HubSpot und DSGVO: was im EU-Rechenzentrum bleibt und was die EU verlässt

Was HubSpot im EU-Rechenzentrum speichert

Wird Ihr Portal in der EU gehostet, speichert und verarbeitet HubSpot Ihre Kundendaten in Deutschland, bei Amazon Web Services (AWS) in Frankfurt. Kopien für Backup und Notfallwiederherstellung bleiben in der EU-Region. Das EU-Hosting umfasst, was Sie und Ihre Kontakte in HubSpot eingeben: Datensätze, E-Mails, Notizen, Dateien, Formulare, Website-Seiten und deren Analysen.

Die Bedingungen von HubSpot setzen zwei Grenzen. Der Hosting-Standort gilt nicht für Apps, Beta-Funktionen, Beratung, eigene Inhalte von HubSpot wie Anreicherungsdaten oder Nutzungsanalysen. Und HubSpot garantiert nicht, dass ein Hosting-Standort Ihre Anforderungen an den Datenort erfüllt. Ob EU-Hosting für Sie reicht, entscheiden Ihre Datenschutzbeauftragten.

So prüfen Sie, wo Ihr HubSpot-Portal gehostet wird

1. Schritt 01

   Den Tab „Datenhosting“ öffnen

   Gehen Sie in HubSpot zu Einstellungen > Datenschutz und Einwilligung, Tab „Datenhosting“. „Ihr Datenhosting-Standort“ zeigt Europäische Union (Deutschland), USA (Osten oder Westen), Kanada oder Australien.

   

2. Schritt 02

   Auf die Adresszeile schauen

   Ein Portal mit Hosting in der EU öffnet unter app-eu1.hubspot.com. Das hilft, wenn Sie nur einen Link von Kollegen oder einer Agentur haben.
3. Schritt 03

   Das Bestellformular prüfen

   Unter Account & Abrechnung, Tab „Transaktionen“, Bestellungen, nennt das Bestellformular die Hosting-Region. Steht dort Nordamerika, zeigt der Tab „Datenhosting“, welches US-Rechenzentrum es ist.

Seit Juli 2021 bekommt eine bezahlte Anmeldung das Rechenzentrum, das zur IP-Adresse der Anmeldung passt. Ein Portal, das mit den kostenlosen Tools begonnen hat, liegt in den USA, auch bei einem Unternehmen in München. Für den Umzug buchen Sie zuerst einen bezahlten Plan und planen dann die Migration.

Was die EU trotz EU-Hosting verlässt

Das EU-Hosting regelt, wo HubSpot Ihre Daten speichert. Einige Funktionen senden Daten an Anbieter oder HubSpot-Teams außerhalb der EU. Die meisten davon greifen nur, wenn Sie die Funktion nutzen. Diese Liste ist deshalb auch eine Liste von Entscheidungen.

Für Übermittlungen in die USA stützt sich der AVV von HubSpot auf das EU-U.S. Data Privacy Framework und die Standardvertragsklauseln der EU. HubSpot, Inc. ist unter dem Data Privacy Framework zertifiziert. Wenn Sie über neue Unterauftragsverarbeiter informiert werden möchten, abonnieren Sie die Updates von HubSpot: Sie erhalten 30 Tage Vorlauf und können widersprechen.

Wer ChatGPT, Claude oder Copilot mit HubSpot verbindet, sendet CRM-Daten an diesen KI-Anbieter, außerhalb des HubSpot-Hostings. Was die Connectors lesen dürfen und welche Berechtigungen Sie vergeben, steht in unserem Ratgeber HubSpot MCP: HubSpot mit ChatGPT, Claude oder Copilot verbinden.

Drei HubSpot-Einstellungen, die Ihre Daten teilen, und wo Sie sie abschalten

Unabhängig vom Hosting nutzt HubSpot einige Kundendaten, um die eigenen Produkte zu verbessern. Das steuern drei Schalter an drei verschiedenen Stellen. Wer einen abschaltet, schaltet die anderen nicht mit ab.

1. Schritt 01

   KI: festlegen, was die KI lesen darf

   Einstellungen > KI, Tab „Zugriff“. „Benutzern Zugriff auf generative KI-Tools und -Funktionen gewähren“ schaltet die gesamte generative KI an oder aus. Darunter stehen drei Datenkategorien: „CRM-Daten“ und „Daten von Kundenkonversationen“ sind standardmäßig an, „Daten von Dateien“ ist aus. „KI-Modelltraining“ steht ganz unten.

   

2. Schritt 02

   Website-Tracking: Kaufabsichtdaten

   Einstellungen > Tracking & Analytics > Tracking-Code, Tab „Erweitertes Tracking“. Schalten Sie „Zugriff auf Kaufabsichtdaten“ ab, wenn Sie die Kaufabsicht von HubSpot nicht nutzen. Alles andere funktioniert weiter.

   

3. Schritt 03

   Datenanreicherung: aus, bis sie jemand verantwortet

   Einstellungen > Datenverwaltung > Datenanreicherung, Tab „Einstellungen“. Neue Datensätze automatisch anreichern, vorhandene kontinuierlich anreichern und kürzlich interagierende Kontakte anreichern sind getrennte Schalter, jeweils für Unternehmen und Kontakte.

   

Unsere Sicht: Schalten Sie KI-Modelltraining und den Zugriff auf Kaufabsichtdaten ab, wenn Sie die Kaufabsicht nicht nutzen. Keiner der beiden Schalter ist nötig, damit die KI-Funktionen von HubSpot arbeiten. Schalten Sie die Anreicherung nur ein, wenn eine Person die Daten verantwortet, die sie schreibt.

Der Hintergrund: Anfang Juli 2026 kündigte HubSpot an, Anreicherungsdaten ab 4. August zwischen Kundenaccounts zu teilen, standardmäßig aktiv und nur per Widerspruch abwählbar (Opt-out). Nach Protesten von Kunden zog HubSpot den Plan am 5. Juli zurück. Laut dem Chief Product Officer von HubSpot sollen künftige Änderungen an der Datennutzung nur mit Zustimmung kommen (Opt-in). Übrig sind die drei Schalter oben.

Können Sie ein bestehendes HubSpot-Portal ins EU-Rechenzentrum umziehen?

Ja, wenn es ein bezahltes Portal im Rechenzentrum USA (Osten) ist. Ein Super-Admin plant den Umzug unter Einstellungen > Datenschutz und Einwilligung, Tab „Datenhosting“, „Veränderung“. Der Umzug ist kostenlos. Das Portal ist etwa 24 Stunden offline, manchmal 36. Einen Weg zurück gibt es nicht: Ein Portal in der EU kann in kein anderes Rechenzentrum mehr umziehen.

1. Schritt 01

   Alles auflisten, was mit HubSpot spricht

   Jede App, private App, jeden Webhook und jedes Automatisierungstool, dazu jede Website mit HubSpot-Formularen, CTAs oder dem Tracking-Code. Während des Umzugs scheitern API-Aufrufe mit dem Statuscode 477, und HubSpot kann nicht sagen, ob eine App sie wiederholt.

   

2. Schritt 02

   Ein Wochenende wählen

   Planen Sie mindestens eine Woche im Voraus, nicht innerhalb von 3 Tagen um Ihr Abrechnungsdatum. Starten Sie an einem Freitagabend. Importe stoppen 24 Stunden vorher, und Massen-Marketing-E-Mails lassen sich für diesen Tag nicht planen.
3. Schritt 03

   Den Teams sagen, was stillsteht

   Workflows, Sequenzen und geplante Marketing-E-Mails pausieren. Formulare sammeln weiter und werden danach verarbeitet. Chat und Chatbots gehen eine Stunde vorher offline. Meeting-Links nehmen Anfragen an, tragen aber nichts in Kalender ein. Anrufe aus HubSpot brechen ab.
4. Schritt 04

   Laufen lassen

   Super-Admins bekommen eine E-Mail bei der Planung, am Montag der Woche, am Tag davor und zum Abschluss. Wer sich anmeldet, sieht einen Hinweis, bis das Portal zurück ist.
5. Schritt 05

   Anpassen, was eine neue Adresse hat

   Ersetzen Sie Einbettungscodes für Formulare, CTAs und den Tracking-Code auf Websites außerhalb von HubSpot, sonst laufen die Daten zuerst über die USA. Kopieren Sie die neuen BCC- und Weiterleitungsadressen für die E-Mail-Protokollierung. Ändern Sie den SMTP-Host für Transaktions-E-Mails. Verbinden Sie dedizierte IP-Adressen, Return-Path-Domains, eigene SSL-Zertifikate und Reverse Proxies neu. Systemdomains werden zu hs-sites-eu1.com, ohne Weiterleitung.
6. Schritt 06

   Snowflake neu installieren und testen

   Deinstallieren und installieren Sie die Snowflake-Integration neu, wenn Sie sie nutzen. Senden Sie dann ein Testformular ab, verschicken Sie eine Test-E-Mail und prüfen Sie, ob jede Integration synchronisiert hat.

Die Portal-ID und die Datensatz-IDs bleiben gleich, und Apps mit OAuth erneuern ihren Zugriff selbst. Sandboxes, die dafür in Frage kommen, ziehen mit dem Portal um. Eine Sandbox, die am Stichtag nicht in Frage kommt, geht verloren. Bringen Sie sie vorher in Ordnung oder geben Sie sie auf.

Lohnt sich der Umzug? Ziehen Sie um, wenn Ihre Datenschutzbeauftragten, ein Kunde oder eine Ausschreibung EU-Hosting verlangen, und bevor Sie ein ERP anbinden oder ein großes Projekt starten, solange weniger umzustellen ist. Rechnen Sie mit einem Wochenende offline und einem Tag Nacharbeit. An dem, was trotzdem die EU verlässt, ändert der Umzug nichts.

Der AVV (Auftragsverarbeitungsvertrag) von HubSpot: wo Sie ihn finden und wie er gilt

Der Auftragsverarbeitungsvertrag (AVV, englisch DPA) von HubSpot ist Teil der Nutzungsbedingungen für Kunden. Sie akzeptieren ihn mit Ihrem Abo, es gibt also nichts extra zu unterschreiben. Wollen Ihre Datenschutzbeauftragten eine unterschriebene Fassung in der Akte, laden Sie das von HubSpot unterschriebene PDF unter legal.hubspot.com/de/dpa herunter. Das unterschriebene PDF enthält die vollständigen Standardvertragsklauseln, den Zusatz für das Vereinigte Königreich und die Liste der Unterauftragsverarbeiter.

Ihr eigener Teil bleibt bei Ihnen: HubSpot ins Verzeichnis von Verarbeitungstätigkeiten aufnehmen, in Ihrer Datenschutzerklärung nennen und für Ihre Kontakte eine Rechtsgrundlage dokumentieren. In Deutschland redet der Betriebsrat meist mit, sobald HubSpot festhält, was Vertriebsmitarbeiter tun, etwa Anrufe, E-Mail-Öffnungen oder Aktivitätsberichte.

HubSpot-DSGVO-Einstellungen für Deutschland, Österreich und die Schweiz

Für Portale mit Hosting in der EU schaltet HubSpot die Datenschutzeinstellungen standardmäßig ein. Prüfen Sie es trotzdem: Nicht jedes EU-Portal hat sie an. Jeder Schritt unten ist eine Einstellung, die ein Unternehmen in Deutschland, Österreich oder der Schweiz in der Regel will.

1. Schritt 01

   Datenschutzeinstellungen einschalten

   Einstellungen > Datenschutz und Einwilligung, Tab „Einrichtung“: Schalten Sie „Datenschutzeinstellungen“ an. Dafür brauchen Sie Super-Admin-Rechte oder die Berechtigung zum Bearbeiten der Account-Einstellungen. HubSpot schaltet dann den Cookie-Banner ein, fügt neuen Formularen und Meeting-Seiten einen Datenschutzabschnitt hinzu, setzt Abmeldelinks in persönliche E-Mails und Sequenz-E-Mails und erfasst keine Öffnungen und Klicks mehr bei Kontakten ohne Rechtsgrundlage. Bestehende Formulare behalten ihre Fußzeile, bis Sie sie bearbeiten.

   

2. Schritt 02

   Marketing-E-Mails auf Kontakte mit Rechtsgrundlage beschränken

   Schalten Sie unter „Empfohlene nächste Schritte zur Einhaltung der Vorschriften“ „E-Mails auf angemeldete Kontakte beschränken“ an. Marketing-E-Mails gehen dann nur an Kontakte, die angemeldet sind und eine Rechtsgrundlage haben.
3. Schritt 03

   An jedem Kontakt eine Rechtsgrundlage erfassen

   Die Eigenschaft „Rechtliche Grundlage für die Verarbeitung von Kontaktdaten“ hat sechs Werte: drei Arten von berechtigtem Interesse, Ausführung eines Vertrags, Einwilligung und Nicht zutreffend. Setzen Sie sie beim Import, im Formular, per Massenbearbeitung oder per Workflow. Das Segment „Marketingkontakte ohne Rechtsgrundlage“ zeigt die Lücken.

   

4. Schritt 04

   Inaktive Kontakte automatisch löschen

   Schalten Sie unter „Zusätzliche Einstellungen“ „Inaktive Kontakte automatisch löschen“ an. Standardmäßig gilt ein Kontakt nach 365 Tagen ohne Aktivität als inaktiv. HubSpot prüft am 1. jedes Monats, und gelöschte Kontakte lassen sich 90 Tage lang wiederherstellen. Prüfen Sie vorher, welche Berichte auf alte Kontakte angewiesen sind.

   

5. Schritt 05

   Über den Zugriff für HubSpot-Mitarbeiter entscheiden

   Einstellungen > Sicherheit, Tab „Anmelden“. Richten Sie zuerst die Anmeldeeinstellungen ein, erst dann erscheint „Zugriff für HubSpot-Mitarbeiter zulassen“. Ist der Schalter aus, kann der HubSpot-Support nicht in Ihr Portal schauen. Schalten Sie ihn wieder an, gilt der Zugriff 24 Stunden.

   

6. Schritt 06

   Apps genehmigen, bevor jemand sie installiert

   Einstellungen > Integrationen > Verknüpfte Apps, Tab „Genehmigte Apps“. Super-Admins genehmigen jede App und legen fest, wer sie installieren darf und welche optionalen Daten sie bekommt. Die App-Genehmigung gilt auch für die Connectors für ChatGPT und Claude.

   

HubSpot hat keine Einstellung, um IP-Adressen im Tracking-Code zu kürzen oder zu anonymisieren. Steuern Sie das Website-Tracking stattdessen über die Einwilligung, mit dem Cookie-Banner von HubSpot oder Ihrem eigenen Consent-Tool.

Was Sie Ihren Datenschutzbeauftragten übergeben

Dieser Ratgeber beschreibt, was HubSpot tut, nicht was das Gesetz verlangt. Ob HubSpot zu Ihren Pflichten passt, entscheiden Ihre Datenschutzbeauftragten oder Ihre Rechtsberatung. Dafür brauchen sie diese acht Unterlagen:

• Hosting. Ein Screenshot des Tabs „Datenhosting“ und das Datum einer etwaigen Migration.
• Der AVV. Das unterschriebene PDF von legal.hubspot.com/de/dpa, mit dem Datum des Downloads.
• Unterauftragsverarbeiter. Die Liste von HubSpot, mit den Funktionen markiert, die Sie wirklich nutzen: Telefonie, WhatsApp, Zahlungen, Videos, KI.
• Datenschalter. Ihre Einstellungen zu KI-Datenzugriff, KI-Modelltraining, Kaufabsichtdaten und Datenanreicherung.
• Apps. Jede verknüpfte App und KI-Verbindung, mit AVV und Hosting-Standort des Anbieters.
• Zugriff. Ob der Zugriff für HubSpot-Mitarbeiter an ist, wer ihn schalten darf und wer Ihre Super-Admins sind.
• Kontakte. Ihre Regeln zur Rechtsgrundlage und die Frist, nach der inaktive Kontakte gelöscht werden.
• Unterlagen von HubSpot. Das Transfer Impact Assessment und der SOC-2-Bericht von trust.hubspot.com.

Wie wir den Datenschutz in einem HubSpot-Portal einrichten

Die Reihenfolge, in der wir arbeiten, in einem neuen Portal oder einem, das wir übernehmen:

1. Schritt 01

   Zuerst das Hosting

   Den Hosting-Standort prüfen wir in der ersten Sitzung. Ein Umzug ist am günstigsten, bevor Integrationen, Formulare auf externen Websites und die ERP-Anbindung stehen.
2. Schritt 02

   Funktionen den Unterauftragsverarbeitern zuordnen

   Wir listen die Funktionen, die das Unternehmen tatsächlich nutzen wird, und markieren, welche Daten außerhalb der EU senden. Die Liste geht vor dem Start an die Datenschutzbeauftragten.
3. Schritt 03

   Die drei Schalter

   KI-Modelltraining und Kaufabsichtdaten aus, wenn es keinen Grund gibt, sie anzulassen. Datenanreicherung nur mit einer verantwortlichen Person und einer Zuordnung, die manuell eingegebene Daten schützt.
4. Schritt 04

   Rechtsgrundlage vom ersten Tag an

   Jeder Import und jedes Formular setzt eine Rechtsgrundlage. Ein Segment mit allen Kontakten ohne Rechtsgrundlage steht auf dem Admin-Dashboard.
5. Schritt 05

   Apps nur mit Genehmigung

   Admins genehmigen Apps und KI-Verbindungen. Jede bekommt eine Zeile im Verzeichnis von Verarbeitungstätigkeiten, mit Anbieter und Hosting-Standort.

Häufige Fragen