n8n und Datenschutz: Datenflüsse statt pauschaler Zusagen prüfen

Was die Software bereitstellt. Eine Software kann Funktionen und Vertragsunterlagen bereitstellen, die eine geeignete Umsetzung unterstützen. Die Organisation muss trotzdem bestimmen, wofür personenbezogene Daten verarbeitet werden und welche Regeln dafür gelten. Die Europäische Kommission erläutert die Grundsätze, darunter Zweckbindung, Datenminimierung, begrenzte Speicherung und angemessene Sicherheit.

Eine prüfbare Frage. Formulieren Sie daher eine prüfbare Frage: „Dürfen wir diese Kontaktinformationen für die Bearbeitung einer Serviceanfrage über diese Systeme verarbeiten, und welche Maßnahmen brauchen wir?“ Das ist konkreter als eine allgemeine Produktbewertung. Ein technisch ähnlicher Ablauf kann für Bewerbungsunterlagen oder Gesundheitsinformationen eine andere Prüfung erfordern.

Betroffene Personengruppen. Dokumentieren Sie auch die betroffenen Personengruppen. Geschäftliche Kontaktdaten können personenbezogen sein; ein B2B-Prozess ist nicht automatisch außerhalb des Datenschutzes. Die EDPB-Grundlagen für kleine Unternehmen erklären den Anwendungsbereich und die Rolle einer passenden Rechtsgrundlage. Quellen und Produktunterlagen wurden am 26. September 2026 geprüft.

Vom Eingang bis zur Löschung. Beginnen Sie beim Eingang und folgen Sie jedem Datenpfad bis zur Löschung. Notieren Sie Postfach oder Formular, n8n-Instanz, Zwischenspeicher, Zielsystem und Benachrichtigungskanal. Ergänzen Sie Fehlerprotokolle, Backups, Testkopien und externe Unterstützung. Diese Nebenwege fehlen häufig in einer einfachen Architekturzeichnung.

Felder je Übergang. Für jeden Übergang halten Sie fest, welche Felder tatsächlich übertragen werden. Eine CRM-Aufgabe benötigt vielleicht Kontakt-ID, Anliegen und Zuständigkeit, aber nicht die gesamte E-Mail-Historie. Wenn ein Sprachmodell nur eine Kategorie bestimmen soll, muss begründet werden, warum es Namen oder vollständige Anhänge erhalten soll.

Manuelle Arbeit. Ein Datenfluss ist erst vollständig, wenn auch manuelle Arbeit berücksichtigt wird. Ein Supportmitarbeiter kann im Fehlerfall Ausführungsdaten ansehen oder einen Screenshot an einen Anbieter schicken. Solche Zugriffe sollten bewusst geregelt werden, statt erst im akuten Störfall improvisiert zu entstehen.

Umgewandelte Informationen. Die Übersicht sollte auch zeigen, wo Informationen umgewandelt werden. Eine Zusammenfassung kann weiterhin personenbezogene Angaben enthalten, und eine Referenz kann in Verbindung mit einem anderen System weiterhin eine Person identifizieren. Behandeln Sie solche Ergebnisse nach ihrem tatsächlichen Inhalt und ihrer Verwendung.

Ein konkreter Vorgang. Erstellen Sie für einen konkreten Vorgang eine kurze Zeitleiste: Wo entstehen personenbezogene Angaben, welche Systeme erhalten sie, welche Kopien werden angelegt und wann werden diese wieder entfernt? Beginnen Sie beim Eingang und verfolgen Sie auch Fehlermeldungen, Freigabenachrichten und Supportfälle. Eine Architekturzeichnung mit nur drei großen Produktlogos übersieht häufig gerade diese Nebenwege.

Synthetisches Beispiel. Für einen synthetischen Bewerbungsprozess könnte eine Fehlermeldung den vollständigen Lebenslauf an einen Teamkanal anhängen. Die eigentliche Dokumentablage wäre korrekt berechtigt, während die Fehlerbenachrichtigung zusätzliche Empfänger schafft. Ein besserer Entwurf meldet eine Vorgangsreferenz und verweist auf die kontrollierte Ablage, soweit das für die Bearbeitung ausreicht. Ob und wie der Prozess rechtmäßig umgesetzt wird, bleibt gesondert zu prüfen.

Nebenwege. Halten Sie zu jedem Nebenweg Zweck, Empfängerkreis und Aufbewahrung fest. Diese konkrete Aufstellung unterstützt die zuständigen Datenschutzverantwortlichen bei ihrer Bewertung und macht technische Korrekturen überprüfbar, ohne eine pauschale Konformitätszusage zu erzeugen.

Ursprünglicher Entwurf. Ein Dienstleistungsbetrieb möchte Serviceanfragen kategorisieren und im CRM zuweisen. Im ursprünglichen Entwurf gelangen Betreff, Nachrichtentext, Signatur, sämtliche Anhänge und bisherige Korrespondenz an einen KI-Dienst. Zusätzlich speichert jeder Verarbeitungsschritt den gesamten Inhalt, und Fehlermeldungen werden in einen allgemeinen Teamkanal kopiert.

Schlankere Variante. Eine schlankere Variante trennt Aufgaben: Die Anfrage erhält eine interne Referenz. Eine regelbasierte Vorprüfung entfernt nicht benötigte Bestandteile. Der Klassifikationsschritt bekommt nur den für die Kategorie erforderlichen Inhalt. Der CRM-Schritt schreibt Referenz, Kategorie und Zuständigen. Ein Fehleralarm nennt Vorgangs-ID und Fehlerklasse; berechtigte Bearbeiter öffnen Details im vorgesehenen System.

Die Tabelle nennt fünf Bestandteile des Beispielablaufs mit der Frage vor der Übertragung und einer möglichen Begrenzung.

Das Beispiel ist keine Datenschutzfreigabe und kein getestetes Kundenprojekt. Es zeigt, wie sich die technische Datenmenge vor der rechtlichen Bewertung konkret reduzieren lässt. Ob ein verbleibender Inhalt noch personenbezogen ist, muss gesondert beurteilt werden; eine ersetzte Namensspalte macht Freitext nicht automatisch anonym.

Verantwortlicher und Auftragsverarbeiter. Bestimmen Sie, welche Organisation über Zweck und Mittel entscheidet und wer Daten in ihrem Auftrag verarbeitet. Die Kommission erklärt Verantwortliche und Auftragsverarbeiter sowie die vertragliche Regelung von Auftragsverarbeitung. Übertragen Sie diese Einordnung nicht pauschal auf jede Firma in der Lieferkette.

n8n Cloud und Selbstbetrieb. n8n beschreibt für sein Cloud-Angebot einen Auftragsverarbeitungsvertrag und verweist auf Unterauftragsverarbeiter. Beim Selbstbetrieb verlagert sich die technische Verantwortung auf die gewählte Betreiberstruktur. Prüfen Sie die aktuellen n8n-Datenschutzhinweise und die tatsächlich vereinbarten Vertragsunterlagen.

Anbieterübersicht. Erstellen Sie eine Anbieterzeile für jeden verbundenen Dienst: Tätigkeit, Datenkategorien, Vertragsinhaber, Verarbeitungsorte, weitere Empfänger, Löschung und Support. Ein Vertrag mit der Workflow-Plattform deckt nicht automatisch eine zusätzlich von Ihnen angebundene OCR- oder Modell-API ab. Ebenso muss die Rolle eines Implementierungspartners anhand seines tatsächlichen Zugriffs beurteilt werden.

Technische Änderungen. Halten Sie die vertragliche Dokumentation mit technischen Änderungen im Einklang. Ein zusätzlicher Benachrichtigungsdienst oder ein Diagnosewerkzeug kann einen weiteren Empfänger schaffen, auch wenn der eigentliche Geschäftsworkflow unverändert wirkt.

Serverstandort. Ein Serverstandort beantwortet nur einen Teil der Architekturfrage. Der Workflow kann weiterhin Daten an andere Dienste übermitteln. Hinzu kommen Administration, Support und weitere vertraglich vorgesehene Verarbeitungen. Prüfen Sie deshalb tatsächliche Datenflüsse und Empfänger statt lediglich die Adresse des Hauptservers.

Deutschland, Österreich und Schweiz. Für Deutschland und Österreich ist die DSGVO zentral; weitere fach- oder branchenspezifische Anforderungen können hinzukommen. Bei Schweizer Organisationen müssen die anwendbaren Schweizer Regeln und mögliche zusätzliche DSGVO-Bezüge getrennt bewertet werden. Die EDÖB-Informationen zur Bekanntgabe ins Ausland erläutern die Schweizer Prüfung grenzüberschreitender Bekanntgaben.

Umfang der Prüfung. Eine gemeinsame DACH-Architektur kann technisch möglich sein, ohne dass jede rechtliche Einordnung identisch ist. Halten Sie im Prüfvermerk fest, für welche Gesellschaft, Personengruppen und Länder der Prozess betrachtet wurde. Ein für eine österreichische Gesellschaft geprüftes Muster sollte nicht kommentarlos auf ein anderes Unternehmen übertragen werden.

Fehlende Angaben. Sind Standort oder Zugriffsregelungen eines Anbieters unklar, halten Sie die fehlende Angabe fest. Ersetzen Sie Nachweise zum gewählten Dienst nicht durch den Hauptsitz des Anbieters oder dessen Marketingbeschreibung.

Was gespeichert wird. n8n kann Eingaben und Ausgaben von Ausführungen speichern. Das ist für Diagnose hilfreich, schafft aber zusätzliche Datenbestände. Legen Sie pro Workflow fest, welche Informationen zur Fehlerklärung tatsächlich benötigt werden und wann sie entfernt werden sollen.

Bereinigung und Ausnahmen. Die offizielle Dokumentation zur Verwaltung von Ausführungsdaten beschreibt Speicheroptionen und Bereinigung. Prüfen Sie auch Ausnahmen: Wartende Vorgänge, besonders markierte Ausführungen und externe Speicher können anders behandelt werden als abgeschlossene Standardläufe. Ein eingestellter Zahlenwert ist noch kein Nachweis, dass jede relevante Kopie entsprechend verschwindet.

Löschtest. Testen Sie die Löschung an einem eindeutig markierten synthetischen Datensatz. Suchen Sie anschließend in Ausführungshistorie, Zwischenspeichern, exportierten Dateien und vorgesehenen Diagnosewegen. Bei Backups ist zusätzlich das dokumentierte Aufbewahrungs- und Wiederherstellungsverfahren zu berücksichtigen. Definieren Sie, wie gelöschte Informationen nach einem Restore nicht unbeabsichtigt erneut in den normalen Betrieb gelangen.

Aufbewahrungsfrist. Übernehmen Sie keine beliebige Aufbewahrungsfrist aus einem Tutorial. Die Frist sollte den festgelegten Zweck, den betrieblichen Bedarf und die geltenden Anforderungen widerspiegeln. Dokumentieren Sie, wer sie freigibt und wie ihre Einhaltung geprüft wird.

Drei Arten von Zugriff. Unterscheiden Sie Zugriff auf den Editor, Ausführungsdaten und verbundene Zielsysteme. Wer einen Workflow ändern kann, sollte nicht automatisch alle Daten aller Fachbereiche sehen oder beliebige externe Aufrufe ausführen dürfen. Die tatsächlich verfügbaren Rollen hängen von Edition und Tarif ab.

Getrennte Verbindungen. Verwenden Sie getrennte Verbindungen für unterschiedliche Zwecke, soweit das Zielsystem dies ermöglicht. Ein lesender Bericht braucht keine allgemeinen Löschrechte. Ein Testworkflow sollte nicht mit denselben Befugnissen arbeiten wie ein produktiver Versandprozess. Prüfen Sie außerdem, ob Mitarbeitende eines Dienstleisters nur im vereinbarten Umfang Zugriff erhalten.

Persönliche Zugänge. Bei gemeinsamer Nutzung braucht es nachvollziehbare persönliche Zugänge und eine geregelte Vertretung. Das Teilen eines einzigen Administratorkontos erschwert die Zuordnung von Änderungen und die gezielte Sperrung beim Ausscheiden einer Person. Dokumentieren Sie regelmäßige Rechteprüfung und tatsächlichen Entzug alter Zugänge.

Tatsächliche Möglichkeiten. Prüfen Sie die tatsächlichen Möglichkeiten, nicht nur, ob ein Geheimnis sichtbar ist. Wer einen Workflow ändern kann, der privilegierte Zugangsdaten verwendet, kann unter Umständen mit dieser Berechtigung handeln, ohne den zugrunde liegenden Schlüssel je zu lesen.

Zwei verschiedene Dinge. Unterscheiden Sie einen selbst konfigurierten Modellaufruf im Workflow von unterstützenden KI-Funktionen der Plattform. Beide können unterschiedliche Daten, Einstellungen und Vertragsbedingungen betreffen. Die n8n-Datenschutzhinweise beschreiben auch Diagnosedaten und KI-Nutzungseinstellungen; lesen Sie die für Ihre Version und Betriebsform relevanten Abschnitte.

Diagnosedaten. Ein abgeschalteter Diagnosekanal verhindert keine Datenübertragung durch einen von Ihnen eingerichteten HTTP-Request. Umgekehrt beweist ein lokal ausgeführter Workflow nicht, dass keinerlei unterstützende Dienste angesprochen werden. Prüfen Sie die tatsächliche Konfiguration und dokumentieren Sie bewusste Entscheidungen.

Modellanbieter. Für Modellanbieter gehören Eingabedaten, mögliche Aufbewahrung, Nutzung zu weiteren Zwecken und vereinbarte Schutzmaßnahmen in die Prüfung. Verlassen Sie sich nicht auf eine pauschale Aussage über den Markennamen des Modells. Ein privates Chatkonto und ein vertraglich eingerichteter API-Dienst können unterschiedliche Bedingungen haben.

Freitext und Kommentare. Prüfen Sie auch Freitextfelder und Codekommentare. Mitarbeitende können versehentlich sensible Beispiele in Konfigurationen ablegen, die zur Fehlersuche dienen. Synthetische Beispiele liefern den nötigen Kontext, ohne echtes Kundenmaterial zu kopieren.

Betroffenenanfragen. Erstellen Sie einen Ablauf, mit dem zuständige Personen Daten zu einer verifizierten Anfrage finden und die erforderliche Maßnahme prüfen können. Ein automatischer Lösch-Webhook ohne Identitäts- und Zuständigkeitsprüfung kann selbst Schaden verursachen. Nicht jede Löschanforderung sollte ungeprüft alle verbundenen Geschäftsdaten entfernen.

Rechtliche Orientierung. Die EDPB-Hinweise zu Betroffenenrechten geben die rechtliche Orientierung. Technisch brauchen Sie vor allem auffindbare Referenzen, bekannte Speicherorte und zuständige Bearbeiter. Dokumentieren Sie außerdem, welche weiteren Aufbewahrungspflichten fachlich geprüft werden müssen.

Vorfälle. Für einen möglichen Datenvorfall muss klar sein, wer den Workflow stoppen darf, welche Informationen für die Untersuchung gesichert werden und wer die datenschutzrechtliche Bewertung übernimmt. Eine technische Person sollte nicht allein entscheiden müssen, ob eine externe Meldung erforderlich ist. Der interne Eskalationsweg gehört in die Betriebsanleitung.

Das Ergebnis der Vorbereitung ist ein konkretes Prüfpaket:

• Zweck und Datenfluss
• Anbieter- und Vertragsübersicht
• Rechtekonzept
• Speicher- und Löschplan
• Testfälle
• offene rechtliche Entscheidungen

Jede offene Frage erhält einen Besitzer und eine Entscheidung vor der davon abhängigen Verarbeitung.

Synthetischer Durchlauf. Lassen Sie einen synthetischen Vorgang vollständig durchlaufen und verfolgen Sie seine Kopien bis zur vorgesehenen Löschung. Prüfen Sie einen Fehlerfall, einen Supportzugriff und einen entzogenen Zugang. So wird sichtbar, ob der dokumentierte Entwurf zur tatsächlichen Konfiguration passt.

Umfang der Freigabe. Die Freigabe sollte die geprüfte Version und den konkreten Umfang nennen. Neue Datenarten, zusätzliche KI-Dienste oder neue Empfängerländer lösen eine erneute Bewertung aus. Damit bleibt Datenschutz eine nachvollziehbare Eigenschaft des realen Prozesses und wird nicht auf das Etikett eines Hostingangebots reduziert.

Diese Seiten behandeln die Leistungsübersicht und die angrenzenden Entscheidungen zum Datenschutz mit n8n:

• n8n-Agentur: Umsetzung und Betrieb von Unternehmensworkflows
• n8n-Zugangsdaten und Rechte sicher übergeben
• Dokumentenverarbeitung: Datenschutz, Löschung und Zugriffe
• Chatbot-Datenschutz: Daten, Verträge und Löschung prüfen

Für eine konkrete Ablaufprüfung reichen zunächst eine Prozessbeschreibung, die beteiligten Systeme und typische Ausnahmen. Mit modernagents besprechen.