Slack und DSGVO: Compliance-Leitfaden 2026

In einem Satz. Das größte Datenschutzproblem bei Slack ist nicht der Anbieter, sondern die Voreinstellung: Slack bewahrt standardmäßig alles unbegrenzt auf, und ein Chatverlauf über fünf Jahre ist ein vollständiges Protokoll der Arbeitsbeziehungen, Krankmeldungen, Konflikte und Meinungsäußerungen Ihrer Belegschaft.

Slack wird als Kommunikationswerkzeug beschafft und dann als Aktenablage benutzt. Genau daraus entsteht die datenschutzrechtliche Schieflage: Beschäftigte schreiben in einem Chat Dinge, die sie in eine E-Mail nie schreiben würden, und diese Nachrichten bleiben unbegrenzt gespeichert, durchsuchbar und über Exportfunktionen auswertbar. Wer Slack datenschutzkonform betreiben will, entscheidet vor allem über Aufbewahrung, Zugriff und externe Kanäle. Der Anbieter — Slack Technologies, Teil des Salesforce-Konzerns — liefert dafür brauchbare Werkzeuge; er stellt sie nur nicht von selbst richtig ein. Alle Anbieterangaben haben den Stand Juli 2026 und sind vor Verwendung in Ihrer Dokumentation in Slacks aktueller Rechts- und Sicherheitsdokumentation nachzuprüfen.

Wichtige Punkte

• Der AV-Vertrag ist über die Slack-Rechtsdokumentation abrufbar und wird mit den Nutzungsbedingungen einbezogen.
• Datenresidenz in europäischen Regionen wird für bestimmte Tarife angeboten und deckt bestimmte Datenarten ab — nicht zwingend alle.
• Die Aufbewahrung ist der zentrale Konfigurationspunkt: Standard ist unbegrenzt, für Kanäle wie für Direktnachrichten.
• Slack Connect öffnet Kanäle für fremde Organisationen — eine Datenübermittlung, die keinen eigenen Beschaffungsvorgang durchläuft.
• Analysen und Exportfunktionen berühren die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG.

1. Welche personenbezogenen Daten Slack verarbeitet

Auf der Oberfläche: Profildaten (Name, dienstliche E-Mail, Telefonnummer, Position, Foto, Zeitzone), Nachrichteninhalte in öffentlichen und privaten Kanälen, Direktnachrichten, hochgeladene Dateien, Sprach- und Videomitschnitte, Emoji-Reaktionen, Kanalzugehörigkeiten und Statusmeldungen. Darunter: Anmeldeprotokolle mit IP-Adresse und Gerät, Aktivitätsdaten (wann jemand online war, wie viele Nachrichten er gesendet hat, in welchen Kanälen), Verbindungsdaten zu integrierten Anwendungen.

Datenschutzrechtlich entscheidend ist, dass diese Bestände nicht getrennt betrachtet werden können. Ein Kanalverlauf enthält regelmäßig besondere Kategorien nach Art. 9 DSGVO, ohne dass ein Feld dafür existiert: „Ich bin heute krank", „Ich bin im Krankenhaus bei meinem Vater", Diskussionen über Gewerkschaftsthemen, politische Meinungsäußerungen in informellen Kanälen. Diese Daten sind über die Suche und über den Datenexport zugänglich. Betroffene sind Beschäftigte, externe Dienstleister mit Gastzugang und — über geteilte Kanäle — Beschäftigte anderer Unternehmen.

2. Der AV-Vertrag nach Art. 28 DSGVO

Slack stellt einen Auftragsverarbeitungsvertrag über seine Rechtsdokumentation bereit. Für die meisten Kunden wird er als Bestandteil der Nutzungsbedingungen einbezogen und ist damit selbstvollziehend; bei Enterprise-Verträgen kann eine gesonderte Zeichnung vorgesehen sein. Prüfen Sie, welcher Fall bei Ihnen vorliegt, laden Sie die geltende Fassung herunter und archivieren Sie sie mit Abrufdatum. Inhaltlich sind die Pflichtangaben des Art. 28 Abs. 3 abgedeckt — Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen, Unterstützung bei Betroffenenrechten und Folgenabschätzung, Löschung oder Rückgabe, Prüfrechte in Form von Berichten Dritter. Die Anforderungen im Einzelnen erklärt unser Beitrag zur Auftragsverarbeitung nach DSGVO, eine Vergleichsvorlage bietet das AVV-Muster.

Zwei Punkte verdienen Aufmerksamkeit. Erstens die Konzernzugehörigkeit: Slack gehört zu Salesforce, und die Subprozessorliste enthält entsprechend Konzerngesellschaften. Wenn Sie beide Produkte einsetzen, führen Sie die Bewertungen zusammen — die Vertragswerke unterscheiden sich, die Konzernstruktur nicht; siehe dazu unseren Leitfaden zu Salesforce. Zweitens die Subunternehmerklausel: Sie arbeitet mit allgemeiner Vorabgenehmigung und Widerspruchsrecht. Lesen Sie die Ankündigungsfrist nach und regeln Sie intern, wer die Benachrichtigungen bewertet.

3. Hosting und Drittlandtransfer (Stand: Juli 2026)

Slack betreibt seine Infrastruktur historisch in den USA und bietet für höhere Tarife eine Datenresidenz in weiteren Regionen an, darunter europäische Standorte. Wichtig für die Bewertung: Datenresidenz-Angebote decken typischerweise bestimmte Datenarten im Ruhezustand ab — Nachrichteninhalte und Dateien —, während Metadaten, Suchindizes oder Verarbeitungen für bestimmte Funktionen weiterhin außerhalb der gewählten Region stattfinden können. Erfinden Sie hier nichts: Lassen Sie sich von Slack die für Ihren Tarif geltende Abdeckung schriftlich geben, notieren Sie das Datum und schreiben Sie in Ihre Dokumentation, was tatsächlich abgedeckt ist, nicht was das Marketing verspricht.

Für Übermittlungen in die USA sind vertraglich die Standardvertragsklauseln einbezogen; ob zusätzlich eine Zertifizierung unter dem EU-US Data Privacy Framework besteht, prüfen Sie auf der offiziellen Liste und halten das Prüfdatum fest. In die Akte gehören: Tarif, gewählte Region, Abdeckungsumfang der Residenz, Transfergrundlage, Prüfdatum und eine Transfer-Folgenabschätzung. Die Methodik steht im Beitrag zur internationalen Datenübermittlung, die Besonderheiten US-amerikanischer Anbieter im Beitrag DSGVO und US-Unternehmen.

4. Subprozessoren und Sicherheitsnachweise

Slack veröffentlicht eine Liste seiner Unterauftragsverarbeiter mit Zweck und Standort und bietet ein Abonnement für Änderungsbenachrichtigungen. Legen Sie intern fest, wer diese Benachrichtigungen erhält und bewertet — ein neuer Dienstleister in einem Drittland kann Ihre Transferbewertung ändern, und wer die Widerspruchsfrist verstreichen lässt, hat zugestimmt.

Bei den Nachweisen verweist Slack nach eigenen Angaben auf ISO-Zertifizierungen und SOC-Berichte, die über ein Sicherheits- beziehungsweise Compliance-Portal angefordert werden können (Stand Juli 2026). Fordern Sie die aktuellen Dokumente an, prüfen Sie Geltungsbereich und Berichtszeitraum und legen Sie sie zu Ihrer Dienstleisterprüfung. Die Maßnahmen, die Sie selbst verantworten — Zwei-Faktor-Anmeldung, Einmalanmeldung, Sitzungsdauer, Geräteverwaltung —, bemessen sich an Art. 32 DSGVO.

5. Konfigurations-Checkliste

1. Aufbewahrungsfristen setzen — die wichtigste Einstellung überhaupt. Standard ist unbegrenzt. Legen Sie Fristen für Kanäle, Direktnachrichten und Dateien fest; sechs bis zwölf Monate sind für allgemeine Arbeitskommunikation ein üblicher Rahmen. Systematik im Löschkonzept, Fristenlogik in der Aufbewahrungsfristen-Tabelle.
2. Bearbeitungs- und Löschrechte der Nutzer regeln. Können Beschäftigte eigene Nachrichten löschen? Das ist eine bewusste Entscheidung, keine Nebensache.
3. Slack Connect und geteilte Kanäle steuern. Legen Sie fest, wer externe Organisationen einladen darf und welche Genehmigung dafür nötig ist. Jeder geteilte Kanal ist eine Übermittlung an einen Dritten.
4. Gastzugänge befristen und regelmäßig aufräumen. Externe Dienstleister bleiben sonst jahrelang in Kanälen.
5. Anwendungen im App-Verzeichnis genehmigungspflichtig machen. Ohne Freigabepflicht installieren Beschäftigte Integrationen, die Nachrichteninhalte an Dritte weitergeben — jede davon ist ein eigener Empfänger.
6. Einmalanmeldung und Zwei-Faktor-Authentifizierung erzwingen, Sitzungsdauer begrenzen.
7. Exportfunktionen und Discovery-Schnittstellen beschränken. Der Export privater Kanäle und Direktnachrichten ist technisch möglich; regeln Sie schriftlich, unter welchen Voraussetzungen und mit welcher Beteiligung er zulässig ist.
8. KI- und Zusammenfassungsfunktionen bewusst freischalten. Sie greifen auf Nachrichtenbestände zu und brauchen eine eigene Bewertung — Systematik im Beitrag Datenschutz bei KI-Tools.
9. Analysefunktionen prüfen. Aktivitätsauswertungen je Nutzer sind zur Leistungskontrolle geeignet und damit mitbestimmungspflichtig.
10. Nutzungsregeln schriftlich fassen. Welche Inhalte gehören nicht in Slack — Gesundheitsangaben, Bewerbungsunterlagen, Vertragsentwürfe mit Personenbezug? Eine IT-Nutzungsrichtlinie ist hier wirksamer als jede technische Maßnahme.

6. Was ins Verarbeitungsverzeichnis gehört

Legen Sie einen Eintrag „Interne Kommunikation und Zusammenarbeit" an: Zweck (Arbeitsorganisation, Projektkommunikation), Rechtsgrundlage (§ 26 BDSG für Beschäftigte, gegebenenfalls eine Betriebsvereinbarung, Art. 6 Abs. 1 lit. f für externe Teilnehmer), Datenkategorien mit ausdrücklichem Hinweis darauf, dass Freitextinhalte unbeabsichtigt besondere Kategorien enthalten können, Betroffenenkategorien (Beschäftigte, Gäste, Beschäftigte verbundener Organisationen über geteilte Kanäle), Empfänger mit Slack als Auftragsverarbeiter und den relevanten Unterauftragnehmern, Drittlandbezug mit Grundlage und Prüfdatum, Aufbewahrungsfristen je Nachrichtenart und die technischen Maßnahmen. Struktur und Vorlage im Beitrag Verzeichnis von Verarbeitungstätigkeiten. Wenn Sie mehrere Kollaborationswerkzeuge parallel betreiben, lohnt der Abgleich mit der Bewertung von Microsoft 365 — die Fragen sind ähnlich, die Antworten nicht. Wer AV-Verträge, Subprozessorlisten und Verzeichniseinträge über viele Werkzeuge hinweg synchron halten will, tut das sinnvollerweise in einer Datenschutzplattform wie Legiscope; die Marktübersicht steht im DSGVO-Software-Vergleich.

7. Wann eine DSFA nötig ist

Slack als normales Kommunikationswerkzeug mit gesetzten Aufbewahrungsfristen löst für sich keine Pflicht nach Art. 35 DSGVO aus. Die Schwelle wird erreicht, wenn Aktivitätsanalysen über einzelne Beschäftigte ausgewertet werden, wenn Discovery-Schnittstellen eine systematische Durchsuchung privater Kanäle und Direktnachrichten ermöglichen, wenn unbegrenzte Aufbewahrung mit umfassenden Suchrechten zusammentrifft — dann entsteht faktisch ein durchsuchbares Verhaltensarchiv über Jahre —, oder wenn KI-Funktionen den gesamten Nachrichtenbestand erschließen. In diesen Fällen ist die Datenschutz-Folgenabschätzung durchzuführen und mit der Muss-Liste Ihrer Aufsichtsbehörde abzugleichen. Sie ist zugleich der geeignete Ort, um die Anforderungen des Betriebsrats zu dokumentieren.

FAQ

Ist Slack DSGVO-konform?

Kein Produkt ist das. Slack liefert AV-Vertrag, Sicherheitsnachweise, Datenresidenzoptionen und Aufbewahrungsfunktionen. Rechtmäßig wird Ihre Verarbeitung erst durch gesetzte Löschfristen, ein gepflegtes Zugriffskonzept, geregelte externe Kanäle und die dokumentierte Rechtsgrundlage.

Wie lange darf ich Slack-Nachrichten aufbewahren?

So lange, wie es für den Zweck erforderlich ist — und Arbeitskommunikation ist selten länger als ein Jahr erforderlich. Unbegrenzte Aufbewahrung als Standardeinstellung verstößt gegen den Grundsatz der Speicherbegrenzung, wenn sie nicht positiv begründet ist. Legen Sie Fristen fest und dokumentieren Sie die Begründung.

Ist Slack Connect eine Datenübermittlung?

Ja. Ein mit einer fremden Organisation geteilter Kanal gibt Nachrichten, Dateien und Profilangaben an einen Dritten weiter. Regeln Sie Genehmigung, Zweck und Beendigung solcher Kanäle, und behandeln Sie die Gegenseite je nach Konstellation als eigenen Verantwortlichen.

Muss der Betriebsrat beteiligt werden?

Ja, sobald Auswertungs-, Analyse- oder Exportfunktionen verfügbar sind. Slack ist objektiv geeignet, Verhalten und Leistung zu überwachen, und das genügt für § 87 Abs. 1 Nr. 6 BetrVG. Eine Betriebsvereinbarung, die Auswertungen abschließend aufzählt und Aufbewahrungsfristen festschreibt, ist der übliche Weg.

Fazit

Bei Slack liegt das Risiko fast vollständig in zwei Voreinstellungen: unbegrenzte Aufbewahrung und ungeregelte externe Kanäle. Beide sind in wenigen Minuten korrigiert und werden trotzdem in den meisten Installationen nie angefasst. Setzen Sie Fristen, machen Sie App-Installationen genehmigungspflichtig, regeln Sie Slack Connect und Exportrechte schriftlich, binden Sie den Betriebsrat ein und klären Sie die tatsächliche Abdeckung Ihrer Datenresidenz mit Datum. Der Anbieter ist dabei der kleinere Teil der Aufgabe.