Good Reviews

Data processing agreement (DPA)

Good Reviews · Version 2026-09-27 · English · Including processing, security and subprocessor annexes

1. Parties, acceptance and priority

Controller: the merchant identified in the Good Reviews registration/installation and acceptance record, with its business address and authorised representative. Processor: Kailar UG (haftungsbeschränkt), Viererblock 18a, 39326 Wolmirstedt, Germany, represented by Lea Rademacher and Ole Koslowski, Amtsgericht Stendal HRB 26608. Privacy and instruction contact: kontakt@kailar.de.

This DPA forms part of the terms of service, version 2026-09-27, and takes effect on the merchant's documented express electronic acceptance or a separate agreement in text form. The acceptance record must identify the merchant and accepting user, the version and time. No signature image is required. Instructions from an authenticated authorised shop administrator or a verified merchant contact are documented instructions; Kailar verifies unusual or destructive requests proportionately. This DPA prevails for processing on behalf of the merchant; mandatory law and applicable standard contractual clauses prevail over it. English and German have equal standing.

2. Processing description (Annex A)

Subject and purpose: providing Good Reviews for the merchant's review invitations, private feedback, sending and blocking administration, replies, reports and specifically enabled features. Operations: receiving/importing, organising, storing, consulting, selecting under merchant rules, transmitting to authorised recipients, returning and deleting data. Duration: the service term and the limited return/erasure period, subject only to applicable legal retention duties.

Data subjects: the merchant's customers, feedback submitters and staff/contacts whose data the merchant supplies for these purposes. Data categories: name and email, customer/order identifiers and dates, order status/tags and language, consent/withdrawal and suppression information, invitation and delivery records, feedback ratings/text/answers/photos, reply contents, optional measurement events, reward allocations and necessary technical identifiers. The service is not intended to collect special-category or criminal-offence data. The merchant must avoid requesting them, notify Kailar of accidental collection and give lawful instructions for restriction or deletion.

The merchant chooses the purpose, recipients, lawful basis and proportionate retention. It must provide notices and any required consent proof. A software switch does not create a legal basis. Public-review incentives, selective positive-review solicitation and unapproved personal-data use of AI are not permitted under the terms. Kailar's own contract administration, billing, support and narrowly defined security purposes are described separately in the privacy policy and are not all processor activities merely because this DPA exists.

Shared-domain invitations use bewertungen@mail.goodrepeats.com on the merchant's behalf, with its verified Shopify contact email as Reply-To, or the merchant's configured sender domain. The merchant remains the identifiable sender/controller of the invitation. Replies sent through the recipient's mail client go to the merchant's mailbox, governed by the merchant's arrangements.

3. Instructions, confidentiality and assistance

Kailar processes personal data only on documented instructions, including for international transfers, unless Union or Member State law requires otherwise. In that case it informs the merchant before processing unless prohibited for important public-interest reasons. Kailar promptly informs the merchant if an instruction appears to infringe data-protection law and suspends the affected instruction pending clarification.

Kailar ensures that authorised persons are bound to confidentiality, receive relevant instructions and access only data necessary for their tasks. Kailar assists the merchant, with appropriate technical and organisational measures and considering the nature of processing, in responding to access, rectification, erasure, restriction, portability, objection and consent-withdrawal requests. Direct requests concerning merchant-controlled data are promptly forwarded; Kailar responds substantively only on instruction or a legal duty. The merchant's statutory deadlines must not be frustrated.

Taking account of the processing and information available, Kailar assists with security obligations, breach response, impact assessments, prior consultation and regulator enquiries under Articles 32–36 GDPR. Ordinary legally required information and cooperation are included; separately agreed fees for exceptional additional work must be reasonable, agreed in advance and must not obstruct legal rights or urgent action.

4. Security requirements (Annex B)

Kailar must implement and maintain measures appropriate to the risks under Article 32 GDPR. The contractual baseline comprises:

These are binding requirements, not an assertion of a certification or a completed independent audit. Kailar supplies appropriate evidence before the relevant processing and on reasonable request. Changes may improve the implementation but must not reduce the agreed protection. Significant changes are documented and notified. Unconfirmed measures are not waived by accepting this DPA.

5. Subprocessors and locations (Annex C)

The merchant grants general written authorisation for the subprocessors listed below within their stated functions. AWS SES is the actual mail-delivery subprocessor. The same list is published on the subprocessors page. Kailar must impose equivalent relevant data-protection obligations and remains fully responsible to the merchant for their performance. It supplies necessary contractual evidence on request while protecting unrelated confidential information.

Kailar gives at least 30 calendar days' notice in text form before adding or replacing a subprocessor, including its identity, purpose, location and safeguards. The merchant may object on substantiated data-protection grounds within 14 days. The notice period is not shortened by an early lack of objection. Pending resolution, the new provider must not process affected data. If no reasonable alternative is found, the merchant may terminate the affected service before the change without a termination penalty. A credential fallback or model switch is not authorisation for an undisclosed provider chain.

6. International transfers

Processing outside the EEA, including remote access, requires documented instructions and a valid Chapter V GDPR mechanism before it starts. Kailar verifies that an adequacy decision actually applies, or concludes the appropriate standard contractual clauses with completed annexes, assesses the transfer and implements necessary supplementary measures. A US certification is relied on only if the actual recipient and processing are covered. Kailar provides information and copies of applicable safeguards on request. No unverified transfer is authorised by this DPA or by use of an EU hosting region.

7. Incidents, evidence and audits

Kailar notifies the merchant without undue delay after becoming aware of a personal-data breach affecting the assignment. It provides, as known, the nature of the breach, categories and approximate numbers of affected people and records, likely consequences, measures taken or proposed, and a contact. An initial notice must not await a complete investigation; further information follows without undue delay. Kailar documents the incident and assists the merchant's duties. This DPA does not replace the legal standard with an unverified 24-hour service promise.

Kailar makes all information necessary to demonstrate Article 28 compliance available and allows and contributes to audits, including inspections by the merchant or its mandated auditor. Routine inspections use reasonable notice and protect other tenants and confidential data. Urgent justified inspections and authority powers are not excluded, and paperwork alone does not remove the right to inspect. Costs and arrangements cannot make statutory controls impracticable.

8. Return, erasure and retention (Annex D)

At the end of services Kailar, at the merchant's choice, returns personal data and deletes existing copies, or deletes them, unless Union or Member State law requires storage. Any legally retained material is identified by category, reason and duration, kept restricted and erased when the duty ends. Kailar confirms completion on request.

The merchant should request return before uninstalling because active shop deletion begins after two days. This warning does not waive Article 28(3)(g) rights. Kailar must arrange a complete, secure return, including relevant records and original available feedback files, in a commonly usable structured format such as JSON/CSV plus image files. A limited screen export is not a complete return. The parties agree a prompt delivery date suited to the volume, without undue delay or frustration of statutory deadlines. Kailar must preserve the requested return material pending delivery and confirm its receipt before erasing that return copy.

During service the privacy policy section 7 describes the application periods: core content normally 180 days (merchant range 7–365), individual events at most 90 days or shorter shop retention, reply contents at most 180 days or shorter shop retention, delivery/notification records 180 days, provider/webhook events 90 days and request working copies 30 days. Earlier lawful instructions take precedence. Longer retention of the minimum suppression record needs a documented continuing purpose. The app's renewable 365-day checks and separate recovery ledger are pseudonymous personal data, not anonymous exemptions.

Backups must be inaccessible for ordinary use, expire on a documented schedule and undergo erasure reconciliation before restoration to use. Maximum expiry: the application's encrypted daily database backups are deleted automatically after 35 days; Hetzner's server backup keeps at most seven daily copies; the one-time encrypted migration archive of 26 September 2026 is deleted by 31 October 2026. An unlimited backup period is not agreed. The separate recovery-protection ledger is not active in production; before it is enabled it must receive a removal rule tied to these backup periods and to a continuing lawful suppression purpose.

9. Final provisions

Annexes A–D above are integral parts of this DPA. Necessary merchant particulars are supplied by the acceptance record, not invented in this public copy. Acceptance does not waive Article 28 requirements. Liability remains governed by mandatory law and the main agreement, without restricting data subjects' rights. Changes and instructions are documented in text form.

Auftragsverarbeitungsvertrag (AVV)

Good Reviews · Fassung 2026-09-27 · Deutsch · Einschließlich Anlagen zu Verarbeitung, Sicherheit und Unterauftragnehmern

1. Parteien, Annahme und Vorrang

Verantwortlicher: der in Good-Reviews-Registrierung beziehungsweise Installation und Annahmenachweis benannte Händler mit Geschäftsanschrift und berechtigter Vertretung. Auftragsverarbeiter: Kailar UG (haftungsbeschränkt), Viererblock 18a, 39326 Wolmirstedt, Deutschland, vertreten durch Lea Rademacher und Ole Koslowski, Amtsgericht Stendal HRB 26608. Datenschutz- und Weisungskontakt: kontakt@kailar.de.

Dieser AVV gehört zu den Nutzungsbedingungen, Fassung 2026-09-27, und gilt ab dokumentierter ausdrücklicher elektronischer Annahme durch den Händler oder gesonderter Vereinbarung in Textform. Der Nachweis muss Händler, annehmende Person, Fassung und Zeitpunkt erkennen lassen. Ein Unterschriftsbild ist nicht erforderlich. Weisungen authentifizierter berechtigter Shop-Administratoren oder bestätigter Händlerkontakte sind dokumentierte Weisungen. Ungewöhnliche oder zerstörende Anfragen prüft Kailar angemessen. Für Verarbeitung im Auftrag geht dieser AVV vor; zwingendes Recht und anwendbare Standardvertragsklauseln haben Vorrang. Deutsch und Englisch sind gleichrangig.

2. Beschreibung der Verarbeitung (Anlage A)

Gegenstand und Zweck: Bereitstellung von Good Reviews für Bewertungsanfragen, private Rückmeldungen, Versand- und Sperrverwaltung, Antworten, Berichte und ausdrücklich aktivierte Funktionen des Händlers. Vorgänge: Empfang und Import, Ordnen, Speichern, Abfragen, Auswahl nach Händlerregeln, Übermittlung an berechtigte Empfänger, Rückgabe und Löschung. Dauer: Leistungszeit und begrenzter Rückgabe- beziehungsweise Löschzeitraum, vorbehaltlich einschlägiger gesetzlicher Aufbewahrungspflichten.

Betroffene: Kunden des Händlers, Personen mit Rückmeldungen und Beschäftigte beziehungsweise Kontakte, deren Daten der Händler für diese Zwecke bereitstellt. Datenarten: Name und E-Mail, Kunden- und Bestellkennungen und -daten, Bestellstatus, Tags und Sprache, Einwilligungs-, Widerrufs- und Sperrinformationen, Einladungs- und Versanddaten, Bewertungen, Freitexte, Antworten, Fotos, Antwortinhalte, optionale Messereignisse, Gutscheinzuordnungen und erforderliche technische Kennungen. Die Erhebung besonderer Datenkategorien oder strafrechtlicher Daten ist nicht vorgesehen. Der Händler darf sie nicht gezielt abfragen, muss versehentliche Erhebung mitteilen und rechtmäßige Weisungen zur Einschränkung oder Löschung geben.

Der Händler bestimmt Zweck, Empfänger, Rechtsgrundlage und angemessene Aufbewahrung. Er erteilt die nötigen Informationen und führt erforderliche Einwilligungsnachweise. Ein Softwareschalter begründet keine Rechtsgrundlage. Anreize für öffentliche Bewertungen, selektives Einholen positiver Bewertungen und ungeprüfte personenbezogene KI-Nutzung sind nach den Nutzungsbedingungen nicht gestattet. Kailars eigene Vertragsverwaltung, Abrechnung, Support und eng bestimmte Sicherheitszwecke werden in der Datenschutzerklärung gesondert beschrieben. Sie werden nicht allein durch diesen AVV insgesamt zur Auftragsverarbeitung.

Einladungen über die gemeinsame Domain werden von bewertungen@mail.goodrepeats.com im Auftrag des Händlers mit dessen bestätigter Shopify-Kontaktadresse als Reply-To oder von seiner eingerichteten Absenderdomain versendet. Der Händler bleibt erkennbarer Absender und Verantwortlicher der Einladung. Antworten aus dem Mailprogramm des Empfängers gehen an das Händlerpostfach nach den dortigen Vereinbarungen.

3. Weisungen, Vertraulichkeit und Unterstützung

Kailar verarbeitet personenbezogene Daten nur auf dokumentierte Weisung, auch bei Drittlandübermittlungen, sofern nicht Unionsrecht oder mitgliedstaatliches Recht anderes vorschreibt. Dann informiert Kailar den Händler vorab, soweit dies nicht aus wichtigen Gründen des öffentlichen Interesses verboten ist. Hält Kailar eine Weisung für datenschutzrechtswidrig, informiert es unverzüglich und setzt die betroffene Weisung bis zur Klärung aus.

Kailar bindet befugte Personen an Vertraulichkeit, unterweist sie angemessen und begrenzt ihren Zugriff auf die für ihre Aufgaben nötigen Daten. Es unterstützt den Händler unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch und Einwilligungswiderruf. Direkt eingehende Anfragen zu Händlerdaten werden unverzüglich weitergeleitet; eine inhaltliche Antwort erfolgt nur auf Weisung oder gesetzliche Pflicht. Gesetzliche Fristen des Händlers dürfen nicht vereitelt werden.

Unter Berücksichtigung der Verarbeitung und verfügbarer Informationen unterstützt Kailar bei Sicherheit, Vorfallbearbeitung, Folgenabschätzung, vorheriger Konsultation und Behördenanfragen nach Art. 32–36 DSGVO. Übliche gesetzlich geschuldete Informationen und Mitwirkung sind enthalten. Gesonderte Entgelte für außergewöhnliche Zusatzarbeit müssen angemessen und vorab vereinbart sein und dürfen gesetzliche Rechte oder dringende Maßnahmen nicht behindern.

4. Sicherheitsanforderungen (Anlage B)

Kailar muss dem Risiko angemessene Maßnahmen nach Art. 32 DSGVO umsetzen und aufrechterhalten. Der vertragliche Mindeststand umfasst:

Dies sind verbindliche Anforderungen, keine Behauptung einer Zertifizierung oder abgeschlossenen unabhängigen Prüfung. Kailar stellt angemessene Nachweise vor der betreffenden Verarbeitung und auf berechtigtes Verlangen bereit. Änderungen dürfen die Umsetzung verbessern, aber den vereinbarten Schutz nicht absenken. Wesentliche Änderungen werden dokumentiert und mitgeteilt. Die Annahme dieses AVV verzichtet nicht auf unbestätigte Maßnahmen.

5. Unterauftragnehmer und Orte (Anlage C)

Der Händler erteilt eine allgemeine schriftliche Genehmigung für die nachfolgend aufgeführten Unterauftragnehmer innerhalb ihrer Aufgaben. AWS SES ist der tatsächliche Unterauftragnehmer für den Mailversand. Dieselbe Liste steht auf der Seite Unterauftragnehmer. Kailar muss gleichwertige einschlägige Datenschutzpflichten vereinbaren und bleibt dem Händler für deren Erfüllung voll verantwortlich. Nötige Vertragsnachweise werden auf Verlangen unter Schutz fremder vertraulicher Informationen bereitgestellt.

Kailar kündigt neue oder ersetzte Unterauftragnehmer mindestens 30 Kalendertage vorher in Textform mit Identität, Zweck, Ort und Garantien an. Der Händler kann innerhalb von 14 Tagen aus begründeten Datenschutzgründen widersprechen. Die Ankündigungsfrist verkürzt sich nicht durch frühzeitiges Ausbleiben eines Widerspruchs. Bis zur Klärung darf der neue Anbieter die betroffenen Daten nicht verarbeiten. Gibt es keine angemessene Alternative, kann der Händler die betroffene Leistung vor dem Wechsel ohne Kündigungsstrafe beenden. Ein Zugangsdaten-Fallback oder Modellwechsel genehmigt keine unbekannte Anbieterkette.

6. Drittlandübermittlungen

Verarbeitung außerhalb des EWR einschließlich Fernzugriff benötigt vor ihrem Beginn dokumentierte Weisungen und eine wirksame Grundlage nach Kapitel V DSGVO. Kailar prüft die tatsächliche Anwendbarkeit eines Angemessenheitsbeschlusses oder vereinbart passende Standardvertragsklauseln mit ausgefüllten Anlagen, bewertet die Übermittlung und trifft nötige ergänzende Maßnahmen. Auf eine US-Zertifizierung wird nur vertraut, wenn Empfänger und Verarbeitung tatsächlich erfasst sind. Informationen und Kopien einschlägiger Garantien werden auf Anfrage bereitgestellt. Dieser AVV und eine EU-Hostingregion erlauben keine ungeprüfte Übermittlung.

7. Vorfälle, Nachweise und Kontrollen

Kailar informiert den Händler unverzüglich nach Bekanntwerden einer Verletzung personenbezogener Daten des Auftrags. Soweit bekannt, nennt es Art des Vorfalls, Kategorien und ungefähre Zahl betroffener Personen und Datensätze, wahrscheinliche Folgen, ergriffene oder geplante Maßnahmen und eine Kontaktstelle. Die Erstmeldung wartet nicht auf eine vollständige Untersuchung; Ergänzungen folgen ohne unangemessene Verzögerung. Kailar dokumentiert den Vorfall und unterstützt die Pflichten des Händlers. Der gesetzliche Maßstab wird nicht durch ein ungeprüftes 24-Stunden-Leistungsversprechen ersetzt.

Kailar stellt alle zum Nachweis von Art. 28 nötigen Informationen bereit und ermöglicht Kontrollen einschließlich Inspektionen durch den Händler oder seinen Prüfer und wirkt daran mit. Regelprüfungen erfolgen mit angemessener Vorankündigung und unter Schutz anderer Mandanten und vertraulicher Daten. Dringende begründete Prüfungen und Behördenbefugnisse bleiben möglich. Unterlagen allein beseitigen das Inspektionsrecht nicht. Kosten und Durchführung dürfen gesetzliche Kontrollen nicht praktisch verhindern.

8. Rückgabe, Löschung und Fristen (Anlage D)

Nach Ende der Leistungen gibt Kailar nach Wahl des Händlers personenbezogene Daten zurück und löscht vorhandene Kopien oder löscht sie, soweit nicht Unionsrecht oder mitgliedstaatliches Recht eine Speicherung verlangt. Gesetzlich aufzubewahrende Daten werden nach Kategorie, Grund und Dauer benannt, beschränkt genutzt und nach Wegfall der Pflicht gelöscht. Auf Wunsch bestätigt Kailar den Abschluss.

Die Rückgabe sollte vor Deinstallation angefordert werden, weil die aktive Shoplöschung nach zwei Tagen beginnt. Dieser Hinweis verzichtet nicht auf Rechte nach Art. 28 Abs. 3 Buchst. g. Kailar muss eine vollständige sichere Rückgabe einschließlich relevanter Datensätze und verfügbarer ursprünglicher Feedbackdateien in einem üblichen strukturierten Format wie JSON/CSV plus Bilddateien ermöglichen. Ein begrenzter Bildschirmauszug genügt nicht. Die Parteien vereinbaren einen dem Umfang angemessenen zeitnahen Termin ohne unangemessene Verzögerung oder Vereitelung gesetzlicher Fristen. Angeforderte Rückgabedaten sind bis zur Übergabe zu sichern; vor Löschung der Rückgabekopie ist ihr Empfang zu bestätigen.

Während der Leistung beschreibt Abschnitt 7 der Datenschutzerklärung die Anwendungsfristen: Hauptinhalte normalerweise 180 Tage (Händlerwahl 7–365), Einzelereignisse höchstens 90 Tage oder kürzere Shopfrist, Antwortinhalte höchstens 180 Tage oder kürzere Shopfrist, Versand- und Benachrichtigungsdaten 180 Tage, Anbieter- und Webhookereignisse 90 Tage sowie Arbeitskopien von Anfragen 30 Tage. Frühere rechtmäßige Weisungen gehen vor. Längere Speicherung minimaler Sperrdaten braucht einen dokumentierten fortbestehenden Zweck. Die erneuerbaren 365-Tage-Prüfwerte und der gesonderte Wiederherstellungsschutz sind pseudonyme personenbezogene Daten, keine anonymen Ausnahmen.

Sicherungen müssen für reguläre Nutzung gesperrt sein, nach dokumentiertem Plan ablaufen und vor erneuter Verwendung mit Löschungen abgeglichen werden. Höchstfristen: die verschlüsselten täglichen Datenbanksicherungen der Anwendung werden nach 35 Tagen automatisch gelöscht; die Serversicherung von Hetzner hält höchstens sieben tägliche Kopien; das einmalige verschlüsselte Umstellungsarchiv vom 26. September 2026 wird bis zum 31. Oktober 2026 gelöscht. Eine unbegrenzte Backupfrist wird nicht vereinbart. Der gesonderte Wiederherstellungsschutz ist im Betrieb nicht aktiv; vor dem Einschalten braucht er eine Löschregel, die an diese Sicherungsfristen und einen fortbestehenden rechtmäßigen Sperrzweck gebunden ist.

9. Schlussbestimmungen

Die Anlagen A–D sind Bestandteil dieses AVV. Erforderliche Händlerangaben ergeben sich aus dem Annahmenachweis und werden in dieser öffentlichen Fassung nicht erfunden. Eine Annahme verzichtet nicht auf Art. 28. Für die Haftung gelten zwingendes Recht und Hauptvertrag ohne Beschränkung von Betroffenenrechten. Änderungen und Weisungen werden in Textform dokumentiert.