n8n
n8n
Beoordelingslabels zijn redactionele duiding, geen AVG-certificering. Toets het exacte abonnement, de rechtsgrond, DPA, subverwerkers, bewaartermijnen, dataresidentie en instellingen. EU-opslag en geen training bewijzen op zichzelf geen AVG-compliance. ¹ Geen training geldt onder de voorwaarden van het beoordeelde abonnement.
Prijs / Contractroute
Starter EUR20/month and Pro EUR50/month billed annually; self-hosted Business EUR667/month billed annually; Enterprise custom
Enterprise Functies
EU-hosted Cloud, customer-selected self-hosting, DPA/SCC route, SSO/SAML, LDAP, Git version control, audit and security controls
Laatst bijgewerkt
September 10, 2026
Beoordeeld: 10 september 2026 - opgesteld door WAIMAKERS B.V.
1 Doel
Voorwaardelijke zakelijke route. n8n kan een GDPR-conforme workflow ondersteunen, maar het product zelf is geen algemene compliance-uitkomst. De klant moet een rechtsgrond vaststellen, bewaring en toegang configureren, elke gekoppelde dienst beoordelen en internationale doorgiften documenteren.
n8n GmbH is gevestigd in Berlijn. n8n Cloud draait op Microsoft Azure en de openbare prijspagina zegt dat gegevens van gehoste abonnementen in Frankfurt, Duitsland, worden opgeslagen. De actuele subprocessorlijst noemt daarnaast EU-verwerking in Duitsland en Zweden, terwijl optionele AI-aanbieders in de EU of VS kunnen verwerken. Een self-hosted installatie volgt de infrastructuur en integraties die de klant kiest.
2 Vergelijking van n8n-implementatieopties (EU-focus)
| Optie | Hosting en controle | Training op klantcontent | Contract en assurance | Openbare prijs op beoordelingsdatum |
|---|---|---|---|---|
| Community Edition | Self-hosted; klant kiest locatie en beheert beveiliging, back-ups en bewaring | n8n Cloud ontvangt niet automatisch workflowcontent doordat de software self-hosted is; telemetrie is een aparte, configureerbare gegevensstroom | Sustainable Use License; geen assurance voor de door de klant beheerde omgeving | Gratis software; infrastructuur en beheer komen erbij |
| Cloud Starter | Door n8n gehost in de EU; 1 gedeeld project en 5 gelijktijdige uitvoeringen | Actuele Cloud- en AI-voorwaarden zeggen dat Customer Content en AI Output niet worden gebruikt om ML-modellen te trainen | DPA geldt via de Self-Serve Terms; SOC 2-rapport is afgeschermd en SOC 3 is openbaar | €20/maand bij jaarbetaling voor 2.500 uitvoeringen; controleer maandprijs bij aankoop |
| Cloud Pro | Door n8n gehost in de EU; 3 gedeelde projecten en 20 gelijktijdige uitvoeringen | Dezelfde contractuele geen-trainingstoezegging | Dezelfde DPA en cloudbeveiliging | €50/maand bij jaarbetaling voor 10.000 uitvoeringen; controleer maandprijs bij aankoop |
| Business | Wordt momenteel als self-hosted aangeboden | Dezelfde AI Terms; voor door de klant gekozen LLM's gelden eigen voorwaarden | SSO/SAML/LDAP, omgevingen en Git-versiebeheer; forumondersteuning | €667/maand bij jaarbetaling voor 40.000 uitvoeringen |
| Enterprise | Door n8n gehost of self-hosted | Dezelfde AI Terms, afhankelijk van geconfigureerde derde diensten | DPA/order op maat, dedicated support/SLA, externe secrets, logstreaming en langere bewaring | Maatwerk |
Prijzen zijn exclusief eventuele klantinfrastructuur en mogelijk exclusief belasting. n8n factureert per volledige workflowuitvoering en kan limieten of prijzen wijzigen.
3 Is n8n GDPR-Compliant?
Datagebruik, AI en bewaring
- ✅ De actuele n8n AI Terms zeggen dat n8n Customer Content of Output niet gebruikt om ML-modellen te trainen en Customer Content niet langer bewaart dan nodig om een AI-functie uit te voeren en output terug te geven.
- ⚠️ Dezelfde AI Terms staan gebruik toe van geaggregeerde en gede-identificeerde gebruiksdata en prompts voor verbetering van AI-diensten. De algemene Cloudvoorwaarden staan ook Usage Data en gede-identificeerde datasets afgeleid van Customer Content toe voor productverbetering. Dit is beperkter dan training op ruwe content, maar maakt “geen enkel gebruik van klantdata” onjuist.
- ⚠️ Als een klant een externe LLM configureert, instrueert die n8n om gegevens aan die aanbieder door te geven. Locatie, bewaring en trainingsbeleid moeten apart worden beoordeeld. De actuele subprocessorlijst van n8n bevat AI-aanbieders met verwerkingslocaties in de EU en VS.
- ⚠️ Cloud-uitvoeringshistorie wordt bewaard volgens abonnementslimieten en accountinstellingen. De actuele Self-Serve Terms zeggen dat resterende Customer Content gewoonlijk zes maanden na deactivering van het account wordt verwijderd, behoudens wettelijke, boekhoudkundige of regelgevende bewaarplichten.
- ⚠️ Bewaring van self-hosted uitvoeringen is configureerbaar, maar de beheerder blijft verantwoordelijk voor opschoning, encryptie at rest, TLS, back-ups, toegangsbeheer en verwijdering. Telemetrie van n8n zelf kan worden uitgeschakeld; gekoppelde nodes kunnen nog steeds gegevens extern versturen.
De eerdere stelling dat AI-context altijd na exact 30 dagen wordt verwijderd, gebruiken we niet: de AI Terms van juli 2026 hanteren een noodzakelijkheidstoets voor verwerking en aanbiederspecifieke voorwaarden kunnen afwijken.
Beveiliging en locatie
n8n zegt dat zijn Clouddienst verkeer tijdens transport versleutelt en Azure Storage server-side AES-256-encryptie at rest gebruikt. Het beveiligingsprogramma is op SOC 2 ingericht, wordt jaarlijks onafhankelijk geaudit en biedt een SOC 2-rapport aan Enterprise-klanten en een openbaar SOC 3-rapport. Deze maatregelen ondersteunen een risicobeoordeling; ze certificeren de workflows van de klant niet als GDPR-conform.
EU-hosting betekent niet dat elke workflow in de EU blijft. Gegevens kunnen de gekozen n8n-omgeving verlaten via integraties, webhooks, supportprocessen, groepsmaatschappijen of optionele AI-functies. Als GDPR Hoofdstuk V van toepassing is, leg dan het feitelijke doorgiftemechanisme in de DPA/subprocessorregistratie vast en beoordeel of aanvullende maatregelen nodig zijn.
4 EU-implementatie Checklist (Praktisch)
- Breng persoonsgegevens, doel, rechtsgrond, betrokkenen en elke ontvangende node in kaart.
- Kies Cloud of self-hosting op basis van vastgelegde eisen voor residentie, beveiliging en beheer.
- Sluit de toepasselijke DPA en archiveer die; registreer actuele subprocessors en doorgiftemechanismen.
- Configureer de kortst werkbare bewaring van uitvoeringshistorie en een verwijderproces.
- Configureer bij self-hosting TLS, encryptie at rest, secretsbeheer, patching, back-ups en telemetrievoorkeuren.
- Beperk rollen en credentials; gebruik Business of Enterprise waar SSO, omgevingen of centrale governance nodig zijn.
- Beoordeel elk AI-model en elke integratie afzonderlijk. Neem niet aan dat n8n's toezeggingen doorwerken naar een door de klant gekozen aanbieder.
- Voer een DPIA uit als de voorgenomen verwerking waarschijnlijk een hoog risico oplevert en houd waar van toepassing het Artikel 30-register actueel.
5 Aandachtspunten & Voorbehouden
Open inkoopvragen
- Verkrijg de ondertekende DPA met actuele bijlagen; vertrouw niet alleen op de openbare landingspagina.
- Bevestig de precieze Cloud-bewaarlimieten van het gekochte abonnement en het verwijderpad voor back-ups en supportdata.
- Bevestig verwerkingslocaties voor elke optionele AI-functie en gekozen LLM.
- Vraag het actuele SOC 2-rapport op als de scope relevant is; de openbare site toont geen ISO 27001-certificering aan.
- Bevestig of een air-gapped ontwerp verenigbaar is met licentiecontroles en ingeschakelde enterprisefuncties.
6 Referenties
- n8n prijzen en locatie van gehoste gegevens
- n8n Self-Serve Terms
- n8n AI Terms
- n8n Data Processing Agreement
- n8n subprocessors
- n8n beveiliging
- n8n privacydocumentatie
- GDPR, officiële tekst
- EDPB-aanbevelingen over aanvullende doorgiftemaatregelen
7 Disclaimer
Deze pagina is een praktisch overzicht voor inkoop en gegevensrisico, geen juridisch advies. Geschiktheid hangt af van de ondertekende voorwaarden, implementatie, configuratie, gekoppelde diensten, gegevenscategorieën en de eigen GDPR-beoordeling van de klant.