HubSpot vs. Salesforce: Sicherheit & DSGVO im Vergleich

Wenn IT-Leiter ein CRM evaluieren, stellen sie andere Fragen als Vertrieb oder Marketing. Wie sind die Daten gesichert? Wo werden sie gespeichert? Gibt es einen Penetrationstest? Was passiert mit unseren Kundendaten, wenn wir KI-Funktionen aktivieren?

Diese Fragen landen früher oder später in jedem RFP-Prozess. Und sie sind berechtigt: Ein CRM ist kein Nischenprodukt mehr – es ist Kernsystem für Kundendaten, Vertriebsprozesse und oft auch für Marketing-Automation.

Dieser Artikel beleuchtet HubSpot aus IT-Perspektive: Sicherheitsnachweise, Datenspeicherort, SSO-Konfiguration, Zugriffsrechte, Audit-Log und KI-Datenschutz. Nicht als Marketing-Material, sondern als strukturierte Entscheidungsgrundlage für den Evaluierungsprozess.

Sicherheitsnachweise: Was haben beide Anbieter vorzuweisen?

Für IT-Leiter und Einkaufsabteilungen sind Sicherheitszertifizierungen der erste Anhaltspunkt. Sie zeigen, ob ein Anbieter seine Sicherheitsmaßnahmen unabhängig prüfen lässt.

HubSpot stellt einen SOC 2 Typ II Bericht bereit – einen der angesehensten Standards für SaaS-Sicherheit. Dieser Bericht dokumentiert unabhängig geprüfte Kontrollen in den Bereichen Sicherheit, Verfügbarkeit und Vertraulichkeit von Kundendaten. Zusätzlich gibt es einen öffentlich zugänglichen SOC 3 Bericht. Die zugrundeliegende Infrastruktur läuft auf AWS, das seinerseits ISO 27001-zertifiziert ist. Relevante Zertifizierungen und Berichte können direkt im HubSpot Trust Center abgerufen werden.

Für Ausschreibungen, die über SOC 2 hinausgehende Zertifizierungen erfordern, zum Beispiel ISO 27001 oder branchenspezifische Nachweise, sollten diese Anforderungen im RFP explizit benannt und beim jeweiligen Anbieter direkt angefragt werden. Aktuelle Dokumentationen beider Anbieter sind auf deren Compliance-Portalen öffentlich zugänglich.

Fazit: HubSpot bietet mit SOC 2 Typ II den für die meisten deutschen Mittelstandsunternehmen relevanten Nachweis. Welche Zertifizierungen für Ihre spezifischen Compliance-Anforderungen erforderlich sind, sollte im RFP-Prozess frühzeitig mit der Compliance-Abteilung abgestimmt werden. Aktuelle Dokumentation stellt HubSpot über das Trust Center bereit.

Kostenlose CRM-Software

Kostenlose Funktionen, die Ihnen sicher gefallen werden:

• Meetingplaner
• E-Mail-Vorlagen-Designer
• Live-Chat-Software
• KI-gestützter-E-Mail-Generator

Jetzt loslegen

Datenspeicherort und Data Residency: Wo liegen die Daten?

Für deutsche Unternehmen ist die Frage nach dem Datenspeicherort zentral – nicht nur aus DSGVO-Sicht, sondern auch wegen interner Compliance-Anforderungen und Betriebsvereinbarungen.

HubSpot betreibt ein EU-Rechenzentrum in Frankfurt am Main auf AWS-Infrastruktur. Europäische Kunden können ihre CRM-Daten, Deals, Marketing-Assets und Aktivitätsprotokolle dort speichern. Die Daten werden ausschließlich innerhalb der EU repliziert. Neue Kunden wählen den Speicherort bei der Einrichtung; bestehende Kunden können migrieren.

Fazit: EU Data Residency mit deutschem Rechenzentrumsstandort ist für HubSpot verfügbar. Die Konfiguration ist nicht automatisch aktiv – sie muss bei der Kontoeinrichtung oder durch eine Migration bewusst gewählt werden. Lassen Sie sich den konfigurierten Speicherort schriftlich bestätigen.

DSGVO und AVV: Wie ist die vertragliche Grundlage?

Bevor ein CRM in Betrieb geht, muss ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abgeschlossen sein. HubSpot ermöglicht das digital.

HubSpot stellt einen standardisierten AVV bereit, der über das Portal abgerufen und unterzeichnet werden kann. Er umfasst die EU-Standardvertragsklauseln (SCC) und eine Transfer-Folgenabschätzung (TIA). Der Prozess erfordert keine individuelle Verhandlung.

Fazit: Der AVV-Prozess ist standardisiert, ohne Verhandlungsnotwendigkeit, und SCC-Abdeckung ist inklusive. Der AVV kann direkt unter legal.hubspot.com/dpa abgerufen werden.

SSO und Identity Management: Wie integriert sich das CRM in die IT-Infrastruktur?

Single Sign-On ist für IT-Abteilungen kein Nice-to-have, sondern Standard. Kein separates Passwortmanagement, zentralisierte Zugriffskontrolle, automatisches Deprovisioning beim Austritt.

HubSpot unterstützt SSO über SAML 2.0 und ist kompatibel mit Okta, Microsoft Entra ID (früher Azure AD), OneLogin, Google Workspace und ADFS. SSO ist in den Tarifen Professional und Enterprise verfügbar. Administratoren können SSO verpflichtend machen oder einzelne Nutzerinnen und Nutzer (z. B. externe Partner) ausnehmen. Die Konfiguration erfolgt durch IT-Administratoren über die Kontoeinstellungen und ist in der Regel in wenigen Stunden abgeschlossen.

Fazit: HubSpot unterstützt SAML 2.0-basiertes SSO mit geringem Konfigurationsaufwand und ist mit allen gängigen Identity Providern kompatibel. Für Teams ohne dedizierten Administrator ist das ein relevanter Vorteil im Implementierungsprozess.

Rollen, Berechtigungen und Datensichtbarkeit

Wer darf was sehen? Diese Frage ist im Mittelstand oft komplexer als sie klingt: Außendienstmitarbeiterinnen und Außendienstmitarbeiter sollen nur ihre eigenen Deals sehen, Führungskräfte alle Deals ihrer Region, und die IT hat Administratorzugriff ohne Datenzugriff.

HubSpot bietet in den Tarifen Professional und Enterprise ein granulares RBAC-System. Administratoren können Zugriffsrechte auf Objekt-, Datensatz- und Feldebene konfigurieren – mit Teamhierarchien und abteilungsspezifischer Datensichtbarkeit in Enterprise. Feldbezogene Berechtigungen für besonders sensible Daten sind ebenfalls möglich.

Fazit: HubSpot deckt mit seinem RBAC-System die Berechtigungsanforderungen der meisten mittelständischen Unternehmen ab. Für sehr spezifische Sharing-Logiken empfiehlt sich eine detaillierte Prüfung der Enterprise-Funktionen im Rahmen einer Pilotphase oder eines Proof of Concept.

Audit-Log und Aktivitätsprotokoll

Für Compliance-Abteilungen und Betriebsräte ist die Frage nach Protokollierung wichtig: Wer hat wann welche Daten geändert oder abgerufen?

HubSpot bietet in bestimmten Tarifen ein Security Activity Log, das An- und Abmeldungen, Berechtigungsänderungen und Kontoeinstellungsänderungen dokumentiert. Das Log kann eingesehen und exportiert werden. Der genaue Umfang der protokollierten Ereignisse ist tarifabhängig.

Fazit: Für Standardanforderungen im Mittelstand reicht HubSpots nativer Audit-Log in der Regel aus. Bei sehr umfangreichen Audit-Anforderungen, etwa in stark regulierten Branchen, sollte der konkrete Protokollierungsumfang im RFP-Prozess geprüft und mit den eigenen Compliance-Anforderungen abgeglichen werden.

KI-gestützte Funktionen und Datenschutz

KI-Funktionen sind in modernen CRM-Systemen Standard. Für IT-Abteilungen und Datenschutzbeauftragte stellt sich dabei eine zentrale Frage: Was passiert mit unseren Kundendaten?

HubSpot setzt KI-gestützte Funktionen ein, die auf Portaldaten zugreifen. HubSpot veröffentlicht AI Model Cards, die Anwendungsfall und Funktion der eingesetzten Modelle dokumentieren. Informationen zur Datenverarbeitung finden sich im Trust Center und in den Produktnutzungsbedingungen. Laut eigenen Angaben werden Kundendaten nicht für das Training externer KI-Modelle genutzt. Einzelne KI-Funktionen können von Administratoren auf Portal-Ebene gesteuert werden. Für den DSGVO-konformen Einsatz empfiehlt sich vor der Aktivierung neuer KI-Funktionen eine Prüfung – bei regulierten Branchen gegebenenfalls einschließlich einer Datenschutzfolgenabschätzung (DSFA) gemäß Art. 35 DSGVO.

Fazit: HubSpot bietet mit AI Model Cards und DSGVO-konformer Konfigurierbarkeit eine nachvollziehbare Grundlage für den datenschutzkonformen KI-Einsatz. Für Unternehmen in regulierten Branchen oder mit hohem KI-Einsatz lohnt sich ein genauer Blick auf die Produktbedingungen sowie gegebenenfalls eine DSFA.

Vergleichsübersicht

Die folgende Tabelle fasst die wichtigsten Kriterien für IT-Leiter zusammen. Alle Angaben basieren auf öffentlich zugänglichen Informationen von HubSpot und weiteren Anbietern zum Zeitpunkt der Erstellung.

Hinweis: Zertifizierungen und Produktfunktionen können sich ändern. Bitte aktuelle Nachweise direkt bei HubSpot anfragen und eigenständig prüfen.

Was bedeutet das für Ihre CRM-Evaluierung?

HubSpot ist für den Enterprise-Einsatz in Deutschland geeignet und erfüllt die Grundanforderungen an DSGVO-Compliance, EU Data Residency und SSO-Integration.

Für Unternehmen, die schnell implementieren möchten, kein großes IT-Administrationsteam haben und ihre Compliance-Anforderungen mit SOC 2 Typ II und AVV abdecken können, bietet HubSpot eine solide und konfigurationsarme Grundlage. Die geringere Konfigurationskomplexität ist besonders für Teams relevant, die ihr CRM ohne dedizierten Administrator betreiben wollen.

Unternehmen in stark regulierten Branchen mit spezifischen Zertifizierungspflichten sollten ihre konkreten Anforderungen frühzeitig mit der Compliance-Abteilung abstimmen und im RFP explizit benennen. HubSpot bietet für diesen Prozess strukturierte Sicherheitsdokumentation über das Trust Center an, einschließlich SOC 2-Berichte, Subprocessor-Listen und den AVV.

Die IT-Abteilung sollte in die Evaluierung eingebunden sein – idealerweise vor dem RFP, nicht erst danach.

Dieser Beitrag enthält allgemeine Informationen auf Basis öffentlich verfügbarer Angaben der jeweiligen Anbieter und stellt keine Rechts- oder Compliance-Beratung dar. Produktfunktionen, Zertifizierungen und Vertragsbedingungen können sich ändern. Bitte aktuelle Informationen direkt bei den jeweiligen Anbietern einholen und eigenständig prüfen.

Weiterführende Ressourcen:

• HubSpot Trust Center
• HubSpot für IT-Leiter: Sicherheit, Datenschutz und Compliance
• HubSpot Datenverarbeitungsvereinbarung

Kostenlose CRM-Software

Kostenlose Funktionen, die Ihnen sicher gefallen werden:

• Meetingplaner
• E-Mail-Vorlagen-Designer
• Live-Chat-Software
• KI-gestützter-E-Mail-Generator

Jetzt loslegen

FAQ: Meistgestellte Fragen zu HubSpot-Sicherheit und DSGVO