DSGVO und Komponentenhersteller wie DevExpress

[dataspider]

Hallo

Ich habe jetzt den Fall, dass ein PDF von einem Online - Berwerbungsportal zu uns kommt.
Der DevExpress PDF-Viewer erzeugt beim Laden eine Zugriffsverletzung.

Jetzt melde ich das im DevExpress Supportcenter hier...
Natürlicht wäre es hilfreich, dass PDF mit zur Verfügung zu stellen.

Das Dokument enthält aber sensible personenbezogene Daten.
Es müsste sichergestellt sein, dass dieses nach X Tagen gelöscht wird.
Auch wenn ich einen Supporteintrag als Privat kennzeichnen kann, ist dies ja nicht gewährleistet.

Meine Geschäftsleitung hat entschieden, dass keine derartige Dokumente weitergegeben werden dürfen.

Gibt es beu euch bereits Erfahrungen oder gesicherte Informationen, ob und wie man so etwas DSGVO - konform handhabt?

Danke

Frank

[Stevie]

Hilft das weiter?
https://t3n.de/news/dsgvo-daten-rech...rgeben-853271/

Siehe der Abschnitt "Berechtigte Interessen an der Weitergabe von Daten"

[scrat1979]

Warum nicht einfach mit dem Bewerbungsportal zusammen eine offizielle "Fake-Bewerbung" mit Dummy-Daten generieren und das entsprechende PDF dann zur "Qualitätssicherung" weiterleiten.

[dataspider]

Zitat:

Zitat von scrat1979 (Beitrag 1465285)

Warum nicht einfach mit dem Bewerbungsportal zusammen eine offizielle "Fake-Bewerbung" mit Dummy-Daten generieren und das entsprechende PDF dann zur "Qualitätssicherung" weiterleiten.

Weil die PDF' s nicht vom Portal erzeugt sondern von den Bewerbern hochgeladen werden.

Frank

[himitsu]

Du könntest dich doch selber bei euch bewerben und mit unschlimmen Daten füllen.

Joar, dann bleibt noch sich bei einem der Bewerber zu melden und um Erlaubnis zu oder nochmal nach einer unverfähngilcheren PDF zu fragen

oder erstmal in die PDF zu schauen, womit sie erstellt wurde und versuchen selbst die PDF nachzubauen.

[dataspider]

Zitat:

Zitat von Stevie (Beitrag 1465284)

Hilft das weiter?
https://t3n.de/news/dsgvo-daten-rech...rgeben-853271/

Das hilft schon mal. Berechtigtes Interesse ist definitiv gegeben und das Risiko für den Betroffenen gering.

Vielen Dank

[Nersgatt]

Zitat:

Zitat von Stevie (Beitrag 1465284)

Siehe der Abschnitt "Berechtigte Interessen an der Weitergabe von Daten"

"Berechtigtes Interesse" wird oft rangezogen, wenn den Leuten sonst nichts einfällt. Ich finde das aber hoch problematisch. Wenn Du mit berechtigtem Interesse begründest, musst Du immer vorher prüfen, ob es mildere Mittel gibt (egal, wie aufwändig das für Dich ist). Mildere Mittel könnte hier sein, zu versuchen, eine solche fehlerhafte PDF selbst zu erstellen. Ggf. kannst Du den Bewerber anrufen, und ihn fragen, wie und womit er die PDF erstellt hat. Es fallen einem bestimmt noch weiter Maßnahmen ein.

Dazu kommt, dass DevExpress in den vereinigten Staaten ist. Für diese gibt es keinen pauschlen Angemessenheitsbeschluss der europäischen Kommission, nur, wenn der Empfänger der Daten dem Privacy Shield angehört. Das wage ich im Fall von DevExpress zu bezweifeln.

Also: sieht in dem Fall schlecht aus, das ohne Zustimmung des Bewerbers an DevExpress zu schicken.
Und auch, wenn Du Dir eine Einwilligung besorgst... Einwilligungen sind auch nicht ganz einfach. Insbesondere muss der Betroffene die Einwilligung jederzeit widerrufen können. Das kannst Du bei DevExpress nicht sicherstellen.

[dataspider]

Zitat:

Zitat von himitsu (Beitrag 1465292)

Joar, dann bleibt noch sich bei einem der Bewerber zu melden und um Erlaubnis zu oder nochmal nach einer unverfähngilcheren PDF zu fragen

Sicher eine gute Idee...

Zitat:

Zitat von himitsu (Beitrag 1465292)

oder erstmal in die PDF zu schauen, womit sie erstellt wurde und versuchen selbst die PDF nachzubauen.

Da reichen meine Kenntnisse nicht.
Der Fehlermeldung nach zu urteilen, findet der Viewer Formularfelder, die es nicht mehr gibt.
Möglicherweise mit irgendeinem Tool erstellt, welches die Felder dann mit dem Dokument nicht ganz sauber "verschmilzt".
Als Tool erkenne ich nur: "macOS Version 10.15 (Build 19A602) Quartz PDFContext, AppendMode 1.1"

Aber ich will den Aufwand ja gering halten. Könnte ich die PDF DevExpress zur Verfügung stellen, wäre das optimal.


Frank

[scrat1979]

Zitat:

Zitat von dataspider (Beitrag 1465286)

Zitat:

Zitat von scrat1979 (Beitrag 1465285)

Warum nicht einfach mit dem Bewerbungsportal zusammen eine offizielle "Fake-Bewerbung" mit Dummy-Daten generieren und das entsprechende PDF dann zur "Qualitätssicherung" weiterleiten.

Weil die PDF' s nicht vom Portal erzeugt sondern von den Bewerbern hochgeladen werden.

Frank

Das ist ein Argument. Dann würde ich so vorgehen wie von himitsu geschildert.

[Lemmy]

Zitat:

Zitat von Nersgatt (Beitrag 1465299)

"Berechtigtes Interesse" wird oft rangezogen, wenn den Leuten sonst nichts einfällt

:thumb: Die Weitergabe einer echten Bewerbung, nur damit ein Hersteller einen Fehler in einem seiner Tools reparieren kann, halte ich auch für höchst problematisch.

[jaenicke]

Ich würde einen lokalen PDF Editor nehmen und schauen, ob der die PDF Datei öffnen und speichern kann. Und wenn das klappt, ist noch die Frage, ob danach der Fehler noch auftritt. Wenn ja, kann man die persönlichen Daten hoffentlich auch ändern ohne dass der Fehler verschwindet...

[DasWolf]

Zitat:

Zitat von Lemmy (Beitrag 1465303)

Zitat:

Zitat von Nersgatt (Beitrag 1465299)

"Berechtigtes Interesse" wird oft rangezogen, wenn den Leuten sonst nichts einfällt

:thumb: Die Weitergabe einer echten Bewerbung, nur damit ein Hersteller einen Fehler in einem seiner Tools reparieren kann, halte ich auch für höchst problematisch.

Nicht nur höchst problematisch sondern auch einfach nur unprofessionell. Was sollen Bewerber denn davon halten, wenn man sich dort meldet, weil man mit einem PDF nicht klar kommt.

[dataspider]

Vielen Dank an alle Beteiligten.

Ich werde es wie von himitsu oder jaenicke vorgeschlagen machen.

Frank Reim

[TigerLilly]

Beim "berechtigtem Interesse" hast du immer eine Abwägung gegen die Interessen der Person + wie unten gesagt, wird das gern herangezogen, wenn einem sonst nichts einfällt. Aber hier muss es wirklich um berechtigtes Interesse gehen, dh es gibt sonst keine anderen Möglichkeiten. Das ist hier sicher nicht der Fall.

Besser: Mit DevEx eine Geheimhaltungsvereinbarung abschließen, die Weitergabe dokumentieren und gut ist es. Diese Datenweitergabe ist ja einmalig und die Daten selbst sind für DevEx nicht von vorrangigem Interesse. Analog IT Supporter (oder Reiningungspersonal), der hat auch Zugang zu Daten, da behandelst du das ebenso.