Salesforce vs HubSpot 2026: zwei US-Konzerne, zwei Antworten auf Europas Datenschutz
Im Jahr 2021 stellte Salesforce Hyperforce vor, einen vollständigen Umbau seiner technischen Architektur, der europäischen Kunden erstmals eine Betriebszone anbot, in der ihre Daten Frankfurt oder Paris nicht verlassen. Es war ein mehrjähriges Ingenieursprojekt, das der Konzern selbst als direkte Reaktion auf den regulatorischen Druck nach dem Schrems-II-Urteil des Gerichtshofs der Europäischen Union beschreibt. HubSpot, der engste Konkurrent im Mittelstandssegment, bietet seit 2021 ein Rechenzentrum in Dublin an, allerdings mit einem engeren Funktionsumfang als Hyperforce. Beide Unternehmen stammen aus den Vereinigten Staaten, die im EIU Democracy Index 7,85 Punkte erreichen. Der Unterschied liegt also nicht im Herkunftsland, sondern darin, wie viele Ingenieure und wie viel Geld jedes Unternehmen in die europäische Datensouveränität investiert hat.
Dieser Vergleich fragt nicht, welches CRM mehr Integrationen hat. Er fragt, was in der Praxis passiert, wenn zwei Unternehmen aus demselben Land dasselbe rechtliche Problem lösen wollen, nämlich Kundendaten europäischer Unternehmen innerhalb der EU zu halten, und dafür sehr unterschiedliche Ressourcen mitbringen. Für deutsche, österreichische und Schweizer Vertriebsorganisationen, die ihre Kundenbeziehungen zunehmend in Cloud-CRMs verwalten, entscheidet diese Frage darüber, wie belastbar ihre Datenschutzdokumentation bei einer Prüfung ist.
Warum der demokratische Ursprung bei CRM-Software zählt
Ein CRM-System sammelt die gesamte Vertriebsgeschichte eines Unternehmens: Kontakte, E-Mails, aufgezeichnete Telefonate, Verträge und häufig Daten über das Surfverhalten, die mit der Identität eines Kunden verknüpft sind. Neben dem Abrechnungssystem ist es das sensibelste Archiv personenbezogener Daten, das ein Unternehmen führt. Die Rechtsordnung, unter der diese Historie verarbeitet wird, bestimmt, welche Behörden Zugriff verlangen können und nach welchen Verfahrensregeln. Bei einem US-Anbieter gehört dazu der CLOUD Act von 2018, der US-Behörden erlaubt, Daten von Unternehmen unter US-Jurisdiktion anzufordern, auch wenn diese Daten physisch im Ausland liegen.
Das stellt die Vereinigten Staaten nicht in dieselbe Risikoklasse wie China (EIU 2,12) oder Russland, wo es keine unabhängige gerichtliche Kontrolle über Anfragen der Nachrichtendienste gibt. Das EU-US Data Privacy Framework, seit Juli 2023 in Kraft, schafft einen Rechtsbehelf für europäische Bürger und Verhältnismäßigkeitsgrenzen für Überwachung. Es verlangt aber eine ehrliche Abwägung. Wer ein CRM auswählt, entscheidet, welcher Anteil seiner Kundendaten dauerhaft in der EU bleibt, welche Funktionen diesen Rahmen verlassen und welche Ausweichmöglichkeiten bestehen, falls sich die transatlantische Rechtslage erneut ändert, wie zuletzt 2020 mit dem Ende des Privacy Shield.
Salesforce: Hyperforce und die vollständigste EU-Datenresidenz
Salesforce wurde 1999 in San Francisco von Marc Benioff, Parker Harris, Dave Moellenhoff und Frank Dominguez gegründet und ist heute unter dem Kürzel CRM an der New Yorker Börse notiert, als weltweit größte Plattform für Kundenmanagement. Der Konzern beschäftigt über 70.000 Menschen und erzielte im Geschäftsjahr 2025 einen Umsatz von rund 38 Milliarden US-Dollar. Diese Größe erklärt, warum Salesforce in der Lage war, seine Infrastruktur für Europa grundlegend neu zu bauen. Hyperforce betreibt praktisch die gesamte Produktpalette, also Sales Cloud, Service Cloud und Marketing Cloud, innerhalb einer europäischen Betriebszone mit Infrastruktur in Frankfurt (Deutschland, EIU 8,80) und Paris (Frankreich, 8,07), ohne für die tägliche Verarbeitung auf US-Rechenzentren angewiesen zu sein.
Hinzu kommt die EU Operating Zone, mit der Salesforce zusätzlich zusagt, dass auch Support-Zugriffe und Betriebsprozesse weitgehend innerhalb Europas abgewickelt werden. Die KI-Suite Einstein, die Lead-Scoring, Umsatzprognosen und KI-gestützte E-Mail-Entwürfe liefert, ist direkt in Hyperforce integriert. Mit dem sogenannten Einstein Trust Layer verspricht Salesforce, dass Eingaben an externe Sprachmodelle maskiert und nicht zum Training verwendet werden. Für einen Datenschutzbeauftragten ist das kein Freibrief, aber eine deutlich besser dokumentierte Ausgangslage als bei vielen Wettbewerbern. Die Schwachstelle liegt im Preis: Die vollständige europäische Residenz ist vor allem in den teureren Editionen verfügbar.
HubSpot: Dublin-Hosting mit engerem Geltungsbereich
HubSpot wurde 2006 in Cambridge, Massachusetts, von Brian Halligan und Dharmesh Shah gegründet, die sich am MIT kennengelernt hatten, und wird unter dem Kürzel HUBS gehandelt. Das Unternehmen prägte den Begriff Inbound-Marketing und wuchs über ein kostenloses CRM, das kleinen Teams den Einstieg ohne Lizenzkosten ermöglicht. Sein Umsatz lag 2025 bei rund 2,9 Milliarden US-Dollar, also bei weniger als einem Zehntel des Umsatzes von Salesforce. HubSpot eröffnete 2021 sein europäisches Rechenzentrum in Dublin (Irland, EIU 8,28), in dem EU-Kunden die Kerndaten ihres Kontos speichern können: Kontakte, Deals, Tickets. Seit 2024 ergänzt ein Standort in Frankfurt die europäische Infrastruktur.
Mehrere neuere Funktionen, vor allem die generativen KI-Werkzeuge des Assistenten Breeze, stützen sich jedoch auf externe Unterauftragsverarbeiter, deren Verarbeitungsort nicht immer garantiert in der europäischen Region liegt. HubSpot dokumentiert diese Einschränkung in seiner öffentlichen Liste der Unterauftragsverarbeiter transparenter als viele Konkurrenten, doch in der Praxis besteht sie weiter. Wer etwa Gesprächszusammenfassungen oder KI-gestützte E-Mail-Entwürfe nutzt, muss Funktion für Funktion prüfen, wo die Verarbeitung tatsächlich stattfindet. Der Ressourcenunterschied zwischen beiden Konzernen schlägt sich hier direkt nieder: Ein Projekt wie Hyperforce, das mehrere Jahre Umbau der Kerninfrastruktur erforderte, kann ein Unternehmen von HubSpots Größe kurzfristig kaum nachbilden.
Der Unterschied zwischen Einstein und Breeze ist nicht nur technischer Natur. Er hat unmittelbare Folgen für jede Datenschutzbeauftragte, die eine Übermittlungsfolgenabschätzung unterzeichnen muss. Wer Salesforce mit Hyperforce und in der EU-Zone aktiviertem Einstein einsetzt, kann diese Abschätzung mit höherer Rechtssicherheit beantworten, weil die Verarbeitung vertraglich und technisch in Europa verankert ist. Wer HubSpot mit Breeze einsetzt, muss dagegen für jede Funktion einzeln dokumentieren, welcher Teil des Arbeitsablaufs tatsächlich in der EU verarbeitet wird und welcher an einen Sprachmodellanbieter außerhalb des EWR geht. In der Praxis bedeutet das mehr Prüfaufwand, regelmäßige Nachkontrollen bei jeder Produktaktualisierung und eine klare interne Richtlinie, welche Kundengespräche überhaupt durch KI-Funktionen laufen dürfen.
Auch die Akzeptanz im Vertrieb unterscheidet sich deutlich. Die Anpassungstiefe von Salesforce ist zugleich sein größtes Einführungsrisiko: Vertriebsteams berichten häufig, dass sich die Plattform für ihren Arbeitsalltag überladen anfühlt, sofern nicht ein Administrator viel Zeit investiert, um die Oberfläche auf das Nötige zu reduzieren. HubSpot wird dank seines einfacheren Standardablaufs von Vertriebsmitarbeitern schneller freiwillig genutzt, stößt aber an Grenzen, sobald die Prozesse eines Unternehmens komplexer werden, als es die vorgegebene Struktur bequem abbildet. Ein CRM, das niemand pflegt, ist datenschutzrechtlich übrigens kein geringeres Risiko, denn veraltete Kontakte und vergessene Notizen verstoßen gegen die Grundsätze der Datenminimierung und Speicherbegrenzung der DSGVO.
Riskante Alternativen: CRM-Software unter autoritärer Rechtsordnung
Für Unternehmen mit Geschäft in Asien oder mit knappem Budget tauchen in Ausschreibungen regelmäßig günstigere CRM-Angebote auf. Problematisch sind vor allem Lösungen, die auf Clouds von Alibaba oder Tencent betrieben werden oder deren Muttergesellschaft ihren Sitz in China hat. Dort verpflichtet das Nationale Nachrichtendienstgesetz von 2017 Organisationen zur Zusammenarbeit mit den Geheimdiensten, ohne dass ein unabhängiges Gericht diese Anfragen filtert. Ein CRM enthält nicht nur Kundendaten, sondern die vollständige Vertriebsstrategie, Preisnachlässe und Verhandlungsnotizen eines Unternehmens: Informationen, die für staatliche Akteure mit wirtschaftspolitischen Interessen besonders wertvoll sind.
Ebenso kritisch sind CRM-Erweiterungen und KI-Plug-ins aus Marktplätzen, deren Betreiber keine nachvollziehbare Eigentümerstruktur offenlegen. Sowohl die AppExchange von Salesforce mit über 7.000 Anwendungen als auch der HubSpot-Marktplatz prüfen Sicherheitsaspekte, nicht aber die demokratische Herkunft der Entwickler. Democratic Market schließt CRM-Anbieter und Erweiterungen aus, deren juristische Person in einem Land mit einem EIU-Wert unter 6,0 sitzt, unabhängig davon, wo sie Server zu betreiben behaupten. Der Grund ist einfach: Wer Zugriff auf das CRM hat, kennt die Kundenbeziehungen eines Unternehmens besser als dessen eigene Geschäftsführung.
Funktionen, Preise und demokratisches Profil im direkten Vergleich
Salesforce dominiert bei Funktionstiefe und Anpassbarkeit. Die Plattform erlaubt den Bau eigener Anwendungen auf dem CRM-Kern, und die AppExchange bietet Tausende Integrationen. Der Preis beginnt bei etwa 25 US-Dollar pro Nutzer und Monat in der Einstiegsedition und übersteigt in vollständigen Enterprise-Konfigurationen leicht 300 US-Dollar pro Nutzer und Monat. Hinzu kommen Implementierungskosten: Die Einführung in einem mittelgroßen Unternehmen dauert mit einem zertifizierten Integrator typischerweise drei bis sechs Monate, und diese Kosten übersteigen im ersten Jahr häufig die Lizenzgebühren selbst.
HubSpot bietet mittelgroßen Vertriebsteams einen zugänglicheren Einstieg, mit einem funktionsfähigen kostenlosen Tarif und bezahlten Plänen ab etwa 20 US-Dollar pro Arbeitsplatz und Monat. Die Kosten steigen gleichmäßiger, wenn Marketing-, Vertriebs- und Servicemodule hinzukommen. HubSpot ist meist innerhalb weniger Wochen einsatzbereit, und die Lernkurve ist für Teams ohne Erfahrung mit komplexen CRM-Systemen deutlich flacher. Beim demokratischen Profil herrscht Gleichstand bei der Herkunft (USA, 7,85). Salesforce erhält einen Punkt für die umfassendere EU-Datenresidenz und die Abdeckung der KI-Funktionen, HubSpot einen Punkt für die transparente Dokumentation und den günstigeren Zugang. Für Unternehmen, die einen europäischen Anbieter bevorzugen, lohnt ein Blick auf Pipedrive mit Wurzeln in Estland (EIU 7,96) oder auf das quelloffene SuiteCRM, das sich in einem deutschen Rechenzentrum selbst betreiben lässt.
EU-Recht 2026 für CRM-Plattformen
Die KI-Verordnung der EU verlangt ab August 2026, dass KI-Systeme, die kundengerichtete Inhalte erzeugen, etwa die E-Mail-Assistenten beider CRMs, kenntlich machen, wenn Inhalte KI-generiert oder KI-gestützt sind. Die DSGVO verlangt weiterhin eine Übermittlungsfolgenabschätzung für jeden Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums. Hyperforce reduziert diese Pflicht erheblich, weil die Verarbeitung in der europäischen Zone bleibt. HubSpot reduziert sie für die CRM-Kerndaten, aber nicht immer für neuere KI-Funktionen. Beide Unternehmen veröffentlichen Transparenzberichte und aktuelle Listen ihrer Unterauftragsverarbeiter, eine Praxis guter Unternehmensführung, die das Data Privacy Framework nicht ersetzt. Dieser Rahmen steht vor weiteren Klagen vor dem Gerichtshof der EU, angestoßen von denselben Organisationen, die bereits Safe Harbor und Privacy Shield zu Fall gebracht haben.
Für Deutschland kommen nationale Besonderheiten hinzu. Die Datenschutzkonferenz der deutschen Aufsichtsbehörden hat in ihren Beschlüssen zu Microsoft 365 und zu US-Cloud-Diensten wiederholt betont, dass Verantwortliche die Rechtmäßigkeit der Verarbeitung selbst nachweisen müssen. Der Data Act, seit 12. September 2025 anwendbar, verpflichtet Anbieter von Datenverarbeitungsdiensten, den Wechsel zu erleichtern und Wechselgebühren bis Januar 2027 vollständig abzuschaffen. Für CRM-Kunden stärkt das das Recht, Kontakte, Deals und Konfigurationen mitzunehmen. Unternehmen im Finanzsektor müssen zudem die DORA-Verordnung beachten, die seit Januar 2025 ein Register der IKT-Dienstleister und dokumentierte Ausstiegspläne verlangt.
So bewertet Democratic Market diese Kategorie
Wenn konkurrierende CRM-Plattformen aus demselben Land stammen, gewichtet Democratic Market drei Faktoren. Erstens den tatsächlichen Umfang der europäischen Datenresidenz: Welcher Anteil der Produktfunktionen ist abgedeckt, nicht nur die Grundspeicherung, sondern auch Backups, Suchindizes, Support-Zugriffe und KI-Verarbeitung? Zweitens die Transparenz und Aktualität der öffentlichen Liste der Unterauftragsverarbeiter, einschließlich der Frage, ob Kunden vorab über Änderungen informiert werden. Drittens die Kontrolle, die der Kunde hat, um KI-Funktionen, die auf Infrastruktur außerhalb der EU angewiesen sind, gezielt abzuschalten.
Eine vierte Ebene betrifft die Zertifizierungen. Salesforce besitzt ISO 27001, ISO 27018 für den Schutz personenbezogener Daten in der Cloud und SOC 2 Type II für nahezu die gesamte Plattform einschließlich der europäischen Hyperforce-Zone, mit jährlich erneuerten unabhängigen Prüfungen. HubSpot besitzt gleichwertige Zertifizierungen für die Kernplattform, legt aber weniger detailliert offen, welche Teile von Breeze von denselben Prüfungen erfasst werden. Nach diesen Kriterien erhält Salesforce mit Hyperforce die höhere Souveränitätsbewertung, HubSpot mit EU-Hosting eine solide Bewertung mit Vorbehalt bei den KI-Funktionen.
Kaufberatung Schritt für Schritt
Erstens: Ermitteln Sie, welcher Anteil Ihrer Kundendaten tatsächlich durch generative KI-Funktionen laufen würde. Wenn Ihr Vertrieb KI-Zusammenfassungen von Kundengesprächen nutzen möchte, ist dieser Anteil hoch; wenn das CRM vor allem als Kontaktdatenbank dient, ist er gering. Zweitens: Fordern Sie vor Vertragsabschluss den Auftragsverarbeitungsvertrag, die aktuelle Liste der Unterauftragsverarbeiter und eine schriftliche Auskunft darüber an, welche KI-Funktionen außerhalb der vertraglich vereinbarten europäischen Residenzzone verarbeitet werden. Diese eine Frage verrät mehr über das tatsächliche Risiko als jede allgemeine DSGVO-Aussage auf der Website des Anbieters.
Drittens: Kalkulieren Sie die Gesamtkosten über drei Jahre, einschließlich Implementierung, Schulung und Administration, nicht nur die Lizenzgebühr. Viertens: Planen Sie den Ausstieg, bevor Sie einsteigen. Eine Migration zwischen HubSpot und Salesforce dauert je nach Datenvolumen und Komplexität der Automatisierungen mehrere Wochen bis Monate; CSV-Exporte decken Kontakte und Deals ab, individuelle Workflows müssen meist manuell neu aufgebaut werden. Fünftens: Beziehen Sie Betriebsrat und Datenschutzbeauftragten früh ein. In Deutschland ist die Einführung eines CRM mit Aktivitätsprotokollen und Leistungsauswertungen in der Regel nach dem Betriebsverfassungsgesetz mitbestimmungspflichtig, und eine fehlende Betriebsvereinbarung kann die Einführung um Monate verzögern.
Fazit: Was Democratic Market empfiehlt
Salesforce und HubSpot teilen denselben demokratischen Ursprung, die Vereinigten Staaten mit 7,85 Punkten, sodass die Entscheidung nicht am Sitzland hängen kann. Der eigentliche Unterschied liegt im Umfang der europäischen Datenresidenz. Eine Regionalbank, ein Versicherer oder ein Krankenhausverbund mit eigener Compliance-Abteilung und Budget für eine Enterprise-Lizenz findet in Salesforce mit Hyperforce und Einstein in der EU-Zone die Option, die Datenresidenzpflichten am direktesten erfüllt, auch wenn die Kosten pro Nutzer erheblich höher liegen.
Ein mittelständisches Software- oder Handelsunternehmen mit zwanzig Vertriebsmitarbeitern und ohne besonders sensible Daten im CRM findet in HubSpot mit Hosting in Dublin oder Frankfurt eine ebenso DSGVO-konforme Lösung für seine Kernbedürfnisse, zu einem Bruchteil der Kosten. In diesem Fall empfiehlt Democratic Market, Breeze-Funktionen für Gespräche mit sensiblen Inhalten zu deaktivieren, bis HubSpot die vollständige europäische Verarbeitung zusichert. Und wer maximale Souveränität sucht, sollte ein quelloffenes CRM auf einem deutschen Server prüfen, in dem Bewusstsein, dass er damit Funktionsumfang gegen Kontrolle tauscht.