Ist HubSpot fuer den europaeischen Markt DSGVO-konform?

Ja, aber nur unter Bedingungen. HubSpot Marketing Hub und HubSpot Free CRM koennen fuer den europaeischen Markt DSGVO-konform eingesetzt werden, wenn ein AVV steht, SCC und Zugriffspfade bewertet werden, Rechtsgrundlagen dokumentiert sind und bei Mitarbeiterbezug der Betriebsrat eingebunden wird.

• Schliessen Sie den HubSpot-AVV nach Art. 28 DSGVO ab und pruefen Sie, welche Produkte, Unterauftragsverarbeiter und Transferpfade tatsaechlich erfasst sind.
• Bewerten Sie SCC, EU-Datenspeicherung, Support- und Konzernzugriffe sowie sonstige Drittländertransfers nach Art. 44 ff. DSGVO.
• Trennen Sie die Bewertung von Marketing Hub, Free CRM, Tracking und Mitarbeiterdaten, statt HubSpot pauschal als ein Produkt zu behandeln.

Ja, HubSpot Marketing Hub und HubSpot Free CRM koennen fuer den europaeischen Markt DSGVO-konform eingesetzt werden, aber nur unter Bedingungen. Dazu gehoeren ein AVV nach Art. 28 DSGVO, eine reale Bewertung von SCC, Drittländertransfers und EU-Datenspeicherung, passende Rechtsgrundlagen fuer Marketing- und CRM-Prozesse sowie haeufig eine Betriebsratspruefung, sobald Mitarbeiterdaten oder Tracking betroffen sind. Ohne diese Hausaufgaben lautet die Beschaffungsantwort fuer viele Unternehmen nicht “Ja”, sondern bestenfalls “noch nicht”.

Schnellantwort fuer Einkauf, Legal und Datenschutz

• HubSpot Marketing Hub: Ja, wenn Consent, Tracking, AVV, SCC und Rollenmodell sauber stehen.
• HubSpot Free CRM: Ja, wenn Datenminimierung, Zugriffskonzept, AVV und Transferpruefung dokumentiert sind.
• Beide Produkte: Nein bzw. nicht ausreichend, wenn Einwilligungen fehlen, Datenfluesse unklar bleiben oder der Betriebsrat bei employee-facing Funktionen uebergangen wird.

Wenn Sie speziell HubSpot Breeze AI bewerten, gehen Sie anschliessend in den separaten Leitfaden zu HubSpot Breeze AI und DSGVO. Fuer den Vertragsrahmen ist zudem unser Beitrag zum Auftragsverarbeitungsvertrag (AVV) relevant. Dieser Artikel bietet allgemeine Informationen und ersetzt keine Rechtsberatung fuer Ihre konkrete Implementierung.

Kurzantwort: Ist HubSpot fuer den europaeischen Markt DSGVO-konform?

Ja, aber nur unter Bedingungen. Diese Kurzantwort gilt sowohl fuer HubSpot Marketing Hub als auch fuer HubSpot Free CRM, allerdings nicht in identischer Intensitaet. Marketing Hub bringt typischerweise mehr Cookie-, Tracking-, Kampagnen- und Kommunikationsfragen mit. Free CRM ist oft einfacher zu kontrollieren, bleibt aber ebenfalls ein datenschutzrechtlich zu strukturierendes SaaS-Produkt.

Der rechtliche Kern ist einfach: Ihr Unternehmen bleibt Verantwortlicher im Sinne der DSGVO und entscheidet ueber Zwecke und Mittel der Verarbeitung. HubSpot agiert fuer viele Produktfunktionen als Auftragsverarbeiter. Deshalb reicht die Frage “Ist HubSpot DSGVO-konform?” allein nicht aus. Richtiger ist die Beschaffungsfrage: Ist unser geplanter HubSpot-Einsatz DSGVO-konform ausgestaltet?

Fuer deutsche und DACH-Unternehmen sind dabei vor allem diese Normen und Themen relevant:

• Art. 28 DSGVO fuer den AVV mit HubSpot
• Art. 44 ff. DSGVO fuer Drittlandtransfers und SCC
• Art. 5 und Art. 6 DSGVO fuer Datenminimierung, Zweckbindung und Rechtsgrundlagen
• Art. 30 DSGVO fuer das Verzeichnis der Verarbeitungstaetigkeiten
• Art. 35 DSGVO fuer die Frage, ob eine Datenschutz-Folgenabschaetzung noetig ist
• § 87 Abs. 1 Nr. 6 BetrVG fuer mitbestimmungspflichtige Tracking- oder Leistungskontrollfunktionen

Wann lautet die Antwort Ja und wann Nein?

Die nuetzlichste Einkaufslogik ist keine abstrakte Abhandlung, sondern eine konditionale Entscheidung:

Bewertung	Typische Voraussetzungen
Ja, wenn	AVV abgeschlossen, Produktumfang dokumentiert, SCC und Drittlandtransfers geprueft, Rechtsgrundlagen je Datenfluss festgelegt, Cookie- und E-Mail-Setups rechtlich sauber, Zugriffe beschraenkt, Loeschfristen definiert
Nein bzw. noch nicht	Kein AVV, unklare Unterauftragsverarbeiter, pauschale Berufung auf EU-Hosting ohne Transferanalyse, Marketing-Tracking ohne belastbare Einwilligung, keine Governance fuer Loeschung und Exporte
Zusatzpruefung noetig	Einsatz mit Mitarbeiterdaten, Performance-Tracking, Call-Analyse, stark regulierten Daten oder KI-Erweiterungen wie Breeze AI

Die Antwort lautet also nicht pauschal Ja oder Nein fuer jedes Unternehmen. Sie lautet in der Regel: Ja, wenn Ihre Beschaffung und Implementierung die rechtlichen Bedingungen aktiv herstellen.

HubSpot Marketing Hub: die entscheidenden Pruefpunkte fuer den Einkauf

Beim HubSpot Marketing Hub liegt das Risiko meist nicht beim blossen Kontaktstammsatz, sondern bei den drumherum laufenden Marketingfunktionen. Dazu gehoeren Tracking, Formulare, Lead-Erfassung, E-Mail-Kampagnen, Lifecycle-Automatisierungen und Reporting.

Beschaffung, Datenschutz und Marketing sollten fuer Marketing Hub insbesondere diese Punkte gemeinsam pruefen:

1. Consent-Architektur: Tracking-Cookies, Analyse-Skripte und Formulare duerfen nicht losgeloest von Ihrer Consent-Logik betrieben werden.
2. Kommunikationsrechtsgrundlagen: Newsletter, Nurturing, Werbe-E-Mails und vertriebsnahe Kommunikation brauchen eine belastbare Trennung nach Zweck und Rechtsgrundlage.
3. Datenfelder und Automationen: Mehr Felder und Workflows bedeuten nicht automatisch besseren Vertrieb. Fuer die DSGVO gilt weiter der Grundsatz der Datenminimierung.
4. Empfaenger- und Segmentlogik: Listen, Lead-Scoring und Behavioral Trigger muessen nachvollziehbar und intern freigegeben sein.
5. Exporte und Adminrechte: Marketing-Teams haben oft weite Berechtigungen. Gerade hier entstehen vermeidbare Datenschutz- und Geheimhaltungsrisiken.

Fuer den Einkauf ist wichtig: Marketing Hub ist nicht allein deshalb problematisch, weil es ein US-naher Marketingstack ist. Problematisch wird es, wenn Tracking, Rechtsgrundlagen und Transfers nur oberflaechlich bewertet werden.

HubSpot Free CRM: reicht die Datenverwaltung fuer DSGVO-Anforderungen?

HubSpot Free CRM wird in Beschaffungen oft als “kleine” oder “harmlose” Variante behandelt. Das ist ein Fehler. Zwar ist die Funktionsdichte geringer als beim umfassenden Marketing-Stack, aber auch Free CRM verarbeitet personenbezogene Daten von Leads, Kunden, Ansprechpartnern und teils Mitarbeitern.

Die Kernfrage lautet hier weniger “Darf ich das Tool nutzen?” als: Unterstuetzt die konkrete Konfiguration DSGVO-konforme Datenverwaltung?

Das ist eher zu bejahen, wenn:

• nur erforderliche Kontakt- und Vorgangsdaten erhoben werden
• Benutzerrechte, Pipelines und Exporte sauber beschraenkt sind
• AVV, VVT und Datenschutzhinweise an die reale Nutzung angepasst wurden
• Loeschfristen fuer inaktive Kontakte, Notizen und Exporte festgelegt sind
• Integrationen mit anderen Tools nicht unkontrolliert weitere Transfers ausloesen

Die Antwort wird dagegen schwach, wenn Free CRM als ungepruefte Sammelstelle fuer alles dient: alte Leads, freie Notizen, manuelle Uploads, personalisierte Vertriebsdaten und unklare Exporte. Kostenlos bedeutet nur, dass kein Lizenzpreis faellig wird. Datenschutzrechtlich bleibt die Pruefpflicht dieselbe.

Welche Rolle spielen AVV, SCC und EU-Datenspeicherung wirklich?

Der AVV ist die Basis, aber nicht die ganze Loesung. Er regelt die Auftragsverarbeitung nach Art. 28 DSGVO und sollte vor produktiver Nutzung sauber abgeschlossen, dokumentiert und intern freigegeben sein.

Darauf folgt die Transferfrage. HubSpot verweist in seinen Datenschutzunterlagen auf SCC als Uebermittlungsmechanismus fuer relevante Drittlandtransfers. Das ist wichtig, aber aus deutscher Sicht nicht genug, um die Pruefung zu beenden. Ihre Organisation sollte trotzdem dokumentieren:

• welche Datenkategorien ueber HubSpot verarbeitet werden
• welche Produkte und Unterauftragsverarbeiter beteiligt sind
• ob Support-, Sicherheits- oder Konzernzugriffe ausserhalb der EU moeglich sind
• welche zusaetzlichen technischen und organisatorischen Schutzmassnahmen fuer Ihr Risiko sinnvoll sind

Auch EU-Datenspeicherung muss praezise gelesen werden. Sie ist positiv, weil sie die Datenresidenz fuer bestimmte Produktdaten verbessern kann. Sie bedeutet aber nicht automatisch, dass saemtliche Verarbeitungsschritte, Zugriffe und Nebenpfade ausschliesslich in der EU stattfinden. Genau hier passieren in Vendor-Checks die haeufigsten Fehleinschaetzungen.

Wenn Sie mehrere SaaS-Systeme verknuepfen, entsteht zusaetzlicher Pruefaufwand. Typische Anschlussfaelle sind Salesforce Einstein oder Zapier, weil dort aehnliche Fragen zu Unterauftragsverarbeitern, Integrationen und internationalen Datenfluesse entstehen.

Wann wird HubSpot zum Betriebsratsthema?

Sobald HubSpot nicht nur Kundendaten, sondern auch Beschaeftigtendaten oder leistungsbezogene Nutzungsdaten sichtbar macht, kommt in Deutschland regelmaessig § 87 Abs. 1 Nr. 6 BetrVG ins Spiel. Das betrifft nicht nur klassische Ueberwachungssoftware. Es reicht oft schon, dass ein System objektiv geeignet ist, Verhalten oder Leistung nachvollziehbar zu machen.

Praxisrelevante Beispiele:

• E-Mail-Tracking im Vertrieb
• Aktivitaetsprotokolle pro Mitarbeiter
• Call- oder Meeting-Daten mit Auswertungsbezug
• Funnel- und Performance-Reporting auf Team- oder Individualebene
• Automatisierte Erinnerungen, Rankings oder Nutzungsstatistiken

In diesen Faellen sollte HubSpot nicht ohne arbeitsrechtliche Abstimmung ausgerollt oder erweitert werden. Je nach Setup ist eine Betriebsvereinbarung oder zumindest eine fruehe Mitbestimmungspruefung noetig. Fuer viele Unternehmen kippt die Beschaffungsantwort deshalb erst dann auf “Ja”, wenn Datenschutz, HR, Legal und Betriebsrat gemeinsam auf das Zielbild schauen.

Beschaffungs-Checkliste fuer HubSpot in Deutschland

Wenn Sie HubSpot fuer Deutschland oder die DACH-Region einkaufen oder erweitern, ist diese Checkliste meist belastbarer als jede pauschale Ja/Nein-Antwort:

• AVV abgeschlossen: HubSpot-DPA intern freigegeben, akzeptiert und versioniert abgelegt.
• Produktumfang geklaert: Dokumentiert, ob nur Free CRM, auch Marketing Hub oder weitere Hubs aktiv sind.
• Datenkategorien getrennt: Kunden-, Interessenten-, Mitarbeiter- und Trackingdaten nicht vermischt bewertet.
• Rechtsgrundlagen dokumentiert: CRM-Speicherung, Formulare, Newsletter, Remarketing und Sales-Kommunikation einzeln geprueft.
• Consent sauber umgesetzt: Cookie-Banner, Tracking-Setups und Formulare passen zur realen Website-Architektur.
• EU-Datenspeicherung bewertet: Nicht nur als Feature angehakt, sondern gegen reale Datenpfade geprueft.
• SCC und Drittlandtransfers dokumentiert: Transferpruefung im Datenschutzprozess nachvollziehbar abgelegt.
• Unterauftragsverarbeiter geprueft: Aktuelle Liste mit Procurement, IT und Datenschutz abgestimmt.
• VVT aktualisiert: HubSpot im Verzeichnis der Verarbeitungstaetigkeiten aufgenommen.
• Loesch- und Retention-Regeln gesetzt: Kontakte, Listen, Protokolle, Exporte und Notizen haben Fristen.
• Rollen- und Exportrechte geprueft: Nur notwendige Personen koennen auf personenbezogene Daten zugreifen.
• Betriebsrat bewertet: Employee-facing Funktionen auf Mitbestimmung geprueft.
• DSFA-Schwelle geprueft: Bei risikoreichen Konfigurationen dokumentiert, ob Art. 35 DSGVO greift.
• KI separat geprueft: Fuer Breeze AI anschliessend die spezielle DSGVO-Bewertung nutzen.

Haeufige Fragen zu HubSpot DSGVO, AVV und Datenverwaltung

Ist HubSpot Marketing Hub DSGVO-konform fuer den europaeischen Markt?

Ja, aber nur unter Bedingungen. Marketing Hub kann fuer den europaeischen Markt DSGVO-konform eingesetzt werden, wenn AVV, Transferpruefung, Rechtsgrundlagen und Consent-Management zusammenpassen. Fehlen diese Voraussetzungen, sollten Einkauf und Datenschutz die Beschaffung nicht als freigegeben behandeln.

Unterstuetzt HubSpot Free CRM DSGVO-konforme Datenverwaltung?

Ja. Free CRM kann eine DSGVO-konforme Datenverwaltung unterstuetzen, wenn Sie nur erforderliche Daten speichern, Rollen sauber begrenzen, Loeschregeln setzen und internationale Datenfluesse bewerten. Ein kostenloses Produkt bleibt dennoch ein vollwertiger datenschutzrechtlicher Prueffall.

Hat HubSpot einen AVV?

Ja. HubSpot stellt eine Vereinbarung zur Datenverarbeitung bereit, die fuer deutsche Unternehmen die Funktion eines Auftragsverarbeitungsvertrags erfuellt. Geprueft werden sollten trotzdem Produktabdeckung, Unterauftragsverarbeiter, SCC-Struktur und Sicherheitszusagen.

Reicht EU-Datenspeicherung bei HubSpot aus?

Nein. EU-Datenspeicherung reduziert nicht automatisch alle Drittlandbezuege. Fuer eine belastbare Bewertung muessen Sie auch Support-Zugriffe, Konzernstrukturen, Unterauftragsverarbeiter und sonstige Uebermittlungen betrachten.

Reicht der HubSpot-AVV allein aus?

Nein. Neben dem AVV brauchen Sie eine Bewertung der Rechtsgrundlagen, Datenschutzhinweise, Datensparsamkeit, Rollenrechte, Loeschung, Transfermechanismen und bei hoeherem Risiko gegebenenfalls eine DSFA. Der Vertrag ist nur ein Baustein.

Wann wird HubSpot zum Betriebsratsthema?

Immer dann, wenn HubSpot Verhalten oder Leistung von Beschaeftigten nachvollziehbar macht oder dies jedenfalls ermoeglicht. Besonders sensibel sind Tracking-, Reporting-, Aktivitaets- und Call-Funktionen. Dann sollte die Mitbestimmung fruehzeitig geprueft werden.

Muss ich fuer HubSpot auch unsere Datenschutzhinweise anpassen?

In aller Regel ja. Wenn Sie HubSpot fuer Formulare, CRM-Prozesse, E-Mail-Kommunikation oder Tracking einsetzen, muessen die Datenschutzhinweise die reale Datenverarbeitung transparent beschreiben. Das gilt auch dann, wenn der technische Rollout klein beginnt.

Wann sollte ich zusaetzlich Breeze AI separat pruefen?

Sobald Sie generative oder analysierende KI-Funktionen aktivieren, sollten Sie eine getrennte Bewertung vornehmen. Dafuer ist unser Beitrag zu HubSpot Breeze AI und DSGVO die passende Vertiefung.

Fazit: Ja, aber nur mit belastbarer Beschaffungs- und Datenschutzpruefung

Die beste kurze Antwort auf die Suchanfrage lautet: Ja, HubSpot kann fuer den europaeischen Markt DSGVO-konform sein, aber nur unter Bedingungen. Das gilt fuer Marketing Hub und Free CRM gleichermassen, auch wenn die Risikoprofile unterschiedlich sind. Ausschlaggebend sind der AVV, die Bewertung von SCC und sonstigen Datentransfers, die ehrliche Einordnung von EU-Datenspeicherung, passende Rechtsgrundlagen und bei employee-facing Funktionen der Betriebsrat.

Wenn Sie HubSpot in Deutschland beschaffen, neu konfigurieren oder rechtlich absichern wollen, unterstuetzt Compound Law bei Compliance- und Datenschutzfragen, bei AVV- und Transferpruefungen sowie bei Betriebsrats- und Rollout-Themen. Fuer eine konkrete Einschaetzung koennen Sie auch direkt einen Termin anfragen.