Zapier-Alternativen mit Blick auf den Datenschutz

Du schickst über Zapier Kundenanfragen, Rechnungen oder Kontaktdaten von einer App in die nächste. Laut Zapier liegen diese Daten dabei auf Servern von Amazon Web Services in den USA. Eine Speicherung nur in der EU bietet Zapier nach eigener Aussage nicht an.

Das heißt nicht, dass Zapier tabu ist: Zapier stützt die Übermittlung auf einen Vertrag und das Data Privacy Framework. Ob das für deinen Fall reicht, musst du klären, gegebenenfalls mit Beratung. Das bedeutet Papierkram und einen Punkt in deiner Datenschutzerklärung. Wer das nicht will, hat Alternativen. Wir haben sie nebeneinandergelegt, mit dem, was die Anbieter selbst schreiben, und mit dem, was wir nicht gefunden haben.

Was bei Zapier passiert

Alles laut Zapier, Stand 9.11.2026:

• Sitz: San Francisco, USA.
• Datenstandort: Amazon-Server in den USA. Zur Frage nach einer reinen EU-Speicherung schreibt Zapier, es unterstütze diese Option nicht.
• Vertrag: Es gibt einen Auftragsverarbeitungsvertrag (AVV, ein Vertrag, in dem der Dienst zusagt, deine Daten nur nach deiner Weisung zu verarbeiten). Er heißt bei Zapier „Data Processing Addendum“ und gilt automatisch über die Nutzungsbedingungen. Unterschreiben musst du nichts.
• Übermittlung in die USA: Zapier stützt sich auf das EU-US Data Privacy Framework. Fällt das weg, gelten Standardvertragsklauseln (vorformulierte Vertragsbausteine der EU für Datenübermittlungen).
• Nachweise: SOC 2 Type II und SOC 3 (Prüfberichte zur Informationssicherheit) laut Zapier. ISO 27001 nennt Zapier für sich selbst nicht.

Zapier legt also offen, wie es vorgeht. Die Frage ist, ob du mit dieser Konstruktion leben willst und kannst.

Was beim Datenschutz zählt

1. Wo werden die Daten verarbeitet?

Das ist der einfachste Punkt. Liegt alles in der EU, entfällt die Frage nach der Übermittlung in ein Drittland (ein Land außerhalb der EU). Achte darauf, ob du den Standort wählen kannst, oder ob er festgelegt ist. Und prüf, ob einzelne Funktionen eine Ausnahme machen. Bei Make sind das die KI-Funktionen (siehe unten).

2. Gibt es einen AVV?

Verarbeitet ein Dienst Kundendaten in deinem Auftrag, ist ein AVV üblich. Ob er in deinem Fall nötig ist, klärt im Zweifel eine Datenschutzberatung. Nützlich ist auf jeden Fall: Lies den Vertrag, speichere ihn mit Datum ab, und prüf, wer der Vertragspartner ist.

3. Data Privacy Framework (DPF): der Stand

Das DPF ist die Grundlage, auf die sich US-Firmen stützen, wenn sie Daten aus der EU empfangen. Es ist eine Selbstverpflichtung, die die EU-Kommission 2023 als ausreichend anerkannt hat. Der Stand am 9.11.2026:

• Die Kommission hat den Beschluss am 10. Juli 2023 erlassen (so nennt es die Pressemitteilung des Gerichts).
• Das Gericht der EU (EuG) hat die Klage dagegen (Latombe, T-553/23) laut seiner Pressemitteilung am 3. September 2025 abgewiesen.
• Gegen dieses Urteil hat der Kläger am 31. Oktober 2025 Rechtsmittel beim EuGH eingelegt (C-703/25 P). Das Amtsblatt hat es am 22.12.2025 bekanntgemacht.
• Ob das Rechtsmittel inzwischen entschieden ist, konnten wir nicht klären. Das Register des Gerichts ließ sich für uns nicht abrufen, ein Urteil haben wir nicht gesehen. Den aktuellen Stand siehst du im Register des Gerichtshofs (curia.europa.eu), Aktenzeichen C-703/25 P.

Praktisch heißt das: Das EuG hat den Beschluss in erster Instanz bestätigt, den heutigen Stand des Rechtsmittels kennen wir nicht. Ob das DPF auch in Zukunft trägt, weiß niemand. Darum sind die Rückfallklauseln in den Verträgen wichtig. Make und Zapier nennen in ihren AVV Standardvertragsklauseln für den Fall, dass das DPF wegfällt.

Ob ein Anbieter im amtlichen Register steht, siehst du dort selbst. Wir haben am 9.11.2026 nachgesehen: Zapier, Inc. ist als aktiv eingetragen (seit 20.12.2016, nächste Bestätigung fällig am 14.7.2027), ebenso Microsoft Corporation (fällig am 31.8.2027). Für Make steht Celonis Inc drin, die Gesellschaft, die der Make-AVV nennt. Der Eintrag ist aktiv, die nächste Bestätigung ist am 28.11.2026 fällig. Wie das ausgeht, wissen wir nicht, sieh vorher selbst im Register nach. Bei n8n, Activepieces und Pipedream ergab die Suche nach dem Namen keinen Treffer. Das ist nicht automatisch ein Mangel, etwa wenn es keinen US-Vertragspartner gibt. Ob sie US-Dienstleister einsetzen, steht in ihren Listen der Unterauftragsverarbeiter, die wir nicht für alle gelesen haben.

4. Selbst hosten

Wer die Software selbst betreibt, bestimmt den Standort. Läuft sie auf einem Server in Deutschland, bleiben die Daten dort. Dafür bist du selbst verantwortlich für Sicherheit, Updates und Sicherungen. Selbst-Hosting braucht laut n8n-Doku technisches Wissen: Wer keine technische Erfahrung hat, dem rät n8n zur Cloud. Ob du mit deinem Hoster einen AVV brauchst, ist eine Rechtsfrage, die wir nicht geprüft haben. Und: Was eine selbst gehostete n8n-Instanz an Diagnosedaten an n8n schickt, haben wir nicht gefunden.

5. Deine Datenschutzerklärung

Nach Art. 13 DSGVO musst du bei einer Übermittlung in ein Drittland angeben, dass du sie vornimmst und worauf sie sich stützt (Angemessenheitsbeschluss oder geeignete Garantien). Das betrifft deine Datenschutzerklärung, wenn du Zapier oder Pipedream mit personenbezogenen Daten nutzt. Den genauen Text liefert am besten ein Rechtstexte-Dienst.

Der Vergleich: Wo liegen die Daten?

Alle Angaben laut Anbieter, Stand 9.11.2026. „Nicht gefunden“ heißt: Wir haben danach gesucht und nichts Belastbares entdeckt.

Anbieter	Standort	Region wählbar?	Selbst hosten?
n8n Cloud	Microsoft Azure, laut n8n „EU“ (Preisseite: Frankfurt, Sicherheitsseite nennt keine Region)	von n8n nicht genannt	getrennt möglich, siehe nächste Zeile
n8n selbst gehostet	dein Server	frei	ja, Lizenz „Sustainable Use License“
Make	Datenzonen EU1, EU2, US1, US2; Rechenzentren laut Preisseite bei AWS (EU/Nordamerika), genaue Orte nicht gefunden	ja, beim Anlegen der Organisation, danach nicht änderbar	nicht gefunden
Zapier	Amazon-Server in den USA	nein, keine EU-Option	nicht gefunden
Activepieces	Cloud: Frankfurt als Standard, andere Regionen auf Anfrage	nur auf Anfrage	ja, Kern unter MIT-Lizenz
Pipedream	Amazon-Server, Region us-east-1, keine EU-Region genannt	nein	nicht verifiziert
Power Automate	je nach Umgebung	ja, je Umgebung	nicht gefunden

Der Vergleich: Verträge und Nachweise

Anbieter	AVV	DPF-Eintrag	Nachweise laut Anbieter
n8n Cloud	Muster zum Herunterladen, Unterschrift über ein Online-Formular (DocuSign); Vertragspartei und Sitz stehen nicht auf der Seite	nicht gefunden	SOC 2 (Typ nicht genannt, n8n schreibt „aligns“; Bericht nur für Enterprise), SOC 3
n8n selbst gehostet	nur mit deinem Hoster	nicht anwendbar	nicht anwendbar
Make	Celonis Data Processing Agreement, zuletzt geändert am 3. Mai 2024; nennt Celonis, Inc. und Celonis-Gesellschaften im EWR, wer dein Vertragspartner wird, steht dort nicht	über Celonis Inc: ja, nächste Bestätigung fällig am 28.11.2026	nicht geprüft
Zapier	gilt automatisch über die Nutzungsbedingungen, Stand 27.8.2026	Zapier, Inc.: ja	SOC 2 Type II, SOC 3
Activepieces	auf der Sicherheitsseite nicht erwähnt	nicht gefunden	SOC 2 Type 2 laut Sicherheitsseite
Pipedream	laut Pipedream enthält der Datenschutzzusatz die Standardvertragsklauseln; Datum nicht geprüft	nicht gefunden	SOC 2 Type 2, Bericht auf Anfrage
Power Automate	Microsoft-DPA zum Herunterladen (Fassung November 2026 laut Seite); Inhalt von uns nicht gelesen	Microsoft: ja	ISO 27001 (Power Automate steht auf Microsofts Liste der erfassten Dienste)

Was uns an einzelnen Anbietern auffällt

• Make: Der AVV regelt zwei Fälle: einen Vertrag mit Celonis, Inc. (dann trägt das DPF die Übermittlung) und einen Vertrag mit einer Celonis-Gesellschaft im EWR. Welche Gesellschaft dein Vertragspartner wird, steht im AVV nicht, das klärst du beim Anlegen des Kontos. Make darf den AVV laut Vertrag aktualisieren, die neue Fassung gilt ab der Verlängerung deines Abonnements. Und die EU-Zone ist kein Rundum-Schutz: Make schreibt selbst, dass einzelne KI-Funktionen (unter anderem Make AI Web Search, OpenAI-Modelle über Makes KI-Anbieter, Teile des AI Content Extractor) auch bei EU-Zone in den USA verarbeitet werden. Wer eine eigene KI-Verbindung nutzt, hebt die EU-Zusage auf. Deshalb: Zone beim Anlegen sorgfältig wählen und KI-Module gesondert prüfen.
• n8n Cloud: Die Kette enthält zwei weitere Firmen: Hosting bei Microsoft Azure, die Zertifikate verwaltet Cloudflare. Die Daten liegen laut n8n in der EU. Eine Regionswahl nennt n8n nicht, Backups gehen laut n8n in eine andere Region im selben Land (welches, steht nicht dabei).
• Activepieces: Die Software ist im Kern unter der MIT-Lizenz frei nutzbar. Das ist freier als bei n8n, dessen Lizenz die Weitergabe auf kostenlos und nicht-kommerziell beschränkt (für die eigene Nutzung im Geschäft ist sie erlaubt). Dafür erwähnt die Sicherheitsseite von Activepieces keinen AVV.
• Pipedream: US-Region, keine EU-Option. Der Datenschutzzusatz enthält laut Pipedream die Standardvertragsklauseln.
• Power Automate: Die EU Data Boundary gilt laut Microsoft für Power Platform nur, wenn du den Tenant und alle Umgebungen in der Region „EU und EFTA“ anlegst und eine Rechnungsadresse in einem EU-Datengrenze-Land hast. Eines von beidem reicht nicht. Außerdem schreibt Microsoft, dass Daten unter begrenzten Umständen weiterhin außerhalb der EU Data Boundary übermittelt werden. Eher etwas für Firmen, die ohnehin in Microsoft 365 arbeiten.

Was es kostet, soweit belegt

Die Einheiten sind verschieden: n8n zählt Ausführungen, Make Credits, Zapier Tasks. Direkt vergleichbar sind die Zahlen nicht. Wie du Last und Preis zusammenrechnest, steht in Was kostet Automatisierung?.

Einstiegspreise der Anbieter

Anbieter und Tarif	Preis pro Monat bei Jahreszahlung	Preis pro Monat bei Monatszahlung	Enthalten und Hinweis
n8n Cloud, Starter	20 €	24 €	2.500 Ausführungen. Netto oder brutto: nicht eindeutig angegeben.
n8n selbst gehostet	0 € Lizenz	0 € Lizenz	Server und Pflege kommen dazu, siehe Artikel zum Selbst-Hosten.
Make, Core	11 USD	16 USD	10.000 Credits. Free: 1.000 Credits. Make zeigt nur US-Dollar, netto oder brutto steht dort nicht.
Zapier, Professional	19,99 USD (rund 17,90 €)	29,99 USD (rund 26,86 €)	750 Tasks. Free: 100 Tasks und nur Zwei-Schritt-Zaps. Netto oder brutto: nicht angegeben.
Power Automate, Premium	15,00 USD je Nutzer	nicht gefunden	Der Tarif „Free“ ist laut Seite eine 30-Tage-Testversion.
Activepieces	nicht verifiziert	nicht verifiziert	Preise auf der Anbieterseite prüfen.
Pipedream	nicht verifiziert	nicht verifiziert	Preise auf der Anbieterseite prüfen.

Unsere Empfehlung je Lage

• Du verarbeitest Kundendaten und willst möglichst wenige offene Fragen: n8n Cloud oder selbst gehostetes n8n. Bei der Cloud liegen die Daten laut n8n in der EU und es gibt einen AVV zum Unterschreiben (Online-Formular). Zum Anbieter: n8n Cloud.
• Du kannst und willst einen Server betreiben: selbst gehostetes n8n, bei einem Hoster in der EU. Das kostet an Lizenz nichts und bringt uns keine Provision, wir empfehlen es trotzdem, wenn dir Standort und Kontrolle wichtig sind. Die Rechnung dazu steht in n8n selbst hosten oder Cloud?. Eine Alternative mit offenerer Lizenz ist selbst gehostetes Activepieces, auch dafür gibt es von uns keinen Partnerlink.
• Du magst die Bedienung von Make: Make ist möglich, wenn du die EU-Zone wählst, KI-Module getrennt prüfst und klärst, mit welcher Celonis-Gesellschaft dein Vertrag läuft. Der Vergleich zu n8n: Make oder n8n.
• Du hast schon Zapier und die Daten sind unkritisch: Bleib dabei, wenn du die Übermittlung in die USA für dich geklärt hast. Der AVV gilt automatisch, nimm den Dienst in deine Datenschutzerklärung auf und reich möglichst nur die Felder durch, die ein Schritt wirklich braucht.
• Du arbeitest ohnehin mit Microsoft 365: Power Automate, mit den Bedingungen der EU Data Boundary im Blick.
• Pipedream: Für Kundendaten aus der EU würden wir es nicht als Erstes nehmen. Es ist eher ein Werkzeug für Entwickler, mit US-Region und offenen Fragen zum Vertrag.

Fang vor jeder Wahl mit einem Blatt Papier an: Welche Daten laufen durch? Namen und E-Mail-Adressen oder nur Zahlen? Je weniger personenbezogene Daten durch den Dienst fließen, desto weniger musst du regeln. Wie ein kleiner erster Ablauf aussieht und welche Daten er berührt (Name, E-Mail, Nachricht), zeigt die erste Automatisierung in 30 Minuten.

Was wir nicht geprüft haben