Was Slack ist

Slack ist ein Chatdienst für Teams mit Kanälen, Direktnachrichten, Audio- und Videogesprächen (Huddles), Dateiablage und Workflows. Seit 2021 gehört Slack zum US-Konzern Salesforce.

Slack gibt es in den Plänen Free, Pro, Business+ und Enterprise. Funktionen wie Anmeldung per SAML, Datenresidenz und vollständige Exporte setzen höhere Pläne voraus. Eigene Schlüssel über Enterprise Key Management gibt es nur als Zusatz für Enterprise-Pläne.

Wofür es eingesetzt wird

Unternehmen nutzen Slack für die tägliche Abstimmung in Kanälen, oft verbunden mit vielen Fremdanwendungen über Apps und Workflows. Mit Slack Connect lassen sich Kanäle mit Kunden und Partnern teilen.

Die Datenresidenz in Frankfurt erfasst Nachrichten, Dateien und Suchindex. Profile, Mitgliedschaften und Analysedaten liegen aber außerhalb, und Slack legt nur den Speicherort fest, nicht den Ort der Verarbeitung. Einen Betrieb im eigenen Rechenzentrum gibt es nicht.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz als Chatdienst für Unternehmen in der Cloud des Anbieters; Fragen zu Selbstbetrieb und Quellcode sind für einen Cloud-Dienst sinngemäß gelesen.

Rechtsraum nicht erfüllt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	nein	Bei Online-Bestellung ist für Kunden in Deutschland die Slack Technologies Limited in Irland Vertragspartner; Anbieter des Dienstes ist die Slack Technologies, LLC (USA), Konzernmutter die Salesforce, Inc. (USA). Beleg: Slack Supplemental Terms · Slack Affiliates · About Slack
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	nein	Als Dienst einer US-Gesellschaft mit US-Konzernmutter unterliegt Slack dem CLOUD Act (18 U.S.C. § 2713), der Herausgabepflichten für Daten im Besitz oder unter Kontrolle des Anbieters unabhängig vom Speicherort vorsieht. Eine Zusage von Slack oder Salesforce zum Umgang mit Behördenanfragen aus Drittstaaten wurde in den geprüften Quellen nicht gefunden. Beleg: 18 U.S.C. § 2713: Required preservation and disc… · Slack Affiliates
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	teilweise	Enterprise Key Management verschlüsselt Nachrichten, Dateien, Canvases und den Suchindex mit Schlüsseln im AWS Key Management Service des Kunden; der Kunde kann den Zugriff gezielt widerrufen. Das gibt es nur als Zusatz für Enterprise Grid und Enterprise+. Profile, Kanalnamen, Dateinamen, Mitgliedschaften und Analysedaten bleiben mit Slack-Schlüsseln verschlüsselt. Ob Slack bei aktiven Schlüsseln auf Inhalte zugreifen kann, beschreibt die Seite nicht; eine Ende-zu-Ende-Verschlüsselung gibt es nicht. Beleg: Slack Enterprise Key Management (Hilfe-Center) · Slack Trust: Security
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	ja	Slack Technologies gehört seit dem Abschluss der Übernahme am 21.07.2021 zu Salesforce, Inc. (USA); Slack führt sich selbst als Salesforce-Unternehmen und veröffentlicht die Konzerngesellschaften. Ein weiterer Kontrollwechsel zwischen 05.11.2024 und 05.11.2026 ist nicht bekannt. Der Sitz außerhalb der EU wird unter 1.1 bewertet. Beleg: Salesforce Completes Acquisition of Slack (Press… · Slack Affiliates

Datenhoheit nicht erfüllt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	teilweise	Mit Datenresidenz in Frankfurt (Business+ und Enterprise) liegen Nachrichten, Dateien, Canvases, Suchindex und App-Daten in Frankfurt, Sicherungen in Paris. Mitgliederprofile sowie Workspace- und Kanalmitgliedschaften liegen außerhalb der Region, gemeldete Inhalte können in den USA gespeichert werden. Das Salesforce-Dokument zu Infrastruktur und Unterauftragsverarbeitern hält fest, dass bestimmte Kundendaten außerhalb der gewählten Region gespeichert werden können. Beleg: Data residency for Slack (Hilfe-Center) · Infrastructure and Sub-processors (veröffentlich…
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	nein	Auslegung: Betrieb im eigenen Rechenzentrum oder bei einem frei wählbaren Dienstleister. Slack wird nur als Clouddienst von Slack/Salesforce angeboten; die Vertragsbedingungen verweisen auf vom Anbieter betriebene Infrastrukturen. Ein Angebot für Selbstbetrieb ist nicht dokumentiert. Beleg: Slack Supplemental Terms · Slack Trust: Security
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	nicht belegbar	Eine Dokumentation der von Slack-Clients und vom Dienst erhobenen Telemetrie- und Diagnosedaten oder eine Abschaltmöglichkeit wurde nicht gefunden. Slack nennt Analyse- und Dienstqualitätsdaten nur als Datenart, die außerhalb der Residenzregion liegt. Für nicht generative Modelle wertet Slack Nachrichten, Dateien und Nutzungsdaten aus; Kunden können dem per E-Mail widersprechen. Beleg: Data residency for Slack (Hilfe-Center) · Privacy principles: search, learning and artific…
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	teilweise	Slack sagt zu, generative KI-Modelle nur nach ausdrücklicher Einwilligung (Opt-in) mit Kundendaten zu trainieren. Für globale, nicht generative Modelle des maschinellen Lernens (z. B. Empfehlungen) analysiert Slack Kundendaten; der Ausschluss erfordert einen Opt-out per E-Mail an Slack. Die Zusagen stehen in den Datenschutzgrundsätzen, eine eigene Vertragsklausel war nicht einsehbar. Beleg: Privacy principles: search, learning and artific…

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	Slack ist ein proprietärer Clouddienst; Quellcode der Kernfunktionen steht nicht unter einer OSI-Lizenz zur Verfügung. Beleg: Main Services Agreement (Einstiegsseite) · Slack Supplemental Terms
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Der Betrieb setzt den Dienst von Slack/Salesforce und ein Abonnement voraus; Funktionen wie SAML-SSO und Datenresidenz erfordern die Pläne Business+ oder Enterprise, Enterprise Key Management einen weiteren Zusatz. Beleg: SAML single sign-on (Hilfe-Center) · Data residency for Slack (Hilfe-Center) · Slack Enterprise Key Management (Hilfe-Center)
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	nein	Auslegung: Weiterbetrieb nach Ende des bezahlten Abonnements. Ein Workspace im kostenlosen Plan zeigt nur Nachrichten und Dateien der letzten 90 Tage; seit 26. August 2024 werden Inhalte, die älter als ein Jahr sind, fortlaufend und unwiderruflich gelöscht. Canvases werden schreibgeschützt, Listen ausgeblendet und nach einem Jahr gelöscht. Beleg: Updates to message and file history on free work… · Usage limits for free workspaces (Hilfe-Center)

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	ja	Slack führt Zertifikate nach ISO/IEC 27001, 27017, 27018 und 27701 (Zertifikatsdateien von 2025) sowie ein abgeschlossenes BSI-C5-Testat; der C5-Bericht ist über das Account-Team erhältlich. Prüfzeitraum und Geltungsbereich wurden nicht eingesehen. Beleg: Slack Trust: Compliance
4.2 Öffentlicher Prozess für Sicherheitslücken?	teilweise	Slack betreibt ein öffentliches Bug-Bounty-Programm auf HackerOne als Meldeweg für Sicherheitslücken. Öffentliche Sicherheitshinweise mit CVE-Nummern oder eine dokumentierte Patchpolitik für den Clouddienst wurden in den geprüften Quellen nicht gefunden. Beleg: Slack Bug Bounty Program · Slack Trust: Security
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	Vertragspartner für Online-Bestellungen aus Deutschland ist die Slack Technologies Limited in Irland (EU); es gilt aber englisches Recht mit Gerichtsstand London, also kein EU-Recht. Für Bestellungen über den Vertrieb (Order Form nach Main Services Agreement) wurden Vertragspartner und Recht nicht belegt; das Main Services Agreement liegt als Salesforce-Dokument vor und wurde nicht eingesehen. Beleg: Slack Supplemental Terms · Main Services Agreement (Einstiegsseite) · Slack Affiliates
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	teilweise	Salesforce veröffentlicht für Slack eine Liste mit Unterauftragsverarbeitern und Standorten (AWS in 13 Ländern, u. a. Deutschland, Frankreich, USA, Indien) sowie Support-Gesellschaften mit Ländern; Kunden können Benachrichtigungen über neue Unterauftragsverarbeiter abonnieren. Eine Frist für die Vorabankündigung ist im abgerufenen Dokument nicht genannt, und der Slack-Abschnitt war nur teilweise lesbar. Die Slack-Seite zu Unterauftragsverarbeitern war technisch nicht abrufbar. Beleg: Infrastructure and Sub-processors (veröffentlich…
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	nein	Das Salesforce-Dokument zu Infrastruktur und Unterauftragsverarbeitern nennt im Abschnitt „Support For All Services“ für Support einschließlich technischem Betrieb Salesforce-Gesellschaften u. a. in den USA, Indien, Japan, Israel, Singapur, Thailand, Argentinien und Brasilien. Eine Beschränkung von Betrieb und Administration auf Personal in EU, EWR oder Schweiz oder eine Freigabe je Supportzugriff ist für Slack nicht dokumentiert. Beleg: Infrastructure and Sub-processors (veröffentlich… · Slack Trust: Security

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Exporte liegen im offenen JSON-Format vor (Enterprise auch TXT, Kanalprüfung als CSV), das Schema ist aber Slack-spezifisch. Dateien werden nur als Links exportiert, im kostenlosen Plan nur für die letzten 90 Tage. Ein Export in ein standardisiertes Chatformat ist nicht dokumentiert. Beleg: Export your workspace data (Hilfe-Center)
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	Slack unterstützt SAML-SSO (Business+ und Enterprise, mit u. a. Microsoft Entra, Okta, Google Workspace) und den Bereitstellungsstandard SCIM. Die Web API ist dokumentiert; für kommerziell verteilte Apps außerhalb des Slack Marketplace gelten seit Mai 2025 stark gesenkte Abruflimits für den Nachrichtenverlauf. Beleg: SAML single sign-on (Hilfe-Center) · Rate limit changes for non-Marketplace apps
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	teilweise	Öffentliche Kanäle können Owner und Admins in allen Plänen selbst exportieren. Private Kanäle und Direktnachrichten lassen sich in Business+ erst nach Antrag für rechtliche und regulatorische Zwecke exportieren, in Enterprise muss der Zugang zum Exportwerkzeug beim Support angefragt werden. Vom Kunden selbst gebaute interne Apps behalten laut Slack die höheren API-Limits für den Nachrichtenverlauf. Beleg: Export your workspace data (Hilfe-Center) · Rate limit changes for non-Marketplace apps

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Welcher Vertragspartner und welches Recht bei einem Vertrag über den Vertrieb gelten. Belegt ist nur die Regel für Online-Bestellungen.
Prüfzeitraum und Geltungsbereich des C5-Testats. Der Bericht ist nur über das Account-Team erhältlich.
Ob Slack bei aktiven Kundenschlüsseln auf Inhalte zugreifen kann.
Welche Sprachmodelle Slack AI nutzt, bei welchen Anbietern sie laufen und wie die Vertragsklausel zum Training von Modellen auszulegen ist.
Welche Telemetriedaten die Slack-Anwendungen erheben.
Was bei Kündigung eines Enterprise-Vertrags mit den Daten geschieht.
Ob die Support-Tabelle im Salesforce-Dokument für Slack ausdrücklich gilt, weil der Hinweis unter „Support For All Services“ auf die „Covered Services“ verweist und der Slack-Abschnitt nur abgeschnitten lesbar war.
Welche Frist Salesforce/Slack für die Ankündigung neuer Unterauftragsverarbeiter vertraglich zusagt, weil der Slack-DPA (PDF bei salesforce.com) und die Slack-Liste (slack.com/api.slack.com) für den Abruf gesperrt waren.
Ob Slack eine Freigabe je Fall für Supportzugriffe auf Inhalte anbietet (vergleichbar Lockbox), weil weder Trust-Seite noch Hilfe-Center dies beschreiben; das Whitepaper „Security at Slack“ wurde nicht eingesehen.

Fragen vor einer Entscheidung

Welche Gespräche und Dateien dürfen bei einem Anbieter liegen, der auf Anordnung von US-Behörden zur Herausgabe verpflichtet werden kann?
Reicht Ihnen ein Plan mit Datenresidenz in Frankfurt, und können Sie damit leben, dass Profile und Metadaten außerhalb liegen?
Welcher Vertragspartner und welches Recht gelten in Ihrem Vertrag, wenn Online-Bestellungen englischem Recht unterliegen?
Haben Sie geprüft, wie Sie private Kanäle und Direktnachrichten vollständig exportieren, und was mit dem Verlauf geschieht, wenn Sie auf den kostenlosen Plan wechseln?

Slack