Beim Datenschutz zählt bei Nod vor allem, wohin Daten gehen: Nod speichert Datenbank, Dateien, Gedächtnis und gespeicherte Logins auf dem Rechner oder Server, auf dem es läuft. Trotzdem verlassen Daten das Haus. Der Modellanbieter bekommt dein Gespräch, was Nod für dich liest, und Bildschirmfotos. App-Verbindungen wie Gmail oder Slack laufen standardmäßig über einen Dienst von n8n und über Composio, Websuchen über Exa, und Nutzungsdaten gehen standardmäßig an n8n, allerdings ohne deine Nachrichten. Die Nutzungsdaten schaltest du unter Settings → Privacy & data ab; was schon gesendet ist, löscht das nicht. Für Unternehmen mit Kundendaten heißt das: Nod ist kein geschlossenes System, sondern ein Agent mit mehreren Empfängern, und jeden davon prüfst du wie bei jedem anderen KI-Dienst. Alle Herstellerangaben Stand 15.11.2026.
Den Nod-Server habe ich am 15.11.2026 auf meinem Mac aus dem Quellcode installiert, Version 0.7.6. Er ist nur unter 127.0.0.1 erreichbar, ohne Token antwortet er mit 403, und den Docker-Socket bekommt nur ein Hilfscontainer. Alles Weitere stützt sich auf die Doku von Nod, vor allem die Seiten „Your data and privacy“ und „Security model and limits“, abgerufen am 15.11.2026. Was Nod insgesamt kann, steht in Nod von n8n: was der KI-Agent kann, alles zu KI-Agenten sammle ich auf der Seite KI-Agenten.
Was lokal bleibt
Deine Modell-Schlüssel liegen laut Doku verschlüsselt auf deiner Installation und kommen nie in einen Prompt, in den Workspace oder in den Browser von Nod. Verschlüsselt wird mit dem Vault-Schlüssel, den macOS im Schlüsselbund hält, die Windows-App über Windows DPAPI und das Linux-Flatpak über den Secret Service; der eigene Server erzeugt ihn in seiner privaten .env.
Gedächtnisnotizen entstehen nur aus deinen eigenen Nachrichten, deinen Antworten im Einrichtungsschritt „About you“ und Notizen, die du selbst anlegst, nie aus Nods Antworten, aus Websites oder App-Daten. Verbindest du Gmail, liest Nod deine zuletzt gesendeten Mails, um deinen Schreibstil zu lernen, laut Doku ohne Fakten oder Namen.
Was an das Modell geht
Der Modellanbieter bekommt dein Gespräch, alles, was Nod für dich liest, und Bildschirmfotos. Das Lesen von Bildern und die Freigabe-Prüfungen können einen anderen Dienst nutzen, den du verbunden hast. Hintergrundarbeit wie die Pflege des Gedächtnisses nimmt ein kleineres Modell desselben Anbieters.
Wer über Freigaben entscheidet, legst du in der Server-Konfiguration mit NOD_TRUST_MODEL fest. Im Standard prüft dein gewähltes Modell auf seiner niedrigsten Denkstufe. Im Modus decision nimmt Nod einen spezialisierten Entscheidungsdienst, etwa Jev von TypeSafe, den Perplexity Decider über OpenRouter oder OpenAI Decisions. Ein solcher Dienst bekommt jede Aktion, die Nod prüft, zusammen mit deinen Nachrichten und Regeln. Über OpenRouter gehen die Prüfungen laut Doku an TypeSafe, auch wenn dein Chat-Modell von einem anderen Anbieter kommt. Die Zugangsdaten eines ChatGPT-Abos gehen nie an einen Entscheidungsdienst.
Zwei Stellschrauben verkleinern diesen Teil des Datenflusses. Für ein OpenAI-Projekt mit Datenhaltung in der EU wählst du in Nod die Region „Europe (EEA + Switzerland)“; dann gehen Modellanfragen, Sprache und OpenAI-Prüfungen an eu.api.openai.com. Und ein lokales Modell über Ollama, LM Studio, vLLM oder llama.cpp läuft auf deiner eigenen Hardware. Wie ich zwischen Cloud und eigenem Server abwäge, steht in Lokale KI und Datenschutz: Cloud oder Server?.
Was an n8n und weitere Dienste geht
Die Doku zeigt an einem Beispiel, was die Nutzungsdaten heißen: Bittest du Nod, auf eine Mail wegen einer Rechnung zu antworten, erfährt n8n, dass ein Gmail-Werkzeug erfolgreich lief, welches Modell mit wie vielen Token und zu welchen Kosten antwortete und dass es eine Kommunikationsaufgabe war. Den Inhalt von Auftrag, Mail und Antwort erfährt n8n nicht.
Schaltest du die Gesprächsverläufe ein, ersetzt Nod vor dem Versand persönliche Angaben, die es an ihrer Form erkennt: E-Mail-Adressen, Telefonnummern, Kontonummern und deinen eigenen Namen. Einen Namen mitten im Satz erkennt es nicht immer. Deshalb nennt n8n die Verläufe pseudonymisiert, nicht anonym.
Composio und Zero Data Retention. Der Standard-Verbindungsdienst nutzt Composio mit eingeschalteter Zero Data Retention. Für abgedeckte Aufrufe schreibt Composio dann weder Anfrage noch Antwort noch Fehlertext in seine Ausführungsprotokolle, speichert aber Werkzeugname, Zeit und Status und die Zugangstokens, die deine Apps verbunden halten. Dateien, Ereignisse und Werkzeugsuchen haben eigene Regeln; hochgeladene Dateien löscht Composio nach 24 Stunden. Für Aufrufe über die verwalteten OAuth-Apps von Composio setzt die Abdeckung laut Doku Enterprise voraus. Welche deiner Verbindungen darunter fallen, nennt die Doku nicht; das klärst du im Zweifel mit n8n. Notion, Linear und n8n selbst verbindet Nod über deren eigene MCP-Server, und bei einer Installation aus dem Quellcode kannst du einen anderen, vertrauenswürdigen Verbindungsdienst wählen.
Abschalten und was Abschalten nicht löscht
Beide Schalter, „Share usage data“ und „Share conversation traces“, findest du unter Settings → Privacy & data. Wer einen Server betreibt, kann beide für alle abschalten.
- Was Abschalten bewirkt: Neue Sendungen hören auf. Eine Sendung, die schon unterwegs ist, kann noch ankommen.
- Was Abschalten nicht bewirkt: Schon gesendete Daten bleiben bei n8n, auch die Antworten aus „About you“ und eine freigegebene E-Mail-Adresse. Löschen beantragst du über „Send feedback“.
- Der erste Start: Bei einem frischen Profil der Desktop-App kann die Nutzungsstatistik laut Doku schon das Öffnen des Einrichtungsfensters melden, bevor du den Schalter erreichst. Dieses eine Ereignis holt auch späteres Abschalten nicht zurück.
- Abmelden ist nicht Entkoppeln: Der Abmeldelink in den Mails von n8n stoppt künftige Mails, trennt deine Adresse aber nicht von den Nutzungsdaten.
Daten löschen
- Eine Erinnerung: Settings → Memory, Notiz auswählen, „Forget“. Du kannst Nod auch bitten, etwas zu vergessen.
- Ein Vault-Eintrag: im Vault löschen; eine gespeicherte Browser-Sitzung beendest du mit „Sign out“.
- Eine App: unter Apps trennen. Der Dienst selbst kann Nod weiter in seiner Liste führen, bis du den Zugriff dort entfernst.
- Alles in der Desktop-App: „Remove all data“ unter Settings → Privacy & data löscht Profil, privaten Rechner und nicht gesendete Entwürfe. Die App bleibt installiert.
- Quellcode-Installation oder Server: anhalten, dann Datenordner und Docker-Volumes entfernen.
Zwei Fallen nennt die Doku selbst: Wer die Desktop-App deinstalliert, behält ihre Daten. Und den Chatverlauf allein kannst du noch nicht löschen, nur alles auf einmal. Einträge im Verbindungsdienst von n8n entfernst du über „Send feedback“.
Freigaben und Freigabe-Prüfer
Lesen und Entwürfe laufen direkt. Jede andere App-Aktion läuft nur, wenn deine Worte, die Anweisung eines Zeitplans, eine dauerhafte Anweisung oder eine deiner Regeln sie decken; sonst fragt Nod. Eine Regel „erst fragen“ gilt auch für Lesen und Entwürfe. Zahlungen brauchen immer deine Freigabe. Eine Bestätigung gilt genau für eine Aktion mit genau diesen Angaben und läuft einmal.
Damit eine Aktion läuft, muss der Prüfer die Worte zitieren, die sie erlauben, und der Server kontrolliert, ob es diese Worte wirklich gibt. Ob sie die Aktion auch meinen, beurteilt weiterhin das Modell. Unter Usage siehst du jede Aktion mit den Worten, die sie erlaubt haben. n8n schreibt selbst: Der Prüfer kann sich in jedem Modus irren, und eine Wahrscheinlichkeitsschwelle garantiert keine Sicherheit. In 240 Testentscheidungen von n8n lagen GPT-6.1 Sol und Claude Opus 5.5 jedes Mal richtig, Claude Haiku 5.5 ließ 8 unsichere Aktionen durch. Wähl deshalb ein starkes Modell, wenn Nod für dich handelt.
Vorsicht bei dauerhaften Anweisungen: Eine Anweisung wie „leite Rechnungen von Ana weiter“ greift bei jeder passenden neuen Mail, laut Doku auch bei einer, die nur behauptet, von Ana zu kommen.
Vault, Docker-Socket und Netzwerk-Firewall
Vault. Passwörter, Einmalcodes und Karten trägt der Server selbst in die Website ein; das Modell bekommt sie nie. Ein Login landet nur in einem Feld, dessen Herkunft genau zur gespeicherten Website passt. Einen Einmalcode, um den Nod bittet und den du allein in den Chat schickst, hält Nod laut Doku vom Modell und aus dem Verlauf fern. Die Grenzen nennt die Doku offen: Server und Browser können die Geheimnisse lesen, einen getrennten Schlüsseldienst gibt es nicht. Ein Geheimnis, das du sonst in den Chat tippst, kennt das Modell und kann es in eine Seite eintragen. Speicherst du einen Authenticator-Schlüssel im Vault, kann jeder mit Zugriff auf deinen Vault die Anmeldung in zwei Schritten abschließen.
Docker-Socket. Der Workspace, in dem Nod Befehle ausführt, läuft als Benutzer ohne Rechte und hat keinen Docker-Socket, keine Schlüssel und keine Browser-Profile. Auf einem eigenen Server reicht die Compose-Datei von Version 0.7.6 den Socket nur an einen kleinen Hilfscontainer weiter. Wer den Socket bedienen kann, hat praktisch Root-Rechte auf dem Host; der Hilfscontainer läuft deshalb mit nur lesendem Dateisystem, ohne Linux-Capabilities und mit höchstens 128 MB Arbeitsspeicher. Warum das wichtig ist und worauf du beim Server achtest, steht in Nod selbst hosten: der KI-Agent von n8n.
Netzwerk-Firewall. Ein eigener Firewall-Container sperrt für den Workspace private und reservierte IPv4-Adressen, auch die Metadaten-Dienste der Cloud, und externes IPv6. Der Workspace startet erst, wenn diese Firewall bereit ist. Seine DNS-Anfragen gehen an die öffentlichen Resolver 1.1.1.1 und 8.8.8.8. Der Browser erreicht ebenfalls nur öffentliche Adressen, nie dein lokales Netz. Die eigenen Verbindungen des Servers zu Modellen und Apps ändern diese Regeln nicht, und über das öffentliche Internet können Daten Nod trotzdem verlassen.
Zugangstoken. Wer das Token eines Servers hat, hat vollen Zugriff auf den Assistenten und alle verbundenen Konten. Zugriff über das Netz verlangt Token und HTTPS.
Prompt Injection
Nod behandelt alles, was es liest, als Daten, nicht als Anweisung. Seiten, Mails, Dateien und Werkzeug-Ergebnisse können laut Doku keine Erlaubnis erteilen, und die Prüfung einer App-Aktion sieht deine Worte und die geplante Aktion, nie die gelesenen Inhalte. Die Doku nennt aber auch, was das nicht abdeckt:
- Kein Prüfer ist immun gegen Prompt Injection.
- Eine täuschende Website kann einen Knopf falsch beschriften oder ein Formular an eine Adresse schicken, die nicht sagt, was sie tut.
- Nod schreibt gelernte Skills aus dem, was es getan und gelesen hat; eine Seite oder Mail kann so einen Skill prägen, der spätere Aufgaben lenkt. Erlaubnis gibt ein Skill nie.
- Die Prüfung von Mails auf Zugangscodes liest bis zu 8.000 Zeichen, bei langen Mails Anfang und Ende, und kann einen Code in der Mitte übersehen.
Wie solche Angriffe funktionieren und wie du einen Agenten dagegen absicherst, steht in Prompt Injection: KI-Agenten absichern.
Empfehlungen für Unternehmen mit Kundendaten
- Erst mit Testdaten. Verbinde für die ersten Wochen Testkonten und Kopien statt echter Postfächer.
- Modell mit Vertrag. Für Kundendaten nimm ein Modell über die API eines Anbieters, mit dem du einen Auftragsverarbeitungsvertrag hast, statt ein privates Abo. Bei OpenAI hilft zusätzlich die EU-Region. Was bei Claude gilt, steht in Claude Datenschutz und DSGVO: was gilt.
- Schalter vor dem ersten Einsatz. Nutzungsdaten aus, für alle, wenn du einen Server betreibst; Gesprächsverläufe aus lassen; keine E-Mail-Adresse im Onboarding.
- App-Rechte knapp halten. Was Nod in einer App darf, legt der Zustimmungsbildschirm des Anbieters fest, und manche Freigaben gelten für ein ganzes Postfach. Composio steht mit auf deiner Liste der Empfänger; Notion, Linear und n8n laufen über deren eigene MCP-Server.
- Websuche mitdenken. Suchanfragen gehen an Exa oder, mit ChatGPT-Abo, an OpenAI.
- Sehr sensible Daten lokal. Ein lokales Modell auf eigener Hardware hält die Modellarbeit im Haus. Apps, Websuche und Websites bleiben trotzdem Empfänger.
- Eigener Server statt Laptop. Nur über HTTPS mit Token erreichbar; Backups verschlüsselt und außerhalb des Servers, zusammen mit dem Vault-Schlüssel, ohne den die Datenbank gespeicherte Zugänge nicht wiederherstellt.
- Eine Person je Nod. Ein Server gehört laut Doku einer Person; ein gemeinsamer Assistent für das Team ist nicht vorgesehen.
- Vault sparsam. Nur Logins speichern, die Nod wirklich braucht, Passwörter nie in den Chat tippen.
- Usage lesen. Dort steht jede Aktion mit den Worten, die sie erlaubt haben.
Welche Fragen ein Agent aufwirft, der selbst ins Postfach schaut, habe ich in Claude Duet und DSGVO: KI-Agent im Postfach zusammengetragen; wie ich trenne, was eine KI überhaupt sehen darf, steht in KI und Datenschutz: was die KI sehen darf. Das ist keine Rechtsberatung. Für deinen individuellen Fall schauen wir uns das gern gemeinsam an.
Häufige Fragen
Was bedeutet Nod für die DSGVO?
Das hängt nicht an Nod allein, sondern daran, welche Dienste du anbindest und wie du sie einstellst. Nod speichert die Daten auf deinem Rechner oder Server. Empfänger sind der Modellanbieter, der Verbindungsdienst von n8n mit Composio, Exa für Websuchen und n8n für Nutzungsdaten, die laut Doku in der EU liegen. Deine festen Antworten aus „About you“ und eine freigegebene E-Mail-Adresse gehen laut Doku zusätzlich an Customer.io in den USA.
Schickt Nod meine Nachrichten an n8n?
Nicht mit den Nutzungsdaten, die standardmäßig an sind; sie enthalten laut Doku weder deine Nachrichten noch Nods Antworten. Gesprächsverläufe mit Inhalt teilt Nod nur, wenn du sie einschaltest, dann pseudonymisiert, in der EU und für 14 Tage.
Wo speichert Nod meine Daten?
Auf dem Rechner oder Server, auf dem Nod läuft: in der Desktop-App in einer privaten virtuellen Maschine und im App-Datenordner, bei einer Quellcode-Installation oder auf einem Server in Docker-Volumes. Auf einem Server kann sie jeder lesen, der ihn verwaltet.
Wie schalte ich die Nutzungsdaten in Nod ab?
Unter Settings → Privacy & data den Schalter „Share usage data“ ausschalten. Das stoppt neue Sendungen, löscht aber nichts, was schon gesendet ist; das beantragst du über „Send feedback“.
Sieht das Modell in Nod meine Passwörter?
Nicht, wenn sie im Vault liegen: Der Server trägt sie selbst ein, das Modell sieht nur Kontonamen und Status. Ein Passwort, das du in den Chat tippst, kennt das Modell dagegen.
Kann ich Nod ganz ohne Cloud-Dienste betreiben?
Nicht vollständig. Mit einem lokalen Modell, ausgeschalteten Nutzungsdaten und ohne App-Verbindungen über Composio wird der Kreis klein. Websites, die Nod besucht, und die Websuche über Exa bleiben aber Empfänger, und die Desktop-App prüft bei n8n auf Updates.
Wie du weitermachst
Schreib auf, welche Daten Nod sehen soll und welche nie, und welcher Empfänger aus der Tabelle oben für dich in Frage kommt. Stell dann die Schalter unter Settings → Privacy & data, bevor du das erste Konto verbindest, und starte mit Testdaten. Wie ich KI-Mitarbeiter mit klaren Rechten und Freigaben aufbaue, zeige ich in meiner deutschsprachigen Community Claude Practitioners.
