Vertragsgestaltung und Kontrollrechte
Rechtsstand: 10. September 2026 | Lesezeit: rund 13 Minuten | Erstveröffentlichung: 17. Dezember 2019, vollständig überarbeitet
Der Klauselkatalog steht nicht mehr nur in den EBA-Leitlinien. Er steht in AT 9 Tz. 7 der MaRisk – und für IKT-Dienstleistungen daneben in Art. 30 DORA, mit einer anderen Systematik. Wer beide Verträge nach einer Vorlage baut, erfüllt einen von beiden.
AT 9 Tz. 7 der MaRisk in der Fassung vom 30. Juni 2026 führt für wesentliche Auslagerungen vierzehn Punkte auf, die nach § 25b Abs. 3 Satz 3 KWG im in Textform dokumentierten Auslagerungsvertrag zu vereinbaren sind. Das ist der maßgebliche nationale Katalog.
Fünf Erläuterungen schärfen ihn an Stellen, die in Vertragsvorlagen regelmäßig zu kurz kommen: Weisungsrechte müssen nicht explizit vereinbart werden, wenn die Leistung hinreichend klar spezifiziert ist. Informations- und Prüfungsrechte umfassen auch Zutritt, Zugang und Zugriff. Der Grad akzeptierter Schlechtleistung ist bereits bei der Vertragsanbahnung intern festzulegen.
Für IKT-Dienstleistungen gilt ein eigener Katalog. Art. 30 DORA arbeitet zweistufig: Absatz 2 für alle vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen, Absatz 3 zusätzlich, wenn die Dienstleistung eine kritische oder wichtige Funktion unterstützt. Die Unterscheidung zwischen Auslagerung und sonstigem Fremdbezug kennt DORA nicht.
Für die Geschäftsleitung ist das eine Frage der Vertragsdisziplin. Die Kontrollrechte, auf die sich das gesamte Auslagerungsmanagement stützt, entstehen nicht im Prozess, sondern im Vertrag – und nur dort, wo sie vor der Unterschrift hineingeschrieben wurden.
Die Gegenüberstellung zeigt den entscheidenden Unterschied: MaRisk knüpft an die Wesentlichkeit der Auslagerung an, DORA an die Kritikalität der unterstützten Funktion. Das sind zwei verschiedene Prüfungen mit zwei verschiedenen Ergebnissen.
| Punkt | AT 9 Tz. 7 MaRisk | Art. 30 DORA |
|---|---|---|
| Rechtsgrundlage | AT 9 Tz. 7 MaRisk, § 25b Abs. 3 Satz 3 KWG | Art. 30 DORA |
| Anwendungsbereich | Wesentliche Auslagerungen ohne IKT-Bezug nach Art. 3 Nr. 21 DORA | Alle vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen |
| Systematik | Ein Katalog mit vierzehn Punkten, ergänzt um Erläuterungen | Zweistufig: Absatz 2 für alle Verträge, Absatz 3 zusätzlich bei kritischen oder wichtigen Funktionen |
| Auslösendes Kriterium | Wesentlichkeit der Auslagerung nach AT 9 Tz. 2 | Kritikalität der unterstützten Funktion nach Art. 3 Nr. 22 DORA |
| Form | Textform nach § 25b Abs. 3 Satz 3 KWG | Schriftliche Fixierung der vertraglichen Vereinbarung |
| Nicht wesentliche Vereinbarungen | Regelungen zu sonstigen Sicherheitsanforderungen sollten auch dort vereinbart werden | Der Basiskatalog aus Absatz 2 gilt unabhängig von der Kritikalität |
Praktisch folgt daraus: Ein Vertragsmuster reicht nicht. Der erste Schritt bei jedem neuen Vertrag ist die Zuordnung zum Regelwerk – erst danach steht fest, welcher Katalog abzuarbeiten ist.
Vierzehn Punkte, in der Reihenfolge des Normtextes. Die dritte Spalte nennt den Punkt, der in der Vertragspraxis jeweils entscheidet.
| Lit. | Was zu vereinbaren ist | Praxishinweis |
|---|---|---|
| a) | Spezifizierung und gegebenenfalls Abgrenzung der vom Auslagerungsunternehmen zu erbringenden Leistung | Grundlage für Leistungsmessung und für den Verzicht auf explizite Weisungsrechte |
| b) | Datum des Beginns und gegebenenfalls des Endes der Auslagerungsvereinbarung | Pflichtfeld auch im Auslagerungsregister |
| c) | Sofern von deutschem Recht abweichend: das geltende Recht für die Auslagerungsvereinbarung | Nur bei Abweichung ausdrücklich zu regeln |
| d) | Standorte der Leistungserbringung und der Datenspeicherung sowie Benachrichtigung bei Standortwechsel | Regionen oder Länder, nicht Adressen |
| e) | Vereinbarte Dienstleistungsgüte mit eindeutig festgelegten Leistungszielen | Ohne Leistungsziel keine messbare Abweichung |
| f) | Soweit zutreffend: Vorlage eines Versicherungsnachweises für bestimmte Risiken | Nur bei Einschlägigkeit |
| g) | Anforderungen für die Umsetzung und Überprüfung von Notfallkonzepten | Verbindung zu AT 7.3 Tz. 3 |
| h) | Festlegung angemessener Informations- und Prüfungsrechte der Internen Revision sowie externer Prüfer | Einschließlich Zutritt, Zugang und Zugriff |
| i) | Sicherstellung der uneingeschränkten Informations- und Prüfungsrechte sowie Kontrollmöglichkeiten der zuständigen Behörden | Nach § 25b Abs. 3 KWG |
| j) | Soweit erforderlich: Weisungsrechte | Erleichterung bei hinreichend klarer Leistungsspezifikation |
| k) | Regelungen zur Beachtung datenschutzrechtlicher Bestimmungen und sonstiger Sicherheitsanforderungen | Sollten auch bei nicht wesentlichen Auslagerungen vereinbart werden |
| l) | Kündigungsrechte und angemessene Kündigungsfristen | Grundlage jeder Ausstiegsstrategie |
| m) | Regelungen über Möglichkeit und Modalitäten einer Weiterverlagerung | Muss die Einhaltung der aufsichtsrechtlichen Anforderungen sichern |
| n) | Verpflichtung des Auslagerungsunternehmens zur Information über beeinträchtigende Entwicklungen | Bringschuld des Dienstleisters |
Der Katalog gilt für wesentliche Auslagerungen. Bei nicht wesentlichen Auslagerungen sind nach AT 9 Tz. 3 die allgemeinen Anforderungen an die Ordnungsmäßigkeit der Geschäftsorganisation nach § 25a Abs. 1 KWG zu beachten – mit der ausdrücklichen Ausnahme der Sicherheitsanforderungen.
Der Normtext ist knapp, die Erläuterungen sind es nicht. Sie enthalten die Punkte, an denen Vertragsvorlagen regelmäßig scheitern.
Weisungsrechte zugunsten des Instituts müssen nicht explizit vereinbart werden, wenn die zu erbringende Leistung hinreichend klar im Auslagerungsvertrag spezifiziert ist. Die Erleichterung hängt damit unmittelbar an der Qualität von lit. a.
Die Interne Revision des auslagernden Instituts kann unter den Voraussetzungen von AT 9 Tz. 4 auf eigene Prüfungshandlungen verzichten. Beide Erleichterungen können auch bei Mehrmandantendienstleistern in Anspruch genommen werden.
Aufgaben der Internen RevisionDie Informations- und Prüfungsrechte nach lit. g und h umfassen auch die für den Zutritt, Zugang oder Zugriff erforderlichen Rechte. Ein Einsichtsrecht ohne Zutritt zum Rechenzentrum bleibt wirkungslos.
Zugangs-, Informations- und KündigungsrechteBereits bei der Vertragsanbahnung muss das Institut intern festlegen, welchen Grad einer Schlechtleistung es akzeptieren möchte. Diese Schwelle ist die Voraussetzung für jeden Eskalationspfad.
KPI und KRI im VergleichDie Vereinbarung sollte Regelungen enthalten, die das Auslagerungsunternehmen verpflichten, das Institut nach Kündigung bei der Übertragung an ein anderes Unternehmen oder bei der Reintegration zu unterstützen.
Auslagerung AusstiegsstrategienSie sollten für alle, also auch nicht wesentliche Auslagerungen vereinbart werden. Dazu zählen Zugangsbestimmungen zu Räumen und Gebäuden sowie Zugriffsberechtigungen auf Softwarelösungen. Die Einhaltung ist fortlaufend zu überwachen, und der Datenzugriff bei Insolvenz, Abwicklung oder Einstellung der Geschäftstätigkeit ist sicherzustellen.
Über lit. m hinaus verlangt AT 9 Tz. 8, im Auslagerungsvertrag möglichst Zustimmungsvorbehalte zugunsten des auslagernden Instituts oder konkrete Voraussetzungen zu vereinbaren, wann Weiterverlagerungen einzelner Arbeits- und Prozessschritte möglich sind. Zumindest ist vertraglich sicherzustellen, dass Vereinbarungen mit Subunternehmen im Einklang mit dem originären Auslagerungsvertrag stehen.
Hinzu kommt eine Informationspflicht des Auslagerungsunternehmens an das auslagernde Institut – und die Klarstellung, dass das Auslagerungsunternehmen im Falle einer Weiterverlagerung weiterhin berichtspflichtig bleibt.
Art. 30 DORA trägt die Überschrift Wesentliche Vertragsbestimmungen und ist zweistufig aufgebaut. Der Unterschied zur MaRisk-Systematik ist grundlegend.
Er gilt für alle vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen – unabhängig davon, ob eine kritische oder wichtige Funktion betroffen ist und unabhängig davon, ob nach nationaler Systematik eine Auslagerung vorläge.
Er greift zusätzlich, wenn die IKT-Dienstleistung eine kritische oder wichtige Funktion unterstützt. Dazu zählen unter anderem vollständige Beschreibungen der Dienstleistungsgüte mit präzisen quantitativen und qualitativen Leistungszielen sowie Ausstiegsstrategien mit verbindlichem Übergangszeitraum.
Einstufung kritisch oder wichtigDORA unterscheidet nicht zwischen Auslagerung und sonstigem Fremdbezug. Der Basiskatalog knüpft an die Nutzung von IKT-Dienstleistungen an, der Zusatzkatalog an die Kritikalität der unterstützten Funktion.
Abgrenzung Auslagerung und FremdbezugDer Basiskatalog verlangt eine klare und vollständige Beschreibung aller Funktionen und IKT-Dienstleistungen sowie die Angabe, ob die Vergabe von Unteraufträgen für Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen zulässig ist und unter welchen Bedingungen.
Anzugeben sind die Regionen oder Länder, in denen die vertraglich vereinbarten Dienstleistungen erbracht und Daten verarbeitet werden. Das entspricht strukturell lit. d des MaRisk-Katalogs.
Bei kritischen oder wichtigen Funktionen sind Kündigungsfristen und Berichtspflichten zu vereinbaren, einschließlich der Meldung aller Entwicklungen, die sich wesentlich auf die Fähigkeit zur wirksamen Bereitstellung auswirken könnten.
DORA und IKT-DrittanbieterDie Umstellung, die daraus für deutsche Institute folgt, betrifft den Bestand: Ein Vertragsportfolio, das nach Auslagerung und Fremdbezug sortiert ist, bildet den DORA-Pflichtenkreis nicht ab. Die Sortierung muss zusätzlich nach Kritikalität erfolgen.
Diese Befunde entstehen fast alle vor der Unterschrift – und lassen sich danach nur mit Nachverhandlung beheben.
Der MaRisk-Katalog wird auf IKT-Verträge angewendet oder umgekehrt. Beide Kataloge knüpfen an unterschiedliche Kriterien an und sind nicht deckungsgleich.
Die 9. MaRisk-Novelle im ÜberblickLit. e verlangt eine vereinbarte Dienstleistungsgüte mit eindeutig festgelegten Leistungszielen. Formulierungen wie marktüblich oder branchenkonform erfüllen das nicht.
Die Erläuterung stellt klar, dass die Rechte auch Zutritt, Zugang und Zugriff umfassen. Ein reines Auskunftsrecht ist im Prüfungsfall wertlos.
Sie ist bereits bei der Vertragsanbahnung intern zu bestimmen. Wer sie nachträglich definiert, hat keine vertragliche Handhabe.
Typische PrüfungsfeststellungenLit. m verlangt Regelungen zu Möglichkeit und Modalitäten. AT 9 Tz. 8 ergänzt Zustimmungsvorbehalte oder konkrete Voraussetzungen sowie eine Informationspflicht.
Weiterverlagerung kritischer FunktionenDie Erläuterung empfiehlt sie ausdrücklich für alle Auslagerungen. Gerade bei nicht wesentlichen Verträgen fehlt oft der Datenzugriff im Insolvenzfall.
Sechs Fragen entlang des Vertragskatalogs. Wähle je Zeile den zutreffenden Zustand; die Empfehlung erscheint darunter. Die Auswahl wird nicht gespeichert und nicht übertragen.
Ist je Vertrag entschieden, welcher Klauselkatalog gilt?
AT 9 Tz. 7 MaRisk, Art. 30 DORA, Art. 3 Nr. 21 DORA
ErfülltDie Zuordnung liegt vor und steuert die Vertragsvorlage. Prüfe sie bei jeder Verlängerung erneut.
TeilweiseNeuverträge sind zugeordnet, der Bestand nicht. Priorisiere nach Wesentlichkeit und Kritikalität.
OffenOhne Zuordnung wird nach der falschen Vorlage gearbeitet. Das ist der erste Schritt der Vertragsprüfung.
Sind Leistungsziele quantitativ und qualitativ festgelegt?
AT 9 Tz. 7 lit. e MaRisk, Art. 30 Abs. 3 DORA
ErfülltDie Ziele sind messbar formuliert und mit Kennzahlen hinterlegt.
TeilweiseEine Dienstleistungsgüte ist beschrieben, konkrete Ziele fehlen. Ergänze sie – ohne sie ist keine Abweichung feststellbar.
OffenOhne Leistungsziele greifen weder Überwachung noch Eskalation. Beginne bei den wesentlichen Auslagerungen.
Umfassen die Prüfungsrechte Zutritt, Zugang und Zugriff?
Erläuterung zu AT 9 Tz. 7 MaRisk
ErfülltDie Rechte sind vollständig geregelt. Prüfe die Durchsetzbarkeit bei Dienstleistern im Drittstaat.
TeilweiseAuskunfts- und Einsichtsrechte sind geregelt, Zutritt nicht. Ergänze ihn bei der nächsten Vertragsanpassung.
OffenEin Prüfungsrecht ohne Zutritt ist nicht ausübbar. Das ist ein regelmäßiger Befund.
Ist die maximal akzeptierte Schlechtleistung intern festgelegt?
Erläuterung zu AT 9 Tz. 7 MaRisk
ErfülltDie Schwelle ist definiert und mit dem Eskalationspfad verknüpft.
TeilweiseEine Schwelle existiert informell. Halte sie schriftlich fest, sie ist Voraussetzung für die Eskalation.
OffenOhne Schwelle lässt sich keine Abweichung begründen. Die Norm verlangt die Festlegung bereits bei der Vertragsanbahnung.
Sind Weiterverlagerungen mit Zustimmungsvorbehalt geregelt?
AT 9 Tz. 7 lit. m und Tz. 8 MaRisk
ErfülltZustimmungsvorbehalt oder konkrete Voraussetzungen sowie eine Informationspflicht sind vereinbart.
TeilweiseDie Weiterverlagerung ist erwähnt, aber nicht an Bedingungen geknüpft. Ergänze die Voraussetzungen.
OffenOhne Regelung erfährt das Institut von Subunternehmern erst im Schadensfall.
Sind Sicherheitsanforderungen auch in nicht wesentlichen Verträgen geregelt?
Erläuterung zu AT 9 Tz. 7 MaRisk
ErfülltSie sind durchgängig vereinbart und die Einhaltung wird fortlaufend überwacht.
TeilweiseBei wesentlichen Verträgen ja, sonst nicht. Die Erläuterung empfiehlt sie ausdrücklich für alle Auslagerungen.
OffenOhne diese Regelungen fehlt insbesondere der Datenzugriff im Insolvenzfall. Beginne dort.
Sechs Schritte, die sich vor jeder Nachverhandlung auszahlen.
Der Katalog des AT 9 Tz. 7 ist eine Mindestliste, keine Vertragsvorlage. Welche Klauseln darüber hinaus angemessen sind, hängt von Art, Umfang, Komplexität und Risikogehalt der Auslagerung ab und lässt sich aus dem Normtext nicht ableiten. Die EBA-Leitlinien zu Auslagerungen bleiben dafür der ausführlichste Referenzrahmen; sie gelten nach AT 1 als in den MaRisk umgesetzt.
Zu Art. 30 DORA entwickeln die europäischen Aufsichtsbehörden technische Regulierungsstandards, unter anderem zur Untervergabe. Sie wurden für diesen Beitrag nicht ausgewertet und sollten vor einer Überarbeitung der IKT-Vertragsvorlage herangezogen werden.
Die Mindestanforderungen an Auslagerungsvereinbarungen stehen heute an zwei Stellen – und die Zuordnung entscheidet über den Aufwand je Vertrag.
Kontrollrechte entstehen im Vertrag, nicht im Prozess. Was vor der Unterschrift fehlt, lässt sich später nur nachverhandeln – und dafür fehlt regelmäßig der Hebel.
In AT 9 Tz. 7 der MaRisk. Die Norm führt für wesentliche Auslagerungen vierzehn Punkte auf, die nach § 25b Abs. 3 Satz 3 KWG im in Textform dokumentierten Auslagerungsvertrag zu vereinbaren sind – von der Leistungsspezifikation bis zur Informationspflicht des Auslagerungsunternehmens.
Der Katalog des AT 9 Tz. 7 gilt seinem Wortlaut nach für wesentliche Auslagerungen. Eine Ausnahme nennt die Erläuterung ausdrücklich: Regelungen zu sonstigen Sicherheitsanforderungen sollten für alle, also auch für nicht wesentliche Auslagerungen vertraglich vereinbart werden.
Nein. Nach der Erläuterung zu AT 9 Tz. 7 müssen Weisungsrechte zugunsten des Instituts nicht explizit vereinbart werden, wenn die vom Auslagerungsunternehmen zu erbringende Leistung hinreichend klar im Vertrag spezifiziert ist. Die Erleichterung kann auch bei Mehrmandantendienstleistern in Anspruch genommen werden.
Die Erläuterung zu AT 9 Tz. 7 verlangt, dass das Institut bereits bei der Vertragsanbahnung intern festlegt, welchen Grad einer Schlechtleistung es akzeptieren möchte. Ohne diese Schwelle lässt sich später weder eine Abweichung feststellen noch eine Eskalation begründen.
Für IKT-Dienstleistungen gilt Art. 30 DORA. Absatz 2 enthält einen Basiskatalog für alle vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen; Absatz 3 ergänzt zusätzliche Elemente, wenn die Dienstleistung eine kritische oder wichtige Funktion unterstützt.
Nein. Die Erläuterung zu AT 9 Tz. 7 stellt klar, dass die Informations- und Prüfungsrechte nach lit. g und h auch die für den Zutritt, Zugang oder Zugriff erforderlichen Rechte umfassen. Ein Einsichtsrecht ohne Zutritt zum Rechenzentrum läuft leer.
Primärquellen zuerst. Je Eintrag ist angegeben, wofür die Quelle in diesem Beitrag einsteht.
Die Mindestanforderungen an Auslagerungsvereinbarungen greifen in Einstufung, Register und Ausstieg hinein. Hier die angrenzenden Themen.
Hinweis zur Unabhängigkeit: Dieser Beitrag beschreibt Anforderungen und Vertragsinhalte neutral. Er ersetzt keine rechtliche Beratung im Einzelfall und trifft keine Aussagen zu Mustern einzelner Anbieter.
Vertragsbestand nach zwei Katalogen prüfen? Erst der Quick-Check, dann die Nachverhandlungsliste.
Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.
LinkedIn-Profil → · Redaktion & Experten →Wir verwenden Cookies und ähnliche Technologien, um Ihre Erfahrung auf unserer Website zu verbessern. Weitere Informationen in unserer Datenschutzerklärung.