+AT 9 Tz 7

AT 9 Tz 7

Bei wesentlichen Auslagerungen ist im in Textform dokumentierten Auslagerungsvertrag insbesondere Folgendes gemäß § 25b Abs. 3 S. 3 KWG zu vereinbaren:

  • a) Spezifizierung und ggf. Abgrenzung der vom Auslagerungsunternehmen zu erbringenden Leistung,
  • b) Datum des Beginns und ggf. des Endes der Auslagerungsvereinbarung,
  • c) sofern von deutschem Recht abweichend, das geltende Recht für die Auslagerungsvereinbarung,
  • d) Standorte (d.h. Regionen oder Länder), in denen die Durchführung der Dienstleistung erfolgt und / oder maßgebliche Daten gespeichert und verarbeitet werden, sowie die Regelung, dass das Institut benachrichtigt wird, wenn das Auslagerungsunternehmen den Standort wechselt,
  • e) vereinbarte Dienstleistungsgüte mit eindeutig festgelegten Leistungszielen,
  • f) soweit zutreffend, dass das Auslagerungsunternehmen für bestimmte Risiken einen Versicherungsnachweis vorlegen muss,
  • g) Anforderungen für die Umsetzung und Überprüfung von Notfallkonzepten,
  • h) Festlegung angemessener Informations- und Prüfungsrechte der Internen Revision sowie externer Prüfer,
  • i) Sicherstellung der uneingeschränkten Informations- und Prüfungsrechte sowie der Kontrollmöglichkeiten der gemäß § 25b Abs. 3 KWG zuständigen Behörden bezüglich der ausgelagerten Aktivitäten und Prozesse,
  • j) soweit erforderlich Weisungsrechte,
  • k) Regelungen, die sicherstellen, dass datenschutzrechtliche Bestimmungen und sonstige Sicherheitsanforderungen beachtet werden,
  • l) Kündigungsrechte und angemessene Kündigungsfristen,
  • m) Regelungen über die Möglichkeit und über die Modalitäten einer Weiterverlagerung, die sicherstellen, dass das Institut die bankaufsichtsrechtlichen Anforderungen weiterhin einhält,
  • n) Verpflichtung des Auslagerungsunternehmens, das Institut über Entwicklungen zu informieren, die die ordnungsgemäße Erledigung der ausgelagerten Aktivitäten und Prozesse beeinträchtigen können.

Erläuterung

Weisungsrechte des Instituts/Prüfungen der Internen Revision
Weisungsrechte zugunsten des Instituts müssen nicht explizit vereinbart werden, wenn die vom Auslagerungsunternehmen zu erbringende Leistung hinreichend klar im Auslagerungsvertrag spezifiziert ist. Ferner kann die Interne Revision des auslagernden Instituts unter den Voraussetzungen von Tz. 4 auf eigene Prüfungshandlungen verzichten. Diese Erleichterungen können auch bei Auslagerungen auf so genannte Mehrmandantendienstleister in Anspruch genommen werden.

Informations- und Prüfungsrechte
Informations- und Prüfungsrechte gemäß Tz. 7 g) und h) umfassen auch die für den Zutritt, Zugang oder Zugriff erforderlichen Rechte.

Eskalation bei Schlechtleistung
 Bereits bei der Vertragsanbahnung muss das Institut intern festlegen, welchen Grad einer Schlechtleistung es akzeptieren möchte.

Kündigungsrechte
 Die Auslagerungsvereinbarung sollte Regelungen enthalten, die das Auslagerungsunternehmen verpflichten, das Institut nach Kündigung bei der Übertragung der ausgelagerten Aktivität bzw. des ausgelagerten Prozesses an ein anderes Auslagerungsunternehmen oder bei der Reintegration in das Institut zu unterstützen.

Sonstige Sicherheitsanforderungen
 Regelungen zu sonstigen Sicherheitsanforderungen sollten für alle, also auch nicht wesentliche Auslagerungen, vertraglich vereinbart werden.

Zu den sonstigen Sicherheitsanforderungen zählen vor allem Zugangsbestimmungen zu Räumen und Gebäuden (z. B. bei Rechenzentren) sowie Zugriffsberechtigungen auf Softwarelösungen zum Schutz wesentlicher Daten und Informationen. Die Einhaltung dieser Anforderungen ist fortlaufend zu überwachen.

Institute sollten einen risikobasierten Ansatz betreffend den Standort der Datenspeicherung und Datenverarbeitung sowie hinsichtlich der Informationssicherheit wählen. Es ist sicherzustellen, dass auf die sich im Eigentum des Instituts befindlichen Daten im Fall einer Insolvenz, Abwicklung oder der Einstellung der Geschäftstätigkeit des Auslagerungsunternehmens zugegriffen werden kann.

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Related Standards

2. Identifizierte Anforderungen

Anforderungen

3. Related Standards

Standards
Impressum Deutsch Englisch