO. Und die zentrale Frage lautet: Wo werden diese Daten verarbeitet, und wer hat darauf Zugriff?

Das konkrete Risiko: n8n Cloud läuft auf Servern in den USA (AWS us-east). Workflows, die Kundendaten verarbeiten, transferieren diese Daten automatisch in die USA — ohne dass die meisten Nutzer das bewusst konfiguriert haben. Seit dem Schrems-II-Urteil ist das ohne Zusatzmaßnahmen problematisch.

Die zwei Wege: Cloud vs. Self-Hosted

n8n Cloud

n8n bietet seit 2023 eine EU-Region an (Frankfurt). Wenn ihr Cloud-Plan auf EU-Server eingestellt ist und ihr einen Auftragsverarbeitungsvertrag (AVV) mit n8n abgeschlossen habt, ist die Cloud-Variante für die meisten Anwendungsfälle DSGVO-konform nutzbar. Aber: Das ist nicht automatisch aktiv — ihr müsst es explizit prüfen und einstellen.

n8n Self-Hosted (empfohlen)

Wer n8n selbst auf einem EU-Server betreibt, hat die vollständige Kontrolle über seine Daten. Es gibt keine Abhängigkeit von einem US-Anbieter, keine Datentransfers außerhalb der EU, und ihr könnt die Infrastruktur nach euren eigenen Sicherheitsstandards konfigurieren. Das ist aufwändiger in der Einrichtung, aber langfristig die sicherere Wahl — vor allem für Betriebe, die mit sensiblen Kundendaten arbeiten.

Empfehlung für den Mittelstand: Self-Hosted auf einem deutschen oder österreichischen Server (z.B. Hetzner in Nürnberg oder IONOS in Deutschland). Monatliche Kosten: ab ca. 5–10 € für einen kleinen VPS, der für die meisten KMU-Workflows ausreicht.

Schritt für Schritt: n8n DSGVO-konform betreiben

1

EU-Server wählen

Betreibt ihr n8n selbst, wählt einen Hosting-Anbieter mit Rechenzentrum in Deutschland oder Österreich. Hetzner (Nürnberg/Falkenstein) ist die günstigste und beliebteste Wahl. IONOS und Exoscale (Österreich) sind Alternativen mit noch stärkerem EU-Fokus. Wichtig: Die physische Serverstandort-Angabe im Hosting-Panel prüfen — nicht nur die Website des Anbieters.

2

Datensparsamkeit in Workflows einbauen

Verarbeitet in n8n-Workflows nur die Daten, die tatsächlich gebraucht werden. Wenn ein Workflow eine E-Mail kategorisieren soll, muss er nicht den gesamten Verlauf eines Kunden kennen. Praktisch: Nutzt in n8n "Set"-Nodes, um irrelevante Felder aus dem Datenstrom zu entfernen, bevor sie an externe Services weitergegeben werden.

3

Auftragsverarbeitungsverträge (AVV) mit allen angebundenen Diensten

n8n selbst ist nur ein Werkzeug — aber es verbindet euren Betrieb mit Dutzenden anderer Dienste. Für jeden Dienst, dem ihr über n8n personenbezogene Daten schickt, braucht ihr einen AVV. Die gute Nachricht: Die meisten großen Anbieter (Google, Microsoft, HubSpot, Stripe) stellen AVVs bereit, oft per Klick im Account-Bereich. Schreibt eine Liste aller n8n-Verbindungen und hakt AVVs der Reihe nach ab.

4

Credentials sicher speichern

n8n speichert API-Schlüssel und Passwörter (Credentials) verschlüsselt in seiner Datenbank. Stellt sicher, dass der Encryption Key gesetzt ist — das ist eine Umgebungsvariable (N8N_ENCRYPTION_KEY), die beim Self-Hosting manuell konfiguriert werden muss. Ohne diesen Key werden Credentials nur Base64-kodiert gespeichert, was kein ausreichender Schutz ist.

5

Execution-Logs kontrollieren

Standardmäßig speichert n8n die vollständigen Ein- und Ausgabedaten jedes Workflow-Durchlaufs. Das ist praktisch für Debugging — aber DSGVO-problematisch, wenn dort Kundendaten drin stehen. Konfiguriert Execution Data Pruning (in den n8n-Einstellungen) und legt fest, wie lange Logs aufbewahrt werden. Für die meisten Betriebe reichen 7–30 Tage.

6

Datenschutzerklärung aktualisieren

Wenn n8n Kundendaten verarbeitet, muss das in eurer Datenschutzerklärung erwähnt werden — zumindest als Kategorie ("Automatisierungstools zur internen Prozessverarbeitung"). Listet n8n und die angebundenen Dienste als Auftragsverarbeiter auf. Falls ihr mit einem Rechtsanwalt arbeitet: Das ist ein 10-Minuten-Gespräch, kein großes Projekt.

Was ist mit US-amerikanischen KI-Diensten in n8n?

Viele n8n-Workflows nutzen KI-APIs — OpenAI, Anthropic, Google Gemini. Diese Anbieter sitzen alle in den USA. Für sie gilt dasselbe wie für andere US-Dienste: Ihr braucht einen AVV und müsst prüfen, ob die angebotenen Standardvertragsklauseln (SCCs) für euren Anwendungsfall ausreichen.

OpenAI und Anthropic bieten beide AVVs an. OpenAIs "Data Processing Addendum" ist im Business-Account zugänglich. Wichtig: Nutzt in n8n die API direkt (nicht die ChatGPT-Weboberfläche) — nur dann gilt der AVV, weil Daten über die API-Infrastruktur laufen, nicht über die Consumer-Produkte.

Tipp für sensible Branchen (Medizin, Anwälte, Finanzdienstleister): Erwägt den Einsatz von lokal laufenden KI-Modellen (z.B. über Ollama), die keinen Datentransfer nach außen erfordern. Das Qualitätsniveau dieser Modelle hat sich 2025 deutlich verbessert und reicht für viele Aufgaben aus.

Kurzcheck: Ist mein n8n-Setup DSGVO-konform?

Fazit

n8n DSGVO-konform zu betreiben ist kein Hexenwerk — aber es erfordert ein paar bewusste Entscheidungen, die viele beim Einstieg übersehen. Der größte Hebel ist die Wahl des Serverstandorts: Self-Hosted auf einem deutschen Server löst die meisten Probleme auf einen Schlag.

Wer keine Zeit hat, sich damit auseinanderzusetzen, kann die technische Einrichtung und DSGVO-Konfiguration auch auslagern. Bei Leandesk übernehmen wir genau das — von der Server-Einrichtung bis zur Datenschutzdokumentation.

n8n aufsetzen lassen — DSGVO-konform, fertig konfiguriert

Wir richten n8n für euch ein: EU-Server, Encryption, AVVs, erste Workflows. Ihr könnt direkt loslegen.

Kostenloses Gespräch