Kurzantwort: Ob n8n DSGVO-konform läuft, hängt vom Einsatz und von der Einrichtung ab, nicht vom Tool allein. In der Cloud stellt n8n Standort (Frankfurt laut Preisseite), Auftragsverarbeitungsvertrag und Unterauftragnehmerliste bereit; beim Self-Hosting liegen Standort, Hoster-Vertrag, Verschlüsselung, Zugriff und Löschfristen bei dir.

Diese Seite richtet sich an Unternehmen und Selbstständige; alle Preise sind Anbieterangaben mit Stand-Datum. Die Tarifdaten von n8n haben den Stand 07.11.2026.

Grundlage sind die Dokumentation und die Rechtsseiten von n8n, die Vertragsunterlagen von Hetzner und Hostinger und der Wortlaut der DSGVO, abgerufen am 09.11.2026 (Belege Q1 bis Q28 in der Quellenliste). Eigene Messungen oder Audits gibt es nicht; wo wir einschätzen, steht „eigene Einschätzung [E]“. Wie wir vergleichen, steht unter So bewerten wir. n8n Cloud und Hostinger sind Partner und als Anzeige gekennzeichnet, Hetzner verlinken wir neutral (Werbung und Finanzierung).

Was n8n an Daten verarbeitet

n8n bewegt Daten zwischen Diensten. Personenbezogene Daten kommen über deine Workflows hinein, nicht von n8n selbst: Ein Formular-Webhook liefert Name und E-Mail-Adresse, ein CRM-Node liest Kontakte, ein KI-Node bekommt einen Text. Für den Datenschutz zählen vier Arten von Daten.

  • Workflow-Daten: die Inhalte, die durch die Nodes laufen. Sie stammen aus deinen Quellen und gehen an deine Ziele.
  • Ausführungsdaten (Execution-Logs): Zu jedem Lauf speichert n8n Verlauf und Daten, damit du Fehler suchen kannst. Die Dokumentation zur Schwärzung beschreibt sie als Ein- und Ausgabedaten jedes Nodes (Q21), also als die Inhalte deiner Workflows. Standardmäßig speichert n8n erfolgreiche wie fehlgeschlagene Läufe (Q8).
  • Zugangsdaten (Credentials): API-Schlüssel und Tokens für deine Dienste. n8n verschlüsselt sie vor dem Speichern in der Datenbank mit einem Schlüssel (Q9). Wer Schlüssel und Datenbank hat, kommt an die Zugänge und darüber an die Daten in den angebundenen Systemen.
  • Konto- und Nutzungsdaten: Konten der Personen, die n8n bedienen, und Telemetrie. Laut n8n-Datenschutzseite erfasst n8n pseudonyme Nutzungs- und Diagnosedaten, aber nicht die Daten, die durch deine Workflows laufen, und nicht die Inhalte der Zugangsdaten (Q2).

Nach eigener Einschätzung [E] entscheiden vor allem zwei Dinge über den Datenschutz: wie lange Ausführungsdaten liegen und wohin die Workflows Daten weitergeben. Der Name des Tools zählt weniger.

Wer ist wofür verantwortlich?

Bei n8n Cloud ist n8n laut eigener Angabe Auftragsverarbeiter (Processor) für die Daten, die du in die Plattform gibst, und Verantwortlicher (Controller) für eigene Zwecke wie Telemetrie. Beim Self-Hosting ist n8n für die Daten deiner Workflows weder das eine noch das andere, weil sie auf deiner Infrastruktur bleiben (Q2). Verantwortlich für diese Daten ist dann in aller Regel du beziehungsweise dein Unternehmen. Verarbeitet dein Hoster Daten in deinem Auftrag, ist er dein Auftragsverarbeiter (Q24).

Dazu kommt eine Kette: Jeder Dienst, an den ein Workflow Daten schickt, etwa ein CRM, ein Mail-Programm oder ein KI-Modell, ist ein eigener Empfänger. Rolle, Vertrag und Standort sind für jeden Dienst gesondert zu klären, unabhängig davon, wo n8n läuft. Art. 28 DSGVO verlangt für eine Auftragsverarbeitung einen Vertrag, der schriftlich abzufassen ist; ein elektronisches Format genügt (Q28).

n8n Cloud: Was die Unterlagen sagen

Standort. Die n8n-Preisseite nennt für gehostete Pläne Server in Frankfurt (Q1). Die Sicherheitsseite nennt Microsoft Azure als Hoster, Hardware und Daten in der EU und tägliche, verschlüsselte Backups in einem getrennten Bereich im selben Land (Q5). In der Unterauftragnehmerliste steht für Azure „EU (z. B. Deutschland, Schweden)“ (Q4). Die Angaben lauten nicht überall gleich; lass dir die Region deiner Instanz vor dem Abschluss bestätigen.

Vertrag. n8n bietet ein Data Processing Agreement an. Laut Dokumentation ist es Teil der Standard-Nutzungsbedingungen und enthält die EU-Standardvertragsklauseln (Q2); auf der Rechtsseite kannst du es online unterzeichnen oder ein Muster laden (Q3). Den Inhalt haben wir nicht ausgewertet. Lies ihn vor dem Abschluss.

Unterauftragnehmer. Die Liste (Stand 22.09.2026) führt unter anderem Microsoft Azure als Cloud-Dienstleister, n8n US Inc. und n8n UK Ltd. für Support und Betrieb sowie mehrere KI-Anbieter, von denen einige in den USA verarbeiten (Q4). Das betrifft vor allem die KI-Funktionen. Neue Unterauftragnehmer kündigt n8n laut Liste im Voraus an; du kannst die Meldungen abonnieren. Übermittlungen in Drittländer regelt Art. 44 DSGVO (Q28); ob die Standardvertragsklauseln im DPA für deinen Fall genügen, bewertest du oder deine Datenschutzfachperson.

Aufbewahrung. Gespeicherte Ausführungen hängen am Tarif: Log-Aufbewahrung 7 Tage bei Starter, 30 Tage bei Pro, unbegrenzt bei Enterprise, dazu höchstens 2.500, 25.000 beziehungsweise 50.000 gespeicherte Executions (Stand 07.11.2026, Q1). Erreichst du ein Limit, entfernt n8n die ältesten Ausführungen; die Workflows laufen weiter. Pro Workflow legst du in den Einstellungen fest, ob erfolgreiche und fehlgeschlagene Produktionsläufe gespeichert werden (Q7). Weniger speichern heißt weniger Daten, die du später löschen oder in einer Auskunft finden musst [E].

Telemetrie und KI. Telemetrie lässt sich laut Dokumentation bei n8n Cloud nicht abschalten. Zusätzlich zeichnet n8n in der Oberfläche Sitzungen auf, ohne Zugangsdaten, und löscht die Aufzeichnungen nach 21 Tagen (Q2). Der KI-Assistent ist in der Cloud standardmäßig aktiv; bei Nutzung sendet er Kontext zum geöffneten Workflow (Node-Typen, Datenschemas, Konfiguration, Code) an KI-Dienste. Nicht gesendet werden laut Dokumentation die Inhalte der Credential-Felder und die regulären Ausgabedaten der Workflows. Was du selbst in Node-Parameter oder in den Code eines Code-Nodes schreibst, kann dagegen zum übermittelten Kontext gehören: Zugangsdaten, Geheimnisse und personenbezogene Daten gehören nicht dorthin, sondern in Credential-Felder (Q2).

Zusatzfunktionen. Das instanzweite Erzwingen von 2FA, die Schwärzung von Ausführungsdaten (Redaction) und das Audit-Logging gehören laut Preisseite zu Enterprise (Q1), dessen Preis nicht öffentlich ist.

Löschung. Löschst du das Konto in der Cloud-Konsole, löscht n8n nach eigener Angabe Workflow-, Zugangs-, Nutzer- und Ausführungsdaten am selben Tag und aus Backups binnen 90 Tagen (Q2).

Self-Hosting: Was beim Betreiber liegt

Standort und Hoster-Vertrag. Bei Hetzner Cloud stehen Nürnberg, Falkenstein und Helsinki zur Wahl, daneben Ashburn, Hillsboro und Singapur (Q25). Wähle einen EU-Standort bewusst aus. Den AVV schließt du im Kundenkonto per Zustimmung ab; vorher gibst du an, welche Datenarten und welche Personengruppen betroffen sind. Individuelle Verträge erstellt Hetzner nicht, ein Muster und eine Liste der Unterauftragnehmer stehen online (Q24). Bei Hostinger liegen die VPS-Standorte in Frankreich, Deutschland, Litauen und Großbritannien sowie in Indien, Indonesien, Malaysia, den USA und Brasilien; einen direkten Standortwechsel gibt es nicht. Möglich ist eine Neuinstallation an einem anderen Standort; sie löscht alle Daten, Backups und Snapshots, eine externe Sicherung vorab ist deshalb nötig (Q27). Das Data Processing Addendum ist öffentlich, englisch, zuletzt am 29.09.2026 geändert; es nennt VPS-Dienste, führt Unterauftragnehmer in einem Anhang und verweist für Übermittlungen außerhalb des EWR auf die EU-Standardvertragsklauseln (Q26). Mehr zu beiden Hostern steht in n8n Hosting und im Vergleich Hetzner gegen Hostinger.

Pflichten laut n8n. Beim Self-Hosting bist du für das Löschen von Nutzerdaten zuständig; verlangt eine Person die Löschung, kannst du die betroffene Ausführung löschen (Q6). Die Dokumentation nennt außerdem einen Reverse Proxy für TLS, die Verschlüsselung ruhender Daten, einen Sicherheits-Audit, Vorsicht bei Community-Nodes, das Sperren von Nodes wie Execute Command oder SSH und für maximale Privatsphäre das Abschalten der Verbindungen zu n8n (Q6). Die folgende Anleitung setzt das um.

Wartung. Bei n8n Cloud übernimmt n8n Hosting und Wartung, beim Self-Hosting liegt beides bei dir und setzt technisches Wissen voraus (Q22). Die Kosten- und Aufwandsrechnung steht in n8n Cloud vs. Self-Hosted und im Kostenrechner.

Ist n8n sicher?

Das lässt sich nur mit Einschränkungen beantworten. Für die Cloud nennt n8n ein Sicherheitsprogramm, das sich an SOC 2 ausrichtet und jährlich von einer unabhängigen Stelle geprüft wird; den SOC-3-Bericht kann jeder laden, den SOC-2-Bericht erhalten Enterprise-Kunden (Q5). Beim eigenen Server hängt die Sicherheit an deiner Konfiguration. Wie bei jeder Software gibt es veröffentlichte Schwachstellen: Auf der Seite der Sicherheitshinweise im n8n-Repository standen am 09.11.2026 auf der ersten Seite zehn Einträge vom 28.10.2026, zwei davon mit Schweregrad High (Q23). Das ist kein Urteil über n8n, aber ein Grund für feste Update-Fenster und abgesicherte Zugänge.

Anleitung: Self-Hosting nach der n8n-Dokumentation absichern

Die Schritte gelten für eine selbst gehostete Instanz, die Beispiele im Docker-Compose-Format. Alle Variablen stammen aus der n8n-Dokumentation (Abruf 09.11.2026). Werte wie Fristen sind Beispiele, die richtigen Fristen legst du nach Zweck fest [E].

HTTPS über einen Reverse Proxy

Stelle einen Reverse Proxy vor n8n, der TLS übernimmt und Zertifikate erneuert. Die Dokumentation empfiehlt dafür zum Beispiel Traefik oder einen Network Load Balancer. Alternativ gibst du Zertifikat und Schlüssel mit N8N_SSL_CERT und N8N_SSL_KEY direkt an n8n; dann sorgst du selbst für die Erneuerung (Q11). Hinter einem Proxy setzt du N8N_WEBHOOK_URL und N8N_PROXY_HOPS=1 und gibst die Header X-Forwarded-For, X-Forwarded-Host und X-Forwarded-Proto weiter (Q12). Ältere Anleitungen nennen WEBHOOK_URL; die Dokumentation ersetzt sie ab n8n 2.35.0 durch N8N_WEBHOOK_URL. Die Verschlüsselung ruhender Daten liegt laut n8n beim Betreiber, etwa über verschlüsselte Partitionen oder die Datenträger-Verschlüsselung des Hosters (Q5).

environment:
  - N8N_WEBHOOK_URL=https://n8n.example.com/
  - N8N_PROXY_HOPS=1

Verschlüsselungsschlüssel festlegen und sichern

n8n erzeugt den Schlüssel für die Zugangsdaten beim ersten Start zufällig und legt ihn im Ordner ~/.n8n ab. Du kannst ihn vorher mit N8N_ENCRYPTION_KEY selbst vorgeben; im Queue Mode muss er bei allen Workern gleich sein (Q9). Ohne den Schlüssel sind Zugangsdaten aus einem Backup nicht lesbar (Q18). Lege eine Kopie getrennt vom Datenbank-Backup in einem Passwortmanager ab [E]. Ab n8n 3.0 ist laut Dokumentation die Schlüsselrotation standardmäßig aktiv: Ein austauschbarer Datenschlüssel liegt verschlüsselt in der Datenbank, geschützt durch den Instanzschlüssel. Vor dem Update auf 3.0 gehört ein vollständiges Datenbank-Backup dazu, und danach gehst du nicht auf ältere Versionen zurück, weil diese das neue Format nicht lesen (Q10).

Ausführungsdaten sparsam speichern und automatisch löschen

Eine wichtige Maßnahme für begrenzte Aufbewahrung ist, nur zu speichern, was du zur Fehlersuche brauchst (Q7, Q8): Mit EXECUTIONS_DATA_SAVE_ON_SUCCESS=none entfallen erfolgreiche Läufe, mit EXECUTIONS_DATA_SAVE_ON_ERROR=all bleiben fehlgeschlagene erhalten (beide stehen standardmäßig auf all). Dasselbe geht pro Workflow in den Workflow-Einstellungen.

Das Löschen alter Ausführungen (Pruning) ist standardmäßig an (EXECUTIONS_DATA_PRUNE=true). Es bereinigt abgeschlossene Ausführungen, die länger als EXECUTIONS_DATA_MAX_AGE Stunden zurückliegen (Standard 336 Stunden, also 14 Tage), und löscht von den ältesten her, sobald die Zahl EXECUTIONS_DATA_PRUNE_MAX_COUNT (Standard 10.000) überschritten ist (Q7, Q8). Das Löschen läuft nicht sofort: n8n markiert Ausführungen zuerst (Standard: stündlich) und entfernt sie später endgültig (Standard: alle 15 Minuten), mit einem Sicherheitsabstand von EXECUTIONS_DATA_HARD_DELETE_BUFFER Stunden (Standard 1). Eine feste Höchstfrist lässt sich daraus nicht ableiten. Ausführungen mit Status new, running oder waiting sind nicht betroffen, Ausführungen mit Tags oder Bewertungen löscht das Pruning nie. Bei SQLite gibt n8n den Speicherplatz gelöschter Daten nicht frei, sondern verwendet ihn wieder; DB_SQLITE_VACUUM_ON_STARTUP räumt auf. n8n empfiehlt Betreibern, das Pruning über EXECUTIONS_DATA_MAX_AGE einzurichten, damit Löschanfragen wenig Aufwand machen (Q6).

environment:
  - EXECUTIONS_DATA_SAVE_ON_SUCCESS=none
  - EXECUTIONS_DATA_SAVE_ON_ERROR=all
  - EXECUTIONS_DATA_PRUNE=true
  - EXECUTIONS_DATA_MAX_AGE=168

Logging-Umfang begrenzen

n8n schreibt Logs auf die Konsole und optional in Dateien. Die Stufe steuert N8N_LOG_LEVEL mit error, warn, info (Standard) und debug, der ausführlichsten Stufe (Q13). Bleib im Normalbetrieb bei info und nutze debug nur zur Fehlersuche [E]. Bei Dateiausgabe (N8N_LOG_OUTPUT=file) begrenzen N8N_LOG_FILE_SIZE_MAX (Standard 16 MB) und N8N_LOG_FILE_COUNT_MAX (Standard 100) den Umfang. CODE_ENABLE_STDOUT ist standardmäßig aus; schaltest du es ein, landet die Ausgabe von console.log im Code-Node im Log, und dorthin gehören keine Personendaten [E]. Container-Logs und Zugriffslogs des Reverse Proxys enthalten oft IP-Adressen und brauchen eine eigene Löschfrist [E].

Zugriff regeln: Konten, 2FA, öffentliche API

Lege für jede Person ein eigenes Konto an. Die Community Edition kennt weder Projects noch das Teilen von Workflows und Zugangsdaten; Zugriff haben dort nur der Owner und die Person, die sie angelegt hat (Q22). Aktiviere 2FA mit einer Authenticator-App unter „Settings > Profile & preferences > Enable 2FA“ und bewahre die Wiederherstellungscodes auf. Erzwingen lässt sich 2FA für alle Nutzer erst mit Business- oder Enterprise-Lizenz, in der Oberfläche unter „Settings > Policies“ oder per N8N_MFA_ENFORCED_ENABLED zusammen mit N8N_SECURITY_POLICY_MANAGED_BY_ENV=true (Q14). Weitere dokumentierte Schalter (Q15): N8N_INVITE_LINKS_EMAIL_ONLY=true liefert Einladungslinks nur per E-Mail (SMTP nötig), N8N_PUBLIC_API_DISABLED=true schaltet die öffentliche API ab, falls du sie nicht nutzt, und N8N_BLOCK_ENV_ACCESS_IN_NODE=true verhindert, dass Ausdrücke und der Code-Node Umgebungsvariablen lesen.

Webhooks absichern

Webhook-URLs sind von außen erreichbar, damit Dienste deine Workflows auslösen können. Das Webhook-Node bietet Basic auth, Header auth, JWT auth und n8n User Auth (OAuth2), dazu eine IP(s) Allowlist und die Option „Only Run If“ (Q16). Lege für jeden Webhook, der nicht öffentlich sein muss, eine Authentifizierung fest. Den Rest prüft der Audit im letzten Schritt: Er listet ungeschützte Webhooks auf.

Telemetrie und Verbindungen zu n8n steuern

Eine selbst gehostete Instanz sendet standardmäßig Telemetrie, fragt nach neuen Versionen und ruft Vorlagen ab (Q17). Abschalten lässt sich das mit drei Variablen. Für Telemetrie bleibt n8n laut eigener Datenschutzseite selbst Verantwortlicher (Q2); die Entscheidung gehört in deine Datenschutzdokumentation [E]. Zwei Folgen nennt die Dokumentation: Ohne Diagnosedaten lässt sich „Ask AI“ im Code-Node nicht aktivieren, und ohne Versionsmeldungen fehlen die Hinweise auf Sicherheits-Updates (Q9). Wer abschaltet, verfolgt Release Notes und Sicherheitshinweise selbst. Für eine vollständige Isolation nennt die Seite „Isolate n8n“ zusätzlich drei Diagnose-Konfigurationen, die leer bleiben müssen. Bei bezahlter Lizenz melden Instanzen weiterhin Nutzungszahlen und die Lizenzkennung (Q2).

environment:
  - N8N_DIAGNOSTICS_ENABLED=false
  - N8N_VERSION_NOTIFICATIONS_ENABLED=false
  - N8N_TEMPLATES_ENABLED=false

Backups mit Löschfrist und Verschlüsselung

Ein vollständiges Backup umfasst den Ordner .n8n mit der Datei config und dem Schlüssel, bei PostgreSQL zusätzlich die Datenbank, dazu externen Speicher und eigene Nodes (Q18). Die CLI-Exporte n8n export:workflow --backup und n8n export:credentials --backup sichern nur Workflows und Zugangsdaten, nicht Nutzer, Ausführungsverlauf und Einstellungen. Die Option --decrypted schreibt Zugangsdaten im Klartext: Nutze sie nur, wenn es nicht anders geht, und lösche die Datei sofort nach dem Import. Die Dokumentation beschreibt den Umfang der Sicherung, nicht ihre Verschlüsselung. Verschlüssele das Ziel selbst, etwa mit einem verschlüsselten Datenträger oder Archiv [E]. Ein Datenbank-Backup enthält auch Ausführungsdaten; lege deshalb fest, wie lange Backups liegen, sonst unterläuft die Sicherung dein Pruning [E]. Übe die Wiederherstellung einmal.

Updates einspielen und Audit laufen lassen

n8n empfiehlt, mindestens einmal im Monat zu aktualisieren, vorher die Release Notes auf Breaking Changes zu lesen und das Update zuerst in einer Testumgebung auszuprobieren (Q19); vorher gehört ein vollständiges Backup dazu (Q18). Mit n8n audit erzeugst du Berichte zu Zugangsdaten, Datenbank, Dateisystem, Nodes und Instanz, darunter ungeschützte Webhooks, fehlende Sicherheitseinstellungen und veraltete Versionen (Q20). Wiederhole den Audit nach größeren Änderungen.

Checkliste: Verarbeitungsverzeichnis und Datenschutzerklärung

Die Punkte sind eine allgemeine Orientierung entlang der DSGVO-Artikel (Q28) und keine vollständige Prüfung. Was für dich gilt, hängt vom Einzelfall ab.

Verarbeitungsverzeichnis (Art. 30):

  • Führe eine Tätigkeit je Zweck auf, zum Beispiel „Kontaktanfragen aus dem Formular ins CRM übertragen“. n8n erscheint dort als eingesetztes Werkzeug, nicht als eigene Zeile für alles.
  • Je Tätigkeit nennt Art. 30 Abs. 1 unter anderem Zwecke, Kategorien betroffener Personen und Daten, Empfänger, Übermittlungen in Drittländer, Löschfristen und eine Beschreibung der technischen und organisatorischen Maßnahmen.
  • Die Ausnahme für Betriebe unter 250 Beschäftigten gilt nach Art. 30 Abs. 5 nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt. Dauerhaft laufende Workflows sprechen dagegen, dass sie greift [E]; die Einordnung ist eine Einzelfallfrage.

Verträge (Art. 28):

  • Auftragsverarbeitungsvertrag mit n8n (Cloud) oder mit dem Hoster (Self-Hosting) ablegen, dazu die Unterauftragnehmerliste mit Datum.
  • Für jeden angebundenen Dienst klären, ob er in deinem Auftrag Daten verarbeitet. Bei KI-Modellen gehören Anbieter, Vertrag und Standort dazu.
  • Änderungen verfolgen: n8n bietet Meldungen zu neuen Unterauftragnehmern, Hostinger führt sie in einem Anhang, Hetzner in einem PDF.

Datenschutzerklärung (Art. 13):

  • Empfänger oder Kategorien von Empfängern nennen, also auch Dienstleister, über die Daten laufen.
  • Übermittlungen in Drittländer und die dafür genutzten Garantien angeben.
  • Speicherdauer oder die Kriterien dafür nennen. Sie müssen zu dem passen, was du bei Pruning und Backups tatsächlich eingestellt hast.
  • Keine Aussagen wie „alle Daten bleiben in Deutschland“, solange Support-Zugriffe, KI-Dienste oder Telemetrie außerhalb liegen können [E].

Sicherheit, Löschung und Pannen (Art. 32, 17, 33):

  • Die Schritte der Anleitung als technische und organisatorische Maßnahmen dokumentieren, einschließlich Backup-Test und Update-Rhythmus.
  • Ein Verfahren für Löschwünsche festlegen: Wo stecken Daten einer Person in Ausführungsdaten, Backups und angebundenen Systemen?
  • Zuständigkeit für Datenpannen klären. Art. 33 verlangt in der Regel eine Meldung an die Aufsichtsbehörde binnen 72 Stunden, nachdem die Verletzung bekannt wurde, wenn sie voraussichtlich ein Risiko für die Betroffenen bedeutet.

Besondere Kategorien von Daten, etwa Gesundheitsdaten, behandelt diese Seite nicht. Dafür gehört vor dem Start eine Datenschutzfachperson dazu.

Cloud und Self-Hosting im Vergleich

Die Tabelle stellt n8n Cloud und zwei Server-Anbieter nach Datenschutzkriterien nebeneinander. Sie gibt Anbieterangaben wieder und bewertet keine Rechtmäßigkeit. Preise stehen unter n8n Kosten.

n8n Cloud und Self-Hosting nach Datenschutzkriterien
n8n Cloud Self-Hosting bei Hostinger Self-Hosting bei Hetzner
Rolle des Anbieters n8n: Auftragsverarbeiter für deine Daten, Verantwortlicher für eigene Zwecke wie Telemetrie.Hostinger: Auftragsverarbeiter laut DPA, soweit er Daten in deinem Auftrag verarbeitet. n8n: weder Verantwortlicher noch Auftragsverarbeiter für Workflow-Daten.Hetzner: Auftragsverarbeiter laut AVV. n8n: weder Verantwortlicher noch Auftragsverarbeiter für Workflow-Daten.
Vertragsunterlage Data Processing Agreement von n8n mit EU-Standardvertragsklauseln; online unterzeichnen oder Muster laden.Data Processing Addendum (englisch, zuletzt geändert 29.09.2026), nennt VPS-Dienste.AVV im Kundenkonto per Zustimmung; Muster als PDF (deutsch und englisch).
Standort der Daten Frankfurt laut Preisseite; Sicherheitsseite: EU; Unterauftragnehmerliste: EU, z. B. Deutschland oder Schweden.VPS: Frankreich, Deutschland, Litauen, Großbritannien, Indien, Indonesien, Malaysia, USA, Brasilien. Kein direkter Wechsel; Neuinstallation löscht Daten, Backups und Snapshots.Nürnberg, Falkenstein, Helsinki; die Liste enthält auch Ashburn, Hillsboro und Singapur.
Unterauftragnehmer Liste bei n8n (Stand 22.09.2026): u. a. Azure, n8n US Inc., n8n UK Ltd., KI-Anbieter teils in den USA.Anhang 3 des DPA; bei einem neuen Unterauftragnehmer kann der Kunde laut DPA kündigen.Übersicht als PDF, laut Hetzner-FAQ online abrufbar.
Aufbewahrung der Ausführungsdaten Log-Aufbewahrung 7 Tage (Starter), 30 Tage (Pro), unbegrenzt (Enterprise); Speichern pro Workflow einstellbar.Du legst es fest: Pruning standardmäßig an, Standard 336 Stunden und 10.000 Ausführungen.Du legst es fest: Pruning standardmäßig an, Standard 336 Stunden und 10.000 Ausführungen.
Verschlüsselung Laut n8n Verschlüsselung bei der Übertragung und im Ruhezustand (Azure, AES256), Backups verschlüsselt.Bei dir: Reverse Proxy für TLS, Verschlüsselung der Daten auf dem Server, Schlüssel für Zugangsdaten.Bei dir: Reverse Proxy für TLS, Verschlüsselung der Daten auf dem Server, Schlüssel für Zugangsdaten.
Telemetrie Laut Doku nicht abschaltbar; Sitzungsaufzeichnung 21 Tage.Standardmäßig an, per Variable abschaltbar; Lizenzzähler bei bezahlter Lizenz bleiben.Standardmäßig an, per Variable abschaltbar; Lizenzzähler bei bezahlter Lizenz bleiben.
2FA erzwingen, Redaction Enterprise.2FA erzwingen: Business oder Enterprise. Redaction: Enterprise.2FA erzwingen: Business oder Enterprise. Redaction: Enterprise.
Löschung Konto löschen: Daten am selben Tag, aus Backups binnen 90 Tagen (laut n8n).Du: einzelne Ausführungen löschen, Pruning, Backups bedenken.Du: einzelne Ausführungen löschen, Pruning, Backups bedenken.
Aufwand bei dir Verträge, Unterauftragnehmer, Einstellungen und empfangende Dienste bewerten.Zusätzlich Server, Updates, Backups, Verschlüsselung und Zugriff.Zusätzlich Server, Updates, Backups, Verschlüsselung und Zugriff.
Partnerlink Ja (Anzeige)Ja (Anzeige)Nein
Zum Anbieter Anzeigen8n Cloud ansehen (öffnet in neuem Tab) AnzeigeHostinger ansehen (öffnet in neuem Tab) Hetzner ansehen (öffnet in neuem Tab) kein Partnerlink
Quelle: Abruf 09.11.2026: n8n.io, docs.n8n.io, docs.hetzner.com, hostinger.com; Tarifdaten Stand 07.11.2026. Preise laut Anbieterseite, Stand 07.11.2026; Anbieter weisen Umsatzsteuer unterschiedlich aus, für Verbraucher kann sie hinzukommen — maßgeblich ist der Endpreis im Checkout.

Die Angaben können sich ändern: Die Unterauftragnehmerliste hat ein Änderungsdatum, Hostinger ändert Standorte ohne Vorankündigung (Q27), und die Tarifdaten von n8n haben den Stand 07.11.2026. Maßgeblich ist, was der Anbieter beim Abschluss anzeigt.

Für wen passt was?

n8n Cloud passt zu dir, wenn …

  • niemand Server, Updates und Verschlüsselung betreuen kann oder soll,
  • ein Standort in Frankfurt laut Preisseite und ein bereitgestelltes DPA mit Unterauftragnehmerliste deine Vorgaben erfüllen,
  • du die Aufbewahrung über Tarif und Workflow-Einstellungen steuern willst und 7 oder 30 Tage Log-Aufbewahrung vertretbar sind,
  • die nicht abschaltbare Telemetrie und Unterauftragnehmer außerhalb der EU für deinen Einsatz kein Hindernis sind.

n8n Cloud passt eher nicht, wenn …

  • Kunde, Behörde oder interne Richtlinie einen bestimmten Standort oder keine Unterauftragnehmer außerhalb der EU verlangen,
  • du 2FA-Erzwingung, Schwärzung von Ausführungsdaten oder Audit-Logging brauchst, ohne Enterprise zu buchen,
  • du Telemetrie und Verbindungen zu n8n selbst abschalten willst.

Self-Hosting passt zu dir, wenn …

  • Standort, Löschfristen, Telemetrie und Zugriff in deiner Hand liegen sollen,
  • jemand Linux, Docker und einen Reverse Proxy beherrscht und eine feste Update- und Backup-Routine eingeplant ist,
  • der Hoster-AVV genügt: bei Hetzner direkt im Kundenkonto und mit Standort in Deutschland oder Finnland, bei Hostinger als öffentliches DPA mit Standort in Frankreich, Deutschland oder Litauen und einer Vorlage für die n8n-Installation.

Self-Hosting passt eher nicht, wenn …

  • niemand zuständig ist, wenn Updates oder Sicherheitshinweise anstehen,
  • ein EU-Server allein die Anforderungen erfüllen soll: Verträge, Löschfristen und Dokumentation bleiben deine Aufgabe,
  • du Funktionen brauchst, die erst Business oder Enterprise bietet, etwa erzwungene 2FA (ab Business) oder Schwärzung der Ausführungsdaten (Enterprise).

Fazit: Empfehlung je Anwendungsfall

Hetzner verlinken wir ohne Provision: Hetzner Cloud (kein Partnerlink). Für n8n Cloud und Hostinger können wir eine Provision erhalten, wenn du über unsere Links abschließt; für dich ändert sich der Preis nicht. Wie sich die Seite finanziert, erklärt Werbung und Finanzierung.

Häufige Fragen

Ist n8n DSGVO-konform?

Für das Tool allein lässt sich das nicht mit Ja oder Nein beantworten. Es kommt auf deine Daten, deine Verträge und die Einrichtung an. Bei n8n Cloud stellt n8n ein Data Processing Agreement bereit, beim Self-Hosting sind Standort, Hoster-Vertrag, Löschfristen und Zugriff deine Aufgabe. Das ist keine Rechtsberatung; bei sensiblen Daten gehört eine Datenschutzfachperson dazu.

Ist n8n Cloud DSGVO-konform und wo liegen die Daten?

Die n8n-Preisseite nennt für gehostete Pläne Server in Frankfurt (Abruf 09.11.2026). n8n bietet ein Data Processing Agreement mit Standardvertragsklauseln an und führt seine Unterauftragnehmer in einer Liste, in der auch Anbieter mit Verarbeitung in den USA stehen, vor allem für KI-Funktionen. Ob das für deinen Einsatz genügt, bewertest du; das ist keine Rechtsberatung.

Brauche ich einen Auftragsverarbeitungsvertrag mit n8n?

Bei n8n Cloud verarbeitet n8n Daten in deinem Auftrag, laut n8n als Auftragsverarbeiter. Ein Vertrag nach Art. 28 DSGVO ist dann in der Regel nötig, und n8n stellt dafür das Data Processing Agreement bereit. Beim Self-Hosting ist n8n laut eigener Angabe für deine Workflow-Daten weder Verantwortlicher noch Auftragsverarbeiter. Den Vertrag brauchst du dann mit dem Hoster, sofern er in deinem Auftrag Daten verarbeitet.

Ist n8n sicher?

n8n nennt für die Cloud ein an SOC 2 ausgerichtetes Sicherheitsprogramm und stellt einen SOC-3-Bericht bereit. Beim Self-Hosting hängt die Sicherheit an Konfiguration und Updates. Auf der GitHub-Seite für Sicherheitshinweise standen am 09.11.2026 auf der ersten Seite zehn Hinweise vom 28.10.2026, zwei davon mit Schweregrad High. Regelmäßige Updates, HTTPS, 2FA und abgesicherte Webhooks gehören deshalb zum Betrieb.

Sendet selbst gehostetes n8n Daten an n8n?

Standardmäßig ja, in begrenztem Umfang: Telemetrie, Abfragen nach neuen Versionen und Abrufe von Vorlagen. Laut n8n enthalten sie keine Workflow-Daten und keine Inhalte von Zugangsdaten. Mit drei Umgebungsvariablen lässt sich das abschalten. Bei einer bezahlten Lizenz melden Instanzen weiterhin Nutzungszahlen und die Lizenzkennung.

Wie lange speichert n8n Ausführungsdaten?

Beim Self-Hosting ist die Bereinigung alter Ausführungen standardmäßig aktiv: Abgeschlossene Ausführungen kommen nach 336 Stunden (14 Tage) oder bei mehr als 10.000 Ausführungen zum Löschen und werden mit Verzögerung entfernt. Bei n8n Cloud hängt es vom Tarif ab: Log-Aufbewahrung 7 Tage bei Starter, 30 Tage bei Pro, unbegrenzt bei Enterprise (Stand 07.11.2026).

Wie lösche ich personenbezogene Daten in n8n?

Beim Self-Hosting löschst du laut n8n die betroffene Ausführung; automatisches Löschen nach Alter verringert den Aufwand. Denk an Backups, die dieselben Daten enthalten. Bei n8n Cloud löscht n8n nach eigener Angabe die Daten eines gelöschten Kontos am selben Tag und aus Backups binnen 90 Tagen.

Sind die KI-Funktionen von n8n DSGVO-tauglich?

Eine pauschale Antwort gibt es nicht. Der n8n-Assistent sendet laut Dokumentation Kontext zum geöffneten Workflow an KI-Anbieter aus der Unterauftragnehmerliste, darunter Angaben in Node-Parametern und im Code; Inhalte der Credential-Felder und die Ausgabedaten der Workflows gehören nicht dazu. KI-Nodes in deinen Workflows schicken dagegen die Daten, die du ihnen gibst, an den jeweiligen Modellanbieter. Dafür brauchst du dessen Vertrag und eine Standortprüfung.

Quellen

Alle Seiten wurden am 09.11.2026 abgerufen. Die Tarifdaten haben den Stand 07.11.2026. Rechts-, Preis- und Funktionsangaben der Anbieter können sich ändern; maßgeblich sind deren Unterlagen beim Abschluss.

  1. n8n, Preisseite: Standort der gehosteten Pläne, Log-Aufbewahrung, Funktionen je Tarif: n8n.io/pricing/. Abruf 09.11.2026.
  2. n8n-Dokumentation, Datenschutz: Rollen, Data Processing Agreement, Telemetrie, Aufbewahrung und Löschung (englischsprachig): docs.n8n.io/privacy-and-security/privacy. Abruf 09.11.2026.
  3. n8n, Data Processing Agreement (englischsprachig): n8n.io/legal/data-processing-agreement/. Abruf 09.11.2026.
  4. n8n, Unterauftragnehmer (englischsprachig, Stand der Liste 22.09.2026): n8n.io/legal/sub-processors/. Abruf 09.11.2026.
  5. n8n, Sicherheitsseite: Hosting, Verschlüsselung, SOC-Berichte (englischsprachig): n8n.io/legal/security/. Abruf 09.11.2026.
  6. n8n-Dokumentation, Datenschutz und Sicherheit für Self-Hosting-Nutzer (englischsprachig): docs.n8n.io/privacy-and-security/what-you-can-do. Abruf 09.11.2026.
  7. n8n-Dokumentation, Ausführungsdaten verwalten und Workflow-Einstellungen (englischsprachig): docs.n8n.io/deploy/host-n8n/configure-n8n/scaling/manage-execution-data, docs.n8n.io/build/manage-workflows/configure-workflow-settings. Abruf 09.11.2026.
  8. n8n-Dokumentation, Umgebungsvariablen für Ausführungen (englischsprachig): docs.n8n.io/deploy/host-n8n/configure-n8n/basic-configuration/use-environment-variables/executions. Abruf 09.11.2026.
  9. n8n-Dokumentation, Verschlüsselungsschlüssel und Deployment-Variablen (englischsprachig): docs.n8n.io/deploy/host-n8n/configure-n8n/basic-configuration/configuration-examples/set-a-custom-encryption-key, docs.n8n.io/deploy/host-n8n/configure-n8n/basic-configuration/use-environment-variables/deployment. Abruf 09.11.2026.
  10. n8n-Dokumentation, Schlüsselrotation (englischsprachig): docs.n8n.io/deploy/host-n8n/configure-n8n/security/rotate-encryption-keys. Abruf 09.11.2026.
  11. n8n-Dokumentation, SSL einrichten (englischsprachig): docs.n8n.io/deploy/host-n8n/configure-n8n/security/set-up-ssl. Abruf 09.11.2026.
  12. n8n-Dokumentation, Webhook-URLs hinter einem Reverse Proxy (englischsprachig): docs.n8n.io/deploy/host-n8n/configure-n8n/basic-configuration/configuration-examples/configure-webhook-urls-with-reverse-proxy. Abruf 09.11.2026.
  13. n8n-Dokumentation, Logging und Log-Variablen (englischsprachig): docs.n8n.io/deploy/host-n8n/keep-n8n-running/set-up-logging, docs.n8n.io/deploy/host-n8n/configure-n8n/basic-configuration/use-environment-variables/logs. Abruf 09.11.2026.
  14. n8n-Dokumentation, Zwei-Faktor-Authentifizierung und Sicherheitsrichtlinien (englischsprachig): docs.n8n.io/administer/manage-users-and-access/verify-user-identity/require-two-factor-auth, docs.n8n.io/deploy/host-n8n/configure-n8n/security/manage-security-policies. Abruf 09.11.2026.
  15. n8n-Dokumentation, Sicherheits-Variablen, öffentliche API und E-Mail-Verifizierung (englischsprachig): docs.n8n.io/deploy/host-n8n/configure-n8n/basic-configuration/use-environment-variables/security, docs.n8n.io/deploy/host-n8n/configure-n8n/security/disable-the-public-api, docs.n8n.io/deploy/host-n8n/configure-n8n/security/verify-user-emails. Abruf 09.11.2026.
  16. n8n-Dokumentation, Webhook-Node und Authentifizierung (englischsprachig): docs.n8n.io/integrations/builtin/core-nodes/n8n-nodes-base.webhook. Abruf 09.11.2026.
  17. n8n-Dokumentation, Telemetrie steuern und n8n isolieren (englischsprachig): docs.n8n.io/deploy/host-n8n/configure-n8n/security/control-telemetry, docs.n8n.io/deploy/host-n8n/configure-n8n/basic-configuration/configuration-examples/isolate-n8n. Abruf 09.11.2026.
  18. n8n-Dokumentation, Sichern und Wiederherstellen (englischsprachig): docs.n8n.io/deploy/host-n8n/keep-n8n-running/backup-and-restore. Abruf 09.11.2026.
  19. n8n-Dokumentation, n8n aktualisieren (englischsprachig): docs.n8n.io/deploy/host-n8n/keep-n8n-running/update-n8n. Abruf 09.11.2026.
  20. n8n-Dokumentation, Sicherheits-Audit (englischsprachig): docs.n8n.io/deploy/host-n8n/configure-n8n/security/run-security-audits. Abruf 09.11.2026.
  21. n8n-Dokumentation, Ausführungsdaten schwärzen (Redaction, englischsprachig): docs.n8n.io/deploy/host-n8n/configure-n8n/security/redact-execution-data. Abruf 09.11.2026.
  22. n8n-Dokumentation, Editionen im Vergleich und Wahl zwischen Cloud und Self-Hosting (englischsprachig): docs.n8n.io/deploy/host-n8n/community-edition-features, docs.n8n.io/choose-how-to-use-n8n. Abruf 09.11.2026.
  23. GitHub, Sicherheitshinweise des n8n-Repositories (englischsprachig): github.com/n8n-io/n8n/security/advisories. Abruf 09.11.2026.
  24. Hetzner-Dokumentation, Datenschutz-FAQ mit Auftragsverarbeitungsvertrag (AVV, englischsprachig): docs.hetzner.com/general/general-terms-and-conditions/data-privacy-faq/. Abruf 09.11.2026.
  25. Hetzner-Dokumentation, Standorte der Cloud-Server (englischsprachig): docs.hetzner.com/cloud/general/locations/. Abruf 09.11.2026.
  26. Hostinger, Data Processing Addendum (englischsprachig, zuletzt geändert 29.09.2026): www.hostinger.com/legal/dpa. Abruf 09.11.2026.
  27. Hostinger, Serverstandorte und Standortwechsel eines VPS (englischsprachige Support-Seiten): www.hostinger.com/support/1583267-where-are-hostinger-servers-located/, www.hostinger.com/support/10289743-how-to-transfer-your-vps-to-a-different-location-in-hostinger/. Abruf 09.11.2026.
  28. DSGVO-Volltext, Art. 13, 17, 28, 30, 32, 33 und 44 (Wortlaut der Verordnung (EU) 2016/679): dsgvo-gesetz.de/art-13-dsgvo/, dsgvo-gesetz.de/art-17-dsgvo/, dsgvo-gesetz.de/art-28-dsgvo/, dsgvo-gesetz.de/art-30-dsgvo/, dsgvo-gesetz.de/art-32-dsgvo/, dsgvo-gesetz.de/art-33-dsgvo/, dsgvo-gesetz.de/art-44-dsgvo/. Abruf 09.11.2026.