HubSpot DSGVO: Welche Werkzeuge für den Datenschutz bringt HubSpot mit?

HubSpot liefert für die DSGVO die Grundlagen: einen Auftragsverarbeitungsvertrag mit Standardvertragsklauseln, ein Rechenzentrum in Deutschland, einen Consent Banner, Double Opt-in, Eigenschaften für die Rechtsgrundlage und eine Funktion zum endgültigen Löschen. Ob dein Einsatz zulässig ist, entscheidet deine Konfiguration, und das bewertet dein Datenschutzbeauftragter oder Anwalt. Hier siehst du, welche Funktionen und Unterlagen HubSpot bereitstellt, jeweils mit Link auf die offizielle HubSpot Quelle.

Kann man HubSpot DSGVO-konform einsetzen?

HubSpot stellt für den Einsatz unter der DSGVO Verträge, einen Datenstandort in der EU und Funktionen bereit. Ob der Einsatz in deinem Fall zulässig ist, hängt davon ab, wie du Formulare, Cookies, E-Mails und Löschprozesse damit aufsetzt. Viele Unternehmen in Deutschland, Österreich und der Schweiz setzen HubSpot ein, die Bewertung übernimmt aber keine Software für dich.

In Erstgesprächen kommt das Thema fast immer von der Geschäftsführung oder vom Datenschutzbeauftragten. Die Sorge ist konkret: Kundendaten landen bei einem Anbieter aus den USA, und niemand im Team kann sagen, wo genau sie liegen und wer darauf zugreift. Aus über 90 HubSpot Projekten in mehr als 9 Jahren kennen wir den Ablauf, der dann hilft: Die Unterlagen von HubSpot sammeln, die Einstellungen im Portal dokumentieren und beides dem Datenschutzbeauftragten zur Bewertung geben.

Was HubSpot bereitstellt und wer es bewertet

Wo speichert HubSpot die Daten deutscher Kunden?

HubSpot kann die Daten deutscher Kunden im EU Rechenzentrum mit Standort Deutschland speichern. Die Infrastruktur läuft auf Amazon Web Services, neben der EU auch in den USA, Kanada und Australien. Das steht in den HubSpot FAQ zu Infrastruktur und Datenhosting. Welches Rechenzentrum ein neues Portal bekommt, richtet sich beim Kauf nach der Geolokalisierung der IP-Adresse bei der Anmeldung.

Ein bestehendes Portal kann den Standort wechseln. Laut derselben Quelle geht das mit einem Starter, Professional oder Enterprise Abo. Wer nur die kostenlosen Tools nutzt, muss dafür upgraden. Für ältere Portale, die vor Jahren in den USA angelegt wurden, ist das ein typischer Punkt auf der Liste.

Wichtig für die Bewertung: HubSpot schreibt in der FAQ auch, dass Daten nicht ausschließlich im Rechenzentrum bleiben. Mitarbeitende aus anderen Regionen können für Support, Entwicklung und Sicherheit auf Daten zugreifen, Unterauftragnehmer verarbeiten Daten teilweise außerhalb des Hosting Standorts, und Analysedaten und Nutzungsdaten gehen in die USA. Genau diese Punkte gehören in das Gespräch mit dem Datenschutzbeauftragten.

Welche Verträge stellt HubSpot für die DSGVO bereit (AVV)?

HubSpot stellt ein Data Processing Agreement (DPA) bereit, das im deutschen Sprachgebrauch dem Auftragsverarbeitungsvertrag (AVV) entspricht. Laut HubSpot ist das DPA Bestandteil der HubSpot Customer Terms of Service. Ein separater Vertrag ist dafür nach dieser Formulierung nicht nötig.

Für Übermittlungen in Drittländer verweist das DPA auf zwei Mechanismen:

• Die EU Standardvertragsklauseln, die per Verweis in das DPA aufgenommen werden
• Die Zertifizierung von HubSpot unter dem EU-US Data Privacy Framework

Die Unterauftragnehmer stehen auf der HubSpot Sub-Processors Seite, jeweils mit Zweck und Standort. Dort findest du unter anderem AWS für Hosting, dazu Anbieter für KI-Funktionen, Zahlungen und Kommunikation. Laut DPA kannst du dich per E-Mail über neue Unterauftragnehmer benachrichtigen lassen, mit mindestens 30 Tagen Vorlauf.

Für deinen Datenschutzbeauftragten bedeutet das: DPA, Sub Processor Liste und Hosting FAQ sind die drei Dokumente, die er für die Bewertung braucht. Lade sie herunter oder verlinke sie im Verarbeitungsverzeichnis, dann ist die Grundlage vollständig.

Welche Einstellungen in HubSpot betreffen den Datenschutz?

Den Datenschutz steuerst du in HubSpot zentral über die „Datenschutzeinstellungen“ (Data Privacy Settings). Laut HubSpot Knowledge Base sind sie bei Portalen im EU Rechenzentrum standardmäßig aktiv. Ein- oder ausschalten dürfen sie Super Admins oder Nutzer mit der Berechtigung „Kontostandards bearbeiten“.

Wenn die Einstellungen aktiv sind, schaltet HubSpot unter anderem diese Funktionen frei:

• Den Consent Banner für Cookies
• Die Eigenschaft für die Rechtsgrundlage der Verarbeitung
• Felder für Einwilligungen zur Kommunikation am Kontakt
• Einen Datenschutzabschnitt in neu erstellten Formularen
• Abmeldelinks für Sales E-Mails und Sequenzen
• Die Option, Marketing E-Mails nur an Kontakte mit Einwilligung zu senden
• Die Funktion zum endgültigen Löschen von Kontakten

Die Eigenschaft für die Rechtsgrundlage heißt „Legal basis for processing contact's data“. Sie kennt Werte wie berechtigtes Interesse (Lead, Kunde, Sonstiges), Vertragserfüllung und freiwillige Einwilligung. Du setzt sie über Importe, Massenbearbeitung, Workflows oder am einzelnen Kontakt. HubSpot schreibt dazu selbst, dass dein Rechtsteam die beste Stelle für die Bewertung deiner Situation ist.

In der Praxis ist die Rechtsgrundlage der Punkt, an dem Portale am häufigsten unvollständig sind. Importierte Altdaten tragen oft gar keinen Wert. Laut HubSpot werden bei aktiven Datenschutzeinstellungen Öffnungen und Klicks für Kontakte ohne Rechtsgrundlage nicht erfasst. Das fällt meist erst im Reporting auf. Welche Grundeinstellungen du außerdem früh setzen solltest, steht in unserem Artikel zu den HubSpot Einstellungen.

Wie funktionieren HubSpot Cookie Banner und Tracking Code mit Einwilligung?

Der HubSpot Consent Banner steuert, wann der Tracking Code Cookies setzt: beim Typ Opt-in erst nach der Zustimmung, beim Typ Opt-out sofort, bis der Besucher ablehnt. Die Cookies erkennen Besucher wieder und ordnen Formulareinsendungen einem Kontakt zu. Du wählst zwischen drei Typen:

• Opt-in: Besucher müssen aktiv zustimmen, bevor getrackt wird
• Opt-out: Tracking läuft, Besucher können ablehnen
• Benachrichtigung: Der Banner informiert nur

Zusätzlich lässt sich die Zustimmung nach Kategorien abfragen, etwa Analyse, Funktion und Werbung. Notwendige Cookies bleiben immer aktiv. Über die Länderauswahl legst du fest, in welchen Ländern der Banner erscheint. HubSpot bestimmt das Land anhand der IP-Adresse. Für den Opt-in Typ beschreibt HubSpot, dass bis zur Zustimmung keine Tracking Cookies gesetzt werden.

Welche Cookies HubSpot genau setzt, mit Zweck und Laufzeit, listet die Seite Cookies, die HubSpot im Browser setzt. Das Haupt-Cookie __hstc läuft zum Beispiel nach sechs Monaten ab. Diese Liste brauchst du für den Cookie Abschnitt deiner Datenschutzerklärung.

Wer Google Analytics oder den Google Tag Manager auf einer bei HubSpot gehosteten Website nutzt, kann den Banner laut HubSpot Knowledge Base mit dem Google Consent Mode verbinden. Läuft deine Website auf WordPress oder einem anderen System, installierst du den Tracking Code selbst. Wie das geht und wie du prüfst, ob er korrekt feuert, steht im Artikel zum HubSpot Tracking Code. Nutzt du dort bereits ein eigenes Consent Tool, klär mit deiner Webagentur und dem Datenschutzbeauftragten, wie der HubSpot Code darin eingebunden wird.

Wie setzt du Double Opt-in und Abmeldungen in HubSpot um?

HubSpot bietet Double Opt-in für E-Mails in allen Produkten und Plänen, auch in den kostenlosen Tools. Erweiterte Funktionen gibt es ab Marketing Hub Professional. Ist Double Opt-in aktiv, bekommen neue Kontakte aus Formularen eine E-Mail mit Bestätigungslink. Marketing E-Mails gehen an sie erst nach der Bestätigung.

Die Einstellung findest du unter Einstellungen, Marketing, E-Mail im Tab Double Opt-in. Bestätigungen laufen über Abonnementtypen wie Newsletter oder Blog Updates. So meldet sich ein Kontakt gezielt für einzelne Themen an oder ab. Die Einrichtung Schritt für Schritt zeigen wir im Artikel HubSpot Double Opt-in einrichten.

In HubSpot Formularen legst du fest, wie die Einwilligung abgefragt wird. HubSpot beschreibt drei Varianten:

• Checkbox für die Kommunikation, Verarbeitung per Klick auf Absenden
• Separate Checkbox für die Verarbeitung, ohne die das Formular nicht absendet
• Berechtigtes Interesse mit reinem Hinweistext

Welche Variante zu welchem Formular passt, ist eine rechtliche Frage und gehört zum Datenschutzbeauftragten. Technisch sind alle drei in wenigen Minuten eingerichtet. Wie du Formulare insgesamt aufbaust, steht im Artikel zu HubSpot Formularen.

Für WhatsApp gelten eigene Regeln der WhatsApp Business API, darunter eine ausdrückliche Einwilligung jedes Empfängers. Wie das mit HubSpot zusammenspielt, beschreiben wir im Artikel zur HubSpot WhatsApp Integration mit Superchat.

Wie löschst du Kontaktdaten in HubSpot endgültig?

Endgültig löschst du Kontaktdaten in HubSpot über die endgültige Löschung: Sie entfernt den Kontakt samt E-Mail-Tracking, Anrufen, Formulareinsendungen und weiteren Aktivitäten, die Bereinigung kann bis zu 30 Tage dauern. Ein normal gelöschter Kontakt lässt sich dagegen innerhalb von 90 Tagen wiederherstellen.

Nach der endgültigen Löschung setzt HubSpot die E-Mail-Adresse auf eine Sperrliste. Über Import oder die Oberfläche lässt sie sich nicht mehr anlegen. Füllt die Person später selbst ein Formular aus, entsteht ein neuer Kontakt ohne alte Historie. Anonymisierte Analysedaten bleiben erhalten, etwa in den Berichten zu Traffic Quellen, sind aber keiner Person mehr zuzuordnen.

Für Anfragen von Betroffenen brauchst du einen festen Ablauf: Wer nimmt die Anfrage an, wer exportiert vorher die Daten zur Auskunft, wer löscht. Wie ein sauberer Export aussieht, steht im Artikel HubSpot Kontakte exportieren.

Welche HubSpot Unterlagen brauchst du für die Datenschutzerklärung?

Für die Datenschutzerklärung brauchst du von HubSpot fünf Angaben: Anbieter und DPA, Hosting-Standort, Unterauftragnehmer, Cookies und die Mechanismen für Übermittlungen in die USA. Den Text formuliert dein Datenschutzbeauftragter oder dein Anwalt, HubSpot liefert die Fakten, die er abfragen wird:

• HubSpot als Anbieter und das DPA als Vertragsgrundlage
• Den Hosting-Standort deines Portals laut Hosting FAQ
• Die Unterauftragnehmer laut Sub Processor Liste
• Die Cookies mit Zweck und Laufzeit laut HubSpot Cookie Liste
• Die Mechanismen für Übermittlungen in die USA laut DPA

Dazu kommt, was nur du aus deinem Portal kennst: welche Formulare Daten erfassen, ob du Chat, Meetings-Links oder Werbekonten verbunden hast und welche Integrationen Daten an andere Systeme geben. Diese Liste ist in vielen Portalen länger als gedacht, weil über die Jahre Apps dazugekommen sind, die niemand mehr auf dem Schirm hat.

Was klärst du zu HubSpot mit deinem Datenschutzbeauftragten?

Mit deinem Datenschutzbeauftragten klärst du, ob dein HubSpot Setup bei Cookies, Formularen, E-Mail-Marketing, Rechtsgrundlage, Löschung und Integrationen zulässig ist. Das Gespräch geht schneller, wenn du vorbereitet kommst. Diese Checkliste nutzen wir in Projekten als Grundlage:

Oft zeigt diese Übung, dass im Portal mehr fehlt als gedacht: Formulare ohne Einwilligungstext, Altkontakte ohne Rechtsgrundlage, ein Banner im Benachrichtigungsmodus. Das lässt sich in HubSpot mit wenigen Einstellungen nachziehen. Wenn du das nicht selbst übernehmen willst, kümmern wir uns im Rahmen der laufenden HubSpot Betreuung darum. Aktuelle Termine für Live Sessions findest du in der Workshop Übersicht.

Häufige Fragen zu HubSpot und DSGVO