DSGVO-konformes HubSpot-Consulting: Was 2026 wirklich Pflicht ist

HubSpot und die DSGVO: Warum das Thema 2026 an Bedeutung gewinnt

HubSpot gehört zu den meistgenutzten CRM- und Marketing-Plattformen im deutschsprachigen Raum – und verarbeitet dabei in aller Regel personenbezogene Daten: Namen, E-Mail-Adressen, Telefonnummern, Interaktionsverläufe, teilweise auch Gesprächsnotizen oder Aufzeichnungen. Damit unterliegt der Einsatz uneingeschränkt der Datenschutz-Grundverordnung (DSGVO). Die Aufsichtsbehörden prüfen die Einbindung von US-Software-as-a-Service-Anbietern seit Jahren intensiver, und mit der vollständigen Anwendbarkeit weiterer Regulierungsvorhaben rund um KI-gestützte Funktionen im Jahr 2026 rückt das Thema zusätzlich in den Fokus. Viele Unternehmen gehen davon aus, dass mit dem Abschluss eines Auftragsverarbeitungsvertrags bereits alles Notwendige erledigt ist. Das greift zu kurz: HubSpot stellt zwar wichtige rechtliche und technische Grundlagen bereit, ein erheblicher Teil der DSGVO-Pflichten liegt aber weiterhin beim einsetzenden Unternehmen selbst.

Dieser Beitrag ordnet ein, was HubSpot bereits regelt, wo Unternehmen aktiv werden müssen und welche Punkte in der Praxis am häufigsten übersehen werden.

*Hinweis: Dieser Artikel bietet einen allgemeinen Überblick über datenschutzrechtliche Aspekte beim Einsatz von HubSpot und ersetzt keine individuelle Rechtsberatung. Für eine rechtssichere Bewertung der konkreten Datenverarbeitung im eigenen Unternehmen sollte fachkundiger juristischer Rat eingeholt werden.*

Der Auftragsverarbeitungsvertrag (AVV): Pflicht nach Art. 28 DSGVO

Sobald ein Unternehmen HubSpot zur Verarbeitung personenbezogener Daten nutzt – sei es im Marketing Hub, Sales Hub oder Service Hub –, handelt es sich um eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO. Ein entsprechender Vertrag ist keine Kür, sondern gesetzliche Voraussetzung für den rechtmäßigen Einsatz.

HubSpot stellt eine Vereinbarung zur Datenverarbeitung öffentlich im eigenen Legal Center bereit. Diese Vereinbarung ist so gestaltet, dass sie automatisch mit den Kundenbedingungen wirksam wird, sobald ein Vertrag mit HubSpot geschlossen wird – eine separate, händisch unterschriebene Fassung ist in der Regel nicht erforderlich. Die Vereinbarung enthält auch die für Drittlandtransfers notwendigen Standardvertragsklauseln (Standard Contractual Clauses, SCC) der EU-Kommission, unterteilt nach den einschlägigen Modulen für unterschiedliche Verantwortlichkeiten (Modul 2 für Verantwortliche, Modul 3 für Auftragsverarbeiter).

Für Unternehmen bedeutet das praktisch:

• Prüfen statt nur voraussetzen: Es lohnt sich, die aktuell gültige Fassung der Vereinbarung zu sichten und deren Geltungsdatum zu dokumentieren, da sich Vertragsversionen im Zeitverlauf ändern können.
• Vollständigkeit sicherstellen: Zusatzprodukte, Add-ons und Drittintegrationen innerhalb von HubSpot sind nicht automatisch von derselben Vereinbarung abgedeckt und sollten einzeln geprüft werden.
• Dokumentation im Verzeichnis von Verarbeitungstätigkeiten: Der Einsatz von HubSpot – idealerweise getrennt nach Anwendungsbereichen wie CRM/Vertrieb, E-Mail-Marketing, Website-Tracking und Kundenservice – gehört in das nach Art. 30 DSGVO zu führende Verzeichnis.

Der AVV allein legitimiert also nur den formalen Rahmen der Auftragsverarbeitung. Die inhaltliche Rechtmäßigkeit der jeweiligen Datenverarbeitung – etwa welche Rechtsgrundlage für welchen Zweck herangezogen wird – muss weiterhin unternehmensseitig geklärt werden.

Datenübermittlung in die USA: Warum EU-Hosting allein nicht ausreicht

Ein weit verbreitetes Missverständnis betrifft die Rolle des EU-Hostings. HubSpot bietet seit 2021 die Möglichkeit, Kundendaten in einem Rechenzentrum innerhalb der EU zu speichern, unter anderem in Frankfurt sowie über ergänzende Infrastruktur in Irland. Das reduziert bestimmte Risiken und wird von vielen Datenschutzbehörden als sinnvolle technische und organisatorische Maßnahme angesehen.

Es beseitigt jedoch nicht automatisch jede Form von Drittlandtransfer. HubSpot, Inc. ist ein US-amerikanisches Unternehmen; Support, Entwicklung, Wartung und konzerninterne Verwaltungsprozesse können weiterhin von den USA aus erfolgen oder dortigen Zugriff ermöglichen. Ein solcher Zugriff gilt datenschutzrechtlich als Datenübermittlung in ein Drittland im Sinne von Kapitel V DSGVO – unabhängig davon, wo die Daten physisch gespeichert liegen.

Um diesen Transfer rechtlich abzusichern, kombiniert HubSpot mehrere Mechanismen:

• Teilnahme am EU-US Data Privacy Framework (dem Nachfolgeinstrument des Privacy Shield) für Übermittlungen an zertifizierte US-Einheiten,
• die bereits erwähnten Standardvertragsklauseln als alternativer beziehungsweise ergänzender Übermittlungsmechanismus.

Für Unternehmen bleibt dennoch eine eigene Aufgabe bestehen: die dokumentierte Bewertung der Übermittlungsgrundlage für Zugriffe der US-Muttergesellschaft, umgangssprachlich oft als Transfer-Folgenabschätzung bezeichnet. Darin wird geprüft, welche Datenkategorien betroffen sind, auf welcher Rechtsgrundlage die Übermittlung erfolgt und ob zusätzliche Schutzmaßnahmen – etwa Verschlüsselung oder Zugriffsbeschränkungen – erforderlich sind. Diese Bewertung liefert HubSpot nicht von sich aus; sie ist Teil der Rechenschaftspflicht des verantwortlichen Unternehmens nach Art. 5 Abs. 2 DSGVO.

Cookie-Consent und Tracking: Einwilligung ist nicht automatisch geregelt

HubSpot bringt ein eigenes Cookie-Banner sowie interne Datenschutzeinstellungen mit, die sich über den Menüpunkt für Tracking-Code und Cookie-Richtlinie konfigurieren lassen. Diese Standardeinstellungen erfüllen jedoch in ihrer werkseitigen Form häufig nicht die Anforderungen an eine wirksame, informierte und vorherige Einwilligung, wie sie DSGVO und – für den deutschen Markt zusätzlich relevant – das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) verlangen.

In der Praxis bedeutet das: Tracking-Skripte von HubSpot Analytics oder verbundenen Marketing-Tools dürfen erst aktiv werden, nachdem eine Nutzerin oder ein Nutzer aktiv zugestimmt hat – ein reines Informationsbanner ohne echte Ablehnungsoption genügt nicht. Unternehmen sollten daher typischerweise folgende Schritte selbst umsetzen:

• Das interne HubSpot-Cookie-Banner deaktivieren, sofern eine spezialisierte Consent-Management-Plattform (CMP) zum Einsatz kommt.
• Die DSGVO-/Datenschutzfunktionen im HubSpot-Account aktivieren, damit Tracking-Cookies erst nach erteilter Einwilligung gesetzt werden.
• Die Kopplung zwischen CMP und HubSpot technisch korrekt einrichten, sodass Tracking-Funktionen den Consent-Status tatsächlich abfragen, bevor Skripte laden.
• Nutzerinnen und Nutzern eine einfache Möglichkeit bieten, eine einmal erteilte Einwilligung jederzeit zu widerrufen.

Auch beim E-Mail-Marketing gilt: Für werbliche Kontaktaufnahme ist regelmäßig eine Einwilligung per Double-Opt-in erforderlich, und Formulare sollten im Sinne der Datenminimierung nur die tatsächlich benötigten Felder abfragen.

Löschfristen und Datenminimierung: HubSpot löscht nichts von selbst

Ein zentraler, oft unterschätzter Punkt: HubSpot definiert keine eigenständigen Löschfristen für gespeicherte Kontakt- oder Interaktionsdaten. Ohne aktive Konfiguration bleiben Datensätze grundsätzlich unbegrenzt gespeichert – ein Zustand, der mit dem Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO kollidiert.

HubSpot stellt zwar Werkzeuge bereit, mit denen sich Aufbewahrungsregeln automatisieren lassen, etwa eine automatische Löschung inaktiver Kontakte nach einer frei wählbaren Inaktivitätsdauer sowie eine Funktion zur unwiderruflichen, protokollierten Löschung einzelner Datensätze. Die Definition sinnvoller Fristen bleibt jedoch Aufgabe des Unternehmens und sollte sich an den jeweiligen Verarbeitungszwecken orientieren:

• Wie lange sind Leads ohne weitere Interaktion für Vertrieb oder Marketing noch relevant?
• Welche gesetzlichen Aufbewahrungspflichten – etwa aus dem Handels- oder Steuerrecht – stehen einer Löschung entgegen?
• Wie werden Löschungen dokumentiert, um die Nachweispflicht gegenüber Aufsichtsbehörden zu erfüllen?

Ein klar dokumentiertes Löschkonzept, das im Verzeichnis von Verarbeitungstätigkeiten hinterlegt wird, ist damit keine Kür, sondern integraler Bestandteil einer rechtskonformen HubSpot-Nutzung. Ergänzend empfiehlt sich eine regelmäßige Prüfung, welche Datenfelder in Formularen, benutzerdefinierten Eigenschaften und Integrationen tatsächlich noch benötigt werden, um unnötig wachsende Datenbestände zu vermeiden.

Betriebsrat und Mitarbeiterdaten: Mitbestimmung nicht übersehen

Wird HubSpot nicht nur zur Verwaltung von Kunden- und Interessentendaten, sondern auch zur Steuerung und Bewertung von Vertriebs- oder Servicemitarbeitenden eingesetzt, kommt eine weitere Dimension ins Spiel, die über die reine DSGVO-Betrachtung hinausgeht: die betriebliche Mitbestimmung.

Funktionen wie Aktivitätsverfolgung, Reporting-Dashboards, Anrufaufzeichnungen oder automatisierte Leistungskennzahlen sind technisch geeignet, das Verhalten oder die Leistung von Mitarbeitenden zu überwachen. In Unternehmen mit Betriebsrat greift hier regelmäßig das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz (BetrVG), das die Einführung und Anwendung technischer Einrichtungen zur Verhaltens- oder Leistungskontrolle an die Zustimmung des Betriebsrats knüpft.

In der Praxis bedeutet dies:

• Vor dem Rollout von Tracking- und Reporting-Funktionen sollte geprüft werden, ob eine Betriebsvereinbarung erforderlich ist.
• Eine solche Vereinbarung sollte konkret festlegen, welche Auswertungen zulässig sind und welche ausdrücklich ausgeschlossen werden.
• Rollen- und Berechtigungskonzepte innerhalb von HubSpot helfen, den Zugriff auf sensible Auswertungen auf das notwendige Maß zu beschränken.

Wer diesen Aspekt übergeht, riskiert nicht nur arbeitsrechtliche Auseinandersetzungen, sondern unter Umständen auch datenschutzrechtliche Konsequenzen, da eine ohne ausreichende Rechtsgrundlage durchgeführte Verhaltenskontrolle zugleich eine unzulässige Verarbeitung personenbezogener Daten der Mitarbeitenden darstellen kann.

Praxis-Checkliste: Die wichtigsten Punkte im Überblick

Zusammengefasst ergibt sich für den DSGVO-konformen Einsatz von HubSpot 2026 folgendes Bild – die vertragliche Basis liefert der Anbieter, die operative Umsetzung liegt beim Unternehmen:

• AVV prüfen und dokumentieren: Aktuelle Fassung sichern, Geltungsbereich für alle genutzten Module und Add-ons klären.
• Datenübermittlung in die USA bewerten: Übermittlungsgrundlage für Konzernzugriffe dokumentieren, unabhängig vom gewählten Hosting-Standort.
• EU-Hosting aktiv wählen, wo verfügbar, als zusätzliche technische Schutzmaßnahme – nicht als alleinige Lösung.
• Cookie-Consent korrekt konfigurieren: Internes Banner ggf. deaktivieren, Tracking an echte Einwilligung koppeln, Widerruf ermöglichen.
• Eigene Löschfristen definieren: Automatisierte Regeln für inaktive Kontakte einrichten und im Verzeichnis von Verarbeitungstätigkeiten festhalten.
• Betriebsrat frühzeitig einbinden, sobald Mitarbeiterdaten über Tracking-, Reporting- oder Auswertungsfunktionen erfasst werden.
• Berechtigungskonzept pflegen: Zugriff auf sensible Daten und Auswertungen auf das erforderliche Maß begrenzen.

Diese Punkte ersetzen keine vollständige rechtliche Prüfung im Einzelfall, zeigen aber, dass DSGVO-Konformität bei HubSpot kein einmaliger Haken auf einer Checkliste ist, sondern ein fortlaufender Prozess aus vertraglicher, technischer und organisatorischer Sorgfalt. Eine jährliche Überprüfung der getroffenen Einstellungen und Dokumentationen ist angesichts sich ändernder Vertragsbedingungen, Unterauftragsverarbeiter und regulatorischer Rahmenbedingungen empfehlenswert.

Häufig gestellte Fragen

Ist ein Auftragsverarbeitungsvertrag (AVV) für HubSpot Pflicht?

Ja. Sobald personenbezogene Daten über HubSpot verarbeitet werden, ist ein AVV nach Art. 28 DSGVO gesetzliche Voraussetzung. HubSpot stellt ihn öffentlich bereit; er gilt automatisch mit den Kundenbedingungen.

Reicht EU-Hosting aus, um DSGVO-konform zu sein?

Nein. EU-Hosting reduziert Risiken, schließt aber Datenübermittlungen in die USA durch Support, Wartung oder Konzernzugriffe der US-Muttergesellschaft nicht vollständig aus – dafür sind zusätzlich Standardvertragsklauseln und eine dokumentierte Übermittlungsgrundlage nötig.

Löscht HubSpot Daten automatisch nach einer bestimmten Zeit?

Nein. HubSpot definiert keine eigenen Löschfristen. Unternehmen müssen eigene Aufbewahrungsregeln festlegen und automatisieren, etwa über die Löschung inaktiver Kontakte.

Muss der Betriebsrat bei HubSpot-Tracking-Funktionen einbezogen werden?

Wenn HubSpot auch zur Leistungs- oder Verhaltenskontrolle von Mitarbeitenden genutzt wird, etwa über Reporting oder Anrufaufzeichnungen, greift in Unternehmen mit Betriebsrat das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG.