--- title: "HubSpot DSGVO-konform? Marketing Hub, Free CRM und AVV" description: "HubSpot ist fuer den EU-Markt nur DSGVO-konform, wenn AVV, SCC, EU-Datenspeicherung, Rechtsgrundlagen und Betriebsrat sauber geprueft sind." image: "https://compound.law/assets/images/og-image-de.webp" source: "https://compound.law/de-DE/tools/hubspot/" language: "de" --- ![HubSpot DSGVO-Konformitaet fuer Marketing Hub und Free CRM](https://compound.law/assets/images/tools/tools_3.webp) tools # HubSpot DSGVO-konform? Marketing Hub, Free CRM und AVV 3\. Juli 2026 Ist HubSpot fuer den europaeischen Markt DSGVO-konform? Ja, aber nur unter Bedingungen. HubSpot Marketing Hub und HubSpot Free CRM koennen fuer den europaeischen Markt DSGVO-konform eingesetzt werden, wenn ein AVV steht, SCC und Zugriffspfade bewertet werden, Rechtsgrundlagen dokumentiert sind und bei Mitarbeiterbezug der Betriebsrat eingebunden wird. - Schliessen Sie den HubSpot-AVV nach Art. 28 DSGVO ab und pruefen Sie, welche Produkte, Unterauftragsverarbeiter und Transferpfade tatsaechlich erfasst sind. - Bewerten Sie SCC, EU-Datenspeicherung, Support- und Konzernzugriffe sowie sonstige Drittländertransfers nach Art. 44 ff. DSGVO. - Trennen Sie die Bewertung von Marketing Hub, Free CRM, Tracking und Mitarbeiterdaten, statt HubSpot pauschal als ein Produkt zu behandeln. **Ja, HubSpot Marketing Hub und HubSpot Free CRM koennen fuer den europaeischen Markt DSGVO-konform eingesetzt werden, aber nur unter Bedingungen.** Dazu gehoeren ein **AVV** nach Art. 28 DSGVO, eine reale Bewertung von **SCC**, **Drittländertransfers** und **EU-Datenspeicherung**, passende Rechtsgrundlagen fuer Marketing- und CRM-Prozesse sowie haeufig eine **Betriebsratspruefung**, sobald Mitarbeiterdaten oder Tracking betroffen sind. Ohne diese Hausaufgaben lautet die Beschaffungsantwort fuer viele Unternehmen nicht “Ja”, sondern bestenfalls “noch nicht”. > **Schnellantwort fuer Einkauf, Legal und Datenschutz** > > - **HubSpot Marketing Hub:** Ja, wenn Consent, Tracking, AVV, SCC und Rollenmodell sauber stehen. > - **HubSpot Free CRM:** Ja, wenn Datenminimierung, Zugriffskonzept, AVV und Transferpruefung dokumentiert sind. > - **Beide Produkte:** Nein bzw. nicht ausreichend, wenn Einwilligungen fehlen, Datenfluesse unklar bleiben oder der Betriebsrat bei employee-facing Funktionen uebergangen wird. Wenn Sie speziell **HubSpot Breeze AI** bewerten, gehen Sie anschliessend in den separaten Leitfaden zu [HubSpot Breeze AI und DSGVO](https://compound.law/de-DE/tools/hubspot-breeze-ai-dsgvo/). Fuer den Vertragsrahmen ist zudem unser Beitrag zum [Auftragsverarbeitungsvertrag (AVV)](https://compound.law/de-DE/compliance/avv-auftragsverarbeitungsvertrag/) relevant. Dieser Artikel bietet allgemeine Informationen und ersetzt keine Rechtsberatung fuer Ihre konkrete Implementierung. ## Kurzantwort: Ist HubSpot fuer den europaeischen Markt DSGVO-konform? **Ja, aber nur unter Bedingungen.** Diese Kurzantwort gilt sowohl fuer **HubSpot Marketing Hub** als auch fuer **HubSpot Free CRM**, allerdings nicht in identischer Intensitaet. Marketing Hub bringt typischerweise mehr Cookie-, Tracking-, Kampagnen- und Kommunikationsfragen mit. Free CRM ist oft einfacher zu kontrollieren, bleibt aber ebenfalls ein datenschutzrechtlich zu strukturierendes SaaS-Produkt. Der rechtliche Kern ist einfach: Ihr Unternehmen bleibt **Verantwortlicher** im Sinne der DSGVO und entscheidet ueber Zwecke und Mittel der Verarbeitung. HubSpot agiert fuer viele Produktfunktionen als **Auftragsverarbeiter**. Deshalb reicht die Frage “Ist HubSpot DSGVO-konform?” allein nicht aus. Richtiger ist die Beschaffungsfrage: **Ist unser geplanter HubSpot-Einsatz DSGVO-konform ausgestaltet?** Fuer deutsche und DACH-Unternehmen sind dabei vor allem diese Normen und Themen relevant: - **Art. 28 DSGVO** fuer den AVV mit HubSpot - **Art. 44 ff. DSGVO** fuer Drittlandtransfers und SCC - **Art. 5 und Art. 6 DSGVO** fuer Datenminimierung, Zweckbindung und Rechtsgrundlagen - **Art. 30 DSGVO** fuer das Verzeichnis der Verarbeitungstaetigkeiten - **Art. 35 DSGVO** fuer die Frage, ob eine Datenschutz-Folgenabschaetzung noetig ist - **§ 87 Abs. 1 Nr. 6 BetrVG** fuer mitbestimmungspflichtige Tracking- oder Leistungskontrollfunktionen ## Wann lautet die Antwort Ja und wann Nein? Die nuetzlichste Einkaufslogik ist keine abstrakte Abhandlung, sondern eine konditionale Entscheidung: | Bewertung | Typische Voraussetzungen | | ------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | **Ja, wenn** | AVV abgeschlossen, Produktumfang dokumentiert, SCC und Drittlandtransfers geprueft, Rechtsgrundlagen je Datenfluss festgelegt, Cookie- und E-Mail-Setups rechtlich sauber, Zugriffe beschraenkt, Loeschfristen definiert | | **Nein bzw. noch nicht** | Kein AVV, unklare Unterauftragsverarbeiter, pauschale Berufung auf EU-Hosting ohne Transferanalyse, Marketing-Tracking ohne belastbare Einwilligung, keine Governance fuer Loeschung und Exporte | | **Zusatzpruefung noetig** | Einsatz mit Mitarbeiterdaten, Performance-Tracking, Call-Analyse, stark regulierten Daten oder KI-Erweiterungen wie Breeze AI | Die Antwort lautet also **nicht** pauschal Ja oder Nein fuer jedes Unternehmen. Sie lautet in der Regel: **Ja, wenn Ihre Beschaffung und Implementierung die rechtlichen Bedingungen aktiv herstellen.** ## HubSpot Marketing Hub: die entscheidenden Pruefpunkte fuer den Einkauf Beim **HubSpot Marketing Hub** liegt das Risiko meist nicht beim blossen Kontaktstammsatz, sondern bei den drumherum laufenden Marketingfunktionen. Dazu gehoeren Tracking, Formulare, Lead-Erfassung, E-Mail-Kampagnen, Lifecycle-Automatisierungen und Reporting. Beschaffung, Datenschutz und Marketing sollten fuer Marketing Hub insbesondere diese Punkte gemeinsam pruefen: 1. **Consent-Architektur:** Tracking-Cookies, Analyse-Skripte und Formulare duerfen nicht losgeloest von Ihrer Consent-Logik betrieben werden. 2. **Kommunikationsrechtsgrundlagen:** Newsletter, Nurturing, Werbe-E-Mails und vertriebsnahe Kommunikation brauchen eine belastbare Trennung nach Zweck und Rechtsgrundlage. 3. **Datenfelder und Automationen:** Mehr Felder und Workflows bedeuten nicht automatisch besseren Vertrieb. Fuer die DSGVO gilt weiter der Grundsatz der Datenminimierung. 4. **Empfaenger- und Segmentlogik:** Listen, Lead-Scoring und Behavioral Trigger muessen nachvollziehbar und intern freigegeben sein. 5. **Exporte und Adminrechte:** Marketing-Teams haben oft weite Berechtigungen. Gerade hier entstehen vermeidbare Datenschutz- und Geheimhaltungsrisiken. Fuer den Einkauf ist wichtig: **Marketing Hub ist nicht allein deshalb problematisch, weil es ein US-naher Marketingstack ist. Problematisch wird es, wenn Tracking, Rechtsgrundlagen und Transfers nur oberflaechlich bewertet werden.** ## HubSpot Free CRM: reicht die Datenverwaltung fuer DSGVO-Anforderungen? **HubSpot Free CRM** wird in Beschaffungen oft als “kleine” oder “harmlose” Variante behandelt. Das ist ein Fehler. Zwar ist die Funktionsdichte geringer als beim umfassenden Marketing-Stack, aber auch Free CRM verarbeitet personenbezogene Daten von Leads, Kunden, Ansprechpartnern und teils Mitarbeitern. Die Kernfrage lautet hier weniger “Darf ich das Tool nutzen?” als: **Unterstuetzt die konkrete Konfiguration DSGVO-konforme Datenverwaltung?** Das ist eher zu bejahen, wenn: - nur erforderliche Kontakt- und Vorgangsdaten erhoben werden - Benutzerrechte, Pipelines und Exporte sauber beschraenkt sind - AVV, VVT und Datenschutzhinweise an die reale Nutzung angepasst wurden - Loeschfristen fuer inaktive Kontakte, Notizen und Exporte festgelegt sind - Integrationen mit anderen Tools nicht unkontrolliert weitere Transfers ausloesen Die Antwort wird dagegen schwach, wenn Free CRM als ungepruefte Sammelstelle fuer alles dient: alte Leads, freie Notizen, manuelle Uploads, personalisierte Vertriebsdaten und unklare Exporte. **Kostenlos** bedeutet nur, dass kein Lizenzpreis faellig wird. Datenschutzrechtlich bleibt die Pruefpflicht dieselbe. ## Welche Rolle spielen AVV, SCC und EU-Datenspeicherung wirklich? Der **AVV** ist die Basis, aber nicht die ganze Loesung. Er regelt die Auftragsverarbeitung nach **Art. 28 DSGVO** und sollte vor produktiver Nutzung sauber abgeschlossen, dokumentiert und intern freigegeben sein. Darauf folgt die Transferfrage. HubSpot verweist in seinen Datenschutzunterlagen auf **SCC** als Uebermittlungsmechanismus fuer relevante Drittlandtransfers. Das ist wichtig, aber aus deutscher Sicht nicht genug, um die Pruefung zu beenden. Ihre Organisation sollte trotzdem dokumentieren: - welche Datenkategorien ueber HubSpot verarbeitet werden - welche Produkte und Unterauftragsverarbeiter beteiligt sind - ob Support-, Sicherheits- oder Konzernzugriffe ausserhalb der EU moeglich sind - welche zusaetzlichen technischen und organisatorischen Schutzmassnahmen fuer Ihr Risiko sinnvoll sind Auch **EU-Datenspeicherung** muss praezise gelesen werden. Sie ist positiv, weil sie die Datenresidenz fuer bestimmte Produktdaten verbessern kann. Sie bedeutet aber nicht automatisch, dass **saemtliche** Verarbeitungsschritte, Zugriffe und Nebenpfade ausschliesslich in der EU stattfinden. Genau hier passieren in Vendor-Checks die haeufigsten Fehleinschaetzungen. Wenn Sie mehrere SaaS-Systeme verknuepfen, entsteht zusaetzlicher Pruefaufwand. Typische Anschlussfaelle sind [Salesforce Einstein](https://compound.law/de-DE/tools/salesforce-einstein/) oder [Zapier](https://compound.law/de-DE/tools/zapier/), weil dort aehnliche Fragen zu Unterauftragsverarbeitern, Integrationen und internationalen Datenfluesse entstehen. ## Wann wird HubSpot zum Betriebsratsthema? Sobald HubSpot nicht nur Kundendaten, sondern auch **Beschaeftigtendaten** oder **leistungsbezogene Nutzungsdaten** sichtbar macht, kommt in Deutschland regelmaessig **§ 87 Abs. 1 Nr. 6 BetrVG** ins Spiel. Das betrifft nicht nur klassische Ueberwachungssoftware. Es reicht oft schon, dass ein System objektiv geeignet ist, Verhalten oder Leistung nachvollziehbar zu machen. Praxisrelevante Beispiele: - E-Mail-Tracking im Vertrieb - Aktivitaetsprotokolle pro Mitarbeiter - Call- oder Meeting-Daten mit Auswertungsbezug - Funnel- und Performance-Reporting auf Team- oder Individualebene - Automatisierte Erinnerungen, Rankings oder Nutzungsstatistiken In diesen Faellen sollte HubSpot **nicht** ohne arbeitsrechtliche Abstimmung ausgerollt oder erweitert werden. Je nach Setup ist eine **Betriebsvereinbarung** oder zumindest eine fruehe Mitbestimmungspruefung noetig. Fuer viele Unternehmen kippt die Beschaffungsantwort deshalb erst dann auf “Ja”, wenn Datenschutz, HR, Legal und Betriebsrat gemeinsam auf das Zielbild schauen. ## Beschaffungs-Checkliste fuer HubSpot in Deutschland Wenn Sie HubSpot fuer Deutschland oder die DACH-Region einkaufen oder erweitern, ist diese Checkliste meist belastbarer als jede pauschale Ja/Nein-Antwort: - [ ] **AVV abgeschlossen:** HubSpot-DPA intern freigegeben, akzeptiert und versioniert abgelegt. - [ ] **Produktumfang geklaert:** Dokumentiert, ob nur Free CRM, auch Marketing Hub oder weitere Hubs aktiv sind. - [ ] **Datenkategorien getrennt:** Kunden-, Interessenten-, Mitarbeiter- und Trackingdaten nicht vermischt bewertet. - [ ] **Rechtsgrundlagen dokumentiert:** CRM-Speicherung, Formulare, Newsletter, Remarketing und Sales-Kommunikation einzeln geprueft. - [ ] **Consent sauber umgesetzt:** Cookie-Banner, Tracking-Setups und Formulare passen zur realen Website-Architektur. - [ ] **EU-Datenspeicherung bewertet:** Nicht nur als Feature angehakt, sondern gegen reale Datenpfade geprueft. - [ ] **SCC und Drittlandtransfers dokumentiert:** Transferpruefung im Datenschutzprozess nachvollziehbar abgelegt. - [ ] **Unterauftragsverarbeiter geprueft:** Aktuelle Liste mit Procurement, IT und Datenschutz abgestimmt. - [ ] **VVT aktualisiert:** HubSpot im Verzeichnis der Verarbeitungstaetigkeiten aufgenommen. - [ ] **Loesch- und Retention-Regeln gesetzt:** Kontakte, Listen, Protokolle, Exporte und Notizen haben Fristen. - [ ] **Rollen- und Exportrechte geprueft:** Nur notwendige Personen koennen auf personenbezogene Daten zugreifen. - [ ] **Betriebsrat bewertet:** Employee-facing Funktionen auf Mitbestimmung geprueft. - [ ] **DSFA-Schwelle geprueft:** Bei risikoreichen Konfigurationen dokumentiert, ob Art. 35 DSGVO greift. - [ ] **KI separat geprueft:** Fuer Breeze AI anschliessend die [spezielle DSGVO-Bewertung](https://compound.law/de-DE/tools/hubspot-breeze-ai-dsgvo/) nutzen. ## Haeufige Fragen zu HubSpot DSGVO, AVV und Datenverwaltung ### Ist HubSpot Marketing Hub DSGVO-konform fuer den europaeischen Markt? **Ja, aber nur unter Bedingungen.** Marketing Hub kann fuer den europaeischen Markt DSGVO-konform eingesetzt werden, wenn AVV, Transferpruefung, Rechtsgrundlagen und Consent-Management zusammenpassen. Fehlen diese Voraussetzungen, sollten Einkauf und Datenschutz die Beschaffung nicht als freigegeben behandeln. ### Unterstuetzt HubSpot Free CRM DSGVO-konforme Datenverwaltung? Ja. Free CRM kann eine DSGVO-konforme Datenverwaltung unterstuetzen, wenn Sie nur erforderliche Daten speichern, Rollen sauber begrenzen, Loeschregeln setzen und internationale Datenfluesse bewerten. Ein kostenloses Produkt bleibt dennoch ein vollwertiger datenschutzrechtlicher Prueffall. ### Hat HubSpot einen AVV? Ja. HubSpot stellt eine Vereinbarung zur Datenverarbeitung bereit, die fuer deutsche Unternehmen die Funktion eines **Auftragsverarbeitungsvertrags** erfuellt. Geprueft werden sollten trotzdem Produktabdeckung, Unterauftragsverarbeiter, SCC-Struktur und Sicherheitszusagen. ### Reicht EU-Datenspeicherung bei HubSpot aus? Nein. EU-Datenspeicherung reduziert nicht automatisch alle Drittlandbezuege. Fuer eine belastbare Bewertung muessen Sie auch Support-Zugriffe, Konzernstrukturen, Unterauftragsverarbeiter und sonstige Uebermittlungen betrachten. ### Reicht der HubSpot-AVV allein aus? Nein. Neben dem AVV brauchen Sie eine Bewertung der Rechtsgrundlagen, Datenschutzhinweise, Datensparsamkeit, Rollenrechte, Loeschung, Transfermechanismen und bei hoeherem Risiko gegebenenfalls eine **DSFA**. Der Vertrag ist nur ein Baustein. ### Wann wird HubSpot zum Betriebsratsthema? Immer dann, wenn HubSpot Verhalten oder Leistung von Beschaeftigten nachvollziehbar macht oder dies jedenfalls ermoeglicht. Besonders sensibel sind Tracking-, Reporting-, Aktivitaets- und Call-Funktionen. Dann sollte die Mitbestimmung fruehzeitig geprueft werden. ### Muss ich fuer HubSpot auch unsere Datenschutzhinweise anpassen? In aller Regel ja. Wenn Sie HubSpot fuer Formulare, CRM-Prozesse, E-Mail-Kommunikation oder Tracking einsetzen, muessen die Datenschutzhinweise die reale Datenverarbeitung transparent beschreiben. Das gilt auch dann, wenn der technische Rollout klein beginnt. ### Wann sollte ich zusaetzlich Breeze AI separat pruefen? Sobald Sie generative oder analysierende KI-Funktionen aktivieren, sollten Sie eine getrennte Bewertung vornehmen. Dafuer ist unser Beitrag zu [HubSpot Breeze AI und DSGVO](https://compound.law/de-DE/tools/hubspot-breeze-ai-dsgvo/) die passende Vertiefung. ## Fazit: Ja, aber nur mit belastbarer Beschaffungs- und Datenschutzpruefung Die beste kurze Antwort auf die Suchanfrage lautet: **Ja, HubSpot kann fuer den europaeischen Markt DSGVO-konform sein, aber nur unter Bedingungen.** Das gilt fuer **Marketing Hub** und **Free CRM** gleichermassen, auch wenn die Risikoprofile unterschiedlich sind. Ausschlaggebend sind der **AVV**, die Bewertung von **SCC** und sonstigen Datentransfers, die ehrliche Einordnung von **EU-Datenspeicherung**, passende Rechtsgrundlagen und bei employee-facing Funktionen der **Betriebsrat**. Wenn Sie HubSpot in Deutschland beschaffen, neu konfigurieren oder rechtlich absichern wollen, unterstuetzt Compound Law bei [Compliance- und Datenschutzfragen](https://compound.law/de-DE/compliance/), bei AVV- und Transferpruefungen sowie bei Betriebsrats- und Rollout-Themen. Fuer eine konkrete Einschaetzung koennen Sie auch direkt [einen Termin anfragen](https://compound.law/de-DE/#booking). ## Weitere Tool-Guides [![Canva AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_3.webp)](https://compound.law/de-DE/tools/canva-avv/) [tools](https://compound.law/de-DE/tools/canva-avv/) ### [Hat Canva eine AVV? Ja — Canva-AVV-Leitfaden für Deutschland](https://compound.law/de-DE/tools/canva-avv/) [Ja — Canva bietet einen Auftragsverarbeitungsvertrag: das Data Processing Addendum. Was der Canva AVV klauselweise regelt und wo deutsche Pflichten ansetzen.](https://compound.law/de-DE/tools/canva-avv/) [![Cursor AVV Auftragsverarbeitungsvertrag Art. 28 DSGVO für Deutschland](https://compound.law/assets/images/tools/tools_2.webp)](https://compound.law/de-DE/tools/cursor-avv/) [tools](https://compound.law/de-DE/tools/cursor-avv/) ### [Cursor AVV: Ja — Was der Anysphere-Auftragsverarbeitungsvertrag regelt](https://compound.law/de-DE/tools/cursor-avv/) [Ja, Cursor bietet einen AVV an — öffentlich unter cursor.com/terms/dpa. Was der Cursor-AVV nach Art. 28 DSGVO regelt und wie deutsche Teams ihn prüfen.](https://compound.law/de-DE/tools/cursor-avv/) [![ElevenLabs AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/elevenlabs-avv/) [tools](https://compound.law/de-DE/tools/elevenlabs-avv/) ### [Hat ElevenLabs eine AVV? Ja — ElevenLabs-AVV für Deutschland](https://compound.law/de-DE/tools/elevenlabs-avv/) [Ja — ElevenLabs bietet einen Auftragsverarbeitungsvertrag unter elevenlabs.io/dpa. Was der ElevenLabs AVV klauselweise nach Art. 28 DSGVO regelt.](https://compound.law/de-DE/tools/elevenlabs-avv/) [![Synthesia DSGVO-Fakten: KI-Training mit Kundendaten, AVV und EU-Speicherung](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/synthesia/) [tools](https://compound.law/de-DE/tools/synthesia/) ### [Synthesia DSGVO: Trainiert Synthesia auf Kundendaten? AVV & Fakten](https://compound.law/de-DE/tools/synthesia/) [Nein — Synthesia trainiert nicht auf Kundendaten. DSGVO-tauglich für deutsche Firmen: AVV nach Art. 28, EU-Speicherung in Irland. Was Sie prüfen müssen.](https://compound.law/de-DE/tools/synthesia/) [![Claude EU-Hosting Vergleich für Anthropic API, AWS Bedrock und Vertex AI](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-eu-hosting/) [tools](https://compound.law/de-DE/tools/claude-eu-hosting/) ### [Claude EU-Hosting: Wo Claude gehostet ist und was unter DSGVO gilt (2026)](https://compound.law/de-DE/tools/claude-eu-hosting/) [Wo ist Claude gehostet? Direkte Nutzung: US-Speicher als Standard. EU-Regionen gibt es über AWS Bedrock oder Vertex AI – inklusive DSGVO-Prüfpunkte.](https://compound.law/de-DE/tools/claude-eu-hosting/) [![Claude ZDR: Zero Data Retention erklärt — Scope für Anthropic API und Claude Code](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-zdr/) [tools](https://compound.law/de-DE/tools/claude-zdr/) ### [Claude ZDR: Zero Data Retention erklärt — Scope für API und Claude Code](https://compound.law/de-DE/tools/claude-zdr/) [ZDR bedeutet Zero Data Retention — keine dauerhafte Speicherung. Scope für Anthropic API und Claude Code, Policy-Quellen, AVV und DSGVO erklärt.](https://compound.law/de-DE/tools/claude-zdr/) Tool Library ### Mehr KI-Tools nach Thema durchsuchen Vergleichen Sie weitere Tools, Datenschutzfragen und Einsatzszenarien in unserer vollständigen KI-Tool-Bibliothek. [Alle KI-Tools ansehen](https://compound.law/de-DE/tools/) - [Cursor AVV 2026: Wo Sie ihn finden und was er regelt tools](https://compound.law/de-DE/tools/cursor/) - [DeepSeek DSGVO-konform? Was deutsche Unternehmen wissen müssen tools](https://compound.law/de-DE/tools/deepseek/) - [Zapier DSGVO 2026: AVV, Art. 28 & EU-Datentransfer aktuell tools](https://compound.law/de-DE/tools/zapier/) - [Ist Claude Code DSGVO-konform? AVV, Datenspeicherung und Hosting tools](https://compound.law/de-DE/tools/claude-code-dsgvo/) - [Claude Enterprise Preise: Kein Listenpreis — Angebot, AVV, EU-Grenzen tools](https://compound.law/de-DE/tools/claude-enterprise/) - [Claude DSGVO: Welche Claude-Tarife fuer Unternehmen zulaessig sind tools](https://compound.law/de-DE/tools/claude-dsgvo/) - [Anthropic Standardvertragsklauseln (SCC): DSGVO-Leitfaden Modul 2 und 3 tools](https://compound.law/de-DE/tools/anthropic-scc/) - [Zoom AI Companion DSGVO-Konformität für deutsche Unternehmen tools](https://compound.law/de-DE/tools/zoom/) - [Hat Airtable einen AVV? Ja — aber nur im Enterprise-Plan (DSGVO) tools](https://compound.law/de-DE/tools/airtable-ai/) - [Claude Team vs. Enterprise: Tarifvergleich für Unternehmen in Deutschland tools](https://compound.law/de-DE/tools/claude-team-vs-enterprise/) - [Claude Enterprise für Kanzleien und Rechtsabteilungen tools](https://compound.law/de-DE/tools/claude-enterprise-kanzleien/) - [Anthropic AVV: Datenverarbeitungsvertrag nach Art. 28 DSGVO? tools](https://compound.law/de-DE/tools/anthropic-datenverarbeitungsvertrag/) - [Claude Enterprise für Deutschland — DSGVO-konform & sicher tools](https://compound.law/de-DE/tools/claude-enterprise-deutschland/) - [Anthropic DPA: Art. 28 DSGVO-Prüfung für Deutschland tools](https://compound.law/de-DE/tools/anthropic-dpa/) - [Claude Business DSGVO: Pro, Team und Enterprise im Vergleich tools](https://compound.law/de-DE/tools/claude-business-dsgvo/) ## Häufige Fragen Ja, aber nur unter Bedingungen. Fuer HubSpot Marketing Hub brauchen Sie einen AVV, eine belastbare Bewertung von SCC und Drittländertransfers, eine saubere Einwilligungs- und Tracking-Architektur sowie klare Loesch- und Rollenregeln. Ohne diese Punkte ist die Antwort fuer den Einkauf eher Nein. Ja, grundsaetzlich schon. HubSpot Free CRM kann DSGVO-konforme Datenverwaltung unterstuetzen, wenn nur erforderliche Daten gespeichert werden, Zugriffe sauber begrenzt sind, ein AVV vorliegt und Ihre Prozesse fuer Transparenz, Loeschung und Transferpruefung funktionieren. Kostenlos bedeutet nicht rechtlich automatisch unkritisch. Ja. HubSpot stellt eine Vereinbarung zur Datenverarbeitung bereit, die fuer deutsche Unternehmen die Funktion eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO erfuellt. Sie sollten trotzdem pruefen, ob die konkret eingesetzten Hubs, Integrationen, Unterauftragsverarbeiter und Transfermechanismen davon gedeckt sind. Nein. EU-Datenspeicherung hilft, ersetzt aber weder die Transferpruefung noch die Bewertung von Support-, Sicherheits- oder Konzernzugriffen. Fuer die Rechtspruefung zaehlt nicht nur, wo Daten liegen, sondern auch wer darauf zugreifen kann und welche Uebermittlungen im Hintergrund stattfinden. Sobald HubSpot Mitarbeiteraktivitaeten, E-Mail-Tracking, Anrufdaten, Leistungskennzahlen oder Nutzungsprotokolle auswertbar macht, sind Mitbestimmungsrechte nach § 87 Abs. 1 Nr. 6 BetrVG regelmaessig betroffen. Dann sollte vor Rollout oder Erweiterung eine Betriebsvereinbarung oder vergleichbare Abstimmung vorbereitet werden. Nein. Neben dem AVV muessen Sie Rechtsgrundlagen, Datenschutzhinweise, VVT, Loeschkonzept, Rollenmodell, internationale Datentransfers und gegebenenfalls eine DSFA oder Betriebsratsbeteiligung pruefen. Der Vertrag ist nur der Startpunkt. Diese Seite behandelt HubSpot als CRM- und Marketing-Plattform. Sobald Sie generative oder analysierende KI-Funktionen wie Breeze AI aktivieren, sollten Sie die gesonderte Bewertung zu Datenfluesse, Modellnutzung und Transparenzpflichten ueber unseren Leitfaden zu HubSpot Breeze AI DSGVO vornehmen. ## Structured data ```json [ { "@context": "https://schema.org", "@type": [ "Organization", "LegalService" ], "@id": "https://compound.law/#organization", "name": "Compound Law", "alternateName": "Compound Law — AI Law Firm", "url": "https://compound.law/", "logo": { "@type": "ImageObject", "url": "https://compound.law/press/logos/PNG/Compound_Law_Icon.png", "width": 1024, "height": 1024 }, "image": "https://compound.law/assets/images/og-image.webp", "description": "Die KI-native Kanzlei in Berlin für Start-ups, Mittelstand und Konzerne: Commercial und Vertragsrecht, Datenschutz, KI-Verordnung, Marken, Gesellschaftsrecht sowie Sanierung und Insolvenz. Jedes Ergebnis prüft ein Anwalt, abgerechnet zum Festpreis.", "foundingDate": "2026", "founder": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] } ], "employee": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Marc Schuba", "jobTitle": "Founding Partner, Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/marc-schuba/", "sameAs": [ "https://www.linkedin.com/in/marcschuba/" ], "knowsAbout": [ "IP- und IT-Recht", "SaaS- und IT-Verträge, IT-Outsourcing", "Software- und Open-Source-Lizenzen", "Datenschutzrecht (DSGVO)", "KI-Recht und KI-Verordnung (AI Act)" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] }, { "@type": "Person", "name": "Philipp Brandt", "jobTitle": "Partner, Rechtsanwalt, Fachanwalt für gewerblichen Rechtsschutz", "url": "https://compound.law/de-DE/lawyers/philipp-brandt/", "sameAs": [ "https://www.linkedin.com/in/philipp-brandt-81b446a/" ], "knowsAbout": [ "Sanierungs- und Insolvenzrecht (Krisenberatung der Geschäftsführung, Schutzschirm- und Planverfahren, Insolvenzverwaltung)", "Gewerblicher Rechtsschutz (Marken, Wettbewerbsrecht, Urheberrecht, Geschäftsgeheimnisse, Lizenzverträge)", "Datenschutzrecht (Datenpannen, Bußgeldverfahren, Auskunft und Schadensersatz)", "Vertriebs- und Handelsrecht (Vertriebsverträge, Kauf und Verkauf von Industrieanlagen)" ] }, { "@type": "Person", "name": "Dr. Markus Dreißigacker", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/markus-dreissigacker/", "sameAs": [ "https://www.linkedin.com/in/markusdreissigacker" ], "knowsAbout": [ "M&A (Due Diligence, Post-Merger-Integration, IPO-Readiness)", "Gesellschaftsrecht (Governance, Gremienarbeit, Restrukturierung)", "Handelsrecht (Kundenverträge, Lieferantenvereinbarungen, NDAs)", "IP (Markenmanagement, IP-Übertragungsverträge)", "Compliance & ESG (Globale Compliance-Programme, Menschenrechte, Nachhaltigkeit)", "Datenschutz (DSGVO-Strategie, DPO-Erfahrung, Datenschutzprogramme)" ] } ], "address": { "@type": "PostalAddress", "addressLocality": "Berlin", "addressCountry": "DE" }, "areaServed": [ "Germany", "Austria", "Switzerland", "European Union", "United Kingdom", "United States", "Singapore" ], "availableLanguage": [ "de", "en" ], "serviceType": [ "AI law firm", "AI-native legal services", "legal counsel for start-ups and growth companies", "legal counsel for mid-sized companies and corporates", "Commercial Law", "Corporate Law", "Employment Law", "Regulatory & Compliance", "Intellectual Property", "Insolvency & Restructuring" ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "Compound Law services", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Commercial Contracts", "description": "Battle-tested contracts for your sales process", "serviceType": [ "enterprise contracts", "MSA", "DPA", "sales contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "International Employment", "description": "Compliant hiring across borders", "serviceType": [ "international employment", "hiring abroad", "employment contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "VSOP/ESOP Setup", "description": "Employee participation that actually works", "serviceType": [ "VSOP", "ESOP", "employee stock options", "equity incentives" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Funding Round Support", "description": "Clean legal for your next raise", "serviceType": [ "funding round", "term sheet", "SHA", "due diligence", "cap table" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Corporate Housekeeping", "description": "Get your legal house in order", "serviceType": [ "corporate governance", "board resolutions", "shareholder register" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Data Protection & Privacy", "description": "GDPR compliance that doesn't slow you down", "serviceType": [ "GDPR", "data protection", "privacy", "DPA", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI Act Compliance", "description": "Navigate EU AI regulation", "serviceType": [ "AI Act", "AI compliance", "AI governance", "EU AI regulation" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "IP & Competition", "description": "Protect and enforce what you've built", "serviceType": [ "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Fractional General Counsel", "description": "In-house legal without the full-time cost", "serviceType": [ "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "FinTech Compliance", "description": "Navigate financial regulation", "serviceType": [ "fintech compliance", "BaFin", "banking regulation", "AML", "KYC" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Legal Retainer", "description": "Predictable legal support when you need it", "serviceType": [ "legal retainer", "legal subscription", "ongoing legal support" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "M&A Preparation", "description": "Get ready for acquisition interest", "serviceType": [ "M&A preparation", "acquisition", "due diligence", "exit" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Restructuring & Insolvency", "description": "From the first liquidity check to the restructuring itself", "serviceType": [ "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } } ] }, "contactPoint": { "@type": "ContactPoint", "contactType": "sales", "email": "contact@compound.law", "availableLanguage": [ "English", "German" ], "areaServed": [ "DE", "AT", "CH", "EU", "GB", "US", "SG" ] }, "email": "contact@compound.law", "sameAs": [ "https://www.linkedin.com/company/compoundlawfirm", "https://x.com/CompoundLawFirm" ], "knowsAbout": [ "Commercial Contracts", "enterprise contracts", "MSA", "DPA", "sales contracts", "International Employment", "international employment", "hiring abroad", "employment contracts", "VSOP/ESOP Setup", "VSOP", "ESOP", "employee stock options", "equity incentives", "Funding Round Support", "funding round", "term sheet", "SHA", "due diligence", "cap table", "Corporate Housekeeping", "corporate governance", "board resolutions", "shareholder register", "Data Protection & Privacy", "GDPR", "data protection", "privacy", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR", "AI Act Compliance", "AI Act", "AI compliance", "AI governance", "EU AI regulation", "IP & Competition", "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance", "Fractional General Counsel", "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer", "FinTech Compliance", "fintech compliance", "BaFin", "banking regulation", "AML", "KYC", "Legal Retainer", "legal subscription", "ongoing legal support", "M&A Preparation", "M&A preparation", "acquisition", "exit", "Restructuring & Insolvency", "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ] }, { "@context": "https://schema.org", "@type": "Article", "headline": "HubSpot DSGVO-konform? Marketing Hub, Free CRM und AVV", "description": "HubSpot ist fuer den EU-Markt nur DSGVO-konform, wenn AVV, SCC, EU-Datenspeicherung, Rechtsgrundlagen und Betriebsrat sauber geprueft sind.", "image": "https://compound.law/assets/images/tools/tools_3.webp", "datePublished": "2026-07-03T00:00:00.000Z", "dateModified": "2026-07-03T00:00:00.000Z", "author": { "@type": "Person", "name": "Dr. Markus Dreißigacker", "image": "https://compound.law/assets/images/team/markusdreissigacker.webp" }, "publisher": { "@type": "Organization", "@id": "https://compound.law/#organization", "name": "Compound Law" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://compound.law/de-DE/tools/hubspot/" } }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://compound.law/de-DE/" }, { "@type": "ListItem", "position": 2, "name": "KI-Tools", "item": "https://compound.law/de-DE/tools/" }, { "@type": "ListItem", "position": 3, "name": "HubSpot DSGVO-konform? Marketing Hub, Free CRM und AVV", "item": "https://compound.law/de-DE/tools/hubspot/" } ] }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Ist HubSpot Marketing Hub DSGVO-konform fuer den europaeischen Markt?", "acceptedAnswer": { "@type": "Answer", "text": "Ja, aber nur unter Bedingungen. Fuer HubSpot Marketing Hub brauchen Sie einen AVV, eine belastbare Bewertung von SCC und Drittländertransfers, eine saubere Einwilligungs- und Tracking-Architektur sowie klare Loesch- und Rollenregeln. Ohne diese Punkte ist die Antwort fuer den Einkauf eher Nein." } }, { "@type": "Question", "name": "Unterstuetzt HubSpot Free CRM DSGVO-konforme Datenverwaltung?", "acceptedAnswer": { "@type": "Answer", "text": "Ja, grundsaetzlich schon. HubSpot Free CRM kann DSGVO-konforme Datenverwaltung unterstuetzen, wenn nur erforderliche Daten gespeichert werden, Zugriffe sauber begrenzt sind, ein AVV vorliegt und Ihre Prozesse fuer Transparenz, Loeschung und Transferpruefung funktionieren. Kostenlos bedeutet nicht rechtlich automatisch unkritisch." } }, { "@type": "Question", "name": "Hat HubSpot einen AVV?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. HubSpot stellt eine Vereinbarung zur Datenverarbeitung bereit, die fuer deutsche Unternehmen die Funktion eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO erfuellt. Sie sollten trotzdem pruefen, ob die konkret eingesetzten Hubs, Integrationen, Unterauftragsverarbeiter und Transfermechanismen davon gedeckt sind." } }, { "@type": "Question", "name": "Reicht EU-Datenspeicherung bei HubSpot fuer DSGVO-Konformitaet aus?", "acceptedAnswer": { "@type": "Answer", "text": "Nein. EU-Datenspeicherung hilft, ersetzt aber weder die Transferpruefung noch die Bewertung von Support-, Sicherheits- oder Konzernzugriffen. Fuer die Rechtspruefung zaehlt nicht nur, wo Daten liegen, sondern auch wer darauf zugreifen kann und welche Uebermittlungen im Hintergrund stattfinden." } }, { "@type": "Question", "name": "Wann wird HubSpot zum Betriebsratsthema?", "acceptedAnswer": { "@type": "Answer", "text": "Sobald HubSpot Mitarbeiteraktivitaeten, E-Mail-Tracking, Anrufdaten, Leistungskennzahlen oder Nutzungsprotokolle auswertbar macht, sind Mitbestimmungsrechte nach § 87 Abs. 1 Nr. 6 BetrVG regelmaessig betroffen. Dann sollte vor Rollout oder Erweiterung eine Betriebsvereinbarung oder vergleichbare Abstimmung vorbereitet werden." } }, { "@type": "Question", "name": "Reicht der HubSpot-AVV allein aus?", "acceptedAnswer": { "@type": "Answer", "text": "Nein. Neben dem AVV muessen Sie Rechtsgrundlagen, Datenschutzhinweise, VVT, Loeschkonzept, Rollenmodell, internationale Datentransfers und gegebenenfalls eine DSFA oder Betriebsratsbeteiligung pruefen. Der Vertrag ist nur der Startpunkt." } }, { "@type": "Question", "name": "Wie grenzt sich diese Seite von HubSpot Breeze AI ab?", "acceptedAnswer": { "@type": "Answer", "text": "Diese Seite behandelt HubSpot als CRM- und Marketing-Plattform. Sobald Sie generative oder analysierende KI-Funktionen wie Breeze AI aktivieren, sollten Sie die gesonderte Bewertung zu Datenfluesse, Modellnutzung und Transparenzpflichten ueber unseren Leitfaden zu HubSpot Breeze AI DSGVO vornehmen." } } ] } ] ```