1 Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Mag. Armin Forstner, MSc, Geschäftsführer myCTS GmbH
Geschäftsbezeichnung: PERMAfit® ist eine eingetragene Unionsmarke der myCTS GmbH
Anschrift: Anton Bruckner-Gasse 4, 2301 Groß Enzersdorf
E-Mail: office@mycts.at
Firmenbuchnummer: FN336180h

Diese Datenschutzerklärung gilt für die Website permafit.ai und permafit.mycts.at, die Anmeldung und Durchführung unserer Lehrgänge und Präsenzveranstaltungen sowie die PERMAfit®-App einschließlich ihrer KI-gestützten Funktionen.

Soweit eine Kooperationspartnerin – etwa npoAustria/Wirtschaftsuniversität Wien – Daten für eigene Zwecke verarbeitet, informiert sie darüber in ihrer eigenen Datenschutzerklärung. Ob im Einzelfall eine gemeinsame Verantwortlichkeit besteht, wird in der jeweiligen Anmeldung oder Zusatzinformation erläutert.

2 Welche Daten wir verarbeiten

Abhängig davon, welche Angebote Sie nutzen, verarbeiten wir insbesondere:

• Stamm- und Kontaktdaten, z. B. Name, Anrede, Adresse, E-Mail-Adresse und Telefonnummer;
• Vertrags-, Buchungs- und Zahlungsdaten, z. B. gebuchter Lehrgang, Teilnahme- und Anwesenheitsdaten, Rechnungsdaten, Zahlungsstatus und gegebenenfalls Arbeitgeber oder Mitgliedsstatus;
• Konto- und Authentifizierungsdaten der PERMAfit®-App;
• App-Inhalte, z. B. Ziele, Notizen, Reflexionen, Antworten auf Übungen, Selbsteinschätzungen, Feedback und Kommunikationsinhalte;
• von der App oder ihren KI-Funktionen abgeleitete Ergebnisse, z. B. Zusammenfassungen, Muster, Vorschläge, Lernfortschritt oder personalisierte Impulse;
• Support- und Kommunikationsdaten;
• technische Daten, z. B. IP-Adresse, Geräte- und Browserinformationen, Zeitstempel, Protokoll- und Fehlerdaten;
• Einwilligungs- und Präferenzdaten, insbesondere zu optionalen Funktionen, Marketing, Foto- und Videoaufnahmen oder Cookies;
• Bild-, Ton- und Videoaufnahmen, sofern Sie gesondert eingewilligt haben oder eine andere Rechtsgrundlage besteht.

Reflexionen und Freitexte können sensible Angaben enthalten oder Rückschlüsse auf Gesundheit, psychisches Wohlbefinden, Religion, politische Ansichten, sexuelle Orientierung oder andere besondere Kategorien personenbezogener Daten zulassen. Bitte geben Sie solche Informationen nur ein, wenn die App sie ausdrücklich anfordert und Sie zuvor gesondert über die Verarbeitung informiert wurden. Geben Sie keine vertraulichen Daten über andere Personen, Mitarbeiter:innen, Kolleg:innen oder Geschäftspartner:innen ein.

3 Zwecke und Rechtsgrundlagen

Websitebetrieb und IT Sicherheit

Beim Aufruf unserer Website und App verarbeiten wir technisch erforderliche Verbindungs-, Protokoll- und Sicherheitsdaten, um die Dienste bereitzustellen, Fehler zu beheben, Missbrauch zu verhindern und die Sicherheit zu gewährleisten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Bereitstellung eines von Ihnen angeforderten Dienstes erforderlich ist, sowie Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an einem sicheren und funktionsfähigen Angebot.

Schutz unserer Formulare (Cloudflare Turnstile)

Um unsere Formulare vor Spam und automatisierten Angriffen zu schützen, verwenden wir Cloudflare Turnstile der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Turnstile wird nur auf Seiten mit Formular geladen, und zwar erst, wenn das Formular sichtbar ist oder Sie es verwenden. Dabei werden insbesondere Ihre IP-Adresse sowie technische Merkmale Ihres Browsers und Geräts an Cloudflare übermittelt, um zwischen Menschen und automatisierten Zugriffen zu unterscheiden. Beim Absenden prüft unser Server das Ergebnis bei Cloudflare und übermittelt dabei auch Ihre IP-Adresse. Turnstile setzt keine Cookies zu Tracking- oder Werbezwecken.

Cloudflare verarbeitet diese Daten für die Bot-Erkennung in unserem Auftrag. Zur Verbesserung seiner Bot-Erkennung verarbeitet Cloudflare sie zudem in eigener Verantwortung. Nähere Informationen finden Sie in der Datenschutzerklärung von Cloudflare.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses am Schutz unserer Website und Formulare vor Missbrauch.

Anfragen Buchung Vertrag und Abrechnung

Wir verarbeiten Ihre Daten, um Anfragen zu beantworten, Anmeldungen zu verwalten, Verträge abzuschließen und zu erfüllen, Zahlungen abzuwickeln, Rechnungen auszustellen, Teilnahmebestätigungen oder Zertifikate zu erstellen und die Lehrgänge zu organisieren.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO sowie – für gesetzliche Aufbewahrungs- und Nachweispflichten – Art. 6 Abs. 1 lit. c DSGVO.

Wenn Ihr Arbeitgeber oder eine andere Organisation Sie anmeldet, erhalten wir die erforderlichen Daten von dieser Organisation. Rechtsgrundlage ist je nach Fall Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Unser berechtigtes Interesse liegt in der Organisation und Durchführung der gebuchten Leistung.

Durchführung der Präsenzlehrgänge

Wir verarbeiten Teilnahme-, Anwesenheits-, Organisations- und Kommunikationsdaten, um den Lehrgang durchzuführen, Unterlagen bereitzustellen, Gruppen zu koordinieren und vereinbarte Abschlussvoraussetzungen zu prüfen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Persönliche Beiträge in Gruppenübungen sind freiwillig. Teilnehmer:innen sind verpflichtet, persönliche Informationen anderer Teilnehmer:innen vertraulich zu behandeln.

Nutzung der PERMAfit® App

Wir verarbeiten Ihre Konto-, Eingabe-, Nutzungs- und Ergebnisdaten, um die App bereitzustellen, Lerninhalte zugänglich zu machen, Reflexionen zu speichern, Fortschritte anzuzeigen und personalisierte Funktionen auszuführen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung für die vereinbarte App-Leistung erforderlich ist.

Optionale Funktionen, die für die vertraglich geschuldete Leistung nicht erforderlich sind, aktivieren wir nur auf Grundlage Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können eine Einwilligung jederzeit mit Wirkung für die Zukunft in der App oder über office@mycts.at widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

KI gestützte Verarbeitung

Die PERMAfit®-App verwendet künstliche Intelligenz, um Reflexionen zusammenzufassen, Rückfragen zu stellen, Übungen vorzuschlagen und Lernimpulse zu personalisieren. Dabei können Ihre Eingaben, ausgewählte Profildaten, bisherige App-Inhalte und technisch notwendige Metadaten an myCTS übermittelt und automatisiert verarbeitet werden.

Sie werden in der App klar darauf hingewiesen, wenn Sie mit einem KI-System interagieren. KI-Ausgaben können unvollständig, unzutreffend oder unpassend sein. Sie dienen ausschließlich als Lern- und Reflexionshilfe und ersetzen keine menschliche Beratung, Psychotherapie, medizinische oder psychologische Diagnose, Behandlung oder Krisenhilfe.

PERMAfit® trifft auf Basis der KI-Ausgaben keine ausschließlich automatisierten Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlich erheblicher Weise beeinträchtigen.

Personenbezogene App-Inhalte werden nicht zum Training allgemein verfügbarer KI-Modelle des eingesetzten Dienstleisters verwendet, sofern dies nicht gesondert, transparent und rechtswirksam vereinbart wurde.

Für gewöhnliche personenbezogene Daten beruht die für die App-Leistung erforderliche KI-Verarbeitung auf Art. 6 Abs. 1 lit. b DSGVO. Optionale KI-Funktionen beruhen auf Art. 6 Abs. 1 lit. a DSGVO. Enthalten Eingaben besondere Kategorien personenbezogener Daten, verarbeiten wir diese nur, wenn eine Ausnahme nach Art. 9 Abs. 2 DSGVO greift, insbesondere Ihre ausdrückliche, gesonderte Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Die App muss auch ohne nicht erforderliche sensible Angaben sinnvoll nutzbar bleiben.

Support und Kommunikation

Wir verarbeiten Ihre Kontaktdaten und Nachrichten, um Anfragen zu bearbeiten und Sie über vertragsrelevante Vorgänge zu informieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; bei allgemeinen Anfragen Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres Interesses an einer geordneten Kommunikation.

Newsletter und Werbung

Newsletter und elektronische Werbung versenden wir nur mit Ihrer Einwilligung oder im gesetzlich zulässigen Rahmen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 174 TKG 2021. Sie können Ihre Einwilligung jederzeit über den Abmeldelink oder per Nachricht an uns widerrufen.

Foto Audio und Videoaufnahmen

Aufnahmen zu Marketing- oder Dokumentationszwecken erfolgen nicht allein aufgrund Ihrer Teilnahme. Wo eine Einwilligung erforderlich ist, holen wir sie gesondert und freiwillig ein. Eine Verweigerung hat keine Nachteile für die Teilnahme. Umfang, Medien, Speicherdauer und Widerrufsmöglichkeiten werden in der jeweiligen Einwilligung beschrieben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO; für eine Veröffentlichung kann zusätzlich § 78 UrhG zu berücksichtigen sein.

Statistik und Produktverbesserung

Wir verwenden möglichst aggregierte oder anonymisierte Informationen, um Lehrgänge und App zu verbessern. Soweit dabei personenbezogene Daten verarbeitet werden, erfolgt dies auf Grundlage Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO oder – nach dokumentierter Interessenabwägung – unseres berechtigten Interesses gemäß Art. 6 Abs. 1 lit. f DSGVO. Inhalte persönlicher Reflexionen werden nicht ohne gesonderte Rechtsgrundlage für allgemeine Modelltrainings oder sachfremde Zwecke verwendet.

Reichweitenmessung mit Plausible Analytics

Um zu verstehen, wie unsere Website genutzt wird, und sie zu verbessern, verwenden wir Plausible Analytics der Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland. Die Verarbeitung erfolgt auf Servern in der EU. Erfasst werden die aufgerufenen Seiten, die verweisende Website, Browser, Betriebssystem, Gerätetyp sowie das aus der IP-Adresse abgeleitete Land bzw. die Region. Zusätzlich erfassen wir, ob ein Formular erfolgreich abgeschickt wurde und ob E-Mail-, Telefon- oder externe Links bzw. Downloads angeklickt wurden. Formularinhalte werden dabei nicht übermittelt.

Plausible setzt keine Cookies und speichert keine Informationen auf Ihrem Endgerät. Ihre IP-Adresse wird nicht gespeichert. Um mehrfache Aufrufe am selben Tag zusammenzufassen, wird aus IP-Adresse und Browserkennung ein Hashwert gebildet, dessen Schlüssel täglich gelöscht wird. Wir erhalten ausschließlich zusammengefasste Statistiken. Eine Identifizierung einzelner Besucher:innen oder ein seitenübergreifendes Tracking ist nicht möglich.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses, unsere Website bedarfsgerecht zu gestalten und zu verbessern. Mit Plausible besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Sie können der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO), etwa indem Sie in Ihrem Browser Inhalte von plausible.io blockieren.

Kartendarstellung mit Google Maps

Auf einzelnen Seiten können Sie sich Veranstaltungsorte auf einer interaktiven Karte von Google Maps anzeigen lassen. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Karte wird erst geladen, wenn Sie in den Cookie-Einstellungen „Externe Inhalte“ zugestimmt oder auf „Google Maps laden“ geklickt haben. Erst dann wird eine Verbindung zu Google aufgebaut. Dabei werden insbesondere Ihre IP-Adresse, Browser- und Geräteinformationen sowie die aufgerufene Seite an Google übermittelt. Google kann Cookies und vergleichbare Technologien einsetzen (z. B. NID, AEC, SOCS, mit einer Laufzeit von bis zu 13 Monaten) und die Daten auch an die Google LLC in den USA übermitteln. Der Link „Route öffnen“ ist ein gewöhnlicher Link. Daten werden erst übertragen, wenn Sie ihn anklicken.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO bzw. § 165 Abs. 3 TKG 2021. Sie können die Einwilligung jederzeit in den Cookie-Einstellungen widerrufen. Von Google bereits gesetzte Cookies können Sie in Ihrem Browser löschen. Nähere Informationen finden Sie in der Datenschutzerklärung von Google.

4 Pflicht zur Bereitstellung

Die als erforderlich gekennzeichneten Stamm-, Vertrags- und Zahlungsdaten benötigen wir zum Vertragsabschluss und zur Leistungserbringung. Ohne diese Daten ist eine Buchung oder Nutzung der Kernfunktionen nicht möglich. Freiwillige Angaben und optionale App-Funktionen sind entsprechend gekennzeichnet.

5 Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, wenn dies zur Leistungserbringung erforderlich ist, eine gesetzliche Pflicht besteht oder Sie eingewilligt haben. Empfänger können insbesondere sein:

• Hosting-, Cloud-, App- und IT-Sicherheitsdienstleister (z. B. Cloudflare Turnstile);
• Anbieter für Reichweitenmessung (Plausible Analytics);
• Anbieter eingebundener externer Inhalte (Google Maps), nur nach Ihrer Einwilligung;
• Zahlungs-, Buchhaltungs- und Steuerdienstleister;
• E-Mail-, Newsletter-, Termin- und Supportdienstleister;
• Trainer:innen, Veranstaltungsorte und Kooperationspartner:innen, soweit organisatorisch erforderlich;
• Behörden, Gerichte und berufliche Berater:innen bei gesetzlicher Verpflichtung oder zur Rechtsdurchsetzung.

Mit Auftragsverarbeitern schließen wir Verträge nach Art. 28 DSGVO. Sie dürfen Daten nur nach unserer Weisung verarbeiten und müssen angemessene Sicherheitsmaßnahmen einhalten.

6 Übermittlungen in Drittländer

Wir bevorzugen eine Verarbeitung im Europäischen Wirtschaftsraum. Sofern Empfänger Daten außerhalb des EWR verarbeiten, erfolgt die Übermittlung nur auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder geeigneter Garantien, insbesondere EU-Standardvertragsklauseln, gegebenenfalls ergänzt um zusätzliche Schutzmaßnahmen. Dies betrifft insbesondere Cloudflare, Inc. (USA) sowie, wenn Sie Google Maps aktivieren, Google LLC (USA). Beide Unternehmen sind unter dem EU-US Data Privacy Framework zertifiziert.

7 Speicherdauer

Wir speichern Daten nur so lange, wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Pflichten bestehen. Vorgesehene Fristen:

• Anfragen ohne Vertrag: grundsätzlich 12 Monate nach Abschluss;
• Vertrags-, Buchungs- und Rechnungsunterlagen: in der Regel sieben Jahre nach Ende des Kalenderjahres, soweit abgabenrechtlich erforderlich;
• Teilnahme- und Zertifikatsnachweise: zehn Jahre;
• App-Konto: während der Vertragslaufzeit und 30 Tage danach; anschließend Löschung oder Anonymisierung, soweit keine Pflicht oder Rechtsverteidigung entgegensteht;
• persönliche Reflexionen und KI-Verläufe: bei Löschung des Benutzerkontos;
• Sicherheitsprotokolle: 90 Tage;
• Statistikdaten der Reichweitenmessung: ausschließlich zusammengefasst und ohne Personenbezug;
• Einwilligungsnachweise: für die Dauer der Verarbeitung und danach im Rahmen gesetzlicher Verjährungsfristen;
• Newsletterdaten: bis zum Widerruf, danach nur noch in einer Sperrliste, soweit erforderlich, um den Widerruf zu beachten.

Nach Fristablauf löschen oder anonymisieren wir die Daten sicher.

8 Cookies und ähnliche Technologien

Wir verwenden technisch notwendige Cookies oder vergleichbare Technologien, soweit dies für Website, Login, Sicherheit oder ausdrücklich gewünschte Funktionen erforderlich ist. Nicht notwendige Komfort- oder Marketingtechnologien (z. B. Karten von Google Maps) setzen wir erst nach Ihrer Einwilligung ein. Unsere Reichweitenmessung mit Plausible Analytics kommt ohne Cookies und ohne Speicherung auf Ihrem Endgerät aus und ist daher nicht in den Cookie-Einstellungen aufgeführt (siehe Abschnitt 3). Einzelheiten zu Anbietern, Zwecken, Laufzeiten und Widerruf finden Sie in den Cookie-Einstellungen.

9 Datensicherheit

Wir treffen dem Risiko angemessene technische und organisatorische Maßnahmen. Dazu gehören insbesondere verschlüsselte Übertragung, rollenbasierte Zugriffsrechte, Mehrfaktor-Authentifizierung für Administrationszugänge, Protokollierung, Sicherungen, Löschkonzepte, regelmäßige Aktualisierungen sowie vertragliche und technische Beschränkungen für KI- und Cloud-Anbieter. Kein System kann jedoch absolute Sicherheit gewährleisten.

10 Minderjährige

Unsere Lehrgänge und die PERMAfit®-App richten sich grundsätzlich an Personen ab 18 Jahren. Eine Nutzung durch Minderjährige ist nur zulässig, wenn dies im jeweiligen Angebot ausdrücklich vorgesehen und die erforderliche Zustimmung der gesetzlichen Vertretung eingeholt wurde.

11 Ihre Rechte

Sie haben – soweit die jeweiligen Voraussetzungen vorliegen – das Recht auf:

• Auskunft über Ihre personenbezogenen Daten;
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten;
• Löschung;
• Einschränkung der Verarbeitung;
• Datenübertragbarkeit;
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen;
• jederzeitigen Widerruf einer Einwilligung mit Wirkung für die Zukunft;
• Schutz vor ausschließlich automatisierten Entscheidungen nach Art. 22 DSGVO.

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter office@mycts.at. Wir können einen geeigneten Identitätsnachweis verlangen, wenn Zweifel an Ihrer Identität bestehen.

Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. In Österreich ist dies:

Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
E-Mail: dsb@dsb.gv.at
Website: https://www.dsb.gv.at/

12 Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Datenschutzerklärung, wenn sich Funktionen, Dienstleister oder Rechtslage ändern. Die aktuelle Fassung ist auf unserer Website und in der App abrufbar. Über wesentliche Änderungen informieren wir in geeigneter Form.

1 Controller

The controller within the meaning of the General Data Protection Regulation (GDPR) is:

Mag. Armin Forstner, MSc, Managing Director myCTS GmbH
Business name: PERMAfit® is a registered EU trademark of myCTS GmbH
Address: Anton Bruckner-Gasse 4, 2301 Groß Enzersdorf, Austria
Email: office@mycts.at
Company register number: FN336180h

This privacy policy applies to the websites permafit.ai and permafit.mycts.at, to registration for and delivery of our courses and in-person events, and to the PERMAfit® app including its AI-supported features.

Where a cooperation partner – such as npoAustria/Vienna University of Economics and Business – processes data for its own purposes, it provides information about this in its own privacy policy. Whether joint controllership exists in an individual case is explained in the respective registration or additional information.

2 What data we process

Depending on which services you use, we process in particular:

• master and contact data, e.g. name, title, address, email address and phone number;
• contract, booking and payment data, e.g. the course booked, participation and attendance data, invoice data, payment status and, where applicable, employer or membership status;
• account and authentication data for the PERMAfit® app;
• app content, e.g. goals, notes, reflections, answers to exercises, self-assessments, feedback and communication content;
• results derived by the app or its AI features, e.g. summaries, patterns, suggestions, learning progress or personalised prompts;
• support and communication data;
• technical data, e.g. IP address, device and browser information, timestamps, log and error data;
• consent and preference data, in particular regarding optional features, marketing, photo and video recordings or cookies;
• image, audio and video recordings, provided you have given separate consent or another legal basis applies.

Reflections and free texts may contain sensitive information or allow conclusions about health, mental well-being, religion, political opinions, sexual orientation or other special categories of personal data. Please only enter such information if the app explicitly requests it and you have been separately informed about the processing beforehand. Do not enter confidential data about other people, employees, colleagues or business partners.

3 Purposes and legal bases

Website operation and IT security

When you access our website and app, we process technically necessary connection, log and security data in order to provide the services, fix errors, prevent misuse and ensure security.

The legal basis is Art. 6(1)(b) GDPR, insofar as the processing is necessary to provide a service you have requested, and Art. 6(1)(f) GDPR based on our legitimate interest in a secure and functional service.

Protection of our forms (Cloudflare Turnstile)

To protect our forms from spam and automated attacks, we use Cloudflare Turnstile provided by Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Turnstile is only loaded on pages with a form, and only once the form is visible or you start using it. In particular, your IP address and technical characteristics of your browser and device are transmitted to Cloudflare in order to distinguish humans from automated access. When you submit a form, our server verifies the result with Cloudflare and also transmits your IP address. Turnstile does not set cookies for tracking or advertising purposes.

Cloudflare processes this data on our behalf for bot detection. Cloudflare also processes it as an independent controller to improve its bot detection. For more information, please see Cloudflare's privacy policy.

The legal basis is Art. 6(1)(f) GDPR, based on our legitimate interest in protecting our website and forms against misuse.

Enquiries, booking, contract and billing

We process your data to answer enquiries, manage registrations, conclude and perform contracts, process payments, issue invoices, create confirmations of participation or certificates and organise the courses.

The legal bases are Art. 6(1)(b) GDPR and – for statutory retention and documentation obligations – Art. 6(1)(c) GDPR.

If your employer or another organisation registers you, we receive the necessary data from that organisation. Depending on the case, the legal basis is Art. 6(1)(b) or (f) GDPR. Our legitimate interest lies in organising and delivering the booked service.

Delivery of in-person courses

We process participation, attendance, organisational and communication data in order to deliver the course, provide materials, coordinate groups and check agreed completion requirements. The legal basis is Art. 6(1)(b) GDPR.

Personal contributions in group exercises are voluntary. Participants are obliged to treat personal information about other participants confidentially.

Use of the PERMAfit® app

We process your account, input, usage and result data in order to provide the app, make learning content available, store reflections, display progress and run personalised features. The legal basis is Art. 6(1)(b) GDPR, insofar as the processing is necessary for the agreed app service.

Optional features that are not required for the contractually owed service are only activated on the basis of your consent pursuant to Art. 6(1)(a) GDPR. You can withdraw consent at any time with effect for the future in the app or via office@mycts.at. The lawfulness of processing carried out before the withdrawal remains unaffected.

AI-supported processing

The PERMAfit® app uses artificial intelligence to summarise reflections, ask follow-up questions, suggest exercises and personalise learning prompts. In doing so, your inputs, selected profile data, previous app content and technically necessary metadata may be transmitted to myCTS and processed automatically.

The app clearly informs you when you are interacting with an AI system. AI outputs may be incomplete, inaccurate or inappropriate. They serve exclusively as a learning and reflection aid and do not replace human advice, psychotherapy, medical or psychological diagnosis, treatment or crisis support.

PERMAfit® does not make any solely automated decisions based on AI outputs that produce legal effects concerning you or similarly significantly affect you.

Personal app content is not used to train generally available AI models of the service provider used, unless this has been agreed separately, transparently and with legal effect.

For ordinary personal data, the AI processing required for the app service is based on Art. 6(1)(b) GDPR. Optional AI features are based on Art. 6(1)(a) GDPR. If inputs contain special categories of personal data, we only process them where an exception under Art. 9(2) GDPR applies, in particular your explicit, separate consent pursuant to Art. 9(2)(a) GDPR. The app must remain meaningfully usable without unnecessary sensitive information.

Support and communication

We process your contact data and messages in order to handle enquiries and inform you about contract-related matters. The legal basis is Art. 6(1)(b) GDPR; for general enquiries, Art. 6(1)(f) GDPR based on our interest in orderly communication.

Newsletter and advertising

We only send newsletters and electronic advertising with your consent or within the legally permitted framework. The legal basis is Art. 6(1)(a) GDPR in conjunction with § 174 of the Austrian Telecommunications Act 2021 (TKG 2021). You can withdraw your consent at any time via the unsubscribe link or by sending us a message.

Photo, audio and video recordings

Recordings for marketing or documentation purposes are not made solely on the basis of your participation. Where consent is required, we obtain it separately and voluntarily. Refusing has no disadvantages for your participation. Scope, media, storage period and withdrawal options are described in the respective consent. The legal basis is Art. 6(1)(a) GDPR; for publication, § 78 of the Austrian Copyright Act (UrhG) may also have to be taken into account.

Statistics and product improvement

We use aggregated or anonymised information wherever possible to improve courses and the app. Where personal data is processed in the process, this is done on the basis of your consent pursuant to Art. 6(1)(a) GDPR or – following a documented balancing of interests – our legitimate interest pursuant to Art. 6(1)(f) GDPR. The content of personal reflections is not used for general model training or unrelated purposes without a separate legal basis.

Website analytics with Plausible Analytics

To understand how our website is used and to improve it, we use Plausible Analytics provided by Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estonia. Processing takes place on servers in the EU. We record the pages viewed, the referring website, browser, operating system, device type and the country or region derived from the IP address. We also record whether a form was submitted successfully and whether email, phone or external links or downloads were clicked. Form contents are not transmitted.

Plausible does not set cookies and does not store any information on your device. Your IP address is not stored. To group multiple visits on the same day, a hash is generated from the IP address and browser identifier; the key used for this is deleted daily. We only receive aggregated statistics. It is not possible to identify individual visitors or to track them across websites.

The legal basis is Art. 6(1)(f) GDPR, based on our legitimate interest in designing and improving our website in line with user needs. We have concluded a data processing agreement with Plausible pursuant to Art. 28 GDPR. You may object to this processing at any time (Art. 21 GDPR), for example by blocking content from plausible.io in your browser.

Maps with Google Maps

On some pages, you can view venues on an interactive map from Google Maps. The provider is Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland. The map is only loaded once you have consented to “External content” in the cookie settings or clicked “Load Google Maps”. Only then is a connection to Google established. In particular, your IP address, browser and device information and the page you are viewing are transmitted to Google. Google may use cookies and similar technologies (e.g. NID, AEC, SOCS, with a lifetime of up to 13 months) and may also transfer the data to Google LLC in the USA. The “Open route” link is a normal link. Data is only transmitted once you click it.

The legal basis is your consent pursuant to Art. 6(1)(a) GDPR and Section 165(3) of the Austrian Telecommunications Act 2021 (TKG 2021). You can withdraw your consent at any time in the cookie settings. You can delete cookies already set by Google in your browser. For more information, please see Google's privacy policy.

4 Obligation to provide data

We need the master, contract and payment data marked as required in order to conclude the contract and provide the service. Without this data, booking or use of the core features is not possible. Voluntary information and optional app features are marked accordingly.

5 Recipients and processors

We only pass on personal data if this is necessary to provide the service, if there is a legal obligation or if you have given consent. Recipients may include in particular:

• hosting, cloud, app and IT security service providers (e.g. Cloudflare Turnstile);
• website analytics providers (Plausible Analytics);
• providers of embedded external content (Google Maps), only with your consent;
• payment, accounting and tax service providers;
• email, newsletter, scheduling and support service providers;
• trainers, venues and cooperation partners, insofar as organisationally necessary;
• authorities, courts and professional advisers where legally required or for the enforcement of rights.

We conclude contracts with processors in accordance with Art. 28 GDPR. They may only process data on our instructions and must comply with appropriate security measures.

6 Transfers to third countries

We prefer processing within the European Economic Area. Where recipients process data outside the EEA, the transfer only takes place on the basis of an adequacy decision of the European Commission or appropriate safeguards, in particular EU Standard Contractual Clauses, supplemented by additional protective measures where necessary. This applies in particular to Cloudflare, Inc. (USA) and, if you activate Google Maps, Google LLC (USA). Both companies are certified under the EU-US Data Privacy Framework.

7 Storage period

We only store data for as long as is necessary for the respective purpose or as required by legal obligations. Intended periods:

• enquiries without a contract: generally 12 months after completion;
• contract, booking and invoice documents: as a rule, seven years after the end of the calendar year, insofar as required under tax law;
• records of participation and certificates: ten years;
• app account: for the term of the contract and 30 days thereafter; then deletion or anonymisation, unless an obligation or legal defence prevents this;
• personal reflections and AI histories: upon deletion of the user account;
• security logs: 90 days;
• website analytics data: aggregated only and without personal reference;
• records of consent: for the duration of the processing and thereafter within statutory limitation periods;
• newsletter data: until withdrawal, thereafter only in a block list, insofar as necessary to respect the withdrawal.

Once the period has expired, we securely delete or anonymise the data.

8 Cookies and similar technologies

We use technically necessary cookies or comparable technologies insofar as this is required for the website, login, security or features you have explicitly requested. We only use non-essential convenience or marketing technologies (e.g. maps from Google Maps) after you have given your consent. Our website analytics with Plausible Analytics works without cookies and without storing anything on your device, and is therefore not listed in the cookie settings (see section 3). Details on providers, purposes, durations and withdrawal can be found in the cookie settings.

9 Data security

We take technical and organisational measures appropriate to the risk. These include in particular encrypted transmission, role-based access rights, multi-factor authentication for administrative access, logging, backups, deletion concepts, regular updates, and contractual and technical restrictions for AI and cloud providers. However, no system can guarantee absolute security.

10 Minors

Our courses and the PERMAfit® app are generally intended for people aged 18 and over. Use by minors is only permitted if this is expressly provided for in the respective offer and the required consent of the legal guardian has been obtained.

11 Your rights

Where the respective conditions are met, you have the right to:

• access to your personal data;
• rectification of inaccurate data or completion of incomplete data;
• erasure;
• restriction of processing;
• data portability;
• object to processing based on legitimate interests;
• withdraw consent at any time with effect for the future;
• protection against solely automated decisions pursuant to Art. 22 GDPR.

To exercise your rights, contact us at office@mycts.at. We may request suitable proof of identity if there is doubt about your identity.

You also have the right to lodge a complaint with a data protection supervisory authority. In Austria, this is:

Austrian Data Protection Authority (Österreichische Datenschutzbehörde)
Barichgasse 40–42, 1030 Vienna, Austria
Email: dsb@dsb.gv.at
Website: https://www.dsb.gv.at/

12 Changes to this privacy policy

We update this privacy policy when features, service providers or the legal situation change. The current version is available on our website and in the app. We will inform you of material changes in an appropriate manner.