HubSpot

HubSpot AI: CRM und Marketing-Automatisierung aus den USA – DSGVO-Bewertung für DACH

HubSpot ist eine umfassende CRM- und Marketing-Automatisierungsplattform mit integrierten KI-Funktionen für E-Mail-Marketing, Lead-Management, Content-Erstellung und Sales-Automation. Das Unternehmen HubSpot Inc. hat seinen Hauptsitz in Cambridge, Massachusetts, USA, mit EU-Tochtergesellschaft HubSpot Ireland Limited. Das Tool richtet sich an Wachstumsunternehmen und KMU, die Marketing, Sales und Service in einer Plattform vereinen möchten.

Für wen ist HubSpot geeignet?

Wachstumsunternehmen und Scale-ups profitieren von der tiefen Integration zwischen Marketing, Sales und Service: E-Mail-Kampagnen, Lead-Scoring, Pipeline-Management und Ticket-System greifen nahtlos ineinander. HubSpot AI generiert E-Mail-Texte, Blog-Artikel-Entwürfe und schlägt Content-Themen vor — direkt im bestehenden Workflow ohne Kontextwechsel.

Inbound-Marketing-Teams schätzen HubSpot besonders für die Kombination aus CRM (kostenlos und umfangreich), SEO-Tools, Landing Pages und Marketing-Automation. Die kostenlose CRM-Basis bietet mit unbegrenzten Kontakten einen der funktionsreichsten kostenlosen Pläne am Markt — für viele KMU reicht sie dauerhaft aus.

Nicht geeignet ist HubSpot für die Verarbeitung besonders sensibler Kategorien personenbezogener Daten (Art. 9 DSGVO) ohne explizite Datenschutzfolgenabschätzung, sowie für Unternehmen, die ausschließlich EU-Serverstandorte ohne US-Sub-Prozessoren benötigen.

Preise & Pläne

Stand: 2026-06, jährliche Abrechnung:

• Free CRM: kostenlos — unbegrenzte Kontakte, Deals, Tasks; 5 E-Mail-Vorlagen; Dashboard; begrenzte AI-Features
• Marketing Hub Starter: ab ca. €45/Monat — E-Mail-Marketing, Formulare, Landing Pages, 1.000 Kontakte
• Marketing Hub Professional: ab ca. €792/Monat — Marketing-Automation, A/B-Testing, Blog, 2.000 Kontakte
• Marketing Hub Enterprise: ab ca. €3.200/Monat — Multi-Touch-Attribution, Partitioned Teams, Custom Reporting

Alle Preise in EUR erhältlich; Jahresabrechnung. Marketing Hub Professional ist der Schwellenwert für vollständige Automation.

DSGVO & Datenschutz

Wichtig: Ein hoher DSGVO-Score bedeutet nicht automatisch, dass ein Tool in jeder Kanzlei oder jedem Unternehmen rechtskonform eingesetzt werden kann. Entscheidend sind auch die konkrete Nutzung, ein AVV und die internen Datenschutzprozesse.

Was dokumentiert ist

HubSpot Inc. hat seinen Hauptsitz in Cambridge, Massachusetts, USA; EU-Datenkontroller ist HubSpot Ireland Limited (rechtliche Verantwortung für EU-Datenverarbeitung; Datenkontroller ≠ Datenstandort — Daten müssen dadurch nicht physisch in der EU liegen; laut legal.hubspot.com/privacy-policy, Stand: 2026-06). Ein Data Processing Agreement (DPA) ist öffentlich zugänglich unter legal.hubspot.com/dpa und in den Customer Terms of Service enthalten. HubSpot ist im EU-US Data Privacy Framework (DPF) zertifiziert. Standard Contractual Clauses (SCCs) und ein UK Addendum werden für EEA/UK-Datentransfers eingesetzt. Laut Datenschutzerklärung (legal.hubspot.com/privacy-policy, Stand: 2026-06) können HubSpot AI-Funktionen Kundendaten zur Modell-Verbesserung nutzen, sofern Nutzer dem nicht widersprechen — eine Einschränkungsoption ist dokumentiert. Die genauen Bedingungen sollten vor dem Einsatz im konkreten Plan geprüft werden. Sicherheitsdetails sind über trust.hubspot.com einsehbar.

Was fehlt oder unklar ist

Konkrete Serverstandorte sind in der öffentlichen Datenschutzerklärung nicht spezifiziert — Verweis auf Trust Center. Zum Prüfzeitpunkt konnte keine verbindliche Aussage zur Datenresidenz für Standardkunden getroffen werden: ob Kundendaten in EU- oder US-Regionen gespeichert werden, ist öffentlich nicht dokumentiert. Die vollständige aktuelle Sub-Prozessoren-Liste ist im DPA (Annex 3) enthalten, aber nicht als separate öffentliche Seite leicht auffindbar. Löschfristen nach Vertragsende sind als "reasonable period" beschrieben — ohne präzise Zeitangabe. Spezifische SOC 2/ISO 27001-Zertifizierungen sind über Trust Center bestätigbar, aber nicht direkt in der Datenschutzerklärung ausgewiesen.

HubSpot bietet mit öffentlichem DPA, DPF-Zertifizierung, EU-Tochter als Datenkontroller und umfassendem Trust Center eine der umfangreichsten Datenschutz-Dokumentationen unter US-CRM-Anbietern. Das Cloud-Act-Risiko bleibt durch den US-Mutterkonzern bestehen. Hauptabzüge entstehen durch KI-Training mit Kundendaten als Opt-in-Funktion und vage Löschfristen.

Wie wir bewerten: Wir prüfen Serverstandort, AVV-Verfügbarkeit, KI-Training und US-Datentransfer. Score 1–10, 10 = vollständig DSGVO-freundlich. Die genannten Scores sind Risikoeinschätzungen nach unserer Methodik, keine rechtlichen Gutachten.

DSGVO-Bewertung: 6.5/10 — Hauptabzüge entstehen durch Cloud-Act-Exposition, KI-Training mit Kundendaten und vage Löschfristen trotz öffentlichem DPA und DPF.

Alternativen

Salesforce – US-amerikanisches Enterprise-CRM, Marktführer im CRM-Segment. Vorteil: mächtigstes CRM mit tiefstem Ökosystem; Nachteil: deutlich komplexer, teurer, ähnliche Cloud-Act-Lage.

Pipedrive – Estnisches CRM (EU-Sitz), auf Sales-Pipeline spezialisiert, ab ca. €14/Monat. Vorteil: EU-Firmensitz, sehr einfache Bedienung, günstigerer Einstieg; Nachteil: deutlich schwächer in Marketing-Automation.

Zoho CRM – Indisches Unternehmen, umfangreiches CRM-Paket, ab ca. €14/Monat. Vorteil: günstiger, starker Funktionsumfang, EU-Datenzentren verfügbar; Nachteil: UI weniger poliert, DSGVO-Dokumentation weniger strukturiert als HubSpot.

GetResponse – Polnisches E-Mail-Marketing-Tool (EU-Sitz), AVV self-service. Vorteil: EU-Firmensitz, günstig; Nachteil: kein vollwertiges CRM.

Fazit & Empfehlung

HubSpot ist für Wachstumsunternehmen, die eine vollständige CRM- und Marketing-Plattform suchen, eine der etabliertesten und funktionsreichsten All-in-One-Plattformen. Der kostenlose CRM-Plan bietet einen der besten Einstiege — ohne Zeitlimit oder Kreditkarte.

Aus DSGVO-Sicht ist HubSpot für allgemeine Marketing- und Sales-Workflows mit normalen Kundendaten vertretbar bei abgeschlossenem DPA. Für besonders schützenswerte Datenkategorien (Art. 9 DSGVO) oder EU-only-Serveranforderungen empfehlen wir GetResponse oder Brevo als DSGVO-freundlichere Alternativen.

Tarife und Datenschutzbedingungen können sich kurzfristig ändern — vor dem Einsatz aktuelle Bedingungen prüfen.