Lehrgang Auslagerungsbeauftragter
Qualifizierung für die Rolle des Auslagerungsbeauftragten.
Fachbeitrag · Auslagerungsmanagement
Mindestanforderungen an Auslagerungsvereinbarungen 2026/2027
Die Mindestanforderungen an Auslagerungsvereinbarungen ergeben sich aus § 25b Abs. 3 KWG, AT 9 Tz. 7 und 8 MaRisk 10.0, für IKT-Dienstleistungen aus Art. 30 DORA sowie aus den EBA-Leitlinien (EBA/GL/2019/02, künftig EBA/GL/2026/09). Dieser Beitrag geht den Vertragsinhalt Klausel für Klausel durch.
Management Summary
Der Auslagerungsvertrag ist ein zentrales Steuerungsinstrument gegenüber dem Dienstleister. Was nicht vereinbart ist, lässt sich im Ernstfall weder prüfen noch durchsetzen – weder durch die Interne Revision noch durch die BaFin. Deshalb schreibt § 25b Abs. 3 Satz 3 KWG für jede Auslagerung eine schriftliche Vereinbarung mit den erforderlichen Rechten des Instituts vor, einschließlich Weisungs- und Kündigungsrechten.
Die Vorgaben haben sich bis 2026 deutlich verschoben: MaRisk 10.0 (Rundschreiben 06/2026 (BA)) hat AT 9 neu gefasst, für IKT-Dienstleistungen gelten Art. 30 DORA und zwei Delegierte Verordnungen, und die EBA hat im September 2026 mit EBA/GL/2026/09 neue Leitlinien zum Drittparteirisiko bei Nicht-IKT-Leistungen veröffentlicht.
Du erfährst, welche Klauseln dein Vertrag enthalten muss, wo sich die Regelwerke unterscheiden und wie du Bestandsverträge priorisiert anpasst. Der Ausgangspunkt ist immer die Zuordnung: Jeder Vertrag folgt AT 9, DORA oder – bei gemischten Leistungen – beiden Katalogen. Die Klausel-Matrix in Abschnitt 2 dient dir als Prüfraster.
Abgrenzung: Dieser Beitrag behandelt den Vertragsinhalt. Einstufung als kritisch oder wesentlich, Due Diligence, Register, Prüfungsrechte im Detail, Weiterverlagerung im Detail und Ausstiegsstrategien sind eigene Themen; hier findest du dazu nur die vertragliche Seite und Verweise. Der Beitrag ersetzt keine Rechtsberatung.
Inhaltsverzeichnis
Welcher Vertrag welchem Regelwerk folgt
Geltendes Recht
- Nicht-IKT-Auslagerungen (zum Beispiel Interne Revision, Compliance, Geldwäschebeauftragter, Kreditbearbeitung, Marktfolge): § 25b Abs. 3 KWG und AT 9 Tz. 7 MaRisk 10.0; ergänzend EBA/GL/2019/02.
- IKT-Dienstleistungen (Rechenzentrum, Cloud, Kernbanksystem, Softwarebetrieb): Art. 30 DORA; AT 9 MaRisk ist nach der Erläuterung zu AT 9 Tz. 1 auf IKT-Dienstleistungen nicht anwendbar.
- Gemischte Verträge (zum Beispiel Backoffice-Service mit Softwarebereitstellung): Du prüfst beide Kataloge und nimmst die strengere Anforderung auf.
Unabhängig vom Regelwerk gilt § 25b Abs. 3 KWG: Die BaFin darf durch die Auslagerung nicht an ihren Aufgaben gehindert werden, ihre Auskunfts- und Prüfungsrechte müssen auch im EWR und in Drittstaaten gewährleistet sein (Satz 1); dasselbe gilt für die Prüfer des Instituts (Satz 2).
Nach EBA/GL/2019/02 Rn. 75 enthält die Vereinbarung über kritische oder wesentliche Funktionen mindestens 17 Regelungen. In Deutschland ist für wesentliche Auslagerungen der Katalog in AT 9 Tz. 7 a)–n) MaRisk 10.0 maßgeblich.
Künftiges Recht
- Ab 01.01.2027 gilt DORA auch für Institute, die bisher nicht unter Art. 2 DORA fielen, etwa Factoring- und Leasinggesellschaften (§ 1a KWG). Für Kleinstunternehmen gelten Art. 28–30 DORA nicht.
- Mit Anwendung der EBA/GL/2026/09 übernimmt die EBA für Nicht-IKT die DORA-Systematik: Mindestinhalte für alle Verträge (Rn. 84) und zusätzliche Inhalte für Verträge zu kritischen oder wichtigen Funktionen (Rn. 85).
Praxis-Tipp
Lege für jeden Vertrag im Register fest, ob er nach AT 9, nach DORA oder nach beiden geprüft wird. Diese Zuordnung entscheidet, welche Klausel-Checkliste du anwendest.
Mehr dazu: Wann liegt eine Auslagerung vor? · Kritische oder wesentliche Funktionen
| Rechtsstand | Nicht-IKT-Auslagerungen | IKT-Dienstleistungen |
|---|---|---|
| Geltend | § 25b Abs. 3 KWG; AT 9 Tz. 7 und 8 MaRisk 10.0 (Rundschreiben 06/2026 (BA), Juni 2026); EBA/GL/2019/02 Rn. 74–75 ff. | Art. 28 Abs. 7–8, Art. 30 DORA; Delegierte Verordnung (EU) 2024/1773 Art. 8 und 10; Delegierte Verordnung (EU) 2025/532 Art. 4–6; AT 9 MaRisk ist auf IKT-Dienstleistungen nicht anwendbar |
| Übergang | EBA/GL/2026/09 im September 2026 veröffentlicht, Anwendungsdatum noch offen; Bestandsverträge zu kritischen oder wichtigen Funktionen innerhalb von zwei Jahren nach Anwendungsbeginn überprüfen (Rn. 18–21) | BAIT entfallen mit Ablauf des 31.12.2026; DORA gilt ab 01.01.2027 auch für KWG-Institute außerhalb von Art. 2 DORA (§ 1a KWG); Kleinstunternehmen ohne Art. 28–30 |
| Künftig | EBA/GL/2026/09 Rn. 83–109 ersetzen EBA/GL/2019/02 (Rn. 22); Begriff „kritische oder wichtige Funktion“ auch für Nicht-IKT | Art. 18 AMLR ab 10.07.2027 für die Auslagerung von GwG-Aufgaben |
Mindestanforderungen an Auslagerungsvereinbarungen: Klausel-Matrix im Überblick
Die Matrix stellt die Klauseln der vier Kataloge nebeneinander. Ein Strich („–“) bedeutet: Der jeweilige Katalog enthält dazu keine eigene Einzelvorgabe. Die Spalten zu Art. 30 DORA trennen die Mindestinhalte für alle IKT-Verträge (Abs. 2) von den Zusatzinhalten bei kritischen oder wichtigen Funktionen (Abs. 3).
| Klausel | AT 9 Tz. 7 MaRisk 10.0 (wesentliche Auslagerung) | Art. 30 Abs. 2 DORA (alle IKT-Verträge) | Art. 30 Abs. 3 DORA (kritisch/wichtig) | EBA/GL/2026/09 |
|---|---|---|---|---|
| Leistungsbeschreibung | a) Spezifizierung und ggf. Abgrenzung | a) klare und vollständige Beschreibung | – | Rn. 84 a |
| Laufzeit | b) Beginn und ggf. Ende | – | – | – |
| Anwendbares Recht | c) sofern abweichend von deutschem Recht | – | – | Rn. 84 c (immer) |
| Standorte der Leistung und der Daten, Benachrichtigung bei Wechsel | d) | b) mit Vorabbenachrichtigung | – | Rn. 84 b, d |
| Dienstleistungsgüte | e) eindeutig festgelegte Leistungsziele | e) Beschreibung inklusive Aktualisierungen | a) präzise quantitative und qualitative Leistungsziele | Rn. 84 g, 85 a |
| Versicherung | f) soweit zutreffend Versicherungsnachweis | – | – | Rn. 85 c |
| Notfallkonzepte | g) Umsetzung und Überprüfung | – | c) Notfallpläne implementieren und testen, IKT-Sicherheit | Rn. 85 d |
| Rechte von Revision und externen Prüfern | h) | – | e) i–iv | Rn. 85 e, 96, 98 |
| Rechte der Aufsicht | i) uneingeschränkt nach § 25b Abs. 3 KWG | g) volle Zusammenarbeit mit zuständigen und Abwicklungsbehörden | e) i, iii | Rn. 84 h, 97 |
| Weisungsrechte | j) soweit erforderlich | – | – | – |
| Datenschutz und Sicherheit | k) | c) Verfügbarkeit, Authentizität, Integrität, Vertraulichkeit | c) | Rn. 84 e, 86 |
| Datenzugriff bei Insolvenz, Abwicklung, Beendigung | Erläuterung zu Tz. 7 | d) Zugang, Wiederherstellung, Rückgabe | – | Rn. 84 f |
| Kündigungsrechte und Fristen | l) angemessene Kündigungsfristen | h) Mindestkündigungsfristen | b) Kündigungsfristen | Rn. 84 i, 108 |
| Weiterverlagerung | m) und Tz. 8 | a) Zulässigkeit und Bedingungen | – | Rn. 84 a, 87–95 |
| Informationspflicht bei beeinträchtigenden Entwicklungen | n) | – | b) Berichtspflichten | Rn. 85 b |
| Unterstützung bei Vorfällen | – | f) ohne Zusatzkosten oder zu vorab festgesetzten Kosten | – | – |
| Teilnahme an Schulungen | – | i) Art. 13 Abs. 6 DORA | – | – |
| Bedrohungsorientierte Penetrationstests (TLPT) | – | – | d) | – |
| Exit und Übergangszeitraum | Erläuterung (Unterstützung nach Kündigung) | – | f) verbindlicher angemessener Übergangszeitraum | Rn. 85 f, 109 |
| Abwicklungsbefugnisse (BRRD) | – | – | – | Rn. 84 j, 97 (CRD-Institute) |
| Zustellungsbevollmächtigter bei Drittstaat | § 25b Abs. 3 Satz 4 KWG | – | – | – |
Praxis-Tipp
Übernimm diese Matrix als Prüfraster in dein Vertragsmanagement. Jede Zeile wird zu einer Prüffrage mit Fundstelle der Vertragsklausel.
Form und Vertragsänderungen
Die Rechte und Pflichten aus der Auslagerung müssen nach § 25b Abs. 3 Satz 3 KWG in einer schriftlichen Vereinbarung festgelegt sein.
Geltendes Recht
- § 25b Abs. 3 Satz 3 KWG verlangt eine schriftliche Vereinbarung; AT 9 Tz. 7 MaRisk 10.0 spricht vom „in Textform dokumentierten Auslagerungsvertrag“.
- Art. 30 Abs. 1 DORA: Die Rechte und Pflichten werden eindeutig zugewiesen und schriftlich dargelegt. Der vollständige Vertrag umfasst die Vereinbarung über die Dienstleistungsgüte und liegt in Papierform oder in einem herunterladbaren, dauerhaften und zugänglichen Format vor.
- Art. 8 Abs. 4 der Delegierten Verordnung (EU) 2024/1773: Wesentliche Änderungen werden in einem schriftlichen Dokument festgehalten, das von allen Parteien datiert und unterzeichnet wird und das Verfahren zur Verlängerung festlegt.
Künftiges Recht
- EBA/GL/2026/09 Rn. 83: Rechte und Pflichten werden klar zugewiesen und in einem schriftlichen Vertrag festgehalten.
Praxis-Tipp
Online-AGB, Portal-SLAs und „Click-through“-Bedingungen genügen nur, wenn du den jeweils geltenden Stand dauerhaft herunterladen und versioniert ablegen kannst. Vereinbare, dass einseitige Änderungen der Dienstleistungsbedingungen durch den Anbieter für kritische Leistungen ausgeschlossen sind oder deiner Zustimmung bedürfen.
Leistung, Laufzeit, anwendbares Recht und Standorte
Geltendes Recht
- AT 9 Tz. 7 a)–d) MaRisk 10.0: Spezifizierung und gegebenenfalls Abgrenzung der Leistung, Beginn und gegebenenfalls Ende, anwendbares Recht sofern von deutschem Recht abweichend sowie die Standorte (Regionen oder Länder) der Leistungserbringung und der Datenspeicherung und -verarbeitung samt Benachrichtigung bei Standortwechsel.
- Art. 30 Abs. 2 a) und b) DORA: klare und vollständige Beschreibung aller Funktionen und IKT-Dienstleistungen; Standorte auch für Unterauftragnehmer, einschließlich Speicherort, und eine Pflicht zur Vorabbenachrichtigung bei beabsichtigter Änderung.
- § 25b Abs. 3 Satz 4 KWG: Sitzt der Dienstleister einer wesentlichen Auslagerung in einem Drittstaat, ist vertraglich ein inländischer Zustellungsbevollmächtigter für Bekanntgaben und Zustellungen der BaFin zu vereinbaren.
Künftiges Recht
- EBA/GL/2026/09 Rn. 84 c: Das anwendbare Recht ist immer anzugeben, nicht nur bei Abweichung vom deutschen Recht.
Praxis-Tipp
Die Leistungsbeschreibung ist zugleich Grundlage für den Verzicht auf ausdrückliche Weisungsrechte (Abschnitt 7). Je genauer du Leistung, Schnittstellen und Mitwirkungspflichten des Instituts beschreibst, desto belastbarer sind Steuerung und Eskalation.
Dienstleistungsgüte, Berichtspflichten und Eskalation
Geltendes Recht
- AT 9 Tz. 7 e) MaRisk 10.0: vereinbarte Dienstleistungsgüte mit eindeutig festgelegten Leistungszielen; Tz. 7 n): Pflicht des Auslagerungsunternehmens, über Entwicklungen zu informieren, die die ordnungsgemäße Erledigung beeinträchtigen können.
- Erläuterung zu AT 9 Tz. 7 („Eskalation bei Schlechtleistung“): Bereits bei der Vertragsanbahnung legt das Institut intern fest, welchen Grad an Schlechtleistung es akzeptiert.
- AT 9 Tz. 9 MaRisk 10.0: laufende Überwachung wesentlicher Auslagerungen anhand von Kriterien wie Key Performance Indicators und Key Risk Indicators und vertraglich vereinbarter Informationen.
- Art. 30 Abs. 3 a) und b) DORA: präzise quantitative und qualitative Leistungsziele, die eine wirksame Überwachung und unverzügliche Korrekturmaßnahmen ermöglichen, sowie Berichtspflichten einschließlich der Meldung aller Entwicklungen mit wesentlichen Auswirkungen.
- Art. 30 Abs. 2 f) DORA: Unterstützung bei IKT-Vorfällen ohne zusätzliche Kosten oder zu vorab festzusetzenden Kosten.
Künftiges Recht
- EBA/GL/2026/09 Rn. 85 a und b: Leistungsziele „quantitativ oder/und qualitativ“; Berichtspflichten umfassen gegebenenfalls die Vorlage von Berichten der internen Revision des Dienstleisters.
Praxis-Tipp
Verknüpfe jede SLA-Kennzahl mit einem Schwellenwert, einer Berichtsfrequenz und einer vertraglichen Folge (Eskalationsgespräch, Abhilfeplan, Vertragsstrafe, Sonderkündigungsrecht). Die intern festgelegte Toleranz für Schlechtleistung gehört in die Vertragsakte.
Mehr dazu: KPIs nach EBA-Leitlinien
Daten, Sicherheit, Notfallkonzepte und Versicherung
Geltendes Recht
- AT 9 Tz. 7 k) MaRisk 10.0: Regelungen zu Datenschutz und sonstigen Sicherheitsanforderungen. Nach der Erläuterung gilt das für alle, auch nicht wesentliche Auslagerungen; gemeint sind vor allem Zutritt zu Räumen und Gebäuden sowie Zugriffsberechtigungen auf Software. Die Einhaltung ist fortlaufend zu überwachen.
- Erläuterung zu AT 9 Tz. 7: risikobasierter Ansatz für den Standort von Datenspeicherung und -verarbeitung; Zugriff auf die Daten des Instituts bei Insolvenz, Abwicklung oder Einstellung der Geschäftstätigkeit des Dienstleisters.
- AT 9 Tz. 7 f) und g): soweit zutreffend Versicherungsnachweis; Anforderungen an Umsetzung und Überprüfung von Notfallkonzepten.
- Art. 30 Abs. 2 c) und d) DORA: Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit; Zugang zu personenbezogenen und nicht personenbezogenen Daten sowie deren Wiederherstellung und Rückgabe in einem leicht zugänglichen Format – auch bei regulärer Vertragsbeendigung.
- Art. 30 Abs. 3 c) DORA: Notfallpläne implementieren und testen, IKT-Sicherheitsmaßnahmen; Art. 30 Abs. 3 d): Mitwirkung an TLPT; Art. 30 Abs. 2 i): Teilnahme an Sicherheitsschulungen.
Künftiges Recht
- EBA/GL/2026/09 Rn. 84 e, f und Rn. 86: Datenschutz, Datenrückgabe auch bei Vertragsbeendigung, Berücksichtigung abweichender Datenschutzregeln in Drittstaaten, Bankgeheimnis.
Praxis-Tipp
Regle die Datenrückgabe konkret: Format, Frist, Kosten, Löschbestätigung. „Daten werden auf Anforderung herausgegeben“ reicht nicht.
Prüfungsrechte, Weisungsrechte und Zusammenarbeit mit Behörden
Geltendes Recht
- AT 9 Tz. 7 h) und i) MaRisk 10.0: angemessene Informations- und Prüfungsrechte der Internen Revision und externer Prüfer sowie uneingeschränkte Informations- und Prüfungsrechte und Kontrollmöglichkeiten der Behörden nach § 25b Abs. 3 KWG. Nach der Erläuterung umfassen diese Rechte auch Zutritt, Zugang und Zugriff.
- AT 9 Tz. 7 j): Weisungsrechte soweit erforderlich. Diese Rechte müssen nach der Erläuterung nicht ausdrücklich vereinbart werden, wenn die Leistung hinreichend klar spezifiziert ist; das gilt auch bei Mehrmandantendienstleistern. Das Gesetz (§ 25b Abs. 3 Satz 3 KWG) nennt Weisungsrechte dennoch ausdrücklich – die Begründung des Verzichts gehört in die Akte.
- Erläuterung zu AT 9 Tz. 4: Bei wesentlichen Auslagerungen darf sich die Interne Revision nicht allein auf Zertifikate stützen.
- § 25b Abs. 4 KWG: Sind Prüfungsrechte beeinträchtigt, kann die BaFin Anordnungen treffen.
- Art. 30 Abs. 3 e) DORA: uneingeschränkte Zugangs-, Inspektions- und Auditrechte des Instituts, eines beauftragten Dritten und der Behörde, Recht auf Kopien, alternative Bestätigungsniveaus bei Rechten anderer Kunden, volle Zusammenarbeit bei Vor-Ort-Prüfungen, Angaben zu Umfang und Häufigkeit. Kleinstunternehmen können die Rechte auf einen vom Dienstleister benannten unabhängigen Dritten übertragen.
- Art. 8 Abs. 2 und 3 Delegierte Verordnung (EU) 2024/1773: eigene Audits, Sammelaudits, gepoolte Tests, Zertifizierungen und Auditberichte; längerfristig nicht nur auf Zertifizierungen verlassen; acht Voraussetzungen (a–h), darunter das vertragliche Recht auf Umfangserweiterung und auf Einzelaudits nach eigenem Ermessen.
Künftiges Recht
- EBA/GL/2026/09 Rn. 97: In allen Verträgen von CRD-Instituten ein Verweis auf die Befugnisse nach Art. 63 Abs. 1 Buchst. a BRRD und Art. 65 Abs. 3 CRD; Rn. 84 j: Verweis auf Art. 68 und 71 der Richtlinie 2014/59/EU (BRRD) und Beschreibung der „wesentlichen Pflichten“.
- Rn. 98, 99, 102–105: Zugangs- und Auditrechte bei kritischen oder wichtigen Funktionen; bei sonstigen Verträgen risikobasiert; Sammelaudits und Zertifikate unter den Voraussetzungen a–h; angemessene Vorankündigung von Vor-Ort-Prüfungen, außer in Notfällen.
Praxis-Tipp
Streiche Klauseln, die Prüfungen auf „einmal jährlich nach 60 Tagen Vorankündigung auf Kosten des Instituts“ beschränken. Solche Klauseln behindern die „tatsächliche Ausübung“ der Rechte im Sinne von Art. 30 Abs. 3 e) i) DORA.
Weiterverlagerung und Unterauftragsvergabe
Geltendes Recht
- AT 9 Tz. 7 m) und Tz. 8 MaRisk 10.0: möglichst Zustimmungsvorbehalte oder konkrete Voraussetzungen; Verträge mit Subunternehmen im Einklang mit dem Originärvertrag; Informationspflicht; das Auslagerungsunternehmen bleibt weiterhin berichtspflichtig. Tz. 11: Die Anforderungen gelten auch bei Weiterverlagerungen; Risiko langer Auslagerungsketten.
- Art. 30 Abs. 2 a) DORA und Delegierte Verordnung (EU) 2025/532 Art. 4 Abs. 1 a)–l): Verantwortung des Dienstleisters, Überwachung der Subunternehmer, Berichtspflichten, Standortrisiken, Datenstandort, Weitergabe der Pflichten, Kontinuität in der gesamten Kette, Notfallpläne und Sicherheitsstandards in den Subunternehmerverträgen, gleiche Zugangs- und Auditrechte beim Subunternehmer, Mitteilung wesentlicher Änderungen, Kündigungsrecht.
- Art. 5 der Verordnung 2025/532: wesentliche Änderungen rechtzeitig mitteilen, angemessene Frist für Zustimmung oder Widerspruch, Umsetzung erst nach Fristablauf; Art. 6: Kündigungsrecht bei Missachtung des Widerspruchs, vorzeitiger Umsetzung oder nicht erlaubter Untervergabe.
Künftiges Recht
- EBA/GL/2026/09 Rn. 87–95 übertragen diese Systematik auf Nicht-IKT-Leistungen, einschließlich ausgeschlossener Tätigkeiten (Rn. 89 a) und der Kündigungsfälle (Rn. 95).
Praxis-Tipp
Vereinbare eine Liste der zum Vertragsschluss eingesetzten Subunternehmer als Anlage und eine konkrete Widerspruchsfrist (zum Beispiel 30 Tage). Ohne Frist lässt sich weder Art. 5 der Verordnung 2025/532 noch Rn. 91 der neuen EBA-Leitlinien erfüllen.
Mehr dazu: Weiterverlagerung kritischer oder wesentlicher Funktionen
Kündigung, Übergangszeitraum und Exit
Es sind Kündigungsrechte mit angemessenen Kündigungsfristen zu vereinbaren (AT 9 Tz. 7 l) MaRisk 10.0). Für IKT-Verträge müssen die Kündigungsgründe nach Art. 28 Abs. 7 DORA abgedeckt sein; bei kritischen oder wichtigen Funktionen ist zusätzlich ein verbindlicher Übergangszeitraum zu vereinbaren (Art. 30 Abs. 3 f) DORA).
Geltendes Recht
- AT 9 Tz. 7 l) MaRisk 10.0: Kündigungsrechte und angemessene Kündigungsfristen; Erläuterung: Der Dienstleister unterstützt nach Kündigung bei der Übertragung auf einen anderen Dienstleister oder der Reintegration. Tz. 6: Handlungsoptionen und Ausstiegsstrategien.
- Art. 28 Abs. 7 DORA: Kündigungsmöglichkeit bei a) erheblichem Verstoß gegen Gesetz oder Vertrag, b) Umständen aus der Überwachung, c) Schwächen im IKT-Risikomanagement oder bei der Datensicherheit, d) wenn die Behörde das Institut nicht mehr wirksam beaufsichtigen kann.
- Art. 30 Abs. 3 f) DORA: Ausstiegsstrategien mit verbindlichem angemessenem Übergangszeitraum, in dem der Dienstleister weiterleistet und der den Wechsel oder die Reintegration ermöglicht. Art. 28 Abs. 8 DORA: Ausstieg ohne Unterbrechung, ohne Einschränkung der Regelkonformität und ohne Beeinträchtigung der Kundendienste; Ausstiegspläne getestet und regelmäßig überprüft.
- Art. 10 Delegierte Verordnung (EU) 2024/1773: dokumentierter Ausstiegsplan je Vertrag für Unterbrechung, Schlechtleistung und unerwartete Beendigung, mit Durchführungszeitplan, der zu den vertraglichen Beendigungsbedingungen passt.
Künftiges Recht
- EBA/GL/2026/09 Rn. 108 a–e: Kündigungsgründe einschließlich wesentlicher Änderungen wie Wechsel von Subunternehmern; Rn. 109: Pflichten bei Übertragung einschließlich Datenbehandlung, Übergangszeitraum und Unterstützungspflicht; Rn. 114–116: Exit-Strategien.
Praxis-Tipp
Die Kündigungsfrist des Dienstleisters muss länger sein als die realistische Dauer deines Ausstiegsplans. Prüfe diese Abhängigkeit für jeden kritischen Vertrag.
Bestandsverträge, Anzeigen und Fristen
Geltendes Recht
- § 24 Abs. 1 Nr. 19 KWG (seit 01.04.2026): unverzügliche Anzeige der Absicht und des Vollzugs wesentlicher Auslagerungen, wesentlicher Änderungen und schwerwiegender Vorfälle. Die Anzeige läuft über das MVP-Fachverfahren „Anzeige von Auslagerungen“.
- Art. 4 Abs. 2 der Delegierten Verordnung (EU) 2025/532: notwendige Vertragsanpassungen zeitnah umsetzen und den Zeitplan dokumentieren.
Künftiges Recht
- EBA/GL/2026/09 Rn. 18–21: Die Leitlinien gelten für Verträge, die ab Anwendungsbeginn geschlossen, überprüft oder geändert werden. Bestandsverträge sind zu überprüfen; ist die Überprüfung bei kritischen oder wichtigen Funktionen nicht binnen zwei Jahren abgeschlossen, informiere die Aufsicht über geplante Maßnahmen oder die Exit-Strategie. Sonstige Verträge können bei Verlängerung angepasst werden.
- Ab 01.01.2027: DORA-Verträge für neu einbezogene KWG-Institute; Ende der BAIT.
- Ab 10.07.2027: Art. 18 AMLR für die Auslagerung von GwG-Aufgaben.
Praxis-Tipp
Wesentliche Vertragsänderungen können eine Anzeige nach § 24 Abs. 1 Nr. 19 KWG auslösen. Stimme Nachträge daher mit dem zentralen Auslagerungsmanagement und dem Register ab.
Mehr dazu: Anforderungen an das Auslagerungsregister · DORA, NIS-2 und CRA in der Governance
Fahrplan für deine Vertragsprüfung
Der Fahrplan ordnet die Schritte der Vertragsprüfung den Stichtagen zu. Das Anwendungsdatum der EBA/GL/2026/09 stand zum Rechtsstand Oktober 2026 noch nicht fest; wie die BaFin die Leitlinien in ihrer Aufsichtspraxis berücksichtigt, bewertet dieser Beitrag nicht.
| Zeitraum | Schritt |
|---|---|
| bis 31.12.2026 | Vertragsbestand je Regelwerk (AT 9, DORA, beide) zuordnen; Klausel-Matrix als Prüfraster einführen |
| bis 31.12.2026 | DORA-Lücken bei neu einbezogenen Instituten schließen (Stichtag 01.01.2027) |
| 1. Halbjahr 2027 | Verträge zu kritischen oder wichtigen Funktionen nachverhandeln, Nachträge datiert und unterzeichnet ablegen |
| bis 10.07.2027 | GwG-Auslagerungen an Art. 18 AMLR spiegeln |
| ab Anwendung EBA/GL/2026/09 | Zwei-Jahres-Frist für Bestandsverträge zu kritischen oder wichtigen Funktionen überwachen; sonstige Verträge bei Verlängerung anpassen |
Quick-Check: Wie steht dein Vertragsbestand?
Selbsteinschätzung ohne JavaScript: Wähle den Zustand, der deinen Vertragsbestand am ehesten beschreibt. Die Einschätzung ersetzt keine rechtliche Prüfung.
Status: Erfüllt
Jeder Vertrag ist einem Regelwerk zugeordnet und gegen die Klausel-Matrix geprüft. Halte das Prüfraster aktuell, lege Nachträge datiert und unterzeichnet ab (Art. 8 Abs. 4 Delegierte Verordnung (EU) 2024/1773) und überwache die Zwei-Jahres-Frist für Bestandsverträge, sobald die EBA/GL/2026/09 anzuwenden sind.
Status: Teilweise
Priorisiere zuerst die Verträge zu kritischen oder wichtigen Funktionen. Schließe Lücken bei Prüfungsrechten, Weiterverlagerung und Exit, verhandle im ersten Halbjahr 2027 nach und stimme Nachträge mit dem zentralen Auslagerungsmanagement und dem Register ab.
Status: Offen
Ordne bis 31.12.2026 jeden Vertrag AT 9, DORA oder beiden Katalogen zu und führe die Klausel-Matrix als Prüfraster ein. Prüfe zuerst, ob neu einbezogene Institute zum 01.01.2027 DORA-Lücken haben.
Checkliste Auslagerungsvertrag
- Schriftform bzw. dauerhaftes, herunterladbares Format; SLA Bestandteil des Vertrags
- Leistungsbeschreibung mit Abgrenzung, Beginn und Ende
- Anwendbares Recht angegeben
- Standorte der Leistung und Daten, Vorabbenachrichtigung bei Wechsel
- Leistungsziele quantitativ und qualitativ, Berichtspflichten, Eskalation
- Datenschutz, Sicherheitsanforderungen, Zutritt und Zugriff
- Datenzugang und -rückgabe bei Insolvenz, Abwicklung und Beendigung
- Notfallkonzepte mit Testpflicht; Versicherungsnachweis, soweit zutreffend
- Prüfungsrechte für Revision, externe Prüfer und Aufsicht ohne Behinderung
- Recht auf Umfangserweiterung von Zertifikaten und auf Einzelaudits
- Weisungsrechte oder dokumentierte Begründung des Verzichts
- Weiterverlagerung: Zulässigkeit, Bedingungen, Widerspruchsfrist, gleiche Rechte beim Subunternehmer
- Kündigungsgründe nach Art. 28 Abs. 7 DORA bzw. EBA/GL/2026/09 Rn. 108, angemessene Fristen
- Übergangszeitraum und Unterstützungspflicht beim Exit
- Bei IKT: Vorfallunterstützung, TLPT-Mitwirkung, Schulungsteilnahme
- Bei Drittstaat: inländischer Zustellungsbevollmächtigter
- Bei CRD-Instituten: Verweis auf BRRD- und CRD-Befugnisse
Fazit: Kernbotschaften
- Ordne jeden Vertrag einem Regelwerk zu: AT 9 für Nicht-IKT, Art. 30 DORA für IKT-Dienstleistungen, bei gemischten Verträgen beide Kataloge mit der jeweils strengeren Anforderung.
- Nutze die Klausel-Matrix als Prüfraster. In allen Katalogen finden sich Vorgaben zu Leistungsgüte, Prüfungsrechten, Weiterverlagerung, Kündigung und Exit.
- Dokumentiere Abwägungen: den Verzicht auf ausdrückliche Weisungsrechte, die intern festgelegte Toleranz für Schlechtleistung und die Zuordnung zum Regelwerk gehören in die Vertragsakte.
- Priorisiere Bestandsverträge zu kritischen oder wichtigen Funktionen und plane Nachträge mit Datum und Unterschrift ein; die Stichtage 01.01.2027 und 10.07.2027 stehen fest, das Anwendungsdatum der EBA/GL/2026/09 steht noch aus.
Die Mindestanforderungen an Auslagerungsvereinbarungen sind damit kein einmaliges Projekt, sondern ein Prüfraster, das du bei jedem neuen Vertrag, jeder Verlängerung und jedem Nachtrag anwendest. Wer die Klauseln versteht, verhandelt sie auch: Sachkunde im Auslagerungsmanagement vermitteln die Seminare von S+P Seminare.
FAQ zu Auslagerungsverträgen
Gilt die Pflicht zur schriftlichen Vereinbarung nur für wesentliche Auslagerungen?+–
Nein. § 25b Abs. 3 Satz 3 KWG verlangt für jede Auslagerung eine schriftliche Vereinbarung. Der erweiterte Katalog von AT 9 Tz. 7 MaRisk 10.0 gilt für wesentliche Auslagerungen; Sicherheitsanforderungen gelten nach der Erläuterung für alle Auslagerungen.
Reicht ein SOC-2- oder ISO-27001-Zertifikat anstelle eigener Prüfungen?+–
Nur unter Bedingungen. Nach Art. 8 Abs. 3 der Delegierten Verordnung (EU) 2024/1773 und EBA/GL/2026/09 Rn. 103–104 darfst du dich längerfristig nicht allein darauf verlassen und musst dir vertraglich Umfangserweiterungen und Einzelaudits vorbehalten.
Muss ich Weisungsrechte immer vereinbaren?+–
Nach der Erläuterung zu AT 9 Tz. 7 nicht, wenn die Leistung hinreichend klar spezifiziert ist. Dokumentiere diese Abwägung, weil § 25b Abs. 3 Satz 3 KWG Weisungsrechte ausdrücklich nennt.
Was gilt für Cloud-Verträge?+–
Cloud-Dienste sind IKT-Dienstleistungen. Maßgeblich ist Art. 30 DORA mit den Delegierten Verordnungen 2024/1773 und 2025/532; AT 9 MaRisk ist nicht anwendbar. Art. 30 Abs. 4 DORA empfiehlt, Standardvertragsklauseln der Behörden zu erwägen.
Bis wann müssen Altverträge angepasst sein?+–
DORA-Anforderungen gelten bereits; für neu einbezogene KWG-Institute ab 01.01.2027. Für Nicht-IKT-Verträge zu kritischen oder wichtigen Funktionen läuft nach EBA/GL/2026/09 Rn. 20 eine Frist von zwei Jahren ab Anwendungsbeginn.
Muss ich Vertragsänderungen der Aufsicht anzeigen?+–
Nach § 24 Abs. 1 Nr. 19 KWG zeigst du die Absicht und den Vollzug wesentlicher Auslagerungen, wesentliche Änderungen und schwerwiegende Vorfälle unverzüglich an. Die Anzeige läuft über das MVP-Fachverfahren „Anzeige von Auslagerungen“. Stimme Nachträge deshalb mit dem zentralen Auslagerungsmanagement und dem Register ab.
Quellenverzeichnis
- Verordnung (EU) 2022/2554 (DORA), EUR-Lex – Art. 28 Abs. 7–8 und Art. 30: Kündigungsgründe, Ausstieg und Vertragsinhalte für IKT-Dienstleistungen.
- Delegierte Verordnung (EU) 2024/1773, EUR-Lex – Art. 8 und 10: Prüfmethoden, Grenzen von Zertifikaten, Vertragsänderungen und Ausstiegspläne.
- Delegierte Verordnung (EU) 2025/532, EUR-Lex – Art. 4–6: Vertragsinhalte bei Unterauftragsvergabe, Widerspruchsfrist, Kündigungsrecht.
- Verordnung (EU) 2024/1624 (AMLR), EUR-Lex – Art. 18: Auslagerung von GwG-Aufgaben ab 10.07.2027.
- Kreditwesengesetz (KWG) – § 1a, § 24 Abs. 1 Nr. 19 und § 25b Abs. 3–4: Anwendungsbereich von DORA, Anzeigepflicht, Anforderungen an Auslagerungsvereinbarungen; Gesetzestext über das amtliche Portal „Gesetze im Internet“ des Bundes abrufbar.
- EBA/GL/2026/09, Final Report on Guidelines on third-party risk management, EBA [PDF] (PDF) – Rn. 18–22 und 83–116: Übergang, Mindestinhalte, Untervergabe, Zugangs- und Auditrechte, Kündigung, Exit.
- EBA/GL/2019/02, Guidelines on outsourcing arrangements, EBA [PDF] (PDF) – Rn. 74–75: bisheriger EBA-Katalog mit 17 Mindestinhalten.
- BaFin, Rundschreiben 06/2026 (BA) – MaRisk 10.0 – AT 9 Tz. 7 und 8 mit Erläuterungen: Katalog für wesentliche Auslagerungen.
- BaFin, Register und Anzeigepflichten – Anzeigeweg über das MVP-Fachverfahren „Anzeige von Auslagerungen“.
- Deutsche Bundesbank, BAIT und DORA – Ende der BAIT mit Ablauf des 31.12.2026.
Alle Quellen abgerufen am 15.10.2026. Der Beitrag ersetzt keine Rechtsberatung.
Verwandte Leistungen und Programme
Seminare Auslagerungscontrolling
Übersicht der Seminare und Fachbeiträge zum Auslagerungsmanagement.
DORA und NIS-2 Seminare
Seminare zu den IKT-Anforderungen, die für Verträge nach Art. 30 DORA relevant sind.
Seminartermine
Aktuelle Termine der Seminare von S+P Seminare.
Weiterführend zu den Aufgaben der Rolle: Pflichten des Auslagerungsbeauftragten.
Fehlen im Haus die Kapazitäten für die Vertragsprüfung, unterstützt S+P Compliance bei der Umsetzung.
