n8n, Make oder Zapier: der Vergleich mit Blick auf DSGVO
Drei Werkzeuge, drei Antworten auf die Frage, wo Ihre Daten landen. Was Zapier, Make und n8n beim Datenschutz unterscheidet, was die n8n-Lizenz wirklich erlaubt – und warum Selbsthosten allein nichts DSGVO-konform macht.
n8n, Make oder Zapier: die Kurzantwort
Für Abläufe ohne personenbezogene Daten ist das Werkzeug zweitrangig – dort entscheiden Bedienung, vorhandene Anbindungen und Preis. Sobald Kundendaten, Bewerbungen oder Gesundheitsangaben durch die Abläufe fließen, verschiebt sich die Frage: Wer verarbeitet die Daten, wo, und auf welcher Rechtsgrundlage gelangen sie dorthin? Darin unterscheiden sich die drei Werkzeuge deutlich.
Zapier ist ein US-Anbieter, bei dem die Übermittlung in ein Drittland vertraglich vorgesehen ist. Make stammt aus Prag und gehört seit 2020 zum deutschen Unternehmen Celonis. n8n kommt aus Berlin, lässt sich als gehosteter Dienst nutzen oder auf eigenen Servern betreiben – als einziges der drei.
Vorab eine Offenlegung, weil sie die Einordnung betrifft: twentyonepixels setzt n8n selbst ein und setzt Automatisierungen damit für Kunden um. Dieser Vergleich nennt deshalb ausdrücklich auch die Stellen, an denen n8n nicht die bessere Wahl ist.
Wo die Daten liegen: USA, EU-Region oder eigener Server
Der Speicherort entscheidet darüber, ob überhaupt eine Übermittlung in ein Drittland stattfindet. Bei einer Automatisierungsplattform liegen dort nicht nur Zugangsdaten zu Ihren Systemen, sondern auch die Ausführungsprotokolle – und die enthalten je nach Einstellung die vollständigen Daten jedes Durchlaufs, also etwa Name, E-Mail-Adresse und Nachricht aus einem Kontaktformular.
n8n gibt für seinen gehosteten Dienst an, auf Microsoft Azure zu laufen, mit Hardware und gespeicherten Daten in der Europäischen Union. Bei Make und Zapier ließ sich der Speicherort zum Zeitpunkt dieses Beitrags auf den öffentlichen Herstellerseiten nicht eindeutig belegen; welche Region ein bestehendes Konto nutzt, gehört deshalb in den Kontoeinstellungen und im Auftragsverarbeitungsvertrag nachgesehen, nicht in einem Vergleichsartikel.
Der eigene Server ist die einzige Variante, bei der Sie den Speicherort selbst bestimmen. Er ist aber kein Datenschutz-Automatismus, wie die folgenden Abschnitte zeigen – er verschiebt Pflichten, statt sie aufzuheben.
Ist Zapier DSGVO-konform? Auftragsverarbeitung, Drittlandtransfer und Restrisiko
Zapier lässt sich DSGVO-konform einsetzen, wenn die Voraussetzungen für einen Drittlandtransfer erfüllt sind – konform ist dabei nie das Werkzeug, sondern die konkrete Verarbeitung. Zapier stellt einen Auftragsverarbeitungsvertrag bereit, der Standardvertragsklauseln enthält. Diese Klauseln sind genau das Instrument für Übermittlungen in Länder außerhalb der EU, und ihr Vorhandensein zeigt, dass eine solche Übermittlung der vorgesehene Fall ist.
Für Übermittlungen in die USA gibt es seit Juli 2023 zusätzlich den Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Er gilt für US-Unternehmen, die sich darunter zertifiziert haben; ob ein Anbieter dazugehört, lässt sich in der öffentlichen Liste des US-Handelsministeriums nachsehen. Der Beschluss ist der dritte Anlauf nach Safe Harbor und Privacy Shield, die beide vom Europäischen Gerichtshof gekippt wurden – ein Restrisiko, dass sich die Rechtslage erneut ändert, bleibt.
Praktisch heißt das: Mit unterschriebenem Auftragsverarbeitungsvertrag, einem Eintrag im Verarbeitungsverzeichnis und einer Information in der Datenschutzerklärung ist der Einsatz für die meisten Abläufe tragfähig. Für besonders schutzwürdige Daten wie Gesundheitsangaben ist ein US-Dienst trotzdem die Variante, die man einer Aufsichtsbehörde am aufwendigsten erklären muss.
Make und die EU-Herkunft: was sie abdeckt und was nicht
Make ist der europäischste der drei gehosteten Dienste, aber die Herkunft des Anbieters ersetzt keine Prüfung des Vertrags. Das Werkzeug wurde 2012 in Prag als Integromat gegründet, im Oktober 2020 von Celonis übernommen und im Februar 2022 in Make umbenannt.
Für die DSGVO zählt allerdings nicht, wo die Firma sitzt, sondern wo die Daten verarbeitet werden und welche Unterauftragnehmer beteiligt sind. Auch ein europäischer Anbieter nutzt Rechenzentren, E-Mail-Versand und Support-Werkzeuge von Dritten, darunter häufig US-Konzerne. Die Liste der Unterauftragsverarbeiter im Auftragsverarbeitungsvertrag ist deshalb aussagekräftiger als jede Länderflagge auf der Startseite.
Wer Make einsetzt, prüft vor dem ersten produktiven Ablauf drei Dinge: welche Region das eigene Konto nutzt, welche Unterauftragnehmer gelistet sind und wie lange Ausführungsdaten aufbewahrt werden. Alle drei Antworten gehören ins Verarbeitungsverzeichnis.
n8n selbst hosten: DSGVO-Vorteil und der Aufwand dahinter
Selbst gehostetes n8n hat einen echten Datenschutz-Vorteil: Zwischen Ihrem Formular und Ihrem CRM steht kein weiterer Dienstleister, der Ausführungsdaten speichert. Für die Plattform selbst brauchen Sie dann keinen Auftragsverarbeitungsvertrag mit n8n – wohl aber mit dem Hoster, auf dessen Server die Instanz läuft.
Der Preis dafür ist Betriebsverantwortung. Updates einspielen, Sicherungen der Datenbank und des Verschlüsselungsschlüssels für die gespeicherten Zugangsdaten, Überwachung, Zugriffsschutz – all das liegt beim Betreiber. Eine Instanz, die seit Monaten kein Update gesehen hat und offen im Netz steht, ist datenschutzrechtlich schlechter als ein gepflegter gehosteter Dienst, weil Artikel 32 DSGVO angemessene Sicherheit verlangt und nicht den Speicherort.
Auch der gehostete Dienst von n8n ist übrigens kein reines EU-Konstrukt: Er läuft nach Herstellerangabe auf Microsoft Azure. Die Daten liegen damit in der EU, aber bei einem Rechenzentrumsbetreiber mit US-Mutterkonzern – dieselbe Konstellation, die bei vielen „EU-Regionen" amerikanischer Anbieter diskutiert wird, weil US-Behörden unter dem CLOUD Act Herausgabe auch von Daten verlangen können, die im Ausland gespeichert sind.
Die n8n-Lizenz: was „Sustainable Use" erlaubt und was nicht
n8n ist kein Open Source im üblichen Sinn, sondern steht unter der Sustainable Use License, die die Nutzung beschränkt. Der Lizenztext erlaubt Nutzung und Änderung nur für eigene interne Geschäftszwecke oder für private, nicht kommerzielle Zwecke. Weitergeben darf man die Software nur unentgeltlich und zu nicht kommerziellen Zwecken.
Für die meisten Betriebe ist das unproblematisch: Wer die eigenen Abläufe automatisiert – Anfragen ins CRM, Rechnungen in die Buchhaltung, Benachrichtigungen ins Team –, nutzt n8n für interne Geschäftszwecke. Anders liegt es, wenn n8n Teil eines Produkts wird, das Sie Ihren Kunden verkaufen, etwa als eingebettete Automatisierung in einer eigenen Software. Dafür braucht es eine gesonderte Lizenz des Herstellers.
Ein zweites Detail übersehen viele Vergleiche: Dateien mit „.ee." im Namen – die Enterprise-Funktionen – fallen gar nicht unter die Sustainable Use License, sondern brauchen eine gültige Enterprise-Lizenz. Wer im Quellcode Funktionen freischaltet, die eigentlich kostenpflichtig sind, bewegt sich außerhalb der Lizenz.
Die Daten fließen trotzdem weiter: angebundene Dienste und KI-Modelle
Die Automatisierungsplattform ist selten der einzige Empfänger der Daten, und genau hier greift der Satz „selbst gehostet heißt DSGVO-konform" zu kurz. Ein Ablauf, der eine Anfrage aus dem Kontaktformular zusammenfassen lässt und in HubSpot anlegt, übermittelt die Daten an das Sprachmodell und an HubSpot – unabhängig davon, ob n8n im eigenen Keller läuft.
Für jeden angebundenen Dienst stellt sich die Frage nach Auftragsverarbeitung und Drittlandtransfer neu. Das gilt besonders für KI-Bausteine: Ob ein Sprachmodell über eine Unternehmens-Schnittstelle mit Auftragsverarbeitungsvertrag angesprochen wird oder über ein privates Konto, macht datenschutzrechtlich den entscheidenden Unterschied.
Der Vorteil des Selbsthostens liegt also darin, einen Empfänger weniger zu haben – nicht darin, dass die Prüfung entfällt. Eine Übersicht, welcher Ablauf welche Daten an welchen Dienst schickt, ist bei jedem der drei Werkzeuge die eigentliche Arbeit.
Welches Werkzeug zu welchem Betrieb passt
Zapier passt, wenn ein Team ohne technische Unterstützung schnell viele verbreitete Dienste verbinden will und die Abläufe keine besonders schutzwürdigen Daten berühren. Make passt, wenn verzweigte Abläufe visuell gebaut werden sollen und ein europäischer Anbieter gewünscht ist, ohne einen Server selbst zu betreiben.
Selbst gehostetes n8n passt, wenn sensible Daten durch die Abläufe fließen, eigene Schnittstellen angebunden werden oder sehr viele Durchläufe anfallen – und wenn jemand den Betrieb verlässlich übernimmt. Fehlt diese Zuständigkeit, ist ein gehosteter Dienst die ehrlichere Wahl.
Zur Offenlegung noch einmal: Wir setzen n8n ein, weil die meisten unserer Projekte eigene Schnittstellen und personenbezogene Daten betreffen. Für ein Fünf-Personen-Büro, das Newsletter-Anmeldungen in eine Tabelle schreiben möchte, wäre das überdimensioniert – dort ist ein gehosteter Dienst mit sauberem Auftragsverarbeitungsvertrag in einer Stunde eingerichtet.
Rechtsgrundlagen
- Verordnung (EU) 2016/679 (DSGVO)(öffnet in neuem Tab)Volltext im Amtsblatt der EU
- Durchführungsbeschluss (EU) 2023/1795 (EU-US Data Privacy Framework)(öffnet in neuem Tab)Angemessenheitsbeschluss für Übermittlungen an zertifizierte US-Unternehmen