{"id":"bgbl1-2022-45-6","kind":"bgbl1","year":2022,"number":45,"date":"2022-11-28T00:00:00Z","url":"https://offenegesetze.de/veroeffentlichung/bgbl1/2022/45#page=27","api_url":"https://api.offenegesetze.de/v1/veroeffentlichung/bgbl1-2022-45-6/","document_url":"https://media.offenegesetze.de/bgbl1/2022/bgbl1_2022_45.pdf#page=27","order":6,"title":"Zweite Verordnung zur Änderung der ZAG-Anzeigenverordnung","law_date":"2022-11-23T00:00:00Z","page":2087,"pdf_page":27,"num_pages":4,"content":["Bundesgesetzblatt Jahrgang 2022 Teil I Nr. 45, ausgegeben zu Bonn am 28. November 2022           2087\nZweite Verordnung\nzur Änderung der ZAG-Anzeigenverordnung\nVom 23. November 2022\nAuf Grund des § 28 Absatz 4 Satz 1, 3 und 4 des              1. eine vom Institut vergebene Referenznummer\nZahlungsdiensteaufsichtsgesetzes vom 17. Juli 2017                 für jeden Auslagerungsvertrag,\n(BGBl. I S. 2446; 2019 I S. 1113) in Verbindung mit             2. Angaben zum Beginn und, sofern vereinbart,\n§ 1e der Verordnung zur Übertragung von Befugnissen                zum Ende der Vertragslaufzeit sowie gegebe-\nzum Erlass von Rechtsverordnungen auf die Bundes-                  nenfalls zum Zeitpunkt der nächsten Vertrags-\nanstalt für Finanzdienstleistungsaufsicht vom 13. De-              verlängerung und zu den Kündigungsfristen,\nzember 2002 (BGBl. I 2003 S. 3), von denen § 28 Ab-\nsatz 4 Satz 1 durch Artikel 6 Nummer 7 Buchstabe b              3. die Bezeichnung der auszulagernden oder aus-\nDoppelbuchstabe aa des Gesetzes vom 3. Juni 2021                   gelagerten Aktivitäten und Prozesse, einschließ-\n(BGBl. I S. 1534) geändert worden ist und § 1e durch               lich einer Bezeichnung der Daten, die im Rah-\nArtikel 1 Nummer 3 der Verordnung vom 22. Dezember                 men der Auslagerung übermittelt werden oder\n2021 (BGBl. I S. 5255) eingefügt worden ist, verordnet             wurden, sowie die Angabe, ob personenbezo-\ndie Bundesanstalt für Finanzdienstleistungsaufsicht im             gene Daten übermittelt werden oder wurden\nEinvernehmen mit der Deutschen Bundesbank und                      und ob das Auslagerungsunternehmen mit der\nnach Anhörung der Spitzenverbände der Institute:                   Verarbeitung personenbezogener Daten beauf-\ntragt wird oder worden ist,\nArtikel 1                               4. eine Kategorie, die die Art der Aktivitäten und\nDie ZAG-Anzeigenverordnung vom 15. Oktober                      Prozesse widerspiegelt und die die Ermittlung\n2009 (BGBl. I S. 3603), die zuletzt durch Artikel 7                verschiedener Arten von Vereinbarungen er-\nAbsatz 36 des Gesetzes vom 12. Mai 2021 (BGBl. I                   möglicht,\nS. 990) geändert worden ist, wird wie folgt geändert:           5. die Angabe, ob in Teilen oder im Ganzen aus-\n1. In § 1 wird folgender Absatz 3 angefügt:                        gelagert wird oder worden ist,\n„(3) Auf Verlangen der Bundesanstalt oder der             6. die Firma, die Handelsregisternummer sowie\nDeutschen Bundesbank ist für Anzeigen und Unter-                gegebenenfalls die Rechtsträgerkennung, die\nlagen ein elektronischer Einreichungsweg zu nutzen.             im Handelsregister eingetragene Adresse und\nNähere Bestimmungen zum jeweiligen elektroni-                   sonstige relevante Kontaktangaben des Aus-\nschen Einreichungsweg treffen die Bundesanstalt                 lagerungsunternehmens und die Firma des Mut-\nund die Deutsche Bundesbank auf ihrer jeweiligen                terunternehmens,\nInternetseite.“                                              7. den Staat, in dem der Dienst erbracht werden\n2. § 8 wird wie folgt gefasst:                                     soll oder wird, einschließlich des Standortes,\nan dem die Daten gespeichert werden sollen\n„§ 8\noder werden,\nAnzeigen nach § 26 Absatz 2 Satz 1\n8. das Datum der letzten Bewertung der Wesent-\nund Absatz 4 oder § 28 Absatz 1 Nummer 10\nlichkeit der auszulagernden oder ausgelagerten\ndes Zahlungsdiensteaufsichtsgesetzes\nAktivitäten und Prozesse und die Angabe, warum\n(Wesentliche Auslagerungen)\ndie Auslagerung als wesentlich eingestuft wird,\n(1) In einer Anzeige nach § 26 Absatz 2 Satz 1\noder § 28 Absatz 1 Nummer 10 des Zahlungsdiens-              9. bei der Auslagerung zu einem Cloud-Anbieter\nteaufsichtsgesetzes sind die beabsichtigten Vor-                das Cloud-Dienstmodell, das Cloud- Bereitstel-\nkehrungen gemäß § 26 Absatz 1 Satz 1 des Zah-                   lungsmodell und die Art der betreffenden Daten\nlungsdiensteaufsichtsgesetzes zu beschreiben und                sowie die Standorte, an denen diese Daten ge-\nEntwürfe der Auslagerungsverträge gemäß § 26 Ab-                speichert werden sollen oder werden,\nsatz 1 Satz 6 des Zahlungsdiensteaufsichtsgesetzes          10. die Institute und sonstigen Unternehmen im auf-\neinzureichen. Mit der Vollzugsanzeige nach § 28 Ab-             sichtlichen Konsolidierungskreis, die von der\nsatz 1 Nummer 10 des Zahlungsdiensteaufsichtsge-                Auslagerung Gebrauch machen, sofern ein-\nsetzes ist der geschlossene Vertrag einzureichen.               schlägig,\n(2) Anzeigen nach § 26 Absatz 2 Satz 1 oder § 28         11. die Angabe, ob das Auslagerungsunternehmen\nAbsatz 1 Nummer 10 des Zahlungsdiensteaufsichts-                oder ein von ihm beauftragtes Subunternehmen\ngesetzes über die Absicht und den Vollzug einer we-             Teil der Gruppe im Sinne des § 1 Absatz 6 des\nsentlichen Auslagerung müssen weiterhin folgende                Zahlungsdiensteaufsichtsgesetzes ist, zu dem\nInformationen enthalten:                                        das Institut gehört, oder sich im Eigentum von","2088         Bundesgesetzblatt Jahrgang 2022 Teil I Nr. 45, ausgegeben zu Bonn am 28. November 2022\nanderen Instituten innerhalb der Institutsgruppe        1. Vertragsänderungen von wesentlicher Bedeu-\nbefindet, zu der das Institut gehört, sofern ein-           tung,\nschlägig,                                               2. Vereinbarungen zusätzlicher vertraglicher Rege-\n12. das Datum der letzten Risikoanalyse und eine                 lungen, insbesondere die Vereinbarung zusätz-\nZusammenfassung der Ergebnisse dieser Risi-                 licher Leistungen,\nkoanalyse,                                              3. Änderung der Bewertung, ob eine Auslagerung\n13. die Benennung der Personen und ihrer Funktion                als wesentlich oder unwesentlich einzustufen ist,\noder des Entscheidungsgremiums des Instituts,           4. wesentlichen Abweichungen, die sich aufgrund\ndie oder das den Auslagerungsvertrag geneh-                 einer neuen oder geänderten Risikoanalyse be-\nmigt haben oder hat, sowie gegebenenfalls das               züglich der Auslagerung ergeben,\nDatum der Genehmigung,\n5. Abschluss neuer Subauslagerungen wesentlicher\n14. das auf den Auslagerungsvertrag anwendbare                   Teile einer wesentlichen Aktivität oder eines\nRecht,                                                      wesentlichen Prozesses,\n15. gegebenenfalls das Datum der letzten und der             6. Änderung der Bewertung zur Ersetzbarkeit des\nnächsten geplanten Prüfung durch das Institut               Auslagerungsunternehmens,\nbeim Auslagerungsunternehmen,\n7. nachträglicher Verlagerung der Erbringung von\n16. gegebenenfalls die Firmen und die Handels-                   Dienstleistungen in Drittstaaten durch das Aus-\nregisternummern oder andere eindeutige Identi-              lagerungsunternehmen oder seine beauftragten\nfikationsnummern von durch das Auslagerungs-                Subunternehmen,\nunternehmen beauftragten Subunternehmen, an\n8. Kündigung oder sonstiger Beendigung des Aus-\ndie wesentliche Teile einer wesentlichen Aktivi-\nlagerungsvertrags,\ntät oder eines wesentlichen Prozesses weiter\nausgelagert werden sollen oder wurden, jeweils          9. Kenntnis des Instituts von der Übernahme der\neinschließlich                                              Kontrolle über das Auslagerungsunternehmen\ndurch ein anderes Unternehmen.\na) des Staates, in dem diese beauftragten Unter-\nnehmen registriert sind,                             Zeigt ein Institut eine wesentliche Änderung einer\nwesentlichen Auslagerung an, die zum Zeitpunkt\nb) des Standorts, an dem die Dienstleistung er-         des Inkrafttretens dieser Verordnung bereits be-\nbracht werden soll oder wird, und                    stand, sind zudem die Daten nach Absatz 2 anzu-\nc) gegebenenfalls des Standorts, an dem die             zeigen.\nDaten gespeichert werden sollen oder wer-               (4) Anzeigen nach den Absätzen 1 bis 3 sind\nden,                                                 elektronisch über die Melde- und Veröffentlichungs-\n17. das Ergebnis der Bewertung der Ersetzbarkeit             plattform der Bundesanstalt einzureichen.\ndes Auslagerungsunternehmens durch                         (5) Anzeigen nach § 28 Absatz 1 Nummer 10 des\na) die Zuordnung zu den Kategorien „leicht“,            Zahlungsdiensteaufsichtsgesetzes über schwerwie-\n„schwierig“ oder „unmöglich“,                        gende Vorfälle im Rahmen von bestehenden we-\nsentlichen Auslagerungen, die einen wesentlichen\nb) die Angabe der Möglichkeit einer Wiederein-          Einfluss auf die Geschäftstätigkeit des Instituts ha-\ngliederung der wesentlichen Aktivität oder           ben können, sind insbesondere einzureichen bei\ndes wesentlichen Prozesses in das Institut\nund                                                   1. nicht nur kurzfristiger Unterbrechung oder Un-\nmöglichkeit der Erbringung der ausgelagerten\nc) die Angabe der Auswirkungen einer etwaigen                 wesentlichen Aktivitäten oder des wesentlichen\nEinstellung der wesentlichen Aktivität oder                Prozesses,\ndes wesentlichen Prozesses,\n2. erheblichen Vertragsverletzungen durch das\n18. die Angabe, ob alternative Auslagerungsunter-                  Auslagerungsunternehmen,\nnehmen gemäß der Bewertung nach Nummer 17\nBuchstabe a vorhanden sind,                              3. erheblichen Rechtsverstößen, insbesondere\ndurch den Wegfall der aufsichtsrechtlichen Vor-\n19. die Angabe, ob die auszulagernde oder ausge-                   aussetzungen der Auslagerung, durch umfas-\nlagerte wesentliche Aktivität oder der auszula-               sende Einschränkungen von Informations- und\ngernde oder ausgelagerte wesentliche Prozess                  Prüfrechten des Instituts oder der Bundesan-\nGeschäftsvorgänge unterstützt, die zeitkritisch               stalt oder durch Verstöße des Auslagerungs-\nsind, und                                                     unternehmens gegen datenschutzrechtliche Be-\n20. das für die Auslagerung veranschlagte jährliche                stimmungen,\nBudget oder die damit verbundenen Kosten.                4. fehlender oder nur sehr unzureichender Bereit-\n(3) Anzeigen nach § 26 Absatz 4 oder § 28                       schaft des Auslagerungsunternehmens, auf-\nAbsatz 1 Nummer 10 des Zahlungsdiensteauf-                         sichtliche Anordnungen umzusetzen oder an\nsichtsgesetzes über wesentliche Änderungen einer                   deren Umsetzung mitzuwirken, insbesondere\nbestehenden wesentlichen Auslagerung die einen                     im Rahmen der Missstandsbeseitigung und\nwesentlichen Einfluss auf die Geschäftstätigkeit                   -vermeidung,\ndes Instituts haben können, sind insbesondere ein-            5. erheblichen Sicherheitsvorfällen im Zusammen-\nzureichen bei                                                      hang mit den ausgelagerten Aktivitäten und","Bundesgesetzblatt Jahrgang 2022 Teil I Nr. 45, ausgegeben zu Bonn am 28. November 2022               2089\nProzessen beim Institut oder beim Auslage-                  9. fehlender oder unzureichender Unterstützung\nrungsunternehmen,                                              durch das Auslagerungsunternehmen bei Been-\n6. unzureichendem Risiko- und Notfallmanagement                   digung der Auslagerung,\ndes Auslagerungsunternehmens,                             10. drohender Zahlungsunfähigkeit des Auslage-\n7. unzureichenden Ressourcen des Auslagerungs-                    rungsunternehmens,\nunternehmens für die ordnungsgemäße Aus-                  11. Kenntnis des Instituts von schwerwiegenden\nführung der ausgelagerten Aktivitäten oder Pro-                Reputationsschäden beim Auslagerungsunter-\nzesse,                                                         nehmen,\n8. Kenntnis des Instituts von Umständen, nach de-            12. Konflikten am Sitz des Auslagerungsunterneh-\nnen eine leitende Person des Auslagerungsun-                   mens in Drittstaaten, die zu einer wesentlichen\nternehmens nicht als zuverlässig betrachtet                    Gefährdung der ausgelagerten Aktivitäten und\nwerden kann,                                                   Prozesse führen oder dazu führen könnten.“\n3. In Anlage 6 wird die Tabelle unter Ziffer 2 wie folgt gefasst:\n„Beteiligungsunternehmen3\n⃞ CRR-Kreditinstitut                ⃞ Wertpapierinstitut                        ⃞ E-Geld-Institut\n(§ 1 Abs. 3d Satz 1 KWG)           (§ 2 Abs. 1 WpIG)                           (§ 1 Abs. 2 Satz 1 Nr. 1 ZAG)\n⃞ sonstiges Kreditinstitut          ⃞ Finanzdienstleistungsinstitut             ⃞ Kapitalverwaltungsgesellschaft\n(§ 1 Abs. 1 KWG)                   (§ 1 Abs. 1a KWG)                           (§ 17 KAGB)\n⃞ Finanzinstitut                    ⃞ Finanzunternehmen                         ⃞ Anbieter von Nebendienstleistungen\n(Art. 4 Abs. 1 Nr. 26 CRR4)        (§ 1 Abs. 3 KWG)                            (Art. 4 Abs. 1 Nr. 18 CRR)\n⃞ Finanzholding-Gesellschaft        ⃞ gemischte Finanzholding-Gesellschaft      ⃞ Versicherungsunternehmen\n(Art. 4 Abs. 1 Nr. 20 CRR)         (Art. 4 Abs. 1 Nr. 21 CRR)                  (§ 7 Nr. 33 VAG)\n⃞ Versicherungsunternehmen          ⃞ Versicherungs-Holdinggesellschaft         ⃞ Zahlungsinstitut\neines Drittstaats                  (§ 7 Nr. 31 VAG)                            (§ 1 Abs. 1 Satz 1 Nr. 1 ZAG)\n(§ 7 Nr. 34 VAG)\n⃞ sonstiges Unternehmen“\n4. In Anlage 7 wird die Tabelle unter Ziffer 3 wie folgt gefasst:\n„Anteilseigner1, 15\n⃞ CRR-Kreditinstitut                ⃞ Wertpapierinstitut                        ⃞ E-Geld-Institut\n(§ 1 Abs. 3d Satz 1 KWG)           (§ 2 Abs. 1 WpIG)                           (§ 1 Abs. 2 Satz 1 Nr. 1 ZAG)\n⃞ sonstiges Kreditinstitut          ⃞ Finanzdienstleistungsinstitut             ⃞ Kapitalverwaltungsgesellschaft\n(§ 1 Abs. 1 KWG)                   (§ 1 Abs. 1a KWG)                           (§ 17 KAGB)\n⃞ Finanzinstitut                    ⃞ Finanzunternehmen                         ⃞ Anbieter von Nebendienstleistungen\n(Art. 4 Abs. 1 Nr. 26 CRR16)       (§ 1 Abs. 3 KWG)                            (Art. 4 Abs. 1 Nr. 18 CRR)\n⃞ Finanzholding-Gesellschaft        ⃞ gemischte Finanzholding-Gesellschaft      ⃞ Versicherungsunternehmen\n(Art. 4 Abs. 1 Nr. 20 CRR)         (Art. 4 Abs. 1 Nr. 21 CRR)                  (§ 7 Nr. 33 VAG)\n⃞ Versicherungsunternehmen          ⃞ Versicherungs-Holdinggesellschaft         ⃞ Zahlungsinstitut\neines Drittstaats                  (§ 7 Nr. 31 VAG)                            (§ 1 Abs. 1 Satz 1 Nr. 1 ZAG)\n(§ 7 Nr. 34 VAG)\n⃞ sonstiges Unternehmen             ⃞ sonstier Anteilseigner“\n5. In Anlage 8 wird die Tabelle unter Ziffer 3 wie folgt gefasst:\n„Beteiligungsunternehmen1\n⃞ CRR-Kreditinstitut                ⃞ Wertpapierinstitut                        ⃞ E-Geld-Institut\n(§ 1 Abs. 3d Satz 1 KWG)           (§ 2 Abs. 1 WpIG)                           (§ 1 Abs. 2 Satz 1 Nr. 1 ZAG)\n⃞ sonstiges Kreditinstitut          ⃞ Finanzdienstleistungsinstitut             ⃞ Kapitalverwaltungsgesellschaft\n(§ 1 Abs. 1 KWG)                   (§ 1 Abs. 1a KWG)                           (§ 17 KAGB)\n⃞ Finanzinstitut                    ⃞ Finanzunternehmen                         ⃞ Anbieter von Nebendienstleistungen\n(Art. 4 Abs. 1 Nr. 26 CRR14)       (§ 1 Abs. 3 KWG)                            (Art. 4 Abs. 1 Nr. 18 CRR)\n⃞ Finanzholding-Gesellschaft        ⃞ gemischte Finanzholding-Gesellschaft      ⃞ Versicherungsunternehmen\n(Art. 4 Abs. 1 Nr. 20 CRR)         (Art. 4 Abs. 1 Nr. 21 CRR)                  (§ 7 Nr. 33 VAG)\n⃞ Versicherungsunternehmen eines    ⃞ Versicherungs-Holdinggesellschaft         ⃞ Zahlungsinstitut\nDrittstaats                        (§ 7 Nr. 31 VAG)                            (§ 1 Abs. 1 Satz 1 Nr. 1 ZAG)\n(§ 7 Nr. 34 VAG)\n⃞ sonstiges Unternehmen“","2090 Bundesgesetzblatt Jahrgang 2022 Teil I Nr. 45, ausgegeben zu Bonn am 28. November 2022\nArtikel 2\nDiese Verordnung tritt am Tag nach der Verkündung in Kraft.\nBonn, den 23. November 2022\nDer Präsident\nder Bundesanstalt für Finanzdienstleistungsaufsicht\nMark Branson"]}