Wie limou mit Daten umgeht, einschließlich der Grenzen.

Im Betrieb mit Anmeldung arbeitet ein Unternehmen mit einem gemeinsamen Bestand auf einem Server. Jede Person meldet sich mit dem eigenen Konto an, am Rechner in der Leitstelle ebenso wie auf dem Handy oder Tablet eines Fahrers. So arbeiten die Kunden.

Die Vorführung läuft ohne Anmeldung auf einem einzelnen Rechner. Dort liegt der Bestand nur im Browser dieses Rechners. Die Abschnitte unten sagen, wo sich beide unterscheiden.

Mit Anmeldung liegen Fahrten, Fahrer, Fahrgäste, Fahrzeuge, Zeiten, Abwesenheiten und Einstellungen eines Unternehmens in Datensammlungen auf Servern von Wix, dem Anbieter, bei dem diese Website läuft. Wix betreibt seine Rechenzentren nach eigenen Angaben in den USA und in Irland; einen Speicherort nur in der EU bietet Wix nicht an.

Jede Änderung geht zuerst zum Server. Jedes angemeldete Gerät gleicht sich alle 20 Sekunden und nach jeder eigenen Änderung mit ihm ab, solange die Anwendung dort geöffnet und sichtbar ist. Fotos von Fahrzeugen und Schäden werden mit Anmeldung nicht gespeichert.

In der Vorführung liegen die Daten in der Datenbank des Browsers (IndexedDB) auf dem Rechner. Eine Kopie auf einem Server gibt es dort nicht.

Grenze: Über seine Verwaltungsoberfläche sieht der Anbieter dieser Website Unternehmen, Zugänge und Einladungen, keine Arbeitsdaten. Als Inhaber der Wix-Website kann er die Datensammlungen aber technisch in der Datenverwaltung von Wix öffnen.

Mit Anmeldung legt die Anwendung nach jedem Abgleich eine Kopie des zuletzt geladenen Stands auf dem Gerät ab. So lässt sich ohne Verbindung wenigstens lesen, etwa in einer Tiefgarage. Die Kopie enthält nur, was die angemeldete Person ohnehin sehen darf; ein Fahrer hat nur seine eigenen Fahrten.

Benutzt wird eine Kopie höchstens 14 Tage lang. Gelöscht wird sie beim Abmelden, nach einer Sperre, bei einem Wechsel der angemeldeten Person und wenn die Anmeldung abgelaufen ist. Eine Abmeldung ohne Bedienung gibt es nicht: Die Anmeldung hält 30 Tage ab der letzten Nutzung, damit Fahrer sich nicht mitten im Dienst neu anmelden müssen. Die Anzeige nennt, von wann der gezeigte Stand ist.

Ohne Verbindung lässt sich nichts ändern, mit einer Ausnahme: die Statusschritte des Fahrers. Tippt er im Funkloch auf Losfahren, merkt sich das Gerät die Kennung der Fahrt, den Schritt, die Uhrzeit und die Kennung des Fahrers und reicht das nach, sobald die Verbindung zurück ist. Namen und Orte stehen nicht auf diesem Merkzettel. Er bleibt auf dem Gerät, bis der Schritt übertragen oder nach 24 Stunden verworfen ist, auch über ein Abmelden hinweg. Im Verlauf der Fahrt steht, dass der Schritt ohne Verbindung getippt wurde und wann er ankam.

Grenze: Die Kopie ist nicht verschlüsselt. Wer das entsperrte Gerät bedienen kann, kommt an sie heran, bis sie gelöscht ist, und bleibt angemeldet, bis jemand abmeldet. Auf einem Gerät, das mehrere Personen nutzen, gehört das Abmelden deshalb zum Ende des Dienstes.

Im Browser spricht die Anwendung nur mit dieser Website. Schriften und Symbole liegen bei der Anwendung. Es gibt keine eingebundenen Karten, keine Analyse und kein Tracking.

Kartendienste und Flugstatus öffnen sich nur, wenn jemand einen Verweis antippt; die Anwendung ruft sie nicht selbst ab. Flugangaben werden von Hand gepflegt, und jede Fluganzeige nennt, wann die Angabe zuletzt gepflegt wurde. Ein gemeldeter Standort erscheint als Koordinaten in Textform, ohne Kartenausschnitt.

Der Server dieser Website spricht Wix an, für die Datensammlungen und die Konten, und bei eingeschalteter Benachrichtigung den Benachrichtigungsdienst des Geräteherstellers.

Grenze: Was Browser und Betriebssystem von sich aus mit ihren Herstellern austauschen, etwa für Aktualisierungen oder die Ortung, liegt außerhalb der Anwendung. Die Seiten dieser Website laden Skripte von Wix; die Seiten der Anwendung laden keine, sehen aber dieselben Cookies der Adresse.

Wer möchte, schaltet auf seinem Gerät Benachrichtigungen für eigene Fahraufträge ein. Das Gerät meldet sich dann bei einer neuen Zuteilung, einer Änderung von Datum oder Zeit, einer Abgabe an einen anderen Fahrer und einem Storno, auch wenn die Anwendung geschlossen ist. Die Nachricht nennt nur Art und Zeit, etwa „Neuer Fahrauftrag, Di 23.09. 14:30“, keine Namen und keine Orte, weil sie auf dem Sperrbildschirm steht.

Die Nachricht läuft über den Benachrichtigungsdienst, den der Browser des Geräts vorgibt, bei Google, Apple, Mozilla oder Microsoft. Ihr Inhalt ist verschlüsselt; der Dienst sieht, wann eine Nachricht an welches Gerät geht. Die Anmeldung eines Geräts liegt am Zugang der Person, höchstens fünf Geräte je Zugang, und lässt sich am Gerät jederzeit ausschalten.

Grenze: Auf iPhone und iPad gibt es Benachrichtigungen nur aus der installierten App vom Home-Bildschirm, ab iOS 16.4. Die Benachrichtigung bringt keine Daten mit: Den Auftrag zeigt die Anwendung, sobald sie geöffnet ist und abgeglichen hat.

In den Einstellungen lässt sich der Bestand als JSON-Datei herunterladen. Mit Anmeldung enthält sie, was die Seite für die eigene Rolle geladen hat. In der Vorführung enthält sie den gesamten Bestand des Rechners samt Fahrzeugfotos.

In der Vorführung ersetzt das Einspielen einer Datei nach einer Rückfrage den gesamten Bestand; das darf nur die Rolle Verwaltung. Mit Anmeldung ersetzt keine Datei einen Bestand. Eine Sicherung aus der Vorführung lässt sich dort nur in ein leeres Unternehmen übernehmen, ohne Fotos, Abwesenheitsgründe, Kennzahlen, Erscheinungsbild und Standorte.

Grenze: Die Datei ist nicht verschlüsselt. Wer sie ablegt oder weitergibt, geht mit ihr um wie mit dem Bestand selbst.

Die Anwendung kennt vier Rollen: Betrachter, Fahrer, Disposition und Verwaltung. Mit Anmeldung prüft der Server jede Anfrage gegen Rolle und Befugnisse des Zugangs: Was eine Rolle nicht sehen darf, schickt er nicht, und was sie nicht ändern darf, nimmt er nicht an. Ein Fahrer bekommt nur seine eigenen Fahrten.

In der Vorführung bestimmt die Rolle nur, welche Schaltflächen die Oberfläche anbietet, und schützt so vor Fehlbedienung. Fahrer melden sich dort am Fahrerportal mit Namen und Kennzahl an. Am Wandportal lässt sich mit einer Kennzahl vorübergehend die Rolle Disposition freischalten, in der Vorgabe für 15 Minuten. Kennzahlen werden als Prüfwert gespeichert, nicht im Klartext.

Grenze: Was eine Sitzung geladen hat, liegt unverschlüsselt im Speicher der Seite und in der Kopie für den Start ohne Verbindung. In der Vorführung liegen alle Daten unverschlüsselt im Browser; wer den Rechner bedienen oder die Entwicklerwerkzeuge des Browsers öffnen kann, kommt dort an jeden Datensatz.

Über „Anmelden“ im Kopf dieser Website lässt sich ein Konto anlegen oder eine bestehende Anmeldung nutzen. Das Anmeldefenster gehört zu limou: E-Mail-Adresse und Passwort gehen an den Server dieser Website, der sie an Wix weiterreicht, ohne sie zu speichern. Konto und Passwort verwaltet Wix. Ein Konto braucht eine bestätigte E-Mail-Adresse, Wix schickt dafür einen Code. Vorher lässt sich kein Unternehmen anlegen und keine Einladung annehmen.

Nach der Anmeldung legt ein Konto ein Unternehmen an oder nimmt eine Einladung an. Eine Einladung gilt nur für die eingeladene E-Mail-Adresse und nur für begrenzte Zeit, in der Vorgabe 24 Stunden. Zu jedem Zugang speichert der Server die Kontokennung, die E-Mail-Adresse, Rolle und Befugnisse, den Bezug zu einem Fahrer, einen Verlauf der Änderungen und die Geräte, die Benachrichtigungen eingeschaltet haben. Zu jeder Einladung speichert er die eingeladene E-Mail-Adresse, die Rolle und den Ablauf.

Grenze: Bei der Anmeldung setzt diese Website Cookies auf ihrer Adresse, darunter „wixSession“ mit den Zugangsdaten der Sitzung. Der Anbieter dieser Website sieht als Betreiber alle Unternehmen, Zugänge und Einladungen.

Mit Anmeldung speichert der Server den Grund einer Fahrerabwesenheit nicht. Erfasst werden der Zeitraum und „Abwesend“, ob Urlaub, Krankmeldung oder Termin, steht nirgends.

In der Vorführung sehen den Grund nur die Rolle Verwaltung und der Fahrer selbst. Alle anderen sehen „Abwesend“, auch in der Anmeldeliste des Fahrerportals, die vor der Anmeldung jeder sieht, der das Tablet bedient.

Grenze: In der Vorführung ist das eine Bedienschranke. Die Angabe liegt dort wie alles andere unverschlüsselt im Browser.

Eine Fahrt lässt sich als vertraulich kennzeichnen. Am Wandportal erscheint sie dann als „Vertrauliche Fahrt“, ohne Namen und ohne Orte. Am Arbeitsplatz ist sie normal sichtbar. Namen von Fahrgästen zeigt das Wandportal nie, auch nicht bei Fahrten ohne Kennzeichnung.

Den Inhalt von Positionslisten für Besorgungen zeigen nur Arbeitsplatz und Fahrerportal. Am Wandportal steht nur die Zahl der erledigten Punkte, bei vertraulichen Fahrten auch die nicht. Hinweise des Assistenten, aus denen sich der Ort einer vertraulichen Fahrt zurückrechnen ließe, lässt das Wandportal weg.

Grenze: Das Wandportal zeigt jedem im Raum, was sein Zugang sehen darf, in der Vorführung den Bestand des Rechners. Fahrten ohne Kennzeichnung erscheinen dort mit Orten und dem Namen des Fahrers, und die Kennzeichnung setzt ein Mensch. Das Wandportal gehört deshalb nur an einen Ort, an dem die angezeigten Daten ohnehin gesehen werden dürfen.

Ein Standort wird nur gespeichert, wenn drei Bedingungen erfüllt sind: Das Unternehmen hat die Standortmeldung in den Einstellungen freigegeben, der Fahrer hat eingewilligt, und seine Fahrt läuft. In der Vorgabe ist die Freigabe ausgeschaltet. Mit Anmeldung prüft der Server alle drei Bedingungen.

Gemeldet wird nur, wenn der eingeteilte Fahrer während der Fahrt auf „Standort melden“ tippt. Es gibt keine Ortung im Hintergrund und kein Live-Tracking. Gespeichert wird nur die letzte Position an der Fahrt, ohne Verlauf. Endet die Fahrt, wird die Position gelöscht.

Die Einwilligung ist freiwillig und lässt sich im Fahrerportal jederzeit widerrufen. Der Zeitpunkt von Erteilung und Widerruf wird festgehalten. Ein Widerruf löscht die gespeicherten Positionen des Fahrers, das Ausschalten der Freigabe die Positionen des Unternehmens.

Grenze: Mit Anmeldung geht die Position über den Server an Disposition und Verwaltung. Sie sehen sie als Koordinaten ohne Karte, das Wandportal zeigt sie nie. Bis die Fahrt endet, liegt sie auch in der Kopie für den Start ohne Verbindung auf deren Geräten. In der Vorführung bleibt sie auf dem Rechner. Zur Ortung kann das Betriebssystem des Geräts einen eigenen Ortungsdienst fragen, etwa anhand von WLAN- oder Mobilfunkdaten. Darauf hat die Anwendung keinen Einfluss.