Privacy Policy

For the Habits app and habits.e-websolutions.de · Last updated 13 September 2026

Who is responsible

The controller for your data under the GDPR is:

Erlebach Web Solutions UG (haftungsbeschränkt)
Dornhecke 2
76768 Berg
Germany
Managing Director: Jakob Erlebach
Email: info@e-websolutions.de

The short version

If you never create an account, nothing leaves your device. Habits works fully offline and stores your habits locally.
If you do create an account, we store what is needed to sync your habits and let you share them with friends — nothing more.
No advertising, no analytics, no tracking, no third-party SDKs. The app contains none.
We never sell or share your data with anyone for their own purposes.
You can delete your account, and everything in it, from inside the app.

What we store, and why

Only if you create an account:

Data	Why
Email address	Identifies your account, lets you log in and reset your password
Password	Stored only as a `scrypt` hash with a random salt — we never see or store the password itself
Display name	Shown to your friends — and on the Everyone leaderboard only if you choose to join it
Account ID	A random identifier linking your data together
Your habits	Names, icons, colours, schedules, goals, reminder times, and which days you completed — this is the data being synced between your devices
Profile picture	Optional. Only if you choose one
Friends and shared habits	Who you are friends with, and habits you share with them
Notification token	Optional. An Apple-issued identifier for your app installation, so we can send you a notification when a friend interacts with you

Apple Health

If you set up a Health trigger, Habits reads the metrics you choose — such as steps, water, or mindful minutes — so a habit can complete itself when you reach your target.

The Health data itself never leaves your device. We never receive, store or transmit your step count, water intake, or any other Health value, and your targets are stored only on your device. What is synced to your account is the result and nothing else: whether a habit was completed that day — the same single fact that would be recorded if you had ticked it by hand. We never use Health data for advertising or marketing, and never disclose it to anyone.

Photos

If you set a profile picture, only the single image you pick is used. It is cropped and shrunk to a small square (256 px) on your device before it is uploaded, so the original photo is never sent. We have no access to the rest of your photo library.

What other people can see

Habits is partly social, so some of your data is visible to others by design:

Your friends see your display name, profile picture, and the habits you have explicitly shared with them, including which days each of you completed.
The Everyone leaderboard is opt-in. You appear on it only after you tap “Join Global Leaderboard”, and you can leave it at any time from the same screen. While you are on it, every signed-in user of this instance can see your display name, profile picture, and your score — the number of habit-days you have completed. They cannot see which habits they were, or anything else about your account. If you never join, no one outside your friends sees you at all.
The Friends leaderboard shows the same score, but only to people you have accepted as friends.

Habits you have not shared are never visible to anyone else.

Who else processes your data

Both act only on our instructions, under a data processing agreement as required by Art. 28 GDPR:

IONOS SE (Germany) — hosts the server your data is stored on, and delivers our password-reset emails. We have concluded a data processing agreement (Auftragsverarbeitungsvertrag) with IONOS.
Apple Inc. — delivers push notifications. Apple receives the notification token and the text of the notification. If you install through TestFlight, Apple also processes your participation in that beta under its own privacy policy.

We use no analytics provider, no advertising network, and no other third party.

Where your data is

Your account data is stored on a server operated by IONOS SE in Berlin, Germany, and is not transferred outside the EU.

The one exception is push notifications, which Apple delivers through its own global infrastructure and which may therefore be processed in the United States. Apple Inc. is certified under the EU–US Data Privacy Framework, and the Apple Developer Program agreement additionally incorporates the European Commission's Standard Contractual Clauses — either of which provides the safeguard required by Chapter V GDPR. Only the notification token and the notification text are involved; your habits and account details are not.

You can prevent this entirely by turning off notifications for Habits in iOS Settings.

Legal basis

Art. 6(1)(b) GDPR — performance of a contract: your account, syncing, friends, shared habits and notifications. This is the data without which the service cannot work.
Art. 6(1)(f) GDPR — legitimate interests: keeping the service secure and available, which is why we rate-limit sign-ups and log-ins.
Art. 9(2)(a) GDPR — explicit consent: reading Apple Health data, which happens only after you grant permission in iOS and can be withdrawn at any time in the Health app.

How long we keep it

Account data: until you delete your account. We do not expire inactive accounts.
Login sessions: a session expires after 400 days without use, and immediately when you log out or change your password.
Password-reset links: one hour, and single-use.
Backups: we keep daily backups for 30 days. Deleted data may therefore persist in a backup for up to 30 days before ageing out.
Server logs: operational logs are kept short-term for security and debugging, and are not used to build any profile of you.

Deleting your account

In the app: open your profile, tap the gear for Settings, then Delete Account. It asks for your password, and the deletion is immediate and permanent — your account, habits, profile picture, friendships and notification tokens are removed. There is no recovery period.

One exception, by design: a habit you were sharing with a friend becomes their own personal habit, keeping the days they completed. Their record of their own progress is theirs, and is not deleted with your account. Your own completions in it are removed.

Your rights

Under the GDPR you have the right to:

access the data we hold about you, and receive a copy;
have inaccurate data corrected — you can edit your name and email in the app directly;
have your data erased — the in-app deletion above does this immediately;
data portability — write to us and we will send you everything held for your account as a JSON file, in a structured, machine-readable form;
object to, or request restriction of, processing based on legitimate interests;
withdraw your Health permission at any time in Apple's Health app;
lodge a complaint with a supervisory authority. Ours is the Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz — though you may also complain to the authority where you live or work.

To exercise any of these, write to info@e-websolutions.de.

Automated decision-making

There is none. We do not profile you, and nothing about your account is decided automatically in a way that has legal or similarly significant effects. The leaderboard simply counts completed habit-days; it makes no decisions about you.

Data protection officer

We have not appointed one. Our processing does not meet the thresholds in Art. 37 GDPR or § 38 BDSG that would require it — we are a small company, we do not process personal data on a large scale, and we carry out no systematic monitoring. Data protection enquiries go to info@e-websolutions.de.

Children

Habits is not directed at children, and we do not knowingly create accounts for anyone under 16. If you believe a child has created an account, contact us and we will delete it.

Security

All traffic is encrypted with HTTPS. Passwords are stored as salted scrypt hashes, and session tokens are stored only as hashes, so neither can be read from our database. Access to the server is restricted to the operator.

Changes to this policy

If we change what we collect or why, we will update this page and change the date at the top. Material changes will also be announced in the app.

Contact

Questions about this policy or your data: info@e-websolutions.de.

Datenschutzerklärung

Für die App Habits und habits.e-websolutions.de · Stand: 13. September 2026

Verantwortlicher

Verantwortlicher für die Verarbeitung Ihrer Daten im Sinne der DSGVO ist:

Erlebach Web Solutions UG (haftungsbeschränkt)
Dornhecke 2
76768 Berg
Deutschland
Geschäftsführer: Jakob Erlebach
E-Mail: info@e-websolutions.de

Kurzfassung

Solange Sie kein Konto anlegen, verlassen keinerlei Daten Ihr Gerät. Habits funktioniert vollständig offline und speichert Ihre Gewohnheiten lokal.
Legen Sie ein Konto an, speichern wir nur das, was zur Synchronisation Ihrer Gewohnheiten und zum Teilen mit Freunden nötig ist — nicht mehr.
Keine Werbung, keine Analyse, kein Tracking, keine Drittanbieter-SDKs. Die App enthält nichts davon.
Wir verkaufen Ihre Daten nicht und geben sie niemandem für dessen eigene Zwecke weiter.
Sie können Ihr Konto samt allen Inhalten direkt in der App löschen.

Welche Daten wir speichern — und warum

Ausschließlich, wenn Sie ein Konto anlegen:

Daten	Zweck
E-Mail-Adresse	Identifiziert Ihr Konto, ermöglicht Anmeldung und Passwort-Zurücksetzung
Passwort	Nur als `scrypt`-Hash mit zufälligem Salt gespeichert — das Passwort selbst sehen und speichern wir nie
Anzeigename	Für Ihre Freunde sichtbar — und in der Bestenliste „Alle“ nur, wenn Sie ihr ausdrücklich beitreten
Konto-ID	Eine zufällige Kennung, die Ihre Daten miteinander verknüpft
Ihre Gewohnheiten	Namen, Symbole, Farben, Zeitpläne, Ziele, Erinnerungszeiten und erledigte Tage — dies sind die Daten, die zwischen Ihren Geräten synchronisiert werden
Profilbild	Optional. Nur wenn Sie eines auswählen
Freunde und geteilte Gewohnheiten	Mit wem Sie befreundet sind und welche Gewohnheiten Sie teilen
Benachrichtigungs-Token	Optional. Eine von Apple vergebene Kennung Ihrer App-Installation, damit wir Sie benachrichtigen können, wenn ein Freund mit Ihnen interagiert

Apple Health

Wenn Sie einen Health-Auslöser einrichten, liest Habits die von Ihnen gewählten Werte — etwa Schritte, Wasser oder Achtsamkeitsminuten — damit sich eine Gewohnheit selbst als erledigt markieren kann, sobald Sie Ihr Ziel erreichen.

Die Health-Daten selbst verlassen Ihr Gerät zu keinem Zeitpunkt. Wir empfangen, speichern und übertragen weder Ihre Schrittzahl noch Ihre Trinkmenge noch irgendeinen anderen Health-Wert; auch Ihre Zielwerte bleiben ausschließlich auf Ihrem Gerät. Synchronisiert wird allein das Ergebnis und sonst nichts: ob eine Gewohnheit an diesem Tag erledigt wurde — dieselbe einzelne Information, die entstünde, wenn Sie sie von Hand abgehakt hätten. Wir verwenden Health-Daten niemals für Werbung oder Marketing und geben sie an niemanden weiter.

Fotos

Wenn Sie ein Profilbild festlegen, wird ausschließlich das eine von Ihnen ausgewählte Bild verwendet. Es wird bereits auf Ihrem Gerät zugeschnitten und auf ein kleines Quadrat (256 px) verkleinert, bevor es hochgeladen wird — das Originalfoto wird nie übertragen. Auf Ihre übrige Fotomediathek haben wir keinen Zugriff.

Was andere sehen können

Habits ist teilweise sozial, daher sind einige Ihrer Daten bewusst für andere sichtbar:

Ihre Freunde sehen Ihren Anzeigenamen, Ihr Profilbild und die Gewohnheiten, die Sie ausdrücklich mit ihnen geteilt haben, einschließlich der jeweils erledigten Tage.
Die Bestenliste „Alle“ ist freiwillig (Opt-in). Sie erscheinen dort erst, nachdem Sie auf „Join Global Leaderboard“ getippt haben, und können sie jederzeit auf demselben Bildschirm wieder verlassen. Solange Sie eingetragen sind, sehen alle angemeldeten Nutzerinnen und Nutzer dieser Instanz Ihren Anzeigenamen, Ihr Profilbild und Ihren Punktestand — die Anzahl Ihrer erledigten Gewohnheitstage. Welche Gewohnheiten das waren oder sonstige Angaben zu Ihrem Konto sind nicht sichtbar. Treten Sie nie bei, sieht Sie außerhalb Ihrer Freunde niemand.
Die Bestenliste „Freunde“ zeigt denselben Punktestand, aber nur Personen, die Sie als Freunde angenommen haben.

Nicht geteilte Gewohnheiten sind für niemanden sonst sichtbar.

Auftragsverarbeiter

Beide handeln ausschließlich nach unserer Weisung auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO:

IONOS SE (Deutschland) — betreibt den Server, auf dem Ihre Daten gespeichert sind, und versendet unsere E-Mails zum Zurücksetzen des Passworts. Mit IONOS besteht ein Auftragsverarbeitungsvertrag.
Apple Inc. — stellt Push-Benachrichtigungen zu. Apple erhält dabei das Benachrichtigungs-Token und den Text der Benachrichtigung. Bei Installation über TestFlight verarbeitet Apple zusätzlich Ihre Teilnahme an diesem Betatest nach seiner eigenen Datenschutzerklärung.

Wir setzen keinen Analysedienst, kein Werbenetzwerk und keine weiteren Dritten ein.

Speicherort

Ihre Kontodaten liegen auf einem Server der IONOS SE in Berlin, Deutschland, und werden nicht außerhalb der EU übermittelt.

Die einzige Ausnahme sind Push-Benachrichtigungen: Apple stellt diese über seine eigene weltweite Infrastruktur zu, weshalb eine Verarbeitung in den USA stattfinden kann. Apple Inc. ist unter dem EU-US Data Privacy Framework zertifiziert; zusätzlich bindet der Apple-Developer-Program-Vertrag die Standardvertragsklauseln der Europäischen Kommission ein — beides stellt jeweils eine Garantie im Sinne des Kapitels V DSGVO dar. Betroffen sind ausschließlich das Benachrichtigungs-Token und der Benachrichtigungstext, nicht Ihre Gewohnheiten oder Kontodaten.

Sie können dies vollständig verhindern, indem Sie Benachrichtigungen für Habits in den iOS-Einstellungen deaktivieren.

Rechtsgrundlagen

Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung: Ihr Konto, die Synchronisation, Freunde, geteilte Gewohnheiten und Benachrichtigungen. Ohne diese Daten kann der Dienst nicht erbracht werden.
Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen: Sicherheit und Verfügbarkeit des Dienstes; aus diesem Grund begrenzen wir die Zahl der Registrierungs- und Anmeldeversuche.
Art. 9 Abs. 2 lit. a DSGVO — ausdrückliche Einwilligung: das Auslesen von Apple-Health-Daten. Dies geschieht erst, nachdem Sie die Berechtigung in iOS erteilt haben, und ist jederzeit in der Health-App widerruflich.

Speicherdauer

Kontodaten: bis Sie Ihr Konto löschen. Inaktive Konten werden nicht automatisch gelöscht.
Anmeldesitzungen: eine Sitzung verfällt nach 400 Tagen ohne Nutzung sowie sofort bei Abmeldung oder Passwortänderung.
Links zum Zurücksetzen des Passworts: eine Stunde, einmalig verwendbar.
Sicherungskopien: wir bewahren tägliche Backups 30 Tage lang auf. Gelöschte Daten können daher bis zu 30 Tage in einem Backup fortbestehen, bevor sie herausfallen.
Server-Protokolle: Betriebsprotokolle werden kurzfristig zu Sicherheits- und Fehleranalysezwecken vorgehalten und nicht zur Profilbildung verwendet.

Konto löschen

In der App: Öffnen Sie Ihr Profil, tippen Sie auf das Zahnrad für die Einstellungen und dann auf Konto löschen. Sie werden nach Ihrem Passwort gefragt; die Löschung erfolgt sofort und endgültig — Konto, Gewohnheiten, Profilbild, Freundschaften und Benachrichtigungs-Token werden entfernt. Es gibt keine Wiederherstellungsfrist.

Eine bewusste Ausnahme: Eine Gewohnheit, die Sie mit einem Freund geteilt haben, wird zu dessen eigener persönlicher Gewohnheit und behält die Tage, die er oder sie erledigt hat. Diese Aufzeichnung des eigenen Fortschritts gehört der anderen Person und wird nicht mit Ihrem Konto gelöscht. Ihre eigenen Erledigungen darin werden entfernt.

Ihre Rechte

Nach der DSGVO haben Sie das Recht:

Auskunft über die zu Ihnen gespeicherten Daten und eine Kopie davon zu erhalten;
unrichtige Daten berichtigen zu lassen — Name und E-Mail-Adresse können Sie direkt in der App ändern;
Ihre Daten löschen zu lassen — die oben beschriebene Löschung in der App bewirkt dies unmittelbar;
auf Datenübertragbarkeit — schreiben Sie uns, und wir senden Ihnen alle zu Ihrem Konto gespeicherten Daten als JSON-Datei in einem strukturierten, maschinenlesbaren Format;
der auf berechtigte Interessen gestützten Verarbeitung zu widersprechen oder deren Einschränkung zu verlangen;
Ihre Health-Berechtigung jederzeit in der Health-App von Apple zu widerrufen;
sich bei einer Aufsichtsbehörde zu beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz — Sie können sich aber auch an die Behörde Ihres Wohn- oder Arbeitsorts wenden.

Zur Ausübung dieser Rechte schreiben Sie bitte an info@e-websolutions.de.

Automatisierte Entscheidungsfindung

Findet nicht statt. Wir erstellen keine Profile, und über Ihr Konto wird nichts automatisiert in einer Weise entschieden, die rechtliche Wirkung entfaltet oder Sie ähnlich erheblich beeinträchtigt. Die Bestenliste zählt lediglich erledigte Gewohnheitstage und trifft keine Entscheidungen über Sie.

Datenschutzbeauftragter

Wir haben keinen bestellt. Unsere Verarbeitung erreicht die Schwellen des Art. 37 DSGVO bzw. § 38 BDSG nicht — wir sind ein kleines Unternehmen, verarbeiten personenbezogene Daten nicht in großem Umfang und führen keine systematische Überwachung durch. Anfragen zum Datenschutz richten Sie bitte an info@e-websolutions.de.

Kinder

Habits richtet sich nicht an Kinder; wir legen wissentlich keine Konten für Personen unter 16 Jahren an. Wenn Sie vermuten, dass ein Kind ein Konto angelegt hat, kontaktieren Sie uns — wir löschen es.

Sicherheit

Der gesamte Datenverkehr ist per HTTPS verschlüsselt. Passwörter werden als gesalzene scrypt-Hashes gespeichert, Sitzungstoken ausschließlich als Hash — beides ist aus unserer Datenbank nicht auslesbar. Der Zugriff auf den Server ist auf den Betreiber beschränkt.

Änderungen dieser Erklärung

Ändert sich, welche Daten wir zu welchem Zweck verarbeiten, aktualisieren wir diese Seite und das Datum oben. Über wesentliche Änderungen informieren wir zusätzlich in der App.

Kontakt

Fragen zu dieser Erklärung oder zu Ihren Daten: info@e-websolutions.de.