FAQ · Auslagerung und Dienstleistersteuerung
Welche Register muss ein Haus für Auslagerungen führen und wie verhält sich das Auslagerungsregister zum Informationsregister nach DORA?
Freigegebene Antwort von Qvestcon mit Fundstellen.
Antwort
Banken führen nach § 25b KWG im Rahmen ihres Risikomanagements ein Auslagerungsregister, in dem sämtliche wesentlichen und nicht wesentlichen Auslagerungen zu erfassen sind. Das Rundschreiben der Aufsicht zum Risikomanagement nimmt ausdrücklich auch Vereinbarungen mit Auslagerungsunternehmen innerhalb einer Gruppe oder eines Verbundes hinein. Hinzu kommt für Finanzunternehmen nach Artikel 28 Absatz 3 DORA das Informationsregister über alle Verträge mit Drittdienstleistern, die IKT-Dienstleistungen bereitstellen.
Die beiden Register bestehen nebeneinander. Die Aufsicht stellt klar: Die Pflicht zur Führung eines Auslagerungsregisters wird durch die Einführung der Informationsregister nicht aufgehoben. Beim Auslagerungsregister liegt der Fokus auf allen Auslagerungen, unabhängig davon, ob es sich um IT-Auslagerungen handelt. Das Informationsregister ist auf IKT-Dienstleistungen beschränkt und umfasst dort alle Drittparteibeziehungen. Die Daten können teilweise übereinstimmen, die Register werden aber nicht deckungsgleich sein.
Für Versicherer enthält § 32 VAG kein Auslagerungsregister wie § 25b Absatz 1 KWG. Das Gesetz sieht für sie Anzeigen nach § 47 VAG vor: die Absicht, wichtige Funktionen oder Versicherungstätigkeiten auszugliedern, unter Vorlage des Vertragsentwurfs (Nummer 8), und nach Vertragsschluss eingetretene wesentliche Umstände bei wichtigen ausgegliederten Funktionen (Nummer 9). Für Versicherer, die DORA anwenden, kommt das Informationsregister nach Artikel 28 Absatz 3 DORA hinzu. Für vor dem 01.01.2016 geschlossene Ausgliederungsverträge ist nach dem Rundschreiben der Aufsicht eine Übersicht aller bestehender Ausgliederungen von wichtigen Funktionen und Versicherungstätigkeiten vorzuhalten.
Stand: MaRisk in der Fassung des Rundschreibens 06/2024 (BA). Die BaFin hat im Juni 2026 die neunte Novelle veröffentlicht; maßgeblich ist die jeweils geltende Fassung.
Belege
- § 25b Absatz 1 KWG, Gesetze im Internet
- § 25b Absatz 1 KWG, Auslagerungsregister, Gesetze im Internet
- BaFin, MaRisk-Rundschreiben 06/2024 (BA), Modul AT 9, Auslagerungsregister
- BaFin, Informationsregister und Anzeigepflichten: Konzentrationen bei IT-Dienstleistungen erkennen, Artikel 28
- BaFin, Informationsregister und Anzeigepflichten: Konzentrationen bei IT-Dienstleistungen erkennen, Register
- BaFin, Unterschied zwischen DORA-Informationsregister und Auslagerungsregister
- BaFin, Unterschied zwischen DORA-Informationsregister und Auslagerungsregister, Fokus
- § 47 VAG, Überschrift im Gesetz
- § 47 VAG, Nummer 8
- § 47 VAG, Nummer 9
- Rundschreiben 09/2025 (VA), Übersicht der Ausgliederungen, BaFin
- § 32 VAG, Überschrift der Norm, Gesetze im Internet
- BaFin, Rundschreiben 06/2024 (BA), Titel der Veröffentlichung
- BaFin, neunte MaRisk-Novelle, Veröffentlichung im Juni 2026