Mugdha Khedkar promovierte erfolgreich zum Thema „Assisting GDPR Compliance through Static Analysis of Android Apps“ bei Prof. Dr. Eric Bodden. Dazu gratulieren wir herzlich!
Zusammenfassung der Arbeit:
Android-Anwendungen, die Daten von Nutzern erfassen, müssen gesetzliche Rahmenbedingungen einhalten, um den Datenschutz zu gewährleisten. Diese Anforderung hat seit der Einführung der Datenschutz-Grundverordnung (DSGVO) durch die Europäische Union im Jahr 2018 noch an Bedeutung gewonnen. In der Praxis erfordert die Einhaltung der DSGVO die Durchführung wirksamer Datenschutzbewertungen, was eine enge Zusammenarbeit zwischen Akteuren mit unterschiedlichem Fachwissen – darunter Entwickler, Datenschutzexperten, Rechtsexperten und Prüfer – voraussetzt.
Diese Arbeit stellt eine mehrschichtige Definition datenschutzrelevanter Daten vor, die auf dem Begriff der personenbezogenen Daten der DSGVO basiert, und präsentiert „Privacy-Relevant Input Classification Engine“ (PRICE), ein Befehlszeilentool zur statischen Kennzeichnung datenschutzrelevanter Daten, die von Android-Apps erfasst werden. Mithilfe von PRICE untersuchen wir Datenerfassungsmuster in Android-Apps und bewerten, wie genau diese Apps ihre Datenerfassungspraktiken melden. Unsere Analyse zeigt, dass Apps am häufigsten Daten erfassen, die eine teilweise Identifizierung der Nutzer ermöglichen, was die Notwendigkeit einer größeren Konsistenz bei der datenschutzbewussten Entwicklung und Berichterstattung unterstreicht. Ergänzend zu dieser Analyse untersuchen wir die Erfahrungen der Entwickler mit dem „Data Safety Section“ (DSS) des Google Play Stores anhand einer Umfrage und einer Analyse von Online-Diskussionen unter Entwicklern. Diese Studie identifiziert zentrale Herausforderungen, denen Entwickler beim Ausfüllen des DSS gegenüberstehen, darunter Schwierigkeiten bei der Identifizierung datenschutzrelevanter Daten und ein begrenztes Verständnis des Formulars.
Aufbauend auf diesen Erkenntnissen untersucht die Dissertation, wie statische Programmanalyse zur Automatisierung und Unterstützung von Datenschutzbewertungen eingesetzt werden kann. Wir stellen „Assessor View“ vor, ein auf statischer Analyse basierendes Web-Tool, das entwickelt wurde, um verschiedene an Datenschutzbewertungen beteiligte Akteure zu unterstützen. „Assessor View“ bietet eine einheitliche Übersicht über datenschutzrelevante Datenflüsse und fördert die Zusammenarbeit zwischen technischen und nicht-technischen Fachkräften. Qualitative Auswertungen unter Einbeziehung von technischen und juristischen Teilnehmern zeigen, dass die Warnungen und Hinweise des Tools für Datenschutzbeauftragte und Datenschutzexperten von großem Wert sind und einen bedeutenden Schritt zur Verbesserung der Kommunikation zwischen juristischen und technischen Experten sowie zur Optimierung von Datenschutzbewertungen darstellen.
Schließlich erweitern wir sowohl PRICE als auch „Assessor View“, um den Bedürfnissen der Beteiligten direkter gerecht zu werden, indem wir die Erstellung präziser, auf dem Quellcode basierender Berichte ermöglichen. Diese Erweiterungen zielen darauf ab, den manuellen Aufwand zu reduzieren, die Konsistenz zwischen dem implementierten Verhalten und den gemeldeten Offenlegungen zu verbessern sowie zuverlässige und transparente Datenschutzbewertungen zu unterstützen. Zusammengenommen treiben diese Beiträge den Stand der Technik im Bereich des datenschutzbewussten Software-Engineering voran und bilden eine Grundlage für systematischere, automatisierte und rechtskonforme Datenschutzbewertungen von Android-Anwendungen.
