Data Processing Agreement

Last updated: 21 October 2026

This Data Processing Agreement ("DPA") forms part of the Paply Terms of Service between ENZOR, programske rešitve d.o.o., Prebačevo 15, 4000 Kranj, Slovenia, registration number 9725679000 ("Processor", "Paply") and the customer using Paply ("Controller"). It applies whenever Paply processes personal data on the Controller's behalf, as required by Article 28 of Regulation (EU) 2016/679 ("GDPR").

1. Subject matter and duration

Paply processes personal data to provide the Paply service: issuing, sending, receiving, archiving and fiscalizing invoices, and importing sales from the Controller's connected systems (for example Stripe, Shopify, Odoo, e-mail). Processing lasts as long as the Controller uses Paply, and afterwards only as set out in section 9.

2. Nature and purpose

Storing, organising, transmitting and displaying the data the Controller enters or connects, so the Controller can manage its invoices and meet its invoicing, fiscalization and archiving obligations. Annex 1 gives the details.

3. Instructions

Paply processes personal data only on the Controller's documented instructions. Using and configuring the service (including connecting third party systems) counts as such instructions. Paply informs the Controller if it believes an instruction infringes data protection law, and processes data otherwise only where EU or Member State law requires it (for example a request from a tax authority), informing the Controller unless the law forbids it.

The Controller may connect AI assistants, agents or other tools of its own choosing ("Connected AI Clients") to Paply. Each authorisation of a Connected AI Client by a user of the Controller, for one company and with the access level shown at the time ("Read only" or "Read and create drafts"), is a documented instruction from the Controller to Paply to make the data within that access level available to that Connected AI Client, including where the Connected AI Client or its provider processes data outside the EEA. The Controller's company settings for Connected AI Clients (whether they are allowed, the highest access level, whether an administrator must approve, the longest permitted duration and whether only verified apps may connect) are also part of the Controller's instructions and limit what any user can authorise. Paply records each authorisation, change and withdrawal, and each change to those settings. Connected AI Clients are recipients chosen by the Controller and are not Paply's sub-processors. The Controller is responsible for its own agreement with the provider of each Connected AI Client, including a data processing agreement and, where the provider or its processing is outside the EEA, a valid transfer safeguard under Chapter V GDPR and any other data protection law that applies to the Controller. By authorising a Connected AI Client, the Controller confirms that such an agreement and safeguards are in place where the law requires them. If the Controller is established outside the EEA, for example in Serbia, the Controller is responsible under its own data protection law for the safeguards for transfers to the provider of each Connected AI Client it connects. Once data has been made available to a Connected AI Client, Paply has no control over it and cannot correct, retrieve or erase it there.

4. Confidentiality

Everyone at Paply authorised to process the data is bound by confidentiality, and access is limited to what their role requires.

5. Security

Paply applies the technical and organisational measures in Annex 2, appropriate to the risk (Article 32 GDPR), and may improve them over time without reducing the overall level of protection.

6. Sub-processors

The Controller gives general authorisation for the sub-processors in Annex 3. Paply informs the Controller of any intended addition or replacement at least 30 days in advance; the Controller may object on reasonable data protection grounds. Paply binds each sub-processor to data protection obligations equivalent to this DPA and remains responsible for them.

7. Data subject requests

Taking into account the nature of the processing, Paply helps the Controller answer requests from data subjects (access, rectification, erasure, restriction, portability, objection), mainly through the export and editing features of the service. Paply forwards any request it receives directly to the Controller without answering it itself.

8. Breaches and assistance

Paply notifies the Controller without undue delay after becoming aware of a personal data breach affecting the Controller's data, with the information available at the time (nature of the breach, categories and approximate number of data subjects and records, likely consequences, measures taken), and keeps it updated. Paply assists with the Controller's obligations under Articles 32 to 36 GDPR.

9. End of processing

When the Controller stops using Paply or closes its company in Paply, the Controller can export its complete data (invoices, fiscal records, partners, e-invoice files, attachments). Issued invoices and fiscal records are then kept, unchanged and inaccessible to anyone except as needed to hand them over to the Controller, until the end of the statutory retention period that applies to them, and deleted afterwards. Paply keeps them as an archiving service on the Controller's behalf and on its instruction, because the Controller is legally required to keep them for that period. The Controller may instead instruct Paply in writing to delete them once it has received the export. All other personal data is deleted.

10. Information and audits

Paply makes available the information needed to demonstrate compliance with this DPA and allows for and contributes to reasonable audits by the Controller or an auditor it mandates, with reasonable prior notice, during business hours and without access to other customers' data.

11. International transfers

Paply hosts its service in the European Union (Frankfurt, Germany). Where a sub-processor processes data outside the EEA, the transfer relies on an adequacy decision or the European Commission's Standard Contractual Clauses.

12. Relationship to the Terms of Service

Liability, governing law and jurisdiction follow the Paply Terms of Service. If this DPA and the Terms conflict, this DPA prevails on the protection of personal data, and the Terms prevail on everything else. This DPA is written in English; any translation is for convenience, and the English version prevails.

Annex 1: Details of processing

Data subjects: The Controller's customers, suppliers and their contact persons; the Controller's own users

Personal data: Names, company names, addresses, e-mail addresses, phone numbers where entered, VAT and registration numbers, bank account numbers (IBAN), invoice contents and amounts, payment records; from connected shops (Shopify, Stripe): customer name, e-mail and billing address of paid orders

Special categories: None intended

Frequency: Continuous, while the service is used

Recipients chosen by the Controller: Connected AI Clients the Controller's users authorise, limited to the access level each authorisation shows (section 3)

Retention: Issued invoices and fiscal records: the statutory period for each document, from the end of the year it belongs to (Slovenia 10 years, or 20 years for invoices relating to immovable property; Croatia 6 years for e-invoices whose e-invoice fiscalization was completed and at least 11 years for other accounting documents; Serbia: until a period is set); longer under a legal hold; backups 7 days; application logs 30 days; the activity log of Connected AI Clients 12 months, and records of each Connected AI Client authorisation for as long as it is active and 12 months after it ends; everything else until deleted by the Controller or the end of the agreement

Annex 2: Technical and organisational measures

Hosting: Amazon Web Services, region eu-central-1 (Frankfurt).

Encryption in transit: HTTPS/TLS for all traffic to and from Paply and to all integrations.

Encryption at rest: encrypted database storage and backups; encrypted file storage; stored integration credentials (API keys, access tokens, certificate passwords) are additionally encrypted at application level.

Backups and resilience: automated daily database backups kept 7 days; deletion protection on the production database.

Access control (customers): per-company data separation; role-based permissions inside each company; optional two-factor login; sessions in httpOnly cookies.

Connected AI Clients: access only through an authorisation granted by a signed-in user, which a company administrator must first allow for the company; limited to one company, to that user's current permissions in it and to the access level shown at authorisation; no Connected AI Client can issue, send, fiscalize, cancel or delete documents, record or initiate payments, or change bank details, settings, users or integrations; access tokens are short-lived and checked against the authorisation on every request; access can be revoked by the user or a company administrator at any time and switched off for the whole company; each request is logged with the client, the user, the action and the time, and the log is kept 12 months; bank account numbers are shown masked; secrets, certificates, integration credentials, file download links and the e-mail account connected for sending invoices are never made available.

Access control (Paply staff): only named platform administrators can access customer data, with mandatory two-factor login; staff cloud-console accounts use multi-factor authentication and a strong password policy.

Access logging: every platform-administrator request is recorded in a staff access log (kept 30 days).

Separation of environments: development and testing use separate databases; test companies in production are marked and isolated from real sending.

Data minimisation: connectors read only the data needed for invoices (for example, from Shopify only orders and customers' name, e-mail and address).

Incident response: a documented security incident response policy.

Annex 3: Sub-processors

Amazon Web Services EMEA SARL. Hosting, database, file storage, e-mail sending. Location: EU (Frankfurt).

E-invoice exchange network operator (an EU company). Transmission of e-invoices over the e-invoice network. Location: EU (Slovenia).

Anthropic, PBC. Reading uploaded invoice documents with AI, only when the Controller uses AI invoice reading; data is not used to train models. Location: United States (Standard Contractual Clauses).

650 Industries, Inc. (Expo). Delivering push notifications to the Paply mobile app. Location: United States (Standard Contractual Clauses or the EU-US Data Privacy Framework).

The e-invoice exchange network operator is named on written request, under confidentiality, because ENZOR's agreement with it is confidential.

Services the Controller connects itself (its own Stripe, Shopify, Odoo, Gmail or Microsoft 365 accounts, and any AI assistant or agent it connects to Paply as a Connected AI Client) are the Controller's own providers or recipients, not Paply's sub-processors.

Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 21. Oktober 2026

Diese deutsche Fassung ist eine Übersetzung, die nur der besseren Verständlichkeit dient. Rechtsverbindlich ist ausschließlich die englische Fassung; bei Abweichungen zwischen den Fassungen hat die englische Fassung Vorrang.

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Paply-Nutzungsbedingungen zwischen ENZOR, programske rešitve d.o.o., Prebačevo 15, 4000 Kranj, Slowenien, Registernummer 9725679000 („Auftragsverarbeiter“, „Paply“) und dem Kunden, der Paply nutzt („Verantwortlicher“). Er gilt immer dann, wenn Paply personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, wie in Artikel 28 der Verordnung (EU) 2016/679 („DSGVO“) vorgeschrieben.

1. Gegenstand und Dauer

Paply verarbeitet personenbezogene Daten, um den Dienst Paply zu erbringen: Ausstellen, Senden, Empfangen, Archivieren und Fiskalisieren von Rechnungen sowie Importieren von Verkäufen aus den verbundenen Systemen des Verantwortlichen (zum Beispiel Stripe, Shopify, Odoo, E-Mail). Die Verarbeitung dauert so lange, wie der Verantwortliche Paply nutzt, und danach nur wie in Abschnitt 9 festgelegt.

2. Art und Zweck

Speichern, Ordnen, Übermitteln und Anzeigen der Daten, die der Verantwortliche eingibt oder verbindet, damit der Verantwortliche seine Rechnungen verwalten und seine Pflichten in Bezug auf Rechnungsstellung, Fiskalisierung und Archivierung erfüllen kann. Anhang 1 enthält die Einzelheiten.

3. Weisungen

Paply verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Nutzung und Konfiguration des Dienstes (einschließlich der Verbindung von Systemen Dritter) gilt als solche Weisung. Paply informiert den Verantwortlichen, wenn es der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt, und verarbeitet Daten im Übrigen nur, soweit das Recht der EU oder eines Mitgliedstaats dies verlangt (zum Beispiel auf Anfrage einer Steuerbehörde), und informiert den Verantwortlichen darüber, sofern das Gesetz dies nicht verbietet.

Der Verantwortliche kann KI-Assistenten, Agenten oder andere Werkzeuge seiner Wahl („Verbundene KI-Clients“) mit Paply verbinden. Jede Autorisierung eines Verbundenen KI-Clients durch einen Benutzer des Verantwortlichen für ein Unternehmen und mit der zu diesem Zeitpunkt angezeigten Zugriffsstufe („Nur lesen“ oder „Lesen und Entwürfe erstellen“) ist eine dokumentierte Weisung des Verantwortlichen an Paply, die Daten innerhalb dieser Zugriffsstufe diesem Verbundenen KI-Client zur Verfügung zu stellen, auch wenn der Verbundene KI-Client oder sein Anbieter Daten außerhalb des EWR verarbeitet. Die Unternehmenseinstellungen des Verantwortlichen für Verbundene KI-Clients (ob sie erlaubt sind, die höchste Zugriffsstufe, ob ein Administrator zustimmen muss, die längste zulässige Dauer und ob sich nur verifizierte Apps verbinden dürfen) sind ebenfalls Teil der Weisungen des Verantwortlichen und begrenzen, was ein Benutzer autorisieren kann. Paply protokolliert jede Autorisierung, Änderung und jeden Widerruf sowie jede Änderung dieser Einstellungen. Verbundene KI-Clients sind vom Verantwortlichen gewählte Empfänger und keine Unterauftragsverarbeiter von Paply. Der Verantwortliche ist für seine eigene Vereinbarung mit dem Anbieter jedes Verbundenen KI-Clients verantwortlich, einschließlich eines Auftragsverarbeitungsvertrags und, wenn der Anbieter oder dessen Verarbeitung außerhalb des EWR liegt, einer gültigen Garantie für die Übermittlung gemäß Kapitel V DSGVO und jedem anderen auf den Verantwortlichen anwendbaren Datenschutzrecht. Mit der Autorisierung eines Verbundenen KI-Clients bestätigt der Verantwortliche, dass eine solche Vereinbarung und solche Garantien bestehen, soweit das Gesetz sie verlangt. Ist der Verantwortliche außerhalb des EWR niedergelassen, zum Beispiel in Serbien, ist der Verantwortliche nach seinem eigenen Datenschutzrecht für die Garantien für Übermittlungen an den Anbieter jedes Verbundenen KI-Clients, den er verbindet, verantwortlich. Sobald Daten einem Verbundenen KI-Client zur Verfügung gestellt wurden, hat Paply keine Kontrolle mehr über sie und kann sie dort weder berichtigen noch zurückholen oder löschen.

4. Vertraulichkeit

Alle bei Paply, die zur Verarbeitung der Daten befugt sind, sind zur Vertraulichkeit verpflichtet, und der Zugriff ist auf das beschränkt, was ihre Funktion erfordert.

5. Sicherheit

Paply wendet die in Anhang 2 beschriebenen technischen und organisatorischen Maßnahmen an, die dem Risiko angemessen sind (Artikel 32 DSGVO), und kann sie im Laufe der Zeit verbessern, ohne das Gesamtschutzniveau zu senken.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für die in Anhang 3 aufgeführten Unterauftragsverarbeiter. Paply informiert den Verantwortlichen mindestens 30 Tage im Voraus über jede beabsichtigte Hinzuziehung oder Ersetzung; der Verantwortliche kann aus berechtigten datenschutzrechtlichen Gründen widersprechen. Paply verpflichtet jeden Unterauftragsverarbeiter zu Datenschutzpflichten, die diesem AVV gleichwertig sind, und bleibt für sie verantwortlich.

7. Anfragen betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung unterstützt Paply den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch), hauptsächlich über die Export- und Bearbeitungsfunktionen des Dienstes. Paply leitet jede Anfrage, die es direkt erhält, an den Verantwortlichen weiter, ohne sie selbst zu beantworten.

8. Verletzungen und Unterstützung

Paply benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die die Daten des Verantwortlichen betrifft, mit den zu diesem Zeitpunkt verfügbaren Informationen (Art der Verletzung, Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene Maßnahmen), und hält diese Informationen auf dem neuesten Stand. Paply unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten nach den Artikeln 32 bis 36 DSGVO.

9. Ende der Verarbeitung

Wenn der Verantwortliche die Nutzung von Paply beendet oder sein Unternehmen in Paply schließt, kann der Verantwortliche seine vollständigen Daten exportieren (Rechnungen, Fiskaldatensätze, Geschäftspartner, E-Rechnungsdateien, Anhänge). Ausgestellte Rechnungen und Fiskaldatensätze werden danach unverändert und für niemanden zugänglich, außer soweit zur Übergabe an den Verantwortlichen erforderlich, bis zum Ende der für sie geltenden gesetzlichen Aufbewahrungsfrist aufbewahrt und anschließend gelöscht. Paply bewahrt sie als Archivierungsdienst im Auftrag und auf Weisung des Verantwortlichen auf, da der Verantwortliche gesetzlich verpflichtet ist, sie für diesen Zeitraum aufzubewahren. Der Verantwortliche kann Paply stattdessen schriftlich anweisen, sie zu löschen, sobald er den Export erhalten hat. Alle anderen personenbezogenen Daten werden gelöscht.

10. Informationen und Prüfungen

Paply stellt die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, und ermöglicht angemessene Prüfungen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer und trägt zu diesen bei, mit angemessener Vorankündigung, während der Geschäftszeiten und ohne Zugriff auf die Daten anderer Kunden.

11. Internationale Übermittlungen

Paply hostet seinen Dienst in der Europäischen Union (Frankfurt, Deutschland). Soweit ein Unterauftragsverarbeiter Daten außerhalb des EWR verarbeitet, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss oder die Standardvertragsklauseln der Europäischen Kommission.

12. Verhältnis zu den Nutzungsbedingungen

Haftung, anwendbares Recht und Gerichtsstand richten sich nach den Paply-Nutzungsbedingungen. Widersprechen sich dieser AVV und die Bedingungen, hat dieser AVV in Bezug auf den Schutz personenbezogener Daten Vorrang, und die Bedingungen haben in allen anderen Punkten Vorrang. Dieser AVV ist in englischer Sprache verfasst; jede Übersetzung dient nur der besseren Verständlichkeit, und die englische Fassung hat Vorrang.

Anhang 1: Einzelheiten der Verarbeitung

Betroffene Personen: Kunden und Lieferanten des Verantwortlichen und deren Ansprechpersonen; die eigenen Benutzer des Verantwortlichen

Personenbezogene Daten: Namen, Firmennamen, Anschriften, E-Mail-Adressen, Telefonnummern, soweit eingegeben, USt-IdNr. und Registernummern, Bankkontonummern (IBAN), Rechnungsinhalte und -beträge, Zahlungsaufzeichnungen; aus verbundenen Shops (Shopify, Stripe): Name, E-Mail-Adresse und Rechnungsanschrift von Kunden bezahlter Bestellungen

Besondere Kategorien: Keine vorgesehen

Häufigkeit: Fortlaufend, solange der Dienst genutzt wird

Vom Verantwortlichen gewählte Empfänger: Verbundene KI-Clients, die die Benutzer des Verantwortlichen autorisieren, beschränkt auf die Zugriffsstufe, die jede Autorisierung angibt (Abschnitt 3)

Aufbewahrung: Ausgestellte Rechnungen und Fiskaldatensätze: die gesetzliche Frist für jedes Dokument, gerechnet ab dem Ende des Jahres, zu dem es gehört (Slowenien 10 Jahre bzw. 20 Jahre für Rechnungen im Zusammenhang mit unbeweglichem Vermögen; Kroatien 6 Jahre für E-Rechnungen, deren E-Rechnungs-Fiskalisierung abgeschlossen wurde, und mindestens 11 Jahre für sonstige Buchhaltungsunterlagen; Serbien: bis eine Frist festgelegt ist); länger bei einer rechtlichen Aufbewahrungssperre (Legal Hold); Sicherungen 7 Tage; Anwendungsprotokolle 30 Tage; das Aktivitätsprotokoll Verbundener KI-Clients 12 Monate und die Nachweise jeder Autorisierung eines Verbundenen KI-Clients, solange sie aktiv ist, und 12 Monate nach ihrem Ende; alles Übrige bis zur Löschung durch den Verantwortlichen oder bis zum Ende des Vertrags

Anhang 2: Technische und organisatorische Maßnahmen

Hosting: Amazon Web Services, Region eu-central-1 (Frankfurt).

Verschlüsselung bei der Übertragung: HTTPS/TLS für den gesamten Datenverkehr von und zu Paply und zu allen Integrationen.

Verschlüsselung im Ruhezustand: verschlüsselte Datenbankspeicherung und Sicherungen; verschlüsselte Dateispeicherung; gespeicherte Zugangsdaten von Integrationen (API-Schlüssel, Zugriffstoken, Zertifikatspasswörter) werden zusätzlich auf Anwendungsebene verschlüsselt.

Sicherungen und Ausfallsicherheit: automatische tägliche Datenbanksicherungen, die 7 Tage lang aufbewahrt werden; Löschschutz für die Produktionsdatenbank.

Zugriffskontrolle (Kunden): Trennung der Daten je Unternehmen; rollenbasierte Berechtigungen innerhalb jedes Unternehmens; optionale Zwei-Faktor-Anmeldung; Sitzungen in httpOnly-Cookies.

Verbundene KI-Clients: Zugriff nur über eine Autorisierung, die von einem angemeldeten Benutzer erteilt wird und die eine Administratorin oder ein Administrator des Unternehmens zuvor für das Unternehmen erlauben muss; beschränkt auf ein Unternehmen, auf die aktuellen Berechtigungen dieses Benutzers darin und auf die bei der Autorisierung angezeigte Zugriffsstufe; kein Verbundener KI-Client kann Dokumente ausstellen, senden, fiskalisieren, stornieren oder löschen, Zahlungen erfassen oder veranlassen oder Bankverbindungen, Einstellungen, Benutzer oder Integrationen ändern; Zugriffstoken sind kurzlebig und werden bei jeder Anfrage mit der Autorisierung abgeglichen; der Zugriff kann vom Benutzer oder von einer Administratorin oder einem Administrator des Unternehmens jederzeit widerrufen und für das gesamte Unternehmen abgeschaltet werden; jede Anfrage wird mit dem Client, dem Benutzer, der Aktion und der Uhrzeit protokolliert, und das Protokoll wird 12 Monate lang aufbewahrt; Bankkontonummern werden maskiert angezeigt; Geheimnisse, Zertifikate, Zugangsdaten von Integrationen, Download-Links für Dateien und das für den Rechnungsversand verbundene E-Mail-Konto werden niemals zur Verfügung gestellt.

Zugriffskontrolle (Paply-Mitarbeitende): Nur namentlich benannte Plattformadministratoren können auf Kundendaten zugreifen, mit verpflichtender Zwei-Faktor-Anmeldung; Cloud-Konsolenkonten der Mitarbeitenden verwenden Multi-Faktor-Authentifizierung und eine strenge Passwortrichtlinie.

Zugriffsprotokollierung: Jede Anfrage eines Plattformadministrators wird in einem Zugriffsprotokoll für Mitarbeitende aufgezeichnet (30 Tage lang aufbewahrt).

Trennung der Umgebungen: Entwicklung und Tests verwenden separate Datenbanken; Testunternehmen in der Produktionsumgebung sind gekennzeichnet und vom echten Versand isoliert.

Datenminimierung: Connectoren lesen nur die für Rechnungen benötigten Daten (zum Beispiel aus Shopify nur Bestellungen sowie Name, E-Mail-Adresse und Anschrift der Kunden).

Reaktion auf Vorfälle: eine dokumentierte Richtlinie zur Reaktion auf Sicherheitsvorfälle.

Anhang 3: Unterauftragsverarbeiter

Amazon Web Services EMEA SARL. Hosting, Datenbank, Dateispeicherung, E-Mail-Versand. Standort: EU (Frankfurt).

Betreiber des E-Rechnungsnetzwerks (ein Unternehmen in der EU). Übermittlung von E-Rechnungen über das E-Rechnungsnetzwerk. Standort: EU (Slowenien).

Anthropic, PBC. Auslesen hochgeladener Rechnungsdokumente mit KI, nur wenn der Verantwortliche das Auslesen von Rechnungen mit KI nutzt; die Daten werden nicht zum Training von Modellen verwendet. Standort: Vereinigte Staaten (Standardvertragsklauseln).

650 Industries, Inc. (Expo). Zustellung von Push-Benachrichtigungen an die mobile Paply-App. Standort: Vereinigte Staaten (Standardvertragsklauseln oder EU-US Data Privacy Framework).

Der Betreiber des E-Rechnungsnetzwerks wird auf schriftliche Anfrage unter Wahrung der Vertraulichkeit benannt, da die Vereinbarung von ENZOR mit ihm vertraulich ist.

Dienste, die der Verantwortliche selbst verbindet (seine eigenen Stripe-, Shopify-, Odoo-, Gmail- oder Microsoft-365-Konten sowie jeder KI-Assistent oder Agent, den er als Verbundenen KI-Client mit Paply verbindet), sind eigene Anbieter oder Empfänger des Verantwortlichen und keine Unterauftragsverarbeiter von Paply.