Datenschutz-Folgenabschätzung says deinstallation deletes only "Positivschlüssel" on Android

[MikeMcC399]

Where to find the issue

This is a follow-on to #1066.

Datenschutz-Folgenabschätzung
Bericht zur Datenschutz-Folgenabschätzung für die Corona-Warn-App der Bundesrepublik Deutschland
Öffentliche Version

First reported on Version 1.12, 11.05.2021
Reviewed as not yet fixed in Version 1.20, 09.12.2021.

Reference in version 1.12: 5.6.12 Deinstallation der CWA App, Seite 81 von 189
Reference in version 1.15: 5.6.13 Deinstallation der CWA App, Seite 87 von 203
Reference in version 1.20: 5.6.13 Deinstallation der CWA App, Seite 102 von 225

Describe the issue

The Datenschutz-Folgenabschätzung says:

"Unter Android werden mit der Deinstallation der CWA-App die Positivschlüssel dann automatisch gelöscht, wenn keine weitere Corona-App installiert ist, die Zugriff auf die Begegnungsaufzeichnung des ENF hat"

This contradicts information in the App FAQ for the Android operating system and in the Google API documentation regarding Android.

---

Data Protection Impact Assessment

5.6.13 Deinstallation der CWA App

"Deinstalliert der CWA-Nutzer die CWA App auf dem Smartphone, werden dadurch grundsätzlich sämtliche von der CWA App gespeicherten Daten vom Smartphone gelöscht.

Durch diesen Schritt nicht automatisch gelöscht werden die Daten, die durch das jeweilige Betriebssystem gespeichert und verwaltet werden. Dies betrifft zum einen Verschlüsselungsschlüssel in der KeyChain. Unter iOS bleiben zudem die Daten in der Begegnungsaufzeichnung des ENF zunächst erhalten. Unter Android werden mit der Deinstallation der CWA-App die Positivschlüssel dann automatisch gelöscht, wenn keine weitere Corona-App installiert ist, die Zugriff auf die Begegnungsaufzeichnung des ENF hat."

---

CWA FAQs - Anwendung

Werden die gesammelten Zufalls-IDs beim Deinstallieren der App entfernt?

"Auf Android-Geräten werden in der derzeitigen Implementierung beim Deinstallieren 'Datenbank und Schlüssel' vom Gerät gelöscht. Sie sollten daher davon ausgehen, dass mit Deinstallation der App auch die Begegnungsaufzeichnungen verloren gehen."

---

Google - Exposure Notifications API

Methods

"stop()

Disables the broadcast and scan process. You can call this directly. It's also called when a user uninstalls the app. When it’s called as part of the uninstallation process, the database and keys are deleted from the device."

---

Additional comments

Uninstalling the Corona-Warn-App on Android deletes the complete Exposure Log history displayed by Google.

Steps to reproduce

1. Install CWA
2. Settings > Google > COVID-19 Exposure Notifications > three-dot icon > Exposure checks
   Note the history of exposure checks
3. Settings > Apps > Corona-Warn > Uninstall
4. Install CWA and run through onboarding
5. Repeat step 2. and note that the previous history of Exposure checks has been completely replaced by one new entry only

Suggested change

The Datenschutz-Folgenabschätzung should be changed to say that uninstalling the app on Android removes the recorded exposure data.

Not only are the "Positivschlüssel" (Definition in 5.7.6) deleted, but also the "Tageschlüssel (TEK)" (5.7.2), the "RPI" (5.7.3). In fact all keys are deleted.

---

Was previously logged under Internal Tracking ID: EXPOSUREAPP-6351

[MikeMcC399]

Is there any update of the document
https://www.coronawarn.app/assets/documents/cwa-datenschutz-folgenabschaetzung.pdf available?

The published document only covers the app versions up to CWA 2.2 and today version 2.5 of the Corona-Warn-App was released which completes the integration of EU Digital COVID Certificates (see https://www.coronawarn.app/en/blog/2021-07-12-cwa-version-2-5/).

[MikeMcC399]

PR #1517 has updated https://www.coronawarn.app/assets/documents/cwa-datenschutz-folgenabschaetzung.pdf to Version 1.15, 12.07.2021.

The section in question is now on page 87.

The concerns in this issue (#1281) have not been addressed or commented on in Version 1.15 of the DSFA.

---

5.6.13 Deinstallation der CWA App

Deinstalliert der CWA-Nutzer die CWA App auf dem Smartphone, werden dadurch
grundsätzlich sämtliche von der CWA App gespeicherten Daten vom Smartphone gelöscht.

Durch diesen Schritt nicht automatisch gelöscht werden die Daten, die durch das jeweilige
Betriebssystem gespeichert und verwaltet werden. Dies betrifft zum einen
Verschlüsselungsschlüssel in der KeyChain. Unter iOS bleiben zudem die Daten in der
Begegnungsaufzeichnung des ENF zunächst erhalten. Unter Android werden mit der
Deinstallation der CWA-App die Positivschlüssel dann automatisch gelöscht, wenn keine
weitere Corona-App installiert ist, die Zugriff auf die Begegnungsaufzeichnung des ENF hat.

Auch eine Löschung bereits an den CWA Server übermittelter und von dort an den EFGS und
die Server der anderen nationalen Corona-Apps zur Verfügung gestellter Daten oder im
Rahmen der Datenspende an den Data Donation Server übermittelter Daten erfolgt in Folge
der Löschung der CWA App auf dem Smartphone nicht. Diese Daten werden nach Ablauf der
jeweiligen Löschfristen automatisiert gelöscht.

---

[MikeMcC399]

There have not been any further updates to the document Datenschutz-Folgenabschätzung
"Bericht zur Datenschutz-Folgenabschätzung für die Corona-Warn-App der Bundesrepublik Deutschland
Öffentliche Version" since Version 1.15, 12.07.2021, so this issue is still open.

[MikeMcC399]

There has still been no update to the document Datenschutz-Folgenabschätzung which covers the app up until CWA version 2.5.

The current version of the app is 2.14.1 (see https://www.coronawarn.app/en/) which leaves a gap of app functionality that Version 1.15, 12.07.2021 of Datenschutz-Folgenabschätzung does not discuss.

[MikeMcC399]

See also

• Datenschutzfolgeabschätzung was not updated since version 1.15 #2245

regarding the missing updates.

[MikeMcC399]

This issue remains unaddressed by the current version 1.20 https://www.coronawarn.app/assets/documents/cwa-datenschutz-folgenabschaetzung.pdf published today.

Section 5.6.13 Deinstallation der CWA App (now Seite 102 von 225) is unchanged.

[Ein-Tim]

If I read the Datenschutz-Folgeabschätzung correctly, this is still an issue.

[GisoSchroederSAP]

DSFA will be update with a simple change from "Positivschlüssel" to "Schlüssel". In fact, if there is no other ENF-leveraging Corona app on the device, the stop() function invoked at time of the CWA deinstallation will remove all keys.
The Data Privacy and Security team is informed and takes this to the next alignment meeting on Friday, November 4th.

[MikeMcC399]

@GisoSchroederSAP

Thank you for the update!

• This is also related to the issue that no new version of the DSFA has been published since December 2021 (see Outdated DSFA (Datenschutz-Folgenabschätzung) at CWA 2.15 level #2821).

[GisoSchroederSAP]

Okay, thanks for the cross-reference here. We hopefully get thise tickets processed and closed soon.

[MikeMcC399]

• This issue is resolved through PR Update Datenschutz-Folgenabschätzung (DSFA) #3268 which publishes Version 2.00, 10.10.2022 of the "Datenschutz-Folgenabschätzung"