Bundesgesetzblatt  Bundesgesetzblatt Teil I  2022  Nr. 45 vom 28.11.2022  - Seite 2087 bis 2090 - Zweite Verordnung zur Änderung der ZAG-Anzeigenverordnung

Bundesgesetzblatt Jahrgang 2022 Teil I Nr. 45, ausgegeben zu Bonn am 28. November 2022 2087 Zweite Verordnung zur Änderung der ZAG-Anzeigenverordnung Vom 23. November 2022 Auf Grund des § 28 Absatz 4 Satz 1, 3 und 4 des Zahlungsdiensteaufsichtsgesetzes vom 17. Juli 2017 (BGBl. I S. 2446; 2019 I S. 1113) in Verbindung mit § 1e der Verordnung zur Übertragung von Befugnissen zum Erlass von Rechtsverordnungen auf die Bundes anstalt für Finanzdienstleistungsaufsicht vom 13. De zember 2002 (BGBl. I 2003 S. 3), von denen § 28 Ab satz 4 Satz 1 durch Artikel 6 Nummer 7 Buchstabe b Doppelbuchstabe aa des Gesetzes vom 3. Juni 2021 (BGBl. I S. 1534) geändert worden ist und § 1e durch Artikel 1 Nummer 3 der Verordnung vom 22. Dezember 2021 (BGBl. I S. 5255) eingefügt worden ist, verordnet die Bundesanstalt für Finanzdienstleistungsaufsicht im Einvernehmen mit der Deutschen Bundesbank und nach Anhörung der Spitzenverbände der Institute: 1. eine vom Institut vergebene Referenznummer für jeden Auslagerungsvertrag, Artikel 1 4. eine Kategorie, die die Art der Aktivitäten und Prozesse widerspiegelt und die die Ermittlung verschiedener Arten von Vereinbarungen er möglicht, Die ZAG-Anzeigenverordnung vom 15. Oktober 2009 (BGBl. I S. 3603), die zuletzt durch Artikel 7 Absatz 36 des Gesetzes vom 12. Mai 2021 (BGBl. I S. 990) geändert worden ist, wird wie folgt geändert: 1. In § 1 wird folgender Absatz 3 angefügt: ,,(3) Auf Verlangen der Bundesanstalt oder der Deutschen Bundesbank ist für Anzeigen und Unter lagen ein elektronischer Einreichungsweg zu nutzen. Nähere Bestimmungen zum jeweiligen elektroni schen Einreichungsweg treffen die Bundesanstalt und die Deutsche Bundesbank auf ihrer jeweiligen Internetseite." 2. § 8 wird wie folgt gefasst: ,,§ 8 Anzeigen nach § 26 Absatz 2 Satz 1 und Absatz 4 oder § 28 Absatz 1 Nummer 10 des Zahlungsdiensteaufsichtsgesetzes (Wesentliche Auslagerungen) 2. Angaben zum Beginn und, sofern vereinbart, zum Ende der Vertragslaufzeit sowie gegebe nenfalls zum Zeitpunkt der nächsten Vertrags verlängerung und zu den Kündigungsfristen, 3. die Bezeichnung der auszulagernden oder aus gelagerten Aktivitäten und Prozesse, einschließ lich einer Bezeichnung der Daten, die im Rah men der Auslagerung übermittelt werden oder wurden, sowie die Angabe, ob personenbezo gene Daten übermittelt werden oder wurden und ob das Auslagerungsunternehmen mit der Verarbeitung personenbezogener Daten beauf tragt wird oder worden ist, 5. die Angabe, ob in Teilen oder im Ganzen aus gelagert wird oder worden ist, 6. die Firma, die Handelsregisternummer sowie gegebenenfalls die Rechtsträgerkennung, die im Handelsregister eingetragene Adresse und sonstige relevante Kontaktangaben des Aus lagerungsunternehmens und die Firma des Mut terunternehmens, 7. den Staat, in dem der Dienst erbracht werden soll oder wird, einschließlich des Standortes, an dem die Daten gespeichert werden sollen oder werden, 8. das Datum der letzten Bewertung der Wesent lichkeit der auszulagernden oder ausgelagerten Aktivitäten und Prozesse und die Angabe, warum die Auslagerung als wesentlich eingestuft wird, (1) In einer Anzeige nach § 26 Absatz 2 Satz 1 oder § 28 Absatz 1 Nummer 10 des Zahlungsdiens teaufsichtsgesetzes sind die beabsichtigten Vor kehrungen gemäß § 26 Absatz 1 Satz 1 des Zah lungsdiensteaufsichtsgesetzes zu beschreiben und Entwürfe der Auslagerungsverträge gemäß § 26 Ab satz 1 Satz 6 des Zahlungsdiensteaufsichtsgesetzes einzureichen. Mit der Vollzugsanzeige nach § 28 Ab satz 1 Nummer 10 des Zahlungsdiensteaufsichtsge setzes ist der geschlossene Vertrag einzureichen. 10. die Institute und sonstigen Unternehmen im auf sichtlichen Konsolidierungskreis, die von der Auslagerung Gebrauch machen, sofern ein schlägig, (2) Anzeigen nach § 26 Absatz 2 Satz 1 oder § 28 Absatz 1 Nummer 10 des Zahlungsdiensteaufsichts gesetzes über die Absicht und den Vollzug einer we sentlichen Auslagerung müssen weiterhin folgende Informationen enthalten: 11. die Angabe, ob das Auslagerungsunternehmen oder ein von ihm beauftragtes Subunternehmen Teil der Gruppe im Sinne des § 1 Absatz 6 des Zahlungsdiensteaufsichtsgesetzes ist, zu dem das Institut gehört, oder sich im Eigentum von 9. bei der Auslagerung zu einem Cloud-Anbieter das Cloud-Dienstmodell, das Cloud- Bereitstel lungsmodell und die Art der betreffenden Daten sowie die Standorte, an denen diese Daten ge speichert werden sollen oder werden, 2088 Bundesgesetzblatt Jahrgang 2022 Teil I Nr. 45, ausgegeben zu Bonn am 28. November 2022 anderen Instituten innerhalb der Institutsgruppe befindet, zu der das Institut gehört, sofern ein schlägig, 12. das Datum der letzten Risikoanalyse und eine Zusammenfassung der Ergebnisse dieser Risi koanalyse, 13. die Benennung der Personen und ihrer Funktion oder des Entscheidungsgremiums des Instituts, die oder das den Auslagerungsvertrag geneh migt haben oder hat, sowie gegebenenfalls das Datum der Genehmigung, 1. Vertragsänderungen von wesentlicher Bedeu tung, 2. Vereinbarungen zusätzlicher vertraglicher Rege lungen, insbesondere die Vereinbarung zusätz licher Leistungen, 3. Änderung der Bewertung, ob eine Auslagerung als wesentlich oder unwesentlich einzustufen ist, 4. wesentlichen Abweichungen, die sich aufgrund einer neuen oder geänderten Risikoanalyse be züglich der Auslagerung ergeben, 14. das auf den Auslagerungsvertrag anwendbare Recht, 5. Abschluss neuer Subauslagerungen wesentlicher Teile einer wesentlichen Aktivität oder eines wesentlichen Prozesses, 15. gegebenenfalls das Datum der letzten und der nächsten geplanten Prüfung durch das Institut beim Auslagerungsunternehmen, 6. Änderung der Bewertung zur Ersetzbarkeit des Auslagerungsunternehmens, 16. gegebenenfalls die Firmen und die Handels registernummern oder andere eindeutige Identi fikationsnummern von durch das Auslagerungs unternehmen beauftragten Subunternehmen, an die wesentliche Teile einer wesentlichen Aktivi tät oder eines wesentlichen Prozesses weiter ausgelagert werden sollen oder wurden, jeweils einschließlich a) des Staates, in dem diese beauftragten Unter nehmen registriert sind, b) des Standorts, an dem die Dienstleistung er bracht werden soll oder wird, und c) gegebenenfalls des Standorts, an dem die Daten gespeichert werden sollen oder wer den, 17. das Ergebnis der Bewertung der Ersetzbarkeit des Auslagerungsunternehmens durch a) die Zuordnung zu den Kategorien ,,leicht", ,,schwierig" oder ,,unmöglich", b) die Angabe der Möglichkeit einer Wiederein gliederung der wesentlichen Aktivität oder des wesentlichen Prozesses in das Institut und c) die Angabe der Auswirkungen einer etwaigen Einstellung der wesentlichen Aktivität oder des wesentlichen Prozesses, 18. die Angabe, ob alternative Auslagerungsunter nehmen gemäß der Bewertung nach Nummer 17 Buchstabe a vorhanden sind, 19. die Angabe, ob die auszulagernde oder ausge lagerte wesentliche Aktivität oder der auszula gernde oder ausgelagerte wesentliche Prozess Geschäftsvorgänge unterstützt, die zeitkritisch sind, und 20. das für die Auslagerung veranschlagte jährliche Budget oder die damit verbundenen Kosten. (3) Anzeigen nach § 26 Absatz 4 oder § 28 Absatz 1 Nummer 10 des Zahlungsdiensteauf sichtsgesetzes über wesentliche Änderungen einer bestehenden wesentlichen Auslagerung die einen wesentlichen Einfluss auf die Geschäftstätigkeit des Instituts haben können, sind insbesondere ein zureichen bei 7. nachträglicher Verlagerung der Erbringung von Dienstleistungen in Drittstaaten durch das Aus lagerungsunternehmen oder seine beauftragten Subunternehmen, 8. Kündigung oder sonstiger Beendigung des Aus lagerungsvertrags, 9. Kenntnis des Instituts von der Übernahme der Kontrolle über das Auslagerungsunternehmen durch ein anderes Unternehmen. Zeigt ein Institut eine wesentliche Änderung einer wesentlichen Auslagerung an, die zum Zeitpunkt des Inkrafttretens dieser Verordnung bereits be stand, sind zudem die Daten nach Absatz 2 anzu zeigen. (4) Anzeigen nach den Absätzen 1 bis 3 sind elektronisch über die Melde- und Veröffentlichungs plattform der Bundesanstalt einzureichen. (5) Anzeigen nach § 28 Absatz 1 Nummer 10 des Zahlungsdiensteaufsichtsgesetzes über schwerwie gende Vorfälle im Rahmen von bestehenden we sentlichen Auslagerungen, die einen wesentlichen Einfluss auf die Geschäftstätigkeit des Instituts ha ben können, sind insbesondere einzureichen bei 1. nicht nur kurzfristiger Unterbrechung oder Un möglichkeit der Erbringung der ausgelagerten wesentlichen Aktivitäten oder des wesentlichen Prozesses, 2. erheblichen Vertragsverletzungen durch das Auslagerungsunternehmen, 3. erheblichen Rechtsverstößen, insbesondere durch den Wegfall der aufsichtsrechtlichen Vor aussetzungen der Auslagerung, durch umfas sende Einschränkungen von Informations- und Prüfrechten des Instituts oder der Bundesan stalt oder durch Verstöße des Auslagerungs unternehmens gegen datenschutzrechtliche Be stimmungen, 4. fehlender oder nur sehr unzureichender Bereit schaft des Auslagerungsunternehmens, auf sichtliche Anordnungen umzusetzen oder an deren Umsetzung mitzuwirken, insbesondere im Rahmen der Missstandsbeseitigung und -vermeidung, 5. erheblichen Sicherheitsvorfällen im Zusammen hang mit den ausgelagerten Aktivitäten und Bundesgesetzblatt Jahrgang 2022 Teil I Nr. 45, ausgegeben zu Bonn am 28. November 2022 Prozessen beim Institut oder beim Auslage rungsunternehmen, 6. unzureichendem Risiko- und Notfallmanagement des Auslagerungsunternehmens, 7. unzureichenden Ressourcen des Auslagerungs unternehmens für die ordnungsgemäße Aus führung der ausgelagerten Aktivitäten oder Pro zesse, 8. Kenntnis des Instituts von Umständen, nach de nen eine leitende Person des Auslagerungsun ternehmens nicht als zuverlässig betrachtet werden kann, 2089 9. fehlender oder unzureichender Unterstützung durch das Auslagerungsunternehmen bei Been digung der Auslagerung, 10. drohender Zahlungsunfähigkeit des Auslage rungsunternehmens, 11. Kenntnis des Instituts von schwerwiegenden Reputationsschäden beim Auslagerungsunter nehmen, 12. Konflikten am Sitz des Auslagerungsunterneh mens in Drittstaaten, die zu einer wesentlichen Gefährdung der ausgelagerten Aktivitäten und Prozesse führen oder dazu führen könnten." 3. In Anlage 6 wird die Tabelle unter Ziffer 2 wie folgt gefasst: ,,Beteiligungsunternehmen3 CRR-Kreditinstitut (§ 1 Abs. 3d Satz 1 KWG) Wertpapierinstitut (§ 2 Abs. 1 WpIG) E-Geld-Institut (§ 1 Abs. 2 Satz 1 Nr. 1 ZAG) sonstiges Kreditinstitut (§ 1 Abs. 1 KWG) Finanzdienstleistungsinstitut (§ 1 Abs. 1a KWG) Kapitalverwaltungsgesellschaft (§ 17 KAGB) Finanzinstitut (Art. 4 Abs. 1 Nr. 26 CRR4) Finanzunternehmen (§ 1 Abs. 3 KWG) Anbieter von Nebendienstleistungen (Art. 4 Abs. 1 Nr. 18 CRR) Finanzholding-Gesellschaft (Art. 4 Abs. 1 Nr. 20 CRR) gemischte Finanzholding-Gesellschaft (Art. 4 Abs. 1 Nr. 21 CRR) Versicherungsunternehmen (§ 7 Nr. 33 VAG) Versicherungsunternehmen eines Drittstaats (§ 7 Nr. 34 VAG) Versicherungs-Holdinggesellschaft (§ 7 Nr. 31 VAG) Zahlungsinstitut (§ 1 Abs. 1 Satz 1 Nr. 1 ZAG) sonstiges Unternehmen" 4. In Anlage 7 wird die Tabelle unter Ziffer 3 wie folgt gefasst: ,,Anteilseigner1, 15 CRR-Kreditinstitut (§ 1 Abs. 3d Satz 1 KWG) Wertpapierinstitut (§ 2 Abs. 1 WpIG) E-Geld-Institut (§ 1 Abs. 2 Satz 1 Nr. 1 ZAG) sonstiges Kreditinstitut (§ 1 Abs. 1 KWG) Finanzdienstleistungsinstitut (§ 1 Abs. 1a KWG) Kapitalverwaltungsgesellschaft (§ 17 KAGB) Finanzinstitut (Art. 4 Abs. 1 Nr. 26 CRR16) Finanzunternehmen (§ 1 Abs. 3 KWG) Anbieter von Nebendienstleistungen (Art. 4 Abs. 1 Nr. 18 CRR) Finanzholding-Gesellschaft (Art. 4 Abs. 1 Nr. 20 CRR) gemischte Finanzholding-Gesellschaft (Art. 4 Abs. 1 Nr. 21 CRR) Versicherungsunternehmen (§ 7 Nr. 33 VAG) Versicherungsunternehmen eines Drittstaats (§ 7 Nr. 34 VAG) Versicherungs-Holdinggesellschaft (§ 7 Nr. 31 VAG) Zahlungsinstitut (§ 1 Abs. 1 Satz 1 Nr. 1 ZAG) sonstiges Unternehmen sonstier Anteilseigner" 5. In Anlage 8 wird die Tabelle unter Ziffer 3 wie folgt gefasst: ,,Beteiligungsunternehmen1 CRR-Kreditinstitut (§ 1 Abs. 3d Satz 1 KWG) Wertpapierinstitut (§ 2 Abs. 1 WpIG) E-Geld-Institut (§ 1 Abs. 2 Satz 1 Nr. 1 ZAG) sonstiges Kreditinstitut (§ 1 Abs. 1 KWG) Finanzdienstleistungsinstitut (§ 1 Abs. 1a KWG) Kapitalverwaltungsgesellschaft (§ 17 KAGB) Finanzinstitut (Art. 4 Abs. 1 Nr. 26 CRR14) Finanzunternehmen (§ 1 Abs. 3 KWG) Anbieter von Nebendienstleistungen (Art. 4 Abs. 1 Nr. 18 CRR) Finanzholding-Gesellschaft (Art. 4 Abs. 1 Nr. 20 CRR) gemischte Finanzholding-Gesellschaft (Art. 4 Abs. 1 Nr. 21 CRR) Versicherungsunternehmen (§ 7 Nr. 33 VAG) Versicherungsunternehmen eines Drittstaats (§ 7 Nr. 34 VAG) Versicherungs-Holdinggesellschaft (§ 7 Nr. 31 VAG) Zahlungsinstitut (§ 1 Abs. 1 Satz 1 Nr. 1 ZAG) sonstiges Unternehmen" 2090 Bundesgesetzblatt Jahrgang 2022 Teil I Nr. 45, ausgegeben zu Bonn am 28. November 2022 Artikel 2 Diese Verordnung tritt am Tag nach der Verkündung in Kraft. Bonn, den 23. November 2022 Der Präsident der Bundesanstalt für Finanzdienstleistungsaufsicht Mark Branson