HubSpot
CRM und Marketing · hubspot.com · zuletzt gelesen 2026-11-09
Produkte, die HubSpot als eigene nennt: Marketing Hub, Sales Hub, Service Hub, Content Hub, Data Hub, Revenue Hub, Agent Hub Quelle und Datum
Auf einen Blick
- Ist HubSpot DSGVO-konform?
- Kein Werkzeug ist für sich allein DSGVO-konform: Es kommt darauf an, was Sie damit verarbeiten und wie. Hier steht, was HubSpot selbst veröffentlicht, jede Antwort mit Quelle und Abrufdatum.
- Hat HubSpot einen Auftragsverarbeitungsvertrag (AVV)?
- Ja. HubSpot veröffentlicht einen Auftragsverarbeitungsvertrag auf legal.hubspot.com. Neue Unterauftragsverarbeiter werden 30 Tage vorher angekündigt. Der Vertrag sagt zu, Sie innerhalb von 72 Stunden über eine Datenschutzverletzung zu informieren. Quelle und Datum
- Welche Fassung des AVV von HubSpot ist aktuell?
- Am 2026-11-09 stand im AVV von HubSpot auf legal.hubspot.com: „Stand: 16. September 2026“. Quelle und Datum
- Wie übermittelt HubSpot personenbezogene Daten aus der EU?
- Der Vertrag von HubSpot stützt sich auf die EU-Standardvertragsklauseln, das EU-US Data Privacy Framework und das britische Übermittlungs-Addendum. HubSpot, Inc. steht auf der offiziellen Data Privacy Framework List (Status: Active). Quelle und Datum
- Wo speichert HubSpot die Daten von EU-Kunden?
- Ein EU-Standort existiert, setzt aber einen kostenpflichtigen Tarif oder ein Add-on voraus. Tarif: Starter, Professional or Enterprise. Quelle und Datum
- Welche Unterauftragsverarbeiter setzt HubSpot ein?
- HubSpot nennt 20 externe Unterauftragsverarbeiter; 20 davon geben mindestens ein Verarbeitungsland außerhalb des EWR an. Zuletzt gelesen am 2026-10-05. Quelle und Datum
- Wie meldet man HubSpot eine Sicherheitslücke?
- HubSpot veröffentlicht eine security.txt auf www.hubspot.com mit dem Kontakt [email protected]. Die Datei erfüllt RFC 9116 nicht vollständig; Einzelheiten in der Tabelle. Quelle und Datum
Vertragspartner und Eigentümer
| Vertragspartner | HubSpot, Inc. |
|---|---|
| Sitz | US |
| Muttergesellschaft | — |
| Oberste Eigentümerschaft (Land) | — |
| Vertragspartner für die EU | HubSpot Ireland Limited (und 4 weitere EU-Gesellschaften, je nach Land) |
| LEI | 529900BLNVEW0MVKJB37 |
| Reichweite des US CLOUD Act | Vertragspartner ist eine US-Gesellschaft |
| Quelle | legal.hubspot.com · 2026-10-08 |
Vertragspartner laut den eigenen Bedingungen des Anbieters. LEI, Registerland und Muttergesellschaft aus dem Global LEI Index (GLEIF); wo GLEIF keine Muttergesellschaft nennt, bleibt die Eigentümerschaft leer. Die CLOUD-Act-Zeile leitet sich allein aus diesen Ländern ab und ist keine Risikobewertung.
Datenstandort
| Region | EU-Datenstandort | Mindesttarif | Quelle | Gelesen am |
|---|---|---|---|---|
| EU | Gegen Aufpreis | Starter, Professional or Enterprise | knowledge.hubspot.com | 2026-09-18 |
EU: EU hosting is AWS in Germany. Page states accounts with a Starter, Professional or Enterprise subscription can change data centre, and accounts on free tools must upgrade to do so. HubSpot also states support staff outside the region may access data during security incidents, and that apps and sub-processors may move data outside the hosting location.
Dieselbe Frage für jeden Anbieter: wo SaaS-Anbieter EU-Daten speichern.
Die Liste der Unterauftragsverarbeiter von HubSpot nennt AWS und Google für Hosting oder Infrastruktur. Welche SaaS-Anbieter auf welcher Cloud laufen, und die souveränen Angebote der Clouds (auf Englisch): Sovereign clouds.
Unterauftragsverarbeiter
20 Drittanbieter · 15 eigene Konzerngesellschaften · 20 mit einem Land außerhalb des EWR · alle gelesen am 2026-10-05
| Unterauftragsverarbeiter | Land | Bei EU-Hosting | Zweck |
|---|---|---|---|
| Ably Realtime Ltd. | US, IE, DE, AU, CA | IE, DE | Conversation & Chat Functionality |
| Amazon Web Services, Inc. | US, EU | EU | AI Service Provider |
| Amazon Web Services, Inc. | US, DE, AU, CA | DE | Hosting & Infrastructure |
| Baseten Labs, Inc. | US, EU | EU | AI Service Provider |
| Bright Data Ltd. | US | US | Web Search Results |
| Cloudflare, Inc. | US | — | Content Delivery Network |
| ConvertAPI, UAB | US, NL, DE, AU, CA | NL, DE | File Functionality |
| Dropbox, Inc. | US, DE | DE | E-Signature Functionality |
| Exa Labs, Inc. | US | US | Web Search Results |
| Google LLC | US, EU | EU | AI Service Provider |
| Google LLC | US, DE | DE | Infrastructure - Regional Data Processing |
| Google LLC | US | US | reCAPTCHA |
| Hyperdoc, Inc. | US, DE | DE | Meeting recordings and transcripts |
| Litmus Software, Inc. | US | US | Email Functionality |
| Meta Platforms, Inc. | US | US | Conversation Functionality |
| Mux, Inc. | US | US | Video Functionality |
| OpenAI, L.L.C. | US, EU, CH | EU, CH | AI Service Provider |
| Snowflake Inc. | US, DE, AU, CA | DE | Infrastructure |
| Stripe, Inc. | US | — | Payment Processor; Support Revenue Hub products and services |
| Twilio Inc. | US | — | Calling and SMS Functionality; Support HubSpot calling and SMS functionality |
Eigene Konzerngesellschaften von HubSpot, die als Unterauftragsverarbeiter geführt werden (15)
| Gesellschaft | Land | Zweck |
|---|---|---|
| HubSpot Asia Pte. Ltd. | SG | Services & Support |
| HubSpot Australia Pty. Ltd. | AU | Services & Support |
| HubSpot Belgium NV | BE | Services & Support |
| HubSpot Canada Inc. | CA | Services & Support |
| HubSpot France S.A.S. | FR | Services & Support |
| HubSpot Germany GmbH | DE | Services & Support |
| HubSpot India Private Limited | IN | Services & Support |
| HubSpot Ireland Ltd | IE | Services & Support |
| HubSpot Japan KK | JP | Services & Support |
| HubSpot Latin America, S.A.S. | CO | Services & Support |
| HubSpot Netherlands B.V. | NL | Services & Support |
| HubSpot Spain, S.L. | ES | Services & Support |
| HubSpot Sweden | SE | Services & Support |
| HubSpot UK Holdings Ltd. | GB | Services & Support |
| HubSpot, Inc. | US | Services & Support |
Die Zahl außerhalb des EWR ist eine reine Auszählung der Länderspalte, keine rechtliche Bewertung. Eine Übermittlung außerhalb des EWR kann vollkommen rechtmäßig sein; ob sie es ist, hängt von Ihrer Nutzung ab, nicht vom Anbieter.
Alle Unterauftragsverarbeiter im Register, und welche Anbieter sie nennen (auf Englisch): Subprocessors.
Auftragsverarbeitungsvertrag (AVV)
Aus der deutschen Fassung des Auftragsverarbeitungsvertrags · gelesen am 2026-10-19 · legal.hubspot.com
| Regelung | Was der Vertrag sagt |
|---|---|
| Übermittlungsgrundlage | EU-US Data Privacy Framework |
| Übermittlungsgrundlage | SCC Modul 1 (Verantwortlicher an Verantwortlichen) |
| Übermittlungsgrundlage | SCC Modul 2 (Verantwortlicher an Auftragsverarbeiter) |
| Übermittlungsgrundlage | SCC Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter) |
| Übermittlungsgrundlage | Schweizer Klauseln (DSG) |
| Übermittlungsgrundlage | UK-Nachtrag (UK Addendum) |
| Ankündigung neuer Unterauftragsverarbeiter | mindestens 30 Tage vor einer Änderung per E-Mail an Abonnenten der Benachrichtigungen (Formular unter https://legal.hubspot.com/subscribe-subprocessor-updates) |
| Widerspruchsrecht | Widerspruch binnen 30 Tagen nach Mitteilung aus angemessenen Gründen; Besprechung in gutem Glauben; andernfalls nach Ermessen des Anbieters keine Beauftragung oder Aussetzung/Kündigung des betroffenen Abonnementdienstes ohne Haftung |
| Meldung von Datenschutzverletzungen | Benachrichtigung in Übereinstimmung mit den Bestimmungen des Vertrags |
| Meldung von Datenschutzverletzungen | unverzüglich, spätestens jedoch nach 72 Stunden |
| Kontroll- und Auditrechte | Auditrechte (inkl. Klausel 8.9 SCC) werden ausgeübt, indem der Kunde HubSpot auffordert, die Maßnahmen im Abschnitt „Nachweis der Einhaltung“ zu erfüllen |
| Kontroll- und Auditrechte | Audits durch Sie oder Ihren Prüfer, wenn nach geltendem Recht erforderlich; SOC-2-Bericht und zusammenfassende Kopie der Penetrationstestberichte auf Nachfrage (vertraulich); schriftliche Informationsanfragen nicht öfter als einmal pro Kalenderjahr, außer bei begründetem Verdacht |
| Kontroll- und Auditrechte | CCPA-Prüfungen: Recht, angemessene und geeignete Schritte zu unternehmen, um sicherzustellen, dass personenbezogene Daten aus Kalifornien CCPA-konform verwendet werden |
| Kontroll- und Auditrechte | Mehrere Auditanfragen des Kunden und seiner zulässigen verbundenen Unternehmen sind in einem einzigen Audit zusammenzufassen, um negative Auswirkungen auf den Betrieb von HubSpot einzuschränken |
Regelungen so, wie der Vertrag sie formuliert. Wo er zu einem Punkt schweigt, gibt es keine Zeile – das heißt nicht, dass der Anbieter ihn nicht anbietet.
Welche Fassung gilt
Am 2026-11-09 stand im Vertrag: Stand: 16. September 2026
auf legal.hubspot.com
Zuletzt aktualisiert 2026-09-16
Diese Fassung ist seit dem 2026-10-09 in unseren Kopien.
Diese Regelungen für alle Anbieter nebeneinander (auf Englisch): Data processing agreements compared. Was Anbieter für ein Transfer Impact Assessment bereitstellen: Transfer impact assessments.
Zertifizierungen und Testate
| Standard | Status | Geltungsbereich | Quelle | Gelesen am |
|---|---|---|---|---|
| CIS Critical Security Controls | Nur behauptet | HubSpot's security program | legal.hubspot.com | 2026-10-05 |
| OWASP Top 10 | Nur behauptet | HubSpot's security program | legal.hubspot.com | 2026-10-05 |
| SOC 2 Type 2 · SOC2T2 | Auf Anfrage | — | legal.hubspot.com | 2026-10-05 |
| SOC3 | Nur behauptet | — | legal.hubspot.com | 2026-10-05 |
Nur behauptet heißt: Der Anbieter nennt den Standard auf seiner Seite, legt aber nichts weiter vor. Auf Anfrage heißt: Bericht oder Zertifikat existieren, liegen aber hinter einer Anfrage, einem Login oder einer NDA. In beiden Fällen haben wir kein Zertifikat gesehen. Diese Unterscheidung trifft jeder Prüfer – also treffen wir sie auch.
C5, SecNumCloud, ENS und HDS für jeden Anbieter: Zertifizierungen im Vergleich.
Amtliche Register
| Register | Angebot, wie das Register es nennt | Status | Stufe | Gültig bis | Gelesen am |
|---|---|---|---|---|---|
| Data Privacy Framework List (USA) | EU-U.S. Data Privacy Framework · HubSpot, Inc. | Active | non-HR data | 2026-11-06 | 2026-10-05 |
| Data Privacy Framework List (USA) | Swiss-U.S. Data Privacy Framework · HubSpot, Inc. | Active | non-HR data | 2026-11-06 | 2026-10-05 |
| Data Privacy Framework List (USA) | UK Extension to the EU-U.S. DPF · HubSpot, Inc. | Active | non-HR data | 2026-11-06 | 2026-10-05 |
| EU Cloud Code of Conduct (DSGVO Art. 40) | HubSpot (hubspot.com) · HubSpot | adherent | Level 2 | 2027-06-24 | 2026-10-09 |
| Globaler LEI-Index (GLEIF) | HubSpot Germany GmbH · HubSpot Germany GmbH | LAPSED | DE | 2025-01-12 | 2026-10-08 |
| Globaler LEI-Index (GLEIF) | HUBSPOT IRELAND LIMITED · HUBSPOT IRELAND LIMITED | ISSUED | IE | 2027-03-12 | 2026-10-08 |
| Globaler LEI-Index (GLEIF) | HUBSPOT, INC. · HUBSPOT, INC. | ISSUED | US-DE | 2027-03-12 | 2026-10-08 |
- ACN-qualifizierte Cloud (Italien): geprüft am 2026-11-02, kein Eintrag gesucht unter HubSpot; HubSpot Ireland Limited; HubSpot Ireland Ltd; HubSpot, Inc.
- ISO 27001 auf der Basis von IT-Grundschutz (BSI): geprüft am 2026-11-09, kein Eintrag gesucht unter HubSpot; HubSpot Ireland Limited; HubSpot Ireland Ltd; HubSpot, Inc.
- CISPE Data Protection Code of Conduct (DSGVO Art. 40): geprüft am 2026-11-09, kein Eintrag gesucht unter HubSpot; HubSpot Ireland Limited; HubSpot Ireland Ltd; HubSpot, Inc.
- Kritische IKT-Drittdienstleister nach DORA (ESAs): geprüft am 2026-10-26, kein Eintrag gesucht unter HubSpot; HubSpot Ireland Limited; HubSpot Ireland Ltd; HubSpot, Inc.
- Data Privacy Framework List (USA): geprüft am 2026-11-02, 3 Einträge gesucht unter HubSpot; HubSpot Ireland Limited; HubSpot Ireland Ltd; HubSpot, Inc.
- ENS-Konformitätszertifikate (CCN, Spanien): geprüft am 2026-11-02, kein Eintrag gesucht unter HubSpot; HubSpot Ireland Limited; HubSpot Ireland Ltd; HubSpot, Inc.
- EU Cloud Code of Conduct (DSGVO Art. 40): geprüft am 2026-11-02, 1 Eintrag gesucht unter HubSpot; HubSpot Ireland Limited; HubSpot Ireland Ltd; HubSpot, Inc.
- FedRAMP Marketplace (USA): geprüft am 2026-11-02, kein Eintrag gesucht unter HubSpot; HubSpot Ireland Limited; HubSpot Ireland Ltd; HubSpot, Inc.
- Unterzeichner des GPAI-Verhaltenskodex (Europäische Kommission): geprüft am 2026-11-09, kein Eintrag gesucht unter HubSpot; HubSpot Ireland Limited; HubSpot Ireland Ltd; HubSpot, Inc.
- SecNumCloud-qualifizierte Dienste (ANSSI, Frankreich): geprüft am 2026-11-02, kein Eintrag gesucht unter HubSpot; HubSpot Ireland Limited; HubSpot Ireland Ltd; HubSpot, Inc.
Was die Behörde veröffentlicht, nicht was der Anbieter behauptet. Ein Eintrag gilt nur für das genannte Angebot: Eine FedRAMP-Autorisierung für eine Behördenversion sagt nichts über den kommerziellen Dienst. Kein Eintrag ist kein Befund über die Sicherheit – die meisten Anbieter beantragen nie – und ein Eintrag unter einem hier nicht aufgeführten Namen wäre nicht gefunden worden.
Was ein Eintrag in der Data Privacy Framework List abdeckt, und welche Anbieter einen haben (auf Englisch): EU-US Data Privacy Framework.
Supportzeitraum
| Produkt | Supportzeitraum | Stand | SBOM | Quelle | Gelesen am |
|---|---|---|---|---|---|
| HubSpot (SaaS) | — | Reiner Dienst | unbekannt | hubspot.com | 2026-09-18 |
Meldung von Schwachstellen: [email protected] (security.txt, Expires ist kein Datum: 2034-06-01:00:00.000Z; gelesen 2026-10-17)
Wie andere Anbieter ihre veröffentlichen (auf Englisch): security.txt im Register.
Produkte
- Marketing Hub
- Sales Hub
- Service Hub
- Content Hub
- Data Hub
- Revenue Hub
- Agent Hub
So benannt, wie die eigene Liste von HubSpot sie nennt. Jede Angabe auf dieser Seite stammt aus dem daneben zitierten Dokument; ein hier genanntes Produkt ist nicht unbedingt von jedem dieser Dokumente erfasst. Quelle: hubspot.com, 2026-10-29.
Dokumente
| Dokument | Zugänglichkeit | Erfassung | HTTP | Gelesen am |
|---|---|---|---|---|
| ai | Öffentlich | full | 200 | 2026-10-28 |
| ai-2 | Öffentlich | full | 200 | 2026-10-28 |
| dpa | Öffentlich | full | 200 | 2026-10-09 |
| dpa-de | Öffentlich | full | 200 | 2026-10-19 |
| products | Öffentlich | full | 200 | 2026-10-29 |
| subprocessors | Öffentlich | full | 200 | 2026-09-18 |
| tia | Öffentlich | full | 200 | 2026-10-20 |
Verlauf
| Festgestellt | Was sich geändert hat | Ursache | Quelle |
|---|---|---|---|
| 2026-09-18 | EU-Datenstandort Konditionen nicht genannt → Gegen Aufpreis Mindesttarif gesetzt auf Starter, Professional or Enterprise Hinweis neu formuliert | wir haben eine bessere Quelle gelesen | knowledge.hubspot.com |
Alle geprüften Änderungen im Register, die neuesten zuerst (auf Englisch): Vendor changes.