HubSpot Tracking im Mittelstand: DSGVO-konforme B2B-Leads erfassen

HubSpot Tracking im Mittelstand: DSGVO-konforme B2B-Leads erfassen

Inhaltsverzeichnis

Einleitung: Warum HubSpot-Tracking ein Datenschutzthema ist

Viele mittelständische B2B-Unternehmen setzen HubSpot für Marketing, Vertrieb und Service ein. Aus datenschutzrechtlicher Sicht ist dabei weniger die Plattform selbst relevant als das, was mit ihr geschieht: Besucherverhalten wird erfasst, gespeichert und zu einem späteren Zeitpunkt einer identifizierbaren Person zugeordnet. Genau dieser Vorgang ist begründungspflichtig.

In der Praxis begegnet uns regelmäßig dieselbe Ausgangslage. Das Marketing hat das Tracking eingerichtet, ein Cookie-Banner ist vorhanden, und alle Beteiligten gehen davon aus, dass die Sache damit erledigt ist. Eine Prüfung zeigt dann, dass die technische Konfiguration zwar funktioniert, die dazugehörige Rechtsgrundlage, die Dokumentation und der Vertragsunterbau aber fehlen. Damit ist das HubSpot Tracking nicht DSGVO-konform, unabhängig davon, wie sauber das Banner aussieht.

Dieser Beitrag beschreibt, welche Anforderungen tatsächlich gelten, woran wir in Datenschutzprüfungen ein tragfähiges Setup erkennen und an welchen Stellen es im Mittelstand typischerweise scheitert.

Das eigentliche Risiko: die nachträgliche Zusammenführung

Der datenschutzrechtlich kritische Punkt liegt nicht im Setzen eines Cookies, sondern in der Verknüpfung. Ein Besucher kommt über mehrere Wochen wiederholt auf die Webseite, liest Fachbeiträge, ruft Leistungs- und Preisseiten auf. Zunächst wird dieses Verhalten unter einer pseudonymen Kennung gespeichert.

Lädt derselbe Besucher später ein Whitepaper herunter und gibt dabei seine E-Mail-Adresse an, wird die bisherige Historie rückwirkend mit seiner Person verbunden. Aus einer pseudonymen Sitzungskette entsteht ein Interessenprofil einer benannten natürlichen Person, häufig einschließlich Arbeitgeber, Funktion und thematischer Schwerpunkte.

Daraus ergeben sich drei Konsequenzen:

  • Personenbezug entsteht rückwirkend. Die zuvor pseudonymen Daten unterliegen ab dem Moment der Zuordnung vollständig der DSGVO, einschließlich der Betroffenenrechte nach Art. 15 bis 22 DSGVO.
  • Es handelt sich um Profiling. Die automatisierte Auswertung persönlicher Aspekte zur Bewertung von Interessen und Verhalten erfüllt die Definition des Art. 4 Nr. 4 DSGVO.
  • Die Einwilligung muss vorher vorliegen. Eine Zustimmung im Formular kann eine bereits erfolgte Datenerhebung nicht nachträglich legitimieren. Fehlt die Einwilligung zum Zeitpunkt des Zugriffs auf das Endgerät, ist der Vorgang rechtswidrig und bleibt es auch.

Für die Betroffenenrechte hat das eine praktische Folge, die in Auskunftsersuchen regelmäßig unterschätzt wird: Verlangt eine Person Auskunft, umfasst diese auch das aus dem Tracking entstandene Verhaltensprofil, nicht nur die im Kontaktdatensatz gespeicherten Stammdaten.

Rechtsrahmen: DSGVO, TDDDG und DDG im Zusammenspiel

Für Webtracking in Deutschland greifen zwei Regelungsebenen ineinander, die getrennt geprüft werden müssen.

TDDDG, Zugriff auf das Endgerät. § 25 TDDDG setzt die ePrivacy-Richtlinie um und verlangt für jeden Zugriff auf Informationen im Endgerät der Nutzer eine vorherige, aktive Einwilligung. Ausgenommen sind ausschließlich Zugriffe, die für einen ausdrücklich gewünschten Dienst technisch unbedingt erforderlich sind, sowie solche zur reinen Nachrichtenübertragung. Marketing- und Analyse-Cookies fallen unter keine dieser Ausnahmen.

DSGVO, die anschließende Verarbeitung. Für die Auswertung, Speicherung und Profilbildung ist eine eigene Rechtsgrundlage erforderlich. Bei Tracking und Profiling zu Marketingzwecken ist dies praktisch durchgehend die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Ein berechtigtes Interesse nach lit. f trägt hier nach Auffassung der deutschen Aufsichtsbehörden nicht.

DDG, allgemeiner Rahmen. Das Digitale-Dienste-Gesetz hat das Telemediengesetz abgelöst und regelt unter anderem die Impressumspflicht nach § 5 DDG. Für die Trackingfrage selbst ist es nachrangig, gehört bei einer Gesamtprüfung der Webseite aber dazu.

Beide Ebenen müssen erfüllt sein. Eine Einwilligung, die nur eine der beiden Anforderungen abdeckt, führt zu einem Setup, das bei genauerer Prüfung nicht standhält.

Der Bereich, der in der Praxis am häufigsten fehlt, liegt nicht im Frontend. Ein korrekt konfiguriertes Banner löst nur einen Teil der Anforderungen. Vollständig wird ein Setup erst mit dem dokumentarischen und vertraglichen Unterbau.

  • Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Der Vertrag muss vorliegen, inhaltlich vollständig sein und die tatsächlich genutzten Module abdecken. Ein vor Jahren abgeschlossener Vertrag deckt nachträglich hinzugebuchte Funktionen nicht automatisch mit ab.
  • Drittlandtransfer. Bei US-Anbietern ist zu prüfen und zu dokumentieren, auf welcher Grundlage die Übermittlung erfolgt, ob eine Zertifizierung unter dem EU-US Data Privacy Framework besteht und ob ergänzende Maßnahmen erforderlich sind. Die Prüfung muss nachvollziehbar festgehalten werden, nicht nur einmal gedanklich vollzogen.
  • Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Die Verarbeitungstätigkeit „Webtracking und Lead-Management“ ist mit Zwecken, Kategorien betroffener Personen, Empfängern, Löschfristen und Übermittlungen einzutragen. In vielen Prüfungen fehlt genau dieser Eintrag.
  • Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Bei systematischer und umfangreicher Verhaltensauswertung ist zu bewerten, ob eine DSFA erforderlich ist. Maßgeblich sind dabei auch die Vorgaben der Aufsichtsbehörden zu Verarbeitungen mit DSFA-Pflicht.
  • Löschkonzept. Kontakte, die nie zu einer Geschäftsbeziehung geführt haben, dürfen nicht unbegrenzt im System verbleiben. Es braucht definierte Fristen und einen umgesetzten Prozess dahinter.
  • Nachweis der Einwilligung. Nach Art. 7 Abs. 1 DSGVO trägt das Unternehmen die Beweislast. Der Nachweis muss den Zeitpunkt, den Umfang und die zum Zeitpunkt der Erteilung gültige Fassung der Information umfassen und exportierbar sein.

Diese Punkte lassen sich nicht durch eine Einstellung im Tool erledigen. Sie sind der Grund, warum ein technisch einwandfrei wirkendes Setup im Prüfungsfall dennoch beanstandet wird. Wir begleiten Unternehmen bei genau dieser Arbeit im Rahmen der Datenschutzbetreuung.

Prüfkatalog: Woran ein rechtskonformes Setup erkennbar ist

Die folgenden Kriterien wenden wir in Datenschutzprüfungen an. Sie eignen sich als erste Selbsteinschätzung, um den Handlungsbedarf im eigenen Haus einzuordnen.

Technische Ebene

  • Im Inkognito-Fenster wird vor jeder Interaktion mit dem Banner kein Tracking-Cookie gesetzt und kein Tracking-Skript geladen.
  • Die Ablehnung ist auf der ersten Ebene des Banners genauso leicht erreichbar wie die Zustimmung, ohne gestalterische Bevorzugung einer Option.
  • Ein Widerruf ist jederzeit über einen dauerhaft erreichbaren Punkt möglich und führt tatsächlich zur Beendigung der Datenerhebung, nicht nur zur Änderung eines Anzeigestatus.
  • Das Einwilligungssignal steuert alle nachgelagerten Skripte technisch, statt nur protokolliert zu werden.
  • Tracking-Cookies sind keiner Kategorie zugeordnet, die als technisch erforderlich deklariert ist.

Inhaltliche Ebene

  • Die Einwilligung ist granular. Analyse und Werbung sind getrennt entscheidbar, ein Alles-oder-nichts-Ansatz genügt nicht.
  • Die Datenschutzerklärung beschreibt die rückwirkende Zusammenführung von Verhaltensdaten mit Kontaktdaten ausdrücklich. Eine allgemeine Erwähnung des eingesetzten Systems reicht nicht aus.
  • Formulare beschreiben den Zweck der Datenerhebung so konkret, dass die Einwilligung als informiert gelten kann.
  • Für werbliche E-Mail-Kommunikation ist ein Double-Opt-In-Verfahren implementiert. Es ist der etablierte Nachweisstandard im Anwendungsbereich des § 7 UWG.

Organisatorische Ebene

  • Die Verarbeitungstätigkeit ist im Verzeichnis nach Art. 30 DSGVO erfasst und aktuell.
  • Auftragsverarbeitungsvertrag und Drittlandbewertung liegen dokumentiert vor.
  • Zugriffsrechte im System sind rollenbasiert vergeben und werden regelmäßig überprüft.
  • Es ist geregelt, wer ein Auskunfts- oder Löschersuchen innerhalb der Frist des Art. 12 Abs. 3 DSGVO bearbeitet.
  • Nach jeder Änderung an Tools, Formularen oder Skripten wird die Konfiguration erneut geprüft.

Die technische Absicherung der Systeme, in denen diese Daten liegen, behandeln wir im Bereich Daten- und IT-Sicherheit.

Typische Fehler im Mittelstand

Vier Muster treten in Prüfungen besonders häufig auf.

Das Banner blockiert nichts. Ein Consent-Werkzeug ist installiert, das Tracking-Skript liegt aber fest im Theme oder im Seiten-Header und lädt unabhängig von der Auswahl des Nutzers. Der Nachweis erfolgt in Sekunden über die Entwicklerwerkzeuge des Browsers.

Zuständigkeitslücke zwischen Marketing und IT. Das Marketing verantwortet die Kampagnen, die IT die Infrastruktur, und für den Datenschutz der Schnittstelle fühlt sich niemand zuständig. Nach Personalwechseln weiß häufig niemand mehr, welche Skripte aus welchem Grund aktiv sind.

Gewachsene Altbestände. Kontaktlisten aus Messen, Zukäufen oder früheren Kampagnen werden importiert, ohne dass für diese Personen eine dokumentierte Rechtsgrundlage existiert.

Einmalige statt fortlaufender Prüfung. Die Einrichtung wurde bei Einführung sauber vorgenommen und seitdem nicht mehr überprüft, während Tools, Module und Rechtslage sich verändert haben.

Besonderheiten in sensiblen Branchen

Werden im Zuge des Trackings Rückschlüsse auf Gesundheitsdaten möglich, etwa weil sich das Verhalten auf Inhalte zu bestimmten Behandlungen oder Diagnosen bezieht, gelten die verschärften Anforderungen des Art. 9 DSGVO. Die Anforderungen an die Einwilligung steigen, und ein Setup, das für ein Industrieunternehmen ausreicht, ist in diesem Umfeld nicht mehr tragfähig.

Vergleichbares gilt für Organisationen, die mit Beschäftigtendaten, Mitgliederdaten oder Daten besonders schutzbedürftiger Personen arbeiten. Für diese Konstellationen entwickeln wir zugeschnittene Konzepte, unter anderem für medizinische Einrichtungen und weitere Branchen mit besonderen Anforderungen.

Fazit: Vom Tool-Setup zur belastbaren Rechtsgrundlage

Ein DSGVO-konformes HubSpot Tracking ist erreichbar. Es entsteht jedoch nicht durch das Aktivieren einer Einstellung, sondern durch das Zusammenspiel von technischer Konfiguration, dokumentierter Rechtsgrundlage und geregelten Prozessen. Der entscheidende Punkt ist die rückwirkende Zusammenführung pseudonymer Verhaltensdaten mit identifizierbaren Kontakten. Wer diesen Vorgang transparent macht, vorher eine wirksame Einwilligung einholt und beides nachweisbar dokumentiert, steht auf sicherem Grund.

Welche Konfiguration und welche Werkzeuge im Einzelfall geeignet sind, hängt von der bestehenden Systemlandschaft, der Branche und dem Umfang der Verarbeitung ab. Diese Bewertung nehmen wir anbieterunabhängig vor.

MUNAS Consulting prüft Ihr Tracking- und Lead-Management-Setup, bewertet die Rechtsgrundlagen, erstellt die erforderliche Dokumentation und begleitet Sie als externer Datenschutzbeauftragter dauerhaft.

Kostenloses Analysegespräch vereinbaren