HubSpot und Datenschutz: Warum das Marketing-Tool Besucher umfassend verfolgt
HubSpot ist eine der bekanntesten Marketing-Plattformen – und gleichzeitig eine, die auf deiner WordPress-Website eine ganze Reihe Datenschutzpflichten auslöst. Das Plugin installiert automatisch einen Tracking-Code, der Besucherdaten sammelt und in die USA überträgt, bevor jemand auf deiner Seite irgendetwas angeklickt hat. Cookie-Banner, Datenschutzerklärung und ein Vertrag mit HubSpot sind Pflicht.
Überblick
Was ist HubSpot?
HubSpot ist eine US-amerikanische Plattform für Marketing, Vertrieb und Kundenverwaltung. Das WordPress-Plugin verbindet deine Website mit deinem HubSpot-Konto und installiert dabei automatisch einen Tracking-Code auf allen Seiten. Über diesen Code werden Website-Besucher identifiziert, ihr Verhalten aufgezeichnet und Formulardaten direkt in das HubSpot-CRM übertragen.
| HubSpot – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🔴 | HubSpot setzt beim Seitenaufruf vier zustimmungspflichtige Tracking-Cookies. |
| Externe Verbindungen | 🔴 | Tracking-Skripte laden beim Seitenaufruf von HubSpot-Servern, ohne dass Besucher zugestimmt haben. |
| Datenschutzerklärung | 🔴 | HubSpot muss in der Datenschutzerklärung erwähnt werden. |
| Drittlandtransfer | 🔴 | Besucherdaten werden an HubSpot, Inc. in den USA übertragen. |
| Auftragsverarbeitung | 🔴 | Ein Vertrag mit HubSpot über Auftragsverarbeitung ist erforderlich. |
| Benutzereingaben | 🔴 | Formulardaten werden direkt in das HubSpot-CRM in den USA übertragen. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Welche Daten sammelt HubSpot auf deiner Website?
Sobald das HubSpot-Plugin aktiv ist, lädt deine Website beim ersten Seitenaufruf automatisch ein Tracking-Skript von HubSpot-Servern. Dieses Skript läuft im Hintergrund und beginnt sofort, Daten über deine Website-Besucher zu sammeln – ohne dass jemand etwas angeklickt oder ausgefüllt hat.
HubSpot erfasst dabei, welche Seiten ein Besucher aufruft, wann er zum ersten Mal auf deiner Website war, wie oft er zurückgekehrt ist, und vergibt jedem Besucher eine eindeutige Kennung. Diese Kennung wird in Cookies gespeichert und bleibt bis zu 13 Monate erhalten. Füllt jemand später ein Formular aus, verknüpft HubSpot die gesamte bisherige Surf-Geschichte mit dem ausgefüllten Namen und der E-Mail-Adresse – aus einem anonymen Besucher wird ein identifizierter Kontakt im CRM.
Alle diese Daten werden an Server von HubSpot, Inc. in den USA übertragen und dort gespeichert. Du siehst sie danach in deinem HubSpot-Dashboard als Besucherstatistiken und Kontakteinträge.
Cookies
Welche Cookies setzt HubSpot – und brauchen die eine Einwilligung?
HubSpot setzt beim Seitenaufruf vier Cookies, die HubSpot selbst ausdrücklich als einwilligungspflichtig unter der DSGVO einstuft:
__hstc– Haupt-Tracking-Cookie. Enthält eine eindeutige Besucher-Kennung sowie Zeitstempel des ersten und letzten Besuchs. Läuft nach 13 Monaten ab.hubspotutk– Identifikations-Cookie. Wird beim Absenden eines Formulars an HubSpot übertragen, um den Besucher mit dem Kontakteintrag zu verknüpfen. Läuft nach 13 Monaten ab.__hssc– Sitzungs-Cookie. Zählt Seitenaufrufe innerhalb einer Browser-Sitzung. Läuft nach 30 Minuten ab.__hssrc– Erkennt Browser-Neustarts. Läuft mit dem Schließen des Browsers ab.
Alle vier Cookies sind zustimmungspflichtig. Dein Cookie-Banner muss diese Cookies blockieren, bis der Besucher zugestimmt hat. Standardmäßig setzt HubSpot diese Cookies beim Laden der Seite – du musst deinen Cookie-Banner also aktiv so konfigurieren, dass das HubSpot-Tracking-Skript erst nach Zustimmung geladen wird.
Externe Verbindungen
Baut HubSpot schon beim Seitenaufruf externe Verbindungen auf?
Ja. Sobald das Plugin aktiv ist, lädt deine Website beim Seitenaufruf Skripte von mehreren HubSpot-Domains. Das passiert automatisch, bevor ein Besucher irgendetwas tut:
js.hs-scripts.combzw.js-eu1.hs-scripts.com– Haupt-Tracking-Skriptjs.hs-analytics.net– Analyse-Skriptjs.hscollectedforms.net– Formular-Trackingjs.hs-banner.com– Banner-Skript
Dein Cookie-Banner muss diese Verbindungen blockieren, bis der Besucher zugestimmt hat. Das bedeutet: Das HubSpot-Skript darf nicht beim Laden der Seite starten, sondern erst nach aktiver Einwilligung. Achte bei der Konfiguration deines Cookie-Banners darauf, dass HubSpot in der Kategorie „Statistik“ oder „Marketing“ eingeordnet ist und das Skript tatsächlich erst nach Zustimmung geladen wird.
Wenn du HubSpot-Formulare auf deiner Website einbindest, baut das Formular beim Absenden zusätzlich eine Verbindung zu forms.hsforms.com auf und überträgt die Eingabedaten direkt an HubSpot. Diese Verbindung entsteht erst, wenn jemand das Formular absendet – ein Cookie-Banner hilft hier nicht. Direkt beim Formular muss ein Hinweis auf deine Datenschutzerklärung stehen.
Benutzereingaben
Was passiert, wenn jemand ein HubSpot-Formular ausfüllt?
HubSpot-Formulare sind ein zentrales Feature des Plugins: Name, E-Mail-Adresse und alle weiteren Felder, die du im Formular einrichtest, werden beim Absenden direkt an HubSpot, Inc. in den USA übertragen und dort als Kontakteintrag gespeichert. Das gilt sowohl für eingebettete HubSpot-Formulare als auch für andere WordPress-Formulare, die das Plugin mitlesen kann, wenn der Tracking-Code aktiv ist.
Direkt beim Formular muss ein Hinweis auf deine Datenschutzerklärung stehen, der erklärt, dass die Eingaben an HubSpot weitergegeben werden. Außerdem brauchst du einen Vertrag mit HubSpot, der regelt, wie das Unternehmen mit diesen Daten umgeht.
Drittlandtransfer
Werden Besucherdaten in die USA übertragen?
HubSpot, Inc. hat seinen Sitz in den USA (Cambridge, Massachusetts). Alle Daten, die das Tracking-Skript und die Formulare erfassen – also Besucher-Kennungen, Surfverhalten und Formulareingaben – werden an HubSpot in den USA übertragen.
HubSpot bietet zwar ein Rechenzentrum in Deutschland an, in dem Daten gespeichert werden können. Als US-Unternehmen hat HubSpot, Inc. aber weiterhin Zugriff auf diese Daten. Der Transfer in die USA findet also statt, unabhängig davon, in welchem Rechenzentrum dein Konto gespeichert ist.
Die rechtliche Grundlage für diesen Transfer ist das EU-US Data Privacy Framework – ein Abkommen zwischen der EU und den USA, das HubSpot seit 2023 zertifiziert hat. Dieses Abkommen steht juristisch unter Beobachtung und kann jederzeit erneut angefochten werden. Deine Datenschutzerklärung muss den Datentransfer in die USA und die verwendete Rechtsgrundlage benennen.
Auftragsverarbeitung
Brauche ich einen Vertrag mit HubSpot?
Ja. HubSpot verarbeitet Besucherdaten – Tracking-Informationen und Formulareingaben – in deinem Auftrag. Dafür schreibt die DSGVO einen schriftlichen Vertrag vor, der regelt, dass HubSpot diese Daten nur nach deinen Vorgaben nutzen darf.
HubSpot stellt diesen Vertrag für alle Kunden bereit, auch für das kostenlose Konto. Du findest ihn unter legal.hubspot.com/de/dpa. Der Vertrag ist in die HubSpot-Nutzungsbedingungen integriert – mit dem Abschluss deines HubSpot-Kontos gilt er automatisch als vereinbart. Du musst nichts gesondert unterschreiben, solltest aber den Link dokumentieren und in deinen Unterlagen festhalten, dass du den Vertrag abgeschlossen hast.
Datenschutzerklärung
Muss HubSpot in der Datenschutzerklärung erwähnt werden?
HubSpot muss in deiner Datenschutzerklärung stehen, weil das Plugin Besucherdaten erfasst, eine eindeutige Besucher-Kennung anlegt und diese Daten an HubSpot, Inc. in die USA überträgt. Das sind datenschutzrechtlich relevante Vorgänge, über die du deine Besucher informieren musst.
Folgende Angaben gehören in deinen Datenschutzerklärung-Eintrag zu HubSpot:
- Zweck: Analyse des Website-Besucherverhaltens, Lead-Erfassung und CRM-Verwaltung
- Rechtsgrundlage: Einwilligung (für Tracking-Cookies und Analyse)
- Empfänger: HubSpot, Inc., 25 First Street, Cambridge, MA 02141, USA
- Drittlandtransfer: Übertragung in die USA auf Basis des EU-US Data Privacy Framework
- Speicherdauer: Tracking-Cookies bis zu 13 Monate; Kontaktdaten im CRM bis zur Löschung durch den Verantwortlichen
Wir nutzen HubSpot für CRM & Marketing-Automation.
HubSpot setzt beim Laden der Website Cookies bzw. ähnliche Kennungen ein und baut eine Verbindung zu Servern von HubSpot, Inc. auf. Beides ist nicht technisch notwendig und erfolgt auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.
HubSpot stellt beim Laden der Website automatisch eine Verbindung zu Servern von HubSpot, Inc. her. Diese Verbindung ist technisch notwendig und erfolgt auf Grundlage unseres berechtigten Interesses an einer funktionsfähigen Website (Art. 6 Abs. 1 lit. f DSGVO). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden.
Wenn du über ein Formular von HubSpot deine Daten eingibst, werden diese an HubSpot, Inc. übermittelt. Soweit HubSpot, Inc. die Daten in unserem Auftrag verarbeitet, besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.
Fehler
Welche Fehler kommen bei HubSpot in unseren DSGVO-Checks am häufigsten vor?
HubSpot taucht bei 4 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen HubSpot gefunden wurde.
DSGVO-Check
So prüfst du selbst, ob HubSpot auf deiner Website aktiv ist
Öffne deine Website in einem neuen Browser-Fenster im privaten Modus (Inkognito). Schau, noch bevor du auf dem Cookie-Banner irgendetwas klickst, in die Cookie-Übersicht deines Browsers – die findest du meist im Schloss-Symbol neben der Adresszeile oder in den Entwickler-Tools unter „Anwendung“ → „Cookies“.
Wenn HubSpot aktiv ist und dein Cookie-Banner es nicht blockiert, siehst du bereits vor jeder Zustimmung folgende Cookies:
__hstchubspotutk__hssc__hssrc
Sind diese Cookies schon da, bevor du auf „Zustimmen“ geklickt hast, blockiert dein Cookie-Banner das HubSpot-Tracking nicht korrekt.
Zusätzlich kannst du prüfen, ob deine Website Verbindungen zu folgenden Domains aufbaut – das siehst du in den Browser-Entwickler-Tools unter „Netzwerk“ (Taste F12):
hubspot.comhubapi.comhs-scripts.comhs-analytics.nethscollectedforms.nethsforms.comhsforms.neths-banner.comhsadspixel.nethubspotusercontent.com
Tauchen diese Verbindungen vor deiner Zustimmung auf, ist dein Cookie-Banner nicht korrekt konfiguriert. Für eine vollständige Prüfung aller Datenschutzprobleme auf deiner Website – nicht nur HubSpot – empfiehlt sich ein automatischer Datenschutz-Scan.
