DSGVO bei Automatisierung: Worauf Sie bei n8n und Make achten sollten
Ein automatisierter Ablauf trägt Daten von einem Programm ins nächste. Fast immer sind darunter personenbezogene Daten: Name und Telefonnummer aus einer Anfrage, die Adresse der Baustelle, die Stunden eines Mitarbeiters. Die DSGVO verbietet das nicht. Aber sie verlangt, dass Sie wissen, welche Daten wohin fließen, und dass diese Daten geschützt sind.
Die gute Nachricht: Wer einen Ablauf sauber plant, beantwortet die meisten Datenschutzfragen gleich mit. Die folgenden Punkte helfen Ihnen, die richtigen Fragen zu stellen, an Ihren Dienstleister und an Ihre Datenschutzberatung.
1. Welche Daten fließen durch den Ablauf?
Schreiben Sie für jeden Ablauf auf, welche Daten er anfasst. Typisch im Handwerk und Mittelstand:
- Kundendaten: Name, Adresse, Telefonnummer, E-Mail, Anliegen.
- Auftragsdaten: Aufmaße, Fotos, Angebote, Rechnungen.
- Mitarbeiterdaten: Arbeitszeiten, Einsatzorte, Krankmeldungen.
Achtung bei Krankmeldungen: Angaben zur Gesundheit gehören zu den besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO), für die strengere Regeln gelten. Solche Daten sollten nur dann durch einen Ablauf laufen, wenn es wirklich nötig ist.
2. Nur die Daten, die der Ablauf braucht
Die DSGVO kennt den Grundsatz der Datenminimierung (Art. 5 DSGVO): so viele Daten wie nötig, so wenige wie möglich. Für einen Ablauf heißt das ganz praktisch:
- Braucht das Rechnungsprogramm nur Name und Adresse, wird nicht die ganze E-Mail weitergereicht.
- Anhänge werden nur dorthin übertragen, wo sie gebraucht werden.
- Zwischenkopien im Automatisierungswerkzeug bleiben nicht dauerhaft liegen.
Das ist nicht nur Datenschutz, sondern auch gutes Handwerk: Ein Ablauf, der nur überträgt, was gebraucht wird, ist übersichtlicher und leichter zu warten.
3. Wo läuft der Ablauf?
Für Ihre Entscheidung zählt vor allem, auf welchem Server die Daten verarbeitet werden.
- Make ist ein Cloud-Dienst. Eine Region in der EU ist wählbar, den Server betreiben Sie aber nicht selbst.
- n8n gibt es als Cloud-Dienst des Anbieters oder zum Betrieb auf einem eigenen Server. Dann liegen die Daten auf einem Server, über den Sie oder Ihr Dienstleister entscheiden.
Ein eigener Server ist allerdings kein Freifahrtschein. Auch er muss geschützt werden: regelmäßige Updates, sichere Zugänge, verschlüsselte Verbindungen, Datensicherung. Die DSGVO spricht von technischen und organisatorischen Maßnahmen (Art. 32 DSGVO). Wer den Server betreibt, muss sich darum kümmern.
Und schauen Sie über das Werkzeug hinaus: Ein Ablauf verbindet mehrere Programme. Sitzt eines davon außerhalb der EU, etwa ein E-Mail- oder KI-Dienst, gelten für die Übermittlung zusätzliche Regeln (Kapitel V DSGVO). Die Unterschiede zwischen beiden Werkzeugen im Überblick lesen Sie im Artikel n8n oder Make.
4. Auftragsverarbeitung: Wann Sie einen Vertrag brauchen
Verarbeitet ein Dienstleister personenbezogene Daten in Ihrem Auftrag, ist er Auftragsverarbeiter. Dafür schreibt Art. 28 DSGVO einen Vertrag vor, den AV-Vertrag. Das betrifft typischerweise:
- Cloud-Dienste, über die Ihre Abläufe laufen, zum Beispiel Make oder n8n Cloud,
- den Anbieter des Servers, auf dem n8n läuft,
- einen Dienstleister, der Ihre Abläufe betreibt und dabei Zugriff auf Daten hat.
Laut Art. 28 Abs. 3 DSGVO gehört unter anderem in den Vertrag:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung,
- welche Arten von Daten und welche Personengruppen betroffen sind,
- dass der Dienstleister nur auf Ihre Weisung handelt,
- die Schutzmaßnahmen und die Pflicht zur Vertraulichkeit,
- unter welchen Bedingungen weitere Unterauftragnehmer eingesetzt werden,
- was mit den Daten nach Vertragsende passiert: löschen oder zurückgeben.
Fragen Sie jeden Dienstleister, der Ihre Abläufe betreibt, vor dem Start danach. Auch mich.
5. Protokolle: Was das Werkzeug mitschreibt
Automatisierungswerkzeuge speichern Ausführungsprotokolle. Das ist nützlich: Hakt ein Ablauf, sieht man darin, was passiert ist. Diese Protokolle können aber genau die personenbezogenen Daten enthalten, die durch den Ablauf geflossen sind.
Legen Sie deshalb fest, wie lange Protokolle aufbewahrt werden und wer sie sehen darf. Beim eigenen Betrieb von n8n lässt sich einstellen, ob und wie lange Ausführungsdaten gespeichert werden. Bei Cloud-Diensten prüfen Sie die Einstellungen des Anbieters.
6. Dokumentieren, bevor jemand fragt
In vielen Betrieben ist ein Verzeichnis von Verarbeitungstätigkeiten Pflicht (Art. 30 DSGVO). Ein neuer Ablauf kann dort einen Eintrag brauchen. Und wenn Anfragen über ein Formular auf Ihrer Website in einen Ablauf laufen, gehört das in Ihre Datenschutzerklärung.
Beides geht leichter, wenn der Ablauf selbst dokumentiert ist. Bei mir ist das Teil jedes Ablaufs: Welche Daten wohin fließen, ist dokumentiert, und die Dokumentation liegt in Ihrem Zugang, nicht in meinem.
Wenn KI mitliest
Sortiert ein KI-Assistent eingehende Anfragen vor, liest er personenbezogene Daten. Klären Sie dann besonders genau, wo der KI-Dienst sitzt und welche Verträge dafür nötig sind. Und seien Sie offen zu Ihren Kunden: Der KI-Assistent, den ich baue, gibt sich gegenüber Ihren Kunden als KI-Assistent zu erkennen und arbeitet mit Ihren Daten, nicht mit erfundenen.
Checkliste für Ihren nächsten Ablauf
- Welche personenbezogenen Daten verarbeitet der Ablauf?
- Braucht der Ablauf wirklich alle diese Daten?
- Auf welchem Server läuft er, und in welchem Land steht der?
- Welche weiteren Programme und Dienste sind beteiligt?
- Mit wem brauchen Sie einen AV-Vertrag?
- Wie lange werden Protokolle gespeichert, und wer sieht sie?
- Ist der Ablauf dokumentiert, und liegt die Dokumentation bei Ihnen?
- Müssen Verzeichnis oder Datenschutzerklärung ergänzt werden?
Wie ich das umsetze
Auf Wunsch laufen Ihre Abläufe auf einem Server in Deutschland, den ich für Sie betreibe. Jeder Ablauf hat eine Fehlerbehandlung und eine Benachrichtigung, damit kein Datensatz unbemerkt verloren geht. Und alles ist dokumentiert und liegt in Ihrem Zugang. Mit Sicherheitsvorgaben habe ich schon vor meiner Selbstständigkeit gearbeitet: Als Angestellter der MeQuEn GmbH habe ich eine Hinweisgeberschutz-Plattform unter BSI-Sicherheitsvorgaben mitentwickelt.
Was das kostet, steht im Artikel Was kostet Prozessautomatisierung?. Alles zu Betrieb und Werkzeugen finden Sie auf der Seite Automatisierung mit n8n und Make.
Häufige Fragen zu DSGVO und Automatisierung
Ist n8n DSGVO-konform?
Ein Werkzeug allein ist weder konform noch nicht konform. Entscheidend ist, wie Sie es einsetzen: welche Daten durch den Ablauf fließen, wo er läuft, wer Zugriff hat und wie lange Protokolle gespeichert werden. n8n lässt sich auf einem eigenen Server betreiben. Das erleichtert es, selbst zu bestimmen, wo Kunden- und Auftragsdaten liegen.
Brauche ich einen Vertrag zur Auftragsverarbeitung, wenn ein Dienstleister meine Abläufe betreibt?
Wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, etwa weil er den Server betreibt, schreibt Art. 28 DSGVO in der Regel einen solchen Vertrag vor. Das gilt auch für Cloud-Dienste wie Make. Ob und mit wem Sie einen Vertrag brauchen, klären Sie im Zweifel mit Ihrem Datenschutzbeauftragten.
Darf ich Kundendaten mit Make verarbeiten?
Make ist ein Cloud-Dienst, bei dem sich eine Region in der EU wählen lässt. Ob der Einsatz für Ihren Betrieb zulässig ist, hängt von den Daten, dem Vertrag mit dem Anbieter und dessen Unterauftragnehmern ab. Das ist eine Einzelfallfrage für Ihre Datenschutzberatung.
Wo liegen die Daten, wenn Sie meine Abläufe betreiben?
Auf Wunsch laufen Ihre Abläufe auf einem Server in Deutschland, den ich für Sie betreibe. Welche Daten wohin fließen, ist dokumentiert, und die Dokumentation liegt in Ihrem Zugang.
Im kostenlosen Erstgespräch gehe ich mit Ihnen durch, welche Daten Ihr Ablauf braucht, wo er laufen kann und was Sie mit Ihrer Datenschutzberatung klären sollten.
Kostenloses Erstgespräch