n8n

n8n Cloud ist eine visuelle Workflow-Automatisierungsplattform, die über einen browserbasierenden Editor Abläufe zwischen Hunderten von Diensten (APIs, Datenbanken, Webhooks, Cloud-Dienste) verknüpft. Nutzer erstellen gerichtete azyklische Graphen aus Trigger-Nodes (zeitbasiert, Webhook, Event) und Action-Nodes (HTTP-Requests, Datenbankoperationen, Dateitransfers, Benachrichtigungen).

Für KI-gestützte Workflows enthält n8n AI/LLM-Nodes und eine LangChain-Integration. Diese Nodes rufen vom Nutzer konfigurierte Drittanbieter-Modelle auf (OpenAI, Anthropic, Google Vertex AI u.a.). n8n selbst betreibt keine eigenen LLM-Modelle. Die Datenverarbeitung durch diese Modelle liegt beim jeweiligen Modell-Anbieter und fällt nicht unter das Datenschutzregime von n8n Cloud.

Im Pro-Tarif stehen 10.000 Workflow-Executions pro Monat, 20 gleichzeitige Executions, 3 Shared Projects, Admin Roles, Global Variables, Workflow History und Execution Search zur Verfügung. SSO/SAML/LDAP und Audit Logs sind im Pro-Tarif nicht enthalten; sie stehen erst ab Business/Enterprise zur Verfügung.

Im typischen Einsatz verarbeitet n8n Cloud Freitext-Inhalte (Nachrichten, Formulareingaben), strukturierte Daten aus Datenbanken und APIs, Dateien (CSV, JSON, Dokumente), Webhook-Payloads sowie Zugangsdaten für verbundene Dienste (Credentials werden verschlüsselt gespeichert). Der Inhalt der verarbeiteten Daten bestimmt die datenschutzrechtliche Kritikalität maßgeblich.

n8n GmbH agiert beim Betrieb von n8n Cloud als Auftragsverarbeiter gegenüber den Nutzern (Verantwortlichen). Das DPA ist in die Self-Serve Terms eingebunden und steht über die DPA-Seite zum Abschluss via DocuSign bereit. Der Eintrag bewertet den Pro-Tarif der Cloud-Variante; für self-hosted-Instanzen gilt ein anderes Datenschutzregime (dort ist n8n kein Auftragsverarbeiter).

Datenarten: Da n8n eine generische Automatisierungsplattform ist, können grundsätzlich alle Datenkategorien verarbeitet werden, die Nutzer in ihre Workflows einspeisen, einschließlich besonderer Kategorien nach Art. 9 DSGVO. Die datenschutzrechtliche Einordnung hängt vom konkreten Einsatzfall ab.

Speicherort: EU (Azure Frankfurt) zum Bewertungsdatum belegt. Keine vertragliche Datenresidenz-Garantie für den Pro-Tarif dokumentiert; die Formulierung „currently hosted" lässt eine künftige Ausweitung offen.

Speicherort und Verarbeitungsort (getrennt zu lesen): Der Datenspeicherort ist EU-only (Azure Frankfurt); US im dataLocation-Array ergibt sich nicht aus dem Speicherort, sondern aus der Verarbeitung durch die in der Subprozessor-Liste gelisteten US-Subprozessoren (OpenAI, Anthropic, LangChain, n8n US Inc.). Speicherort (EU) und Verarbeitungsort (auch US) sind getrennt zu bewerten.

Drittlandtransfer: US-Subprozessoren (OpenAI, Anthropic, LangChain, n8n US Inc.) sind in der Infrastruktur-Kette vorhanden. Transfergrundlage: SCCs (Privacy Policy belegt); DPF „where applicable" als mögliche Zusatzgrundlage, aber DPF-Registrierung von n8n GmbH nicht verifiziert.

Besonderer Hinweis zu AI/LLM-Nodes: Wenn Nutzer eigene Modell-API-Keys konfigurieren, entsteht eine direkte Beziehung zwischen dem Nutzer und dem Modell-Anbieter. n8n ist in dieser Konstellation nicht Auftragsverarbeiter für die Modell-Verarbeitung. Für diese Datenflüsse sind separate DPAs mit den jeweiligen Modell-Anbietern erforderlich.

Zweckbindung (Art. 5 Abs. 1 lit. b): n8n verarbeitet Nutzerdaten für die Vertragserfüllung (Betrieb der Plattform) und für die Plattformverbesserung (Self-Serve Terms Section 4). Die „improve our Platform"-Klausel und ihre genaue Abgrenzung zum expliziten ML-Trainingsausschluss in Privacy Policy und AI Terms ist nicht vollständig dokumentiert. Der ML-Ausschluss ist klar; ob sonstige Formen der Datennutzung zur Plattformverbesserung (z.B. UX-Analyse, aggregierte Nutzungsmuster) unter die Lizenzklausel fallen, ist offen.

Datenminimierung (Art. 5 Abs. 1 lit. c): Als generische Automatisierungsplattform verarbeitet n8n Cloud genau die Daten, die Nutzer in Workflows einschleusen. Datenminimierung liegt in der Verantwortung der Nutzer-Workflows; n8n selbst erhebt keine zusätzlichen Nutzerdaten über das für den Plattformbetrieb Notwendige hinaus (soweit dokumentiert).

Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f): Verschlüsselung at rest (AES256, Azure SSE) und in transit (SSL/TLS) sind dokumentiert. Logische Mandantentrennung belegt. Jährliche Penetrationstests durch Dritte vorhanden. SOC 2 Type II als unabhängiges Testat. Credentials werden verschlüsselt gespeichert.

Speicherbegrenzung (Art. 5 Abs. 1 lit. e): 6-Monats-Löschfrist nach Konto-Deaktivierung belegt. Aufbewahrungsfrist während aktiver Nutzung für Execution-Logs und Workflow-Daten nicht explizit dokumentiert. Die Privacy Policy formuliert allgemein „no longer than necessary", ohne konkrete Fristen.

Typische Rechtsgrundlage für den Einsatz: Wenn eine Organisation n8n Cloud Pro für interne Geschäftsprozesse einsetzt (Prozessautomatisierung, Systemintegration), trägt die Vertragserfüllung (Art. 6 Abs. 1 lit. b) oder das berechtigte Interesse (Art. 6 Abs. 1 lit. f) die Verarbeitung, soweit keine besonders schutzwürdigen Daten betroffen sind.

Auftragsverarbeitung (Art. 28): n8n GmbH ist als Auftragsverarbeiter zu betrachten; das DPA ist abzuschließen (über DocuSign-Prozess). Die Self-Serve Terms binden das DPA automatisch ein. Detailklauseln (SCC-Module, TOM-Anlage) sind im öffentlich zugänglichen DPA nicht einsehbar.

Art. 9-Daten: Bei Workflows, die besondere Datenkategorien (Gesundheitsdaten, biometrische Daten, politische Überzeugungen o.ä.) verarbeiten, ist eine explizite Einwilligung (Art. 9 Abs. 2 lit. a) oder ein anderer Art.-9-Erlaubnisgrund erforderlich. Eine DSFA (Art. 35) ist in solchen Konstellationen wahrscheinlich obligatorisch.

Drittlandsicherheit: SCCs sind als Transfergrundlage für US-Subprozessoren in der Privacy Policy genannt. Der Nachweis der TIA (Transfer Impact Assessment) ist nicht öffentlich dokumentiert; laut Privacy Policy werden zusätzliche technische und organisatorische Maßnahmen angewandt.