KI-Agenten mit n8n erstellen: Sieben praktische Tipps für einen rechtlich abgesicherten Einsatz

Mit n8n lassen sich KI-Modelle, Datenquellen und Unternehmensanwendungen zu automatisierten Arbeitsabläufen verbinden. Ein KI-Agent kann beispielsweise eingehende Serviceanfragen einordnen, Informationen aus einer Wissensdatenbank abrufen und Antwortentwürfe vorbereiten. [13] Sobald er personenbezogene Daten verarbeitet, Nachrichten versendet oder Geschäftsvorgänge auslöst, können rechtliche Anforderungen entstehen, die über die technische Einrichtung hinausgehen.

Für Unternehmen in Deutschland sind insbesondere die Datenschutz-Grundverordnung, die europäische KI-Verordnung, vertragliche Pflichten und gegebenenfalls das Arbeitsrecht maßgeblich. In Rechtsanwaltskanzleien kommen berufsrechtliche Verschwiegenheitspflichten hinzu. Entscheidend ist deshalb nicht nur, ob ein Workflow funktioniert, sondern auch, welche Daten er verwendet, welche Befugnisse er erhält und wie seine Ergebnisse kontrolliert werden.

Die folgenden sieben Tipps verbinden die technische Gestaltung mit diesen rechtlichen Anforderungen. Sie bieten eine Orientierung für Planung und Betrieb, ersetzen aber keine Prüfung des konkreten Geschäftsmodells, der Anbieterbedingungen und der eingesetzten Daten.

• Ein KI-Agent sollte einen eng begrenzten Auftrag erhalten. Nicht jeder Verarbeitungsschritt benötigt ein Sprachmodell.
• Für personenbezogene Daten müssen Rechtsgrundlage, Empfänger, Speicherfristen und mögliche Drittlandübermittlungen geklärt sein.
• Selbst betriebenes n8n bedeutet nicht automatisch, dass auch das angeschlossene KI-Modell lokal arbeitet.
• Zugriffsrechte, abgesicherte Schnittstellen und verbindliche Freigaben begrenzen die Folgen fehlerhafter Ausgaben.
• Automatisierte Entscheidungen über Menschen können zusätzlichen Anforderungen unterliegen; eine nur formale menschliche Bestätigung beseitigt diese nicht ohne Weiteres.
• Kanzleien müssen neben dem Datenschutz insbesondere Berufsgeheimnisse und die rechtliche Zulässigkeit automatisierter Beratungsangebote beachten.

Was ein KI-Agent mit n8n tatsächlich leistet

Vom festen Workflow zur begrenzten Handlungsfähigkeit

Ein herkömmlicher Workflow folgt weitgehend vorgegebenen Regeln: Geht ein Formular ein, werden bestimmte Felder geprüft und anschließend in eine Datenbank geschrieben. Bei einem KI-gestützten Ablauf übernimmt ein Modell zusätzlich Aufgaben wie das Klassifizieren, Zusammenfassen oder Formulieren.

Von einem KI-Agenten wird typischerweise gesprochen, wenn das System innerhalb eines vorgegebenen Rahmens auswählt, welche Informationen oder Werkzeuge es für eine Aufgabe benötigt. Der Begriff allein bestimmt jedoch keine rechtliche Einstufung. Für die rechtliche Bewertung zählen die tatsächlichen Funktionen, Datenverarbeitungen und Auswirkungen. Ob ein KI-System im Sinne der KI-Verordnung vorliegt, richtet sich nach Art. 3 Nr. 1 KI-Verordnung. [2]

Ein geeigneter Einstieg: Entwürfe statt autonomer Entscheidungen

Serviceanfrage → Eingangsprüfung → Entfernung unnötiger Daten → Abruf freigegebener Informationen → Antwortentwurf → Qualitätsprüfung → menschliche Freigabe.

Dieser Aufbau trennt die inhaltliche Unterstützung von nach außen wirkenden Handlungen. Der Agent darf einen Text vorbereiten, aber beispielsweise keine Erstattung verbindlich zusagen oder Kundendaten eigenständig ändern. Bereits die vorbereitende Datenverarbeitung muss allerdings rechtlich zulässig sein.

Wichtig ist außerdem die Unterscheidung zwischen einem strukturierten Ausgabeformat und einem zutreffenden Ergebnis: Auch eine technisch gültige Datenausgabe kann falsche Tatsachen enthalten.

Datenschutz und KI-Verordnung gelten nebeneinander

Bei der Verarbeitung personenbezogener Daten ist die DSGVO innerhalb ihres sachlichen und räumlichen Anwendungsbereichs zu beachten. Personenbezogen können nicht nur Namen und Kontaktdaten sein, sondern je nach Zusammenhang auch Nachrichteninhalte, Nutzerkennungen, Gesprächsverläufe und Protokolle. Maßgeblich sind insbesondere die Grundsätze aus Art. 5 DSGVO, die Rechtsgrundlagen des Art. 6 DSGVO und die Anforderungen an datenschutzfreundliche Gestaltung und Sicherheit nach Art. 25 und 32 DSGVO. [1]

Die Verordnung (EU) 2024/1689, häufig als KI-Verordnung bezeichnet, verfolgt einen anderen Ansatz: Sie regelt KI-Systeme insbesondere nach ihrem Verwendungszweck und Risiko. Nicht jeder mit n8n erstellte Agent ist ein Hochrisiko-KI-System. Anwendungen für Personalauswahl oder bestimmte Bonitätsbewertungen natürlicher Personen können jedoch unter die einschlägigen Kategorien fallen. Maßgeblich sind Art. 6 und Anhang III KI-Verordnung einschließlich der dort vorgesehenen Voraussetzungen und Ausnahmen. [2]

Die Anwendung ist zeitlich gestaffelt. Art. 4 KI-Verordnung gilt seit dem 2. Februar 2025. Anbieter und Betreiber müssen danach Maßnahmen treffen, um nach besten Kräften ein ausreichendes Maß an KI-Kompetenz bei den mit Betrieb und Nutzung befassten Personen sicherzustellen. Art. 113 KI-Verordnung sieht als allgemeinen Anwendungsbeginn den 2. August 2026 vor; für bestimmte Vorschriften bestehen abweichende Termine. Bei einer Einführung ist deshalb der für die jeweilige Pflicht geltende Anwendungsbeginn zu prüfen. [2]

Die Rolle im konkreten System ist entscheidend

Wer einen Agenten im Unternehmen einsetzt, kann Betreiber im Sinne der KI-Verordnung sein. Wer ein System entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt, kann Anbieter sein. Unter den Voraussetzungen des Art. 25 KI-Verordnung können insbesondere Änderungen an einem System dazu führen, dass ein Beteiligter die Anbieterpflichten für ein Hochrisiko-KI-System übernehmen muss. [2]

Diese Rollen sind nicht mit den datenschutzrechtlichen Rollen gleichzusetzen. Ein Unternehmen kann zugleich KI-Betreiber und datenschutzrechtlich Verantwortlicher sein. Die Bezeichnung eines Dienstes als „KI-Plattform“ oder „Auftragsverarbeiter“ ersetzt keine Prüfung seiner tatsächlichen Aufgaben und Entscheidungsbefugnisse. [1][2]

Tipp 1: Den Auftrag und die zulässigen Handlungen zuerst festlegen

Eine Aufgabenbeschreibung mit klaren Grenzen erstellen

Vor der Auswahl des Modells sollte schriftlich feststehen, was der Agent leisten darf. Eine geeignete Beschreibung benennt:

• den geschäftlichen Zweck;
• erlaubte Eingabedaten und Informationsquellen;
• zulässige Werkzeuge und Aktionen;
• Fälle, in denen der Agent abbrechen oder weiterleiten muss;
• die Person oder Stelle, die Ergebnisse freigibt.

Ein Auftrag wie „Bearbeite Kundenanliegen selbstständig“ ist für eine belastbare technische Begrenzung zu unbestimmt. Präziser ist: „Ordne Anfragen zu bestehenden Bestellungen ein und erstelle einen Antwortentwurf anhand freigegebener Informationen; Änderungen und Zusagen bleiben Mitarbeitenden vorbehalten.“

Regeln dort einsetzen, wo keine KI erforderlich ist

Pflichtfelder, Betragsgrenzen, Berechtigungen und Freigabezustände sollten möglichst durch festgelegte Regeln geprüft werden. Ein Sprachmodell sollte nicht selbst entscheiden, ob es seine eigenen Befugnisse überschreiten darf.

Technisch bedeutet das: Werkzeuge nur für erforderliche Funktionen bereitstellen, sensible Aktionen in getrennte Teilabläufe auslagern und Freigaben außerhalb des Modells durchsetzen. Ein Verbot im Prompt ist lediglich eine zusätzliche Leitplanke, keine technische Zugriffssperre.

Das ist auch haftungsrechtlich relevant. Fehler eines Systems entlasten das einsetzende Unternehmen nicht automatisch von vertraglichen Pflichten. Ob Schadensersatz geschuldet ist, richtet sich unter anderem nach Pflichtverletzung, Vertretenmüssen, Schaden und Kausalität. § 280 Abs. 1 BGB enthält hierfür eine allgemeine Anspruchsgrundlage; je nach Anspruch können weitere Voraussetzungen hinzukommen. [5]

Tipp 2: Datenflüsse und Rechtsgrundlagen vor dem ersten Echtbetrieb prüfen

Jeden Empfänger erfassen

Eine Datenflussübersicht sollte nicht bei n8n enden. Zu berücksichtigen sind beispielsweise der Hosting-Anbieter, der Modellanbieter, externe Suchdienste, Vektordatenbanken sowie Protokollierungs- und Überwachungsdienste.

Für jede Station sind insbesondere folgende Fragen zu beantworten: Welche Daten gelangen dorthin? Zu welchem Zweck? Wie lange werden sie gespeichert? Wer kann darauf zugreifen?

Eine lokal betriebene n8n-Instanz kann weiterhin vollständige Anfragen an eine externe Modellschnittstelle übertragen. Umgekehrt ist die Nutzung einer Cloud nicht automatisch unzulässig. Entscheidend sind die konkrete Verarbeitung und ihre rechtliche Absicherung. [1]

Nicht jede nützliche Verarbeitung ist erforderlich

Art. 6 Abs. 1 Buchst. b DSGVO kann eine Verarbeitung tragen, wenn sie für die Erfüllung eines Vertrags mit der betroffenen Person oder für vorvertragliche Maßnahmen auf deren Anfrage erforderlich ist. Die bloße wirtschaftliche Zweckmäßigkeit einer KI-Anwendung reicht dafür nicht aus. Bei berechtigten Interessen nach Art. 6 Abs. 1 Buchst. f DSGVO sind insbesondere Erforderlichkeit und Interessenabwägung zu prüfen. Eine Einwilligung muss insbesondere freiwillig, für einen bestimmten Fall, informiert und unmissverständlich erteilt werden; sie ist jederzeit mit Wirkung für die Zukunft widerruflich. [1]

Besondere Kategorien personenbezogener Daten, etwa Gesundheitsdaten, unterliegen zusätzlich Art. 9 DSGVO. In Personalprozessen ist neben der DSGVO insbesondere § 26 BDSG zu prüfen. Ob diese Vorschrift eine konkrete Verarbeitung unionsrechtskonform trägt, ist anhand des jeweiligen Verarbeitungsvorgangs zu beurteilen; sie ist keine pauschale Erlaubnis für Beschäftigtenanalysen. [1][4]

Praktisch empfiehlt sich ein vorgelagerter Schritt, der unnötige Angaben entfernt. Für die Einordnung eines Lieferproblems benötigt das Modell häufig weder Bankdaten noch die vollständige Kundenhistorie. Pseudonymisierung ist nicht mit Anonymisierung gleichzusetzen: Solange eine Person unter Berücksichtigung der rechtlich maßgeblichen Identifizierungsmöglichkeiten bestimmbar bleibt, sind die Daten personenbezogen. [1]

Informationspflichten und Folgenabschätzung einplanen

Betroffene müssen nach Maßgabe der Art. 13 und 14 DSGVO über die Verarbeitung informiert werden. Ein unspezifischer Hinweis „Wir nutzen KI“ ersetzt die erforderlichen Angaben etwa zu Zwecken, Rechtsgrundlagen und Empfängern oder Empfängerkategorien nicht. [1]

Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist vor Beginn der Verarbeitung erforderlich, wenn diese voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen verursacht. Das ist nicht bei jedem Agenten der Fall. Relevant sind insbesondere die in Art. 35 Abs. 3 DSGVO genannten Fälle und die einschlägigen Listen der Aufsichtsbehörden, etwa bei bestimmten Personenbewertungen oder umfangreicher Verarbeitung besonderer Datenkategorien. [1]

Tipp 3: Hosting, Modell und Verträge als zusammenhängende Architektur auswählen

Technische Qualität ist nur ein Auswahlkriterium

Ein Modell sollte nicht allein anhand einer überzeugenden Demonstration ausgewählt werden. Zu prüfen sind außerdem Datenverwendung, Speicherfristen, mögliche Trainingsnutzung, Unterauftragnehmer, Sicherheitsmaßnahmen, vertragliche Zusagen und kontrollierbare Aktualisierungen.

Ein Modell kann für allgemeine Texte geeignet sein, aber bei internen Fachbegriffen oder deutschen Rechtsfragen unzuverlässig arbeiten. Zweckmäßig sind deshalb eigene Tests mit repräsentativen, möglichst synthetischen Beispieldaten, die keine identifizierbaren Personen abbilden.

Auftragsverarbeitung und Drittlandtransfers getrennt prüfen

Verarbeitet ein Anbieter personenbezogene Daten im Auftrag, ist die Verarbeitung nach Art. 28 Abs. 3 DSGVO durch einen Vertrag oder ein anderes zulässiges Rechtsinstrument mit den vorgeschriebenen Inhalten zu regeln. Die Vereinbarung muss zur tatsächlichen Leistung passen. Verwendet der Anbieter Daten für eigene Zwecke, ist seine Rolle für diese Verarbeitung gesondert zu beurteilen. Die Bezeichnung „Auftragsverarbeitung“ schafft dafür keine Rechtsgrundlage. [1]

Bei Drittlandübermittlungen sind zusätzlich Art. 44 ff. DSGVO zu beachten. Ein europäischer Serverstandort beantwortet nicht sämtliche Fragen, wenn etwa Zugriffsmöglichkeiten für einen gesonderten Empfänger in einem Drittland bestehen. Zu prüfen sind die konkrete Übermittlungssituation und das einschlägige Instrument, beispielsweise ein anwendbarer Angemessenheitsbeschluss oder geeignete Garantien. Soweit erforderlich, sind zusätzliche Schutzmaßnahmen vorzusehen. [1]

Selbsthosting schafft Pflichten, nicht automatisch Rechtssicherheit

Beim eigenen Betrieb müssen insbesondere Sicherheitsaktualisierungen, Zugriffsschutz, Datensicherung und Wiederherstellung organisiert werden. Ob und in welcher Form Verschlüsselung erforderlich ist, gehört in die risikobezogene Sicherheitsprüfung nach Art. 32 DSGVO. Auch gespeicherte Workflow-Ausführungen können personenbezogene Daten und Geschäftsgeheimnisse enthalten. [1]

Daneben ist die Softwarelizenz zu prüfen. Öffentlich einsehbarer Quellcode bedeutet nicht, dass jede Form der Weiterverwendung oder des kommerziellen Angebots erlaubt ist. n8n veröffentlicht hierfür eigene Lizenzinformationen; welche Bedingungen gelten, hängt insbesondere von der genutzten Ausgabe und dem Nutzungsmodell ab. Urheberrechtlich sind die Regeln für Computerprogramme nach §§ 69a ff. UrhG zu beachten. [12][14]

Tipp 4: Schnittstellen und Werkzeuge nach dem Minimalprinzip absichern

Berechtigungen technisch begrenzen

Ein Agent, der Informationen abrufen soll, benötigt keinen allgemeinen Schreibzugriff auf das Kundensystem. Für Verbindungen sollten möglichst getrennte Zugangsdaten mit aufgabengerecht eingeschränkten Rechten verwendet werden.

Sinnvolle Schutzmaßnahmen sind:

• getrennte Konten für Entwicklung, Test und Produktion;
• ausschließlich erforderliche Lese- oder Schreibrechte;
• sichere Verwaltung und regelmäßige Überprüfung von Zugangsdaten;
• Mengen-, Zeit- und gegebenenfalls Betragsgrenzen;
• eine sofort nutzbare Abschaltmöglichkeit.

Art. 32 DSGVO verlangt ein dem Risiko angemessenes Sicherheitsniveau. Welche Maßnahmen erforderlich sind, hängt unter anderem von Art und Umfang der Verarbeitung, Eintrittswahrscheinlichkeit und Schwere möglicher Schäden sowie dem Stand der Technik ab. Die genannten Maßnahmen sind deshalb anhand des konkreten Systems auszuwählen. [1]

Webhooks nicht als öffentliche Hintertür betreiben

Ein Webhook ermöglicht, dass ein externes System einen Workflow anstößt. Bei schutzbedürftigen Vorgängen sollte die Kenntnis einer schwer zu erratenden Adresse nicht die einzige Zugangssicherung sein.

Je nach Anwendung sollten Authentifizierung, Signaturprüfung, Prüfung zulässiger Eingabeformate, Größenbeschränkungen und Schutz gegen wiederholte Verarbeitung vorgesehen werden. Eine eindeutige Vorgangskennung kann zusammen mit einer entsprechenden Verarbeitungslogik verhindern, dass eine erneut übermittelte Anfrage dieselbe Buchung oder Nachricht mehrfach auslöst.

Fremde Inhalte nicht als Anweisungen behandeln

E-Mails, Webseiten und Dokumente können manipulative Anweisungen enthalten. Solche „Prompt-Injections“ können darauf abzielen, den Agenten zur Preisgabe von Informationen oder zum Aufruf unerlaubter Werkzeuge zu bewegen.

Externe Inhalte sollten deshalb als Daten behandelt und von verbindlichen Systemanweisungen getrennt werden. Diese Trennung allein gewährleistet allerdings keinen zuverlässigen Schutz. Entscheidend bleiben technische Berechtigungsgrenzen, Kontrollen außerhalb des Modells und zusätzliche Freigaben für besonders folgenreiche Aktionen.

Tipp 5: Antworten mit Quellenbindung und fachlichen Prüfungen absichern

Dynamische Prompts kontrolliert befüllen

Variablen machen Prompts anpassbar. Dabei sollte nicht pauschal der gesamte Datenbestand in eine Anfrage übernommen werden. Zweckmäßiger sind klar benannte Felder, definierte Längenbegrenzungen und eine Trennung zwischen Arbeitsauftrag, Nutzereingabe und abgerufenen Dokumenten.

Eine freigegebene Wissensbasis kann die Antwortqualität verbessern. Sie verhindert jedoch nicht, dass das Modell Inhalte verwechselt oder unbelegte Schlussfolgerungen erzeugt. Deshalb sollte der Workflow vorsehen, fehlende Informationen zu kennzeichnen und unsichere Fälle an einen Menschen weiterzugeben.

Inhalt und Format getrennt kontrollieren

Ein brauchbarer Prüfablauf kontrolliert zunächst das Ausgabeformat: Sind alle Felder vorhanden? Liegen Werte innerhalb zulässiger Grenzen? Anschließend folgt die fachliche Prüfung: Passen Behauptungen zu den Quellen? Enthält der Entwurf unzulässige Zusagen oder sensible Angaben?

Bei rechtlichen Inhalten reicht eine plausibel klingende Antwort besonders wenig aus. Normen, Fundstellen und Rechtsfolgen müssen überprüfbar sein. Ein zweites KI-Modell kann bei der Kontrolle unterstützen, gewährleistet aber keine unabhängige oder fachlich zutreffende Prüfung.

Rechtsberatung ist kein gewöhnlicher Textservice

Soll der Agent konkrete fremde Angelegenheiten rechtlich beurteilen, kann eine Rechtsdienstleistung nach § 2 Abs. 1 RDG vorliegen. Entscheidend ist, ob die Tätigkeit eine rechtliche Prüfung des Einzelfalls erfordert. Nach § 3 RDG ist die selbstständige Erbringung außergerichtlicher Rechtsdienstleistungen nur zulässig, soweit sie durch das RDG oder andere Gesetze erlaubt ist. Ob eine erlaubte Nebenleistung nach § 5 RDG vorliegt, hängt vom Einzelfall ab. [7]

Ein Hinweis „Keine Rechtsberatung“ beseitigt diese Anforderungen nicht, wenn das Angebot nach seiner tatsächlichen Ausgestaltung eine erlaubnispflichtige Rechtsdienstleistung darstellt. Allgemeine Informationen, interne Unterstützung und individuelle Beratung sollten deshalb funktional sauber getrennt werden. Nicht jedes automatisierte Informations- oder Dokumentenangebot ist bereits eine Rechtsdienstleistung. [7]

Tipp 6: Verbindliche Handlungen einer wirksamen Freigabe unterstellen

Menschliche Kontrolle muss mehr als ein Klick sein

Besonders sensible Aktionen sind etwa Vertragsänderungen, Zahlungsanweisungen, Ablehnungen oder die Weitergabe vertraulicher Informationen. Hier empfiehlt sich ein Freigabeschritt, der den konkreten Inhalt und die konkrete Aktion umfasst.

Die prüfende Person sollte ausreichend informiert und befugt sein, die Empfehlung zu ändern oder zurückzuweisen. Sie benötigt Zugang zu den für die Prüfung erforderlichen Ausgangsdaten. Eine lediglich formale Bestätigung ohne tatsächliche inhaltliche Prüfung ist keine verlässliche Absicherung gegen die Risiken automatisierter Entscheidungen.

Automatisierte Entscheidungen über Personen gesondert bewerten

Art. 22 Abs. 1 DSGVO erfasst Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und gegenüber einer Person rechtliche Wirkung entfalten oder sie ähnlich erheblich beeinträchtigen. Nicht jede Sortierung einer Serviceanfrage fällt darunter. Eine automatisierte Entscheidung über einen Kredit kann dagegen einschlägig sein. Ausnahmen und Schutzvorkehrungen ergeben sich aus Art. 22 Abs. 2 bis 4 DSGVO. Soweit eine Ausnahme greift, müssen deren Voraussetzungen und die jeweils erforderlichen Schutzmaßnahmen erfüllt sein. [1]

Für die Bedeutung vorgeschalteter Bewertungen ist das Urteil des EuGH vom 7. Dezember 2023, C-634/21, zum SCHUFA-Scoring relevant. Danach kann bereits die automatisierte Erstellung eines Wahrscheinlichkeitswerts durch eine Wirtschaftsauskunftei eine solche Entscheidung darstellen, wenn ein Dritter seine Entscheidung über ein Vertragsverhältnis maßgeblich auf diesen Wert stützt. Das Urteil betrifft nicht speziell n8n. Es zeigt jedoch, dass die Bezeichnung eines automatisierten Ergebnisses als bloße „Empfehlung“ für die rechtliche Einordnung nicht ausschlaggebend ist. [11]

Kommunikation und Werbung auseinanderhalten

Ein freigegebener Versand ist nicht automatisch rechtmäßig. Bei Werbe-E-Mails müssen insbesondere die Voraussetzungen des § 7 UWG erfüllt sein. Grundsätzlich ist eine vorherige ausdrückliche Einwilligung erforderlich; die Ausnahme für Bestandskunden nach § 7 Abs. 3 UWG gilt nur bei Erfüllung sämtlicher dort genannter Voraussetzungen. Daneben ist die datenschutzrechtliche Zulässigkeit der Adressverarbeitung zu prüfen. [1][6]

Art. 50 Abs. 1 KI-Verordnung verpflichtet Anbieter grundsätzlich dazu, Systeme für die direkte Interaktion mit natürlichen Personen so zu gestalten, dass diese über die Interaktion mit einem KI-System informiert werden. Eine Ausnahme besteht insbesondere, wenn dies unter den gesetzlich genannten Umständen offensichtlich ist. Nach Art. 113 KI-Verordnung ist diese Vorschrift grundsätzlich ab dem 2. August 2026 anzuwenden. Weitere Transparenzpflichten können sich je nach Inhalt, Rolle und Einsatzgestaltung aus Art. 50 KI-Verordnung ergeben. [2]

Tipp 7: Speicher, Protokolle und Änderungen als Teil des Produkts behandeln

Gedächtnis braucht Zweck und Löschregeln

Mehrstufige Agenten können Gesprächsverläufe oder Zustandsdaten speichern. Das kann die Bearbeitung unterstützen, vergrößert aber zugleich den Datenbestand und das Risiko unzulässiger Zugriffe.

Gespeichert werden sollte nur, was für einen rechtmäßigen, definierten Zweck erforderlich ist. Gesprächszustände, Beweisdokumentation und technische Fehlerprotokolle sollten getrennt behandelt werden. Die Speicherbegrenzung folgt aus Art. 5 Abs. 1 Buchst. e DSGVO; Löschansprüche und Ausnahmen regelt Art. 17 DSGVO. [1]

Eine einheitliche gesetzliche Aufbewahrungsfrist für sämtliche KI-Protokolle besteht nicht. Fristen hängen von Zweck, Datenart und besonderen gesetzlichen Pflichten ab. Für bestimmte Hochrisiko-KI-Systeme sieht die KI-Verordnung eigene Protokollierungs- und Aufbewahrungspflichten vor; deren Anwendbarkeit ist gesondert zu prüfen. [1][2]

Nachvollziehbarkeit ohne übermäßige Datensammlung schaffen

Für die interne Prüfung können insbesondere folgende Nachweise wichtig sein:

• dokumentierter Zweck und Datenfluss;
• Rechtsgrundlagenprüfung und gegebenenfalls Interessenabwägung;
• Verträge mit Dienstleistern und Prüfung von Drittlandtransfers;
• freigegebene Workflow-, Modell- und Promptversionen;
• Testergebnisse und dokumentierte Freigaben;
• Berechtigungs-, Lösch- und Vorfallkonzept.

Die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO verlangt, die Einhaltung der Datenschutzgrundsätze nachweisen zu können. Daraus folgt jedoch keine Erlaubnis, vorsorglich sämtliche Inhalte unbegrenzt zu protokollieren. Auch die Dokumentation muss datenschutzgerecht ausgestaltet sein. [1]

Modulare Workflows erleichtern kontrollierte Änderungen

Wiederkehrende Funktionen wie Eingabeprüfung, Datenbereinigung und Freigabe sollten als klar abgegrenzte Teilabläufe gestaltet werden. Änderungen lassen sich dadurch gezielter testen.

Nach einem Modellwechsel oder einer Promptänderung sollten repräsentative Testfälle erneut durchlaufen werden. Besonders wichtig sind Fehlerfälle: unvollständige Eingaben, manipulierte Dokumente, nicht erreichbare Dienste und widersprüchliche Daten. Bei risikobehafteten Vorgängen kann ein angehaltener Ablauf mit Weiterleitung an eine zuständige Person sicherer sein als eine automatisch erzeugte Ersatzantwort.

Besondere Anforderungen für Kanzleien und Arbeitgeber

Mandatsgeheimnisse bleiben auch gegenüber Technikdienstleistern geschützt

Für Rechtsanwälte folgt die Verschwiegenheitspflicht insbesondere aus § 43a Abs. 2 BRAO. Die Inanspruchnahme von Dienstleistungen unterliegt zusätzlich § 43e BRAO; strafrechtlich ist § 203 StGB zu beachten. [8][9][10]

Ein Auftragsverarbeitungsvertrag allein erledigt diese Anforderungen nicht. Zu prüfen sind insbesondere die Erforderlichkeit des Geheimniszugangs, die sorgfältige Auswahl des Dienstleisters und die gesetzlich vorgeschriebenen vertraglichen Regelungen. Dazu gehören insbesondere die Verschwiegenheitsverpflichtung und Regelungen zum Einsatz weiterer Personen. Bei Dienstleistungen im Ausland gelten zusätzliche Anforderungen an den Geheimnisschutz. [8][9]

Dienen die Dienstleistungen unmittelbar einem einzelnen Mandat, verlangt § 43e Abs. 5 BRAO die Einwilligung des Mandanten in den Geheimniszugang. Ob dies bei einer konkreten KI-Nutzung einschlägig ist, hängt von der Ausgestaltung der Dienstleistung ab. [8]

Für einen ersten Kanzlei-Workflow kommen daher insbesondere administrative Tests mit synthetischen oder tatsächlich anonymisierten Daten in Betracht. Pseudonymisierung kann Risiken reduzieren, hebt Geheimnisschutz und Datenschutz aber nicht automatisch auf. Auch bei entfernten Namen können Sachverhalt und Begleitumstände Rückschlüsse auf ein Mandat ermöglichen. [1][8][10]

Beschäftigtenbezug kann Mitbestimmung auslösen

Bei technischen Einrichtungen zur Überwachung von Verhalten oder Leistung der Beschäftigten ist § 87 Abs. 1 Nr. 6 BetrVG zu prüfen. Relevant können beispielsweise personenbezogene Bearbeitungsprotokolle, individuelle Antwortbewertungen oder Leistungskennzahlen sein. Die Bewertung darf nicht allein davon abhängig gemacht werden, ob der Arbeitgeber ausdrücklich eine Überwachungsabsicht erklärt. [3]

Besteht ein Betriebsrat, muss vor Einführung oder Anwendung geklärt werden, ob ein Mitbestimmungsrecht besteht. Ist dies der Fall, genügt eine bloße Information des Betriebsrats nicht. Die datenschutzrechtliche Zulässigkeit der Beschäftigtendatenverarbeitung ist daneben eigenständig zu beurteilen. [1][3][4]

Einführung, Kosten und Vorfälle: Ein praktikabler Ablauf

In überprüfbaren Stufen vorgehen

Ein belastbarer Einführungsprozess beginnt mit einem begrenzten Anwendungsfall und einer verantwortlichen Person. Danach folgen Daten- und Vertragsprüfung, technische Umsetzung mit Testdaten und dokumentierte Sicherheits- und Qualitätstests.

Erst anschließend sollte ein eingeschränkter Pilotbetrieb beginnen. Auch für einen Pilotbetrieb mit personenbezogenen Echtdaten müssen die einschlägigen rechtlichen Voraussetzungen bereits erfüllt sein. [1]

Für die Produktionsfreigabe sollten insbesondere Zuständigkeiten, zulässige Aktionen, Löschregeln und Abschaltmöglichkeiten feststehen. Eine allgemeine, allein an die Verwendung von n8n anknüpfende gesetzliche Genehmigungsfrist besteht nicht. Besondere Prüf-, Beteiligungs- oder Zulassungsverfahren können sich jedoch aus dem konkreten Einsatz ergeben.

Betriebskosten nicht auf Modellaufrufe reduzieren

Neben Hosting- und Modellkosten können Aufwände für Integration, Datenschutzprüfung, Informationssicherheit, Mitarbeiterschulung, fachliche Kontrolle und Wartung entstehen. Wiederholungsschleifen, große Kontextmengen und unnötige Werkzeugaufrufe können die laufenden Kosten erhöhen.

Feste Aufrufgrenzen, begrenzte Wiederholungen und eine Kostenüberwachung sind deshalb wirtschaftliche und organisatorische Schutzmaßnahmen. Pauschale Eurobeträge wären ohne Angaben zu Nutzung, Datenvolumen und Sicherheitsbedarf nicht belastbar.

Bei Vorfällen sofort zwischen Fehler und Datenschutzverletzung unterscheiden

Nicht jeder falsche Entwurf ist eine Verletzung des Schutzes personenbezogener Daten. Führt eine Sicherheitsverletzung jedoch zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten, sind insbesondere Art. 33 und 34 DSGVO zu prüfen. Auch ein Verlust der Verfügbarkeit kann relevant sein. [1]

Der Verantwortliche muss eine meldepflichtige Verletzung der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden melden. Bei einer späteren Meldung ist die Verzögerung zu begründen. Die Meldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten natürlicher Personen führt. Auftragsverarbeiter müssen den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung informieren. [1]

Bei voraussichtlich hohem Risiko müssen grundsätzlich auch die betroffenen Personen unverzüglich benachrichtigt werden; die Ausnahmen des Art. 34 Abs. 3 DSGVO sind zu prüfen. Unabhängig von einer Meldung sind Verletzungen nach Art. 33 Abs. 5 DSGVO zu dokumentieren. [1]

Praktisch sollten ein Notfallkontakt, ein Verfahren zur Sperrung von Zugangsdaten und eine Möglichkeit zum sofortigen Stoppen betroffener Workflows vorbereitet sein.

Häufige Fragen

Darf ein Unternehmen Kundendaten an ein KI-Modell senden?

Das kann zulässig sein, setzt aber insbesondere eine tragfähige Rechtsgrundlage, einen bestimmten Zweck und angemessene Schutzmaßnahmen voraus. Zusätzlich sind Informationspflichten, Empfängerrollen, Auftragsverarbeitung und mögliche Drittlandübermittlungen zu prüfen. Besondere Datenkategorien und gesetzlich geschützte Geheimnisse können weiteren Anforderungen unterliegen. [1][8][9]

Ist ein selbst gehosteter n8n-Agent automatisch DSGVO-konform?

Nein. Selbsthosting betrifft zunächst den Betrieb der Automatisierungsplattform. Nutzt der Workflow externe Modelle, Datenbanken oder Protokollierungsdienste, können weiterhin Daten an andere Empfänger gelangen. Auch im eigenen Betrieb müssen insbesondere Berechtigungen, Löschung, Sicherheit und Rechtsgrundlagen den gesetzlichen Anforderungen entsprechen. [1]

Muss jede KI-Ausgabe von einem Menschen geprüft werden?

Eine allgemeine, für sämtliche KI-Ausgaben geltende gesetzliche Pflicht zur menschlichen Einzelprüfung besteht nicht. Der Kontrollbedarf richtet sich nach Funktion, Risiko und einschlägigen Sonderregelungen. Für rechtlich erhebliche Entscheidungen, vertrauliche Inhalte und verbindliche Handlungen sind wirksame Kontrollen besonders wichtig. Art. 22 DSGVO kann ausschließlich automatisierten Entscheidungen zusätzliche Grenzen setzen. [1][2]

Kann ein Agent rechtliche Fragen von Kunden beantworten?

Allgemeine Rechtsinformationen sind anders zu beurteilen als Tätigkeiten in konkreten fremden Angelegenheiten, die eine rechtliche Einzelfallprüfung erfordern. Bei individualisierter Beratung kann das Rechtsdienstleistungsgesetz einschlägig sein. Ein Haftungshinweis oder die Bezeichnung als technische Hilfe ersetzt keine erforderliche gesetzliche Erlaubnis. [7]

Wie lange dürfen Gesprächsverläufe gespeichert werden?

Eine einheitliche Frist gibt es nicht. Entscheidend sind der konkrete Zweck, die Erforderlichkeit und mögliche gesetzliche Aufbewahrungspflichten. Verläufe dürfen nicht unbegrenzt gespeichert werden, nur weil sie später nützlich sein könnten. Für Zustandsdaten, technische Protokolle und aufbewahrungspflichtige Geschäftsdokumente können unterschiedliche Regeln gelten. [1][2]

Wer trägt die Verantwortung für Fehler des Agenten?

Die Verantwortung hängt von der jeweiligen Pflicht und den beteiligten Rollen ab. Das einsetzende Unternehmen bleibt für seine eigenen Datenschutz- und Vertragspflichten verantwortlich. Ob zusätzlich Ansprüche gegen einen Anbieter bestehen, richtet sich nach Vertrag und gesetzlichen Haftungsvoraussetzungen. Eine pauschale Verlagerung der Verantwortung auf „die KI“ ist nicht möglich. [1][5]

Zusammenfassung

KI-Agenten mit n8n sollten nicht als unbegrenzt selbstständige digitale Mitarbeiter, sondern als kontrollierte Systeme mit klar umrissenen Aufgaben gestaltet werden. Ein sinnvoller Einstieg besteht darin, Informationen zu strukturieren und Entwürfe vorzubereiten, während rechtlich erhebliche Handlungen einer wirksamen Freigabe vorbehalten bleiben.

Die sieben zentralen Schritte sind: Auftrag begrenzen, Datenverarbeitung rechtlich prüfen, Anbieter und Verträge sorgfältig auswählen, Schnittstellen absichern, Ergebnisse fachlich kontrollieren, verbindliche Aktionen absichern und den Betrieb nachvollziehbar organisieren. Für Kanzleien und beschäftigtenbezogene Anwendungen kommen besondere Anforderungen hinzu.

Rechtliche Absicherung entsteht nicht durch einen einzelnen Vertrag oder einen besonders ausführlichen Prompt. Sie beruht auf dem Zusammenspiel von zulässiger Verarbeitung, begrenzten Befugnissen, technischen Schutzmaßnahmen und tatsächlich gelebter Kontrolle.