Braucht HubSpot eine Cookie-Einwilligung?

Alle Beiträge

Ja, in der EU und im Vereinigten Königreich, wenn das HubSpot-Skript auf Ihrer Website läuft. HubSpot führt __hstc und hubspotutk als nicht notwendige Analytics-Cookies und seine Anzeigen-Pixel als Werbung. Halten Sie das Skript bis zur Einwilligung zurück oder übergeben Sie HubSpot die Entscheidung. Es reicht nicht, Ihre Meta- und LinkedIn-Tags abzusichern, denn HubSpot kann diese Pixel selbst laden.

Welche HubSpot-Cookies brauchen eine Einwilligung?

In der EU gilt Artikel 5 Absatz 3 der ePrivacy-Richtlinie, in Deutschland umgesetzt in § 25 TDDDG, und das Vereinigte Königreich hat mit PECR eine eigene Fassung: Das Speichern auf dem Gerät eines Besuchers braucht eine Einwilligung, außer es ist für den gewünschten Dienst unbedingt erforderlich. In den USA funktionieren die meisten Gesetze der Bundesstaaten anders, als Opt-out, wie der Beitrag zu den US-Datenschutzgesetzen erklärt.

HubSpots eigene Cookie-Liste nimmt Ihnen den Großteil der Einordnung ab:

• Analytics, Einwilligung nötig: __hstc, hubspotutk, __hssc und __hssrc. Die ersten beiden gelten sechs Monate.
• Werbung, Einwilligung nötig: Facebook-, LinkedIn- und Google-Pixel, die über HubSpots Anzeigen-Tool installiert sind.
• Notwendig, keine Einwilligung: die Cookies, die die Entscheidung selbst speichern, etwa __hs_cookie_cat_pref und __hs_do_not_track, dazu Sicherheits- und Mitglieder-Login-Cookies.

Beim Live-Chat lohnt genaues Lesen. HubSpot behandelt messagesUtk als notwendig, wenn die Einstellung für die Einwilligung zu Chat-Cookies aktiv ist. Ist sie aus, gilt eine separate Einwilligungseinstellung im Chatflow. Prüfen Sie also beide, bevor Sie das Cookie einordnen.

Warum laden HubSpots Anzeigen-Pixel, obwohl Ihre Tags blockiert sind?

Weil sie nicht von Ihren Tags kommen. Auf einer echten Website, die wir im August 2026 geprüft haben, waren die Meta- und LinkedIn-Tags im Tag Manager korrekt abgesichert und lösten nicht aus. Der Netzwerk-Trace zeigte trotzdem, wie das HubSpot-Skript js.hsadspixel.net/pixels.js lud, das beide Pixel mit denselben IDs einfügte.

Wir haben die Skripte gelesen, die HubSpot im November 2026 ausgeliefert hat, um den Grund zu finden. Der HubSpot-Loader fügt pixels.js neben seiner Analytics-Datei hinzu, bei beiden von uns geprüften Loadern. Sie können diese Datei öffnen und nach addPrivacyConsentListener suchen. Sie schaut nicht in Ihren Container. Sie hört nur auf eines, den Einwilligungsstatus von HubSpot selbst, und fragt die Pixel-Liste erst ab, wenn die Kategorie advertisement den Wert true hat. Zur Bestätigung haben wir die Datei gegen einen Stub laufen lassen: Ohne Antwort und bei false ging keine Anfrage raus, bei true wurde die Liste abgerufen.

Nun der Punkt, an dem Websites mit einem anderen Einwilligungstool hängen bleiben. Im selben Banner-Skript gilt die Einwilligung für alle Kategorien als erteilt, wenn keine HubSpot-Cookie-Richtlinie zur Seite passt. Eine Website, die den Banner gewechselt und keine HubSpot-Richtlinie hinterlassen hat, sagt der Pixel-Datei also Ja, egal was der Besucher anderswo angeklickt hat. HubSpot beschreibt diesen Standard auf den von uns gelesenen Seiten nicht, und Skripte ändern sich. Der Nachweis für Ihre Website ist deshalb die Prüfung weiter unten.

Reicht der Cookie-Banner von HubSpot aus?

Er kann es sein, für die Cookies von HubSpot selbst. HubSpots Beispiel ist das Facebook-Pixel: Über das Anzeigen-Tool installiert und mit verpflichtendem Opt-in kann es erst Cookies setzen, wenn der Besucher zugestimmt hat. HubSpot schreibt auch, dass der Banner nur HubSpots eigene Cookies abdeckt und dass von Hand im Header eingefügte Pixel außerhalb seiner Kontrolle liegen. Wenn auf Ihrer Website weitere Tags laufen, brauchen Sie dafür trotzdem eine Steuerung. Zwei Banner, die denselben Besucher dasselbe fragen, sollten Sie vermeiden.

Wie halten Sie HubSpot bis zur Einwilligung zurück?

Es gibt vier Wege. Entscheiden Sie danach, was sonst auf der Website läuft und was Sie für Besucher behalten wollen, die ablehnen.

• Der HubSpot-Banner ist Ihr einziger Banner. Geben Sie in Settings unter Privacy & Consent jeder relevanten Seite und Region eine Cookie-Richtlinie, die ein Opt-in verlangt.
• Das ganze Skript mit Ihrem Einwilligungstool zurückhalten. Ergänzen Sie im Tag Manager beim HubSpot-Tag eine Einwilligungsprüfung und lösen Sie es zusätzlich zum Seitenaufruf beim Consent-Update-Event Ihrer Plattform aus. Wenn es Pixel mitbringt, binden Sie es an Werbung, sonst gibt eine reine Analytics-Entscheidung sie frei. Der Preis: Der Loader bringt auch HubSpots Analytics, erfasste Formulare und Pop-ups mit, Besucher, die ablehnen, bekommen also nichts davon.
• Das Skript behalten und HubSpot die Entscheidung mitteilen. Die Cookie-Banner-API von HubSpot beschreibt das: Setzen Sie window.disableHubSpotCookieBanner = true weit oben im Head und senden Sie dann setHubSpotConsent mit den Werten analytics, advertisement und functionality. Der Wert liegt nur im Arbeitsspeicher, Ihr Code muss ihn also auf jeder Seite neu senden. HubSpot weist außerdem darauf hin, dass dieses Flag auch die eigene Einwilligungsverwaltung abschaltet. Alles hängt dann an Ihrem Tool. In dem von uns gelesenen Skript verhindert das Flag die oben beschriebene Standarderlaubnis, und die Pixel-Datei wartet. Die API-Seite sagt nicht, was der Tracking-Code vor einer Entscheidung tut. Prüfen Sie die Cookies also selbst.
• Die Pixel aus HubSpot herausnehmen. Entfernen Sie sie im Tab „Pixel“ und betreiben Sie sie als eigene, abgesicherte Tags. Sichern Sie dann HubSpots Analytics separat ab. Entfernen Sie zuerst: HubSpot warnt, dass ein auf beiden Wegen installiertes Pixel doppelt auslöst. Die Pixel-Datei sendet außerdem Formular-Events. Bauen Sie die nach, die Sie brauchen.

Egal welchen Weg Sie wählen: Prüfen Sie ihn immer gleich.

1. Prüfen Sie die Seite, bevor Sie etwas ändern

   Öffnen Sie die Website in einem frischen Browserprofil mit bereits geöffnetem Netzwerk-Panel und klicken Sie nichts im Banner an. Filtern Sie nach hs-scripts, hsadspixel, connect.facebook.net und snap.licdn.com und suchen Sie dann __hstc, hubspotutk und _fbp in der Cookie-Liste.

2. Finden Sie heraus, was jede Anfrage geladen hat

   Klappen Sie bei jeder Pixel-Anfrage die Initiator-Kette auf. Steht pixels.js direkt darüber, hat HubSpot dieses Pixel geladen und kein Tag aus Ihrem Container. Warum das Facebook-Pixel trotz blockierter Tags noch lädt erklärt, wie Sie die Kette lesen.

3. Listen Sie die Pixel in HubSpot auf

   Öffnen Sie in HubSpot Settings, dann Marketing, dann Ads, und lesen Sie den Tab „Pixels“. Notieren Sie jedes aufgeführte Netzwerk, denn jedes kann aus dem HubSpot-Skript laden.

4. Wenden Sie einen Einwilligungsweg an

   Wählen Sie einen der vier Wege oben und wenden Sie ihn auf jede Seite mit dem HubSpot-Skript an. Zwei Wege auf einer Seite machen das Ergebnis schwer lesbar.

5. Ablehnen, Zustimmen und erneuten Besuch testen

   Wiederholen Sie die Prüfung auf drei Arten: Lehnen Sie ab und prüfen Sie, dass Cookies und Pixel-Anfragen ausbleiben. Stimmen Sie zu und prüfen Sie, dass sie ankommen. Laden Sie dann als derselbe Besucher neu und prüfen Sie, dass die Entscheidung bestehen bleibt. So testen Sie einen Cookie-Banner vor dem Livegang zeigt den ganzen Ablauf.

Die Vorschau Ihres Tag Managers zeigt nichts davon, denn sie beschreibt Tags, und diese Anfragen sind keine Tags. In welche Einwilligungskategorie ein Skript gehört hilft, wenn HubSpot neben anderen Tools läuft, die Sie noch nicht eingeordnet haben.

Was verlieren Sie, wenn ein Besucher ablehnt?

HubSpot schreibt, dass sein Tracking-Code weiterhin laden und ausgeführt werden kann, nachdem nicht notwendige Cookies abgelehnt wurden. Er erfasst dann aggregierte, anonymisierte Seitenaufrufe, die weder einem Besucher noch einem Kontakt zugeordnet sind. Hier unterscheiden sich der zweite und der dritte Weg. Wer das Skript zurückhält, verliert diese Seitenaufrufe bei Ablehnung. Wer die Entscheidung übergibt, behält sie, das Skript läuft aber weiter auf der Seite. Beide Wege holen Besucher, die abgelehnt haben, nicht in Ihre Kontaktdaten zurück. Rechnen Sie nach einer korrekten Umstellung also mit kleineren Quellenberichten in HubSpot.

Velo hält jedes Skript zurück, das Sie mit einer Einwilligungskategorie markieren, bis diese Kategorie erteilt ist, und sendet velo_consent_update für Tag-Manager-Trigger. Ein Einwilligungssignal an HubSpot sendet Velo nicht, der dritte Weg braucht also ein kleines eigenes Skript. Die HubSpot-Seite erklärt die Installation.