Bundesrecht - tagaktuell konsolidiert - alle Fassungen seit 2006
Vorschriftensuche
 

Zweite Verordnung zur Änderung der ZAG-Anzeigenverordnung (2. ZAGAnzVÄndV k.a.Abk.)

V. v. 23.11.2022 BGBl. I S. 2087 (Nr. 45); Geltung ab 29.11.2022

Eingangsformel



Auf Grund des § 28 Absatz 4 Satz 1, 3 und 4 des Zahlungsdiensteaufsichtsgesetzes vom 17. Juli 2017 (BGBl. I S. 2446; 2019 I S. 1113) in Verbindung mit § 1e der Verordnung zur Übertragung von Befugnissen zum Erlass von Rechtsverordnungen auf die Bundesanstalt für Finanzdienstleistungsaufsicht vom 13. Dezember 2002 (BGBl. I 2003 S. 3), von denen § 28 Absatz 4 Satz 1 durch Artikel 6 Nummer 7 Buchstabe b Doppelbuchstabe aa des Gesetzes vom 3. Juni 2021 (BGBl. I S. 1534) geändert worden ist und § 1e durch Artikel 1 Nummer 3 der Verordnung vom 22. Dezember 2021 (BGBl. I S. 5255) eingefügt worden ist, verordnet die Bundesanstalt für Finanzdienstleistungsaufsicht im Einvernehmen mit der Deutschen Bundesbank und nach Anhörung der Spitzenverbände der Institute:


Artikel 1


Artikel 1 ändert mWv. 29. November 2022 ZAGAnzV § 1, § 8, Anlage 6, Anlage 7, Anlage 8

Die ZAG-Anzeigenverordnung vom 15. Oktober 2009 (BGBl. I S. 3603), die zuletzt durch Artikel 7 Absatz 36 des Gesetzes vom 12. Mai 2021 (BGBl. I S. 990) geändert worden ist, wird wie folgt geändert:

1.
In § 1 wird folgender Absatz 3 angefügt:

„(3) Auf Verlangen der Bundesanstalt oder der Deutschen Bundesbank ist für Anzeigen und Unterlagen ein elektronischer Einreichungsweg zu nutzen. Nähere Bestimmungen zum jeweiligen elektronischen Einreichungsweg treffen die Bundesanstalt und die Deutsche Bundesbank auf ihrer jeweiligen Internetseite."

2.
§ 8 wird wie folgt gefasst:

§ 8 Anzeigen nach § 26 Absatz 2 Satz 1 und Absatz 4 oder § 28 Absatz 1 Nummer 10 des Zahlungsdiensteaufsichtsgesetzes (Wesentliche Auslagerungen)

(1) In einer Anzeige nach § 26 Absatz 2 Satz 1 oder § 28 Absatz 1 Nummer 10 des Zahlungsdiensteaufsichtsgesetzes sind die beabsichtigten Vorkehrungen gemäß § 26 Absatz 1 Satz 1 des Zahlungsdiensteaufsichtsgesetzes zu beschreiben und Entwürfe der Auslagerungsverträge gemäß § 26 Absatz 1 Satz 6 des Zahlungsdiensteaufsichtsgesetzes einzureichen. Mit der Vollzugsanzeige nach § 28 Absatz 1 Nummer 10 des Zahlungsdiensteaufsichtsgesetzes ist der geschlossene Vertrag einzureichen.

(2) Anzeigen nach § 26 Absatz 2 Satz 1 oder § 28 Absatz 1 Nummer 10 des Zahlungsdiensteaufsichtsgesetzes über die Absicht und den Vollzug einer wesentlichen Auslagerung müssen weiterhin folgende Informationen enthalten:

1.
eine vom Institut vergebene Referenznummer für jeden Auslagerungsvertrag,

2.
Angaben zum Beginn und, sofern vereinbart, zum Ende der Vertragslaufzeit sowie gegebenenfalls zum Zeitpunkt der nächsten Vertragsverlängerung und zu den Kündigungsfristen,

3.
die Bezeichnung der auszulagernden oder ausgelagerten Aktivitäten und Prozesse, einschließlich einer Bezeichnung der Daten, die im Rahmen der Auslagerung übermittelt werden oder wurden, sowie die Angabe, ob personenbezogene Daten übermittelt werden oder wurden und ob das Auslagerungsunternehmen mit der Verarbeitung personenbezogener Daten beauftragt wird oder worden ist,

4.
eine Kategorie, die die Art der Aktivitäten und Prozesse widerspiegelt und die die Ermittlung verschiedener Arten von Vereinbarungen ermöglicht,

5.
die Angabe, ob in Teilen oder im Ganzen ausgelagert wird oder worden ist,

6.
die Firma, die Handelsregisternummer sowie gegebenenfalls die Rechtsträgerkennung, die im Handelsregister eingetragene Adresse und sonstige relevante Kontaktangaben des Auslagerungsunternehmens und die Firma des Mutterunternehmens,

7.
den Staat, in dem der Dienst erbracht werden soll oder wird, einschließlich des Standortes, an dem die Daten gespeichert werden sollen oder werden,

8.
das Datum der letzten Bewertung der Wesentlichkeit der auszulagernden oder ausgelagerten Aktivitäten und Prozesse und die Angabe, warum die Auslagerung als wesentlich eingestuft wird,

9.
bei der Auslagerung zu einem Cloud-Anbieter das Cloud-Dienstmodell, das Cloud- Bereitstellungsmodell und die Art der betreffenden Daten sowie die Standorte, an denen diese Daten gespeichert werden sollen oder werden,

10.
die Institute und sonstigen Unternehmen im aufsichtlichen Konsolidierungskreis, die von der Auslagerung Gebrauch machen, sofern einschlägig,

11.
die Angabe, ob das Auslagerungsunternehmen oder ein von ihm beauftragtes Subunternehmen Teil der Gruppe im Sinne des § 1 Absatz 6 des Zahlungsdiensteaufsichtsgesetzes ist, zu dem das Institut gehört, oder sich im Eigentum von anderen Instituten innerhalb der Institutsgruppe befindet, zu der das Institut gehört, sofern einschlägig,

12.
das Datum der letzten Risikoanalyse und eine Zusammenfassung der Ergebnisse dieser Risikoanalyse,

13.
die Benennung der Personen und ihrer Funktion oder des Entscheidungsgremiums des Instituts, die oder das den Auslagerungsvertrag genehmigt haben oder hat, sowie gegebenenfalls das Datum der Genehmigung,

14.
das auf den Auslagerungsvertrag anwendbare Recht,

15.
gegebenenfalls das Datum der letzten und der nächsten geplanten Prüfung durch das Institut beim Auslagerungsunternehmen,

16.
gegebenenfalls die Firmen und die Handelsregisternummern oder andere eindeutige Identifikationsnummern von durch das Auslagerungsunternehmen beauftragten Subunternehmen, an die wesentliche Teile einer wesentlichen Aktivität oder eines wesentlichen Prozesses weiter ausgelagert werden sollen oder wurden, jeweils einschließlich

a)
des Staates, in dem diese beauftragten Unternehmen registriert sind,

b)
des Standorts, an dem die Dienstleistung erbracht werden soll oder wird, und

c)
gegebenenfalls des Standorts, an dem die Daten gespeichert werden sollen oder werden,

17.
das Ergebnis der Bewertung der Ersetzbarkeit des Auslagerungsunternehmens durch

a)
die Zuordnung zu den Kategorien „leicht", „schwierig" oder „unmöglich",

b)
die Angabe der Möglichkeit einer Wiedereingliederung der wesentlichen Aktivität oder des wesentlichen Prozesses in das Institut und

c)
die Angabe der Auswirkungen einer etwaigen Einstellung der wesentlichen Aktivität oder des wesentlichen Prozesses,

18.
die Angabe, ob alternative Auslagerungsunternehmen gemäß der Bewertung nach Nummer 17 Buchstabe a vorhanden sind,

19.
die Angabe, ob die auszulagernde oder ausgelagerte wesentliche Aktivität oder der auszulagernde oder ausgelagerte wesentliche Prozess Geschäftsvorgänge unterstützt, die zeitkritisch sind, und

20.
das für die Auslagerung veranschlagte jährliche Budget oder die damit verbundenen Kosten.

(3) Anzeigen nach § 26 Absatz 4 oder § 28 Absatz 1 Nummer 10 des Zahlungsdiensteaufsichtsgesetzes über wesentliche Änderungen einer bestehenden wesentlichen Auslagerung die einen wesentlichen Einfluss auf die Geschäftstätigkeit des Instituts haben können, sind insbesondere einzureichen bei

1.
Vertragsänderungen von wesentlicher Bedeutung,

2.
Vereinbarungen zusätzlicher vertraglicher Regelungen, insbesondere die Vereinbarung zusätzlicher Leistungen,

3.
Änderung der Bewertung, ob eine Auslagerung als wesentlich oder unwesentlich einzustufen ist,

4.
wesentlichen Abweichungen, die sich aufgrund einer neuen oder geänderten Risikoanalyse bezüglich der Auslagerung ergeben,

5.
Abschluss neuer Subauslagerungen wesentlicher Teile einer wesentlichen Aktivität oder eines wesentlichen Prozesses,

6.
Änderung der Bewertung zur Ersetzbarkeit des Auslagerungsunternehmens,

7.
nachträglicher Verlagerung der Erbringung von Dienstleistungen in Drittstaaten durch das Auslagerungsunternehmen oder seine beauftragten Subunternehmen,

8.
Kündigung oder sonstiger Beendigung des Auslagerungsvertrags,

9.
Kenntnis des Instituts von der Übernahme der Kontrolle über das Auslagerungsunternehmen durch ein anderes Unternehmen.

Zeigt ein Institut eine wesentliche Änderung einer wesentlichen Auslagerung an, die zum Zeitpunkt des Inkrafttretens dieser Verordnung bereits bestand, sind zudem die Daten nach Absatz 2 anzuzeigen.

(4) Anzeigen nach den Absätzen 1 bis 3 sind elektronisch über die Melde- und Veröffentlichungsplattform der Bundesanstalt einzureichen.

(5) Anzeigen nach § 28 Absatz 1 Nummer 10 des Zahlungsdiensteaufsichtsgesetzes über schwerwiegende Vorfälle im Rahmen von bestehenden wesentlichen Auslagerungen, die einen wesentlichen Einfluss auf die Geschäftstätigkeit des Instituts haben können, sind insbesondere einzureichen bei

1.
nicht nur kurzfristiger Unterbrechung oder Unmöglichkeit der Erbringung der ausgelagerten wesentlichen Aktivitäten oder des wesentlichen Prozesses,

2.
erheblichen Vertragsverletzungen durch das Auslagerungsunternehmen,

3.
erheblichen Rechtsverstößen, insbesondere durch den Wegfall der aufsichtsrechtlichen Voraussetzungen der Auslagerung, durch umfassende Einschränkungen von Informations- und Prüfrechten des Instituts oder der Bundesanstalt oder durch Verstöße des Auslagerungsunternehmens gegen datenschutzrechtliche Bestimmungen,

4.
fehlender oder nur sehr unzureichender Bereitschaft des Auslagerungsunternehmens, aufsichtliche Anordnungen umzusetzen oder an deren Umsetzung mitzuwirken, insbesondere im Rahmen der Missstandsbeseitigung und -vermeidung,

5.
erheblichen Sicherheitsvorfällen im Zusammenhang mit den ausgelagerten Aktivitäten und Prozessen beim Institut oder beim Auslagerungsunternehmen,

6.
unzureichendem Risiko- und Notfallmanagement des Auslagerungsunternehmens,

7.
unzureichenden Ressourcen des Auslagerungsunternehmens für die ordnungsgemäße Ausführung der ausgelagerten Aktivitäten oder Prozesse,

8.
Kenntnis des Instituts von Umständen, nach denen eine leitende Person des Auslagerungsunternehmens nicht als zuverlässig betrachtet werden kann,

9.
fehlender oder unzureichender Unterstützung durch das Auslagerungsunternehmen bei Beendigung der Auslagerung,

10.
drohender Zahlungsunfähigkeit des Auslagerungsunternehmens,

11.
Kenntnis des Instituts von schwerwiegenden Reputationsschäden beim Auslagerungsunternehmen,

12.
Konflikten am Sitz des Auslagerungsunternehmens in Drittstaaten, die zu einer wesentlichen Gefährdung der ausgelagerten Aktivitäten und Prozesse führen oder dazu führen könnten."

3.
In Anlage 6 wird die Tabelle unter Ziffer 2 wie folgt gefasst:

Tabelle (BGBl. 2022 I S. 2089)
"

4.
In Anlage 7 wird die Tabelle unter Ziffer 3 wie folgt gefasst:

Tabelle (BGBl. 2022 I S. 2089)
"

5.
In Anlage 8 wird die Tabelle unter Ziffer 3 wie folgt gefasst:

Tabelle (BGBl. 2022 I S. 2089)
"


Artikel 2



Diese Verordnung tritt am Tag nach der Verkündung*) in Kraft.


---
*)
Anm. d. Red.: Die Verkündung erfolgte am 28. November 2022.


Schlussformel



Der Präsident der Bundesanstalt für Finanzdienstleistungsaufsicht

Mark Branson