Datenschutzerklärung gemäß DSGVO
Stand: 11. August 2026
Diese Datenschutzerklärung gilt für die Anwendung LegalFlow, ein Angebot der Ryan Nyberg e.K., einschließlich der persönlichen Google-Calendar-Integration für Kanzleimitarbeiter.
Verantwortlichkeit bei Mandantendaten
Für Inhalte, die eine Kanzlei im Rahmen ihrer Mandatsanbahnung oder Mandatsbearbeitung verarbeitet, ist grundsätzlich die jeweilige Kanzlei verantwortlich. LegalFlow verarbeitet diese Daten weisungsgebunden als Auftragsverarbeiter. Betroffenenanfragen zu Mandatsdaten richten Sie daher zunächst an die betreffende Kanzlei.
1. Verantwortliche Stelle
Soweit LegalFlow selbst über Zwecke und Mittel der Verarbeitung entscheidet, ist verantwortlich:
Ryan Nyberg e.K.
Leipziger Str. 222
01139 Dresden
Deutschland
Kontakt:
2. Allgemeine Datenverarbeitung
Bereitstellung der Website
Beim Aufruf der Website können technisch erforderliche Verbindungsdaten wie IP-Adresse, Zeitpunkt, aufgerufene Ressource, Browser- und Geräteinformationen verarbeitet werden. Dies dient der sicheren und stabilen Bereitstellung des Dienstes. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in Betrieb, Fehleranalyse und Schutz der Plattform.
Registrierung und Kanzlei-Portal
Für Benutzerkonten verarbeiten wir insbesondere Name, dienstliche E-Mail-Adresse, Kanzleizugehörigkeit, Rolle, Berechtigungen und einen kryptografischen Passwort-Hash. Die Verarbeitung erfolgt zur Bereitstellung des vereinbarten SaaS-Dienstes auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.
Bei der Registrierung senden wir eine transaktionale Willkommensnachricht an den neuen Benutzer und eine administrative Benachrichtigung an den LegalFlow-Plattformbetreiber. Wenn ein betrieblicher Registrierungs-Webhook konfiguriert ist, werden hierfür Benutzer-ID, Name, dienstliche E-Mail-Adresse, Rolle, Kanzleiname, Kanzlei-Kürzel, Registrierungsart und Zeitpunkt an den vom Plattformbetreiber bestimmten Benachrichtigungsdienst übermittelt. Der Webhook ist kryptografisch signiert und wird ausschließlich für Betriebs-, Sicherheits- und Onboarding-Benachrichtigungen verwendet.
Automatische Mensch-Verifizierung bei der Registrierung
Zum Schutz vor automatisierten Registrierungen und Spam-Konten setzen wir auf der Registrierungsseite Google reCAPTCHA v2 mit einem sichtbaren Kontrollkästchen ein. Dabei können technische Verbindungs-, Browser-, Geräte- und Interaktionsdaten sowie Sicherheitskennungen verarbeitet werden. Google setzt hierfür das technisch erforderliche Cookie _GRECAPTCHA. Unser Server übermittelt zur Prüfung ausschließlich den vom Widget erzeugten, kurzlebigen Antwort-Token und unseren geheimen Prüfschlüssel. Die Inhalte der Registrierungsfelder werden von uns nicht an die reCAPTCHA-Prüfschnittstelle übermittelt; auch die optionale erneute Übermittlung der IP-Adresse (remoteip) verwenden wir nicht.
Zweck ist die Abwehr von Missbrauch sowie der Schutz der Plattform und ihrer Benutzer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; soweit auf Informationen im Endgerät zugegriffen oder dort Informationen gespeichert werden, stützen wir dies auf § 25 Abs. 2 Nr. 2 TDDDG. Die Browser-Komponente wird über www.recaptcha.net geladen. Google verarbeitet die Daten für uns als Auftragsverarbeiter nach den anwendbaren Google-Cloud-Bedingungen und dem Cloud Data Processing Addendum. Die Prüfung ist auf die Registrierungsseite beschränkt und wird nicht für Werbung verwendet.
Mandantendaten im Intake-Prozess
Angaben, Nachrichten und Dokumente, die über einen Intake-Prozess übermittelt werden, verarbeitet LegalFlow im Auftrag der jeweiligen Kanzlei gemäß Art. 28 DSGVO. Je nach Rechtsgebiet können diese Inhalte besondere Kategorien personenbezogener Daten oder Daten zu strafrechtlichen Verurteilungen und Straftaten enthalten. Über Zweck, Rechtsgrundlage und Aufbewahrung entscheidet die verantwortliche Kanzlei.
Google API Services
3. Google-Calendar-Integration
Die Integration ist freiwillig und wird erst aktiviert, wenn ein angemeldeter Mitarbeiter ausdrücklich „Google Calendar verbinden“ auswählt und die Berechtigung bei Google erteilt.
3.1 Welche Google-Daten wir verarbeiten
Bei einer Verbindung verarbeitet LegalFlow folgende Daten:
- Google-Konto-ID, E-Mail-Adresse und Bestätigungsstatus der E-Mail-Adresse
- erteilte OAuth-Berechtigungen sowie Zeitpunkt und Status der Verbindung
- ein OAuth-Aktualisierungstoken (Refresh Token) in verschlüsselter Form
- Zeitpunkt der letzten Synchronisierung und technische Fehlermeldungen
- Termindaten, die in Google Calendar angelegt werden sollen
Hierfür fordert LegalFlow die OAuth-Berechtigungen openid, https://www.googleapis.com/auth/userinfo.email und https://www.googleapis.com/auth/calendar.events.owned an. Die ersten beiden Berechtigungen dienen ausschließlich der Zuordnung des verbundenen Google-Kontos; die Kalenderberechtigung wird ausschließlich für die nachfolgend beschriebenen Terminaktionen verwendet.
Zu den an Google übermittelten Termindaten gehören Titel und Beschreibung des Termins, Fallkategorie, Name und gegebenenfalls E-Mail-Adresse des Mandanten, Beginn, Ende und Zeitzone. Wenn aktiviert, fordert LegalFlow außerdem die Erstellung eines Google-Meet-Links an und veranlasst Google, eine Termineinladung an den Mandanten zu senden.
Die angeforderte Berechtigung https://www.googleapis.com/auth/calendar.events.owned erlaubt technisch das Anzeigen, Erstellen, Ändern und Löschen von Terminen in Kalendern, die dem verbundenen Google-Nutzer gehören. LegalFlow verwendet sie ausschließlich, um bestätigte Beratungstermine im Primärkalender des verbundenen Mitarbeiters anzulegen. Termine in fremden oder nur freigegebenen Kalendern sowie bestehende Kalendertermine werden nicht abgerufen, analysiert oder in LegalFlow gespeichert.
3.2 Zweck und Rechtsgrundlage
Google-Daten werden ausschließlich verwendet, um das ausgewählte Google-Konto zuzuordnen, kurzfristige Zugriffstoken zu beziehen, einen bestätigten Termin im persönlichen Kalender anzulegen, optional eine Google-Meet-Konferenz zu erstellen und den Verbindungsstatus anzuzeigen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Integration zur Erbringung des vom Benutzer oder seiner Kanzlei angeforderten Dienstes eingesetzt wird. Sicherheits- und Fehlerprotokolle verarbeiten wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.
3.3 Speicherung und Schutz von OAuth-Tokens
Refresh Token
Wird benutzerbezogen mit AES-256-GCM verschlüsselt gespeichert. Der Schlüssel liegt getrennt in der serverseitigen Laufzeitumgebung.
Access Token
Wird nur bei Bedarf ausgetauscht, kurzfristig im Arbeitsspeicher verarbeitet und nicht dauerhaft in der Datenbank gespeichert.
Refresh Tokens sind keine Google-Passwörter. LegalFlow erhält zu keinem Zeitpunkt das Passwort des verbundenen Google-Kontos. Tokens werden nicht an den Browser ausgeliefert und sind innerhalb von LegalFlow ausschließlich dem Benutzerkonto und der zugehörigen Kanzlei zugeordnet.
3.4 Weitergabe und eingeschränkte Nutzung
Zur Ausführung der Funktion übermittelt LegalFlow die Termindaten an Google. Wird ein Mandant als Teilnehmer eingetragen, erhält dieser über Google die entsprechenden Einladungsdaten. Technische Hosting- und Datenbankdienstleister können Daten ausschließlich im erforderlichen Umfang und im Rahmen ihrer vertraglichen Pflichten verarbeiten.
Darüber hinaus überträgt oder offenbart LegalFlow Google-Benutzerdaten keinen Dritten und zu keinen anderen Zwecken. Eine Offenlegung erfolgt nur, soweit sie gesetzlich vorgeschrieben oder zur Abwehr konkreter Sicherheits- oder Missbrauchsrisiken erforderlich ist.
Google-Benutzerdaten werden nicht verkauft, nicht für Werbung oder Profilbildung verwendet und nicht zum Training allgemeiner KI-Modelle eingesetzt. Ein menschlicher Zugriff erfolgt nur, wenn der Benutzer ihn für einen konkreten Supportfall freigibt oder wenn dies zwingend für Sicherheit, Missbrauchsabwehr oder die Erfüllung gesetzlicher Pflichten erforderlich ist.
Die Nutzung und Übertragung von Informationen aus Google APIs durch LegalFlow erfolgt gemäß der Google API Services User Data Policy, einschließlich der dort festgelegten Limited-Use-Anforderungen.
3.5 Speicherdauer, Trennung und Löschung
Beim Trennen der Verbindung löscht LegalFlow das gespeicherte Refresh Token und die aktiven Google-Verbindungsdaten aus dem Benutzerkonto. Danach kann LegalFlow nicht mehr auf Google Calendar zugreifen.
LegalFlow versucht beim Trennen zusätzlich, die Berechtigung bei Google zu widerrufen. Benutzer können den Zugriff jederzeit auch direkt in den Sicherheitseinstellungen ihres Google-Kontos unter „Drittanbieter-Apps und -Dienste“ entfernen. Bereits in Google Calendar erstellte Termine werden durch das Trennen nicht automatisch gelöscht und können dort manuell entfernt werden.
Zum Nachweis und zur Absicherung des Vorgangs können Auditprotokolle den Zeitpunkt der Verbindung oder Trennung, das LegalFlow-Benutzerkonto, technische Anfragedaten und beim Verbinden die Google-E-Mail-Adresse enthalten. Diese Protokolle werden nur so lange aufbewahrt, wie dies für Sicherheits-, Nachweis- oder gesetzliche Aufbewahrungszwecke erforderlich ist, und anschließend gelöscht oder anonymisiert.
3.6 Google als Empfänger
Empfänger der für die Kalenderfunktion erforderlichen Daten sind Google Ireland Limited und mit ihr verbundene Google-Unternehmen. Google verarbeitet Daten nach seinen eigenen Bedingungen und kann Daten auch außerhalb des Europäischen Wirtschaftsraums verarbeiten. Weitere Informationen finden Sie in der Datenschutzerklärung von Google.
4. Optionale Reichweitenmessung
Auf der öffentlichen Website können wir nach Ihrer ausdrücklichen Einwilligung Google Analytics 4 und den LinkedIn Insight Tag laden. Ohne Einwilligung werden diese Marketing- und Analysedienste nicht geladen. Ihre Auswahl wird lokal im Browser gespeichert, damit die Website sie bei einem späteren Besuch berücksichtigen kann.
Bei einer Zustimmung können insbesondere gekürzte oder anderweitig durch den Anbieter verarbeitete IP- und Verbindungsdaten, Geräte- und Browserinformationen, aufgerufene Seiten, Interaktionen, Referrer sowie technische Kennungen an Google beziehungsweise LinkedIn übermittelt werden. Die Anbieter können die Daten nach ihren eigenen Bedingungen auch außerhalb des Europäischen Wirtschaftsraums verarbeiten. Die Rechtsgrundlage für das Laden und die nachfolgende Verarbeitung durch uns ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG.
Die Einwilligung ist freiwillig und kann mit Wirkung für die Zukunft widerrufen werden, indem die im Browser unter dem Schlüssellegalflow-marketing-consent gespeicherte Auswahl gelöscht und die Seite neu geladen wird. Weitere Informationen finden Sie in den Datenschutzhinweisen von Google und LinkedIn.
5. Empfänger und Dienstleister
Wir setzen sorgfältig ausgewählte Dienstleister für Hosting, Datenbankbetrieb, Dateiablage, Transaktions-E-Mails und Zahlungsabwicklung ein. Dazu können insbesondere Vercel, MongoDB Atlas, Cloudinary, Resend und Stripe gehören. Soweit diese Anbieter personenbezogene Daten in unserem Auftrag verarbeiten, werden sie vertraglich nach Art. 28 DSGVO gebunden. Datenübermittlungen in Drittländer erfolgen nur auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien, insbesondere Standardvertragsklauseln, soweit diese erforderlich sind.
6. Datensicherheit
Wir verwenden technische und organisatorische Maßnahmen, die dem Risiko der Verarbeitung angemessen sind. Dazu gehören insbesondere TLS-verschlüsselte Übertragung, Zugriffskontrollen, Mandantentrennung, kryptografisch gehashte Passwörter, Verschlüsselung sensibler OAuth-Tokens und Auditprotokollierung. Kein Verfahren kann jedoch absolute Sicherheit gewährleisten.
7. Speicherdauer
Personenbezogene Daten werden gelöscht oder anonymisiert, sobald sie für den jeweiligen Zweck nicht mehr erforderlich sind und keine gesetzlichen, vertraglichen oder beweissichernden Gründe entgegenstehen. Für Mandats- und Intake-Daten gelten vorrangig die von der verantwortlichen Kanzlei festgelegten Lösch- und Aufbewahrungsfristen.
8. Rechte betroffener Personen
Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) und Widerspruch (Art. 21 DSGVO). Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Außerdem besteht das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.
Für Rechte in Bezug auf Mandats- oder Intake-Daten wenden Sie sich bitte an die jeweilige Kanzlei. Bei Fragen zu Benutzerkonten oder der Google-Calendar-Integration können Sie unser verwenden.
9. Änderungen dieser Datenschutzerklärung
Wir aktualisieren diese Datenschutzerklärung, wenn sich Funktionen, Datenverarbeitungen oder rechtliche Anforderungen ändern. Für wesentliche neue Nutzungszwecke von Google-Benutzerdaten informieren wir betroffene Benutzer vorab durch einen deutlich sichtbaren Hinweis in der LegalFlow-Oberfläche. Soweit erforderlich, bitten wir um Zustimmung zur aktualisierten Datenschutzerklärung, bevor Google-Benutzerdaten für einen neuen oder geänderten Zweck verwendet werden. Das aktuelle Änderungsdatum ist am Anfang dieser Datenschutzerklärung angegeben.