Question 1

Was ist die zentrale Auslagerungssteuerung?

Accepted Answer

Die zentrale Auslagerungssteuerung steuert Auslagerungen und ihre Dienstleister. Die Bezeichnung steht in keinem Gesetz. § 25b KWG verlangt von Banken ein Auslagerungsregister. Den zentralen Auslagerungsbeauftragten und das zentrale Auslagerungsmanagement beschreibt das Rundschreiben der Aufsicht zum Risikomanagement.

Jede Bank, die Auslagerungen vornimmt, richtet danach einen zentralen Auslagerungsbeauftragten im Haus selbst ein. Abhängig von Art, Umfang und Komplexität der Auslagerungsaktivitäten kommt ein zentrales Auslagerungsmanagement hinzu, zu dessen Aufgaben unter anderem die Erstellung und Pflege einer vollständigen Dokumentation der Auslagerungen zählt. Jährlich erhält die Geschäftsleitung einen Bericht über wesentliche Auslagerungen.

Für Versicherer regelt § 32 VAG die Ausgliederung. Ein Versicherungsunternehmen, das Funktionen oder Versicherungstätigkeiten ausgliedert, bleibt für die Erfüllung aller aufsichtsrechtlichen Vorschriften und Anforderungen verantwortlich. Für die Ausgliederung von Schlüsselfunktionen und selbst definierten Schlüsselaufgaben muss es nach dem Rundschreiben der Aufsicht stets eine Ausgliederungsbeauftragte oder einen Ausgliederungsbeauftragten geben. Sie überwachen und beurteilen, unbeschadet der Letztverantwortung der gesamten Geschäftsleitung, ob die ausgegliederten Aufgaben ordnungsgemäß ausgeführt werden.

Stand: MaRisk in der Fassung des Rundschreibens 06/2024 (BA). Die BaFin hat im Juni 2026 die neunte Novelle veröffentlicht; maßgeblich ist die jeweils geltende Fassung.

Question 2

Was ist Third Party Management und was verlangt DORA dazu?

Accepted Answer

Third Party Management steuert die Beziehungen zu externen Dienstleistern über den ganzen Lebenszyklus, von der Auswahl über den Vertrag und die laufende Überwachung bis zum Ausstieg. Nach der BaFin müssen Finanzunternehmen IKT-Drittparteienrisiken einschätzen und überwachen. Das gilt während des gesamten Lebenszyklus des Bezugs. Bei IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen müssen sie eine Ausstiegsstrategie haben. Die Vorgaben stehen in Artikel 28 bis 30 DORA und die BaFin hat eine Übersicht der Bestimmungen veröffentlicht, die nach DORA und den technischen Regulierungsstandards mindestens in einem Vertrag mit einem IKT-Drittdienstleister enthalten sein müssen.

Die EBA hat endgültige Leitlinien zum Management von Drittparteienrisiken veröffentlicht. Sie konzentrieren sich auf Vereinbarungen für kritische oder wichtige Funktionen und decken den gesamten Lebenszyklus ab, von der Risikobewertung über Vertragsgestaltung, Unterauftragsvergabe und Überwachung bis zur Dokumentation und zu Ausstiegsstrategien. Eine zweijährige Übergangsfrist ist vorgesehen.

Question 3

Gelten für Nearshoring andere Regeln als für Outsourcing?

Accepted Answer

Die Regeln knüpfen an die Auslagerung an; der Sitz des Dienstleisters wirkt sich an einzelnen Stellen aus. Nach § 25b KWG müssen die Kontrollmöglichkeiten der Aufsicht bei einer Auslagerung auf ein Unternehmen im Europäischen Wirtschaftsraum ebenso durch geeignete Vorkehrungen gegeben sein wie bei einem Drittstaat. Sitzt das Auslagerungsunternehmen bei einer wesentlichen Auslagerung in einem Drittstaat, ist vertraglich ein inländischer Zustellungsbevollmächtigter vorzusehen. § 32 VAG verlangt in Absatz 4 den Zustellungsbevollmächtigten entsprechend für wichtige Funktionen und Versicherungstätigkeiten. Die Prüfungs- und Kontrollrechte der Aufsicht sichert Absatz 2.

Bei wesentlichen Auslagerungen gehören nach dem Rundschreiben der Aufsicht zum Risikomanagement die Standorte in den Vertrag, also Regionen oder Länder, in denen die Dienstleistung erfolgt oder maßgebliche Daten gespeichert und verarbeitet werden. Dazu kommt die Regelung, dass die Bank benachrichtigt wird, wenn das Auslagerungsunternehmen den Standort wechselt.

Für IKT-Dienstleister gilt nach der Aufsicht: Nur kritische IKT-Drittdienstleister müssen gemäß Artikel 31 Absatz 12 DORA einen Sitz in der EU haben.

Stand: MaRisk in der Fassung des Rundschreibens 06/2024 (BA). Die BaFin hat im Juni 2026 die neunte Novelle veröffentlicht; maßgeblich ist die jeweils geltende Fassung.

Question 4

Wann ist eine Auslagerung bei einer Bank wesentlich und was folgt daraus?

Accepted Answer

Maßgeblich ist die Bedeutung für das Geschäft. Nach § 25b KWG geht es um Aktivitäten und Prozesse, die für die Durchführung von Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen wesentlich sind und für sie muss die Bank angemessene Vorkehrungen treffen, um übermäßige zusätzliche Risiken zu vermeiden. Welche Auslagerungen das im Einzelfall sind, legt sie nach dem Rundschreiben der Aufsicht zum Risikomanagement eigenverantwortlich anhand einer Risikoanalyse fest.

Bei einer wesentlichen Auslagerung kommen weitere Folgen hinzu. Sitzt das Auslagerungsunternehmen in einem Drittstaat, ist vertraglich ein inländischer Zustellungsbevollmächtigter vorzusehen. Die Steuerung umfasst dann auch die laufende Überwachung der Leistung des Auslagerungsunternehmens. Nicht wesentliche Auslagerungen bleiben nicht außen vor. Auch sie stehen im Auslagerungsregister.

Für Versicherer knüpft § 32 VAG die Pflichten an die Ausgliederung wichtiger Funktionen und Versicherungstätigkeiten. Wesentliche Beeinträchtigungen der Qualität der Geschäftsorganisation, eine übermäßige Steigerung des operationellen Risikos und eine Gefährdung der Dienstleistung für die Versicherungsnehmer sind zu vermeiden. Für einen Dienstleister mit Sitz in einem Drittstaat ist vertraglich ein inländischer Zustellungsbevollmächtigter sicherzustellen (§ 32 Absatz 4 VAG). Nach dem Rundschreiben 09/2025 (VA) der BaFin muss die gesamte Geschäftsleitung die Ausgliederung wichtiger Funktionen vorab genehmigen.

Stand: MaRisk in der Fassung des Rundschreibens 06/2024 (BA). Die BaFin hat im Juni 2026 die neunte Novelle veröffentlicht; maßgeblich ist die jeweils geltende Fassung.

Question 5

Wann ist eine Ausgliederung bei einem Versicherer wichtig und was folgt daraus?

Accepted Answer

§ 32 VAG knüpft weitere Pflichten an die Ausgliederung wichtiger Funktionen und Versicherungstätigkeiten. Nach den Auslegungshinweisen der Aufsicht zur Geschäftsorganisation gelten Schlüsselfunktionen und selbst definierte Schlüsselaufgaben immer als wichtig. In der Regel wichtig sind auch Bestandsverwaltung und Leistungsbearbeitung. Im Übrigen stellt das Unternehmen eigenverantwortlich fest, ob eine Funktion wichtig ist, und dokumentiert das in der Risikoanalyse.

Ist eine Ausgliederung wichtig, sind wesentliche Beeinträchtigungen der Qualität der Geschäftsorganisation, eine übermäßige Steigerung des operationellen Risikos und eine Gefährdung der Dienstleistung für die Versicherungsnehmer zu vermeiden. Die gesamte Geschäftsleitung muss die Ausgliederung vorab genehmigen. Das verlangt das Rundschreiben 09/2025 (VA) der BaFin.

Question 6

Auslagerung, Ausgliederung, kritische oder wichtige Funktion: Welcher Begriff gilt für Banken, welcher für Versicherer und welcher nach DORA?

Accepted Answer

Der Begriff hängt vom Gesetz ab. Für Banken spricht § 25b KWG von der Auslagerung von Aktivitäten und Prozessen auf ein anderes Unternehmen und stellt darauf ab, ob diese wesentlich sind. Für Versicherer spricht § 32 VAG von der Ausgliederung wichtiger Funktionen und Versicherungstätigkeiten. Die Ausgliederung ist eine Vereinbarung jeglicher Form, nach der ein Dienstleister einen Prozess, eine Dienstleistung oder eine Tätigkeit erbringt, die das Versicherungsunternehmen sonst selbst erbringen würde (§ 7 Nr. 2 VAG).

DORA verwendet einen dritten Begriff: kritische oder wichtige Funktionen. Die EBA beschreibt sie als Funktionen, deren Störung die Leistung eines Finanzunternehmens wesentlich beeinträchtigen würde. Die Aufsicht stellt klar, dass das Risikomanagement nach DORA die sektoralen Regelungen zu Auslagerungen oder Ausgliederungen ergänzt. Beide Regelwerke sind grundsätzlich parallel zu beachten.

Question 7

Welche Register muss ein Haus für Auslagerungen führen und wie verhält sich das Auslagerungsregister zum Informationsregister nach DORA?

Accepted Answer

Banken führen nach § 25b KWG im Rahmen ihres Risikomanagements ein Auslagerungsregister, in dem sämtliche wesentlichen und nicht wesentlichen Auslagerungen zu erfassen sind. Das Rundschreiben der Aufsicht zum Risikomanagement nimmt ausdrücklich auch Vereinbarungen mit Auslagerungsunternehmen innerhalb einer Gruppe oder eines Verbundes hinein. Hinzu kommt für Finanzunternehmen nach Artikel 28 Absatz 3 DORA das Informationsregister über alle Verträge mit Drittdienstleistern, die IKT-Dienstleistungen bereitstellen.

Die beiden Register bestehen nebeneinander. Die Aufsicht stellt klar: Die Pflicht zur Führung eines Auslagerungsregisters wird durch die Einführung der Informationsregister nicht aufgehoben. Beim Auslagerungsregister liegt der Fokus auf allen Auslagerungen, unabhängig davon, ob es sich um IT-Auslagerungen handelt. Das Informationsregister ist auf IKT-Dienstleistungen beschränkt und umfasst dort alle Drittparteibeziehungen. Die Daten können teilweise übereinstimmen, die Register werden aber nicht deckungsgleich sein.

Für Versicherer enthält § 32 VAG kein Auslagerungsregister wie § 25b Absatz 1 KWG. Das Gesetz sieht für sie Anzeigen nach § 47 VAG vor: die Absicht, wichtige Funktionen oder Versicherungstätigkeiten auszugliedern, unter Vorlage des Vertragsentwurfs (Nummer 8), und nach Vertragsschluss eingetretene wesentliche Umstände bei wichtigen ausgegliederten Funktionen (Nummer 9). Für Versicherer, die DORA anwenden, kommt das Informationsregister nach Artikel 28 Absatz 3 DORA hinzu. Für vor dem 01.01.2016 geschlossene Ausgliederungsverträge ist nach dem Rundschreiben der Aufsicht eine Übersicht aller bestehender Ausgliederungen von wichtigen Funktionen und Versicherungstätigkeiten vorzuhalten.

Stand: MaRisk in der Fassung des Rundschreibens 06/2024 (BA). Die BaFin hat im Juni 2026 die neunte Novelle veröffentlicht; maßgeblich ist die jeweils geltende Fassung.

Question 8

Wer bleibt für ausgelagerte Funktionen verantwortlich?

Accepted Answer

Die Verantwortung bleibt beim auslagernden Haus. Nach § 25b KWG darf die Auslagerung nicht zu einer Übertragung der Verantwortung der Geschäftsleiter an das Auslagerungsunternehmen führen und die Bank bleibt für die Einhaltung der gesetzlichen Bestimmungen verantwortlich, die sie zu beachten hat. § 32 VAG sagt dasselbe für Versicherer: Wer Funktionen oder Versicherungstätigkeiten ausgliedert, bleibt für die Erfüllung aller aufsichtsrechtlichen Vorschriften und Anforderungen verantwortlich.

Die Aufsicht schreibt die Folge für Versicherer aus. Bei Ausgliederungen, auch konzerninternen und bei Sub-Delegationen, bleibt die Letztverantwortung der gesamten Geschäftsleitung immer bestehen. Für Banken hält sie fest, dass die Leitungsaufgaben der Geschäftsleitung nicht auslagerbar sind. Die Verantwortung lässt sich nicht abgeben.

Stand: MaRisk in der Fassung des Rundschreibens 06/2024 (BA). Die BaFin hat im Juni 2026 die neunte Novelle veröffentlicht; maßgeblich ist die jeweils geltende Fassung.

Question 9

Was verlangt die BaFin bei Auslagerungen an Cloud-Anbieter?

Accepted Answer

Die BaFin hat eine Aufsichtsmitteilung zu Auslagerungen an Cloud-Anbieter veröffentlicht (Fassung vom Februar 2024). Sie basiert auf der Orientierungshilfe aus November 2018 und zeigt praxisnah, wie die BaFin solche Auslagerungen einschätzt. Neue Anforderungen enthält sie nicht: Sie erläutert bereits bestehende Anforderungen mit Blick auf die Cloud und bestehende sektorale Anforderungen an Auslagerungen oder Ausgliederungen bleiben unberührt.

Inhaltlich hat die BaFin Governance, Einführungsprozesse und vertragliche Mindeststandards aktualisiert und zwei Kapitel ergänzt. Das zweite informiert darüber, wie aus Sicht der BaFin die Leistungserbringung des Cloud-Anbieters überwacht und kontrolliert werden sollte. Im Fokus steht, ob die Prozess- und Informationsketten zwischen Cloud-Anbieter und beaufsichtigtem Unternehmen durch geeignete technische und organisatorische Maßnahmen aufeinander abgestimmt sind.

Question 10

Gelten Auslagerungen innerhalb der Gruppe als Auslagerung?

Accepted Answer

Ja, die Aufsicht nimmt sie nicht aus. Für Banken umfasst das Auslagerungsregister nach dem Rundschreiben zum Risikomanagement alle Auslagerungsvereinbarungen, einschließlich der Vereinbarungen mit Auslagerungsunternehmen innerhalb einer Gruppe oder eines Verbundes. Für Versicherer dürfen gruppeninterne Ausgliederungen nicht generell mit weniger Sorgfalt und einer weniger intensiven Überwachung einhergehen und sie können nicht ohne weiteres als nicht wichtig eingestuft werden.

Erleichterungen gibt es im Einzelfall. Nach dem MaRisk-Rundschreiben 06/2024 (BA) kann bei gruppen- und verbundinternen Auslagerungen von Banken auf Ausstiegsprozesse und Handlungsoptionen verzichtet werden. Nach § 32 VAG ist ein Weisungsrecht nicht erforderlich, wenn im Rahmen einer steuerlichen Organschaft Funktionen auf eine Muttergesellschaft ausgegliedert werden, die sich vertraglich den gleichen aufsichtsrechtlichen Anforderungen unterwirft.

Auch die Regeln zum IKT-Drittparteienrisikomanagement gelten nach der Aufsicht grundsätzlich für gruppeninterne IKT-Drittdienstleister. Ein reduziertes Risiko, etwa durch geeignete Durchgriff- oder Kontrollmöglichkeiten, kann proportional berücksichtigt werden.

Stand: MaRisk in der Fassung des Rundschreibens 06/2024 (BA). Die BaFin hat im Juni 2026 die neunte Novelle veröffentlicht; maßgeblich ist die jeweils geltende Fassung.

Question 11

Wie groß darf die Abhängigkeit von einem einzelnen Dienstleister sein und was verlangt das Aufsichtsrecht zu Konzentration und Ausstieg?

Accepted Answer

Der Maßstab ist qualitativ. Nach § 25b KWG sind angemessene Vorkehrungen zu treffen, um übermäßige zusätzliche Risiken zu vermeiden. Nach § 32 VAG ist bei der Ausgliederung wichtiger Funktionen eine übermäßige Steigerung des operationellen Risikos zu vermeiden.

Die Aufsicht beschreibt, wann Konzentration zum Risiko wird: Es kommt darauf an, ob das Angebot des Dienstleisters derart speziell ist, dass die Finanzunternehmen bei ihren kritischen oder wichtigen Funktionen von ihm abhängig sind. Zu einem Abhängigkeitsverhältnis führt das, wenn ein Wechsel wegen weniger Alternativen nicht möglich ist oder sich als praktisch sehr schwierig erweist.

Zum Ausstieg gilt: Bei wesentlichen Auslagerungen hat die Bank im Fall der beabsichtigten oder erwarteten Beendigung Vorkehrungen zu treffen, um die Kontinuität und Qualität der ausgelagerten Aktivitäten auch danach zu erhalten. Bei IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen muss das Unternehmen zudem berücksichtigen, wie weit es sich von dem Dienstleister abhängig macht, und eine Ausstiegsstrategie haben.

FAQ: Auslagerung und Dienstleistersteuerung

Auslagerung und Dienstleistersteuerung

FAQ: Auslagerung und Dienst­leis­ter­steue­rung

Auslagerung und Dienst­leis­ter­steue­rung

FAQ: Auslagerung und Dienstleistersteuerung

Auslagerung und Dienstleistersteuerung