1. Verantwortlicher
Tim-Lukas Thoß
Dorfstraße 14
09224 Chemnitz
Deutschland
E-Mail: support@hmbse.de
Supportportal: hmbse.de/support.html
2. Geltungsbereich und Grundsätze
Diese Erklärung gilt für die Website hmbse.de, Mein Homebase mit Konto- und Planverwaltung, Clips, das Supportportal, die öffentliche Fuel-Suche und die Homebase-App. Interne Verwaltungswerkzeuge werden nur zur Bereitstellung, Sicherheit und Betreuung dieser Angebote verwendet.
Homebase verarbeitet nur Daten, die für die gewählte Funktion, die Sicherheit oder die Erfüllung rechtlicher Pflichten erforderlich sind. Es findet kein Verkauf personenbezogener Daten, kein Werbeprofiling und keine Nutzung von HealthKit-Daten zu Werbezwecken statt.
Die Bereitstellung optionaler Angaben ist freiwillig. Ohne eine erforderliche Angabe kann lediglich die jeweilige Funktion – etwa Support, Cloud-Synchronisierung, Push oder eine Produktbelohnung – nicht bereitgestellt werden.
3. Website, Serverprotokolle und lokale Speicherung
Technische Bereitstellung
Beim Aufruf verarbeitet der Server insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse oder Datei, HTTP-Status, übertragene Datenmenge, Referrer sowie Browser- und Betriebssystemangaben. Zwecke sind Auslieferung, Fehleranalyse, Missbrauchsabwehr und Systemsicherheit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; berechtigte Interessen sind ein stabiler und sicherer Betrieb sowie die Abwehr rechtswidriger Zugriffe.
Das Hosting erfolgt bei MC-HOST24.de, einem Angebot der Gericke KG, Mühlenstraße 8a, 14167 Berlin, Deutschland. Die Webserver-Protokolle auf unserem Server werden täglich rotiert; aufbewahrt werden bis zu 14 rotierte Dateien zusätzlich zur aktuellen Datei. Bei täglicher Aktivität entspricht das ungefähr 14 Tagen. Leere Protokolle werden nicht rotiert, sodass ältere Dateien länger bestehen können. Bei Sicherheitsvorfällen können betroffene Auszüge bis zur Aufklärung und Durchsetzung von Ansprüchen länger aufbewahrt werden.
Cookies, Local Storage und Session Storage
Die öffentliche Website verwendet keine Analyse-, Werbe- oder Profiling-Cookies und lädt keine externen Schriftarten. Technisch notwendige Browser-Speicherungen werden nur für ausdrücklich genutzte Funktionen eingesetzt:
- Ladezustand: eine Sitzungsinformation verhindert unnötig lange Ladeanimationen und endet mit der Browser-Sitzung.
- Supportzugang: ein zufälliger Zugangsnachweis kann lokal gespeichert werden, damit eine geöffnete Anfrage erneut aufgerufen werden kann. Er wird beim Löschen der Anfrage oder durch Löschen der Browserdaten entfernt.
- Trainingspläne: Entwürfe und gegebenenfalls private Bearbeitungszugänge werden im lokalen Browser-Speicher gehalten, bis du sie dort entfernst oder die Browserdaten löschst. Ein nicht abgesendeter Entwurf ist dadurch noch nicht öffentlich.
- Mein Homebase: ein notwendiges Sitzungscookie hält die Anmeldung aufrecht. Beim Wechsel aus Guard dient ein kurzlebiger Nachweis im Sitzungsspeicher der sicheren Zuordnung.
- Geschützte Verwaltungsbereiche: ausschließlich für berechtigte Administratoren und Mitarbeitende; dort sind notwendige Sitzungs- und Sicherheitsinformationen erforderlich.
Für technisch unbedingt erforderliche Speicherungen ist keine Einwilligung nach § 25 Abs. 2 Nr. 2 TDDDG erforderlich. Sollten künftig optionale Analyse- oder Marketingtechniken eingesetzt werden, erfolgt dies erst nach vorheriger Einwilligung.
4. Optionales Homebase-Konto und Planbibliothek
Für das Erstellen und Verwalten eigener Trainingspläne auf der Webseite ist ein Konto erforderlich. Das Erstellen, Teilen und Importieren in der App bleibt ohne Konto möglich. Die bloße Kontoerstellung verknüpft keine privaten App-, HealthKit-, Standort- oder CloudKit-Daten. Nur durch eine gesondert bestätigte App-Verbindung werden Fuel-Teilnahme und zugehörige Belohnungen sichtbar. Ein allgemeiner Abgleich deines Trainings- oder Gesundheitsprofils findet dadurch nicht statt.
Daten und Zwecke
Wir verarbeiten eine automatisch vergebene Konto-ID, deine E-Mail-Adresse, einen mit individuellem Zufallswert abgeleiteten Passwort-Prüfwert, den Zeitpunkt der Kontoerstellung, die akzeptierte Version der Nutzungsbedingungen sowie eigene und gemerkte Trainingspläne. Diese Daten dienen der Anmeldung, der E-Mail-Bestätigung, der Wiederherstellung des Zugangs und der geräteübergreifenden Planverwaltung (Art. 6 Abs. 1 lit. b DSGVO). Passwörter werden nicht im Klartext gespeichert. Sicherheitsmaßnahmen und begrenzte, pseudonymisierte Versuchszähler dienen dem Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).
Bestätigungs- und Rücksetzlinks sowie alternativ versendete Codes sind einmal verwendbar und 30 Minuten gültig. Versuchslimits begrenzen falsche Codeeingaben. Der Server speichert nur einen Prüfwert des Link-Geheimnisses. Ein technisch erforderliches, geschütztes Sitzungscookie hält reguläre Anmeldungen höchstens sieben Tage aufrecht. Es wird nicht für Werbung oder Tracking verwendet. Sicherheits-Cookies unterliegen der Ausnahme für ausdrücklich gewünschte, technisch erforderliche Dienste nach § 25 Abs. 2 Nr. 2 TDDDG.
Admin- und Mitarbeiterzugänge
Bestehende Guard-Konten können sich über Guard mit dessen bestehendem Anmeldeschutz anmelden. Übertragen wird ein kurzlebiger, einmaliger Berechtigungsnachweis, nicht das Passwort oder der Zugang zur Verwaltung. Die Planbibliothek wird mit einer internen Kennung verknüpft. Ihre Anmeldung endet spätestens nach zwölf Stunden und wird bei Beendigung der zugrunde liegenden Guard-Sitzung beziehungsweise Deaktivierung des Mitarbeiterkontos unwirksam.
Kontoverwaltung durch das Team
Berechtigte Administratoren können Konto-ID, Kontaktadresse, Kontostatus und verknüpfte Supportanfragen im Verwaltungsbereich einsehen. Bei einer Sperre werden Status, Begründung und Änderungszeit gespeichert; aktive Zugänge können widerrufen werden. Eine Kontosperre ist keine automatische Löschung. Diese Verarbeitung dient Sicherheit und der Klärung konkreter Verstöße nach Art. 6 Abs. 1 lit. f DSGVO. Du kannst eine menschliche Überprüfung über den Support verlangen.
Geteilte Pläne und Empfänger
Beim Veröffentlichen werden Planname, Trainingstage, Übungen einschließlich eigener Namen, Sätze, Wiederholungen, Gewichte, Pausen und weitere eingegebene Planangaben auf dem Server gespeichert. Jeder mit der achtstelligen PLAN-ID, dem QR-Code oder einem Link wie hmbse.de/tp/DEINCODE kann die veröffentlichten Angaben abrufen. Die Groß-/Kleinschreibung gehört zum Code. Eine PLAN-ID ist kein privater Datenspeicher. Trage dort keine Namen anderer Personen, Kontaktdaten, Diagnosen oder sonstige sensible persönliche Angaben ein. Die PLAN-ID gewährt keinen Bearbeitungszugriff auf dein Konto. Hosting- und E-Mail-Dienstleister verarbeiten technisch notwendige Daten zur Bereitstellung des Dienstes und zur Zustellung angeforderter Konto-E-Mails; die allgemeinen Angaben zu Dienstleistern und Betroffenenrechten auf dieser Seite gelten ergänzend.
Speicherdauer, Export und Löschung
Kontodaten und die Planbibliothek bleiben bis zur Löschung des Kontos oder der jeweiligen Pläne gespeichert. Unter „Konto verwalten“ kannst du deine Kontodaten und Pläne als JSON herunterladen und dein Konto löschen. Dabei werden eigene veröffentlichte Pläne und ihre PLAN-IDs entfernt; gemerkte Pläne anderer Personen werden nur aus deiner Bibliothek entfernt. Bereits von anderen Personen gespeicherte, exportierte oder in die App importierte Kopien können nicht aus deren Geräten gelöscht werden. Abgelaufene Linkdaten und Sitzungen werden spätestens beim stündlichen Bereinigungslauf aus der aktiven Datenbank entfernt. Technische Sicherungen und Serverprotokolle sind davon getrennt und unterliegen den betrieblichen Löschfristen; Auskünfte hierzu erhältst du über den oben genannten Datenschutzkontakt.
5. Kontoverwaltung und Planverlauf
Optional kannst du einen Anzeigenamen speichern. Für deine Übersicht aktiver Anmeldungen speichern wir einen zufälligen Sitzungsverweis, den Anmeldezeitpunkt und eine grobe, aus der Browserkennung abgeleitete Geräte- und Browserbezeichnung. Wir zeigen keine IP-Adressen an; die Bezeichnung ist kein gesicherter Gerätenachweis. Diese Angaben werden mit der Sitzung entfernt. Bei einer E-Mail-Änderung speichern wir die neue Adresse, gehashte einmalige Bestätigungsnachweise und den Bestätigungsstatus beider Postfächer für höchstens 30 Minuten bis zur regelmäßigen Bereinigung. Nach erfolgreicher Änderung werden bestehende Homebase-Sitzungen beendet.
Favoriten und Archivzuordnungen bleiben privat in deinem Konto. Von Änderungen eigener geteilter Pläne werden bis zu 20 Vorgängerversionen gespeichert. Eigene Pläne im Papierkorb sind öffentlich nicht mehr abrufbar und werden nach 30 Tagen bei der regelmäßigen Bereinigung endgültig entfernt. Beim Löschen des gesamten Kontos werden sie sofort aus der aktiven Datenbank gelöscht. Bereits übernommene unabhängige Kopien bleiben bestehen. Für Hinweise auf neue Support-Antworten wird gespeichert, bis zu welchem Änderungsstand du einen verknüpften Chat geöffnet hast. Bei ausdrücklich eingeschalteten Support-E-Mail-Hinweisen speichern wir diese Einstellung mit Änderungszeitpunkt. Wir senden an deine bestätigte Konto-Adresse einen allgemeinen Hinweis ohne Chat-Inhalt und einen Link zur Anmeldung. Du kannst die Hinweise in der Kontoverwaltung jederzeit abschalten. Diese Daten dienen den von dir genutzten Kontofunktionen und werden nicht zu Werbezwecken verwendet.
6. Optionale Fuel-Kontoverbindung · eingestellt
Seit 18. Oktober 2026 eingestellt: Fuel-Suche, Scanner und neue Beitragsbelohnungen sind abgeschaltet. Die folgenden Angaben beschreiben frühere Funktionen und weiterhin gespeicherte Bestandsdaten. Bestehende Konten und bereits erworbene Pässe bleiben erhalten; die Kontoanmeldung funktioniert weiterhin.
Wenn du die App unter Einstellungen → Homebase → Daten & Privatsphäre mit Mein Homebase verbindest, wird deine Fuel-Teilnahme deinem persönlichen Konto zugeordnet. Verknüpft werden eingereichte Produkte, Prüfstatus, Beitragsfortschritt, Belohnungen und gegebenenfalls eine Fuel-Sperre. Trainings-, Gesundheits-, Standortdaten, private Ernährungstagebücher und sonstige App-Inhalte werden durch diese Verbindung nicht übertragen.
Der Verbindungscode ist fünf Minuten gültig und einmalig. Die Zuordnung erfolgt erst nach zusätzlicher Bestätigung auf der Website. Der Server speichert eine gehashte Geräte-Zugangskennung, eine allgemeine Gerätebezeichnung und Zeitpunkte von Verbindung und letzter Statusabfrage. Die App speichert ihr Zugangsgeheimnis ausschließlich im Schlüsselbund dieses Geräts, nicht in iCloud.
Du kannst die Verbindung in der App oder in Mein Homebase trennen. Dafür wird ein einmaliger, zehn Minuten gültiger Code an deine Konto-E-Mail gesendet. Der Gerätezugriff endet nach Bestätigung. Beiträge und laufendes Premium werden dadurch nicht gelöscht. Für erneuten Zugriff verbindest du das Gerät wieder. Die bisherige Zuordnung bleibt zur Missbrauchsprävention erhalten; bei Kontolöschung wird die Kontoreferenz entfernt und der Gerätezugriff ungültig. Für die Löschung weiterer Fuel-Teilnahmedaten wende dich an den Support; bereits veröffentlichte Produktdaten sind hiervon zu unterscheiden.
Die Verknüpfung ist optional und erfolgt zur von dir angeforderten Fuel-Verwaltung nach Art. 6 Abs. 1 lit. b DSGVO. Geräte- und Prüfzuordnungen sowie Sperren dienen ergänzend dem Schutz vor unberechtigter Übernahme nach lit. f. Bis zu fünf Fuel-Installationen können einem Konto zugeordnet werden. Unverknüpfte Installationen können die dafür verfügbaren Funktionen weiterhin nutzen; eine zuvor gebundene und dann getrennte Installation erhält nicht automatisch wieder denselben geschützten Zugriff. Eine Verbindung ist nur mit einem persönlichen Konto möglich, nicht mit einem Guard-Teamkonto. Bei vorhandenen Beiträgen wird geprüft, ob sie bereits sicher demselben Konto oder derselben bestätigten Adresse zugeordnet werden können. Ist das nicht möglich, hilft der Support; die Kenntnis einer Installationskennung allein reicht nicht zur Übernahme.
7. Supportportal, Tommy und E-Mail
Support ist mit oder ohne Homebase-Konto nutzbar. Bist du angemeldet, wird eine neu erstellte Anfrage automatisch deinem Konto zugeordnet und unter „Meine Anfragen“ angezeigt. Ein zusätzlicher Haken oder ein E-Mail-Feld ist dann nicht erforderlich. Ohne Konto kannst du eine freiwillige Adresse für Antwort-Hinweise angeben. Bestehende Gastanfragen lassen sich nur mit ihrem privaten Zugangsnachweis übernehmen, nicht allein mit Supportnummer oder E-Mail-Adresse.
Verarbeitet werden Kategorie, Nachrichten, gegebenenfalls E-Mail-Adresse und Kontoreferenz, Supportnummer, Zugangsnachweis, Erstellungs- und Änderungszeiten, Bearbeitungsphase, Antwortfrist und Löschtermin. IP-Prüfwerte und begrenzte Anfragezähler dienen der Missbrauchsabwehr. Kontonachrichten können einen Lesestand und eine ausdrücklich aktivierte E-Mail-Benachrichtigung erhalten. Konto-E-Mail-Hinweise enthalten einen allgemeinen Hinweis und einen Anmeldelink, nicht den Chattext.
Berechtigte Administratoren und Support-Mitarbeitende können die für die Bearbeitung nötigen Angaben einsehen. Teamantworten erhalten serverseitig eine feste Absenderzuordnung und Signatur. Der Anzeigename eines Mitarbeitenden kann dadurch im Chat sichtbar sein; interne Anmeldenamen werden nicht als Signatur veröffentlicht. Die Signatur wird mit der Antwort gespeichert und ändert sich nicht nachträglich bei Umbenennung.
„Tommy“ kennzeichnet automatische Systemhinweise, keinen menschlichen Mitarbeiter. Diese Hinweise werden aus dem Bearbeitungsstatus erzeugt. Für diesen Support-Ablauf werden deine Nachrichten nicht an einen externen KI-Chatdienst zur Antworterstellung übertragen. Eine neue Kundenantwort kann eine wartende Anfrage wieder in die Warteschlange stellen. Die endgültige fachliche Bearbeitung erfolgt durch das Team.
Du oder das Support-Team könnt die Anfrage beenden. Danach ist der Chat schreibgeschützt und wird zum angezeigten Löschtermin aus der aktiven Datenbank entfernt. Voreingestellt sind sieben Tage nach Abschluss; die Verwaltung kann für künftige Abschlüsse eine Frist von einem bis 30 Tagen wählen. Die Bereinigung entfernt auch zugehörige Nachrichten, Absenderangaben und Statusereignisse. Offene Anfragen bleiben bis zum Abschluss beziehungsweise einer begründeten Löschung gespeichert. Die Löschung eines Kontos entfernt die Verknüpfung, nicht automatisch den Supportchat. Für Sicherungen gelten die gesonderten Hinweise unten.
Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für die Bearbeitung deines Anliegens und die genutzte Kontofunktion sowie lit. f für Sicherheit, Nachvollziehbarkeit und Missbrauchsschutz. Bitte sende keine Passwörter, vollständigen Zahlungsdaten, Ausweisdokumente oder unnötigen Gesundheitsdaten. Angeforderte E-Mails werden über den konfigurierten SMTP-Dienst mail.mailseven24.de versendet; dabei werden Empfängeradresse, Nachricht und technische Zustelldaten verarbeitet.
8. Homebase Fuel und Lebensmittelbeiträge · eingestellt
Seit 18. Oktober 2026 eingestellt: Fuel-Suche, Scanner und neue Beitragsbelohnungen sind abgeschaltet. Die folgenden Angaben beschreiben frühere Funktionen und weiterhin gespeicherte Bestandsdaten. Bestehende Konten und bereits erworbene Pässe bleiben erhalten; die Kontoanmeldung funktioniert weiterhin.
Suche und öffentliche Datenbank
Suchbegriffe, Kategorien und Barcodes werden an den Homebase-Server übertragen, um Treffer auszuliefern. Sie werden nicht zu einem Nutzungsprofil zusammengeführt; technisch notwendige Verbindungsdaten können in Serverprotokollen anfallen.
Neue Produkte und Meldungen
Wenn du ein Produkt einreichst, werden Barcode, Produkt- und Markenname, Kategorie, Portionsangabe, Nährwerte, Prüfstatus und Zeitpunkte gespeichert. Bei einer Fehlermeldung kommen der gewählte Grund und ein kurzer Hinweis hinzu. Bei vorgeschlagenen Korrekturen werden bisherige und vorgeschlagene Werte mit der pseudonymen Teilnahmezuordnung gespeichert und dem berechtigten Team zur Prüfung angezeigt. Einträge können bereits vor der Prüfung als „ungeprüft“ öffentlich auffindbar sein und werden anschließend geprüft, korrigiert, verifiziert oder entfernt.
Die App sendet für Beitragsfortschritt und Premium-Belohnungen eine zufällige Installationskennung. Auf dem Server wird daraus mit einem geheimen Schlüssel ein nicht unmittelbar rückrechenbarer Prüfwert gebildet. Die rohe Kennung wird nicht gespeichert. Für Tageslimit, Abklingzeit, Dubletten- und Missbrauchsschutz werden zusätzlich pseudonyme IP-Prüfwerte und technische Limits verwendet. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für Beitrag, Status und Belohnung sowie Art. 6 Abs. 1 lit. f DSGVO für Datenqualität und Missbrauchsabwehr.
Teilnahmesperren und Prüfung
Guard zeigt dem Hauptadministrator Prüfhinweise bei mindestens drei abgelehnten Einsendungen oder drei Produktmeldungen. Dies ist kein Nachweis von Missbrauch und löst keine automatische Sperre aus. Der Administrator kann die Fuel-Teilnahme einschließlich verknüpfter E-Mail-Prüfwerte sperren oder freigeben. Status, Grund, betroffene Kennung und Zeitpunkt werden protokolliert. Bei einer Sperre verhindert der Server neue Produkte und das Einlösen weiterer Fuel-Belohnungen. Laufendes Premium und vorhandene Daten bleiben unverändert. Die App fragt den Teilnahmestatus im Vordergrund regelmäßig ab und bietet unter Einstellungen → Fuel Kontakt zur Klärung. Auch nach Trennung einer Konto- oder früheren E-Mail-Verbindung können diese Sperrzuordnungen fortbestehen. Löschungs- und Widerspruchsanfragen können über den Support gestellt werden.
Fotos und Texterkennung
Fotos von Nährwerttabellen werden für die Texterkennung mit Apple Vision auf dem Gerät verarbeitet. Das Foto wird nicht an Homebase übertragen. An den Server gelangen erst die von dir geprüften Text- und Zahlenwerte, wenn du das Produkt absendest.
Veröffentlichung und Speicherdauer
Produktangaben sind für eine öffentliche, gemeinschaftlich gepflegte Datenbank bestimmt. Trage deshalb keine Namen, Kontaktdaten oder andere personenbezogene Inhalte in Produktfelder ein. Verifizierte Einträge können dauerhaft bestehen bleiben, solange sie für die Datenbank benötigt werden. Entfernte Barcodes können als Sperrwert erhalten bleiben, damit abgelehnte Dubletten nicht erneut eingereicht werden. Beitrags- und Belohnungszuordnungen bleiben so lange gespeichert, wie dies für Status, Missbrauchsschutz und noch offene Premium-Ansprüche erforderlich ist; anschließend werden sie gelöscht oder von der Zuordnung getrennt.
Bestätigtes Konto und ältere E-Mail-Bestätigungen
In der aktuellen App wird die Bestätigung über die optionale Verbindung zu einem persönlichen Homebase-Konto mit bestätigter E-Mail verwaltet. Es gibt dafür keinen eigenständigen neuen Fuel-E-Mail-Schritt. Ab dem zweiten Beitragsbonus ist eine bestätigte Zuordnung erforderlich. Einzelheiten zur Kontoverbindung stehen im nächsten Abschnitt.
Bereits vorhandene Bestätigungen älterer App-Versionen können weiterhin als Nachweis gespeichert sein: pseudonyme Installations- und E-Mail-Prüfwerte, Bestätigungszeitpunkt und, soweit zuvor hinterlegt, die verschlüsselte Adresse. Berechtigte Hauptadministratoren können eine hinterlegte Adresse für Teilnehmerverwaltung und Klärung einsehen. Historische Zuordnungen können für Sperrprüfung und offene Ansprüche erhalten bleiben. Pseudonyme Prüfwerte sind keine anonymen Daten. Für Altversionen können noch einmalige zehn Minuten gültige Bestätigungscodes und ihre begrenzten Fehlversuchszähler verarbeitet werden; bei bereits kontogebundenen Installationen ist die separate E-Mail-Verwaltung gesperrt.
Bestätigung und angeforderte Belohnungen beruhen auf Art. 6 Abs. 1 lit. b DSGVO, Missbrauchsschutz auf lit. f. Die Adresse wird damit nicht für Werbung freigegeben. Für Auskunft, Korrektur oder Löschung dieser Zuordnungen kannst du dich an den Support wenden.
Abgelehnte Produkte wechseln nach 24 Stunden in die Archivansicht. Dies ist nur eine Änderung der Darstellung, keine Löschung. Barcodes, Produktdaten und Beitragszuordnungen können für Dublettenprüfung, Status und Missbrauchsabwehr weiter gespeichert sein.
9. Homebase Clips
Clips kann ohne Konto genutzt werden. Unser Server ruft die eingegebene öffentliche Beitragsadresse sowie angeforderte Medien bei TikTok beziehungsweise Instagram und deren Medienservern ab. Dein Homebase-Passwort, deine E-Mail-Adresse und Sitzungscookies werden nicht an diese Anbieter weitergegeben. Vorschauen werden über unseren Server geladen.
Medienadressen und zufällige Download-Zugänge werden vorübergehend im Arbeitsspeicher verarbeitet. Zugänge gelten zehn Minuten; abgelaufene Einträge werden spätestens eine Minute später entfernt. Ohne Anmeldung kann jeder mit dem vollständigen zufälligen Download-Link diesen während seiner Gültigkeit nutzen. Bei angemeldeten Nutzern wird der Zugang zusätzlich an das Konto gebunden. Es entsteht kein dauerhafter Videospeicher.
Wenn du Clips angemeldet nutzt, werden bis zu 100 erfolgreich geöffnete Beitragslinks mit Titel und Zeit im Konto gespeichert. Diese Links kannst du einzeln entfernen. Sie sind im Kontoexport enthalten und werden bei Kontolöschung ebenfalls gelöscht. Der iPhone-Kurzbefehl verwendet keine Homebase-Anmeldung und speichert keine Links im Konto. Er übermittelt den geteilten oder kopierten Beitragslink an Homebase und speichert das erste Medium mit deiner Erlaubnis in Fotos.
Die angeforderte Analyse, Übertragung und Linkbibliothek beruhen auf Art. 6 Abs. 1 lit. b DSGVO. Begrenzte Anfragezähler und technische Protokolle dienen der Sicherheit und Missbrauchsabwehr nach lit. f. TikTok, Instagram und beteiligte Medienanbieter erhalten beim serverseitigen Abruf die angeforderte Adresse und technische Daten der Serververbindung. Besuchst du einen Originalbeitrag direkt, gelten zusätzlich die Datenschutzhinweise des jeweiligen Anbieters. Solche Anbieter können außerhalb des EWR verarbeiten; die Weiterleitung deiner Homebase-Kontodaten ist nicht Bestandteil des Clips-Abrufs. Speichere nur eigene Inhalte oder solche, für die du eine Erlaubnis hast. Private Inhalte und Anmeldesperren werden nicht freigeschaltet.
10. App-Daten auf dem Gerät
Beim Abschluss der Einführung speichert die App die Version der akzeptierten Nutzungsbedingungen und den Zeitpunkt der Bestätigung lokal. Der einmalige allgemeine Feedback-Hinweis wird ebenfalls lokal als angezeigt markiert. Diese Angaben werden durch diese Funktionen nicht an Homebase übertragen.
Profil-, Trainings-, Planungs-, Gewichts-, Ziel-, Supplement-, Rauchfrei-, Andachts-, Spruch- und Ernährungseinstellungen werden grundsätzlich lokal verarbeitet. Dazu können Trainingsverlauf, Ruhe- und Krankheitstage, Gym-Standorte, Premiumstatus, Favoriten und eigene Ziele gehören.
Das Ernährungstagebuch und zuletzt verwendete Lebensmittel werden lokal gespeichert. Tagebucheinträge, die älter als ungefähr 370 Tage sind, werden von der App automatisch entfernt. Private Eingaben werden nicht dadurch öffentlich, dass du die öffentliche Fuel-Suche verwendest.
Lokale App-Daten bleiben grundsätzlich bis zur Löschung in der App oder durch iOS gespeichert. Schlüsselbund-Einträge können eine Deinstallation überdauern. „App zurücksetzen“, Konto löschen und eine Cloud- oder Fuel-Verbindung trennen sind unterschiedliche Vorgänge: Ein lokales Zurücksetzen löscht nicht automatisch Konto, Serverbeiträge, Apple-Käufe oder bereits nach HealthKit exportierte Trainings. Soweit du iCloud aktivierst, gelten zusätzlich die Hinweise zu CloudKit.
11. Standort, Gesundheit, Kamera und Face ID
Standort und Gym-Erkennung
Mit deiner iOS-Freigabe kann Homebase Standortdaten verwenden, um gespeicherte Gyms zu erkennen und eine Einheit automatisch zu starten oder zu beenden. Die aktuelle Position wird für diese Logik auf dem Gerät verarbeitet. Gespeicherte Gym-Koordinaten können Teil deines privaten CloudKit-Zustands sein. Die Berechtigung kann jederzeit in iOS geändert werden.
HealthKit und Gesundheitsdaten
Mit ausdrücklicher Freigabe kann Homebase insbesondere Schritte, Gewicht, Schlafdaten und Trainingsminuten aus HealthKit lesen und abgeschlossene Workouts schreiben. Solche Angaben können Gesundheitsdaten nach Art. 9 DSGVO sein. Soweit Homebase selbst hierfür verantwortlich ist, beruht die Verarbeitung auf deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Du kannst HealthKit-Berechtigungen jederzeit in iOS widerrufen.
Kamera und Fotomediathek
Kamera und Fotomediathek werden nach den jeweiligen iOS-Freigaben für Barcode- oder Nährwertaufnahmen sowie das Scannen eines Plan-QR-Codes verwendet. Homebase erhält keine allgemeine Einsicht in deine Mediathek.
Face ID
Face ID kann geschützte Ansichten oder Nachweise freigeben. Homebase erhält keine biometrischen Merkmale, sondern nur das Ergebnis der lokalen Systemauthentifizierung.
Freunde: Deaktivierung und Wiederherstellung
Die Freunde-Funktion wird separat aktiviert. Dein Freunde-Profil enthält Name und Freundescode; geteilt werden Wochenstand und Serie, optional Live-Training sowie die Teilnahme und eigene Fortschritte in gemeinsamen Challenges. Zugriff erfolgt über dein verbundenes Homebase-Konto. Beim Deaktivieren wird dein Profil auf dem Server sofort ausgeblendet. Es kann nicht über seinen Code hinzugefügt werden und erhält keine neuen Freunde-Mitteilungen.
Profil, Freundschaften, Status und Challenge-Teilnahmen bleiben für 14 Tage zur Wiederherstellung gespeichert. Die App zeigt das Ende der Frist. Reaktivierst du rechtzeitig mit demselben Konto, werden die erhaltenen Verbindungen wieder verfügbar. Wiederholtes Deaktivieren während dieser Pause verlängert die Frist nicht. Nach Ablauf löscht ein regelmäßiger Bereinigungslauf die Freunde-Daten aus der aktiven Datenbank; eine Wiederherstellung ist ab Fristende ausgeschlossen. Gemeinsame Challenges können für andere Teilnehmende weiterbestehen. Bereits zugestellte Mitteilungen, lokale Kopien auf anderen Geräten und technische Sicherungen unterliegen ihren eigenen Aufbewahrungsfristen. Die Löschung des gesamten Kontos wartet diese Frist nicht ab.
Ein neuer Freundescode kann höchstens fünfmal innerhalb von 24 Stunden angefordert werden. Zwischen erfolgreichen Wechseln liegen mindestens 60 Sekunden. Dafür werden kontoabhängige technische Zeitpunkte und Ratenlimits gespeichert.
12. Andachten, Verse und Mitteilungen
Die Andachtsfunktion ist freiwillig. Die App ruft veröffentlichte Verse, Gedanken und Gebete vom Homebase-Server ab. Deine Antwort auf die persönliche Glaubensfrage bleibt auf dem Gerät und wird nicht an Homebase übertragen. Favorisierte Verse und der Aktivierungsstatus können bei eingeschalteter Cloud-Synchronisierung Teil deines privaten CloudKit-Zustands sein.
Auf der Website können veröffentlichte Andachten ebenfalls ohne Konto gelesen werden; dabei fallen die üblichen Abrufdaten an. Gedanken und Gebete können redaktionell mit KI-Unterstützung erstellt werden. Die Erstellung verwendet Inhalte und redaktionelle Vorgaben, nicht dein privates Glaubensprofil, HealthKit-Daten oder deinen Supportchat.
Wenn du Push-Mitteilungen aktivierst, wird ein technischer APNs-Geräte-Token zusammen mit App- und Push-Umgebung gespeichert. Er wird ausschließlich für die von dir aktivierten Homebase-Mitteilungen verwendet und beim Deaktivieren beziehungsweise bei technischer Ungültigkeit gelöscht. Apple verarbeitet den Versand über den Apple Push Notification service. Lokale Erinnerungen, Live Activities und Alarme werden soweit möglich auf dem Gerät geplant.
14. Freiwillige Nutzungsstatistik
Die aktuelle App-Version bietet eine standardmäßig ausgeschaltete Nutzungsstatistik. Nach Aktivierung sendet sie höchstens etwa einmal pro Tag eine monatlich wechselnde pseudonyme Kennung sowie App-Version, Buildnummer, Plattform, Hauptversion des Betriebssystems und Zeitangaben. Der Server speichert einen weiteren kryptografischen Prüfwert der Kennung. Die Nutzungstabelle enthält keine Namen, E-Mail-Adressen, Trainings-, Gesundheits- oder Standortdaten. Bei der technischen Übertragung entstehen dennoch die unter Serverprotokolle beschriebenen Verbindungsdaten; die Statistik ist deshalb nicht als vollständig anonym zu verstehen.
Zweck ist die Ermittlung aktiver Installationen und verwendeter App-Versionen. Grundlage ist deine freiwillige Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die du durch Ausschalten der Statistik für die Zukunft widerrufen kannst. Der Server entfernt Einträge mit letzter Aktivität vor mehr als 100 Tagen bei der Verarbeitung neuer Nutzungsmeldungen. Das ist keine zeitgenaue Löschung zum Ablauf des hundertsten Tages.
14a. Freiwillige gemeinsame Trainingsstatistik
Über den bestehenden Schalter „Anonyme Nutzungsstatistik“ kannst du die Gemeinschaftsstatistik zusätzlich ausdrücklich freigeben. Eine frühere Zustimmung zur Nutzungszählung aktiviert diese Erweiterung nicht automatisch. Die App übermittelt gespeicherte und neue Trainingsminuten, bestätigte Arbeitssätze ohne Aufwärmsätze und Trainingsvolumen (Gewicht × Wiederholungen). Körpergewicht, Konto, E-Mail-Adresse, Übungsnamen, Gym-Namen, Standort, Trainingsdatum und Trainingsbeginn sind nicht Teil der Nutzdaten.
Ein kryptografisch abgeleiteter technischer Trainingsschlüssel und ein Abschlussstatus verhindern Doppelzählung bei Wiederholungen und Gerätewechseln mit denselben synchronisierten Trainings-IDs. Der Server speichert einen weiteren Prüfwert dieses Schlüssels sowie die drei Werte. Solange eine Einheit bearbeitbar ist, können vorläufige Werte aktualisiert werden; nach 72 Stunden wird ihr Beitrag abschließend verarbeitet. Zur Plausibilität sind Beiträge pro Einheit auf 360 Minuten, 200 Sätze und 300 Tonnen begrenzt. Die Website stellt ausschließlich die gemeinsamen Summen bereit, keine Einzelbeiträge und keine Nutzerprofile. Diese freiwillig gemeldeten Werte sind keine unabhängig geprüfte Leistungsstatistik.
Bei aktiver App werden Änderungen höchstens etwa einmal pro Minute gesendet. Ohne Verbindung bleiben ausstehende Beiträge lokal und werden beim nächsten Online-Abgleich nachgesendet. Die Website fragt die gemeinsamen Summen etwa alle 30 Sekunden ab und kann zuletzt geladene Summen lokal für eine Offline-Anzeige speichern. Keine individuellen Trainingsschlüssel gelangen an Website-Besucher.
Ausschalten stoppt weitere Übermittlungen und verwirft noch nicht bestätigte lokale Beiträge. Bereits beigetragene Werte bleiben in der gemeinsamen Summe; ihre technischen Prüfwerte bleiben zur Vermeidung späterer Doppelzählung erhalten. Die Verarbeitung erfolgt ohne Kontoverknüpfung. Technisch entstehen beim Versand Verbindungsdaten wie IP-Adresse und Zeitpunkt; für kurzzeitige Missbrauchsbegrenzung werden IP-Prüfwerte für höchstens etwa eine Stunde im Arbeitsspeicher genutzt. Deshalb wird keine vollständige Anonymität der Übertragung zugesichert. Die allgemeinen Hinweise zu Serverprotokollen, Sicherungen und Betroffenenrechten gelten auch hier.
15. Fehlerberichte und TestFlight
Über E-Mail oder Support gesendete Fehlerbeschreibungen, Screenshots und freiwillige Kontaktdaten verarbeiten wir zur Bearbeitung des Anliegens und zur Fehlerbehebung nach Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO. Bitte entferne unnötige persönliche Daten und sende keine Passwörter oder Einmalcodes.
Bei TestFlight verarbeitet Apple zusätzlich technische Nutzungs- und Absturzdaten der Beta-App; Entwickler erhalten entsprechende Berichte. Von dir gesendetes Feedback kann weitere Geräteangaben, Kommentare und Screenshots enthalten. Das ist von einer freiwilligen Supportmeldung in Homebase zu unterscheiden. Umfang, Empfänger und Aufbewahrung durch Apple beschreibt Apple in den TestFlight-Datenschutzhinweisen.
16. iCloud, CloudKit und Apple-Dienste
Wenn du die iCloud-Synchronisierung aktivierst, speichert Homebase einen aktuellen App-Zustand in der privaten CloudKit-Datenbank deines Apple-Accounts. Je nach aktivierter Funktion kann dieser Profil-, Trainings-, Gym-, Ziel-, Rauchfrei-, Andachts-, Favoriten- und Ernährungsplandaten enthalten. Apple verarbeitet diese Daten nach den iCloud-Bedingungen und der Apple-Datenschutzrichtlinie. Die Homebase-Kontoverbindung und iCloud sind getrennte Funktionen. Ausschalten der Synchronisierung beendet künftige Synchronisierungen, löscht aber nicht automatisch einen bereits gespeicherten Cloud-Zustand. Private Cloud-Daten verwaltest du über die entsprechenden App- und Apple-Funktionen.
Bei Apple-Diensten kann eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums stattfinden. Maßgeblich sind die von Apple eingesetzten vertraglichen und sonstigen Schutzmechanismen. Homebase verwendet derzeit kein Firebase Analytics, keine Werbe-SDKs und kein geräteübergreifendes Werbetracking.
17. Empfänger und Datenquellen
Empfänger sind nur Stellen, die für die jeweilige Funktion erforderlich sind: der Hosting-Anbieter, der E-Mail-Dienst für Nachrichtenversand sowie Apple für iCloud/CloudKit, HealthKit-Systemfunktionen, StoreKit und APNs. Behörden oder sonstige Stellen erhalten Daten nur, wenn eine gesetzliche Verpflichtung besteht oder dies zur Rechtsverteidigung erforderlich ist.
Daten stammen grundsätzlich von dir, deinem Gerät oder – bei öffentlich gepflegten Lebensmitteln – aus von Nutzern eingereichten und anschließend geprüften Produktangaben. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung statt.
18. Speicherdauer, Sicherungen und Löschung
Die bei den einzelnen Funktionen genannten Fristen beziehen sich grundsätzlich auf aktive Datenbestände. Technische Ablaufzeiten für Sitzungen, Links oder Codes bedeuten, dass der Zugriff endet; ihre physische Bereinigung kann beim nächsten vorgesehenen Bereinigungslauf erfolgen.
Die tägliche automatisierte Datenbanksicherung wird verschlüsselt gespeichert. Behalten werden die letzten 14 erfolgreich erzeugten Sicherungen, nicht garantiert genau 14 Kalendertage. Daneben bestehen gesonderte Sicherungen vor Serveränderungen. Für eindeutig erkannte, bereits ausschließlich für den Serveradministrator zugängliche Update-Sicherungen im zentralen Sicherungsordner erfolgt täglich eine automatische Prüfung: Sicherungen, deren jüngster erfasster Stand mehr als 30 Tage zurückliegt, werden gelöscht. Die drei neuesten erfassten Sicherungen bleiben als Rückfallmöglichkeit erhalten, auch wenn sie älter als 30 Tage sind. Die Prüfung ist für etwa 07:00 Uhr deutscher Zeit mit bis zu zehn Minuten Verzögerung vorgesehen; nach ausgefallenen Läufen wird sie beim nächsten möglichen Start nachgeholt. Reguläre verschlüsselte Datenbanksicherungen sind davon getrennt.
Ältere verschachtelte Sicherungsablagen, nicht eindeutig zuordenbare oder nicht ausreichend geschützte Kopien sowie Verknüpfungen auf andere Verzeichnisse sind von dieser automatischen Bereinigung ausgenommen. Für diese Bestände ist weiterhin keine allgemeine automatische Löschfrist eingerichtet. Auch zurückbehaltene Update-Sicherungen können nach Löschung eines aktiven Datensatzes noch Daten enthalten und sind bei einer Löschanfrage gesondert zu prüfen. Die Sicherungsablagen werden nicht über die Website veröffentlicht.
Technische Dienstprotokolle unterliegen derzeit der größenabhängigen Systemrotation, ohne eigene feste Tagesfrist. E-Mail-Zustelldaten und Postfachkopien können beim Versanddienst beziehungsweise in bearbeiteten Supportpostfächern verbleiben. Für diese Bestände ist noch keine einheitliche, verifizierte Frist dokumentiert. Das ist keine Zusage unbegrenzter Speicherung: Erforderlichkeit, gesetzliche Aufbewahrungspflichten und Löschanfragen sind für diese Bestände gesondert zu prüfen.
Wenn du Serverdaten löschen lassen möchtest, kontaktiere support@hmbse.de möglichst mit Konto-ID, Supportnummer oder Fuel-ID, aber ohne Passwort oder Geheimcodes. Gesetzliche Aufbewahrungspflichten und konkret erforderliche Rechtsverteidigung können einer sofortigen Löschung einzelner Daten entgegenstehen.
19. Deine Rechte
Unter den gesetzlichen Voraussetzungen hast du Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Erfolgt eine Verarbeitung auf Grundlage berechtigter Interessen, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen.
Zur Ausübung genügt eine Nachricht an support@hmbse.de. Bei rein lokalen oder privaten iCloud-Daten kann Homebase ohne deine Mitwirkung technisch nicht auf den Datensatz zugreifen oder ihn dir zuordnen.
Du kannst dich insbesondere bei der Sächsischen Datenschutz- und Transparenzbeauftragten, Maternistraße 17, 01067 Dresden, beschweren.
20. Sicherheit und Änderungen
Homebase setzt unter anderem TLS, Zugriffsbeschränkungen, Hash- und Tokenverfahren, Ratenbegrenzungen, getrennte Verwaltungszugänge und Sicherheitsprotokollierung ein. Kein technisches System kann jedoch absolute Sicherheit garantieren.
Diese Erklärung wird angepasst, wenn sich Funktionen, Dienstleister oder rechtliche Anforderungen ändern. Wesentliche Änderungen werden auf dieser Seite und – soweit sinnvoll – in der App kenntlich gemacht.
Weitere Informationen: Apple Datenschutzrichtlinie · Apple Datenschutz und Health · Datenschutz des Hosters
Stand: 9. Oktober 2026 · Ergänzung Freunde-Pause
Meldungen im Freunde-Trainingsfeed
Du kannst fremde Kommentare mit einem Grund und optionalem Hinweis melden. Übertragen werden die Zuordnung zum meldenden Konto, das gemeldete Profil, der Kommentar und die für dich sichtbare Unterhaltung des betreffenden Trainings mit vorherigen Kommentaren und Antworten. Es gibt dadurch keinen allgemeinen Zugriff auf andere Feeds oder private Trainings, Notizen, Standort- oder Gesundheitsdaten.
Der Hauptadministrator sieht die Meldung im geschützten Guard-Bereich. Solange der Beitrag für die meldende Person im 24-Stunden-Feed noch zugänglich ist, werden nachfolgende sichtbare Kommentare und Antworten dem gemeldeten Fall zugeordnet. Dieser begrenzte Kontext bleibt für die Prüfung erhalten, auch nachdem der Beitrag aus dem normalen Feed verschwunden ist. Die gemeldete Person erhält die Identität der meldenden Person nicht über diese Funktion. Eine Meldung löst keine automatische Kontosperre aus.
Der gesicherte Gesprächskontext und die Fallbearbeitung werden höchstens 90 Tage gespeichert und anschließend durch die regelmäßige Bereinigung entfernt. Im normalen Freunde-Feed bleibt die Sichtbarkeit eines Trainings weiterhin auf 24 Stunden begrenzt. Das Entfernen eines Kommentars aus dem Feed entfernt nicht sofort einen bereits zur Prüfung gesicherten Meldekontext. Technische, zugriffsbeschränkte Sicherungskopien können bis zur Löschung der jeweiligen Sicherung bestehen; sie sind im Dashboard nicht zugänglich. Für Auskunft und Löschungsanfragen steht der bestehende Datenschutzkontakt zur Verfügung.