Digitale Souveränität endet am Fahrradabstellplatz: Das S in S-bike steht für Snitch
Salzburg hat sich ein Leihradsystem gekauft und die Fahrtdaten gleich mitverschenkt. Ich habe gelesen, was in den Verträgen steht, die Stadt und Verkehrsverbund selbst verlinken.
Am 17. August sind die ersten S-bikes ausgerollt. Rund 200 Räder, bis Jahresende sollen es über 600 an 65 Stationen werden, langfristig 1.000 an bis zu 100 Standorten. Stadt, Land und Verkehrsverbund haben dazu Aussendungen verschickt. Berichtet wurde seither über Preise, Stationen, die nachgebesserten Standorte und über die Markierung, die vor der Einfahrt der Justizwache gelandet ist. Der Tenor war überall derselbe: Salzburg hat jetzt Österreichs modernstes E-Bike-Sharing.
Ein Wort kommt in keiner dieser Aussendungen vor: Datenschutz.
Das ist bemerkenswert, weil hier gerade ein öffentlich finanziertes Verkehrsmittel gestartet ist, das bei jeder Fahrt aufzeichnet, wer wann von wo nach wo gefahren ist. Und diese Daten landen dann in den USA.
Was gekauft wurde
Stadt und Land teilen sich die Kosten je zur Hälfte, in Summe rund 1,2 Millionen Euro pro Jahr. Die Ausschreibung lief über den Salzburger Verkehrsverbund, gewonnen hat Lime. Die Räder werden von den Geschützten Werkstätten ausgeliefert, verteilt, gewartet und mit frischen Akkus versorgt, also von Menschen mit Behinderung, hier in der Stadt.
Das ist der Teil, der in jeder Presseaussendung steht, und er ist auch wirklich gut.
Der Akkutausch bleibt in Salzburg. Die Bewegungsdaten gehen in die USA. Nur die erste Hälfte davon hat es in die Aussendungen geschafft.
Wer dein Vertragspartner ist
Wenn du mit dem S-bike fährst, schließt du keinen Vertrag mit der Stadt und keinen mit dem Verkehrsverbund. Das steht so in den Tarifbestimmungen der SVG, gültig seit 13. August, wörtlich:
„Für die Nutzung des S-bike gelten die Bestimmungen des S-bike Dienstleisters Lime GmbH.”
Die Lime GmbH ist im Firmenbuch Wien eingetragen und hat keine eigene Adresse. Sie sitzt c/o bei einer Anwaltskanzlei in der Biberstraße. Die Telefonnummer, die im österreichischen Impressum steht, ist eine US-Nummer. Diensteanbieter ist die Neutron Holdings, Inc. in San Francisco, registriert in Delaware.
Datenschutzrechtlich sind die beiden gemeinsam verantwortlich. Der Verkehrsverbund kommt in dieser Konstruktion nicht vor.
Was Herschenken konkret heißt
Die Datenschutzerklärung, die für dich gilt, ist am 2. Jänner 2024 in Kraft getreten. Zweieinhalb Jahre alt, und sie kennt weder Salzburg noch ein stationsbasiertes System. Drinnen steht unter anderem:
„Lime erhebt auch Standortdaten direkt von den Fahrzeugen von Lime, auch wenn ein Lime-Anwender gerade damit unterwegs ist.”
Also die Route, nicht bloß Start und Ziel. Verwendet wird das laut derselben Erklärung auch
„um unsere Dienste zu optimieren, zu entwickeln und zu verbessern, einschließlich der Erstellung und Schulung von Modellen des maschinellen Lernens”
und für personalisierte Werbung. Setzt Lime dabei das Meta-Pixel ein, sind Lime und Meta Ireland gemeinsam verantwortlich, das steht ausdrücklich so drin.
Der Satz, an dem ich hängengeblieben bin, steht im Dokument zu den Rechtsgrundlagen. Es geht um deine Fahrten, nachdem Name, Telefonnummer und Mailadresse entfernt wurden:
„Wir sind berechtigt, diese Informationen für Forschungs-, Geschäfts- oder andere Zwecke zu verwenden, zu lizenzieren oder an Dritte weiterzugeben.”
Lizenzieren heißt gegen Geld. Daneben steht der beruhigende Satz, dass Lime deine Daten nicht für fremdes Direktmarketing verkauft. Beides stimmt gleichzeitig, weil deidentifizierte Bewegungsdaten für Geschäftszwecke davon gar nicht erfasst sind.
Aussteigen kannst du übrigens nicht. Die Standortverarbeitung stützt Lime auf Vertragserfüllung: ohne Standort keine Dienstleistung. Wer S-bike fährt, liefert die Route ab. Punkt.
Der Teil, an dem es wirklich weh tut
Bis hierher ist das eine Geschichte über einen US-Konzern, der sich verhält wie ein US-Konzern. Erwartbar, ärgerlich, aber keine Nachricht.
Die Nachricht ist, was Salzburg gebaut hat.
Auf s-bike.at führt der Link „Datenschutz” im Footer zur Datenschutzerklärung des Verkehrsverbunds. Ich habe sie im Volltext durchsucht. Sie erwähnt S-bike, Bikesharing, Lime und Neutron Holdings mit keinem einzigen Wort. Sie handelt von Öffi-Ticketing.
Die Seite s-bike.at/agb enthält keine AGB. Sie ist eine Linkliste auf Dokumente von Lime, von wegfinder und vom Verkehrsverbund.
Die Nutzervereinbarung der Lime GmbH, zuletzt aktualisiert am 8. Juli 2026, also fünf Wochen vor dem Start, beschreibt ein Free-Floating-System mit Servicezonen. Beim Abstellen verweist sie auf die Verordnungen der Städte Wien, Linz, Klagenfurt und Wels. Salzburg steht dort nicht. Auch die dazugehörige Gebührenaufstellung nennt nur diese vier Städte, und ihr Höchstbetrag sind 25 Euro. Die 30 Euro, die auf s-bike.at angekündigt sind, kommen in keinem der beiden Dokumente vor. Der Tatbestand „nicht an einer Station abgestellt” ebenso wenig, weil das Vertragswerk keine Stationen kennt.
Seit ich das aufgeschrieben habe, ist die Gebühr scharf gestellt worden. Die Salzburger Nachrichten haben am 29. August berichtet, dass sie ab 31. August verrechnet wird, bisher sei man laut Verkehrsverbund „kulant” gewesen. Auch der Ablauf steht jetzt fest: Nach 15 Minuten Inaktivität storniert die App die laufende Fahrt automatisch, und steht das Rad in diesem Moment nicht an einer offiziellen Station, sind es 30 Euro.
Eingehoben wird also ab sofort für einen Tatbestand, den die Dokumente, auf die die Tarifbestimmungen verweisen, gar nicht kennen. Die Stelen bei den Stationen werden zum selben Zeitpunkt überhaupt erst aufgestellt.
Und dann ist da der Zwischenstopp. In der Lime-App lässt sich eine laufende Fahrt pausieren: Das Rad bleibt gesperrt und für dich reserviert, der Tarif läuft weiter. Diese Funktion und das Reservieren im Voraus fehlen in wegfinder, beides soll laut SVV erst „bis Ende des Jahres” nachgereicht werden. Wer unterwegs also kurz irgendwo hineingeht, hat in der App, die für den vergünstigten Tarif verpflichtend ist, genau zwei Optionen: die Fahrt an einer Station beenden oder das Rad stehen und den Tarif weiterlaufen lassen. Bei der zweiten greift ab 31. August die 15-Minuten-Regel, und wenn das Rad in dem Moment nicht an einer Station steht, sind es 30 Euro.
Und dann ist da noch das hier. Die Tarifbestimmungen sagen, die Jahreskarte S-bike könne „ab dem vollendeten 14. Lebensjahr erworben werden”, 100 Euro, Stornierung ausgeschlossen. Dieselben Tarifbestimmungen erklären die Lime-Bedingungen für anwendbar. Und die sagen:
„Unsere Dienste sind nur für Personen verfügbar, die mindestens 18 Jahre alt sind.”
Die öffentliche Hand verkauft also einer Vierzehnjährigen eine nicht stornierbare Jahreskarte für etwas, das sie vertraglich nicht benutzen darf.
Das ist kein böser Wille, und ich weiß auch nicht, wer welches Dokument wann gelesen hat. Ich weiß nur, was in den Papieren steht, die Stadt und Verkehrsverbund selbst verlinken, und dort widersprechen sie einander. Bei 1,2 Millionen Euro pro Jahr darf man fragen, wer das vor der Unterschrift abgeglichen hat.
Sie können es. Beim Rad haben sie es nur nicht gemacht
Jetzt kommt der Punkt, der mich am meisten ärgert.
Gebucht wird über die wegfinder-App der iMobility GmbH, einer ÖBB-Tochter. Für den vergünstigten Tarif ist sie sogar verpflichtend, über die Lime-App ist das laut Tarifbestimmung „nicht vorgesehen”. Und diese App ist datenschutzseitig ordentlich gemacht: österreichischer Verantwortlicher, Hosting auf Azure mit Speicherort im EWR, Matomo statt Google Analytics, kein Meta-Pixel.
In der Anbieterliste der wegfinder-Datenschutzerklärung steht als Auftragsverarbeiter unter anderem der „Verkehrsverbund Salzburg (SVV)”. Und auf wegfinder.at steht, die App werde „von den ÖBB mit IVB, OÖVV, SVV und VVT gemeinsam entwickelt und betrieben”.
Bei der App sitzt die öffentliche Hand also am Steuer. Bei den Rädern hat sie das Steuer abgegeben.
Dabei wäre es eine Zeile im Leistungsverzeichnis gewesen: Der Verkehrsverbund ist Verantwortlicher, Lime ist Auftragsverarbeiter nach Artikel 28 DSGVO. Damit wären Limes eigene Werbe- und Trainingszwecke vom Tisch gewesen, die Fahrtdaten hätten Salzburg gehört, und bei Vertragsende hätte gelöscht werden müssen.
Naheliegender Einwand: Macht das überhaupt irgendwer so? Ich habe nachgesehen, und die ehrliche Antwort ist nein, jedenfalls in Europa kaum. Bei WienMobil Rad nennt die Datenschutzerklärung, die beim Buchen gilt, die nextbike GmbH in Leipzig als Verantwortliche. Beim Fahrradmietsystem der Stadtwerke Konstanz ebenso, dort tritt nextbike zusätzlich in gemeinsamer Verantwortlichkeit nach Artikel 26 DSGVO mit Partnerunternehmen auf. Der Betreiber als Herr über die Daten ist hierzulande die Regel. Salzburg hat sich also in eine schlechte Gewohnheit eingereiht, statt eine zu brechen.
Dass es anders ginge, zeigt Boston. In der Datenlizenz des dortigen Systems steht der Satz „The Municipalities own all right, title, and interest in the Data”, und die Fahrten werden quartalsweise als offener Datensatz veröffentlicht, mit Dauer, Start- und Zielstation, Zeitstempel und der Info, ob Abo oder Einzelfahrt.
Der Feed, den es überall gibt, nur nicht hier
Beim offenen Echtzeit-Feed hört sich jede Ausrede auf. Dafür gibt es seit Jahren einen Industriestandard, GBFS, und im offiziellen Verzeichnis von MobilityData stehen 30 österreichische Systeme. WienMobil Rad ist dabei, Stadtrad Innsbruck, VVT REGIORAD Tirol, VMOBIL Rad in Vorarlberg, city bike Linz. Ich habe den Wiener Feed abgefragt, während ich das hier schreibe: HTTP 200, 261 Stationen, offen für jeden.
Salzburg steht in diesem Verzeichnis nicht. Kein einziger Treffer.
An Lime liegt es nicht. Lime betreibt in demselben Verzeichnis 51 öffentliche GBFS-Feeds, darunter Dresden, Frankfurt, Hamburg, Stuttgart, Wuppertal, Zürich und Basel. Für Salzburg keinen.
Das System ist zwei Wochen alt, der Feed kann noch kommen. Genau das ist aber der Punkt: Was in der Ausschreibung steht, bekommt man. Alles andere bleibt eine Bitte.
Man muss es halt hineinschreiben.
Ich hab gefragt
Seit 1. September 2025 gilt in Österreich das Informationsfreiheitsgesetz. Man braucht keine Begründung, es kostet nichts, und die Behörde muss binnen vier Wochen antworten.
Ich habe am 2. September ein Informationsbegehren mit 26 Fragen eingebracht, über FragDenStaat.at, damit die Anfrage samt Antwort öffentlich nachlesbar ist. Adressaten sind die Stadt Salzburg und das Land Salzburg. Der Verkehrsverbund ist dort bisher nicht als auskunftspflichtige Stelle gelistet, obwohl andere Verbünde es sind. Gibt es einen Auftragsverarbeitungsvertrag? War Datenschutz ein Zuschlagskriterium? Bekommt Salzburg die Mobilitätsdaten zurück oder nur Dashboards? Ist ein offener GBFS-Feed vertraglich vereinbart? Wie lang läuft der Vertrag? Und, ganz konkret: Auf welcher Grundlage werden die 30 Euro eingehoben, die es seit 31. August wirklich gibt, und wer kassiert sie?
Die Frist läuft bis 30. September, verlängerbar auf Ende Oktober. Ich melde mich, wenn eine Antwort da ist. Kommt keine, ist auch das eine Antwort.
Bis dahin, zwei Dinge, die du sofort tun kannst
Erstens: Buch über wegfinder statt über die Lime-App. Für den Klimaticket-Rabatt musst du das ohnehin, und du sparst dir das Tracking auf der App-Ebene. Die Fahrtdaten selbst landen trotzdem bei Lime, weil das Rad sie direkt sendet.
Zweitens: Werbung, Personalisierung und das Training der Modelle stützt Lime auf ein berechtigtes Interesse. Dagegen hast du ein Widerspruchsrecht nach Artikel 21 DSGVO. Formlos, ein Satz genügt, per Mail an dpo@li.me. Bei der Gelegenheit kannst du gleich eine Kopie der Standardvertragsklauseln für den USA-Transfer anfordern, die Erklärung nennt dafür dieselbe Adresse.
Digitale Souveränität heißt nicht, dass alles selbst gebaut wird. Auch ein US-Anbieter kann die beste Wahl sein, die Räder sind gut, und der Akkutausch in Salzburg ist mehr wert als jede Ideologie.
Sie heißt, dass die öffentliche Hand weiß, welche Daten bei so einem System abfließen, dass sie das vorher entscheidet und danach offen dazusagt. Zwei Sätze auf s-bike.at hätten gereicht: Diese Daten entstehen bei jeder Fahrt, dorthin gehen sie, und das haben wir dafür ausverhandelt. Stattdessen führt der Link „Datenschutz” auf eine Erklärung über Öffi-Tickets, und du kannst auf der offiziellen Website des Systems nicht herausfinden, mit wem du eigentlich einen Vertrag schließt.
Der Datenabfluss ist kein Naturereignis, das man achselzuckend mitnimmt, weil das halt so ist bei US-Firmen. Er ist eine Position im Leistungsverzeichnis. Wer sie leer lässt, hat sie trotzdem vergeben.
Beruflich mache ich unter anderem genau das: digitale Unabhängigkeit für KMU und Vereine. Abo-Inventur, Migration weg von Plattformen, die sich die Daten mitnehmen, und die unangenehme Frage, was in deinen Verträgen eigentlich drinsteht. Bei Fragen dazu melde dich.