HubSpot und DSGVO: Compliance-Leitfaden 2026

In einem Satz. HubSpot lässt sich datenschutzkonform betreiben — aber nicht im Auslieferungszustand: Es braucht den abgeschlossenen AV-Vertrag, eine dokumentierte Transfergrundlage für die US-Konzernmutter, abgeschaltetes Tracking ohne Einwilligung und Löschfristen, die HubSpot von sich aus nicht setzt.

Kein Werkzeug ist „DSGVO-konform". Konformität ist eine Eigenschaft Ihrer Verarbeitung, nicht des Produkts. Diese Unterscheidung ist bei HubSpot besonders wichtig, weil das System gleichzeitig CRM, Marketing-Automation, Website-Tracking und Ticketsystem ist — vier Verarbeitungen mit vier unterschiedlichen Rechtsgrundlagen, die im Verzeichnis auch getrennt beschrieben gehören. Wer HubSpot als „ein Tool" einträgt, hat den ersten Prüfungsfund schon produziert. Dieser Leitfaden geht die Punkte durch, die ein deutscher Verantwortlicher tatsächlich entscheiden und dokumentieren muss. Alle Angaben zum Anbieter haben den Stand Juli 2026 und sind vor der Verwendung in einer Transferdokumentation in HubSpots aktueller Rechtsdokumentation nachzuprüfen — Anbieterangaben altern schnell.

Wichtige Punkte

• Der AV-Vertrag ist Bestandteil der HubSpot-Nutzungsbedingungen und muss nicht gesondert unterschrieben werden — prüfen Sie trotzdem, welche Fassung für Ihr Konto gilt.
• HubSpot bietet EU-Hosting an; das entbindet nicht von der Transferdokumentation, weil Support und Konzernzugriff aus den USA erfolgen können.
• Das Website-Tracking von HubSpot ist einwilligungspflichtig — der AV-Vertrag ersetzt keine Rechtsgrundlage.
• Marketing-Kontakte, CRM-Datensätze und Ticket-Daten sind drei getrennte Einträge im Verarbeitungsverzeichnis.
• Eine DSFA ist bei reinem CRM-Einsatz meist entbehrlich, bei Lead-Scoring und Profilbildung dagegen ernsthaft zu prüfen.

1. Welche personenbezogenen Daten HubSpot verarbeitet

HubSpot ist keine Datenbank mit Namen und E-Mail-Adressen, sondern ein Verhaltensarchiv. Im Kontaktdatensatz stehen typischerweise: Vor- und Nachname, geschäftliche E-Mail-Adresse, Telefonnummer, Position und Arbeitgeber, Land und Sprache — und daneben die eigentlich sensible Schicht: jeder Seitenaufruf auf Ihrer Website nach Identifikation, jede geöffnete und geklickte E-Mail, jedes ausgefüllte Formular, jede Chat-Konversation, jeder Anruf mit Aufzeichnungsvermerk, jede interne Notiz eines Vertriebsmitarbeiters über die Person. Dazu kommen abgeleitete Werte: Lead-Score, Lifecycle-Stufe, Kaufwahrscheinlichkeit.

Betroffene sind Interessenten, Kunden, Ansprechpartner bei Geschäftskunden, Website-Besucher und — bei Nutzung des Service Hub — Personen, die sich mit einer Supportanfrage melden. Besondere Kategorien nach Art. 9 DSGVO gehören nicht in HubSpot; in der Praxis landen sie regelmäßig doch dort, nämlich in Freitextnotizen des Vertriebs („ist gerade in Elternzeit", „krankheitsbedingt nicht erreichbar"). Das ist kein Produktfehler, sondern ein Schulungsthema.

2. Der AV-Vertrag nach Art. 28 DSGVO

HubSpot handelt für den Kern des Dienstes als Auftragsverarbeiter. Der AV-Vertrag (Data Processing Agreement) ist über die HubSpot-Rechtsdokumentation öffentlich abrufbar und wird als Bestandteil der Kundenbedingungen einbezogen — er ist damit in der Regel selbstvollziehend und braucht keine gesonderte Unterschrift. Prüfen Sie dennoch zwei Dinge: erstens, welche Vertragsfassung für Ihren Vertrag gilt (Altverträge laufen manchmal auf älteren Fassungen weiter), und zweitens, ob Ihre Konzerngesellschaften mit erfasst sind. Wenn Ihr Datenschutzbeauftragter den AVV im Ordner braucht, laden Sie die geltende Fassung als PDF herunter und legen Sie sie mit Abrufdatum ab — die Grundlagen dazu stehen in unserem Beitrag zur Auftragsverarbeitung nach DSGVO.

Inhaltlich deckt der HubSpot-AVV die Pflichtinhalte des Art. 28 Abs. 3 ab: Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen mit Verweis auf ein Sicherheitsanhang, Unterstützung bei Betroffenenrechten und bei der DSFA, Löschung oder Rückgabe nach Vertragsende sowie Audit-Rechte. Die Audit-Rechte sind — wie bei praktisch allen großen SaaS-Anbietern — auf die Vorlage von Prüfberichten Dritter und einen Fragebogen beschränkt, nicht auf eine Vor-Ort-Prüfung durch Sie. Das ist zulässig, gehört aber als bewusste Entscheidung dokumentiert. Bei den Subunternehmern arbeitet HubSpot mit einer allgemeinen Vorabgenehmigung nebst Widerspruchsrecht; die konkrete Ankündigungsfrist und die Rechtsfolge eines Widerspruchs — typischerweise ein Sonderkündigungsrecht, nicht ein Veto — lesen Sie im Vertragstext nach, bevor Sie sich darauf verlassen.

3. Hosting und Drittlandtransfer (Stand: Juli 2026)

HubSpot betreibt Rechenzentren in den USA und in der EU; für europäische Neukunden ist EU-Hosting seit einigen Jahren der Regelfall, Altkonten können weiterhin in den USA liegen. Das ist die erste Frage, die ein deutscher Datenschutzbeauftragter beantworten muss, und sie lässt sich nicht raten: Lassen Sie sich von HubSpot schriftlich bestätigen, in welcher Region Ihr Portal liegt, und legen Sie diese Bestätigung mit Datum ab.

EU-Hosting ist kein Transferverzicht. HubSpot, Inc. ist ein US-Unternehmen; Support, Entwicklung und Administration können aus den USA erfolgen, und damit liegt eine Übermittlung im Sinne des Kapitel V DSGVO vor. Als vertragliche Grundlage sind im AVV die Standardvertragsklauseln einbezogen. Ob HubSpot zusätzlich unter dem EU-US Data Privacy Framework zertifiziert ist, prüfen Sie bitte selbst auf der offiziellen DPF-Liste und halten Sie das Prüfdatum fest — eine Zertifizierung kann jederzeit auslaufen, und eine ungeprüft übernommene Behauptung ist in der Dokumentation wertlos. Was ein deutscher Verantwortlicher festhalten sollte: Hosting-Region, Transfergrundlage, Datum der Prüfung, und eine Transfer-Folgenabschätzung, die den Zugriff aus den USA und die getroffenen ergänzenden Maßnahmen bewertet. Die Systematik dazu erklärt unser Beitrag zur internationalen Datenübermittlung; die Besonderheiten bei US-Anbietern behandelt der Beitrag DSGVO und US-Unternehmen.

4. Subprozessoren

HubSpot veröffentlicht eine Liste seiner Subunternehmer in der Rechtsdokumentation. Sie enthält typischerweise Infrastrukturanbieter, E-Mail-Zustelldienste, Telefonie- und Support-Dienstleister sowie Konzerngesellschaften. Abonnieren Sie die Änderungsbenachrichtigung — das ist bei HubSpot ein einfaches Formular — und legen Sie die Zuständigkeit intern fest: Wer liest die Benachrichtigung, wer bewertet, ob ein neuer Subunternehmer eine neue Transferbewertung auslöst? Die Widerspruchsfrist ist knapp, und wer schweigt, hat zugestimmt. Bei mehr als einer Handvoll solcher Anbieter lohnt sich ein zentrales Register statt eines E-Mail-Ordners. Wer HubSpot parallel zu einem zweiten CRM oder zu einem eigenständigen Newsletter-Werkzeug betreibt, sollte die Bewertungen nebeneinanderlegen — die Konstellationen unterscheiden sich erheblich, wie der Vergleich mit Salesforce und mit Mailchimp zeigt.

5. Sicherheit und Zertifizierungen

HubSpot veröffentlicht ein Trust- beziehungsweise Sicherheitsportal, über das Kunden Prüfberichte anfordern können; nach eigenen Angaben liegen ein SOC-2-Type-II-Bericht und eine ISO-27001-Zertifizierung vor (Stand Juli 2026). Behandeln Sie das als Anbieterbehauptung, nicht als Ihre Feststellung: Fordern Sie den aktuellen Bericht an, prüfen Sie Geltungsbereich und Berichtszeitraum und legen Sie ihn zu Ihrer Dienstleisterprüfung. Ein SOC-2-Bericht, dessen Geltungsbereich Ihr genutztes Produkt nicht abdeckt, belegt nichts. Was Sie technisch selbst verantworten, bleibt Ihre Aufgabe nach Art. 32 DSGVO — Zugriffsrechte, Zwei-Faktor-Authentifizierung, Passwortpolitik. Eine Zertifizierung des Anbieters ersetzt Ihre eigene Maßnahmenprüfung nicht, sie verkürzt sie nur.

6. Konfigurations-Checkliste

Dies ist der Abschnitt, der über Konformität entscheidet — die Voreinstellungen von HubSpot sind auf Marketing-Wirksamkeit optimiert, nicht auf Datenminimierung.

1. Datenschutz-Funktionen aktivieren. HubSpot hat einen Schalter für DSGVO-Funktionen (Einwilligungsfelder, Rechtsgrundlage je Kontakt, Löschanfragen). Er ist nicht standardmäßig an.
2. Tracking-Skript an ein Consent-Management koppeln. Das HubSpot-Tracking-Cookie darf erst nach Einwilligung gesetzt werden; die Rechtslage dazu steht in unserem Beitrag zum TTDSG und Cookie-Banner.
3. E-Mail-Marketing nur mit dokumentierter Einwilligung. Doppelte Bestätigung (Double Opt-in) einrichten, Nachweis mit Zeitstempel speichern — Muster im Beitrag Einwilligung DSGVO Muster.
4. Öffnungs- und Klick-Tracking bewusst entscheiden. Individuelles Tracking von E-Mail-Verhalten braucht eine eigene Rechtsgrundlage; wo Sie es nicht brauchen, schalten Sie es ab.
5. Formularfelder ausdünnen. Jedes Pflichtfeld, das nicht dem Zweck dient, ist ein Verstoß gegen die Datenminimierung.
6. Löschfristen definieren. HubSpot löscht nichts von selbst. Legen Sie fest, wann inaktive Kontakte gelöscht werden, und automatisieren Sie es über Workflows — Systematik im Löschkonzept.
7. Integrationen inventarisieren. Jede verbundene App im Marketplace ist ein weiterer Empfänger. Nicht genutzte Verbindungen trennen.
8. Benutzerrechte prüfen. Nicht jeder Vertriebsmitarbeiter braucht Export- und Löschrechte für die gesamte Datenbank.
9. Freitextnotizen regeln. Schriftliche Anweisung, welche Angaben nicht in Notizfelder gehören.
10. Aufbewahrung von Anrufaufzeichnungen begrenzen und die Aufzeichnung ankündigen.

7. Was ins Verarbeitungsverzeichnis gehört

Legen Sie getrennte Einträge für CRM/Vertrieb, E-Mail-Marketing, Website-Tracking und Kundenservice an. Je Eintrag: Zweck, Rechtsgrundlage (Vertragsanbahnung, berechtigtes Interesse oder Einwilligung — die Abgrenzung erklärt der Beitrag zum berechtigten Interesse), Datenkategorien, Betroffenenkategorien, Empfänger einschließlich HubSpot als Auftragsverarbeiter und der relevanten Subunternehmer, Drittlandtransfer mit Nennung der Transfergrundlage, Löschfristen und ein Verweis auf die technischen Maßnahmen. Struktur und Vorlage finden Sie im Beitrag Verzeichnis von Verarbeitungstätigkeiten. Wer solche Einträge für ein Dutzend Werkzeuge pflegt und dabei AVV, Subprozessorliste und Verzeichnis synchron halten will, kommt mit Tabellen an eine Grenze; Datenschutzplattformen wie Legiscope verknüpfen diese drei Ebenen — der Marktüberblick steht im DSGVO-Software-Vergleich.

8. Wann eine DSFA nötig ist

Der reine CRM-Einsatz — Kontakthistorie zu Geschäftskunden, Angebotsverfolgung — löst für sich genommen selten eine Pflicht zur Datenschutz-Folgenabschätzung aus. Kippen kann das an drei Stellen: bei umfangreichem Website-Tracking natürlicher Personen mit Profilbildung, bei automatisiertem Lead-Scoring, das über die Behandlung einer Person entscheidet, und bei der Zusammenführung von HubSpot-Daten mit externen Datenquellen zur Anreicherung. Prüfen Sie den Schwellenwert anhand der Kriterien des Art. 35 Abs. 3 DSGVO und der Muss-Liste Ihrer Aufsichtsbehörde. Führt Ihr Scoring zu Entscheidungen ohne menschliche Beteiligung, ist zusätzlich Art. 22 DSGVO einschlägig — dann wird die Folgenabschätzung praktisch unvermeidlich.

FAQ

Ist HubSpot DSGVO-konform?

Die Frage lässt sich so nicht beantworten, und jede Werbeaussage in diese Richtung ist irreführend. Ein Produkt kann nicht konform sein — konform ist eine konkrete Verarbeitung. HubSpot stellt die Bausteine bereit (AV-Vertrag, EU-Hosting, Einwilligungsverwaltung, Löschfunktionen). Ob Ihre Nutzung konform ist, hängt an der Konfiguration, der dokumentierten Rechtsgrundlage und daran, dass der AVV wirksam einbezogen ist.

Muss ich mit HubSpot einen AV-Vertrag unterschreiben?

Ein AV-Vertrag ist zwingend, aber er wird in der Regel über die Nutzungsbedingungen einbezogen und braucht keine separate Unterschrift. Ihre Aufgabe ist es, die geltende Fassung herunterzuladen, mit Abrufdatum zu archivieren und bei Vertragsänderungen erneut zu prüfen.

Übermittelt HubSpot Daten in die USA?

Auch bei EU-Hosting ist Zugriff aus den USA — Support, Administration, Konzerngesellschaften — nicht ausgeschlossen. Behandeln Sie das als Drittlandtransfer, dokumentieren Sie die Transfergrundlage und führen Sie eine Transfer-Folgenabschätzung.

Reicht EU-Hosting, um die Standardvertragsklauseln zu sparen?

Nein. Solange ein US-Konzern administrativen Zugriff hat, brauchen Sie eine Transfergrundlage. EU-Hosting ist eine ergänzende Maßnahme, die Ihre Risikobewertung verbessert — kein Ersatz für sie.

Fazit

HubSpot ist bei den Vertragsgrundlagen gut aufgestellt: öffentlicher AVV, veröffentlichte Subprozessorliste, EU-Hosting-Option, abrufbare Prüfberichte. Genau deshalb liegt das Risiko nicht beim Anbieter, sondern bei Ihnen — bei Tracking ohne Einwilligung, bei Kontakten, die seit acht Jahren nicht gelöscht wurden, und bei einem Verzeichniseintrag, der vier Verarbeitungen in eine Zeile presst. Arbeiten Sie die Konfigurations-Checkliste ab, dokumentieren Sie Hosting-Region und Transfergrundlage mit Datum, und wiederholen Sie die Prüfung jährlich. Anbieterangaben veralten; Ihre Dokumentation soll das überstehen.