HubSpot und DSGVO: So bleibst du datenschutzkonform

Zuletzt aktualisiert: Oktober 2026

Wer HubSpot einführt oder schon nutzt, hört früher oder später dieselbe Frage, aus der Geschäftsführung, vom Vertrieb oder von der Datenschutzbeauftragten: Dürfen wir unsere Kundendaten in einem US-CRM speichern? Uns begegnet diese Frage in HubSpot-Projekten regelmäßig. Die kurze Antwort lautet: ja, wenn du ein paar Dinge sauber regelst.

Ob dein Einsatz datenschutzkonform ist, entscheiden deine Einstellungen, Rechtsgrundlagen und Prozesse. HubSpot liefert dafür die vertraglichen Grundlagen und die passenden Funktionen, Einstellungen und Datenpflege übernimmt dein Team. Wir gehen das Schritt für Schritt durch: von den Grundlagen der DSGVO über die Frage nach der US-Software bis zu den Einstellungen in HubSpot.

Dieser Artikel dient der allgemeinen Information. Für deine konkrete Situation ist deine Datenschutzberatung zuständig. 

Was ist die DSGVO?

Die Datenschutz-Grundverordnung (DSGVO) ist eine EU-Verordnung und gilt seit dem 25. Mai 2018. Sie regelt EU-weit einheitlich, wann Unternehmen und öffentliche Stellen personenbezogene Daten verarbeiten dürfen. Gleichzeitig legt sie fest, welche Rechte die betroffenen Personen haben, etwa auf Auskunft und Löschung. 

Was sind personenbezogene Daten? 

Personenbezogen sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Im B2B-Alltag zählen dazu Name, Durchwahl und IP-Adresse. Auch die geschäftliche E-Mail-Adresse nach dem Muster vorname.nachname@firma.de gehört dazu. Eine Sammeladresse wie info@firma.de fällt in der Regel nicht darunter, solange sie keiner Person zuzuordnen ist. 

Gilt die DSGVO auch im B2B-Geschäft? 

Ja. Sobald dein CRM Ansprechpartner mit Namen enthält, verarbeitest du personenbezogene Daten. Die Regeln gelten damit für Marketing, Vertrieb und Service gleichermaßen. 

Was passiert bei Verstößen gegen die DSGVO? 

Aufsichtsbehörden können Geldbußen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes des Vorjahres verhängen. Maßgeblich ist der höhere Betrag. Diese Obergrenze gilt etwa für Verstöße gegen die Grundsätze der Verarbeitung, gegen Betroffenenrechte und bei unzulässigen Übermittlungen in Drittländer. Für andere Pflichten liegt die Grenze bei 10 Millionen Euro oder 2 %. Entsteht einer Person durch einen Verstoß ein Schaden, kann sie zusätzlich Schadensersatz verlangen.

Unser Tipp: Regle die Grundlagen, bevor jemand nachfragt. Wie das mit HubSpot geht, zeigen die nächsten Abschnitte. 

Darfst du HubSpot als US-Software in Deutschland und der Schweiz nutzen? 

In der Regel ja, wenn die Übermittlung in die USA abgesichert ist. Die Frage ist trotzdem berechtigt: Sobald Daten in die USA fließen, verlangt die DSGVO, dass sie dort vergleichbar geschützt sind wie in der EU. Genau daran sind frühere Abkommen gescheitert, weil US-Behörden zu weit auf Daten zugreifen konnten.

Heute sichern zwei Wege die Übermittlung ab. Der erste ist das EU-US Data Privacy Framework. Unter diesem Abkommen lassen sich US-Unternehmen zertifizieren und gelten dann als sicherer Empfänger. HubSpot, Inc. ist darunter aktiv zertifiziert, ebenso unter dem Schweizer Gegenstück und der UK-Erweiterung. Der zweite Weg sind die EU-Standardvertragsklauseln, von der EU-Kommission vorgegebene Vertragsbausteine. HubSpot hat sie in seine Datenverarbeitungsvereinbarung (DPA) aufgenommen.

Wie es zu dieser Lage kam, zeigt der Überblick.

Wie hat sich die Rechtslage seit 2020 entwickelt? 

Der Datenschutzrahmen ist gültig, über das Rechtsmittel entscheidet der EuGH noch. Unabhängig davon stehen die Standardvertragsklauseln in HubSpots DPA als zweite Grundlage bereit.

Zwei Aufgaben bleiben bei dir:

• Nenne HubSpot in deiner Datenschutzerklärung als Empfänger, ebenso die Übermittlung in die USA.
• Prüfe den Zertifizierungsstatus regelmäßig in der offiziellen Data-Privacy-Framework-Liste.

Wo speichert HubSpot deine Daten?

HubSpot hostet auf Amazon Web Services (AWS) in fünf Regionen. Für die EU steht das Rechenzentrum in Deutschland. Unter Settings > Privacy & Consent im Tab Data Hosting siehst du, wo dein Account liegt. Mit einem bezahlten Abo (Starter, Professional oder Enterprise) kannst du das Rechenzentrum wechseln.

Auch bei Hosting in der EU können Daten die Region verlassen: über Support-Zugriffe, Unterauftragsverarbeiter, Apps aus dem HubSpot Marketplace und Nutzungsdaten, die HubSpot in die USA überträgt. Die Absicherung über Datenschutzrahmen und DPA bleibt deshalb auch mit EU-Rechenzentrum relevant.

Was gilt für Unternehmen in der Schweiz?

In der Schweiz gilt seit dem 1. September 2023 das revidierte Datenschutzgesetz (DSG). Personendaten dürfen ins Ausland gehen, wenn der Bundesrat dem Zielland einen angemessenen Schutz bescheinigt. Alternativ reichen geeignete Garantien wie Datenschutzklauseln im Vertrag. Für zertifizierte US-Unternehmen gilt seit dem 15. September 2024 das Swiss-US Data Privacy Framework. HubSpot ist dafür aktiv zertifiziert, und die DPA schließt diesen Rahmen ein. Das DSG sieht Bussen bis 250 000 Franken gegen private Personen vor, etwa bei vorsätzlich unzulässiger Bekanntgabe von Daten ins Ausland.

Wie erfüllst du als B2B-Unternehmen die Anforderungen der DSGVO?

 Diese acht Pflichten liegen bei deinem Unternehmen, unabhängig vom eingesetzten CRM: 

• Daten sparsam erfassen: Lege nur Felder an, die Marketing und Vertrieb nutzen.
• Rechtsgrundlage festhalten: Im B2B sind meist Einwilligung, Vertrag oder berechtigtes Interesse relevant. Halte pro Kontakt fest, welche gilt.
• Einwilligungen nachweisen: Du musst belegen können, dass jemand eingewilligt hat. Ein Widerruf ist jederzeit möglich.
• Werbe-E-Mails absichern: In Deutschland braucht E-Mail-Werbung die vorherige ausdrückliche Einwilligung, auch im B2B. Für Bestandskunden gilt eine Ausnahme: Du hast die Adresse beim Verkauf erhalten, bewirbst eigene ähnliche Produkte, der Kunde hat nicht widersprochen, und du weist bei der Erhebung und bei jeder Nutzung auf sein Widerspruchsrecht hin. 
• Datenschutzerklärung aktuell halten: Nenne HubSpot als Empfänger und die Übermittlung in die USA.
• Auftragsverarbeitung regeln: Nach Art. 28 DSGVO brauchst du einen Vertrag mit HubSpot. Die DPA ist Teil der Nutzungsbedingungen, eine unterschriebene Fassung gibt es im Legal Center.
• Verarbeitungsverzeichnis führen: Die Ausnahme unter 250 Beschäftigten greift unter anderem nur bei gelegentlicher Verarbeitung, ein laufend genutztes CRM fällt in der Regel nicht darunter.
• Anfragen fristgerecht beantworten: Auskunft, Löschung und Berichtigung erledigst du innerhalb eines Monats. Bei komplexen oder zahlreichen Anfragen darfst du um zwei Monate verlängern, musst das der Person aber innerhalb des ersten Monats mit Begründung mitteilen. 

Welche HubSpot-Funktionen unterstützen dich bei der DSGVO? 

HubSpot bündelt die Datenschutzfunktionen unter Settings > Privacy & Consent, im Consent-Banner und an den Kontakteigenschaften. Ausführlich erklärt HubSpot sie in der eigenen Knowledge Base. Die wichtigsten Funktionen fassen wir hier zusammen. Die Menünamen beziehen sich auf die englische Oberfläche. 

Wie aktivierst du die Datenschutzeinstellungen?

Unter Settings > Privacy & Consent schaltest du die Data privacy settings ein. Dafür brauchst du Super-Admin-Rechte oder die Berechtigung Edit account defaults. Bei Accounts mit Datenspeicherung in der EU sind die Einstellungen standardmäßig aktiv. Damit aktivierst du unter anderem:

• das Cookie-Banner
• einen Datenschutzabschnitt in neuen Formularen
• Abmeldelinks in Sales-E-Mails und Sequenzen
• Hinweise im Sales-Plug-in, wenn einem Kontakt die Rechtsgrundlage fehlt

Öffnungen und Klicks trackt HubSpot danach nur bei Kontakten mit Rechtsgrundlage. HubSpot empfiehlt zusätzlich den Schalter Limit emails to contacts with a subscription. Er beschränkt Marketing-E-Mails auf Kontakte mit Abonnement.

Wie richtest du das Cookie-Banner ein?

In Deutschland braucht das Speichern von Cookies auf dem Endgerät eine Einwilligung. Ausgenommen sind Cookies, die für den gewünschten Dienst unbedingt erforderlich sind. So regelt es § 25 TDDDG, früher TTDSG.

Das Banner richtest du unter Settings > Privacy & Consent im Tab Cookies ein. Es kennt drei Typen:

• Notification zeigt nur einen Hinweis auf Cookies.
• Opt-out akzeptiert alle Cookies automatisch, Besucher können danach widersprechen.
• Opt-in startet das Tracking erst nach Zustimmung.

Für Deutschland ist deshalb in der Regel Opt-in die passende Wahl, auf Wunsch mit Auswahl nach Kategorien. Accounts, die vor November 2022 angelegt wurden und noch das alte Banner nutzen, migriert HubSpot seit dem 11. Mai 2026 automatisch auf die Version v2. Prüfe danach Texte, Kategorien und Länderauswahl.

Das Banner blockiert HubSpot-Cookies und Cookies aus HubSpot-Integrationen wie Google Analytics und Google Tag Manager. Cookies aus Skripten, die du manuell einbaust, blockiert HubSpot nicht automatisch. Für solche Setups lohnt ein eigenes Consent-Tool. Fünf Anbieter vergleichen wir in Cookie-Hinweise: 5 gängige CMP im Vergleich. Über die Cookie-Banner-API von HubSpot übergibst du dessen Einwilligungen an HubSpot.

Wie dokumentierst du die Rechtsgrundlage?

Die Rechtsgrundlage speicherst du in der Kontakteigenschaft „Legal basis for processing contact's data“. Zur Auswahl stehen:

• drei Varianten des berechtigten Interesses (Lead, Kunde, Sonstiges)
• Vertragserfüllung
• freiwillig erteilte Einwilligung
• „Not applicable“

Du pflegst die Eigenschaft einzeln, per Massenbearbeitung, beim Import oder per Workflow. Gleiche HubSpots Beispiele mit deutschem Recht ab: Für Newsletter an Leads verlangt § 7 UWG eine ausdrückliche Einwilligung, auch wenn HubSpot dafür berechtigtes Interesse als Beispiel nennt.

Wie pflegst du Abonnementtypen?

Für jeden Abonnementtyp hat ein Kontakt einen von drei Status: Subscribed, Unsubscribed oder Not Specified. Meldest du einen Kontakt für einen Abonnementtyp an, hältst du die Rechtsgrundlage für die Kommunikation fest. So siehst du pro Thema, wer welche E-Mails erhalten darf.

Wie holst du Einwilligungen über Formulare ein?

Im Formular-Editor legst du unter Data privacy options fest, welche Einwilligungen ein Formular abfragt. Jede Checkbox verknüpfst du mit einem Abonnementtyp, auf Wunsch ergänzt um einen Hinweis auf deine Datenschutzerklärung. Sendet ein Kontakt das Formular ab, setzt HubSpot die Rechtsgrundlage auf „Freely given consent from contact“ und vermerkt die Einwilligung am Kontakt. Mit aktivierten Datenschutzeinstellungen sind die Datenschutz-Checkboxen in neuen Formularen Pflicht. Die Einwilligung per Formular gilt für Marketing-E-Mails. Für SMS holst du sie auf anderem Weg ein.

Wie bearbeitest du Auskunfts- und Löschanfragen?

Auf einer Data privacy request page beantragen Kontakte selbst eine Kopie ihrer Daten oder deren Löschung. Anfragen per Telefon oder E-Mail legst du im Data request manager an, mit verantwortlicher Person und Frist.

Mit Permanent delete entfernst du einen Kontakt samt E-Mail-Tracking, Anrufen und Formulareinträgen. Das geht nur einzeln je Kontakt, und die vollständige Löschung kann bis zu 30 Tage dauern. Die E-Mail-Adresse kommt auf eine Sperrliste und lässt sich danach weder per Import noch über die Oberfläche neu anlegen. Meldet sich die Person später selbst, etwa per Formular, entsteht ein neuer Datensatz. Kommentare des Kontakts unter Blogartikeln löschst du von Hand.

Kann HubSpot inaktive Kontakte automatisch löschen?

Ja. Unter Settings > Privacy & Consent > Privacy tools schaltest du Delete inactive contacts automatically ein. Standardmäßig gilt ein Kontakt nach 365 Tagen ohne Aktivität als inaktiv, den Zeitraum passt du an. HubSpot prüft dafür Erstellungsdatum, letzte Sitzung, letzte Öffnung einer Marketing-E-Mail und letzte Interaktion. Gelöschte Kontakte bleiben 90 Tage im Papierkorb wiederherstellbar, danach löscht HubSpot sie endgültig. Prüfe vor dem Aktivieren, wie sich die Löschung auf deine Reports auswirkt.

Was gilt für KI-Funktionen in HubSpot?

HubSpot nutzt Kundendaten standardmäßig, um eigene KI-Modelle zu trainieren. Super Admins schalten das unter Settings > AI im Tab Access mit dem Schalter AI Model Training ab. Das Opt-out wirkt nur für die Zukunft: Was ein Modell bereits aus deinen Daten gelernt hat, lässt sich nicht zurücknehmen. Die Datenanreicherung steuerst du über eine eigene Einstellung. Externen KI-Anbietern untersagt HubSpot, Kundendaten zum Training zu nutzen.

Entscheide die Einstellung bewusst und gleiche sie mit deiner Datenschutzerklärung und deinen Rechtsgrundlagen ab. Welche Regeln du vor dem Einsatz von Breeze festlegst, beschreiben wir in 6 Voraussetzungen für KI mit HubSpot Breeze.

Fragen zu HubSpot und DSGVO