HubSpot en de AVG: compliance-gids 2026

In één zin. HubSpot is met de juiste inrichting verantwoord in te zetten, maar niet zoals het uit de doos komt: u heeft een geldende verwerkersovereenkomst nodig, een schriftelijk bevestigde hostingregio, een gedocumenteerde doorgiftegrondslag voor het Amerikaanse moederbedrijf, tracking dat pas na toestemming laadt, en bewaartermijnen die HubSpot zelf niet instelt.

Geen enkel product is “AVG-conform”. Conformiteit is een eigenschap van úw verwerking, niet van de software. Bij HubSpot is dat onderscheid extra scherp, omdat u vier dingen tegelijk koopt: een CRM, een marketingautomatiseringssysteem, een trackingscript op uw website en een ticketsysteem. Dat zijn vier verwerkingen met verschillende doelen en verschillende grondslagen, en ze horen ook los in uw register te staan. Wie HubSpot als één regel in het register van verwerkingsactiviteiten opneemt, heeft de eerste auditbevinding al geproduceerd. Alle leveranciersgegevens hieronder hebben peildatum juli 2026 en moeten opnieuw worden nagelopen in de actuele juridische documentatie van HubSpot voordat u ze in een dossier overneemt.

Belangrijkste punten

• De verwerkersovereenkomst van HubSpot is opgenomen in de klantvoorwaarden en werkt in beginsel zonder aparte handtekening — download toch de geldende versie en archiveer die met ophaaldatum.
• HubSpot, Inc. is een Amerikaanse onderneming; ook met een EU-hostingregio blijft toegang vanuit de VS een doorgifte die u moet onderbouwen.
• Of úw portal in de EU-regio draait, is accountspecifiek. Laat het schriftelijk bevestigen; ga er niet vanuit.
• Het trackingcookie van HubSpot mag pas na toestemming worden geplaatst (art. 11.7a Telecommunicatiewet). Een verwerkersovereenkomst vervangt geen grondslag.
• CRM, e-mailmarketing, websitetracking en klantenservice zijn vier aparte registerentries met vier eigen bewaartermijnen.

Welke persoonsgegevens HubSpot feitelijk verwerkt

HubSpot is geen adresboek maar een gedragsarchief. In een contactrecord staan doorgaans: voor- en achternaam, zakelijk e-mailadres, telefoonnummer, functie en werkgever, land en taal. Daaronder ligt de gevoeliger laag: elk paginabezoek op uw site nadat de bezoeker is geïdentificeerd, elke geopende en aangeklikte e-mail, elk ingevuld formulier, elk chatgesprek, elk telefoongesprek met eventuele opname, en elke vrije notitie die een accountmanager over de persoon typt. Daar bovenop komen afgeleide waarden: leadscore, lifecyclefase, kans op sluiten.

De betrokkenen zijn prospects, klanten, contactpersonen bij zakelijke afnemers, websitebezoekers en — bij gebruik van de servicemodule — iedereen die een supportvraag indient. Bijzondere persoonsgegevens in de zin van art. 9 AVG horen niet in HubSpot thuis, maar belanden er in de praktijk toch, vrijwel altijd via vrije tekstvelden (“zit in de ziektewet”, “is met zwangerschapsverlof”). Dat is geen productfout maar een instructie- en opleidingskwestie, en u lost het op met een schriftelijke werkinstructie, niet met een instelling.

De verwerkersovereenkomst onder art. 28 AVG

Voor de kern van de dienst treedt HubSpot op als verwerker. De verwerkersovereenkomst is openbaar te vinden in de juridische documentatie van HubSpot en wordt via de klantvoorwaarden van toepassing verklaard; ze is daarmee in de regel zelfwerkend en vraagt geen losse ondertekening. Controleer niettemin twee dingen: welke versie op úw contract van toepassing is — oude contracten lopen soms door op een oudere versie — en of uw groepsmaatschappijen zijn meegedekt. Download de geldende tekst als pdf en leg die vast met de datum waarop u hem ophaalde. Wat er inhoudelijk in moet staan, staat in onze uitleg over de verwerkersovereenkomst onder art. 28 AVG.

Inhoudelijk dekt de tekst de onderwerpen van art. 28 lid 3 AVG af: instructiegebondenheid, geheimhouding, beveiligingsmaatregelen met een verwijzing naar een beveiligingsbijlage, bijstand bij rechten van betrokkenen en bij de DPIA, verwijdering of teruggave na afloop en een auditregeling. Dat auditrecht is — zoals bij vrijwel alle grote SaaS-leveranciers — beperkt tot het overleggen van rapportages van derden en het beantwoorden van een vragenlijst, niet tot een inspectie ter plaatse door u. Dat mag, maar leg vast dat u die beperking bewust heeft aanvaard. Voor subverwerkers werkt HubSpot met een algemene voorafgaande toestemming plus bezwaarrecht; lees de aankondigingstermijn en het rechtsgevolg van bezwaar — doorgaans een opzegrecht, geen veto — na in de contracttekst voordat u erop vertrouwt.

Hosting en doorgifte naar derde landen (peildatum juli 2026)

HubSpot biedt een EU-hostingregio aan. Of uw portal daar staat, hangt af van wanneer en hoe uw account is aangemaakt en is niet af te leiden uit de interface. Vraag HubSpot schriftelijk om bevestiging van de regio waarin uw portal draait en bewaar die bevestiging met datum in uw dossier. Dat is de eerste vraag die een toezichthouder stelt en de enige die u niet mag gokken.

EU-hosting is geen vrijstelling. HubSpot, Inc. is Amerikaans; support, ontwikkeling en beheer kunnen vanuit de VS plaatsvinden, en daarmee is er een doorgifte in de zin van hoofdstuk V AVG. Als contractuele grondslag zijn in de verwerkersovereenkomst de standaardcontractbepalingen (SCC’s) opgenomen; controleer welke module en welke versie van toepassing zijn. Of de contracterende HubSpot-entiteit daarnaast is aangesloten bij het EU-US Data Privacy Framework, moet u zelf nagaan op de officiële DPF-lijst en met datum vastleggen — een certificering kan aflopen en een ongecontroleerd overgenomen bewering is in een dossier waardeloos. Wat u vastlegt: hostingregio, doorgiftegrondslag, controledatum en een transfer impact assessment die de Amerikaanse toegang en de aanvullende maatregelen weegt. De systematiek staat in ons stuk over internationale doorgifte naar derde landen.

Subverwerkers en wijzigingsmeldingen

HubSpot publiceert een subverwerkerslijst in dezelfde juridische documentatie. Abonneer u op de wijzigingsmeldingen en wijs intern aan wie die meldingen leest en wie beoordeelt of een nieuwe subverwerker een nieuwe doorgiftebeoordeling uitlokt. Zonder die toewijzing gebeurt het niet: de bezwaartermijn is kort en wie zwijgt, stemt in. Beheert u meer dan een handvol leveranciers, dan is een centraal overzicht praktischer dan een mailmap — de markt voor dat soort hulpmiddelen zetten we naast elkaar in de vergelijking van AVG-compliancesoftware. Draait u HubSpot naast een tweede CRM of een los nieuwsbriefpakket, leg de beoordelingen dan naast elkaar; de constellaties verschillen sterk, zoals de vergelijking met Salesforce en met Mailchimp laat zien.

Beveiliging en certificeringen als leveranciersclaim

HubSpot onderhoudt een trust- of beveiligingsportaal waar klanten auditrapportages kunnen opvragen. Behandel wat daar staat als een claim van de leverancier, niet als uw eigen vaststelling: vraag het actuele rapport op, controleer scope en rapportageperiode en voeg het toe aan uw leveranciersbeoordeling. Een rapport waarvan de scope het product dat u afneemt niet dekt, bewijst niets. Wat u technisch zelf in de hand heeft — toegangsrechten, tweefactorauthenticatie, wachtwoordbeleid, logging — blijft uw verplichting onder art. 32 lid 1 AVG. Een certificering van de leverancier verkort uw eigen toets, maar vervangt hem niet.

Configuratiechecklist: wat u moet omzetten

Dit is het deel dat over conformiteit beslist. De standaardinstellingen van HubSpot zijn geoptimaliseerd op marketingrendement, niet op dataminimalisatie.

1. Zet de privacyfuncties aan. HubSpot heeft een schakelaar voor toestemmingsvelden, grondslag per contact en verwijderverzoeken. Die staat standaard uit.
2. Koppel het trackingscript aan uw consentbanner. Het HubSpot-cookie mag pas laden ná toestemming; de Nederlandse regels staan in ons stuk over toestemming voor cookies.
3. Scheid het formulierverkeer van het chatverkeer. Chat en meetings plaatsen eigen identificatoren; beoordeel die apart in uw cookieverklaring.
4. Stel per lijst een grondslag in en gebruik het veld “legal basis to process” consequent — anders staat de grondslag alleen in uw hoofd.
5. Zet dubbele opt-in aan voor alle marketing-e-mail en bewaar het bewijs met tijdstempel, zoals beschreven bij direct marketing onder de AVG.
6. Beslis bewust over open- en klikregistratie. Individueel gedragsvolgen in e-mail heeft een eigen grondslag nodig; waar u het niet gebruikt, zet u het uit.
7. Snoei de formuliervelden. Elk verplicht veld dat het doel niet dient, is een schending van de dataminimalisatie.
8. Definieer verwijderregels. HubSpot verwijdert niets uit zichzelf; automatiseer opschoning van inactieve contacten via workflows en leg de termijn vast volgens uw bewaartermijnenbeleid.
9. Inventariseer de marketplace-integraties. Elke gekoppelde app is een extra ontvanger; verbreek ongebruikte koppelingen.
10. Beperk gebruikersrechten. Niet elke verkoper heeft export- en verwijderrechten op de hele database nodig.
11. Reguleer vrije tekstvelden met een schriftelijke instructie over wat er níet in notities hoort.
12. Begrens gespreksopnamen: kondig de opname aan, bewaar kort en beperk wie de opnames kan afspelen.

Wat er in het verwerkingsregister moet

Maak vier aparte entries: CRM en verkoop, e-mailmarketing, websitetracking en klantenservice. Per entry legt u vast: doel, grondslag (uitvoering van een overeenkomst of precontractuele fase, gerechtvaardigd belang of toestemming), categorieën gegevens, categorieën betrokkenen, ontvangers inclusief HubSpot als verwerker en de relevante subverwerkers, doorgifte naar derde landen met vermelding van de grondslag, bewaartermijn en een verwijzing naar de beveiligingsmaatregelen. Doet u dit voor een tiental tools, dan lopen verwerkersovereenkomst, subverwerkerslijst en register in een spreadsheet snel uit de pas; een platform als Legiscope houdt die drie lagen aan elkaar gekoppeld.

Wanneer een DPIA nodig is

Puur CRM-gebruik — contacthistorie bij zakelijke klanten, offertes opvolgen — leidt zelden op zichzelf tot een verplichte DPIA. Het kantelt op drie punten: uitgebreide tracking van natuurlijke personen op uw website met profielopbouw, geautomatiseerde leadscoring die bepaalt hoe iemand wordt behandeld, en verrijking van HubSpot-data met externe bronnen. Toets aan de criteria van art. 35 lid 3 AVG en aan de lijst van verwerkingen waarvoor de Autoriteit Persoonsgegevens een DPIA verplicht stelt. Leidt uw scoring tot besluiten zonder menselijke tussenkomst, dan komt art. 22 AVG erbij en is een DPIA praktisch onvermijdelijk.

FAQ

Is HubSpot AVG-conform?

Zo is de vraag niet te beantwoorden, en elke marketingclaim in die richting is misleidend. Een product kan niet conform zijn; een concrete verwerking wel. HubSpot levert bouwstenen — verwerkersovereenkomst, EU-hostingregio, toestemmingsvelden, verwijderfuncties. Of úw gebruik voldoet, hangt af van uw configuratie, van de vastgelegde grondslag per verwerking en van de vraag of de verwerkersovereenkomst daadwerkelijk van toepassing is.

Moet ik met HubSpot een verwerkersovereenkomst tekenen?

Een verwerkersovereenkomst is verplicht, maar wordt bij HubSpot doorgaans via de klantvoorwaarden van toepassing verklaard en vraagt geen losse handtekening. Uw taak is de geldende versie downloaden, archiveren met ophaaldatum en opnieuw toetsen bij elke contractwijziging.

Staat mijn HubSpot-portal in de EU?

Dat is accountspecifiek en mag u niet aannemen. Vraag HubSpot schriftelijk om bevestiging van de regio en bewaar het antwoord met datum. Ook een bevestigde EU-regio heft de doorgiftevraag niet op, omdat beheer en support vanuit de VS kunnen plaatsvinden.

Mag ik het HubSpot-trackingcookie zonder toestemming plaatsen?

Nee. Het plaatsen en uitlezen van dat cookie valt onder art. 11.7a Telecommunicatiewet en vereist toestemming, tenzij een strikt noodzakelijke uitzondering geldt — die geldt hier niet. De verwerking van de verzamelde gegevens heeft daarnaast een eigen AVG-grondslag nodig.

Conclusie

Contractueel staat HubSpot er redelijk voor: openbare verwerkersovereenkomst, gepubliceerde subverwerkerslijst, EU-hostingregio en opvraagbare auditrapporten. Juist daarom zit het risico niet bij de leverancier maar bij u — bij tracking zonder toestemming, bij contacten die al acht jaar niet zijn opgeschoond, en bij een registerentry die vier verwerkingen in één regel propt. Werk de configuratiechecklist af, laat hostingregio en doorgiftegrondslag schriftelijk bevestigen en zet er een datum bij, en herhaal de toets jaarlijks. Leveranciersinformatie veroudert; uw dossier moet dat overleven.