Ist dein KI-Stack aus n8n und Claude wirklich DSGVO-konform?
Dein Automatisierungs-Stack im DSGVO-Check.
Dein Automatisierungs-Stack läuft rund: n8n erledigt die Workflows, Claude schreibt Texte oder wertet Daten aus, vielleicht hängt sogar Airtable als Datenbank mit dran. Alles fühlt sich modern und effizient an. Doch eine unbequeme Frage bleibt oft unbeantwortet: Darfst du das eigentlich so betreiben, wie du es gerade tust? Sobald echte Kundendaten durch diese Systeme fließen, bist du nicht mehr nur Technik-Anwender, sondern auch datenschutzrechtlich in der Pflicht.
Das Gute vorweg: Dieser Stack lässt sich vollkommen rechtskonform betreiben. Das Schlechte: Automatisch passiert das nicht. Es hängt an drei ganz konkreten Stellschrauben, die sich mit ein bisschen Wissen selbst überprüfen lassen - ganz ohne Jurastudium. Genau darum geht es in diesem Check. Statt dir zehn einzelne Tool-Analysen vorzusetzen, schauen wir uns exakt die Kombination an, die in der Praxis von Agenturen, Coaches und Beratern tatsächlich zum Einsatz kommt.
n8n: Self-Hosted oder Cloud - die Weichenstellung
Die erste und wichtigste Entscheidung betrifft n8n selbst, genauer: wo die Workflow-Engine läuft, die deine Automatisierungen steuert. Du hast zwei Optionen, und sie unterscheiden sich rechtlich fundamental.
Beim Self-Hosting mietest du dir einen eigenen Server und installierst n8n selbst. Der Vorteil: Weil kein externer Anbieter deine Daten verarbeitet, brauchst du auch keinen sogenannten AVV. Das steht für Auftragsverarbeitungsvertrag - ein Vertrag, der einen externen Dienstleister rechtlich dazu verpflichtet, mit deinen Daten nach EU-Regeln umzugehen. Bei Self-Hosting gibt es diesen Dienstleister schlicht nicht, du hast die volle Kontrolle über den Speicherort.
Bei n8n Cloud dagegen, selbst wenn die Server in Frankfurt stehen, brauchst du zwingend einen AVV mit dem Anbieter. Zusätzlich musst du den Prozess in deinem Verarbeitungsverzeichnis dokumentieren, kurz VVT - eine interne Liste, die für jeden Datenprozess festhält, welche Daten wie und warum verarbeitet werden. Wichtig dabei: Auch die Subunternehmer, die der Cloud-Anbieter selbst einsetzt, gehören auf deinen Prüfzettel.
Self-Hosted oder Cloud: Die Kosten- und Pflichten-Unterschiede auf einen Blick.
Was kostet der Unterschied wirklich?
Self-Hosting ist finanziell überraschend günstig. Ein passender Server bei Hetzner startet bei 3,99 Euro im Monat, für den produktiven Einsatz solltest du eher mit 6,49 Euro plus etwa 5 Euro fürs Backup rechnen - macht zusammen 10 bis 15 Euro monatlich an reiner Infrastruktur. Der eigentliche Aufwand steckt nicht im Geld, sondern in der Zeit: Updates einspielen, Server überwachen, Backups prüfen.
n8n Cloud dagegen staffelt sich nach Nutzung: Der Starter-Tarif kostet 24 Euro im Monat für 2.500 Ausführungen, Pro liegt bei 60 Euro für 10.000, Business bei 800 Euro für 40.000 Ausführungen. Bei niedrigem bis mittlerem Volumen ist die Cloud damit fast immer die teurere Variante.
| Kriterium | Self-Hosted | n8n Cloud |
|---|---|---|
| Kosten/Monat | ca. 10-15 EUR | 24-800 EUR je nach Volumen |
| AVV nötig | Nein | Ja, zwingend |
| Kontrolle über Speicherort | Voll | Eingeschränkt |
| Aufwand | Eigene Wartung nötig | Anbieter übernimmt Betrieb |
Aber Vorsicht vor einem Denkfehler: Self-Hosting ist nur so sicher wie seine Pflege. Ein drei Monate lang ungepatchter eigener Server ist ein größeres Risiko als eine gepflegte Cloud-Instanz. Und wenn du „Managed Hosting" nutzt, bei dem ein Dienstleister die Wartung übernimmt, heißt das noch lange nicht, dass die Server automatisch in der EU stehen. Lass dir das schriftlich bestätigen, statt Marketing-Aussagen zu vertrauen.
Zur Einordnung: der Blick auf Zapier
Um zu verstehen, warum n8n hier strukturell im Vorteil ist, lohnt sich ein kurzer Seitenblick auf Zapier, ein beliebtes Konkurrenzprodukt. Zapier verarbeitet sämtliche Daten über US-Infrastruktur. Das bedeutet einen Drittlandtransfer - die Übermittlung von Daten in ein Land außerhalb der EU, das nicht automatisch dieselben Datenschutz-Standards garantiert. Abgesichert wird das aktuell über das EU-US Data Privacy Framework, bereits die dritte Konstruktion dieser Art, nachdem die beiden Vorgänger von Gerichten gekippt wurden. Rechtlich also ein Konstrukt unter Dauerbeobachtung.
Auch finanziell zeigt sich ein deutliches Bild: Zapier Team kostet über ein Jahr gerechnet rund 1.100 Euro, während self-hosted n8n auf einem EU-Server mit etwa 120 Euro im Jahr auskommt. Faktor zehn Unterschied - bei gleichzeitig besserer Datenschutzlage für die EU-Variante.
Zapier vs. selbst gehostetes n8n: Faktor 10 bei den Jahreskosten - und die Daten bleiben in der EU.
Claude: Warum die Tarifstufe über deine Rechtssicherheit entscheidet
Beim KI-Baustein deines Stacks entscheidet nicht die Technik, sondern der Vertrag, den du abschließt. Für einen rechtsgültigen AVV mit Anthropic, dem Anbieter von Claude, brauchst du mindestens den Pro-Tarif. Die kostenlose Version ermöglicht rechtlich gar keinen AVV-Abschluss. Zum Vergleich: Bei ChatGPT ist es ähnlich, dort reicht der Plus-Tarif nicht, du brauchst mindestens Enterprise.
Besonders wichtig wird das bei Agenten mit Dateizugriff, etwa Claude Code oder Claude Cowork. Das sind KI-Werkzeuge, die nicht nur antworten, sondern selbstständig auf Dateien und Ordner zugreifen dürfen. Hier steigt das Datenschutzrisiko spürbar, und vier zusätzliche Pflichten kommen ins Spiel:
- Ein Eintrag im Verarbeitungsverzeichnis (VVT)
- Eine Datenschutz-Folgenabschätzung, kurz DSFA - eine schriftliche Risikoprüfung, die vorab abschätzt, wie riskant eine neue Technologie für die Daten deiner Kunden ist
- Der AVV mit Anthropic
- Mehrere zielgruppenspezifische Datenschutzerklärungen
Ein Punkt wird gerne übersehen: Wenn ein Mitarbeiter privat und ohne Unternehmensrichtlinie Kundendaten in Claude Code oder Cowork verarbeitet, bleibt trotzdem dein Unternehmen datenschutzrechtlich verantwortlich, nicht der einzelne Mitarbeiter. Prüfe außerdem aktiv, meist über eine Einstellung im jeweiligen Tool, dass deine Daten nicht zum Training der KI verwendet werden.
Die Dokumentations-Pflichten, die die meisten vergessen
Selbst mit dem richtigen Hosting und dem passenden Tarif fehlt noch ein Baustein: die Dokumentation. Der AVV ist in praktisch allen Fällen, also zu 99,9 Prozent, Pflicht, sobald du mit KI personenbezogene Daten verarbeitest. Aber eben nicht jeder Tarif ermöglicht automatisch dessen Abschluss, wie du oben bei Claude gesehen hast.
Ein VVT-Eintrag für einen KI-gestützten Prozess, etwa die automatisierte Angebotserstellung, muss folgende Angaben enthalten:
- Name des Prozesses
- Rechtliche Grundlage
- Zweck der Verarbeitung
- Wer die Daten empfängt
- Wie lange sie aufbewahrt werden
- Wo sie verarbeitet werden
Zusätzlich solltest du mehrere separate Datenschutzerklärungen führen, je nach Personengruppe: Kunden und Interessenten, Mitarbeiter, Projektpartner, Geschäftspartner. Eine einzige generische Erklärung reicht nicht aus. Sensible Mitarbeiterdaten wie Sozialversicherungsnummern oder Gesundheitsinformationen dürfen niemals in einer Kunden-Datenschutzerklärung landen.
Wer diese Dokumentation ignoriert, riskiert einiges: Abmahnungen von Mitbewerbern, Bußgelder der Aufsichtsbehörden und Schadenersatzforderungen in fünf- bis sechsstelliger Höhe. Für kleinere Unternehmen kann das existenzbedrohend werden.
Dein 5-Punkte-Sofort-Check
Der 5-Punkte-Check für deinen eigenen KI-Automatisierungs-Stack.
Bevor du deinen Stack weiter produktiv nutzt, geh diese fünf Fragen ehrlich durch:
- Daten einordnen: Verarbeitest du sensible Daten wie Finanzen, Verträge oder Gesundheitsinformationen?
- IT-Kapazität prüfen: Hast du wirklich Zeit und Know-how für die Wartung eines eigenen Servers?
- Volumen abschätzen: Liegst du unter 2.500 Ausführungen im Monat? Dann spricht vieles für Self-Hosting.
- AVV-Bereitschaft klären: Bist du bereit, den nötigen Vertrag mit dem Anbieter abzuschließen und die passende Tarifstufe zu buchen?
- Entscheidung dokumentieren: Halte deine Wahl samt Begründung schriftlich fest - das zahlt direkt auf deine Dokumentationspflicht ein.
Fazit und Ausblick
Dein n8n-Claude-Stack kann absolut rechtssicher laufen, aber nur, wenn du die drei Stellschrauben aktiv bedienst: die richtige Hosting-Entscheidung bei n8n, die passende Tarifstufe bei Claude und eine saubere, lückenlose Dokumentation. Keiner dieser Punkte ist kompliziert, sobald du weißt, worauf es ankommt - aber jeder einzelne kann ohne Prüfung zur teuren Falle werden.
Ein Blick nach vorn lohnt sich ebenfalls: Ab August 2026 greifen zusätzliche EU-Vorgaben zu KI-Systemen, mit mehr Pflichten rund um Dokumentation, Schulung, Risikobewertung und Transparenz. Wer die hier beschriebenen Hausaufgaben, also AVV, VVT und passende Datenschutzerklärungen, schon erledigt hat, hat den Großteil davon bereits im Kasten.
Nimm dir also die fünf Check-Punkte von oben und geh sie diese Woche einmal konkret für deinen eigenen Stack durch. Das kostet dich eine Stunde und erspart dir im Zweifel eine Menge Ärger.
Brauche ich einen AVV, wenn ich n8n nur privat teste?
Solange keine personenbezogenen Kundendaten verarbeitet werden, ist ein AVV nicht zwingend nötig - sobald du aber produktiv mit echten Daten arbeitest, wird er in fast allen Fällen Pflicht.
Reicht der kostenlose Claude-Tarif für den Einstieg?
Zum Testen und Ausprobieren ja, für den produktiven Einsatz mit Kundendaten nein, da erst ab dem Pro-Tarif ein rechtsgültiger AVV mit Anthropic möglich ist.
Ist Self-Hosting nicht viel zu aufwendig für kleine Teams?
Der reine Server kostet nur wenige Euro im Monat, der eigentliche Aufwand liegt in der laufenden Wartung - für sensible Daten lohnt sich dieser Mehraufwand aber in der Regel trotzdem.
Was passiert, wenn ein Mitarbeiter eigenmächtig Kundendaten in eine KI lädt?
Das Unternehmen bleibt datenschutzrechtlich verantwortlich, auch wenn die Nutzung ohne Freigabe und privat erfolgte - klare interne Richtlinien sind deshalb unverzichtbar.
Muss ich für jeden KI-Prozess eine eigene Datenschutz-Folgenabschätzung machen?
Nur bei riskanten Technologien wie Agenten mit Dateizugriff ist eine DSFA verpflichtend, bei einfachen Chat-Anwendungen ist sie in der Regel nicht nötig.