HubSpot und DSGVO: Was deutsche B2B-Unternehmen 2026 prüfen müssen

Ist HubSpot DSGVO-konform?

HubSpot lässt sich DSGVO-konform betreiben, ist es aber nicht automatisch. Die Plattform liefert die Bausteine, die Artikel 28 DSGVO verlangt: einen standardisierten Auftragsverarbeitungsvertrag (AVV) inklusive EU-Standardvertragsklauseln, ein EU-Rechenzentrum, SOC 2 Type II, ISO 27001, natives Consent-Tracking und eine DSGVO-Löschfunktion. Ob dein Portal am Ende sauber läuft, entscheidet trotzdem deine Konfiguration – nicht das Produkt.

Das ist keine Formulierungsspitzfindigkeit. Die häufigsten Befunde in Datenschutzprüfungen deutscher HubSpot-Portale sind kein Produktmangel, sondern Einstellungssache: ein Speicherort, den nie jemand geprüft hat, ein AVV, der im Portal liegt und nie gegengezeichnet wurde, und ein Consent-Tracking, das mit dem Cookie-Banner auf der Website nicht zusammenpasst.

Wo HubSpot deine Daten speichert – und warum „EU“ nicht automatisch EU heißt

HubSpot betreibt ein EU-Rechenzentrum in Frankfurt am Main. Der Speicherort wird aber beim Vertragsabschluss festgelegt und nicht automatisch nach deinem Firmensitz vergeben. In HubSpots eigener Mitteilung zum Regional Data Hosting steht ausdrücklich: Ist im Order Form kein Speicherort angegeben, liegen die Kundendaten in den USA.

Dazu gibt es eine Reibung in der Kommunikation, die du kennen solltest. Die deutsche HubSpot-Seite für CIOs und IT-Leiter (Stand 22. Juni 2026) schreibt, EU-Kundendaten würden „standardmäßig“ in Frankfurt am Main und Dublin gespeichert – „ohne zusätzliche Konfiguration“. Für neue EU-Verträge dürfte das in der Praxis meist stimmen. Verlassen würde ich mich darauf nicht bei Portalen, die vor Juli 2021 entstanden sind, bei Free- und Starter-Accounts, die sich irgendwann jemand im Selfservice angelegt hat, und bei allem, was über eine internationale Konzernmutter eingekauft wurde.

So prüfst du deinen Speicherort in zwei Minuten:

• Schau auf die URL deines Portals: app-eu1.hubspot.com steht für EU-Hosting, app.hubspot.com für die USA.
• Oder in den Einstellungen unter Settings → Privacy & Consent im Tab Data Hosting.

Wenn dein Portal in den USA liegt, ist das kein Grund zur Panik – HubSpot ist im EU-US Data Privacy Framework gelistet und stellt Standardvertragsklauseln bereit. Es ist aber ein Punkt, den du in deinem Verarbeitungsverzeichnis korrekt stehen haben musst, statt pauschal „Frankfurt“ einzutragen.

[DEIN INPUT: Wie viele der HubSpot-Portale, die ihr in den letzten Jahren übernommen oder auditiert habt, lagen tatsächlich auf US-Servern, obwohl der Kunde von EU-Hosting ausging? Eine konkrete Zahl oder ein Beispiel macht diesen Abschnitt deutlich stärker.]

Neu als Beta: E-Mails protokollieren, ohne Inhalte zu speichern

HubSpot kann E-Mails im CRM protokollieren, ohne den Inhalt mitzuspeichern. Die Funktion heißt Redacted Email Bodies, ist eine Beta und wird von einem Super Admin unter Settings → Objects → Activities im Tab Email Log & Track aktiviert. Laut HubSpot-Wissensdatenbank steht sie in allen Produkten und Editionen zur Verfügung, auch in der kostenlosen Version (Stand: Oktober 2026).

Der Nutzen für datensensible Branchen ist konkret: In der Aktivitätenzeitleiste bleiben Absender, Empfänger, Betreff und Anhänge sichtbar, der Textkörper landet nicht im CRM. HubSpot ersetzt ihn durch den Platzhalter „[Email body content redacted]“, damit erkennbar ist, dass der Inhalt bewusst nicht protokolliert wurde und nicht etwa durch einen Fehler fehlt.

Zwei Einschränkungen, die du vorher kennen solltest: Die Einstellung gilt portalweit. Es gibt keine Option pro Nutzer oder pro E-Mail. Und sie wirkt nur nach vorne – bereits protokollierte Inhalte verschwinden dadurch nicht rückwirkend.

Für wen sich das lohnt: Steuerberatung, Personalberatung, Gesundheitswesen, Rechtsdienstleistung – überall dort, wo du den Nachweis einer Kommunikation brauchst, aber deren Inhalt datenschutzrechtlich nicht in einem CRM liegen sollte. Das ist der Zielkonflikt, an dem CRM-Projekte in diesen Branchen regelmäßig hängen bleiben.

Welche Datenschutz-Funktionen HubSpot mitbringt

HubSpot bündelt die DSGVO-relevanten Funktionen weitgehend im Produkt, statt sie als kostenpflichtige Add-ons zu verkaufen – mit einer wichtigen Ausnahme bei der Feldmaskierung. Die folgende Übersicht zeigt, was du wo findest.

Der praktische Vorteil liegt an genau einer Stelle: Die EU-Datenspeicherung kostet bei HubSpot keinen Aufpreis. Wer DSGVO-Anforderungen als Auswahlkriterium gewichtet, sollte bei anderen CRM-Systemen gezielt fragen, ob EU-Hosting dort extra kostet, und das in den Kostenvergleich aufnehmen.

Vier Lücken, die bei einer Datenschutzprüfung auffallen

EU-Hosting allein macht ein Portal nicht prüfungssicher. Diese vier Punkte werden in der Praxis am häufigsten übersehen.

1. Unterauftragsverarbeiter. Auch bei EU-Hosting können Daten die Region verlassen – über Support-Zugriffe und über Subprozessoren. HubSpot führt diese Liste öffentlich; sie gehört in dein Verarbeitungsverzeichnis und sollte bei Änderungen nachgezogen werden.

2. Operations Hub. HubSpot weist selbst darauf hin, dass die Sync-Infrastruktur des Operations Hub in den USA läuft (AWS East) – unabhängig davon, wo dein Portal gehostet ist. Wenn du Datensynchronisation nutzt, ist das eine eigene Position in der Dokumentation.

3. KI-Funktionen. HubSpot gibt an, dass KI-Funktionen regionaler EU-Datenkontrolle unterliegen. Bei Agenten, die externe Modelle oder Drittanbieter einbinden, lohnt der genaue Blick, welche Daten wohin fließen. Mit der Breite des Agent-Hub-Portfolios wächst dieser Prüfpunkt, ebenso mit den KI-Connectoren für ChatGPT, Claude und Co.

4. Consent-Tracking ohne Anschluss ans Cookie-Banner. Der häufigste und zugleich unspektakulärste Fehler. HubSpot dokumentiert Einwilligungen sauber – aber nur die, die auch dort ankommen. Läuft auf der Website eine Consent-Management-Plattform, die das HubSpot-Tracking-Skript nicht korrekt steuert, entstehen Tracking-Daten ohne belastbare Rechtsgrundlage. Das fällt in keinem Dashboard auf.

Genau dieser vierte Punkt ist der Grund, warum wir bei River Online jedes HubSpot-Onboarding mit einem Abgleich von Cookie-Banner, Tracking-Skript und Consent-Properties beginnen, bevor die erste Kampagne live geht. Rückwirkend lässt sich eine fehlende Einwilligung nicht reparieren – der Kontakt ist dann schlicht nicht nutzbar.

[DEIN INPUT: Hattet ihr einen Fall, in dem genau diese Lücke – Consent-Banner und HubSpot-Tracking nicht sauber verdrahtet – echten Schaden angerichtet hat? Ein anonymisiertes Beispiel mit Größenordnung, z. B. „X Kontakte mussten aus dem Verteiler“, wäre hier Gold wert.]

Was das für deine HubSpot-Einführung heißt

Für deine Einführung heißt das: Kläre den Datenschutz vor dem Vertrag, nicht danach. Vorab kostet dich das Thema eine Stunde, im Nachhinein ein Projekt. Diese Reihenfolge hat sich bewährt:

1. Speicherort vor Vertragsunterschrift festlegen. Die EU-Datenspeicherung gehört ausdrücklich ins Order Form. Nachträglich ist eine Migration möglich, aber aufwendig und je nach Ausgangsrechenzentrum nicht in jede Richtung verfügbar.
2. AVV abrufen und gegenzeichnen. Er liegt im Portal bereit. Prüfe, welche Fassung für deinen Account gilt – nicht jede Altfassung enthält die aktuellen Standardvertragsklauseln.
3. Consent-Architektur vor dem ersten Kontakt klären. Welches Formular erzeugt welche Einwilligung, und wie landet sie am Kontakt? Für E-Mail-Strecken ist das die Grundlage.
4. Lizenzstufe an echten Anforderungen ausrichten. Brauchst du Feldmaskierung oder Audit-Logs, landest du bei Professional mit Aufpreis oder bei Enterprise. Brauchst du sie nicht, zahl nicht dafür.

Ein Hinweis aus der Praxis, der nichts mit Datenschutz zu tun hat, aber über den Erfolg des Projekts entscheidet: HubSpot ist dein Nurturing- und Automatisierungssystem, nicht deine Leadquelle. Wenn oben zu wenig reinkommt, löst auch die sauberste Enterprise-Konfiguration das Problem nicht. In dem Fall ist das Geld in einer funktionierenden Leadquelle – SEO oder Google Ads – besser investiert als in die nächsthöhere HubSpot-Stufe.

[DEIN INPUT: Was ist eure Standard-Empfehlung, wenn ein Interessent mit Datenschutzbedenken kommt, aber eigentlich noch gar keine stabile Leadquelle hat? Hier passt eure ehrliche Priorisierung rein – das unterscheidet den Artikel von jedem Agentur-Blog, der einfach Enterprise empfiehlt.]

Fazit

HubSpot bringt alles mit, was für einen DSGVO-konformen Betrieb nötig ist – EU-Rechenzentrum in Frankfurt ohne Aufpreis, AVV mit Standardvertragsklauseln, Consent-Tracking, DSGVO-Löschung und als Beta die Möglichkeit, E-Mails ohne Inhalt zu protokollieren. Was HubSpot dir nicht abnimmt, ist die Konfiguration. Der Speicherort muss im Vertrag stehen, der AVV muss gegengezeichnet sein, und das Consent-Tracking muss zu deinem Cookie-Banner passen.

Die gute Nachricht: Das sind drei konkrete, prüfbare Punkte – keine Dauerbaustelle. Wer sie vor dem Go-live abräumt, hat das Thema für Jahre erledigt.

Du willst wissen, wie es um dein Portal steht, oder planst gerade die Einführung? Wir sind HubSpot-Partner aus Hamburg und schauen uns das mit dir an – hier geht's zum Erstgespräch.

Dieser Artikel ist eine fachliche Einordnung aus der Praxis eines HubSpot-Partners und ersetzt keine Rechtsberatung. Für eine verbindliche Bewertung deines konkreten Setups sprich mit deinem Datenschutzbeauftragten oder einem Fachanwalt.