DSGVO-konformes Tracking mit HubSpot: Formulare, Cookies & Consent im DACH-Markt

HubSpot lädt seine Tracking-Cookies standardmäßig, sobald das Skript auf deiner Seite liegt — auch bei Besuchern, die noch keinen einzigen Klick auf einen Consent-Banner gemacht haben. Das native Banner blockiert das nicht technisch, es blendet nur eine Meldung ein. In Deutschland, wo Datenschutzbehörden echte Einwilligung vor dem ersten Cookie verlangen, ist das kein Kavaliersdelikt, sondern ein offenes Risiko. Dieser Artikel zeigt, wie du HubSpot-Formulare, Tracking und den Google-Ads-Sync so aufsetzt, dass ein DACH-Audit ihn übersteht — ohne dass deine Messung im Consent-Nebel verschwindet.

Das Default-Problem: HubSpot trackt vor der Einwilligung

Fangen wir mit der unbequemen Wahrheit an: Das HubSpot-Tracking-Skript ist so gebaut, dass Analytics- und Marketing-Cookies laden, sobald die Seite lädt — nicht erst, wenn jemand aktiv zugestimmt hat (Quelle: FlowConsent, 2025). Das ist in vielen Märkten juristisch grau. In Deutschland ist es das nicht: Die Datenschutzkonferenz (DSK) und die einzelnen Landes-DPAs verlangen für nicht technisch notwendige Cookies eine informierte, aktive Einwilligung, bevor sie gesetzt werden — nicht danach, nicht “während der Banner noch offen ist”.

Das Problem ist nicht HubSpot als Software. Das Problem ist die Standardeinstellung, mit der die meisten Teams live gehen, weil sie davon ausgehen, das mitgelieferte Cookie-Banner erledige das schon. Genau diese Annahme ist der teuerste Irrtum in diesem ganzen Themenfeld.

Und sie ist verständlich: HubSpot ist als All-in-one-Plattform darauf ausgelegt, schnell live zu gehen — Tracking-Code einbinden, Formular bauen, fertig. Genau diese Geschwindigkeit wird zur Falle, wenn niemand im Team explizit den Consent-Layer davorsetzt. Marketing-Teams merken das oft erst, wenn eine Nutzeranfrage, eine Abmahnung oder eine Routineprüfung der Aufsichtsbehörde die Lücke aufdeckt — und dann ist es kein technisches Ticket mehr, sondern ein Fall für die Rechtsabteilung.

Native Banner reicht nicht — CMP ist Pflicht

HubSpots eigenes Cookie-Banner ist bewusst schlank gehalten: Es zeigt eine Meldung, speichert eine Präferenz — aber es blockiert das HubSpot-Skript nicht technisch, bevor jemand zustimmt, und es ersetzt keine vollwertige Consent-Management-Plattform (Quelle: FlowConsent, 2025; CRM Curator, 2025). Für den strengen DACH-Standard der Prior-Consent-Pflicht heißt das: Du brauchst ein echtes CMP davor.

Praktisch bedeutet das: Das CMP-Skript lädt zuerst, blockiert alle nicht-essenziellen Skripte inklusive HubSpot per Script-Tag-Manipulation oder Google Tag Manager-Trigger, und gibt HubSpot erst frei, wenn eine Kategorie (“Analytics” oder “Marketing”) aktiv bestätigt wurde. Das ist kein exotisches Setup — es ist der Mindeststandard, den jede seriöse Cookiebot- oder Usercentrics-Implementierung mitbringt. Wer das nicht hat, hat kein Consent-Management, sondern ein Consent-Theater.

Der übliche Fehler beim Rollout: Teams installieren das CMP, aber vergessen, das HubSpot-Skript tatsächlich in die Blocking-Liste aufzunehmen — es läuft parallel weiter, weil es direkt im Seiten-Header eingebunden ist statt über den Tag-Manager. Das Ergebnis sieht auf den ersten Blick compliant aus (Banner ist da, Kategorien sind da), ist es aber technisch nicht, weil das Skript trotzdem vor Zustimmung feuert. Ein kurzer Netzwerk-Check im Browser (Skript-Requests vor dem Klick auf “Zustimmen” beobachten) deckt das in fünf Minuten auf — und sollte Teil jedes Go-live-Checks sein, nicht nur eine einmalige Stichprobe beim Setup.

Google Consent Mode v2 mit HubSpot

Hier kommt die gute Nachricht: HubSpots v2-Cookie-Banner unterstützt Google Consent Mode v2 für HubSpots eigene GA4- und GTM-Integrationen (Quelle: HubSpot Knowledge Base, 2026; HubSpot Developer Changelog). Das heißt, Consent-Status wird an Google weitergereicht, sodass Messung weiterläuft — auch wenn jemand Analytics-Cookies ablehnt.

Der März-2024-Kontext

Google hatte für Consent Mode v2 eine Frist bis März 2024 gesetzt: Ohne Implementierung verlieren Werbetreibende Mess- und Remarketing-Signale von Besuchern aus EWR, EU und UK (Quelle: HubSpot Knowledge Base; Google Ads Help, 2026). Wer diese Umstellung 2024 verschlafen hat, verliert seither stillschweigend Reichweite und Datenqualität — ohne dass das im Dashboard als “Fehler” auffällt. Es sieht einfach aus wie weniger Conversions.

Cookielose Pings im Advanced Mode

Im Advanced Consent Mode laden Google-Tags standardmäßig mit “denied” als Default-Consent-Status. Solange keine Zustimmung vorliegt, sendet Google trotzdem sogenannte cookielose Pings — anonymisierte Signale ohne Cookie-basierte Identifikation. Erst wenn Consent erteilt wird, fließen vollständige Daten (Quelle: HubSpot Knowledge Base, 2026). Das ist der Mechanismus, der verhindert, dass dein Reporting bei einer Ablehnungsquote von 40–60 % komplett blind wird — es wird nur ungenauer, nicht leer.

Consent Mode & der Google-Ads-Sync

Das hier ist der Punkt, an dem viele Teams den Zusammenhang übersehen: Consent-Status beeinflusst direkt, ob dein Google-Ads-Sync überhaupt funktioniert. Fehlt die GCLID, weil das Tracking-Skript durch aggressive Consent-Blockierung zu spät oder gar nicht lädt, kann HubSpot später keine Offline-Conversion mit Deal-Wert an Google zurückspielen — der ganze Closed Loop aus unserem Artikel zu Offline-Conversion-Sync zwischen Google Ads und HubSpot bricht an dieser einen Stelle zusammen.

Genau deshalb ist Enhanced Conversions for Leads (ECL) im DACH-Kontext so wertvoll: Es ergänzt die GCLID um gehashte Kontaktdaten (E-Mail, Telefon) als zweiten Matching-Weg. Fällt die GCLID durch eine Consent-Lücke aus, kann ECL trotzdem matchen — vorausgesetzt, die Einwilligung zur Datenverarbeitung selbst liegt vor (Quelle: Google Ads Help, 2026). Consent Mode v2 und ECL lösen also unterschiedliche Probleme, aber sie verstärken sich gegenseitig: Der eine rettet die Google-seitige Messung, der andere rettet den CRM-seitigen Rückkanal.

DSGVO-konforme HubSpot-Formulare

Ein Cookie-Banner allein reicht nicht — auch das Formular selbst muss die Einwilligung sauber einholen und dokumentieren. HubSpot-Formulare unterstützen dafür eine eigene Marketing-Consent-Checkbox und Subscription-Types, mit denen sich Einwilligungen nach Zweck trennen lassen (Quelle: HubSpot Knowledge Base, 2026; ifelse agency, 2025).

Der Trend für 2025/2026 in DACH geht klar weg von der einen pauschalen Checkbox (“Ich stimme den Datenschutzbestimmungen zu”) hin zu granularem, zweckgebundenem Opt-in: eine Einwilligung fürs Versenden von E-Mails, eine separate fürs Retargeting, eine weitere fürs Teilen mit Partnern (Quelle: ifelse agency, 2025). Das ist mehr Arbeit beim Formularaufbau — aber es ist auch das, was eine Aufsichtsbehörde inzwischen erwartet, wenn sie ein Formular prüft.

In der Praxis heißt das konkret: Ein B2B-Whitepaper-Formular sollte separat fragen, ob die Kontaktdaten (a) für die Zusendung des Whitepapers, (b) für weiteren Marketing-E-Mail-Versand und (c) für Retargeting-Kampagnen genutzt werden dürfen. Viele Formulare vermengen alle drei in einem Satz — rechtlich sauber ist das nicht, weil “Einwilligung” laut DSGVO informiert und spezifisch sein muss, nicht pauschal. HubSpots Subscription-Types bilden genau diese Trennung technisch ab, wenn sie richtig angelegt sind: Jeder Zweck bekommt einen eigenen Subscription-Type, jeder Kontakt eine granulare, überprüfbare Historie seiner Einwilligungen.

• Getrennte Checkboxen pro Verarbeitungszweck (E-Mail-Marketing, Retargeting, Partner-Sharing) statt einer Sammel-Checkbox
• Subscription-Types in HubSpot korrekt angelegt und im Formular verknüpft
• Double-Opt-in für E-Mail-Marketing an deutsche Adressen — Pflicht, kein Nice-to-have
• Klartext statt Juristendeutsch in der Einwilligungsformulierung
• Datenschutzerklärung verlinkt, nicht nur erwähnt
• Consent-Zeitstempel und -Quelle nachvollziehbar in HubSpot dokumentiert

Datenresidenz & US-Transfer

Für viele DACH-Einkäufer ist die nächste Frage nicht das Cookie-Banner, sondern: Wo liegen die Daten, und wie kommen sie dorthin? HubSpot bietet EU-Datenhosting an — für Unternehmen, die als Sales-Argument oder Compliance-Anforderung eine EU-Instanz brauchen, ist das der erste Hebel, bevor man über Data Privacy Framework (DPF) oder Standardvertragsklauseln (SCCs) für etwaige US-Transfers spricht.

Das ist kein einmaliges Häkchen, sondern ein Punkt, den du in deiner Auftragsverarbeitungsvereinbarung (AVV) mit HubSpot regelmäßig gegenprüfen solltest, gerade wenn sich HubSpots eigene Subprozessoren-Liste ändert.

Für DACH-Vertriebsteams, die HubSpot bei einem Enterprise-Kunden pitchen, ist das oft der Moment, in dem der eigentliche Deal steht oder fällt: Eine IT- oder Rechtsabteilung, die routinemäßig nach Datenresidenz fragt, will keine Marketing-Antwort (“HubSpot ist DSGVO-konform”), sondern eine konkrete: Region, Subprozessoren, Rechtsgrundlage. Wer diese Antwort vorbereitet mitbringt, gewinnt gegenüber Wettbewerbern, die erst nach der Frage anfangen zu recherchieren.

Setup-Blueprint für DACH

Die Reihenfolge entscheidet. Wer sie vertauscht, baut auf Sand.

• 1. CMP wählen und implementieren — Cookiebot, OneTrust, Usercentrics oder Axeptio, mit technischem Blocking aller nicht-essenziellen Skripte.
• 2. Consent Mode v2 aktivieren — Advanced Mode, damit cookielose Pings auch bei Ablehnung noch etwas melden.
• 3. HubSpot-Formulare granular umbauen — Subscription-Types, getrennte Checkboxen, Double-Opt-in für DE.
• 4. GCLID-Feld und Ads-Sync neu prüfen — funktioniert die Klick-ID-Erfassung nach dem CMP-Rollout noch zuverlässig?
• 5. Reconciliation einplanen — nach dem Go-live vier Wochen lang engmaschig prüfen, ob Consent-Rate und Messqualität zueinander passen.

Diese Reihenfolge ist kein Zufall: Ein CMP ohne Consent Mode v2 blockiert korrekt, meldet aber nichts mehr. Consent Mode v2 ohne CMP ist rechtlich wertlos, weil die zugrunde liegende Einwilligung fehlt. Formulare ohne granulares Opt-in unterlaufen beides wieder. Erst alle vier Bausteine zusammen ergeben ein Setup, das sowohl den Datenschutzbehörden als auch deinem Google-Ads-Konto standhält.

Fehler & Best Practices

Die immer gleichen fünf Fehler ziehen sich durch fast jedes HubSpot-Setup, das wir in DACH prüfen:

Grenzen & Ehrlichkeit

Ein sauberes Consent-Setup löst nicht jedes Problem. Auch mit CMP, Consent Mode v2 und granularem Opt-in bleiben Lücken: Nutzer, die konsequent ablehnen, tauchen in deinem Reporting weiterhin nur als anonymisierte Pings auf, nicht als vollständige Journey. Das ist kein Bug in deinem Setup — das ist die Konsequenz einer Rechtslage, die Datenschutz über lückenlose Attribution stellt. Wer das akzeptiert und trotzdem sauber misst, ist besser dran als jemand, der auf Biegen und Brechen jede Lücke zu schließen versucht und dabei rechtlich ins Risiko läuft.

Sei außerdem ehrlich mit deinem Team über den Preis dieser Compliance: Deine gemessene Conversion-Rate wird nach einem sauberen CMP-Rollout in aller Regel niedriger aussehen als vorher — nicht weil weniger Leads kommen, sondern weil vorher ein Teil davon nie sauber erfasst wurde und jetzt korrekt als “kein Consent, keine Messung” markiert ist. Das ist keine Verschlechterung der Performance. Es ist eine Korrektur der Sichtbarkeit. Wer das nicht vorab kommuniziert, bekommt nach dem Rollout unangenehme Fragen vom Management, warum die Zahlen “eingebrochen” sind.

Am Ende ist DSGVO-konformes Tracking kein Bremsklotz für performantes Marketing — es ist die Voraussetzung dafür, dass dein Google-Ads-Sync (siehe unseren Artikel zur Offline-Conversion-Sync) und deine KI-gestützten HubSpot-Features (mehr dazu in HubSpot Breeze & KI-Features 2026) überhaupt auf sauberen, rechtssicheren Daten aufbauen. Wer hier schlampt, baut alles Folgende auf einem Fundament, das beim ersten DPA-Audit bröckelt.

Fillcart hat als HubSpot Solutions Partner in DACH schon einige dieser Audits begleitet — meist, weil ein Setup drei Jahre gewachsen ist, ohne dass jemand die Consent-Logik neu durchdacht hat. Wenn du wissen willst, wo dein Konto heute steht, schau dir unseren Pipeline-ROI-Rechner an oder lies mehr über Fillcart.

Quellen

• FlowConsent, “HubSpot and GDPR cookies: compliance guide”, 2025 — flowconsent.com/en/blog/hubspot-cookies-gdpr-compliance
• CRM Curator, “HubSpot and Cookie Consent”, 2025 — crmcurator.com/articles/hubspot/hubspot-cookie-consent-banner-integration
• HubSpot Knowledge Base, “Understand and implement Google Consent Mode”, 2026 — knowledge.hubspot.com/privacy-and-consent/support-google-consent-mode-v2
• HubSpot Developer Changelog, “Support for Google Consent Mode V2” — developers.hubspot.com/changelog/support-for-google-consent-mode-v2
• Google Ads Help, “Set up HubSpot to obtain user consent”, 2026 — support.google.com/google-ads/answer/14563689
• Google Ads Help, “About enhanced conversions for leads”, 2026 — support.google.com/google-ads/answer/15713840
• ifelse agency, “HubSpot & GDPR 2025”, 2025 — ifelseagency.com/en/blog/hubspot-gdpr-2025
• HubSpot Knowledge Base, GDPR-Ressourcen, 2026 — knowledge.hubspot.com/privacy-and-consent/gdpr-resources

Andre Schüler

Operator hinter Fillcart. Vorher Head of Marketing bei einer Legal-Tech-SaaS-Holding, Head of SEO bei Matrix42, HubSpot Consultant. Baut Google-Ads-Kampagnen, die auf Pipeline optimieren — nicht auf den billigsten Klick.

Mehr über Fillcart →