pdf Merkblatt - Orientierungshilfe zu Auslagerungen an Cloud - Anbieter Beliebt

In den vergangenen Jahren hat das Thema Auslagerung an Cloud-Anbieter im Finanzsektor stetig an Relevanz gewonnen. Entsprechend haben die BaFin und die Deutsche Bundesbank in den vergangenen Monaten mit beaufsichtigten Unternehmen vermehrt Gespräche über geplante Auslagerungen an Cloud-Anbieter geführt. Gleichzeitig ist die deutsche Aufsicht auch mit verschiedenen Cloud-Anbietern in den Dialog eingetreten. Ein Schwerpunkt dieser Gespräche war dabei die Ausgestaltung der (Standard-)Verträge bzw. der vertraglichen Zusatzvereinbarungen, welche auch die aufsichtsrechtlich relevanten Vorgaben erfüllen und regeln sollten, z.B. Informations- und Prüfungsrechte der beaufsichtigten Unternehmen bzw. der Aufsicht.
Auch auf europäischer Ebene ist das Thema in den aufsichtlichen Fokus gerückt. Auf Ebene von EIOPA und EBA, innerhalb des SSM, aber auch bilateral zwischen den nationalen Aufsichtsbehörden hat sich mittlerweile ein stetiger Austausch über den Umgang mit Auslagerungen an Cloud-Anbieter entwickelt.
Mit dieser Orientierungshilfe teilen die BaFin und die Deutsche Bundesbank ihre gemeinsame Einschätzung zur Auslagerung an Cloud-Anbieter mit. Durch die Orientierungshilfe werden allerdings keine neuen Anforderungen gestellt, sondern die derzeitige aufsichtliche Praxis in solchen Auslagerungsfällen wiedergegeben. Durch sie soll insbesondere die aufsichtliche Einschätzung zu verschiedenen Formulierungen in Vertragsklauseln transparent werden. Der deutschen Aufsicht sind allerdings nicht alle (Standard-)Verträge bzw. vertraglichen Zusatzvereinbarungen bekannt, sodass die Orientierungshilfe keinen Anspruch auf Vollständigkeit erhebt.
Die Orientierungshilfe verfolgt zudem insbesondere das Ziel, für die beaufsichtigten Unternehmen ein Problembewusstsein im Umgang mit Cloud-Diensten und den damit verbundenen aufsichtsrechtlichen Anforderungen zu schaffen. In diesem Zusammenhang weist die Orientierungshilfe auf wesentliche Aspekte hin, die beaufsichtigte Unternehmen bei einer Auslagerung an Cloud-Anbieter z.B. im Rahmen der Risikoanalyse und der vertraglichen Gestaltung beachten sollten; sie ist aber nicht abschließend.