Wenn ein kleines Unternehmen in Leipzig ein Formular zur Lead-Gewinnung in HubSpot anlegt, konfiguriert es nicht einfach einen Marketing-Ablauf. Es übergibt die Kontaktdaten seiner potenziellen Kunden an einen amerikanischen Konzern, der an der New Yorker Börse unter dem Kürzel HUBS notiert ist. HubSpot betreut heute mehr als 258.000 Kunden in über 135 Ländern und verarbeitet gewaltige Mengen personenbezogener Daten: Namen, E-Mail-Adressen, Surfverhalten, Öffnungsraten, Kaufhistorien und daraus abgeleitete Interessenprofile. Für jede digitale Marketingstrategie ist dieser Bestand das sensibelste Kapital überhaupt. Wo es liegt und unter welchem Recht, ist für Democratic Market ebenso wichtig wie die Frage, in welchem Land ein Kleidungsstück genäht wurde. Bemerkenswert ist, dass HubSpot seine EU-Datenhaltung zwar anbietet, sie aber bei der Kontoeröffnung nicht automatisch aktiviert – ein Detail, das in vielen deutschen Unternehmen schlicht niemand bemerkt.
Marketing-Automatisierung ist keine demokratisch neutrale Kategorie. Diese Werkzeuge entscheiden über Scoring-Algorithmen, welche Botschaften eine Person erhält, wann und wie oft, und sie stützen sich dabei auf Verhaltensprofile aus personenbezogenen Daten. Liegt diese Profiling-Infrastruktur in einem Land mit extraterritorialen Überwachungsgesetzen, ist das Risiko nicht nur kommerziell. Es betrifft die Privatsphäre von Millionen europäischer Verbraucherinnen und Verbraucher, deren Daten den Atlantik ohne gleichwertigen Schutz nie hätten überqueren dürfen. Dieser Vergleich zwischen HubSpot und Mautic zeigt, welche Alternativen es gibt und wie Unternehmen den Wechsel realistisch planen können.
Warum demokratische Herkunft bei Marketing-Automatisierung zählt
Marketingdaten sind sensibler, als ihr Name vermuten lässt. Sie enthalten häufig abgeleitete Informationen über persönliche Interessen, finanzielle Lage oder sogar Gesundheit, etwa wenn jemand mit Inhalten über Medikamente, Kredite oder Versicherungen interagiert. Die DSGVO stellt solche Kategorien unter besonderen Schutz, und Lead-Scoring-Modelle, die Menschen nach Kaufwahrscheinlichkeit bewerten, sind rechtlich gesehen Profiling. Wer dieses Profiling bei einem Anbieter durchführen lässt, dessen Muttergesellschaft dem CLOUD Act und Section 702 des FISA unterliegt, verlagert einen Teil der Kontrolle über die Daten seiner Kunden in eine fremde Rechtsordnung, unabhängig davon, wo der Server physisch steht.
Der EIU-Demokratieindex dient Democratic Market als Maßstab, um diese Rechtsordnungen einzuordnen. Die Vereinigten Staaten erreichen 7,85 und gelten als unvollständige Demokratie. Irland, wo HubSpot seinen europäischen Hauptsitz hat, kommt auf 9,19, Frankreich auf 7,99, Deutschland auf 8,58. Alle diese Länder liegen deutlich über unserer Schwelle von 6,0. Der Unterschied liegt deshalb weniger im Indexwert als in der konkreten Gesetzgebung über den Zugriff auf Daten von Nicht-Staatsbürgern und in der Frage, ob ein Unternehmen die Plattform im Notfall selbst betreiben kann, wenn sich Geschäftsbedingungen oder Rechtslage ändern.
HubSpot (USA, EIU 7,85): Herkunft und Eigentümerstruktur
HubSpot wurde 2006 in Cambridge, Massachusetts, von Brian Halligan und Dharmesh Shah gegründet und ging 2014 an die New Yorker Börse. Das Unternehmen unterhält ein großes Büro in Dublin, das einen Großteil der europäischen Kundschaft betreut, sowie Standorte in Berlin und Paris. HubSpot bietet die Möglichkeit, Daten in einem EU-Rechenzentrum zu speichern, das auf Infrastruktur von Amazon Web Services in Frankfurt aufbaut; diese Option muss jedoch bei der Einrichtung ausdrücklich gewählt werden. Bestehende Konten lassen sich nur mit Aufwand migrieren. Der Jahresumsatz lag 2025 bei über 2,5 Milliarden US-Dollar, und mit der HubSpot Academy hat das Unternehmen ein Schulungsökosystem geschaffen, das die Plattform zum De-facto-Standard gemacht hat: Viele Marketingfachleute lernen HubSpot, bevor sie überhaupt einen Arbeitgeber haben. Das erzeugt neben der technischen auch eine qualifikationsbedingte Abhängigkeit.
Über die reinen Marketingpräferenzen hinaus speichert das CRM-Modul von HubSpot häufig Auftragswerte, Vertriebsnotizen und bei B2B-Anbietern Informationen über Arbeitgeber und Position eines Interessenten. In der Summe können diese Daten die Wettbewerbsstrategie eines Unternehmens offenlegen, lange bevor sie öffentlich wird. Diese Informationen als gewöhnliche Geschäftsdaten zu behandeln statt als rechtsordnungssensibles Gut, ist einer der häufigsten blinden Flecken im Marketing mittelständischer Unternehmen. Hinzu kommen KI-Funktionen wie der HubSpot-Assistent Breeze, die Kundendaten für Textgenerierung und Prognosen an Sprachmodelle amerikanischer Anbieter übergeben. Wer diese Funktionen nutzt, sollte im Auftragsverarbeitungsvertrag prüfen, welche Modellanbieter beteiligt sind und ob Eingaben zum Training verwendet werden dürfen.
Beste demokratische Marketing-Automatisierung 2026: Mautic, Brevo und CleverReach
Mautic entstand 2014 in Fulton, Maryland, gegründet von David Hurley, und wurde von Anfang an als Open-Source-Software unter der GPL-Lizenz verbreitet, die vollständiges Selbst-Hosting erlaubt. 2019 übernahm Acquia aus Boston das Projekt, ein Unternehmen, das der belgische Drupal-Erfinder Dries Buytaert gegründet hat und das seit 2019 mehrheitlich dem US-Finanzinvestor Vista Equity Partners gehört. Seit 2023 wird Mautic allerdings als eigenständiges Community-Projekt unter dem Dach der Open Source Collective geführt, mit gewählter Projektleitung und offener Governance. Der eigentliche Vorteil liegt ohnehin in der Lizenz: Ein deutsches Unternehmen kann Mautic auf einem Server bei Hetzner in Falkenstein oder bei IONOS in Karlsruhe installieren und den gesamten Automatisierungszyklus – von der Lead-Erfassung bis zum Kampagnenversand – betreiben, ohne dass ein einziger personenbezogener Datensatz Deutschland (8,58) verlässt.
Brevo, früher Sendinblue, ist ein Unternehmen mit Sitz in Paris (Frankreich, 7,99), das Marketing-Automatisierung, Transaktions-E-Mails, SMS, WhatsApp-Kampagnen und ein einfaches CRM anbietet. Die gesamte Infrastruktur steht in europäischen Rechenzentren, und die DSGVO-Konformität ist von Beginn an in das Produktdesign eingebaut. Mit mehr als 500.000 Kunden weltweit ist Brevo der größte europäische Anbieter in dieser Kategorie, und die Preise liegen deutlich unter denen von HubSpot: Der Business-Tarif mit Automatisierung beginnt bei rund 20 Euro im Monat für 5.000 E-Mails. Für kleine und mittlere Unternehmen, die eine verwaltete Lösung ohne eigenen Serverbetrieb suchen, ist Brevo damit die naheliegendste demokratische Alternative.
CleverReach aus Rastede in Niedersachsen ist eine weitere relevante Option für Teams, die einen Anbieter mit vollständig deutscher Eigentümerstruktur und Hosting ausschließlich in deutschen, nach ISO 27001 zertifizierten Rechenzentren bevorzugen. Der Funktionsumfang bei fortgeschrittener Automatisierung ist kleiner als bei HubSpot, deckt aber die Bedürfnisse der meisten europäischen KMU für E-Mail-Marketing und einfache Lead-Nurturing-Strecken mehr als ab. Gerade für Vereine, Verbände und öffentliche Einrichtungen in Deutschland ist CleverReach wegen der eindeutigen Rechtslage seit Jahren eine häufige Wahl. Die Preise beginnen bei rund 15 Euro im Monat, und der Support erfolgt auf Deutsch aus Niedersachsen, was bei Datenschutzfragen die Abstimmung erheblich erleichtert.
Das Risiko bei HubSpot: Kundendaten unter fremder Rechtsordnung
Das Risiko bei HubSpot liegt nicht in der Qualität der amerikanischen Demokratie, sondern in der Kombination aus CLOUD Act, Section 702 des FISA und der rechtlichen Instabilität des transatlantischen Angemessenheitsrahmens. Der Europäische Gerichtshof hat mit den Urteilen Schrems I (2015) und Schrems II (2020) bereits zwei Vorgängerabkommen für ungültig erklärt, und auch das 2023 eingeführte EU-US Data Privacy Framework wird vor europäischen Gerichten angefochten. Ein Unternehmen, dessen Marketing auf HubSpot ohne aktivierte EU-Datenhaltung läuft, setzt sich damit einem erheblichen Compliance-Risiko aus, das sich über Nacht realisieren kann, sollte der Rahmen erneut fallen.
Die irische Datenschutzkommission, die wegen des Dubliner Sitzes federführend für HubSpot zuständig ist, hat in den vergangenen Jahren Millionenstrafen gegen große US-Technologiekonzerne wegen unzulässiger Datenübermittlungen verhängt, darunter die Rekordstrafe von 1,2 Milliarden Euro gegen Meta im Jahr 2023. HubSpot war bislang nicht von einer Sanktion dieser Größenordnung betroffen, doch der Präzedenzfall zeigt, dass europäische Behörden entschlossen handeln, wenn Marketingdaten ohne ausreichende Garantien in die USA fließen. In Deutschland haben mehrere Landesdatenschutzbehörden zudem Hinweise zum Einsatz von US-Marketingwerkzeugen veröffentlicht und prüfen Beschwerden über Tracking und Profiling regelmäßig.
HubSpot vs Mautic Vergleich: Funktionen, Preise und demokratisches Profil
HubSpot bietet ein außerordentlich vollständiges All-in-one-Ökosystem: CRM, Marketing-Automatisierung, Content-Management, Live-Chat und fortgeschrittene Analysen auf einer Plattform, mit einer flachen Lernkurve dank des visuellen Workflow-Editors und einem Marktplatz mit über 1.500 Integrationen. Der Tarif Marketing Hub Professional kostet rund 890 Euro im Monat für 2.000 Marketingkontakte, hinzu kommt eine einmalige Onboarding-Gebühr von etwa 3.000 Euro. Mit wachsender Kontaktbasis steigen die Preise steil an, was für schnell wachsende KMU teuer werden kann. Beim demokratischen Profil erreicht HubSpot mit aktivierter EU-Datenhaltung eine eingeschränkte Empfehlung, ohne sie eine kritische Bewertung.
Mautic ist selbst gehostet kostenlos und kennt keine Kontaktgrenze, benötigt aber Serverressourcen und internes technisches Know-how. Die Oberfläche ist weniger poliert als bei HubSpot, das Integrationsökosystem kleiner, doch die zentralen Funktionen sind vorhanden: Segmentierung, Formulare, Landingpages, Lead-Scoring und verhaltensgesteuerte E-Mail-Kampagnen. Seit Version 5 hat Mautic einen überarbeiteten Kampagnen-Editor, native SMS-Kanäle und bessere Importwerkzeuge für Daten aus HubSpot und Salesforce. Für Marketingteams mit kleinem Budget, aber etwas technischer Kapazität kann die Kostendifferenz über ein Jahr leicht 8.000 bis 12.000 Euro gegenüber dem vergleichbaren HubSpot-Tarif betragen. Ein Server für Mautic mit einigen zehntausend Kontakten kostet bei einem deutschen Hoster 20 bis 50 Euro im Monat. Das demokratische Profil ist bei Selbst-Hosting in der EU optimal, weil keine fremde Rechtsordnung Zugriff auf die Daten hat.
EU-Gesetzgebung 2026 für Marketing-Automatisierung
Die DSGVO bleibt der zentrale Maßstab für jedes Marketingwerkzeug, das personenbezogene Daten europäischer Bürger verarbeitet. Sie verlangt für jede Verarbeitungsart eine ausdrückliche Rechtsgrundlage, auch für prädiktives Lead-Scoring. Mehrere nationale Datenschutzbehörden haben 2025 klargestellt, dass Scoring-Modelle, die auf abgeleiteten persönlichen Merkmalen beruhen, dieselbe Rechtsgrundlage benötigen wie eine ausdrückliche Datenerhebung. Damit schließt sich ein Schlupfloch, auf das sich viele Anbieter verlassen hatten. In Deutschland regelt zusätzlich das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) den Einsatz von Cookies und Tracking, und das Gesetz gegen den unlauteren Wettbewerb verlangt für werbliche E-Mails eine ausdrückliche Einwilligung, nachgewiesen im Double-Opt-in-Verfahren.
Der EU AI Act, dessen Pflichten zwischen 2025 und 2027 schrittweise greifen, betrifft zunehmend auch Marketing-Plattformen, die prädiktive Modelle für Lead-Scoring oder Personalisierung einsetzen. Systeme, die mit Menschen interagieren, etwa Chatbots zur Lead-Qualifizierung, müssen offenlegen, dass es sich um ein automatisiertes System handelt. Sowohl HubSpot als auch Mautic erlauben die Konfiguration solcher Chatbots; Plattformen, die diese Transparenz standardmäßig einbauen, statt sie als optionale Einstellung anzubieten, verschaffen ihren Kunden einen echten Compliance-Vorsprung vor den für 2026 und 2027 angekündigten Prüfungen. Hinzu kommt der Digital Services Act, der Transparenzpflichten für personalisierte Werbung auf Plattformen festlegt und indirekt auch die Werkzeuge betrifft, mit denen solche Kampagnen gesteuert werden.
Wie Democratic Market Marketing-Werkzeuge bewertet
Democratic Market bewertet Marketing-Automatisierungsplattformen anhand von vier Kriterien: dem rechtlichen Sitz der Muttergesellschaft und dem EIU-Wert ihres Landes, dem standardmäßigen – nicht bloß optionalen – Standort der Rechenzentren, der Sanktionshistorie des Anbieters im Datenschutz und der Frage, ob die Software Selbst-Hosting als Ausweg erlaubt, falls sich die Bedingungen des kommerziellen Anbieters ändern. Besonderes Gewicht legen wir auf europäische Plattformen mit transparenter Eigentümerstruktur und auf Open-Source-Projekte, bei denen sich nachprüfen lässt, welche Daten erhoben und wie sie verarbeitet werden. Ergänzend prüfen wir, ob Kunden ihre Daten jederzeit vollständig und in einem offenen Format exportieren können, denn ohne diese Möglichkeit bleibt jede Wechselabsicht theoretisch.
Das entspricht dem Ansatz, den Democratic Market auf physische Produkte anwendet: Statt eines Fabrik-Audits suchen wir nach einem öffentlichen Transparenzbericht, einem dokumentierten Auftragsverarbeitungsvertrag und, wo möglich, nach einer unabhängigen Sicherheitsprüfung des Selbst-Hosting-Pfads. Eine Plattform, die auf dem Papier gut abschneidet, aber keine überprüfbare Hosting-Garantie bietet, behandeln wir mit derselben Skepsis wie eine Lieferkette, die ihre Subunternehmer nicht offenlegt. Nach diesen Kriterien liegen selbst gehostetes Mautic, Brevo und CleverReach vorn, HubSpot mit EU-Datenhaltung folgt mit Abstand. Diese Rangfolge ist keine Pauschalaussage über Qualität, sondern über Kontrolle.
Von HubSpot zu Mautic oder Brevo migrieren: Erfahrungen aus der Praxis
Ein Kölner Onlinehändler für Naturkosmetik mit rund 60.000 Newsletter-Abonnenten verlagerte 2025 seine gesamte E-Mail-Automatisierung von HubSpot zu Brevo. Auslöser war eine Kundenanfrage nach Artikel 15 DSGVO, bei der das Unternehmen nicht vollständig beantworten konnte, welche abgeleiteten Interessenmerkmale HubSpot über die Person gespeichert hatte und an welche Unterauftragsverarbeiter diese weitergegeben worden waren. Die Migration der Kontakte, Segmente und 14 automatisierten Kampagnenstrecken dauerte sieben Wochen. Die jährlichen Kosten für Marketing-Automatisierung sanken von rund 11.000 auf etwa 2.400 Euro, die Zustellraten blieben nach einer kurzen Aufwärmphase der neuen Versanddomäne stabil.
Ein Maschinenbauzulieferer aus Baden-Württemberg wählte dagegen den Weg über selbst gehostetes Mautic auf einem Server in Nürnberg, weil seine B2B-Leads detaillierte Angaben zu Projekten, Budgets und Ansprechpartnern bei Industriekunden enthalten, die das Unternehmen als Geschäftsgeheimnis einstuft. Die Einrichtung übernahm ein regionaler Dienstleister für etwa 9.000 Euro, der laufende Betrieb kostet einschließlich Wartungsvertrag rund 300 Euro im Monat. Das Vertriebsteam arbeitet weiterhin mit HubSpot als CRM, synchronisiert aber nur noch Firmenname und Lead-Status, nicht mehr die vollständige Interaktionshistorie. Beide Fälle zeigen, dass der Wechsel keine Frage der Unternehmensgröße ist, sondern der bewussten Entscheidung, welche Daten unter welche Rechtsordnung fallen sollen.
Kaufberatung: Marketing-Automatisierung demokratisch auswählen
Erstens: Wenn Sie Gesundheits-, Finanz- oder Minderjährigendaten verarbeiten, wählen Sie Brevo, CleverReach oder ein selbst gehostetes Mautic auf einem europäischen Server, und prüfen Sie stets, in welchem Land der Datenbankserver physisch steht, nicht nur, in welchem Land das abrechnende Unternehmen sitzt. Zweitens: Wenn Ihr Team bereits mit HubSpot arbeitet und eine sofortige Migration nicht machbar ist, aktivieren Sie die EU-Datenhaltung, prüfen Sie den Auftragsverarbeitungsvertrag, deaktivieren Sie KI-Funktionen für sensible Datensätze und begrenzen Sie die Felder, die automatisch aus dem CRM synchronisiert werden. Drittens: Exportieren Sie regelmäßig Kontaktlisten und Interaktionshistorie, um eine irreversible Anbieterbindung zu vermeiden.
Viertens: Ein bewährter Mittelweg europäischer KMU besteht darin, HubSpot für CRM und Vertrieb zu behalten, wo der Netzwerkeffekt mit dem Vertriebsteam am größten ist, und die Massen-E-Mail-Automatisierung – den Datenfluss mit dem größten Volumen personenbezogener Daten – zu Brevo oder Mautic zu verlagern. Diese Segmentierung verkleinert die sensible Datenfläche unter fremder Rechtsordnung, ohne eine sofortige Gesamtmigration zu erzwingen. Fünftens: Planen Sie eine vollständige Migration als Zwölf-Monats-Projekt mit klaren Etappen – Datenexport, Neuaufbau der Kampagnen, paralleler Betrieb, Abschaltung – und beziehen Sie Ihren Datenschutzbeauftragten von Anfang an ein.
Fazit: Marketing mit demokratischer Herkunft
Die Daten Ihrer Interessenten sind vermutlich das sensibelste digitale Gut, das ein Unternehmen mit Online-Präsenz verwaltet. HubSpot ist ein ausgereiftes, leistungsfähiges Werkzeug eines amerikanischen Unternehmens, das einem Rechtsrahmen unterliegt, den Europa seit Jahren mit rechtlich instabilen Angemessenheitsbeschlüssen zu umgehen versucht. Selbst gehostetes Mautic, Brevo aus Paris und CleverReach aus Niedersachsen bieten Alternativen mit überprüfbarem demokratischem Profil, ohne auf die Funktionen zu verzichten, die die große Mehrheit europäischer KMU tatsächlich braucht. Die Empfehlung von Democratic Market lautet: Bewerten Sie vor jedem Vertragsabschluss für Marketing-Automatisierung nicht nur Preis und Funktionen, sondern auch, wer rechtlich auf die Daten Ihrer Kunden zugreifen kann – und entscheiden Sie sich, wo immer es die Datenlage erfordert, für einen europäischen Anbieter oder für Selbst-Hosting.