slack.com — 72/100 (Mittleres Datenschutzrisiko)
Zuletzt analysiert
Slack Technologies, LLC · slack.com
Berichtsdetails
Mittleres DatenschutzrisikoSlack erfasst eine breite Palette personenbezogener und Nutzungsdaten und stützt sich bei der Verarbeitung und weltweiten Übermittlung stark auf weit gefasste berechtigte Interessen, obwohl es Standard-DSGVO (GDPR)-Rechte und Schutzmaßnahmen wie Standardvertragsklauseln bietet.
Die Slack-Datenschutzrichtlinie unterscheidet klar zwischen Kundendaten (bei denen der Arbeitgeber/Kunde der Verantwortliche ist) und Sonstigen Informationen (bei denen Slack der Verantwortliche ist). Obwohl diese Doppelrollenstruktur für Enterprise-SaaS Standard ist, werfen Slacks Berufung auf „berechtigte Interessen“ für eine umfangreiche Verarbeitung – einschließlich prädiktiver Modellierung, Marketing und internationaler Datenübermittlungen – unter den Verhältnismäßigkeitsanforderungen der DSGVO (GDPR) Compliance-Bedenken auf. Die Richtlinie ist transparent in Bezug auf die Datenfreigabe für verbundene Unternehmen und Dritte und nutzt Standardvertragsklauseln für EU-Datenübermittlungen, enthält jedoch keine Details zu ergänzenden Übermittlungsmaßnahmen und spezifischen Aufbewahrungsfristen für Nicht-Kundendaten.
Kategoriebewertung
Aufschlüsselung der Richtlinie nach zentralen Compliance-Bereichen. Gut = stark, mittel = gemischt, schlecht = bedenklich.
Slack erfasst eine breite Palette an „Sonstigen Informationen“, einschließlich Metadaten, Gerätedetails und Drittanbieterdaten, was über das für grundlegende Messaging-Funktionen zwingend Erforderliche hinausgeht.
Die Richtlinie grenzt klar zwischen Kundendaten und Sonstigen Informationen ab und listet Zwecke und Rechtsgrundlagen der Verarbeitung explizit auf, obwohl einige Behauptungen zu berechtigten Interessen recht weit gefasst sind.
Daten werden mit verbundenen Unternehmen, Event-Sponsoren, professionellen Beratern und Unterauftragsverarbeitern geteilt, wobei auf die Unterauftragsverarbeiterliste von Salesforce verwiesen wird, jedoch fehlt es für den Nutzer an einer granularen Kontrolle über diese spezifischen Freigaben.
Übermittelt Daten explizit unter Verwendung von SCCs außerhalb des EWR (EEA) in die USA und andere Länder, enthält aber keine Details zu den nach dem Schrems-II-Urteil erforderlichen ergänzenden Maßnahmen zum Schutz vor US-Überwachung.
Die Richtlinie gibt ausdrücklich an, dass Slack Daten nutzt, um „Such-, Lern- und Produktivitätstools sowie zusätzliche Funktionen zu entwickeln und bereitzustellen“ und „prädiktive Modelle“ auf Basis berechtigter Interessen, ohne einen spezifischen oder einfachen Opt-out-Mechanismus für dieses KI-Training anzubieten.
Skizziert klar die DSGVO (GDPR)-Rechte, einschließlich Zugang, Löschung, Berichtigung und das Recht auf Widerspruch gegen berechtigte Interessen, und bietet Kontaktinformationen für den Datenschutzbeauftragten und die Datenschutzaufsichtsbehörde.
Wichtigste Befunde
Bemerkenswerte Klauseln, Probleme oder positive Praktiken (kritische zuerst)
Weitreichende Berufung auf berechtigte Interessen für die Kernverarbeitung
Slack stützt sich stark auf „berechtigte Interessen“ als Rechtsgrundlage für die Verarbeitung Sonstiger Informationen, einschließlich der Entwicklung prädiktiver Modelle, Marketing und internationaler Datenübermittlungen. Nach der DSGVO (GDPR) erfordert dies einen strengen Abwägungstest, und die Verwendung für globale Übermittlungen oder KI-Entwicklung könnte einer behördlichen Überprüfung möglicherweise nicht standhalten, wenn die Nutzerrechte nicht angemessen gewahrt bleiben.
KI und prädiktive Modellierung ohne spezifisches Opt-out
Die Richtlinie besagt, dass Slack Sonstige Informationen nutzt, um „Such-, Lern- und Produktivitätstools sowie zusätzliche Funktionen zu entwickeln und bereitzustellen“ und um Vorschläge „basierend auf historischer Nutzung und prädiktiven Modellen“ zu machen. Es wird kein spezifischer Opt-out-Mechanismus für dieses KI-/Modelltraining angeboten, sondern nur ein allgemeines Recht auf Widerspruch gegen berechtigte Interessen.
Vage Aufbewahrungsfristen für Sonstige Informationen
Während die Aufbewahrung von Kundendaten vom Kunden kontrolliert wird, gibt Slack an, Sonstige Informationen „solange wie nötig“ oder für den „Zeitraum, der für die Verfolgung legitimer Geschäftsinteressen durch Slack erforderlich ist“ aufzubewahren. Dieser vage Zeitrahmen steht im Widerspruch zur Anforderung der DSGVO (GDPR) an eine strenge Speicherbegrenzung.
Klarheit der Doppelrolle als Verantwortlicher/Auftragsverarbeiter
Die Richtlinie unterscheidet klar, dass der Kunde der Verantwortliche für die Kundendaten ist, während Slack der Auftragsverarbeiter ist, und dass Slack der Verantwortliche für Sonstige Informationen ist. Diese Transparenz hilft den Nutzern zu verstehen, dass sie sich für Workspace-Datenanfragen an ihren Arbeitgeber wenden müssen und für Metadaten-/Nutzungsanfragen an Slack.
Fazit für Nutzer
Ihr Arbeitgeber kontrolliert Ihre Workspace-Nachrichten und -Dateien, aber Slack kontrolliert Ihre Nutzungsmetadaten, Geräteinformationen und Profildaten und verwendet diese für weitreichende Zwecke wie die Entwicklung von KI-Funktionen und Marketing; Sie können gegen einen Teil dieser Verarbeitung Widerspruch einlegen, das Abbestellen von Service-Mitteilungen ist jedoch nicht zulässig.
Compliance-Posture
mixed
EU-Übermittlungen
Daten werden unter Verwendung von Standardvertragsklauseln (SCCs) außerhalb des EWR (EEA) in die USA und andere Länder übermittelt, aber die Richtlinie enthält keine expliziten Details zu ergänzenden technischen Maßnahmen zum Schutz der Daten vor US-Überwachung und verlässt sich stattdessen auf eine Rechtfertigung durch „berechtigtes Interesse“ für die Übermittlung selbst.
Erkannte Signale
Konkrete Datenpunkte und Praktiken im Text identifiziert
Textbelege
Direkte Zitate aus der Richtlinie, die diese Befunde stützen
We rely on our legitimate interests or the legitimate interests of a third party where they are not outweighed by your interests or fundamental rights and freedoms (‘legitimate interests’).
To develop and provide search, learning and productivity tools and additional features... make Services or Third-Party Service suggestions based on historical use and predictive models;
Slack may retain Other Information pertaining to you for as long as necessary for the purposes described in this Privacy Policy... This may include keeping your Other Information after you have deactivated your account for the period of time needed for Slack to pursue legitimate business interests...
Slack uses Standard Contractual Clauses approved by the European Commission... for transfers to, among others, Australia, Canada, India, Japan, South Korea and the United States.
Fehlend oder unklar
- Keine spezifischen ergänzenden Maßnahmen für US-Datenübermittlungen nach dem Schrems-II-Urteil detailliert
- Keine spezifischen Aufbewahrungsfristen für Sonstige Informationen
- Kein expliziter Opt-out-Mechanismus für KI-/prädiktives Modelltraining
- Keine Details zur automatisierten Entscheidungsfindung oder Profilierungslogik über prädiktive Modelle hinaus
Fragen zum Nachfragen
- Wie führt Slack den für die Berufung auf berechtigte Interessen erforderlichen Abwägungstest durch und dokumentiert ihn, insbesondere für die Verwendung personenbezogener Daten zur Entwicklung prädiktiver Modelle und KI-Funktionen?
- Welche spezifischen technischen und organisatorischen ergänzenden Maßnahmen setzt Slack neben den Standardvertragsklauseln zum Schutz der in die Vereinigten Staaten übermittelten EU-Personendaten um?
- Was ist die maximale Aufbewahrungsfrist für „Sonstige Informationen“ nach der Deaktivierung eines Nutzerkontos, und wie wird das „legitime Geschäftsinteresse“ in diesem Kontext streng definiert?
- Können Nutzer explizit der Verwendung ihrer Sonstigen Informationen für „prädiktive Modelle“ und „Lerntools“ widersprechen, ohne die Kernfunktionalität des Dienstes zu verlieren?
Diese Analyse teilen
Jeder mit diesem Link kann das Ergebnis oben einsehen.
Entwickelt von DentroChat
100 % europäischer KI-Chat für alle
Chatte mit KI, arbeite mit Dateien, generiere Bilder und suche im Web. Daten bleiben in Europa.
Weitere analysierte Datenschutzerklärungen
Alle anzeigenapple.com
72/100
Mittleres DatenschutzrisikoApples Datenschutzhinweis zu Messages zeigt eine starke Verschlüsselung und kurze Datenspeicherung, lässt aber kritische Lücken bei der EU-Konformität – keine Erwähnung von internationalen Übermittlungen, DSGVO (GDPR)-Benutzerrechten oder ob Nachrichten-Metadaten für das Training von KI-Modellen verwendet werden.
Bericht ansehen →about.qwant.com
72/100
Mittleres DatenschutzrisikoQwant bietet standardmäßig einen starken Datenschutz ohne Tracking-Cookies, aber die Erstellung eines Kontos oder die Zustimmung zu Cookies teilt erhebliche Daten mit Microsoft, und die Richtlinie lässt Klarheit bei internationalen Übermittlungen und KI-Training vermissen.
Bericht ansehen →signal.org
72/100
Mittleres DatenschutzrisikoSignal sammelt wirklich fast nichts und verschlüsselt alles, aber seine rechtliche Dokumentation ist veraltet und es fehlen wichtige DSGVO-geforderte Angaben wie Übermittlungssicherheiten, Aufbewahrungsfristen und Verfahren zu Benutzerrechten.
Bericht ansehen →robotstxt.es
68/100
Mittleres DatenschutzrisikoRobotstxt respektiert im Allgemeinen die EU-Datenschutzvorschriften, es fehlen jedoch klare Details zu den Rechtsgrundlagen, Drittanbietern (Auftragsverarbeitern) und der Nutzung von KI.
Bericht ansehen →