Kurzantwort: Ob ein Automatisierungstool zu deinen Daten passt, entscheiden Datenstandort, Auftragsverarbeitungsvertrag (AVV), Unterauftragnehmer, Drittlandübermittlung, Löschfristen und Zugriff auf Zugangsdaten, nicht ein Etikett wie „DSGVO-konform“. Laut Anbieterangaben hostet Zapier in den USA, Make und n8n Cloud bieten einen EU-Standort, und n8n oder Activepieces auf eigenem Server liegen in deiner Hand; das ist allgemeine Information und keine Rechtsberatung.

Diese Seite richtet sich an Unternehmen und Selbstständige; alle Preise sind Anbieterangaben mit Stand-Datum. Die Preisdaten für Make, n8n und Zapier haben den Stand 07.11.2026. Alle Angaben zu Datenschutz und Verträgen stammen von Anbieterseiten und aus Dokumentation (abgerufen am 09.11.2026); die Belege sind mit Q1 bis Q37 markiert und stehen in der Quellenliste. Eine Gesamtübersicht der Zapier-Alternativen steht unter Zapier Alternative.

Was „DSGVO-konform“ bei Automatisierungstools bedeutet

Ein Tool ist nicht „konform“, ein Einsatz kann es sein. Du entscheidest als Verantwortliche oder Verantwortlicher, welche personenbezogenen Daten durch einen Workflow laufen. Der Anbieter ist dann in der Regel Auftragsverarbeiter; Zapier beschreibt diese Rollenverteilung auf seiner Datenschutzseite genauso (Q1). Für diesen Fall verlangt Art. 28 DSGVO einen Vertrag mit festen Inhalten (Q33).

Dazu kommt eine Besonderheit von Automatisierung: Ein Workflow verbindet mehrere Dienste, zum Beispiel ein Formular, ein CRM und ein KI-Modell. Jeder dieser Dienste hat eigenen Standort, eigene Unterauftragnehmer und eigene Verträge. Das Automatisierungstool ist nur ein Glied der Kette, und seine Region sagt nichts über die der angebundenen Dienste.

Zwei Kurzschlüsse helfen nicht weiter. „EU-Standort, also in Ordnung“ übersieht Verträge, Unterauftragnehmer und Fristen. „US-Anbieter, also ausgeschlossen“ übersieht, dass Anbieter ihre Übermittlung auf Grundlagen wie das EU-US Data Privacy Framework (DPF) und Standardvertragsklauseln stützen (Q1, Q2); ob die im Einzelfall tragen, ist eine Rechtsfrage. Nützlich sind Prüfkriterien, die du mit der Fachperson abgleichst.

Die sieben Prüfkriterien

  1. Datenstandort und Region: Wo liegen Daten, Logs und Backups, und ist eine EU-Region wählbar? Kann sie später gewechselt werden?
  2. AVV (englisch DPA): Gibt es einen Auftragsverarbeitungsvertrag zum Abschluss, und wo steht er? Die Quelle ist jeweils die Anbieterseite.
  3. Unterauftragnehmer: Gibt es eine öffentliche Liste mit Standorten, und wie kündigt der Anbieter Änderungen an?
  4. Drittlandübermittlung: Sitzt der Anbieter oder ein Unterauftragnehmer außerhalb der EU, und auf welche Grundlage stützt er die Übermittlung? Hier zählt nur, was der Anbieter heute selbst angibt.
  5. Löschkonzept und Aufbewahrung: Wie lange bleiben Ausführungsprotokolle und Daten, und wer löscht nach Vertragsende?
  6. Zugriff auf Zugangsdaten: Wie werden API-Schlüssel und Anmeldungen gespeichert, und wer im Team darf sie nutzen?
  7. Self-Hosting als Datenhoheit: Kannst du die Software auf eigener Infrastruktur betreiben, und welche Pflichten kommen damit zu dir?

Vergleich nach Prüfkriterien

Die Tabelle stellt Zapier, vier Alternativen und die zwei Betriebsarten von n8n nebeneinander. „Nicht ausgewertet“ heißt: Die Angabe haben wir auf den abgerufenen Seiten nicht gelesen; das ist keine Aussage über den Anbieter. Die Zeile „Offene Punkte“ ist eine eigene Einschätzung.

Datenschutz-Prüfkriterien: Zapier, Make, n8n, Activepieces und Power Automate
Zapier (Ausgangspunkt) Make n8n Cloud n8n Self-Hosted Activepieces (Self-Hosted) Microsoft Power Automate
Datenstandort und Region AWS-Server in den USA; keine reine EU-Speicherung (Q1)EU oder US, bei der Organisation wählbar, danach nicht änderbar (Q6). Laut Unterauftragnehmer-Liste Hosting bei AWS: Irland, bei Enterprise Deutschland (Q11)Frankfurt laut Preisseite (Q14); Hosting bei Microsoft Azure, Hardware und Daten in der EU (Q16)Dein Server. Beispiele: Hetzner in Nürnberg, Falkenstein, Helsinki (Q28); Hostinger-VPS in Frankreich, Deutschland, Litauen, Großbritannien (Q29)Dein Server. Die Activepieces-Cloud nennt Frankfurt, andere Region auf Anfrage (Q21)Region der Umgebung wählbar; Europa umfasst EU- und EFTA-Staaten (Q24). Ruhende Kundendaten liegen in der gewählten Region, dokumentierte Ausnahmen u. a. bei globalen Diensten wie Entra ID und CDN (Q25)
AVV / DPA (Quelle in Klammern) DPA mit Standardvertragsklauseln; Zapier unterschreibt keine fremden DPAs (Q1, Q2)DPA als PDF, Teil der Vertragsdokumente auf der Nutzungsbedingungen-Seite (Q8, Q10)AVV vorab unterzeichnet zum Gegenzeichnen (Q15)Mit dem Hoster: Hetzner über das Kundenkonto, individuelle AVV erstellt Hetzner nicht (Q27); Hostinger veröffentlicht ein DPA (Q30)Mit dem Hoster (siehe n8n Self-Hosted). Cloud: DPA auf Anfrage (Q21)Microsoft Products and Services Data Protection Addendum (Q26)
Unterauftragnehmer-Liste Eigene Seite, u. a. AWS, Google, Microsoft, OpenAI, Anthropic, jeweils Standort USA. Änderungen 14 Tage vorher angekündigt (Q2, Q3)PDF ab 12.12.2025: AWS-Hosting, weitere Dienste, mehrere Anbieter mit Sitz in den USA, KI-Anbieter mit Standort u. a. USA (Q11)Öffentliche Liste (Stand 22.09.2026): Microsoft Azure für die Cloud mit Verarbeitung in der EU (z. B. Deutschland, Schweden); n8n US Inc. für Support und Betrieb (USA) und n8n UK Ltd. (Großbritannien); je nach Funktion weitere Anbieter für KI, Websuche oder Dokumentverarbeitung, mehrere mit Verarbeitung in den USA, einige in der EU oder in Singapur (Q15)Die des Hosters, in dessen AVV-Unterlagen; nicht ausgewertet (Q27, Q30)Liste auf Anfrage (Q21)Nicht ausgewertet
Drittland und Data Privacy Framework (laut Anbieter) Zertifizierung unter dem EU-US DPF laut Anbieter; Standardvertragsklauseln als Auffang in der DPA (Q1, Q2)Celonis Inc. laut Make im DPF registriert; Standardvertragsklauseln für europäische Kunden verlinkt (Q8, Q9)DPF-Status auf den abgerufenen Seiten zu Preisen, Recht und Sicherheit nicht genannt; im AVV nachlesen (Q14, Q15, Q16)Hängt vom Hoster und seinen Unterauftragnehmern ab. Die Instanz sendet standardmäßig Update-, Vorlagen- und Diagnosedaten an n8n, abschaltbar (Q19)Cloud: auf der Preisseite nicht genannt. Selbst gehostet: hängt vom Hoster (Q21)Nicht ausgewertet; Ausnahmen der Datenresidenz siehe Zeile Standort (Q25)
Aufbewahrung und Löschung laut Dokumentation Zap-Inhalte im laufenden Betrieb: 7 Tage in Logs, 29 bis 69 Tage im Konto, bis zu 4 Monate in Backups; kürzere Frist erst ab Company oder Enterprise. Testdaten aus dem Einrichten eines Zaps: gespeichert bis zum Löschen des Zaps, danach gelten die übrigen Fristen (Q4)Ausführungslogs: 7 Tage im Free-Tarif, 30 Tage in bezahlten Tarifen (Q13). Löschung oder Rückgabe auf Wunsch binnen 30 Tagen nach Vertragsende laut DPA (Q10)Ausführungen: 7 Tage (Starter), 30 Tage (Pro), Enterprise unbegrenzt (Q14)Bereinigung standardmäßig an: Abgeschlossene Ausführungen kommen nach 14 Tagen oder bei mehr als 10.000 Ausführungen zum Löschen, zeitversetzt und ohne garantierte Höchstfrist; neue, laufende, wartende und annotierte Ausführungen sind ausgenommen; per Einstellung änderbar (Q17)Nicht ausgewertetNicht ausgewertet
Zugangsdaten (Credentials) Verschlüsselt in kontoeigenen Verbindungen gespeichert (Q5)Passwörter laut Sicherheitsseite verschlüsselt gespeichert (Q12)Datenträger und Backups verschlüsselt; OAuth empfohlen; Rollen in bezahlten Plänen, SSO, SAML und LDAP im Enterprise-Plan (Q16)Zugangsdaten mit Schlüssel verschlüsselt in der Datenbank (Q18); Verschlüsselung der übrigen Daten und Zugriffsschutz liegen bei dir (Q16)Laut Anbieter in Übertragung und im Ruhezustand verschlüsselt; Audit-Logs und eigener Secret-Manager im Ultimate-Plan (Q21)Nicht ausgewertet
Self-Hosting als Datenhoheit Nicht vorgesehen: Daten liegen in der Zapier-Cloud bei AWS (Q1)In den abgerufenen Quellen nicht genannt; Daten liegen in der Make-Cloud (Q6)Nein, das ist die Cloud-Variante; die Spalte rechts beschreibt den eigenen ServerJa, Community Edition. Sustainable Use License: eigene interne Geschäftszwecke oder nicht kommerziell (Q20). Betrieb, Updates und Backups bei dirJa, per Docker oder Kubernetes. Kern unter MIT-Lizenz, Verzeichnisse „ee“ proprietär (Q22, Q23)Cloud-Dienst von Microsoft mit wählbarer Region (Q24)
Offene Punkte (eigene Einschätzung) Grundlage der USA-Übermittlung, KI-Anbieter in der Unterauftragnehmer-Liste, AufbewahrungsfristRegion vor dem Anlegen festlegen, KI-Schritte (Q7), US-UnterauftragnehmerSupport- und KI-Unterauftragnehmer mit Verarbeitung in den USA, Übermittlungsgrundlage im AVVBetrieb, Backups, Updates, Telemetrie, LizenzDPA und Liste anfragen, Funktionsumfang je PlanAusnahmen der Datenresidenz, Unterauftragnehmer, Lizenztyp
Zum Anbieter Zapier ansehen (öffnet in neuem Tab) kein Partnerlink AnzeigeMake ansehen (öffnet in neuem Tab) Anzeigen8n Cloud ansehen (öffnet in neuem Tab) Anzeigen8n Self-Hosted ansehen (öffnet in neuem Tab) Activepieces ansehen (öffnet in neuem Tab) kein Partnerlink Power Automate ansehen (öffnet in neuem Tab) kein Partnerlink
Quelle: Anbieterseiten, Dokumentation und Vertragsunterlagen, Einzelnachweise Q1 bis Q37 in der Quellenliste. Preise laut Anbieterseite, Stand Anbieterseiten abgerufen am 09.11.2026; Preisdaten 07.11.2026; Anbieter weisen Umsatzsteuer unterschiedlich aus, für Verbraucher kann sie hinzukommen — maßgeblich ist der Endpreis im Checkout.

Wie wir bewerten, steht unter So bewerten wir. Make und n8n Cloud haben Partnerprogramme: Über einen mit „Anzeige“ gekennzeichneten Link kann eine Provision an uns gehen. Zapier, Activepieces und Power Automate verlinken wir neutral (kein Partnerlink). Hetzner und Hostinger erscheinen nur als Quellen für Standort und AVV, nicht als Empfehlung. Die Zuordnung folgt dem Anwendungsfall, nicht der Provision (Werbung und Finanzierung).

Datenschutz und Tarif hängen zusammen

Manche Einstellung, die für den Datenschutz zählt, hängt am Tarif. Bei Zapier lässt sich die Aufbewahrung laut Dokumentation erst ab den Plänen Company oder Enterprise verkürzen (Q4). Bei n8n Cloud beträgt die Aufbewahrung von Ausführungen 7 Tage im Starter-Tarif und 30 Tage im Pro-Tarif, im Enterprise-Plan ist sie unbegrenzt (Q14). Make nennt 7 Tage im Free-Tarif und 30 Tage in bezahlten Tarifen (Q13). Zur Einordnung der Kosten, Stand 07.11.2026: Zapier Professional 750 kostet 19,99 USD pro Monat bei jährlicher Zahlung (239,88 USD pro Jahr), Make Core 10k 11,00 USD (132,00 USD pro Jahr) und n8n Cloud Starter 20,00 € (240,00 € pro Jahr). Eigene Werte rechnest du im Kostenrechner.

Die Tools im Datenschutz-Check

Die Tabelle nennt die Fakten; hier stehen die Punkte, die beim Lesen der Unterlagen auffallen.

Zapier

Zapier hostet Daten auf AWS-Servern in den USA und bietet nach eigener Angabe keine reine EU-Speicherung (Q1). Die Übermittlung stützt Zapier auf die Zertifizierung unter dem EU-US DPF; die DPA enthält Standardvertragsklauseln, die gelten sollen, falls das DPF nicht trägt (Q1, Q2). Die Unterauftragnehmer-Liste nennt auch KI-Anbieter und ist als veröffentlicht am 27.10.2026 und gültig ab 10.11.2026 ausgewiesen (Q3). Wer die Aufbewahrung der Zap-Inhalte verkürzen will, braucht laut Dokumentation einen Company- oder Enterprise-Plan (Q4).

Make

Make bietet bei der Organisation die Wahl zwischen EU und US, nachträglich lässt sich die Region nicht ändern (Q6). Die DPA ist Teil der Vertragsdokumente (Q8, Q10). Die Unterauftragnehmer-Liste nennt für EU-Kunden Hosting bei AWS in Irland, bei Enterprise in Deutschland, führt aber auch Anbieter mit Sitz in den USA (Q11). Bei KI-Funktionen gilt: Die Wahl einer EU-Zone bedeutet laut Make-Hilfe nicht automatisch, dass jede Anfrage in der EU verarbeitet wird, einzelne Funktionen und Modelle laufen in den USA oder in Großbritannien. Bei einer eigenen KI-Anbindung sichert die Make-Zone die EU-Verarbeitung nicht mehr ab; sie hängt dann vom Modellanbieter und von deiner Konfiguration ab. Make führt für Microsoft Foundry, Amazon Bedrock (als veraltet gekennzeichnet) und andere OpenAI-kompatible Anbieter eine EU-Zusage nach der gewählten Region bzw. dem eingetragenen Endpunkt auf, für Anthropic, OpenAI, Google Gemini, Mistral und weitere Anbieter nicht (Q7).

n8n Cloud

n8n nennt für gehostete Pläne Frankfurt (Q14); die Sicherheitsseite ergänzt, dass n8n Cloud auf Microsoft Azure läuft und die Daten in der EU liegen (Q16). Der AVV liegt vorab unterzeichnet zum Gegenzeichnen bereit (Q15). Die Aufbewahrung von Ausführungen ist an den Tarif gebunden (7 Tage im Starter, 30 im Pro; Q14). Die öffentliche Unterauftragnehmer-Liste (Stand 22.09.2026) nennt Microsoft Azure mit Verarbeitung in der EU, n8n US Inc. und n8n UK Ltd. für Support und Betrieb sowie je nach Funktion weitere Anbieter für KI, Websuche oder Dokumentverarbeitung, mehrere mit Verarbeitung in den USA (Q15). Zur Übermittlungsgrundlage gibt der AVV Auskunft; den Vertragstext haben wir nicht ausgewertet.

n8n Self-Hosted

Beim Self-Hosting bestimmst du den Standort und bist für Verschlüsselung, Updates und Zugriffsschutz zuständig (Q16). Das ersetzt keine Prüfung: Der Hoster ist Auftragsverarbeiter und braucht einen AVV (Q27, Q30). Die Instanz sendet standardmäßig Update-, Vorlagen- und Diagnosedaten an n8n; per Einstellung lässt sich das abschalten (Q19). Die Bereinigung alter Ausführungen ist standardmäßig aktiv (Q17). Business- und Enterprise-Lizenzschlüssel melden laut n8n täglich Nutzungsdaten wie die Zahl der Produktions-Ausführungen an den Lizenzserver (Q14). Zur Lizenz siehe n8n Cloud vs. Self-Hosted und n8n Hosting.

Activepieces

Activepieces läuft in der Cloud mit Standort Frankfurt, auf Anfrage in einer anderen Region oder auf eigenen Servern; DPA und Liste der Unterauftragnehmer schickt der Anbieter auf Anfrage, das SOC-2-Programm läuft noch (Q21). Der Kern steht unter MIT-Lizenz, Verzeichnisse mit „ee“ sind proprietär (Q22). Einen Vergleich der Funktionen und Preise findest du unter n8n Alternativen.

Microsoft Power Automate

Power Automate richtet sich nach der Region der Umgebung; Europa umfasst EU- und EFTA-Staaten (Q24). Ruhende Kundendaten liegen laut Microsoft in der gewählten Region, mit dokumentierten Ausnahmen bei globalen Diensten wie Entra ID und CDN (Q25). Die Datenschutzbedingungen stehen im Microsoft Data Protection Addendum (Q26). Ob Power Automate zu deinem Fall passt, hängt stark vom Microsoft-Umfeld ab; mehr dazu in n8n vs. Power Automate.

Prüfliste in sechs Schritten

Die Schritte sind allgemein gehalten und ersetzen keine Beratung. Sie helfen, Unterlagen und Fragen zu sammeln, bevor du mit der Fachperson sprichst.

Datenarten klären

Liste je Workflow auf, welche personenbezogenen Daten von wo nach wo fließen: Namen, E-Mail-Adressen, Bestelldaten, Beschäftigtendaten. Notiere Zweck und alle angebundenen Dienste, etwa CRM, Mailtool oder KI-Modell, denn jeder hat eigenen Standort und eigene Verträge. KI-Schritte brauchen eine eigene Zeile: Laut Make-Hilfe garantiert die EU-Zone nicht, dass jede KI-Anfrage in der EU verarbeitet wird, und bei einer eigenen KI-Anbindung hängt die Verarbeitungsregion vom Modellanbieter und von deiner Konfiguration ab (Q7). Je sensibler die Daten, desto eher lohnt der Blick der Datenschutzfachperson, bevor der erste Workflow live geht.

Standort und Region festlegen

Kläre, wo Daten, Logs und Backups liegen, und wähle die Region vor dem Anlegen. Bei Make lässt sie sich nachträglich nicht ändern (Q6), bei einem Hostinger-VPS geht ein Wechsel laut Hostinger nur über eine Neuinstallation an anderem Standort, bei der Daten, Backups und Snapshots gelöscht werden (Q29). „Europa“ ist nicht gleich „EU“: Die Region Europa bei Power Automate umfasst auch EFTA-Staaten (Q24), und Großbritannien, das Hostinger als europäischen VPS-Standort führt (Q29), gehört nicht zur EU. Achte außerdem auf Ausnahmen, die der Anbieter selbst nennt, etwa globale Dienste bei Microsoft (Q25).

AVV lesen und abschließen

Verarbeitet ein Anbieter in deinem Auftrag personenbezogene Daten, verlangt Art. 28 DSGVO in der Regel einen Auftragsverarbeitungsvertrag (Q33). Hol das Dokument beim Anbieter: Zapier (Q2), Make (Q8, Q10), n8n (Q15), Microsoft (Q26), bei Activepieces auf Anfrage (Q21), beim Self-Hosting vom Hoster, etwa Hetzner (Q27) oder Hostinger (Q30). Lies, was drinsteht: Gegenstand und Weisungen, technische und organisatorische Maßnahmen im Sinne von Art. 32 (Q35), Regeln zu Unterauftragnehmern, Löschung oder Rückgabe nach Vertragsende, Prüfrechte. Zapier unterschreibt keine fremden DPAs (Q1) und Hetzner keine individuellen AVV (Q27); das eigene Muster ist dann die Vertragsgrundlage.

Unterauftragnehmer und Drittlandübermittlung prüfen

Lies die Liste der Unterauftragnehmer samt Standorten und prüfe, wie Änderungen angekündigt werden. Zapier kündigt laut DPA 14 Tage vorher an und räumt ein Widerspruchsrecht ein (Q2); Make nennt in der DPA ebenfalls 14 Tage für Widersprüche (Q10). Sitzt ein Unterauftragnehmer in einem Drittland, braucht die Übermittlung eine Grundlage nach Kapitel V der DSGVO (Q36). Anbieter nennen dafür die Zertifizierung unter dem DPF (Q1, Q9) und Standardvertragsklauseln (Q2, Q8). Die EU-Kommission sagt, dass Daten an US-Unternehmen fließen dürfen, die am DPF teilnehmen (Q31); die Teilnahme siehst du auf der Teilnehmerliste (Q32). Auch bei EU-Region nennt Makes Liste Unternehmen mit Sitz in den USA (Q11). Ob das für deinen Fall genügt, bewertet die Fachperson; der Rechtsstand kann sich ändern.

Zugriffsrechte und Zugangsdaten regeln

Automatisierungen halten Schlüssel zu vielen Systemen. Lege fest, wer Verbindungen anlegen, einsehen und nutzen darf, und gib API-Schlüsseln nur die Rechte, die der Workflow braucht; n8n empfiehlt OAuth, wo es angeboten wird, und eingeschränkte API-Schlüssel sonst (Q16). Zapier speichert Zugangsdaten verschlüsselt in kontoeigenen Verbindungen (Q5). Beim Self-Hosting sicherst du den Verschlüsselungsschlüssel der Instanz getrennt vom Datenbank-Backup (Q18) und sorgst für TLS und verschlüsselte Datenträger (Q16). Ausführungsprotokolle können personenbezogene Daten enthalten; stelle die Aufbewahrung passend ein (Q4, Q17).

Im Verarbeitungsverzeichnis dokumentieren

Halte fest, was du entschieden hast. Das Verzeichnis von Verarbeitungstätigkeiten enthält nach Art. 30 DSGVO unter anderem Zwecke, Kategorien von Daten und Betroffenen, Empfänger, Übermittlungen in Drittländer, Löschfristen und technische Schutzmaßnahmen (Q34). Trage als Empfänger die Organisationen ein, die Daten tatsächlich erhalten, etwa Dienstleister, Hoster und Modellanbieter, jeweils mit Standort, AVV-Stand und Fristen, zum Beispiel der Aufbewahrung der Ausführungsprotokolle. Lokal betriebene Software führst du als eingesetztes System auf: Der Hersteller wird dadurch nicht automatisch zum Empfänger der Workflow-Daten, Telemetrie an den Hersteller betrachtest du gesondert (Q37). Die Ausnahme für Organisationen unter 250 Beschäftigten gilt laut Art. 30 Abs. 5 nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt; dauerhaft laufende Workflows sind kaum gelegentlich (eigene Einschätzung). Plane eine Wiedervorlage ein: Unterauftragnehmer-Listen ändern sich, bei Zapier gilt die aktuelle Liste ab 10.11.2026 (Q3).

Für wen passt was?

Die Zuordnung ist eine eigene Einschätzung nach den Anbieterangaben und keine Rechtsberatung. Ob eine Variante für deine Daten ausreicht, klärt die Fachperson.

Volle Datenhoheit: Self-Hosting

Passt zu dir, wenn …

  • Standort, Server und Zugriff in deiner Hand liegen sollen und jemand Updates, Backups und Zugriffsschutz übernimmt.
  • ein Hoster mit abschließbarem AVV genügt, etwa Hetzner mit Standorten in Deutschland und Finnland (Q27, Q28).
  • du die Lizenz einhältst: n8n erlaubt eigene interne Geschäftszwecke und nicht kommerzielle Nutzung (Q20), der Activepieces-Kern steht unter MIT-Lizenz (Q22).

Eher nicht, wenn …

  • niemand den Server betreut. Die Verschlüsselung der Daten im Ruhezustand liegt beim Betreiber (Q16).
  • du keine Zeit für Wiederherstellungstests und Updates hast. Die Wahl zwischen Cloud und eigenem Server beschreibt n8n Cloud vs. Self-Hosted.

EU-Region genügt: Make oder n8n Cloud

Passt zu dir, wenn …

  • ein EU-Standort bei einem Cloud-Anbieter ohne eigenen Server reicht: Make mit EU-Organisation (Q6), n8n Cloud mit Frankfurt (Q14), alternativ die Activepieces-Cloud in Frankfurt (Q21).
  • du den AVV direkt abschließen willst: bei Make als DPA (Q10), bei n8n zum Gegenzeichnen (Q15).

Eher nicht, wenn …

  • Unterauftragnehmer in den USA ein Ausschlusskriterium sind. Makes Liste führt solche Anbieter (Q11), und die n8n-Liste nennt Support- und KI-Unterauftragnehmer mit Verarbeitung in den USA (Q15).
  • du viele KI-Schritte mit EU-Zusage brauchst; Make macht dazu Einschränkungen (Q7).
  • die Region später wechseln können soll: Bei Make ist das nicht vorgesehen (Q6).

US-Standort akzeptabel mit AVV: Zapier

Passt zu dir, wenn …

  • deine Datenschutzfachperson die USA-Übermittlung auf Grundlage von DPA, DPF und Standardvertragsklauseln freigibt und die Unterauftragnehmer-Liste akzeptiert (Q1 bis Q3).
  • du einen Wechsel nicht brauchst: Die Gründe für und gegen Zapier stehen unter Zapier Alternative.

Eher nicht, wenn …

  • ein Kunde oder eine interne Vorgabe ausschließlich EU-Speicherung verlangt. Zapier bietet diese Option nicht an (Q1).

Microsoft-365-Umfeld: Power Automate

Passt zu dir, wenn ihr ohnehin Microsoft-Produkte nutzt, eine Umgebung in der Region Europa genügt und das Microsoft Data Protection Addendum bereits Teil eures Vertrags ist (Q24, Q26). Eher nicht, wenn Datenresidenz ohne die dokumentierten Ausnahmen verlangt wird (Q25).

Wenn unklar ist, welcher Fall zutrifft, hilft der Entscheidungshelfer; er fragt unter anderem „Wo sollen deine Daten liegen?“. Den Dreiervergleich findest du unter n8n vs. Make vs. Zapier.

Fazit: Empfehlung je Anwendungsfall

Häufige Fragen

Ist Zapier DSGVO-konform?

Das lässt sich nicht pauschal beantworten, denn „konform“ ist ein Einsatz, kein Tool. Belegt ist: Zapier hostet auf AWS in den USA und bietet keine reine EU-Speicherung (Q1), nennt eine Zertifizierung unter dem EU-US DPF (Q1), stellt eine DPA mit Standardvertragsklauseln bereit (Q2) und veröffentlicht eine Unterauftragnehmer-Liste (Q3). Ob das für deine Daten genügt, klärt deine Datenschutzfachperson oder ein Anwalt. Das ist keine Rechtsberatung.

Welche Zapier-Alternative hat Server in der EU?

Nach Anbieterangaben Make (EU-Region wählbar, Q6), n8n Cloud (Frankfurt, Q14), die Activepieces-Cloud (Frankfurt, Q21) und Power Automate (Region Europa, Q24). Wer volle Kontrolle will, betreibt n8n oder Activepieces selbst. Der Standort ist nur ein Kriterium; AVV, Unterauftragnehmer und Fristen kommen dazu. Funktionen und Preise vergleichen Zapier Alternative und n8n Alternativen.

Gibt es eine deutsche Zapier-Alternative?

„Deutsch“ kann Standort, Firmensitz oder Sprache meinen; hier zählt der Datenstandort. Mit Standort Deutschland: n8n Cloud in Frankfurt (Q14), n8n oder Activepieces auf einem Server in Deutschland, etwa bei Hetzner in Nürnberg oder Falkenstein (Q28), sowie Make im Enterprise-Tarif laut Unterauftragnehmer-Liste (Q11). Beim Firmensitz haben wir die Anbieter nicht ausgewertet.

Brauche ich einen AVV, wenn ich Make, n8n oder Zapier nutze?

In der Regel ja, sobald der Anbieter in deinem Auftrag personenbezogene Daten verarbeitet (Q33). Zapier, Make und n8n stellen Unterlagen bereit (Q2, Q10, Q15). Beim Self-Hosting braucht der Hoster einen AVV, nicht die Software (Q27, Q30). Ob in deinem Fall einer nötig ist, klärt die Fachperson.

Reicht ein EU-Standort für die DSGVO?

Nicht allein. Auch bei EU-Region bleiben AVV, Unterauftragnehmer, Löschfristen und Zugriffsrechte zu klären. Makes Liste führt trotz EU-Hosting Anbieter mit Sitz in den USA (Q11), und bei KI-Schritten kann die Verarbeitung die EU verlassen (Q7).

Ist Self-Hosting automatisch DSGVO-konform?

Nein. Du übernimmst Betrieb und Schutzmaßnahmen wie Verschlüsselung, Updates und Backups (Q16, Q18), und der Hoster braucht einen AVV (Q27, Q30). n8n sendet standardmäßig Update-, Vorlagen- und Diagnosedaten an eigene Server; das lässt sich abschalten (Q19). Dazu kommt die Lizenzprüfung (Q20).

Was ist das Data Privacy Framework, und reicht die Zertifizierung?

Das DPF ist ein Rahmen für Datenübermittlungen aus der EU in die USA. Die EU-Kommission sagt, dass Daten an US-Unternehmen fließen dürfen, die daran teilnehmen (Q31). Zapier (Q1) und Make (Q9) nennen eine Zertifizierung bzw. Registrierung; Zapiers DPA enthält Standardvertragsklauseln für den Fall, dass das DPF nicht trägt (Q2). Ob das in deinem Fall reicht und wie lange der Rahmen Bestand hat, ist eine Rechtsfrage, deren Stand sich ändern kann.

Quellen

Alle Seiten wurden am 09.11.2026 abgerufen, die Preisdaten für Make, n8n und Zapier haben den Stand 07.11.2026. Anbieterangaben ändern sich; maßgeblich sind die Unterlagen, die du beim Abschluss erhältst. Die DSGVO-Artikel verlinken wir auf eine inoffizielle englische Textfassung; der verbindliche Text steht im Amtsblatt der EU.

  1. Zapier, Datenschutz und Datenstandort: zapier.com/legal/data-privacy. Abruf 09.11.2026.
  2. Zapier, Data Processing Addendum (DPA): zapier.com/legal/data-processing-addendum. Abruf 09.11.2026.
  3. Zapier, Unterauftragsverarbeiter (Seite: veröffentlicht 27.10.2026, gültig ab 10.11.2026): zapier.com/legal/subprocessors. Abruf 09.11.2026.
  4. Zapier, Datenaufbewahrung, Löschung und Export (Seitenstand 17.04.2026): zapier.com/legal/data-retention-deletion. Abruf 09.11.2026.
  5. Zapier, Sicherheit und Compliance: zapier.com/security-compliance. Abruf 09.11.2026.
  6. Make-Hilfe, Organisationen und Region: help.make.com/organizations. Abruf 09.11.2026.
  7. Make-Hilfe, KI-Anbieter und Data Zones: help.make.com/ai-providers-and-data-zones-in-make. Abruf 09.11.2026.
  8. Make, Nutzungsbedingungen mit Vertragsdokumenten (DPA, Unterauftragsverarbeiter, technische und organisatorische Maßnahmen, Standardvertragsklauseln): www.make.com/terms-and-conditions. Abruf 09.11.2026.
  9. Make, Datenschutz und DSGVO: www.make.com/privacy-and-gdpr. Abruf 09.11.2026.
  10. Make, Data Processing Agreement (PDF, Dokumentstand 03.05.2024): www.make.com/data-processing-agreement.pdf. Abruf 09.11.2026.
  11. Make, Liste der Unterauftragsverarbeiter (PDF, gültig ab 12.12.2025, auf der Nutzungsbedingungen-Seite verlinkt): assets.ctfassets.net/un655fb9wln6/78xuveidrchD9EWZLrrCUM/a8333d0c19d7de7910d81d8edd68df71/Make_Sub-Processors_November_2025.docx.pdf. Abruf 09.11.2026.
  12. Make, Sicherheit: www.make.com/en/security. Abruf 09.11.2026.
  13. Make, Preise und Tarife (Aufbewahrung der Logs; Preisdaten Stand 07.11.2026): www.make.com/en/pricing. Abruf 09.11.2026.
  14. n8n, Preise und Tarife (Standort Frankfurt, Aufbewahrung von Ausführungen, Lizenzschlüssel-Abgleich): n8n.io/pricing/. Abruf 09.11.2026.
  15. n8n, Rechtliches (Auftragsverarbeitungsvertrag zum Gegenzeichnen; öffentliche Unterauftragnehmer-Liste, Stand der Liste 22.09.2026): n8n.io/legal/, n8n.io/legal/data-processing-agreement/, n8n.io/legal/sub-processors/. Abruf 09.11.2026.
  16. n8n, Sicherheit (Hosting, Verschlüsselung, Rollen): n8n.io/legal/security/. Abruf 09.11.2026.
  17. n8n-Dokumentation, Ausführungsdaten und Bereinigung: docs.n8n.io/hosting/scaling/execution-data/. Abruf 09.11.2026.
  18. n8n-Dokumentation, Verschlüsselungsschlüssel: docs.n8n.io/hosting/configuration/configuration-examples/encryption-key/. Abruf 09.11.2026.
  19. n8n-Dokumentation, Instanz isolieren (Telemetrie, Update- und Vorlagen-Abfragen): docs.n8n.io/hosting/configuration/configuration-examples/isolation/. Abruf 09.11.2026.
  20. n8n, Sustainable Use License: raw.githubusercontent.com/n8n-io/n8n/master/LICENSE.md. Abruf 09.11.2026.
  21. Activepieces, Preise und Fragen (Standort, DPA, Unterauftragnehmer-Liste auf Anfrage): www.activepieces.com/pricing. Abruf 09.11.2026.
  22. Activepieces, Lizenzdatei im GitHub-Repository: raw.githubusercontent.com/activepieces/activepieces/main/LICENSE. Abruf 09.11.2026.
  23. Activepieces-Dokumentation, Installation: www.activepieces.com/docs/install/overview. Abruf 09.11.2026.
  24. Microsoft Learn, Region einer Power-Platform-Umgebung (Seitenstand 28.05.2026): learn.microsoft.com/en-us/power-platform/admin/regions-overview. Abruf 09.11.2026.
  25. Microsoft Learn, Datenresidenz von Dynamics 365 und Power Platform (Seitenstand 07.10.2026): learn.microsoft.com/en-us/dynamics365/get-started/availability. Abruf 09.11.2026.
  26. Microsoft Licensing, Products and Services Data Protection Addendum: www.microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA. Abruf 09.11.2026.
  27. Hetzner-Dokumentation, Auftragsverarbeitungsvertrag (AVV): docs.hetzner.com/general/general-terms-and-conditions/data-privacy-faq/. Abruf 09.11.2026.
  28. Hetzner-Dokumentation, Standorte: docs.hetzner.com/cloud/general/locations/. Abruf 09.11.2026.
  29. Hostinger, Serverstandorte und VPS-Standortwechsel (englischsprachige Support-Seiten): www.hostinger.com/support/1583267-where-are-hostinger-servers-located/, www.hostinger.com/support/10289743-how-to-transfer-your-vps-to-a-different-location-in-hostinger/. Abruf 09.11.2026.
  30. Hostinger, Data Processing Addendum (englischsprachig, Stand 29.09.2026): www.hostinger.com/legal/dpa. Abruf 09.11.2026.
  31. Europäische Kommission, EU-US Data Privacy Framework: commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en. Abruf 09.11.2026.
  32. US-Handelsministerium, Teilnehmerliste des Data Privacy Framework: www.dataprivacyframework.gov/list. Abruf 09.11.2026.
  33. DSGVO Art. 28, Auftragsverarbeiter (inoffizielle englische Textfassung): gdpr-info.eu/art-28-gdpr/. Abruf 09.11.2026.
  34. DSGVO Art. 30, Verzeichnis von Verarbeitungstätigkeiten (inoffizielle englische Textfassung): gdpr-info.eu/art-30-gdpr/. Abruf 09.11.2026.
  35. DSGVO Art. 32, Sicherheit der Verarbeitung (inoffizielle englische Textfassung): gdpr-info.eu/art-32-gdpr/. Abruf 09.11.2026.
  36. DSGVO Art. 44 bis 46, Übermittlung in Drittländer (inoffizielle englische Textfassung): gdpr-info.eu/art-44-gdpr/, gdpr-info.eu/art-45-gdpr/, gdpr-info.eu/art-46-gdpr/. Abruf 09.11.2026.
  37. n8n-Dokumentation, Datenschutz (Rollen bei Self-Hosting, Telemetrie): docs.n8n.io/privacy-and-security/privacy. Abruf 09.11.2026.