HubSpot und Datenschutz: Was Unternehmen beachten sollten

HubSpot bündelt Funktionen für Marketing, Vertrieb, Kundenservice und Content-Management auf einer Plattform. Dabei werden häufig personenbezogene Daten verarbeitet – etwa Kontaktdaten, Kommunikationsverläufe, Nutzungsinformationen oder Angaben zu Kundenanfragen. Unternehmen, die HubSpot einsetzen, sollten deshalb prüfen, welche Daten sie erheben, wofür sie diese nutzen und wie sie die Anforderungen der Datenschutz-Grundverordnung (DSGVO) umsetzen.

Welche personenbezogenen Daten können verarbeitet werden?

Der Umfang hängt davon ab, welche HubSpot-Produkte und Funktionen ein Unternehmen nutzt. Typische Datenkategorien sind:

• Kontakt- und Stammdaten wie Name, geschäftliche E-Mail-Adresse und Telefonnummer
• Informationen zu Unternehmen, Anfragen, Angeboten und Kundenbeziehungen
• Inhalte aus E-Mails, Formularen, Chats und Support-Tickets
• Marketing- und Interaktionsdaten, zum Beispiel Informationen über Newsletter-Anmeldungen oder Webseitenaufrufe
• Technische Daten, die bei der Nutzung von Websites oder digitalen Diensten anfallen können

Welche Daten tatsächlich erfasst werden, richtet sich nach der konkreten Konfiguration. Unternehmen sollten daher nicht nur die Plattform, sondern auch angebundene Formulare, Tracking-Technologien, Integrationen und Datenimporte berücksichtigen.

Verantwortlicher und Auftragsverarbeiter

Nach der DSGVO ist grundsätzlich das Unternehmen, das über Zweck und wesentliche Mittel der Verarbeitung entscheidet, für diese Verarbeitung verantwortlich. HubSpot kann bei der Bereitstellung seiner Dienste als Auftragsverarbeiter tätig sein. Für bestimmte eigene Zwecke kann HubSpot jedoch eine eigenständige datenschutzrechtliche Rolle haben. Maßgeblich sind der jeweilige Dienst, die tatsächliche Verarbeitung und die geltenden Vertragsunterlagen.

Unternehmen sollten insbesondere prüfen, ob ein Vertrag zur Auftragsverarbeitung abgeschlossen wurde und welche Verarbeitungsvorgänge, Unterauftragnehmer sowie Sicherheitsmaßnahmen darin beschrieben sind. Die aktuellen Vertrags- und Datenschutzinformationen sollten direkt bei HubSpot eingesehen werden, da sich Bedingungen und Produktfunktionen ändern können.

Rechtsgrundlage und Transparenz

Für jede Verarbeitung personenbezogener Daten ist eine passende Rechtsgrundlage erforderlich. Je nach Situation kann dies beispielsweise die Erfüllung eines Vertrags, eine gesetzliche Pflicht, ein berechtigtes Interesse oder eine Einwilligung sein. Die Auswahl muss zum konkreten Zweck und zur jeweiligen Verarbeitung passen.

Betroffene Personen müssen verständlich darüber informiert werden, welche Daten zu welchen Zwecken verarbeitet werden, wie lange sie gespeichert bleiben und an wen sie gegebenenfalls übermittelt werden. Hinweise dazu gehören in die Datenschutzerklärung des Unternehmens. Werden Daten über Formulare erhoben, sollte die Information dort leicht zugänglich sein.

Cookies, Tracking und Einwilligungen

Wer HubSpot für Formulare, Analysefunktionen, Chat-Tools oder Marketing-Automatisierung auf einer Website nutzt, sollte die eingesetzten Technologien gesondert prüfen. Nicht notwendige Cookies und vergleichbare Technologien erfordern in vielen Fällen eine vorherige Einwilligung. Ob dies zutrifft, hängt von der konkreten Funktion und ihrer technischen Umsetzung ab.

Ein Consent-Management-System sollte Einwilligungen korrekt erfassen und berücksichtigen. Außerdem sollten Website-Betreibende kontrollieren, ob Tags oder Skripte bereits vor einer erforderlichen Zustimmung geladen werden. Die Datenschutzerklärung und die Cookie-Informationen müssen die tatsächlichen Vorgänge widerspiegeln.

Internationale Datenübermittlungen

Bei Cloud-Diensten kann eine Verarbeitung oder ein Zugriff aus Ländern außerhalb des Europäischen Wirtschaftsraums nicht ausgeschlossen sein. Unternehmen sollten deshalb die aktuellen Angaben des Anbieters zu Speicherorten, Unterauftragnehmern und internationalen Datenübermittlungen prüfen.

Für Übermittlungen in Drittländer müssen die Voraussetzungen der DSGVO erfüllt sein. Dazu können etwa ein Angemessenheitsbeschluss oder geeignete Garantien wie Standardvertragsklauseln gehören. Ob zusätzliche Maßnahmen erforderlich sind, hängt von den Umständen der Übermittlung ab. Eine pauschale Annahme, dass Daten ausschließlich in Europa verarbeitet werden, sollte nicht ohne Prüfung der aktuellen Vertrags- und Produktangaben getroffen werden.

Speicherfristen und Betroffenenrechte

Personenbezogene Daten sollten nicht länger gespeichert werden, als es für den jeweiligen Zweck erforderlich ist. Unternehmen sollten daher Aufbewahrungs- und Löschkonzepte festlegen und prüfen, wie sich diese in HubSpot sowie in angebundenen Systemen umsetzen lassen. Dazu gehören auch Backups, Exporte und Synchronisierungen mit anderen Plattformen.

Betroffene Personen haben unter den Voraussetzungen der DSGVO unter anderem Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Unternehmen sollten Zuständigkeiten und Abläufe festlegen, damit Anfragen fristgerecht bearbeitet werden. Dabei ist zu berücksichtigen, dass Daten möglicherweise in mehreren Tools oder verbundenen Systemen gespeichert sind.

Praktische Datenschutz-Checkliste für HubSpot

• Nur Daten erheben, die für einen klar definierten Zweck benötigt werden.
• Die passende Rechtsgrundlage für jede Verarbeitung dokumentieren.
• Datenschutzhinweise und Cookie-Informationen an die tatsächliche Nutzung anpassen.
• Vertrag zur Auftragsverarbeitung und aktuelle Unterauftragnehmer prüfen.
• Zugriffsrechte nach dem Prinzip „so viel wie nötig“ vergeben und regelmäßig kontrollieren.
• Aufbewahrungsfristen sowie Lösch- und Bereinigungsprozesse festlegen.
• Formulare, Tracking, Integrationen und Datenimporte gemeinsam betrachten.
• Verfahren für Auskunfts-, Lösch- und weitere Betroffenenanfragen einrichten.
• Internationale Datenübermittlungen anhand der aktuellen Anbieterinformationen bewerten.
• Mitarbeitende im sicheren und datenschutzgerechten Umgang mit der Plattform schulen.

Fazit

HubSpot kann Unternehmen dabei unterstützen, Kundenkommunikation und Geschäftsprozesse zu organisieren. Die Nutzung einer Plattform allein gewährleistet jedoch keine DSGVO-Konformität. Entscheidend sind die konkrete Konfiguration, die Zwecke der Verarbeitung, transparente Informationen, angemessene Zugriffs- und Löschkonzepte sowie die Prüfung von Verträgen und Datenflüssen.

Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für eine Bewertung im Einzelfall sollten die aktuelle Dokumentation von HubSpot und die konkreten Verarbeitungsvorgänge des Unternehmens geprüft werden.

 

HubSpot-Datenschutz: 5 Tipps für den DSGVO-konformen Umgang mit personenbezogenen Daten

1. Erfasse nur notwendige personenbezogene Daten.
2. Hole vor Marketing-E-Mails eine gültige Einwilligung ein.
3. Informiere transparent über Zweck und Umfang der Datennutzung.
4. Prüfe Auftragsverarbeitungsverträge und Unterauftragnehmer.
5. Lege Löschfristen fest und setze sie in HubSpot um.

Erfasse nur notwendige personenbezogene Daten.

Erfasse in HubSpot nur personenbezogene Daten, die du für einen klar festgelegten Zweck wirklich benötigst. So reduzierst du Datenschutzrisiken und erleichterst die sichere Verwaltung, Aufbewahrung und Löschung der Informationen. Prüfe regelmäßig deine Formulare und Datenfelder und entferne Angaben, die für deine Geschäftsprozesse nicht erforderlich sind.

Hole vor Marketing-E-Mails eine gültige Einwilligung ein.

Bevor Sie über HubSpot Marketing-E-Mails versenden, sollten Sie eine gültige und nachweisbare Einwilligung der Empfängerinnen und Empfänger einholen. Informieren Sie klar darüber, welche Nachrichten sie erhalten und wie sie ihre Zustimmung jederzeit widerrufen können. Dokumentieren Sie die Einwilligung, etwa mit Zeitpunkt und Herkunft der Anmeldung, und verwenden Sie die Kontaktdaten nicht für andere Zwecke als angegeben. So schaffen Sie Transparenz und unterstützen einen datenschutzgerechten E-Mail-Versand.

Informiere transparent über Zweck und Umfang der Datennutzung.

Informiere Nutzerinnen und Nutzer transparent darüber, welche personenbezogenen Daten du in HubSpot erhebst, zu welchem Zweck du sie verarbeitest und wie lange du sie speicherst. Erkläre außerdem, ob Daten an verbundene Dienste oder andere Empfänger weitergegeben werden und welche Rechte Betroffene haben. Platziere diese Informationen gut verständlich in deiner Datenschutzerklärung und – wenn Daten über Formulare erhoben werden – direkt dort, wo die Eingabe erfolgt.

Prüfe Auftragsverarbeitungsverträge und Unterauftragnehmer.

Prüfe den Auftragsverarbeitungsvertrag mit HubSpot regelmäßig und stelle sicher, dass er die tatsächlichen Verarbeitungen abdeckt. Achte besonders darauf, welche Unterauftragnehmer eingesetzt werden, welche Aufgaben sie übernehmen und in welchen Ländern Daten verarbeitet oder zugänglich gemacht werden können. Vergleiche die Angaben mit den aktuellen Informationen von HubSpot und dokumentiere deine Prüfung. So kannst du Änderungen frühzeitig erkennen und bewerten, ob zusätzliche Maßnahmen erforderlich sind.

Lege Löschfristen fest und setze sie in HubSpot um.

Lege für jede Datenkategorie klare Löschfristen fest und dokumentiere, wann personenbezogene Daten nicht mehr benötigt werden. Prüfe anschließend, wie sich diese Regeln in HubSpot umsetzen lassen – etwa durch regelmäßige Überprüfungen, automatisierte Workflows oder manuelle Löschprozesse. Berücksichtige dabei auch verbundene Systeme, Datenexporte und gesetzliche Aufbewahrungspflichten. So vermeidest du, dass Daten länger als erforderlich gespeichert werden, und unterstützt eine datenschutzgerechte Datenverwaltung.