Neue aufsichtsrechtliche Anforderungen bei Auslagerungen
Für Banken oder Wertpapierinstitute besteht neuerdings eine Anzeigepflicht für Auslagerungen. Seit Anfang Januar 2022 gibt es eine sektorübergreifende und weitgehend einheitliche Pflicht für alle von der BaFin beaufsichtigten Unternehmen, der BaFin ihre wesentlichen Auslagerungen zu anzuzeigen. Für verschiedene Gruppen von Unternehmen wie Versicherungen, Zahlungsinstitute und zugelassene Kapitalverwaltungsgesellschaften bestand eine solche Meldepflicht bereits bisher. Im Kreditwesengesetz (KWG) und im Wertpapierinstitutsgesetz (WpIG) bestand dagegen keine Pflicht zur Anzeige wesentlicher Auslagerungen.
Hintergrund der neuen Anzeigepflichten ist, dass die BaFin dadurch bedeutende (Risiko-)Konzentrationen bzw. Abhängigkeiten von bedeutenden Auslagerungsdienstleistern identifizieren möchte. Ein Fokus liegt dabei auf dem IT-Bereich, da die Bedeutung von Cloud Service Providern seit Jahren stark zunimmt.
Die Anforderungen an diese Anzeigepflicht werden in für die einzelnen Unternehmens-/Institutsgruppen verschiedenen Anzeigenverordnungen verankert und konkretisiert.
Die Anzeigepflichten im Einzelnen / Auslagerungsregister
Die Pflicht zur Anzeige von wesentlichen Auslagerungen ist für Wertpapierinstitute in § 64 Absatz 1 Nr. 13 WpIG geregelt und ergibt sich für nach KWG regulierte Institute aus § 24 Abs.1 Nr.19 KWG. Anzuzeigen sind danach im Einzelnen
- die Absicht einer wesentlichen Auslagerung
- der Vollzug der wesentlichen Auslagerung
- wesentliche Änderungen und schwerwiegende Vorfälle im Rahmen von bestehenden wesentlichen Auslagerungen.
Die neuen Anforderungen gehen einher mit der Pflicht zur Führung eines Auslagerungsregisters. In diesem sind insbesondere auch die anzeigepflichtigen Daten für die jeweils bestehenden Auslagerungen zu dokumentieren. Dabei sind neben den anzeigepflichtigen wesentlichen Auslagerungen auch die (nicht anzeigepflichtigen) nicht wesentlichen Auslagerungen zu erfassen. Diese Pflicht ergibt sich aus § 40 Abs. 1: WpIG bzw. § 25b Abs. 1 KWG.
Bei wesentlichen Auslagerungen an Dienstleister mit Sitz in einem Drittstaat besteht nunmehr auch die Pflicht zur Benennung eines inländischen Zustellungsbevollmächtigten im Rahmen der Auslagerungsvereinbarung. Diese Anforderung betrifft allerdings nur Neuverträge ab 2022.
Im Kontext dieser neuen Pflichten ergibt sich insgesamt ein deutlich höherer Dokumentationsaufwand im Bereich der Auslagerungsverhältnisse. Vor allem tritt auch die Frage des sogenannten „sonstigen Fremdbezugs“ in Abgrenzung zum Auslagerungsbegriff in den Vordergrund, da sonstige Fremdbezüge nicht im Auslagerungsregister zu erfassen sind.
Cloud-Auslagerungen
Im Zusammenhang mit Cloud-Auslagerungen hat die BaFin ein „Merkblatt – Orientierungshilfe zu Auslagerungen an Cloud-Anbieter“ herausgegeben, welches spezifisch das stetig an Bedeutung gewinnende Thema der Auslagerung von Daten(verarbeitung) auf externe Plattformen adressiert. Die hierfür genutzten Cloud-Dienste sind im Hinblick auf Einstufung generell als „wesentliche“ IT-Auslagerung zu beurteilen. Im Rahmen der diesbezüglich vorzunehmenden Risikoanalyse hat die BaFin die hierzu relevante Aspekte analysiert. Des Weiteren hat die europäische Aufsichtsbehörde ESMA im Mai 2021 „Leitlinien zur Auslagerung an Cloud-Anbieter“ publiziert, deren Inhalt von der BaFin ebenfalls in die Aufsichtspraxis übernommen wird.
Erfüllung der Anzeigepflichten durch MVP
Für die Erfüllung der Anzeigepflichten bezüglich Absicht, Vollzug und wesentliche Änderungen im Rahmen von anzeigepflichtigen Auslagerungen wird die BaFin ein elektronisches Meldeverfahren zur Verfügung stellen, das auf der Melde- und Veröffentlichungsplattform (MVP) der BaFin beruht. Für die Datenübermittlung bietet die BaFin drei Möglichkeiten: ein elektronisches Formular, den Dateiupload oder eine technische Schnittstelle. Alle Meldepflichtigen müssen sich einmalig auf der Plattform registrieren und freischalten lassen, um künftig ihre Auslagerungsanzeigen elektronisch einreichen zu können. Die elektronische Meldepflicht soll gelten, sobald die für die einzelnen Institutsgruppen maßgebenden Anzeigenverordnungen in Kraft getreten sind (bisher noch nicht erfolgt) und das neue Verfahren von der BaFin live geschaltet ist.
Die Anzeigen werden nach der Entgegennahme an die Deutsche Bundesbank weitergeleitet, sofern die Meldungen für die Deutsche Bundesbank im Rahmen der Aufsichtstätigkeit relevant sind.
Anders als Absicht, Nichtvollzug und wesentliche Änderungen müssen schwerwiegende Vorfälle zunächst nicht über die elektronische Meldeplattform angezeigt werden. Hierfür plant die BaFin für einen späteren Zeitpunkt ein digitales Meldeformular für Vorfälle.
Übergangsregelung
Bis zum Inkrafttreten der jeweiligen Anzeigenverordnung wird die BaFin es im Rahmen ihrer Aufsicht aussagegemäß nicht beanstanden, wenn die Institute die internen Prozesse für das Führen eines Auslagerungsregisters gemäß § 40 Absatz 1 Satz 4 WpIG noch nicht vollständig umgesetzt haben. Des Weiteren erfolgt bis dahin auch keine Beanstandung, wenn der Pflicht zur Anzeige der Absicht einer wesentlichen Auslagerung, des Vollzugs und wesentlicher Änderungen nebst schwerwiegender Vorfälle im Rahmen von bestehenden wesentlichen Auslagerungen nicht nachgekommen wird. Bis Mitte September 2022 waren die jeweiligen Anzeigenverordnungen noch nicht in Kraft getreten.