Zuletzt aktualisiert: Oktober 2026
Wer HubSpot einführt oder schon nutzt, hört früher oder später dieselbe Frage, aus der Geschäftsführung, vom Vertrieb oder von der Datenschutzbeauftragten: Dürfen wir unsere Kundendaten in einem US-CRM speichern? Uns begegnet diese Frage in HubSpot-Projekten regelmäßig. Die kurze Antwort lautet: ja, wenn du ein paar Dinge sauber regelst.
Ob dein Einsatz datenschutzkonform ist, entscheiden deine Einstellungen, Rechtsgrundlagen und Prozesse. HubSpot liefert dafür die vertraglichen Grundlagen und die passenden Funktionen, Einstellungen und Datenpflege übernimmt dein Team. Wir gehen das Schritt für Schritt durch: von den Grundlagen der DSGVO über die Frage nach der US-Software bis zu den Einstellungen in HubSpot.
Dieser Artikel dient der allgemeinen Information. Für deine konkrete Situation ist deine Datenschutzberatung zuständig.
Die Datenschutz-Grundverordnung (DSGVO) ist eine EU-Verordnung und gilt seit dem 25. Mai 2018. Sie regelt EU-weit einheitlich, wann Unternehmen und öffentliche Stellen personenbezogene Daten verarbeiten dürfen. Gleichzeitig legt sie fest, welche Rechte die betroffenen Personen haben, etwa auf Auskunft und Löschung.
Personenbezogen sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Im B2B-Alltag zählen dazu Name, Durchwahl und IP-Adresse. Auch die geschäftliche E-Mail-Adresse nach dem Muster vorname.nachname@firma.de gehört dazu. Eine Sammeladresse wie info@firma.de fällt in der Regel nicht darunter, solange sie keiner Person zuzuordnen ist.
Ja. Sobald dein CRM Ansprechpartner mit Namen enthält, verarbeitest du personenbezogene Daten. Die Regeln gelten damit für Marketing, Vertrieb und Service gleichermaßen.
Aufsichtsbehörden können Geldbußen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes des Vorjahres verhängen. Maßgeblich ist der höhere Betrag. Diese Obergrenze gilt etwa für Verstöße gegen die Grundsätze der Verarbeitung, gegen Betroffenenrechte und bei unzulässigen Übermittlungen in Drittländer. Für andere Pflichten liegt die Grenze bei 10 Millionen Euro oder 2 %. Entsteht einer Person durch einen Verstoß ein Schaden, kann sie zusätzlich Schadensersatz verlangen.
Unser Tipp: Regle die Grundlagen, bevor jemand nachfragt. Wie das mit HubSpot geht, zeigen die nächsten Abschnitte.
In der Regel ja, wenn die Übermittlung in die USA abgesichert ist. Die Frage ist trotzdem berechtigt: Sobald Daten in die USA fließen, verlangt die DSGVO, dass sie dort vergleichbar geschützt sind wie in der EU. Genau daran sind frühere Abkommen gescheitert, weil US-Behörden zu weit auf Daten zugreifen konnten.
Heute sichern zwei Wege die Übermittlung ab. Der erste ist das EU-US Data Privacy Framework. Unter diesem Abkommen lassen sich US-Unternehmen zertifizieren und gelten dann als sicherer Empfänger. HubSpot, Inc. ist darunter aktiv zertifiziert, ebenso unter dem Schweizer Gegenstück und der UK-Erweiterung. Der zweite Weg sind die EU-Standardvertragsklauseln, von der EU-Kommission vorgegebene Vertragsbausteine. HubSpot hat sie in seine Datenverarbeitungsvereinbarung (DPA) aufgenommen.
Wie es zu dieser Lage kam, zeigt der Überblick.
| Datum | Ereignis | Bedeutung für dich |
|---|---|---|
| 16.07.2020 | EuGH-Urteil „Schrems II“ (C-311/18) | Das EU-US Privacy Shield ist ungültig. Übermittlungen in die USA brauchen eine andere Grundlage. |
| 04.06.2021 | Neue EU-Standardvertragsklauseln (Durchführungsbeschluss 2021/914) | Übermittlungen in Drittländer lassen sich vertraglich absichern. |
| 10.07.2023 | Angemessenheitsbeschluss zum EU-US Data Privacy Framework (2023/1795) | Zertifizierte US-Unternehmen gelten als Empfänger mit angemessenem Schutzniveau. |
| 15.09.2024 | Swiss-US Data Privacy Framework tritt in Kraft | Für Übermittlungen aus der Schweiz gilt dieselbe Logik. |
| 03.09.2025 | Das Gericht der EU weist die Klage gegen den Datenschutzrahmen ab (T-553/23) | Der Rahmen bleibt gültig. |
| 31.10.2025 | Rechtsmittel beim EuGH eingelegt (C-703/25 P) | Das Verfahren läuft, Stand Oktober 2026. |
Der Datenschutzrahmen ist gültig, über das Rechtsmittel entscheidet der EuGH noch. Unabhängig davon stehen die Standardvertragsklauseln in HubSpots DPA als zweite Grundlage bereit.
Zwei Aufgaben bleiben bei dir:
HubSpot hostet auf Amazon Web Services (AWS) in fünf Regionen. Für die EU steht das Rechenzentrum in Deutschland. Unter Settings > Privacy & Consent im Tab Data Hosting siehst du, wo dein Account liegt. Mit einem bezahlten Abo (Starter, Professional oder Enterprise) kannst du das Rechenzentrum wechseln.
Auch bei Hosting in der EU können Daten die Region verlassen: über Support-Zugriffe, Unterauftragsverarbeiter, Apps aus dem HubSpot Marketplace und Nutzungsdaten, die HubSpot in die USA überträgt. Die Absicherung über Datenschutzrahmen und DPA bleibt deshalb auch mit EU-Rechenzentrum relevant.
In der Schweiz gilt seit dem 1. September 2023 das revidierte Datenschutzgesetz (DSG). Personendaten dürfen ins Ausland gehen, wenn der Bundesrat dem Zielland einen angemessenen Schutz bescheinigt. Alternativ reichen geeignete Garantien wie Datenschutzklauseln im Vertrag. Für zertifizierte US-Unternehmen gilt seit dem 15. September 2024 das Swiss-US Data Privacy Framework. HubSpot ist dafür aktiv zertifiziert, und die DPA schließt diesen Rahmen ein. Das DSG sieht Bussen bis 250 000 Franken gegen private Personen vor, etwa bei vorsätzlich unzulässiger Bekanntgabe von Daten ins Ausland.
Diese acht Pflichten liegen bei deinem Unternehmen, unabhängig vom eingesetzten CRM:
HubSpot bündelt die Datenschutzfunktionen unter Settings > Privacy & Consent, im Consent-Banner und an den Kontakteigenschaften. Ausführlich erklärt HubSpot sie in der eigenen Knowledge Base. Die wichtigsten Funktionen fassen wir hier zusammen. Die Menünamen beziehen sich auf die englische Oberfläche.
| Anforderung | HubSpot-Funktion |
|---|---|
| Einwilligung für Cookies | Consent-Banner mit Opt-in und Kategorien |
| Rechtsgrundlage dokumentieren | Eigenschaft „Legal basis for processing contact's data“ |
| Kommunikation nach Themen steuern | Abonnementtypen mit Status je Kontakt |
| Einwilligung beim Erfassen | Data privacy options in Formularen |
| Auskunft und Löschung auf Anfrage | Data privacy request page, Data request manager, Permanent delete |
| Löschfristen umsetzen | Automatisches Löschen inaktiver Kontakte |
| KI-Training steuern | Schalter „AI Model Training“ |
Unter Settings > Privacy & Consent schaltest du die Data privacy settings ein. Dafür brauchst du Super-Admin-Rechte oder die Berechtigung Edit account defaults. Bei Accounts mit Datenspeicherung in der EU sind die Einstellungen standardmäßig aktiv. Damit aktivierst du unter anderem:
Öffnungen und Klicks trackt HubSpot danach nur bei Kontakten mit Rechtsgrundlage. HubSpot empfiehlt zusätzlich den Schalter Limit emails to contacts with a subscription. Er beschränkt Marketing-E-Mails auf Kontakte mit Abonnement.
In Deutschland braucht das Speichern von Cookies auf dem Endgerät eine Einwilligung. Ausgenommen sind Cookies, die für den gewünschten Dienst unbedingt erforderlich sind. So regelt es § 25 TDDDG, früher TTDSG.
Das Banner richtest du unter Settings > Privacy & Consent im Tab Cookies ein. Es kennt drei Typen:
Für Deutschland ist deshalb in der Regel Opt-in die passende Wahl, auf Wunsch mit Auswahl nach Kategorien. Accounts, die vor November 2022 angelegt wurden und noch das alte Banner nutzen, migriert HubSpot seit dem 11. Mai 2026 automatisch auf die Version v2. Prüfe danach Texte, Kategorien und Länderauswahl.
Das Banner blockiert HubSpot-Cookies und Cookies aus HubSpot-Integrationen wie Google Analytics und Google Tag Manager. Cookies aus Skripten, die du manuell einbaust, blockiert HubSpot nicht automatisch. Für solche Setups lohnt ein eigenes Consent-Tool. Fünf Anbieter vergleichen wir in Cookie-Hinweise: 5 gängige CMP im Vergleich. Über die Cookie-Banner-API von HubSpot übergibst du dessen Einwilligungen an HubSpot.
Die Rechtsgrundlage speicherst du in der Kontakteigenschaft „Legal basis for processing contact's data“. Zur Auswahl stehen:
Du pflegst die Eigenschaft einzeln, per Massenbearbeitung, beim Import oder per Workflow. Gleiche HubSpots Beispiele mit deutschem Recht ab: Für Newsletter an Leads verlangt § 7 UWG eine ausdrückliche Einwilligung, auch wenn HubSpot dafür berechtigtes Interesse als Beispiel nennt.
Für jeden Abonnementtyp hat ein Kontakt einen von drei Status: Subscribed, Unsubscribed oder Not Specified. Meldest du einen Kontakt für einen Abonnementtyp an, hältst du die Rechtsgrundlage für die Kommunikation fest. So siehst du pro Thema, wer welche E-Mails erhalten darf.
Im Formular-Editor legst du unter Data privacy options fest, welche Einwilligungen ein Formular abfragt. Jede Checkbox verknüpfst du mit einem Abonnementtyp, auf Wunsch ergänzt um einen Hinweis auf deine Datenschutzerklärung. Sendet ein Kontakt das Formular ab, setzt HubSpot die Rechtsgrundlage auf „Freely given consent from contact“ und vermerkt die Einwilligung am Kontakt. Mit aktivierten Datenschutzeinstellungen sind die Datenschutz-Checkboxen in neuen Formularen Pflicht. Die Einwilligung per Formular gilt für Marketing-E-Mails. Für SMS holst du sie auf anderem Weg ein.
Auf einer Data privacy request page beantragen Kontakte selbst eine Kopie ihrer Daten oder deren Löschung. Anfragen per Telefon oder E-Mail legst du im Data request manager an, mit verantwortlicher Person und Frist.
Mit Permanent delete entfernst du einen Kontakt samt E-Mail-Tracking, Anrufen und Formulareinträgen. Das geht nur einzeln je Kontakt, und die vollständige Löschung kann bis zu 30 Tage dauern. Die E-Mail-Adresse kommt auf eine Sperrliste und lässt sich danach weder per Import noch über die Oberfläche neu anlegen. Meldet sich die Person später selbst, etwa per Formular, entsteht ein neuer Datensatz. Kommentare des Kontakts unter Blogartikeln löschst du von Hand.
Ja. Unter Settings > Privacy & Consent > Privacy tools schaltest du Delete inactive contacts automatically ein. Standardmäßig gilt ein Kontakt nach 365 Tagen ohne Aktivität als inaktiv, den Zeitraum passt du an. HubSpot prüft dafür Erstellungsdatum, letzte Sitzung, letzte Öffnung einer Marketing-E-Mail und letzte Interaktion. Gelöschte Kontakte bleiben 90 Tage im Papierkorb wiederherstellbar, danach löscht HubSpot sie endgültig. Prüfe vor dem Aktivieren, wie sich die Löschung auf deine Reports auswirkt.
HubSpot nutzt Kundendaten standardmäßig, um eigene KI-Modelle zu trainieren. Super Admins schalten das unter Settings > AI im Tab Access mit dem Schalter AI Model Training ab. Das Opt-out wirkt nur für die Zukunft: Was ein Modell bereits aus deinen Daten gelernt hat, lässt sich nicht zurücknehmen. Die Datenanreicherung steuerst du über eine eigene Einstellung. Externen KI-Anbietern untersagt HubSpot, Kundendaten zum Training zu nutzen.
Entscheide die Einstellung bewusst und gleiche sie mit deiner Datenschutzerklärung und deinen Rechtsgrundlagen ab. Welche Regeln du vor dem Einsatz von Breeze festlegst, beschreiben wir in 6 Voraussetzungen für KI mit HubSpot Breeze.