n8n

Die n8n GmbH ist eingetragen unter Novalisstr. 10, 10115 Berlin, Deutschland (Amtsgericht Charlottenburg HRB 212509 B, USt-IdNr. DE327574983); Gründer Jan Oberhauser ist alleiniger Geschäftsführer. Sowohl die Datenschutzerklärung als auch die Master Enterprise Terms nennen die n8n GmbH als Verantwortliche und Vertragspartnerin. Die Kundenverträge (sowohl Self-Serve Terms als auch Master Enterprise Terms) unterliegen jedoch englischem und walisischem Recht mit London als ausschließlichem Gerichtsstand -- das ist eine Gerichtsstandswahl, keine Änderung der anwendbaren Datenschutzgesetze. Personenbezogene Daten aus der EU unterliegen weiterhin der DSGVO. Im Impressum, in der Subprocessor-Liste und in den AGB ist keine US-Tochtergesellschaft oder US-Meldeentität offengelegt.

Die Exposition wird als „partial-via-subprocessors“ eingestuft. Die Konzernstruktur selbst ist vollständig europäisch -- die n8n GmbH (Berlin) schließt direkt mit Kunden ab, und es gibt keine US-Tochtergesellschaft. Die Exposition entsteht über die Kette der Auftragsverarbeiter: Workflow-Daten der Kunden werden auf Microsoft Azure verarbeitet (US-Mutterkonzern; EU-Regionen in Frankfurt und Schweden), der Traffic läuft über Cloudflare (USA), Anwendungstelemetrie wird an Sentry übermittelt (USA, o1420875.ingest.us.sentry.io), und KI-Integrationen senden -- sobald vom Kunden aktiviert -- Prompt- und Completion-Daten an OpenAI (USA), Anthropic (vertraglich über Anthropic Ireland Ltd; Inferenz in US-Regionen), Google Vertex AI (EU/USA) und LangChain (USA). Internationale Datenübermittlungen sind unter dem EU-U.S. Data Privacy Framework sowie Standardvertragsklauseln gemäß Art. 44 ff. DSGVO dokumentiert. Eine selbst gehostete Community-Edition-Bereitstellung entfernt die SaaS-Subprocessor-Kette vollständig -- der Kunde wählt sein eigenes Hosting und seine eigenen KI-Anbieter.

n8n ist source-available, aber NICHT OSI-anerkannte Open Source. Das Repository n8n-io/n8n steht unter einer eigenen Sustainable Use License v1.0 sowie einer separaten Ausnahmeregelung für die Enterprise Edition -- die Lizenz-Metadaten von GitHub geben korrekterweise Other statt einer anerkannten OSI-Lizenz zurück. Wörtliche Beschränkungen aus der Lizenz: „You may use or modify the software only for your own internal business purposes or for non-commercial or personal use. You may distribute the software or provide it to others only if you do so free of charge for non-commercial purposes.“ Quellcode-Dateien, die .ee. im Dateinamen oder .ee im Verzeichnisnamen enthalten, sind von der Sustainable Use License ausgenommen und benötigen eine separate Enterprise License. Das Repository wechselte im März 2022 von Apache 2.0 + Commons Clause zur Sustainable Use License.

n8n Cloud wird auf Microsoft Azure in der Europäischen Union betrieben -- die Preisseite gibt an, dass EU-Tarife Daten in Frankfurt speichern, und die Sicherheitsseite weist darauf hin, dass weitere Regionen vorbereitet werden. Verschlüsselung im Ruhezustand erfolgt serverseitig durch Azure mit AES-256 (FIPS 140-2); die Verschlüsselung im Transit erfolgt per TLS über Cloudflare (Edge-PoP Frankfurt, sichtbar in den cf-ray-Headern). Die vollständige Subprocessor-Liste (https://n8n.io/legal/sub-processors/) nennt sechs autorisierte Auftragsverarbeiter: Microsoft Azure (US-Mutter, EU-Datenhaltung), Hetzner Online (Deutschland), OpenAI (USA), Anthropic (Irland), Google Vertex AI (EU/USA) und LangChain (USA). Workflow-Daten der Kunden werden innerhalb von rund sechs Monaten nach Deaktivierung des Kontos gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Selbst gehostete Community- und Business-Bereitstellungen halten alle Kundendaten innerhalb der vom Kunden gewählten Infrastruktur.

Nein. Die AI Terms unter https://n8n.io/legal/ai-terms/ enthalten zwei wörtliche, bindende Verbote: „n8n will not: Use Customer Data to train any AI models operated by n8n“ und „n8n will not use AI Output to train AI models operated by n8n“. Die Datenschutzerklärung bekräftigt: „No personal data used for AI/ML model training“. Die KI-Architektur ist zudem von Grund auf schlank gehalten -- n8n betreibt selbst keine LLM-Dienste; stattdessen halten die AI Terms fest: „Customer configures LLM providers (OpenAI, Anthropic, Google, etc.) using Customer's own API credentials“, das heißt, die Beziehung des Kunden zum LLM-Anbieter besteht direkt, und die Datenverarbeitungsrichtlinien des jeweiligen Anbieters gelten auf dieser Ebene. Die Customer Acceptable Use Policy (gültig ab März 2026) verbietet zudem ausdrücklich „Using AI components to train competing models“.