Das Projekt SeDaFa (Secure Data-Handling for Automotive) hatte zum Ziel, einen Rahmen für den Datenschutz zu schaffen, der in moderne Fahrzeuge integriert werden kann. Die technische Kernarbeit konzentrierte sich auf die Evaluierung der SeDaFa-Architektur, das Testen einzelner Module, die Bewertung von Maßnahmen zur Informationssicherheit und das Sammeln von nutzerorientiertem Feedback, bevor eine endgültige, integrierte Lösung geliefert wurde. Die abschließende Bewertung des Projekts, die 2019 durchgeführt wurde, bestätigte, dass die vorgeschlagene Architektur technisch machbar ist, mit vertretbarem Aufwand umgesetzt werden kann und eine benutzerfreundliche Schnittstelle bietet, die die Anforderungen der Allgemeinen Datenschutzverordnung unterstützt.
Ein wichtiger Meilenstein war der Bau eines Demonstrationsfahrzeugs, eines Volkswagen Passat, der mit einem Cockpit-Displaysystem ausgestattet ist, das den Datenfluss in Echtzeit visualisiert. Die von der Technischen Universität Darmstadt entwickelte Visualisierungskomponente ermöglichte es dem Fahrer, zu sehen, welche Datenpunkte gesammelt und wie sie verarbeitet werden, und die Kontrolle über seine eigenen Informationen auszuüben. Die kryptographischen Module, die den Datenaustausch sichern, wurden von Fraunhofer SIT geliefert, während die Universität Hohenheim die rechtliche Bewertung der Übereinstimmung des Systems mit dem EU-Datenschutzrecht vornahm. Vom Institut für Mensch-Computer-Interaktion der Universität Hohenheim durchgeführte Nutzerstudien bestätigten, dass die Fahrer die Datenschutzeinstellungen ohne übermäßige Komplexität verstehen und manipulieren konnten.
Die Arbeitspakete des Projekts wurden um eine Reihe von Bewertungen herum organisiert. Die Architekturbewertung untersuchte das Gesamtdesign von SeDaFa und identifizierte Stärken und potenzielle Lücken im Datenflussmodell. Die Modulevaluierung bewertete die Leistung und Interoperabilität einzelner Komponenten, wie z.B. die kryptographischen Primitive und die Benutzerschnittstellenmodule. Eine IT-Sicherheitsevaluierung analysierte Bedrohungsszenarien, führte Risikobewertungen durch und schlug Abhilfestrategien vor. Die Evaluierung aus der Benutzerperspektive sammelte qualitative Daten über die Akzeptanz der Fahrer und die Benutzerfreundlichkeit. All diese Bewertungen gipfelten in einem Abschlussbericht, der die technischen Ergebnisse, die Einhaltung der gesetzlichen Bestimmungen und die Erkenntnisse aus der Benutzererfahrung zusammenfasste.
Die Datenschutz-Folgenabschätzung (Data-Protection Impact Assessment, DSFA) war ein zentrales Element der Abschlussbewertung. Sie wandte eine strukturierte Risikobewertungsmethode an, um potenzielle Verstöße gegen die DSGVO zu identifizieren, Restrisiken zu quantifizieren und Gegenmaßnahmen zu empfehlen. Die DSFA kam zu dem Schluss, dass die SeDaFa-Lösung die Kernprinzipien der DSGVO – rechtmäßige, faire und transparente Verarbeitung, Zweckbindung, Datenminimierung und Rechenschaftspflicht – erfüllt und es den Autofahrern gleichzeitig ermöglicht, eine sinnvolle Kontrolle über ihre Daten auszuüben. In der Bewertung wurde hervorgehoben, dass das Design des Systems einen „angemessenen Aufwand“ zur Sicherung personenbezogener Daten ermöglicht, eine wichtige Voraussetzung für den Datenschutz in der Automobilindustrie.
Der Zeitplan des Projekts begann 2016, als eine 2½-monatige Verzögerung in der Anfangsphase durch einen straffen Zeitplan kompensiert wurde, der die nachfolgenden Arbeitspakete auf Kurs hielt. Im Jahr 2017 waren die Visualisierungs- und Kryptographiemodule integriert und das Demonstrationsfahrzeug wurde zusammengebaut. Iterative Tests und Verfeinerungen wurden 2018 fortgesetzt und gipfelten in einer abschließenden Demonstration, die die Fähigkeiten des Systems in einer realen automobilen Umgebung demonstrierte.
Die Zusammenarbeit war das Rückgrat des Erfolgs von SeDaFa. Die Volkswagen AG, der einzige Geldgeber, stellte finanzielle Mittel zur Verfügung und koordinierte das Konsortium. Die Universität Hohenheim war federführend im Bereich Recht und Compliance, während die Technische Universität Darmstadt und das Fraunhofer SIT das technische Know-how für die Gestaltung der Schnittstellen und die kryptografische Implementierung lieferten. Das Institut für Mensch-Computer-Interaktion der Universität Hohenheim und das Institut für Rechtswissenschaft der Universität Hohenheim steuerten Nutzerstudien bzw. rechtliche Bewertungen bei. Gemeinsam hat das Konsortium ein umfassendes, an der Datenschutz-Grundverordnung (GDPR) ausgerichtetes Rahmenwerk geschaffen, das zeigt, wie Automobilhersteller den Datenschutz in ihre Produkte einbinden können.