Ja — Sie brauchen einen AVV für HubSpot. HubSpot verarbeitet personenbezogene Daten Ihrer Kontakte, Kunden und Website-Besucher in Ihrem Auftrag. Nach Art. 28 DSGVO ist ein Auftragsverarbeitungsvertrag (AVV) Pflicht. Ohne AVV ist der Einsatz von HubSpot als CRM rechtswidrig. Dies gilt für alle Module, die personenbezogene Daten verarbeiten, wie Marketing Hub, Sales Hub oder Service Hub. Die Nichtbeachtung kann empfindliche Bußgelder nach sich ziehen, die bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen können.
Zur Gesamtübersicht: AVV Vorlage & Muster: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
HubSpot als Auftragsverarbeiter nach Art. 28 DSGVO
HubSpot speichert und verarbeitet Daten Ihrer Kontakte (Name, E-Mail, Verhalten, Interaktionen) gemäß Ihren Vorgaben im CRM-System. Da HubSpot keine eigene Rechtsgrundlage für diese Verarbeitung hat — Sie sind der Verantwortliche, der Zweck und Mittel bestimmt — ist HubSpot ein klassischer Auftragsverarbeiter nach Art. 28 Abs. 1 DSGVO. Als Verantwortlicher tragen Sie die primäre Verantwortung für die Rechtmäßigkeit der Datenverarbeitung. Der AVV ist das zentrale Instrument, um diese Verantwortung vertraglich auf den Auftragsverarbeiter zu übertragen und dessen Pflichten zu definieren. Ohne einen solchen Vertrag würden Sie als Verantwortlicher für sämtliche Verstöße von HubSpot haften, selbst wenn Sie diese nicht direkt verursacht haben. Ein Urteil des BGH (BGH VI ZR 396/24) bestätigt, dass Verantwortliche auch nach Vertragsende für Datenlecks beim Auftragsverarbeiter haften. Die Kontrollpflichten enden nicht mit dem Vertrag. Dies unterstreicht die Notwendigkeit einer sorgfältigen Auswahl und Überwachung des Auftragsverarbeiters.
Das Hanseatische Oberlandesgericht Hamburg hat in einem Urteil zur Verwendung von US-Cloud-Diensten (Az. 7 U 19/18) klargestellt, dass die Nutzung von SaaS-Diensten aus den USA ohne gültigen Mechanismus für den internationalen Datentransfer rechtswidrig ist. HubSpot hat nach dem Schrems-II-Urteil Standard-Vertragsklauseln (SCC) in seinen DPA integriert. Diese SCCs sind ein wichtiger Baustein für die Rechtmäßigkeit von Datentransfers in Drittländer, die kein angemessenes Datenschutzniveau bieten. Es ist jedoch wichtig zu beachten, dass die SCCs allein nicht ausreichen. Es müssen zusätzliche Schutzmaßnahmen ergriffen werden, um das Datenschutzniveau der DSGVO zu gewährleisten. Dies können technische Maßnahmen wie Verschlüsselung oder Pseudonymisierung sein, aber auch organisatorische Vorkehrungen. Der Europäische Gerichtshof (EuGH C-252/21) hat zudem klargestellt, dass die Einwilligungspflicht nicht durch andere Rechtsgrundlagen umgangen werden kann und die Beweislast beim Verantwortlichen liegt. Dies bedeutet, dass Sie als HubSpot-Nutzer nachweisen müssen, dass die Datenverarbeitung rechtmäßig erfolgt.
AVV-Abgrenzung: HubSpot vs. eigenverantwortliche Verarbeitung
HubSpot ist nicht eigenverantwortlich tätig: Das System führt nur aus, was Sie konfigurieren. Kein Auftragsverarbeitungsvertrag (AVV ) ist hingegen für den Teil erforderlich, wo HubSpot für eigene Geschäftszwecke (z. B. Produktverbesserungen) Daten nutzt — hier ist HubSpot selbst Verantwortlicher. Ein Beispiel hierfür wäre die Nutzung von Nutzungsdaten zur Verbesserung der HubSpot-Software oder zur Erstellung von Analysen für HubSpot selbst. In solchen Fällen agiert HubSpot als eigenständiger Verantwortlicher und muss selbst eine Rechtsgrundlage für diese Verarbeitung haben. Der EuGH (EuGH C-683/21) hat entschieden, dass die Haftung des Verantwortlichen sich nicht auf Fälle erstreckt, in denen der Auftragsverarbeiter Daten für eigene Zwecke verarbeitet hat. Dies verdeutlicht die klare Trennung zwischen Auftragsverarbeitung und eigenverantwortlicher Verarbeitung. Die Abgrenzung ist entscheidend für die korrekte Anwendung der DSGVO und die Vermeidung von Haftungsrisiken. Im Zweifel sollten Sie immer einen AVV abschließen, um auf der sicheren Seite zu sein. Eine sorgfältige Prüfung der Vertragsbedingungen ist unerlässlich.
Ein weiterer wichtiger Aspekt ist die Unterscheidung zur gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO. Gemeinsame Verantwortlichkeit liegt vor, wenn zwei oder mehr Verantwortliche gemeinsam die Zwecke und Mittel der Verarbeitung festlegen. Dies könnte beispielsweise der Fall sein, wenn Sie HubSpot gemeinsam mit einem Partnerunternehmen nutzen und beide Unternehmen über die Verarbeitung entscheiden. In solchen Fällen ist ein Vertrag über die gemeinsame Verantwortlichkeit erforderlich, der die jeweiligen Verantwortlichkeiten und Pflichten klar regelt. Die Abgrenzung zwischen Auftragsverarbeitung und gemeinsamer Verantwortlichkeit kann komplex sein und erfordert eine genaue Analyse des jeweiligen Sachverhalts. Eine falsche Einordnung kann zu erheblichen rechtlichen Problemen führen.
Wie schließen Sie den AVV mit HubSpot ab?
HubSpot stellt einen Data Processing Agreement (DPA) — auf Deutsch Auftragsverarbeitungsvertrag (AVV) — bereit, der die Anforderungen des Art. 28 DSGVO erfüllt. Den Abschluss erledigen Sie im HubSpot-Account unter “Kontoeinstellungen > Datenschutz”. HubSpot hat seinen DPA nach dem Schrems-II-Urteil um Standardvertragsklauseln ergänzt. Es ist ratsam, den DPA sorgfältig zu prüfen und sicherzustellen, dass er alle erforderlichen Punkte enthält. Dazu gehören insbesondere die Beschreibung der Verarbeitungszwecke, die Art der verarbeiteten Daten, die Kategorien der betroffenen Personen, die technischen und organisatorischen Maßnahmen zum Schutz der Daten sowie die Rechte und Pflichten beider Parteien. Achten Sie auch auf die Regelungen zu Unterauftragsverarbeitern und die Möglichkeit von Audits. Der DPA sollte auch Bestimmungen zur Löschung oder Rückgabe der Daten nach Beendigung des Vertrags enthalten. Eine regelmäßige Überprüfung des DPA ist empfehlenswert, da sich die rechtlichen Rahmenbedingungen ändern können. Der DPA ist ein lebendiges Dokument, das bei Bedarf angepasst werden sollte.
Die Implementierung des DPA in Ihrem HubSpot-Account ist ein einfacher Prozess, der jedoch sorgfältig durchgeführt werden muss. Stellen Sie sicher, dass Sie die aktuellen Versionen des DPA akzeptieren und dass alle relevanten Einstellungen in Ihrem HubSpot-Account korrekt vorgenommen wurden. Dokumentieren Sie diesen Vorgang, um im Falle einer Prüfung Nachweise erbringen zu können. Die Einhaltung der DSGVO ist keine einmalige Aufgabe, sondern ein kontinuierlicher Prozess, der ständige Aufmerksamkeit erfordert. Für weitere Informationen zur DSGVO und ihren Anforderungen können Sie die offizielle Website dsgvo-gesetz.de besuchen. Zusätzliche Ressourcen finden Sie auch beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) und auf der EUR-Lex-Website, die den vollständigen Text der DSGVO bereitstellt.
Häufige Fragen
Ist der HubSpot-DPA DSGVO-konform?
HubSpots aktueller DPA (Stand 2024) erfüllt die Pflichtinhalte des Art. 28 Abs. 3 DSGVO und enthält EU-Standardvertragsklauseln für Datentransfers in die USA. Es ist jedoch wichtig, dass Sie als Verantwortlicher zusätzliche Schutzmaßnahmen prüfen und gegebenenfalls implementieren. Für eine vollständige Prüfung: DPA-CHECK von PLANIT PRIMA.
Muss ich HubSpots Unterauftragsverarbeiter kennen?
Sie müssen nicht jeden Unterauftragsverarbeiter namentlich kennen, aber Sie müssen über Änderungen informiert werden und ein Widerspruchsrecht haben (Art. 28 Abs. 2 DSGVO). HubSpot veröffentlicht seine Subprozessor-Liste im Trust Center. Es ist Ihre Pflicht, diese Liste regelmäßig zu überprüfen.
Brauche ich für HubSpot Marketing Hub und Sales Hub getrennte AVV?
Nein. HubSpots DPA deckt alle HubSpot-Produkte ab. Ein einziger DPA mit HubSpot genügt für Marketing Hub, Sales Hub, Service Hub und CMS Hub. Der DPA ist produktübergreifend gültig, solange die Verarbeitung personenbezogener Daten in Ihrem Auftrag erfolgt.
Was passiert, wenn ich keinen AVV mit HubSpot abschließe?
Ohne einen gültigen AVV ist der Einsatz von HubSpot als CRM rechtswidrig (Art. 28 Abs. 1 DSGVO). Dies kann zu erheblichen Bußgeldern führen, die bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen können (Art. 83 Abs. 5 DSGVO). Zudem können Betroffene Schadensersatzansprüche geltend machen (Art. 82 DSGVO).
Welche Rolle spielen die Standardvertragsklauseln (SCC) im HubSpot DPA?
Die Standardvertragsklauseln (SCC) im HubSpot DPA dienen als Mechanismus für den rechtmäßigen Datentransfer in Drittländer, die kein angemessenes Datenschutzniveau bieten, wie die USA (Art. 46 Abs. 2 lit. c DSGVO). Sie sind ein wichtiger Bestandteil des DPA nach dem Schrems-II-Urteil, erfordern jedoch oft zusätzliche Schutzmaßnahmen.
