Auslagerungsregister: Pflichten, Inhalte und Risiken

Ein Auslagerungsregister ist für viele regulierte Unternehmen des Finanzsektors kein bloßes Verwaltungstool, sondern ein zentrales Element der Organisations- und Risikosteuerung. Es soll nachvollziehbar machen, welche Funktionen, Prozesse oder IKT-Dienstleistungen an externe Dienstleister vergeben wurden, welche Risiken damit verbunden sind und wie das Unternehmen diese Risiken überwacht.

Praktisch relevant ist das Auslagerungsregister vor allem für Banken, Finanzdienstleistungsinstitute, Wertpapierinstitute, Zahlungsinstitute, Kapitalverwaltungsgesellschaften, Versicherer und weitere beaufsichtigte Unternehmen. Die Anforderungen ergeben sich nicht aus einer einzigen Vorschrift, sondern aus einem Zusammenspiel von europäischem Aufsichtsrecht, nationalen Organisationspflichten, BaFin-Verwaltungspraxis, MaRisk, sektorspezifischen Vorgaben und seit dem 17. Januar 2025 besonders aus DORA für IKT-Drittparteirisiken.

Die rechtliche Bewertung hängt stark davon ab, welche Art von Auslagerung vorliegt, ob kritische oder wichtige Funktionen betroffen sind und ob es sich um IKT-Leistungen handelt. Fehler im Register können aufsichtsrechtliche Feststellungen, Nachbesserungspflichten, Prüfungsrisiken und Managementhaftung auslösen. Der Beitrag ordnet die Pflichten ein und zeigt, welche Inhalte, Nachweise und Prozesse in der Praxis typischerweise erforderlich sind.

Inhaltsverzeichnis

1. Was ist ein Auslagerungsregister?
2. Gesetzliche Grundlagen: MaRisk, DORA und sektorale Vorgaben
3. Auslagerungsregister, Informationsregister und Dienstleisterverzeichnis: die Abgrenzung
4. Welche Inhalte gehören in ein Auslagerungsregister?
5. Praxisrelevante Fallkonstellationen und typische Streitpunkte
6. Risiken, Haftung und typische Fehler beim Auslagerungsregister
7. Fristen, Aktualisierungspflichten und Verjährung
8. Beweisfragen und Dokumentation: Was muss im Ernstfall nachweisbar sein?
9. Handlungsschritte: Auslagerungsregister rechtssicher aufbauen und pflegen
10. Organisatorische Umsetzung im Unternehmen
11. FAQ zum Auslagerungsregister
12. Fazit: Auslagerungsregister als Steuerungsinstrument, nicht nur als Pflichtliste

Was ist ein Auslagerungsregister?

Ein Auslagerungsregister ist eine strukturierte Übersicht über Auslagerungsvereinbarungen und, je nach Anwendungsbereich, über IKT-Drittdienstleistungsbeziehungen. Es dient dazu, ausgelagerte Funktionen, betroffene Geschäftsbereiche, Dienstleister, Vertragsdaten, Risiken, Kontrollrechte, Subdienstleister und Zuständigkeiten nachvollziehbar zu dokumentieren.

Der Begriff wird in der Praxis nicht immer einheitlich verwendet. Teilweise ist damit das Register nach MaRisk oder nach den EBA-Leitlinien zu Auslagerungen gemeint. Teilweise wird darunter das Informationsregister nach DORA verstanden, das alle vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen durch IKT-Drittdienstleister erfassen muss. In vielen Unternehmen bestehen beide Perspektiven nebeneinander oder werden in einem integrierten Tool zusammengeführt.

Der Zweck ist in beiden Fällen ähnlich: Geschäftsleitung, Compliance, Risikomanagement, interne Revision und Aufsicht sollen schnell erkennen können, welche Abhängigkeiten bestehen. Das Register soll nicht erst im Krisenfall erstellt werden, sondern laufend aktuell sein. Nur dann kann es bei Prüfungen, Anzeigen gegenüber der Aufsicht, Exit-Planungen oder bei der Bewertung von Konzentrationsrisiken belastbar eingesetzt werden.

Grundsätzlich geht es nicht darum, jeden Einkaufsvorgang rechtlich aufzublähen. Ein Auslagerungsregister muss vielmehr sachgerecht unterscheiden: Welche Leistung ist eine Auslagerung? Welche Leistung ist nur ein sonstiger Fremdbezug? Welche IKT-Leistung fällt unter DORA? Welche Funktion ist kritisch oder wichtig? Diese Einordnung ist rechtlich anspruchsvoll, weil dieselbe Dienstleistung je nach Geschäftsmodell unterschiedlich bewertet werden kann.

Ein einfaches Beispiel zeigt die Bedeutung: Nutzt ein Zahlungsinstitut einen externen Cloud-Anbieter für produktive Transaktionsdaten, ist dies regelmäßig wesentlich anders zu bewerten als der einmalige Bezug von Standard-Büromaterial. Beide Vorgänge haben externe Vertragspartner, aber nur einer kann erhebliche operationelle, regulatorische und datenschutzrechtliche Risiken begründen. Das Auslagerungsregister soll diese Unterschiede sichtbar machen.

Gesetzliche Grundlagen: MaRisk, DORA und sektorale Vorgaben

Die gesetzlichen Grundlagen des Auslagerungsregisters ergeben sich aus mehreren Regelungsebenen. Für Kreditinstitute sind insbesondere § 25a KWG zu ordnungsgemäßer Geschäftsorganisation und § 25b KWG zu Auslagerungen relevant. Für Wertpapierinstitute, Zahlungsinstitute, E-Geld-Institute, Versicherer oder Kapitalverwaltungsgesellschaften bestehen vergleichbare, aber nicht deckungsgleiche Anforderungen in ihren jeweiligen Spezialgesetzen und Aufsichtsregimen.

Die MaRisk konkretisieren für Banken und bestimmte Finanzdienstleister die Anforderungen an das Risikomanagement. In AT 9 werden Auslagerungen behandelt. Danach müssen Institute angemessene Prozesse zur Identifikation, Bewertung, Steuerung, Überwachung und Dokumentation von Auslagerungen vorhalten. Dazu gehört in der Praxis ein zentrales Auslagerungsregister, das wesentliche Informationen zu Auslagerungen enthält und aktuell gehalten wird.

Ergänzend prägen europäische Leitlinien, insbesondere die EBA-Leitlinien zu Auslagerungen, die Erwartung der Aufsicht. Diese verlangen ein Register sämtlicher Auslagerungsvereinbarungen, wobei für Auslagerungen kritischer oder wichtiger Funktionen zusätzliche Informationen erforderlich sind. Auch wenn Leitlinien formal anders wirken als unmittelbar geltende Verordnungen, entfalten sie über Aufsichts- und Prüfungspraxis erhebliche Bedeutung.

Seit dem 17. Januar 2025 ist zudem die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor, kurz DORA, unmittelbar anwendbar. DORA verpflichtet Finanzunternehmen unter anderem dazu, ein Informationsregister über alle vertraglichen Vereinbarungen zur Nutzung von IKT-Dienstleistungen durch IKT-Drittdienstleister zu führen. Dieses Register ist nach standardisierten Vorgaben aufzubauen und der zuständigen Aufsichtsbehörde auf Verlangen vorzulegen.

DORA ersetzt nicht alle bisherigen Auslagerungsanforderungen. Vielmehr überlagert DORA die bestehenden Pflichten für IKT-bezogene Dienstleistungen. Nicht-IKT-Auslagerungen bleiben weiterhin nach den jeweiligen nationalen und sektoralen Vorgaben zu beurteilen. Unternehmen müssen daher vermeiden, das DORA-Informationsregister isoliert zu betrachten. In der Praxis ist entscheidend, dass Datenmodell, Verantwortlichkeiten und Bewertungslogik zueinander passen.

Rechtsunsicherheiten entstehen häufig an den Schnittstellen. Eine Personalabrechnung durch einen externen Dienstleister kann etwa datenschutzrechtlich sensibel sein, aber nicht zwingend eine kritische IKT-Dienstleistung darstellen. Ein Kernbankensystem in der Cloud kann dagegen zugleich Auslagerung, IKT-Drittdienstleistung, Verarbeitung personenbezogener Daten und potenziell kritische Funktion betreffen. Das Register muss diese Mehrdimensionalität abbilden.

Auslagerungsregister, Informationsregister und Dienstleisterverzeichnis: die Abgrenzung

In vielen Unternehmen existieren mehrere Listen: ein Lieferantenverzeichnis, ein Vertragskataster, ein Datenschutz-Verzeichnis, ein IKT-Asset-Register, ein Cloud-Register und ein Auslagerungsregister. Diese Überschneidungen sind organisatorisch nachvollziehbar, können aber rechtlich problematisch werden, wenn die Informationen voneinander abweichen oder keine eindeutige Systemführerschaft besteht.

Ein Auslagerungsregister ist mehr als ein Einkaufsregister. Es dokumentiert nicht nur, wer Vertragspartner ist und wann ein Vertrag endet. Es enthält auch aufsichtsrechtliche Bewertungen: Handelt es sich um eine Auslagerung? Ist die Funktion kritisch oder wichtig? Welche Risikobewertung liegt vor? Welche Kontroll-, Prüfungs- und Weisungsrechte bestehen? Gibt es Subauslagerungen? Welche Exit-Strategie ist vorgesehen?

Das DORA-Informationsregister ist ebenfalls kein bloßes IT-Inventar. Es erfasst vertragliche Vereinbarungen über IKT-Dienstleistungen. Dabei können auch Leistungen relevant sein, die nach klassischem Auslagerungsrecht nicht als Auslagerung eingestuft werden. Umgekehrt können nicht-digitale Auslagerungen außerhalb des DORA-Registers liegen, aber weiterhin im allgemeinen Auslagerungsregister zu führen sein.

Die folgende Gegenüberstellung zeigt typische Unterschiede. Sie ersetzt keine Einzelfallprüfung, verdeutlicht aber, warum Unternehmen ihre Registerarchitektur bewusst gestalten sollten.

Für die Praxis ist nicht zwingend entscheidend, dass jedes Register technisch getrennt geführt wird. Zulässig und oft sinnvoll kann ein integrierter Datenbestand sein, wenn die jeweiligen Pflichtangaben vollständig, nachvollziehbar und auswertbar sind. Problematisch wird es, wenn ein Unternehmen zwar viele Listen besitzt, aber keine verbindliche Quelle für die aufsichtsrechtliche Auslagerungsbewertung benennen kann.

Besonders fehleranfällig ist die Abgrenzung zwischen Auslagerung und sonstigem Fremdbezug. Eine Auslagerung liegt typischerweise vor, wenn ein Dienstleister eine Tätigkeit übernimmt, die das Unternehmen ansonsten selbst erbringen würde und die für die Durchführung seiner Geschäftstätigkeit relevant ist. Reiner Warenbezug, allgemeine Infrastrukturleistungen oder standardisierte Hilfsleistungen können anders zu beurteilen sein. Allerdings kann auch eine scheinbar unterstützende Leistung kritisch werden, wenn sie für die Geschäftskontinuität unverzichtbar ist.

Welche Inhalte gehören in ein Auslagerungsregister?

Der genaue Inhalt eines Auslagerungsregisters hängt vom anwendbaren Regelungsrahmen ab. Ein Kreditinstitut mit cloudbasiertem Kernbanksystem hat andere Detailanforderungen als ein kleiner Finanzdienstleister mit wenigen standardisierten Auslagerungen. Gleichwohl haben sich bestimmte Informationskategorien etabliert, die in Prüfungen regelmäßig erwartet werden.

Zu den Grunddaten gehören Angaben zum Dienstleister, zur Vertragsbeziehung, zur betroffenen Leistung, zum verantwortlichen Fachbereich und zum internen Auslagerungsbeauftragten oder Service Owner. Diese Daten müssen so präzise sein, dass die Vereinbarung eindeutig identifiziert werden kann. Unklare Bezeichnungen wie „IT-Support Vertrag“ reichen häufig nicht aus, wenn mehrere Leistungen, Gesellschaften oder Standorte betroffen sind.

Ebenso wichtig ist die aufsichtsrechtliche Bewertung. Das Register sollte erkennbar machen, ob eine Auslagerung vorliegt, ob sie wesentlich beziehungsweise kritisch oder wichtig ist und auf welcher Grundlage diese Einschätzung beruht. Eine bloße Ja/Nein-Spalte ohne dokumentierte Begründung ist in der Praxis anfällig. Aufsicht und interne Revision erwarten regelmäßig, dass die Kritikalität aus nachvollziehbaren Kriterien abgeleitet wurde.

Für IKT-Dienstleistungen sind zusätzliche Angaben relevant. Dazu zählen die Art der IKT-Leistung, unterstützte Geschäftsprozesse, Datenarten, Standorte der Datenverarbeitung, Unterauftragnehmer, Cloud-Modell, Sicherheitsanforderungen, Verfügbarkeitsziele, Vorfallmanagement, Exit-Vorkehrungen und vertragliche Zugangs-, Informations- und Prüfungsrechte. DORA verlangt insoweit eine deutlich standardisierte und auswertbare Dokumentation.

Typische Inhalte eines belastbaren Auslagerungsregisters sind insbesondere:

• Name, Rechtsform, Sitz und Identifikationsdaten des Dienstleisters, soweit verfügbar etwa LEI oder Registerangaben
• Beschreibung der ausgelagerten Funktion oder IKT-Dienstleistung einschließlich betroffener Geschäftsprozesse
• interner Verantwortlicher, Fachbereich, Risiko Owner und Eskalationskontakt
• Beginn, Laufzeit, Kündigungsfristen, Verlängerungsmechanismen und wichtige Vertragsänderungen
• Einstufung als Auslagerung, sonstiger Fremdbezug, IKT-Dienstleistung oder Kombination hiervon
• Bewertung, ob eine kritische oder wichtige Funktion betroffen ist
• Ergebnisse der Risikoanalyse, Due-Diligence-Prüfung und laufenden Überwachung
• Angaben zu Subauslagerungen, Unterauftragnehmern und Weiterverlagerungsketten
• Standorte der Leistungserbringung, Datenverarbeitung und Datenspeicherung
• vertragliche Kontroll-, Zugangs-, Informations-, Weisungs- und Prüfungsrechte
• Service-Level, Notfallkonzepte, Exit-Strategien und getestete Übergabemaßnahmen
• Datum der letzten Überprüfung und Termin der nächsten planmäßigen Aktualisierung

Diese Liste ist nicht abschließend. Sie zeigt aber, dass das Register nur dann seinen Zweck erfüllt, wenn es fachliche, rechtliche, technische und vertragliche Informationen verbindet. Gerade bei Konzernen ist außerdem zu klären, ob gruppenweite Dienstleister, konzerninterne Auslagerungen und Shared-Service-Strukturen vollständig abgebildet werden. Konzerninterne Leistungen sind nicht automatisch risikolos und können aufsichtsrechtlich ebenfalls als Auslagerung einzuordnen sein.

Praxisrelevante Fallkonstellationen und typische Streitpunkte

Die meisten Konflikte rund um das Auslagerungsregister entstehen nicht bei eindeutig wesentlichen Auslagerungen, sondern bei Grenzfällen. Unternehmen fragen sich häufig, ob eine Leistung überhaupt einzutragen ist, wie detailliert die Dokumentation sein muss und wer die Einordnung verantwortet. Gerade bei schnell beschafften SaaS-Lösungen, konzerninternen Services und spezialisierten FinTech-Dienstleistungen besteht das Risiko, dass die rechtliche Bewertung dem operativen Einkauf hinterherläuft.

Ein häufiger Fall ist die Nutzung von Cloud-Infrastruktur. Wird eine Anwendung betrieben, die produktive Kundendaten, Transaktionsdaten oder aufsichtsrechtlich relevante Prozesse unterstützt, spricht vieles dafür, dass die Dienstleistung im DORA-Informationsregister zu erfassen ist. Je nach Funktion kann zusätzlich eine Auslagerung kritischer oder wichtiger Funktionen vorliegen. Die rechtliche Bewertung hängt jedoch davon ab, welche konkreten Prozesse unterstützt werden, welche Daten betroffen sind und welche Ausweichmöglichkeiten bestehen.

Ein zweites Beispiel betrifft Software-as-a-Service im Compliance- oder Risikomanagement. Ein Tool zur Sanktionslistenprüfung, Geldwäscheprävention oder Risikoanalyse kann für ein beaufsichtigtes Unternehmen erheblich sein. Wird es falsch als bloße Standardsoftware behandelt, fehlen möglicherweise Risikoanalyse, Vertragsprüfung, Prüfungsrechte und Exit-Konzept. Umgekehrt muss nicht jede einfache Bürosoftware als kritische Auslagerung eingestuft werden. Entscheidend ist die Funktion im Geschäftsmodell.

Auch konzerninterne Auslagerungen werden unterschätzt. Wenn eine Muttergesellschaft IT-Betrieb, Buchhaltung, Personalverwaltung oder Meldewesen für mehrere regulierte Tochtergesellschaften übernimmt, kann eine aufsichtsrechtlich relevante Auslagerung vorliegen. Der Umstand, dass der Dienstleister zur Gruppe gehört, ersetzt weder Vertrag noch Risikoanalyse. Vielmehr müssen Verantwortlichkeiten, Leistungsumfang, Kontrollrechte und Notfallmaßnahmen ebenfalls dokumentiert werden.

Weitere typische Fallgruppen sind:

• Auslagerung von Callcenter-Leistungen mit Zugriff auf Kundendaten und Beschwerdeprozesse
• externe Abwicklung von Zahlungsverkehrs-, Wertpapier- oder Kreditprozessen
• Managed Security Services, Security Operations Center und Incident-Response-Dienstleister
• externe Datenanalyse, Scoring, KI-gestützte Entscheidungshilfen oder Modellvalidierung
• Auslagerung von Meldewesen, Rechnungswesen oder aufsichtsrechtlichem Reporting
• Rechenzentrumsleistungen, Hosting, Backup, Disaster Recovery und Archivierung
• Outsourcing an Dienstleister außerhalb der EU oder mit Subdienstleistern in Drittstaaten

Streitpunkte entstehen auch zwischen Fachabteilungen. Der Einkauf betrachtet die Leistung oft primär wirtschaftlich. Die IT prüft Sicherheit und technische Integration. Datenschutz bewertet personenbezogene Daten. Compliance und Risikomanagement müssen die aufsichtsrechtliche Einordnung vornehmen. Ohne klaren Prozess kann dieselbe Dienstleistung in verschiedenen Systemen unterschiedlich bewertet werden. Das erschwert Prüfungen und kann dazu führen, dass wichtige Fristen oder Anzeigevorgaben übersehen werden.

Risiken, Haftung und typische Fehler beim Auslagerungsregister

Ein unvollständiges oder fehlerhaftes Auslagerungsregister kann erhebliche Folgen haben. Zunächst drohen aufsichtsrechtliche Beanstandungen. Die BaFin oder eine andere zuständige Behörde kann im Rahmen von Prüfungen, Sonderprüfungen oder Auskunftsverlangen feststellen, dass die Organisation des Auslagerungsmanagements nicht angemessen ist. Je nach Schwere können Nachbesserungsverlangen, zusätzliche Berichtspflichten, organisatorische Maßnahmen oder weitere aufsichtsrechtliche Schritte folgen.

Daneben bestehen interne Haftungsrisiken. Geschäftsleiter müssen für eine ordnungsgemäße Geschäftsorganisation sorgen. Wird eine kritische Dienstleisterabhängigkeit nicht erkannt, können Ausfälle, Datenschutzverletzungen, Meldeversäumnisse oder Vertragsprobleme entstehen. Ob daraus persönliche Haftung folgt, hängt vom Einzelfall ab, insbesondere von Pflichtverletzung, Verschulden, Schaden und Kausalität. Ein aktuelles und nachvollziehbares Register kann jedoch zeigen, dass Risiken strukturiert erfasst und gesteuert wurden.

Auch zivilrechtlich kann ein mangelhafter Überblick schaden. Wenn Kündigungsfristen, Subdienstleister, Leistungsorte oder Exit-Rechte nicht bekannt sind, wird es schwieriger, Ansprüche gegen Dienstleister geltend zu machen oder in einer Krise handlungsfähig zu bleiben. Bei IKT-Ausfällen zählt nicht nur die technische Wiederherstellung, sondern auch die vertragliche und regulatorische Steuerung.

Typische Fehler sind insbesondere:

• das Register wird nur einmalig für eine Prüfung erstellt und danach nicht gepflegt
• Cloud-, SaaS- und Plattformdienste werden als normale IT-Beschaffung behandelt
• konzerninterne Dienstleistungen fehlen oder werden ohne Begründung als risikolos eingestuft
• die Kritikalität wird nicht dokumentiert oder beruht auf uneinheitlichen Kriterien
• Subauslagerungen und Unterauftragnehmerketten werden nicht erfasst
• Vertragsänderungen, neue Standorte oder neue Datenverarbeitungen werden nicht nachgezogen
• Registerdaten stimmen nicht mit Verträgen, Datenschutzunterlagen oder IT-Inventaren überein
• Exit-Pläne bestehen nur abstrakt und wurden nicht auf Umsetzbarkeit geprüft
• Verantwortlichkeiten zwischen Einkauf, IT, Compliance und Risikomanagement sind ungeklärt

Besonders kritisch sind Widersprüche zwischen Register und Vertrag. Wenn das Register etwa ein umfassendes Prüfungsrecht ausweist, der Vertrag aber nur eingeschränkte Auditmöglichkeiten vorsieht, wird die Dokumentation in einer Prüfung angreifbar. Gleiches gilt, wenn das Register EU-Datenstandorte angibt, die tatsächliche Subdienstleisterstruktur aber Datenzugriffe aus Drittstaaten zulässt.

Ein weiteres Risiko liegt in zu pauschalen Einstufungen. Manche Unternehmen kennzeichnen alle externen IT-Leistungen vorsorglich als kritisch, um nichts zu übersehen. Das kann zwar kurzfristig defensiv wirken, führt aber zu unklarer Priorisierung und erhöhtem Kontrollaufwand. Andere Unternehmen stufen zu restriktiv ein und erfassen nur offenkundige Kernprozesse. Rechtlich tragfähig ist meist nur ein risikobasierter, dokumentierter und konsistent angewandter Bewertungsprozess.

Fristen, Aktualisierungspflichten und Verjährung

Ein Auslagerungsregister ist kein statisches Archiv. Es muss grundsätzlich laufend aktuell gehalten werden. Die konkrete Aktualisierungsfrequenz ergibt sich aus dem jeweiligen Aufsichtsregime, dem internen Kontrollsystem und der Risikobedeutung der Auslagerung. Bei kritischen oder wichtigen Funktionen reicht eine gelegentliche Sichtung meist nicht aus. Vertragsänderungen, neue Subdienstleister, Standortwechsel, geänderte Datenarten oder neue Leistungsbestandteile sollten zeitnah eingetragen und bewertet werden.

DORA ist seit dem 17. Januar 2025 anwendbar. Finanzunternehmen, die unter DORA fallen, müssen seither insbesondere ihr IKT-Drittparteirisikomanagement und das Informationsregister nach den einschlägigen Vorgaben ausrichten. Für bestehende Verträge bedeutet dies nicht automatisch, dass jeder Vertrag sofort unwirksam wäre. Praktisch besteht aber die Pflicht, bestehende IKT-Dienstleistungsverhältnisse zu erfassen, Lücken zu identifizieren und die Anforderungen risikoorientiert umzusetzen. Aufsichtliche Übergangs- oder Erwartungshaltungen können je nach Sektor und Veröffentlichung konkretisiert sein.

Für bestimmte Auslagerungen bestehen zudem Anzeige- oder Informationspflichten gegenüber der Aufsicht. Nach nationalem Recht können wesentliche Auslagerungen, erhebliche Änderungen oder schwerwiegende Vorfälle anzeigepflichtig sein. Ob eine Anzeige erforderlich ist, hängt vom betroffenen Institutstyp, der ausgelagerten Funktion und der konkreten Vorschrift ab. Das Auslagerungsregister sollte so geführt werden, dass potenzielle Anzeigepflichten rechtzeitig erkannt werden.

Auch Kündigungs- und Verlängerungsfristen sind rechtlich bedeutsam. Ein Register, das diese Fristen nicht enthält oder nicht überwacht, kann dazu führen, dass problematische Verträge automatisch verlängert werden. Gerade bei Cloud- oder Kernsystemen kann ein später Wechsel erhebliche Vorlaufzeiten erfordern. Deshalb sollten vertragliche Fristen mit Exit-Planung, Budgetplanung und Risikobewertung verknüpft werden.

Die zivilrechtliche Verjährung betrifft vor allem Ansprüche aus Dienstleistungsverträgen, Pflichtverletzungen oder Schadensfällen. Regelmäßig gilt die dreijährige Regelverjährung nach §§ 195, 199 BGB, beginnend mit dem Schluss des Jahres, in dem Anspruch und Kenntnis vorliegen. Je nach Anspruchsgrundlage, Vertrag, deliktischer Komponente oder spezialgesetzlicher Regelung können andere Fristen gelten. Für aufsichtsrechtliche Dokumentationspflichten ist die zivilrechtliche Verjährung jedoch nicht der alleinige Maßstab.

In der Praxis sollten Unternehmen Aufbewahrungs- und Löschkonzepte definieren. Verträge, Risikoanalysen, Prüfberichte, Freigaben und Korrespondenz sollten mindestens so lange verfügbar bleiben, wie sie für Aufsicht, interne Revision, Ansprüche, steuerliche oder handelsrechtliche Zwecke erforderlich sind. Gleichzeitig sind Datenschutz und Zugriffsbeschränkungen zu beachten. Ein Register darf nicht unkontrolliert personenbezogene oder sicherheitskritische Informationen offenlegen.

Beweisfragen und Dokumentation: Was muss im Ernstfall nachweisbar sein?

In aufsichtsrechtlichen Prüfungen geht es selten um Beweislast im klassischen Zivilprozess. Entscheidend ist vielmehr, ob das Unternehmen seine ordnungsgemäße Organisation plausibel und dokumentiert darlegen kann. Wer eine Auslagerung als nicht kritisch einstuft, sollte zeigen können, nach welchen Kriterien diese Entscheidung getroffen wurde. Wer einen Dienstleister akzeptiert, sollte die Due Diligence, Vertragsprüfung und Risikobewertung nachvollziehbar dokumentieren.

Das Auslagerungsregister ist dabei ein Ausgangspunkt, aber nicht der einzige Nachweis. Es muss mit den zugrunde liegenden Verträgen, Beschlüssen, Risikoanalysen, Sicherheitsunterlagen, Datenschutzdokumenten und Kontrollberichten zusammenpassen. Widersprüche zwischen diesen Dokumenten sind häufig prüfungsrelevant. Wenn etwa die Risikoanalyse von einer hohen Kritikalität ausgeht, das Register aber „nicht wesentlich“ ausweist, entsteht Erklärungsbedarf.

Benötigte Nachweise können insbesondere sein:

• vollständige Verträge, Leistungsbeschreibungen, Nachträge und Service-Level-Vereinbarungen
• Auslagerungs- oder IKT-Risikoanalyse mit Bewertungsmethodik und Freigabedatum
• Due-Diligence-Unterlagen zum Dienstleister, etwa Bonität, Sicherheit, Organisation und Erfahrung
• Datenschutzunterlagen, Auftragsverarbeitungsverträge und Angaben zu Drittstaatentransfers
• Nachweise über Informationssicherheitsprüfungen, Zertifikate, Auditberichte oder Penetrationstests
• Genehmigungen, Managemententscheidungen und Protokolle zuständiger Gremien
• Dokumentation von Subauslagerungen, Zustimmungen und Änderungsmitteilungen
• laufende Kontrollberichte, SLA-Auswertungen, Vorfallmeldungen und Maßnahmenverfolgung
• Exit-Strategien, Migrationspläne, Notfalltests und Wiederanlaufkonzepte

Für die Dokumentation ist ein nachvollziehbarer Versionsstand wichtig. Registereinträge sollten erkennen lassen, wann sie erstellt, geprüft und geändert wurden. Bei wesentlichen Änderungen sollte dokumentiert werden, wer die Änderung freigegeben hat und welche Bewertung zugrunde lag. Dies gilt besonders bei Hochrisikodienstleistungen, Subdienstleisterwechseln, neuen Datenstandorten oder erheblichen Vertragsänderungen.

Unternehmen sollten außerdem darauf achten, dass vertrauliche Informationen im Register angemessen geschützt werden. Es enthält häufig sicherheitsrelevante Angaben zu IT-Architektur, Dienstleisterketten und kritischen Funktionen. Daher sind Rollen- und Berechtigungskonzepte erforderlich. Ein Register, das zwar vollständig, aber unkontrolliert zugänglich ist, kann selbst ein operationelles Risiko darstellen.

Handlungsschritte: Auslagerungsregister rechtssicher aufbauen und pflegen

Ein belastbares Auslagerungsregister entsteht nicht allein durch eine Tabellenstruktur. Entscheidend ist ein Prozess, der neue Dienstleistungsbeziehungen früh erkennt, rechtlich einordnet, fachlich bewertet und über den gesamten Vertragslebenszyklus begleitet. Besonders wichtig ist die Verzahnung von Einkauf, IT, Datenschutz, Informationssicherheit, Compliance, Risikomanagement, Rechtsabteilung und Fachbereich.

Für viele Unternehmen empfiehlt sich zunächst eine Bestandsaufnahme. Dabei werden bestehende Verträge, Lieferantenlisten, IT-Systeme, Datenschutzunterlagen und Rechnungsdaten abgeglichen. Diese Phase zeigt regelmäßig, dass operative Dienstleistungsverhältnisse existieren, die bisher nicht im Auslagerungsregister stehen. Das ist nicht ungewöhnlich, sollte aber strukturiert bereinigt werden.

Praktisch bewährt haben sich folgende Schritte:

1. Anwendungsbereich klären: Bestimmen Sie, welche Gesellschaften, Geschäftsbereiche und aufsichtsrechtlichen Regime betroffen sind. DORA, MaRisk, KWG, VAG, WpIG, ZAG oder KAGB können unterschiedliche Anforderungen auslösen.
2. Begriffe und Kriterien festlegen: Definieren Sie intern, wann eine Auslagerung, ein sonstiger Fremdbezug, eine IKT-Dienstleistung und eine kritische oder wichtige Funktion vorliegt. Die Kriterien sollten dokumentiert und einheitlich anwendbar sein.
3. Vertragsbestand erfassen: Sammeln Sie bestehende Dienstleistungs-, Cloud-, Software-, Betriebs-, Beratungs- und Konzernserviceverträge. Halten Sie den Erfassungsstichtag fest, damit später nachvollziehbar bleibt, welche Unterlagen geprüft wurden.
4. Fristen prüfen: Erfassen Sie Vertragslaufzeiten, Kündigungsfristen, automatische Verlängerungen, Prüftermine und nächste Risiko-Reviews. Kritische Fristen sollten in ein Überwachungssystem mit Eskalationslogik übernommen werden.
5. Risikobewertung durchführen: Bewerten Sie Kritikalität, Datenbezug, Subdienstleister, Konzentrationsrisiken, Standortfragen, Informationssicherheit, Notfallfähigkeit und Abhängigkeit vom Dienstleister. Die Begründung sollte im Register oder in verknüpften Unterlagen auffindbar sein.
6. Verträge gegen Pflichtanforderungen prüfen: Kontrollieren Sie insbesondere Zugangs-, Informations-, Prüfungs-, Weisungs-, Kündigungs-, Exit- und Subauslagerungsklauseln. Lücken sollten priorisiert und, soweit möglich, vertraglich nachverhandelt werden.
7. DORA-Datenfelder integrieren: Für IKT-Dienstleistungen sollten die erforderlichen Angaben des Informationsregisters strukturiert erfasst werden. Dazu gehören unter anderem unterstützte Funktionen, IKT-Leistungsart, Dienstleisterdaten, Standorte und Subdienstleister.
8. Dokumentationsnachweise verknüpfen: Hinterlegen oder referenzieren Sie Risikoanalysen, Freigaben, Auditberichte, Datenschutzunterlagen, SLA-Auswertungen und Exit-Pläne. Der Ablageort sollte eindeutig sein, damit Prüfungsanfragen kurzfristig beantwortet werden können.
9. Änderungsprozess einführen: Stellen Sie sicher, dass neue Verträge, Nachträge, Subdienstleisterwechsel, Standortänderungen und Leistungsänderungen vor Umsetzung geprüft werden. Der Prozess sollte Fristen für Aktualisierung und Freigabe enthalten.
10. Regelmäßige Reviews planen: Legen Sie risikobasierte Überprüfungsintervalle fest. Kritische oder wichtige Funktionen sollten häufiger überprüft werden als einfache Unterstützungsleistungen. Ergebnisse und Maßnahmen sind zu dokumentieren.
11. Kontrollen und Verantwortlichkeiten festlegen: Benennen Sie Datenverantwortliche, fachliche Owner, Kontrollinstanzen und Eskalationswege. Ohne klare Zuständigkeit verliert ein Register schnell an Qualität.
12. Prüfungssimulation durchführen: Testen Sie, ob das Unternehmen auf eine Aufsichts- oder Revisionsanfrage kurzfristig vollständige und widerspruchsfreie Informationen liefern kann. Festgestellte Lücken sollten in einem Maßnahmenplan nachverfolgt werden.

Die Umsetzung sollte risikoorientiert priorisiert werden. Hochkritische IKT-Dienstleister, Kernprozesse, Datenverarbeitungen mit hohem Schutzbedarf und Verträge mit kurzer Kündigungs- oder Nachverhandlungsfrist sollten zuerst geprüft werden. Weniger risikobehaftete Leistungen können anschließend systematisch bereinigt werden. Entscheidend ist, dass das Unternehmen einen nachvollziehbaren Plan verfolgt und Fortschritte dokumentiert.

Bei neuen Beschaffungen sollte die Auslagerungsprüfung nicht erst nach Vertragsunterzeichnung stattfinden. Sinnvoll ist ein Intake-Prozess, der bereits vor Bestellung abfragt, ob IKT-Leistungen, personenbezogene Daten, kritische Funktionen oder Subdienstleister betroffen sind. So lassen sich Vertragsklauseln, Meldepflichten und Registerdaten rechtzeitig berücksichtigen.

Organisatorische Umsetzung im Unternehmen

Die Qualität eines Auslagerungsregisters hängt wesentlich von der organisatorischen Verankerung ab. Ein Register, das allein in der Compliance-Abteilung geführt wird, aber keine Anbindung an Einkauf und IT hat, bleibt häufig unvollständig. Umgekehrt kann ein rein technisches Tool die aufsichtsrechtliche Bewertung nicht ersetzen. Es braucht ein Rollenmodell, das fachliche, rechtliche und technische Verantwortung verbindet.

Die Geschäftsleitung trägt grundsätzlich die Gesamtverantwortung für eine ordnungsgemäße Organisation. Sie muss nicht jeden Registereintrag persönlich prüfen, aber ein angemessenes Auslagerungsmanagement einrichten, Zuständigkeiten definieren und sicherstellen, dass wesentliche Risiken berichtet werden. Bei kritischen oder wichtigen Auslagerungen ist zudem eine angemessene Einbindung von Risikomanagement, Compliance und interner Revision erforderlich.

In der Praxis kann eine zentrale Stelle das Register administrieren. Die fachliche Verantwortung für einzelne Auslagerungen sollte jedoch beim jeweiligen Service Owner liegen. Dieser kennt Leistungsumfang, operative Risiken, Dienstleisterkommunikation und Änderungen. Compliance oder Recht prüfen die aufsichtsrechtliche Einordnung und Vertragsanforderungen. IT-Sicherheit bewertet technische und sicherheitsbezogene Risiken. Datenschutz prüft personenbezogene Daten und Auftragsverarbeitung.

Ein wirksames Governance-Modell umfasst typischerweise:

• eine Auslagerungsrichtlinie mit Definitionen, Prozessschritten und Eskalationswegen
• einen verbindlichen Beschaffungsprozess mit Auslagerungs- und DORA-Prüfung
• ein zentrales Register mit Datenqualitätskontrollen und Änderungsprotokoll
• regelmäßige Berichte an Geschäftsleitung oder zuständige Gremien
• Kontrollhandlungen durch Compliance, Risikomanagement und interne Revision
• Schulungen für Einkauf, Fachbereiche, IT und Vertragsverantwortliche
• Maßnahmenmanagement bei Lücken, Vertragsdefiziten oder Prüfungsfeststellungen

Technisch kann das Register in spezialisierten Governance-, Risk- und Compliance-Systemen, Vertragsmanagementtools oder strukturierten Datenbanken geführt werden. Eine einfache Tabellenlösung kann für kleinere Unternehmen vorübergehend ausreichen, wenn Datenqualität, Zugriffsschutz, Versionierung und Auswertbarkeit gewährleistet sind. Bei komplexen Dienstleisterketten, Konzernstrukturen oder umfangreichen DORA-Meldeanforderungen stößt eine einfache Tabelle jedoch schnell an Grenzen.

Wichtig ist auch die Abstimmung mit Outsourcing-Policy, Informationssicherheitsmanagement, Business Continuity Management und Datenschutzorganisation. Diese Bereiche greifen ineinander. Ein Exit-Plan ist beispielsweise nur dann belastbar, wenn technische Migrationsfähigkeit, vertragliche Herausgaberechte, Datenlöschung, Notfallprozesse und alternative Dienstleister realistisch geprüft wurden.

FAQ zum Auslagerungsregister

Fazit: Auslagerungsregister als Steuerungsinstrument, nicht nur als Pflichtliste

Das Auslagerungsregister ist ein zentrales Instrument zur Steuerung von Dienstleister-, Auslagerungs- und IKT-Drittparteirisiken. Besonders seit DORA müssen Finanzunternehmen ihre Registerdaten, Vertragsprozesse und Risikobewertungen deutlich strukturierter miteinander verbinden. Priorität haben zunächst Vollständigkeit, einheitliche Abgrenzungskriterien, aktuelle Vertragsdaten, dokumentierte Kritikalitätsbewertungen und klare Verantwortlichkeiten.

In der Praxis sollte zuerst geklärt werden, welche Auslagerungen und IKT-Dienstleistungen bestehen, welche davon kritisch oder wichtig sind und ob Verträge, Nachweise und Exit-Vorkehrungen zur Bewertung passen. Anschließend sind Fristen, Subdienstleister, Datenstandorte und Aktualisierungsprozesse abzusichern.

Eine rechtssichere Umsetzung bleibt einzelfallabhängig. Branche, Erlaubnisstatus, Geschäftsmodell, Konzernstruktur, Dienstleisterlandschaft und Datenverarbeitung können die Anforderungen erheblich verändern. Pauschale Musterlisten reichen daher selten aus. Entscheidend ist ein nachvollziehbares, risikobasiertes und tatsächlich gelebtes Auslagerungsmanagement.