von Dr. Ronald Kandelhard, Rechtsanwalt und Mediator, Fachanwalt für Handels- und Gesellschaftsrecht.
HubSpot ist derzeit in aller Munde. Ein (zunächst) kostenloses Customer Relation Management System, das Landing Pages, Blogs, Newsletter, Kontakte, Tracking und Customer Service in einer Hand vereint. Aber wie sieht es mit der HubSpot Datenschutzerklärung für Dich aus? Kannst Du ein so mächtiges Marketing-Tool verwenden und was muss dann in der HubSpot Datenschutzerklärung auf Deiner Website stehen?
Inhalt
- 1. HubSpot: Der Vieles-Könner
- 2. DSGVO kann eingehalten werden
- 3. Auftragsverarbeitungsvertrag notwendig
- 4. HubSpot: Datenschutzerklärung notwendig
- 5. Datenschutzeinstellungen vornehmen
- 6. HubSpot: Datenschutzerklärung Inhalt
- 7. Opt Out
- Ergebnis
1. HubSpot: Der Vieles-Könner
Immer wieder werde ich derzeit auf HubSpot angesprochen. Ich nutze es selbst nicht, muss mich also auf das verlassen, was ich sehen und hören kann. Danach lässt sich aber schnell feststellen, dass HubSpot viele Werkzeuge vereint. Es ist ein CRM mit – wie HubSpot es nennt – drei Hubs: Marketing Hub, Sales Hub und Service Hub. Die wesentlichen digitalen Schnittstellen eines Internet-Unternehmens kannst Du mit HubSpot errichten.
2. HubSpot: DSGVO kann eingehalten werden
HubSpot ist initial ein Unternehmen aus den USA. In die USA darfst Du nach dem EU-Datenschutzrecht personenbezogene Daten nur exportieren, wenn das Unternehmen in den USA sich bei dem privacy shield framework registriert hat. Sonst ist ein gleichwertiger Datenschutz in den USA nicht gegeben (die anderen Möglichkeiten bleiben hier mal außen vor, in der Praxis sind sie für kleine Unternehmen jedenfalls selten).
HubSpot ist jedoch bei privacy shield registriert. Zudem liegt aber auch kein Export der Daten in die USA vor, da HubSpot wie auch Google, Facebook und andere großen US-IT-Unternehmen eine Niederlassung in Irland hat. Diese Niederlassung ist nach der HubSpot Datenschutzerklärung Datenverarbeiter nach der DSGVO für HubSpot. So oder so, eine Weitergabe von personenbezogenen Daten an HubSpot ist möglich, wenn Du bestimmte Voraussetzungen einhältst.
3. HubSpot: Auftragsverarbeitungsvertrag notwendig
Speichern dritte Unternehmen in Deinem Auftrag personenbezogene Daten Deines Unternehmens, darfst Du die Daten nur an den Dritten weitergeben, wenn Du mit diesem einen Auftragsverarbeitungsvertrag abschließt (genauer habe ich den Auftragsverarbeitungsvertrag hier erläutert). HubSpot bietet einen Auftragsverarbeitungsvertrag DSGVO-konform an. Diesen musst Du mit HubSpot abschließen, danach kannst Du im Grundsatz Daten an HubSpot übertragen. Abschließen kannst Du ihn am Anfang des soeben verlinkten Dokuments, dort kannst Du eine unterschriebene Version anfordern. Es reicht aber auch aus, wenn der Auftragsverarbeitungsvertrag online abgeschlossen wird. Da wird es sicher eine Funktion in der Mitgliederverwaltung geben, die Dir erlaubt, den AVV zu akzeptieren und zu speichern.
4. HubSpot: Datenschutzerklärung notwendig
Um HubSpot nutzen zu können, musst Du HubSpot und die Weitergabe der personenbezogenen Deiner Kunden an diese in Deine Datenschutzerklärung aufnehmen. Das wird nicht ganz einfach, da HubSpot viele Funktionen hat, die in die Datenschutzerklärung aufgenommen werden müssen.
5. HubSpot: Datenschutzeinstellungen vornehmen
Als amerikanischer Anbieter hat HubSpot viele Funktionen, die nicht ohne weiteres DSGVO konform sind. Du musst daher HubSpot auch so einstellen, dass jeweils eine DSGVO konforme Nutzung möglich ist.
HubSpot selbst bietet einen Schalter an, mit dem Du diverse DSGVO-konforme Einstellungen in HubSpot aktivieren kannst. Nach HubSpot wird dann folgendes frei geschaltet:
- Es wird ein Cookie-Banner aktiviertDie Funktion für eine DSGVO-konforme Löschung wird in Kontaktdatensätzen angezeigt.
- Die Formulare werden DSGVO-konform.
- In den Mails findet sich jetzt immer ein Abmeldelink.
- In den Chats wird zunächst eine Einwilligung des Nutzers abgefragt.
- Neue Meetings-Links enthalten einen Hinweis auf die Einwilligung.
- Du wirst bei der Neuanlage gelöschter Nutzer gewarnt.
- Es wird auf Kontakte hingewiesen, die nicht den Double Opt In absolviert haben.
- Benachrichtigungen werden gelöscht, wenn der Nutzer die Löschung seiner personenbezogenen Daten verlangt hat und Du ihn daraufhin gelöscht hast.
Damit sind grundlegende Voraussetzungen geschaffen, die für den DSGVO-konformen Betrieb einer HubSpot Website erforderlich sind. Im einzelnen erklärt HubSpot die erforderlichen internen Einstellungen, die Du bei HubSpot vornehmen musst, sehr genau hier.
6. HubSpot: Datenschutzerklärung Inhalt
Anschließend musst Du dann die Datenschutzerklärung erstellen. Hier musst Du alle Funktionen von HubSpot berücksichtigen. Es müssen also die Nutzung von HubSpot als Hoster und als CRM, die Kontaktformulare, die Newsletter-Funktion, das Tracking und den Chat beschreiben, soweit Du die entsprechende Funktion verwendest. Besonders einfach geht das mit dem Komplett Schutz von easyRechtssicher
Denn ab sofort haben wir HubSpot in unserem Datenschutz-Generator integriert, so dass Du mit wenigen Klicks Deine Datenschutzerklärung für Hubspot erstellen kannst. Mit unserer Automation – sei es durch eines unserer Plugins oder die Automations-Datei – wird Deine Datenschutzerklärung dann sogar automatisch rechtlichen Änderungen angepasst.
7. HubSpot: Opt Out
Weiter musst Du noch einen Opt Out Schalter für die Tracking Cookies von HubSpot erstellen und zum Anklicken in Deiner Datenschutzerklärung bereit halten. Hier hat HubSpot diese Funktion beschrieben. In der easyRechtssicher-Datenschutzerklärung ist ein Link mit dieser Funktion bereits enthalten. Du brauchst den HubSopt Opt Out Code also nicht mehr selbst in Deine Datenschutzerklärung einsetzen, auch das nimmt Dir easyRechtssicher ab.
Ergebnis:
HubSpot ist in Bezug auf die Datenverarbeitung transparent wie selten ein US-Unternehmen. Mit den entsprechenden Einstellungen und einer angepassten Datenschutzerklärung kannst Du es DSGVO-konform verwenden. Die sicher einfachste Lösung dafür findest Du mit dem Komplett-Schutz von easyRechtssicher.
Wir wünschen viel Erfolg mit HubSpot.
Eine umfangreiche Darstellung, was Du alles in Deine Datenschutzerklärung aufnehmen musst, findest Du hier.
Dr. Ronald Kandelhard, Rechtsanwalt und Mediator, Fachanwalt für Handels- und Gesellschaftsrecht. Ronald war lange Zeit an der Universität, in der Rechtsberatung von Staaten und als Rechtsanwalt tätig. Jetzt entwickelt er mit seinem Startup Paragraf7 automatisierte Lösungen für rechtliche Probleme von Unternehmen.
Gerade diesen Artikel entdeckt bei der Suche nach einer DSGVO-konformen Nutzung von HubSpot, sehr verständlich geschrieben, vielen Dank 🙂
Ergänzend zu Punkt „7. Opt Out“ habe ich vorhin noch herausgefunden, dass es möglich ist, das HubSpot-Tracking erst per Opt-in zu ermöglichen, indem folgendes JavaScript eingesetzt wird:
https://developers.hubspot.com/docs/methods/tracking_code_api/place_do_not_track_cookie
Wäre das nicht anzuraten?
Freut mich, ja, das ist auf jeden Fall anzuraten, musst Du dann aber in Deinen Cookie Banner einfügen und da lösen. Das Opt Out brauchst Du immer zusätzlich – für alle, die sich erst später austragen wollen.
Hallo, gibt es zu diesem Artikel ein Update, nachdem das Privacy Shield für ungültig erklärt wurde?
Alle Artikel habe ich noch nicht geschafft, aber Hubspot bietet die Standardvertragsklauseln an, was derzeit formal ausreichend ist – näher dazu in dem Beitrag über das privacy shield Urteil.