Datenschutz bei Integrationen

Hallo erstmal!

Gerade bereite ich mit meinem Datenschutzbeauftragten die Datenschutzerklärung für einen Webauftritt vor, der eine lesende Integration mit Parqet beinhalten soll. Es geht darum, welche personenbezogenen Daten auf Seiten der Integration anfallen, ob und welche Cookies gesetzt werden usw.. Im Developer Hub habe ich keine Informationen explizit zu dieser Frage gefunden.

Mein Verständnis ist bisher: Nach dem Klick auf "Mit Parqet verbinden" loggt sich der User bei Parqet ein und autorisiert dort den Zugriff der Integration auf ein oder mehrere Parqet-Portfolios. Das wird alles in den Einstellungen bzw. Cookies von Parqet persistiert und nicht auf Seiten der Integration.

Theoretisch muss seitens der Integration gar nichts persistiert werden, auch wenn Persistierung des “code verifiers“ sinnvoll ist, um den “state across server restarts and multiple instances“ zu erhalten (vgl. https://developer.parqet.com/blog/implementing-oauth-authentication).

Der “code verifier“ autorisiert die Integration gegenüber Parqet, ist aber kein personenbezogenes Datum. Mit dem Parqet-User, den Parqet-Cookies usw. kommt eine lesende Integration nie in Berührung, richtig?

Ist datenschutzrechtlich sonst noch etwas zu beachten?

2 Kommentare

Melde dich an, um mitzudiskutieren.

Anmelden Registrieren

Sumit

Team

Mod

vor 2 Monaten

Von Parqet werden keine PII geteilt.
Eine Integration, egal ob lesend oder schreibend, hat nichts mit unsren Cookies zutun und PII werden von uns nie geteilt.

Bitnapper

Autor

Investor

vor 2 Monaten

Danke für diese grundsätzliche Klarstellung, Sumit.

Mein Datenschutzbeauftragter möchte aber den Ablauf der Autorisierung - insbesondere des Logins - im Detail nachvollziehen. Gehen wir das mal Schritt für Schritt durch:

Wenn der User mit dem aktuellen Browser noch nicht bei Parqet angemeldet ist, dann wird er nach dem Klick auf “Mit Parqet verbinden“ zu https://app.parqet.com/auth/login weitergeleitet. Die Credentials landen direkt bei Parqet und deshalb kommt die Integration damit nie in Berührung. Parqet legt dann einen Cookie an, um mit dem aktuellen Browser einen SSO über alle Parqet-Seiten und Integrationen hinweg zu realisieren.

Wenn der User mit dem aktuellen Browser schon bei Parqet angemeldet ist, dann erkennt Parqet das anhand des Cookies und überspringt den Login.

Bei einem Autorisierungs-Request muss sich die Integration nur selbst gegenüber Parqet autorisieren. Um welchen User es geht muss die Integration weder wissen noch Parqet mitteilen, weil Parqet dass aus dem beim Login kreierten Parqet-Cookie ausliest. Die Integration hat mit dem / den Parqet-Cookies nichts zu tun.

Habe ich das bitte soweit richtig verstanden oder was muss ich noch wissen, um den Ablauf korrekt darstellen zu können?