n8n self-hosted oder Cloud: Was ist DSGVO-konform, und wann brauchst du einen AVV?

n8n hat sich als eines der verbreitetsten Automatisierungswerkzeuge im Mittelstand etabliert, und mit ihm kommt eine Frage, die in fast jedem Erstgespräch auftaucht: Sollen wir n8n Cloud nehmen oder selbst hosten, und was davon ist eigentlich DSGVO-konform? Die meisten Antworten im Netz sind entweder aus den USA und ignorieren den deutschen Datenschutz, oder sie verkürzen die Sache auf “self-hosting ist sicher”. Beides führt in die Irre. Hier ist die Entscheidung sauber aufgeschlüsselt, mit den echten Quellen dahinter.

Das Wichtigste in Kürze:

• Bei n8n Cloud bist du der Verantwortliche und n8n dein Auftragsverarbeiter. Du brauchst einen Auftragsverarbeitungsvertrag (AVV) mit n8n, den n8n anbietet.
• Beim Self-Hosting auf deiner eigenen oder einer EU-Infrastruktur fällt der AVV mit n8n weg. Dafür brauchst du in der Regel einen AVV mit deinem Hoster.
• Das eigentliche Datenschutzrisiko sind in beiden Fällen die Drittanbieter-Nodes wie OpenAI oder Google. “Self-hosted” allein macht dich also nicht automatisch DSGVO-konform.

n8n Cloud oder self-hosted: Was ist der DSGVO-Unterschied in einem Satz?

Bei n8n Cloud gibst du die Verarbeitung an n8n als Dienstleister ab, beim Self-Hosting behältst du sie vollständig im Haus. Alles Weitere, der AVV, der Serverstandort und die Frage der Drittländer, folgt aus diesem einen Unterschied. Deshalb lohnt es sich, die beiden Modelle sauber zu trennen, statt pauschal “n8n ist DSGVO-konform” zu sagen. Das ist nämlich keine Eigenschaft der Software, sondern eine Frage, wie du sie betreibst.

Wo speichert n8n Cloud meine Daten, und wer ist der Anbieter?

Betreiber von n8n Cloud ist die n8n GmbH mit Sitz in Berlin, also ein deutsches Unternehmen (n8n Datenschutzerklärung). Die Cloud läuft auf Microsoft Azure, und die Daten liegen laut n8n aktuell in der Europäischen Union (n8n Security). Die Sub-Prozessoren-Liste nennt Azure-Standorte in Deutschland und Schweden sowie Hetzner in Deutschland (n8n Sub-Prozessoren).

Ein verbreiteter Irrtum in deutschen Blogs ist, n8n Cloud liege “nur in Frankfurt” oder sogar außerhalb der EU. Beides steht so nicht in den offiziellen Quellen. Wichtig ist ein anderer Punkt: Microsoft, der Konzern hinter Azure, ist ein US-Unternehmen, und n8n nennt in seiner Datenschutzerklärung ausdrücklich Übermittlungen in Drittländer, insbesondere in die USA, auf Basis des EU-US Data Privacy Framework und der Standardvertragsklauseln. Für viele Mittelständler ist genau das der Grund, sich das Self-Hosting genauer anzusehen.

Brauche ich für n8n Cloud einen Auftragsverarbeitungsvertrag?

Ja. Bei n8n Cloud bist du der Verantwortliche im Sinne der DSGVO und n8n dein Auftragsverarbeiter, deshalb brauchst du einen AVV. Ein Auftragsverarbeitungsvertrag ist die Vereinbarung nach Art. 28 DSGVO, mit der ein Dienstleister personenbezogene Daten in deinem Auftrag und nach deinen Weisungen verarbeiten darf. Verantwortlicher bist du, weil du über Zweck und Mittel der Verarbeitung entscheidest; Auftragsverarbeiter ist, wer die Daten nur für dich verarbeitet. Den passenden Vertrag gibt es: n8n stellt einen Auftragsverarbeitungsvertrag öffentlich bereit, inklusive Muster zum Ansehen und zum Abschluss per Signatur (n8n Data Processing Agreement).

Damit ist die Grundlage geschaffen, aber deine Arbeit ist nicht ganz erledigt. Mit dem AVV übernimmst du auch die Kette der Sub-Prozessoren von n8n, also Azure und die weiteren genannten Dienste. Ein Blick in die Sub-Prozessoren-Liste und in das AVV-Muster gehört deshalb zur Sorgfalt dazu, bevor du sensible Daten durch Cloud-Workflows schickst.

Wann macht Self-Hosting den n8n-AVV überflüssig, und wann nicht?

Wenn du n8n auf deiner eigenen Infrastruktur betreibst, verarbeitet die n8n GmbH nichts für dich. Damit brauchst du für die Automatisierungssoftware selbst keinen AVV mit n8n. Genau das ist der Datenschutzvorteil, der Self-Hosting für viele Unternehmen attraktiv macht: Die Daten verlassen deine Umgebung nicht, nur weil du automatisierst. Wie du n8n dafür mit Docker auf einem eigenen Hetzner-Server aufsetzt, zeigt unsere Schritt-für-Schritt-Anleitung zum Self-Hosting.

Der Haken ist, dass “eigene Infrastruktur” selten wirklich der eigene Keller ist. In der Praxis läuft die Instanz bei einem Hoster, und damit verschiebt sich der AVV nur, er verschwindet nicht.

Der Haken beim Self-Hosting: der AVV mit deinem Hoster

Sobald deine n8n-Instanz bei einem Anbieter wie Hetzner, Netcup oder IONOS läuft, ist dieser Hoster dein Auftragsverarbeiter. Nach Art. 28 DSGVO brauchst du dann in der Regel einen AVV mit dem Hoster. Die gute Nachricht: Etablierte deutsche Hoster stellen einen solchen AVV üblicherweise bereit, oft direkt im Kundenkonto.

Self-Hosting tauscht den AVV mit n8n also gegen einen AVV mit deinem Hoster. Für viele Mittelständler ist das trotzdem die ruhigere Wahl, weil ein deutscher Hoster mit klarem AVV und EU-Standort einfacher einzuordnen ist als eine Kette aus Cloud-Sub-Prozessoren. Wenn du diesen Betrieb nicht selbst übernehmen willst, ist genau das eine der Aufgaben, die wir in Betrieb und Weiterentwicklung abdecken.

OpenAI, Anthropic und Co.: Warum Drittanbieter-Nodes das eigentliche Risiko sind

Hier liegt der Punkt, den die meisten Anleitungen übergehen: In dem Moment, in dem ein Workflow einen externen Dienst aufruft, etwa OpenAI, Anthropic oder einen Google-Dienst, entsteht eine neue Verarbeitung durch einen weiteren Dienstleister, oft mit Datenübermittlung in die USA. Das gilt unabhängig davon, ob n8n selbst in der Cloud oder auf deinem Server läuft.

Mit anderen Worten: Du kannst n8n vollständig self-hosted und in der EU betreiben und trotzdem Daten in die USA schicken, sobald ein Workflow ein US-Sprachmodell anspricht. “Self-hosted gleich automatisch DSGVO-konform” ist deshalb ein Mythos. Welche KI-Dienste du überhaupt DSGVO-konform nutzen kannst und woran du das erkennst, haben wir in einem Leitfaden zu DSGVO-konformer KI zusammengefasst. Entscheidend ist, welche Nodes deine Workflows tatsächlich aufrufen und welche Daten dabei das Haus verlassen. Wer hier auf Nummer sicher gehen will, nutzt ein self-hosted Sprachmodell in der eigenen Umgebung, statt jeden Prompt an einen US-Anbieter zu geben. Wie sich solche Bausteine sauber verbinden lassen, beschreiben wir bei System-Integrationen.

Welchen AVV brauche ich in welchem Modell?

Kurz: Cloud heißt AVV mit n8n, self-hosted heißt AVV mit deinem Hoster, und die Drittanbieter-Nodes musst du in beiden Fällen separat prüfen. Die folgende Übersicht fasst das zusammen. Sie ersetzt keine Rechtsberatung, sondern gibt dir eine Landkarte für das Gespräch mit deinem Datenschutzbeauftragten.

	n8n Cloud	Self-hosted (eigener oder EU-Server)
Datenort	Azure in der EU (u.a. Deutschland, Schweden)	dort, wo du hostest
AVV mit n8n	erforderlich, n8n bietet einen an	nicht erforderlich
AVV mit Hoster	über n8n abgedeckt	in der Regel erforderlich (dein Hoster)
Drittanbieter-Nodes (OpenAI etc.)	eigene Prüfung und ggf. AVV nötig	eigene Prüfung und ggf. AVV nötig
Kontrolle über die Daten	begrenzt	vollständig
Betriebsaufwand	gering	höher, dafür mehr Kontrolle

Was musst du zusätzlich dokumentieren?

Zwei Pflichten gelten unabhängig davon, ob du Cloud oder Self-Hosting nutzt. Erstens gehört jede Automatisierung, die personenbezogene Daten verarbeitet, in der Regel in dein Verarbeitungsverzeichnis nach Art. 30 DSGVO, also die Liste, in der steht, wer welche Daten zu welchem Zweck verarbeitet. Zweitens kann bei risikoreicher Verarbeitung eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig sein, etwa bei umfangreichem Profiling oder besonderen Datenkategorien wie Gesundheitsdaten. Beides ist kein Hexenwerk, aber es gehört vor den Livegang, nicht danach.

Kommt dabei KI-generierter Inhalt oder ein Chatbot ins Spiel, greift zusätzlich die Transparenzpflicht des EU AI Act. Was ab dem 2. August 2026 konkret gilt, haben wir in einem eigenen Beitrag zum AI Act aufgeschlüsselt.

Darf ich n8n überhaupt kommerziell selbst hosten?

Ja, für den eigenen Geschäftsbetrieb. n8n ist fair-code, nicht klassische Open-Source-Software, und steht unter der Sustainable Use License (n8n Docs). Diese Lizenz erlaubt es dir ausdrücklich, n8n für interne Geschäftszwecke selbst zu hosten, Workflows für Kunden zu bauen und eigene Nodes zu entwickeln.

Was sie nicht erlaubt, ist, n8n als gehosteten Dienst weiterzuverkaufen, also anderen gegen Bezahlung Zugang zu deiner n8n-Instanz zu geben. Für einen Mittelständler, der n8n für die eigenen Abläufe betreibt, ist das kein Thema. Erst wenn du selbst “n8n as a service” anbieten willst, brauchst du eine kommerzielle Lizenz.

Entscheidungshilfe: Welches Modell passt zu dir?

Nimm n8n Cloud, wenn du schnell starten willst, keine hochsensiblen Daten verarbeitest und den Betrieb bewusst abgeben möchtest. Der AVV ist vorhanden, der Einstieg ist einfach.

Nimm Self-Hosting, wenn Datenschutz und Kontrolle für dich im Vordergrund stehen, wenn du sensible Daten verarbeitest oder wenn du langfristig unabhängig bleiben willst. Du tauschst etwas mehr Betriebsaufwand gegen deutlich mehr Kontrolle, und genau dieser Betrieb lässt sich auslagern. In beiden Fällen bleibt die wichtigste Aufgabe dieselbe: zu wissen, welche Nodes deine Workflows aufrufen und wohin dabei Daten fließen.

Wenn du solche Workflows als KI-Agenten im Unternehmen einsetzen willst, klären wir die Datenschutzfrage von Anfang an mit, statt sie hinterher aufzuräumen.

Checkliste: n8n DSGVO-konform betreiben

• Modell festgelegt: n8n Cloud oder self-hosted.
• AVV abgeschlossen: mit n8n (Cloud) oder mit deinem Hoster (self-hosted).
• Jede Drittanbieter-Node geprüft: Welche Daten gehen an OpenAI, Google und Co., und ist das gedeckt?
• Drittlandübermittlung geklärt: Standardvertragsklauseln oder Data Privacy Framework, wo nötig.
• Automatisierung im Verarbeitungsverzeichnis eingetragen (Art. 30 DSGVO).
• Bei risikoreicher Verarbeitung: Datenschutz-Folgenabschätzung geprüft (Art. 35 DSGVO).
• Sensible Daten: wo möglich ein self-hosted Sprachmodell statt eines US-Dienstes.

Diese Liste ist ein Startpunkt, kein Freibrief. Den konkreten Fall klärst du mit deinem Datenschutzbeauftragten.

Häufige Fragen

Ist n8n DSGVO-konform?

n8n lässt sich DSGVO-konform betreiben, ist es aber nicht von allein. Ob dein Einsatz konform ist, hängt vom Modell (Cloud oder self-hosted), von den Verträgen (AVV mit n8n oder Hoster) und vor allem davon ab, welche Drittanbieter deine Workflows aufrufen.

Brauche ich beim Self-Hosting gar keinen AVV?

Mit n8n nicht, aber in der Regel mit deinem Hoster nach Art. 28 DSGVO, und für jeden externen Dienst, den ein Workflow aufruft. Der AVV verschwindet also nicht, er verlagert sich.

Kann ich sensible Daten mit n8n und einem KI-Modell verarbeiten?

Ja, wenn das Modell in deiner eigenen Umgebung läuft und die Daten nicht an einen externen Anbieter gehen. Sobald ein US-Sprachmodell im Spiel ist, hast du wieder eine Drittlandübermittlung, unabhängig davon, ob n8n self-hosted läuft.

Fazit

Die Frage ist nicht “Cloud oder self-hosted”, sondern “wo dürfen meine Daten sein und wer verarbeitet sie”. n8n Cloud ist mit AVV ein solider, schneller Start. Self-Hosting gibt dir die volle Kontrolle, verlagert aber den AVV auf deinen Hoster und nimmt dir nicht die Verantwortung für die Drittanbieter-Nodes ab. Der teuerste Fehler ist, Self-Hosting mit “automatisch sicher” zu verwechseln und dann doch jeden Prompt an einen US-Dienst zu schicken.

Wenn du wissen willst, welches Modell zu deinem konkreten Fall passt und was die Umsetzung kostet, findest du die Einstiege auf unserer Preisseite. Und wenn du lieber direkt sprechen willst, buch dir ein kostenloses Erstgespräch.

Dies ist keine Rechtsberatung. Der Beitrag ordnet die Praxis ein und ersetzt nicht die Prüfung durch deinen Datenschutzbeauftragten oder eine Anwältin.