Datenschutz und Sicherheit

Die Anwendung arbeitet ohne Datenbank auf einem Server. Fahrten, Fahrer, Fahrzeuge, Zeiten und Einstellungen liegen in der Datenbank des Browsers (IndexedDB) auf dem Gerät, auf dem die Anwendung geöffnet ist. Eine Kopie auf einem Server des Anbieters oder in einer Cloud gibt es nicht.

Leitstelle und Wandportal laufen im Browser desselben Rechners und teilen sich dessen Bestand. Ein Tablet mit dem Fahrerportal hat seinen eigenen.

Grenze: Jedes Gerät hat seinen eigenen Bestand. Was die Disposition am Rechner einträgt, erscheint nicht auf einem anderen Gerät. Deshalb ist das Fahrerportal für ein gemeinsam genutztes Tablet gebaut, eine App für private Handys gibt es nicht. Wer die Browserdaten der Seite löscht, löscht damit auch den Bestand.

Die Anwendung ruft keine fremden Dienste auf. Schriften und Symbole liegen bei der Anwendung. Es gibt keine eingebundenen Karten, keine Analyse und kein Tracking.

Flugangaben werden von Hand gepflegt, ein Abruf bei einem Flugdatendienst findet nicht statt. Jede Fluganzeige nennt, wann die Angabe zuletzt gepflegt wurde. Ein gemeldeter Standort erscheint als Koordinaten in Textform, ohne Kartenausschnitt.

Grenze: Was der Browser oder das Betriebssystem des Geräts von sich aus mit ihren Herstellern austauschen, etwa für Aktualisierungen, liegt außerhalb der Anwendung.

In den Einstellungen lässt sich der gesamte Bestand als JSON-Datei herunterladen und auf einem anderen Gerät wieder einspielen. Das ist heute der einzige Weg, Daten von einem Gerät auf ein anderes zu bringen oder außerhalb des Browsers aufzubewahren.

Beim Einspielen wird der vorhandene Bestand nach einer Rückfrage vollständig ersetzt, einschließlich der Einstellungen. Einspielen kann nur, wer die Befugnis zum Löschen hat, das ist die Rolle Verwaltung.

Grenze: Die Datei ist nicht verschlüsselt. Sie enthält alle Datensätze samt Fahrzeugfotos, Einstellungen und den gespeicherten Standorten laufender Fahrten. Wer sie ablegt oder weitergibt, geht mit ihr um wie mit dem Bestand selbst.

Die Anwendung kennt vier Rollen: Betrachter, Fahrer, Disposition und Verwaltung. Die Rolle bestimmt, welche Schaltflächen die Oberfläche anbietet, und schützt so vor Fehlbedienung.

Am Arbeitsplatz lässt sich mit einer Kennzahl vorübergehend eine höhere Rolle freischalten. Die Freischaltung endet nach einer Frist von selbst, in der Vorgabe nach 15 Minuten. Fahrer melden sich am Fahrerportal mit Namen und Kennzahl an und sehen danach nur den eigenen Plan. Kennzahlen werden als Prüfwert gespeichert, nicht im Klartext.

Grenze: Alle Daten liegen unverschlüsselt im Browser. Wer den Rechner bedienen oder die Entwicklerwerkzeuge des Browsers öffnen kann, kommt an jeden Datensatz, unabhängig von Rolle und Anmeldung. Die Anmeldung am Fahrerportal endet mit dem Abmelden oder dem Neuladen der Seite, nicht nach einer Frist. Ohne sichere Verbindung, etwa beim Aufruf über http von einem anderen Rechner im Netz, wird der Prüfwert nur in einfacher Form gebildet. Der verhindert lediglich das bloße Mitlesen.

Ob ein Fahrer Urlaub hat, krankgemeldet ist oder einen Termin hat, sehen nur die Rolle Verwaltung und der Fahrer selbst. Alle anderen Rollen sehen „Abwesend“, in Listen, Formularen und Kennzahlen. Eine Notiz zur Abwesenheit sehen nur Rollen, die auch den Grund sehen.

Die Anmeldeliste am Fahrerportal steht vor der Anmeldung jedem offen, der das Tablet bedient. Dort erscheint deshalb für alle nur „Abwesend“.

Grenze: Auch das ist eine Bedienschranke. Die Angabe liegt wie alles andere unverschlüsselt im Bestand des Geräts.

Eine Fahrt lässt sich als vertraulich kennzeichnen. Am Wandportal erscheint sie dann als „Vertrauliche Fahrt“, ohne Namen und ohne Orte. Am Arbeitsplatz ist sie normal sichtbar.

Den Inhalt von Positionslisten für Besorgungen zeigen nur Arbeitsplatz und Fahrerportal. Am Wandportal steht nur die Zahl der erledigten Punkte, bei vertraulichen Fahrten auch die nicht. Hinweise des Assistenten, aus denen sich der Ort einer vertraulichen Fahrt zurückrechnen ließe, lässt das Wandportal weg.

Grenze: Das Wandportal zeigt jedem im Raum, was im Bestand des Rechners steht. Fahrten ohne Kennzeichnung erscheinen dort mit Namen und Orten, und die Kennzeichnung setzt ein Mensch. Das Wandportal gehört deshalb nur an einen Ort, an dem die angezeigten Daten ohnehin gesehen werden dürfen.

Ein Standort wird nur gespeichert, wenn drei Bedingungen erfüllt sind: Die Standortmeldung ist in den Einstellungen des Geräts freigegeben, der Fahrer hat eingewilligt, und seine Fahrt läuft. In der Vorgabe ist die Freigabe ausgeschaltet.

Gemeldet wird nur, wenn der eingeteilte Fahrer während der Fahrt auf „Standort melden“ tippt. Es gibt keine Ortung im Hintergrund und kein Live-Tracking. Gespeichert wird nur die letzte Position an der Fahrt, ohne Verlauf. Endet die Fahrt, wird die Position gelöscht.

Die Einwilligung ist freiwillig und lässt sich im Fahrerportal jederzeit widerrufen. Der Zeitpunkt von Erteilung und Widerruf wird festgehalten. Ein Widerruf löscht alle gespeicherten Positionen des Fahrers, das Ausschalten der Freigabe alle Positionen auf dem Gerät.

Grenze: Die Position liegt im Bestand des Geräts, auf dem das Fahrerportal läuft, und wird an kein anderes Gerät geschickt. Die Leitstelle sieht sie nur im selben Browser oder nach dem Einspielen einer Sicherung. Zur Ortung kann das Betriebssystem des Geräts einen eigenen Ortungsdienst fragen, etwa anhand von WLAN- oder Mobilfunkdaten. Darauf hat die Anwendung keinen Einfluss.