Gesetz zur Stärkung der Finanzmarktintegrität: Stärkung der Finanzaufsicht im Bereich der Auslagerungen

Im Zusammenhang mit den Erkenntnissen im Fall Wirecard hat der Gesetzgeber die bestehenden Regelungen zur Bilanzkontrolle, Abschlussprüfung und Finanzmarktaufsicht überarbeitet, mit dem Ziel, die Rechte der Finanzmarktaufsicht zu stärken.

Bisher wurden Finanzmarktteilnehmer wie Banken, Finanzdienstleister und Zahlungsdienstleister in einem zweistufigen Bilanzkontrollverfahren beaufsichtigt. Die Kontrollmechanismen werden nun durch das Gesetz zur Stärkung der Finanzmarktintegrität (“FISG”) grundlegend überarbeitet. Das Gesetz wurde am 10.06.2021 verkündet. Zentrale Änderungen des Aufsichtsmechanismus sind bereits seit dem 01.07.2021 gültig oder treten zusätzlich mit Beginn des Jahres 2022 in Kraft. Im Ergebnis soll ein stärker zentral geprägtes System mit unmittelbar hoheitlichen Befugnissen der BaFin künftig mehr Sicherheit und Integrität gewährleisten.

Stärkung eigener BaFin-Prüfungsrechte

Zur Erreichung einer verbesserten Bilanzkontrolle werden der BaFin stärkere Prüfungs- und Informationsrechte eingeräumt. Hierzu zählt ein eigenes Prüfungsrecht gegenüber allen kapitalmarktorientierten Unternehmen unter Einschluss von Auskunftsrechten gegenüber Dritten, der Möglichkeit forensischer Prüfungen sowie des Rechts, die Öffentlichkeit früher als bisher über das Vorgehen bei der Bilanzkontrolle zu informieren. Dieser Kernbereich des FISG wird durch neue Regelungen für die Abschlussprüfer, des Bilanzstrafrechts und des Geldwäscherechts ergänzt.

Der vorliegende Beitrag knüpft an den bereits erschienen Beitrag “Überblick zu den zentralen Inhalten aus Sicht börsennotierter Unternehmen und ihrer Organe” an und setzt diesen mit der im FISG vorgesehenen Änderung des Auslagerungsrechts fort.

Gerade der Aspekt der Beaufsichtigung von Auslagerungsverhältnissen wurde im Zusammenhang mit den Vorfällen rund um die Wirecard AG als aufsichtsrechtliche Lücke angesehen, da die BaFin die Wirecard AG als Auslagerungsunternehmen der Wirecard Bank AG auf Grundlage bestehenden Rechts, außerhalb von Sonderprüfungen nach § 44 KWG, nur unzureichend beaufsichtigen und prüfen konnte. Das FISG sieht nun vor, die Beaufsichtigung von Auslagerungsunternehmen engmaschiger zu regeln und die BaFin mit weiterreichenden Prüfungsrechten als bislang auszustatten.

Unmittelbare Eingriffsmöglichkeiten und Verschärfung von Bußgeldtatbeständen

Änderungen der Regelungen zur Auslagerung sieht das FISG für das KWG, das ZAG, das KAGB und das WpHG vor, die weitgehend gleichlaufend sind. Auslagerungsbezogene Änderungen des VAG sind demgegenüber nicht vorgesehen. Die BaFin, so die Begründung, habe im Versicherungsbereich bereits jetzt alle notwendigen Eingriffsbefugnisse.

Der BaFin werden nun unmittelbare Eingriffsmöglichkeiten gegenüber externen Dienstleistern, die nicht selbst beaufsichtigt werden, nicht nur im Rahmen von Sonderprüfungen, sondern eigenständig zugesprochen. Darüber hinaus werden neue Anzeigepflichten geschaffen und Bußgeldvorschriften erweitert und verschärft. Zur weiteren Verbesserung der Beaufsichtigung wird auch eine Pflicht zur Bestellung von Zustellungsbevollmächtigten für die Fälle eingeführt, in denen Auslagerungsunternehmen ihren Sitz außerhalb des EWR haben. Von besonderer praktischer Relevanz sind hier Auslagerungsbeziehungen in die Schweiz und USA sowie nach China, Indien, Russland und Japan.

Erweiterung der Definition des Auslagerungsunternehmens

Durch die im FISG vorgesehenen Änderungen der Aufsichtsgesetze wird der Begriff des Auslagerungsunternehmens – jeweils durch die Einfügung einer neuen Legaldefinition in § 1 Abs. 10 KWG und § 1 Abs. 10a ZAG – neu definiert. § 44 Abs. 1 Satz 2 Hs. 2 KWG beinhaltet bislang eine rudimentäre Legaldefinition des Auslagerungsunternehmens, die durch die vorgesehene neue Legaldefinition abgelöst und inhaltlich deutlich vertieft und erweitert würde. Das ZAG enthält bislang keine, auch nur rudimentäre, Legaldefinition. Durch die Einführungen der Legaldefinitionen in in § 1 Abs. 10 KWG und § 1 Abs. 10a ZAG würde die Begriffsbestimmung ausdrücklich gesetzlich vereinheitlicht und dadurch die Grundlage für weiterreichendere Prüfungs- und Kontrollrechte als bislang geschaffen. Materiell-rechtlich findet dieser Aspekt insbesondere dadurch Ausdruck, dass der Begriff – im Unterschied zu § 44 Abs. 1 Satz 2 Hs. 2 KWG und der bisherigen Verwaltungspraxis – auch auf solche Unternehmen erweitert wird, die nicht-wesentliche Auslagerungen für ein beaufsichtigtes Unternehmen ausüben, sowie auf Unter-Auslagerungsunternehmen, die wesentliche Aktivitäten und Prozesse im Rahmen einer Auslagerung übernehmen.

Nach der Begründung des FISG soll dadurch sichergestellt werden, dass auch Dienstleister als Auslagerungsunternehmen erfasst werden, welche ihre Dienstleistungen nicht unmittelbar für ein Institut, sondern für andere Auslagerungsunternehmen erbringen, die die Leistungen wiederum an das Institut (oder weiterere Unter-Auslagerungsunternehmen) weitergeben. Die jeweilige Legaldefinition dient zudem als Klarstellung der Reichweite der Befugnisse der BaFin. Es ist nach der Neuregelung im Hinblick auf die Eingriffsbefugnisse der BaFin unerheblich, ob es sich um ein beaufsichtigtes oder nicht beaufsichtigtes Unternehmen handelt. Damit geraten eine Vielzahl bislang nicht beaufsichtigter Unternehmen in das Aufsichtsradar der BaFin. Dazu gehören Unternehmen, die dem Konzern des beaufsichtigten Unternehmens angehören und konzerninterne Auslagerungsleistungen erbringen, oder Unternehmen, die zwar selbst von der BaFin beaufsichtigt werden aber, ergänzend, für andere beaufsichtigte Unternehmen Aktivitäten und Prozesse als Auslagerungsunternehmen erbringen. Schließlich ist damit, gerade im IT-Bereich, auch die große Zahl der konzernunabhängigen Unternehmen betroffen, die nach neuem Recht als Auslagerungsunternehmen einzustufen sind und Gegenstand eigenständiger Prüfungsaktivitäten der BaFin werden.

Anzeigepflichten und Auslagerungsregister

Neue Anzeigepflichten, wie etwa hinsichtlich der Absicht wesentlicher Auslagerungen, des Vollzugs einer wesentlichen und nicht wesentlichen Auslagerung sowie jeder Änderung der Beurteilung der Wesentlichkeit einer Auslagerung, sollen Konzentrationsrisiken vorbeugen. Sie sollen der BaFin auch zu einer Verbesserung der Übersicht über bestehende Auslagerungen und Auslagerungsunternehmen dienen. Zudem haben die Institute künftig ein detailliertes Auslagerungsregister einzurichten, aus dem sich alle wesentlichen und nicht wesentlichen Auslagerungen entnehmen lassen.

Hinsichtlich der Neuregelung der Anzeigepflichten ist festzustellen, dass diese in die Rechtslage des Jahres 1998 zurückführen. Die erstmalige Regelung der Auslagerung durch die Umsetzung der Wertpapierdienstleistungsrichtlinie durch die 6. KWG-Novelle sah in § 25a Abs. 2 S. 3 KWG a.F. im Hinblick auf wesentliche Auslagerungen eine Verpflichtung zur Absichts- und Vollzugsanzeige vor. Auf Wunsch der Verbände wurden diese Anzeigepflichten jedoch mit Wirkung zum 01.11.2007 als zu aufwändig aufgehoben und durch audrückliche Regelung von Auskunftsrechten der BaFin ersetzt. Diese konnten bei Anforderung durch die BaFin im Einzelfall nach wie vor auch entsprechende Anzeigepflichten einzelner Unternehmen umfassen. Durch das FISG werden nunmehr wieder allgemein umfangreiche Anzeigepflichten etabliert.

Besondere Berücksichtigung des Drittstaatenbezugs

Im Rahmen von Auslagerungen an Unternehmen mit Sitz in einem Drittstaat haben Institute nach Maßgabe des FISG vertraglich sicherzustellen, dass für diese ein inländischer Zustellungsbevollmächtigter benannt wird, an den Bekanntgaben und Zustellungen durch die BaFin vorgenommen werden können. Hier lässt sich sicher erwägen, den Zustellungsbevollmächtigen beim auslagernden Unternehmen anzusiedeln.

Unmittelbare Anordnungs-, Prüfungs- und Auskunftsrechte

Darüber hinaus wird der BaFin die Befugnis erteilt, Anordnungen auch unmittelbar gegenüber Auslagerungsunternehmen treffen zu dürfen. Ferner kann die Behörde Eingriffe gegenüber Unternehmen im Inland und Ausland vornehmen. Aufsichtsrechtlicher Anknüpfungspunkt für diese Eingriffsbefugnisse ist, dass Aktivitäten und Prozesse betroffen sind, die gegenüber einem beaufsichtigten Unternehmen erbracht werden. Eingriffsbefugnisse im Ausland, insbesondere gegenüber Unternehmen, die nicht dem Konzern des auslagernden Unternehmens angehören, dürften unter Aspekten des Verwaltungskollisionsrechts und des Völkerrechts im Einzelfall zu diskutieren sein. Es steht nicht zu erwarten, dass Drittstaaten ohne weiteres fremdes Verwaltungshandeln im eigenen Land zulassen.

Die Befugnisse gegenüber Auslagerungsunternehmen gehen weit und und sollen der Sicherstellung der aufsichtsrechtlichen Vorgaben entlang einer immer stärker aufgespaltenen Wertschöpfungskette dienen. So könnte die BaFin das Auslagerungsunternehmen zur Behebung konkreter Verstöße zu bestimmten Maßnahmen anweisen, aber auch – unabhängig von einem konkreten Verstoß – bspw. den Aufbau hinreichender Sachkompetenz in der Geschäftsleitung oder Änderungen der Geschäftsorganisation im Auslagerungsunternehmen anordnen. Auch hier sind jedoch die Beschränkungen durch den Verhältnismäßigkeitsgrundsatz zu beachten, der bei jedem staatlichen Eingriffshandeln Beachtung finden muss.

Darüber hinaus werden der BaFin weitgehende Prüfungs- und Auskunftsrechte gegenüber Auslagerungsunternehmen an die Hand gegeben werden, soweit ein Institut oder übergeordnetes Unternehmen wesentliche Aktivitäten und Prozesse im Sinne des § 25b KWG ausgelagert hat oder es sich um eine Auslagerung interner Sicherungsmaßnahmen nach § 25h Abs. 4 KWG oder § 6 Abs. 7 GwG handelt.

Möglicher Paradigmenwechsel

Gerade im Hinblick auf unmittelbare Anordnungs-, Prüfungs- und Auskunftsrechte geht das FISG erheblich über die Eingriffsbefugnisse hinaus, die der BaFin nach aktueller Rechtslage, insbesondere unter Beachtung der relevanten EBA-Leitlinien für Auslagerungen, zustehen. So fokussiert sich die Aufsicht – auch in Auslagerungskonstellationen – bislang hauptsächlich auf das beaufsichtigte, auslagernde Unternehmen. Dieses hat durch die vertragliche Gestaltung mit dem Auslagerungsunternehmen dafür Sorge zu tragen, dass die BaFin ihre Prüfungs- und Informationsrechte auch entlang der Auslagerungskette ausüben kann.

Unmittelbare aufsichtsrechtliche Befugnisse hat die BaFin, außerhalb des Sonderprüfungsrechts nach § 44 KWG, derzeit nicht. Dies ändert sich durch das FISG radikal. Zudem geraten durch die Gesetzesänderungen auch die nicht-wesentlichen Auslagerungen deutlich stärker als bislang in den Fokus. Dies muss bei der Ausgestaltung der entsprechenden Verträge berücksichtigt und bei bereits bestehenden Verträgen auch korrigiert werden.

Es kann vielleicht sogar von einem Paradigmenwechsel der Beaufsichtigung von Auslagerungen gesprochen werden, aus dem sich eine Reihe von Folgefragen ergeben:

• Wird die Letztverantwortlichkeit der zu erbringenden Tätigkeit nach wie vor beim auslagernden Unternehmen verbleiben?
• Welche Detailtiefe der Leistungsbeschreibungen und Weisungsrechte ist zukünftig erforderlich, wenn die BaFin auch gegenüber dem Auslagerungsunternehmen unmittelbare Eingriffsbefugnisse ausüben kann oder können soll?
• Welche Unterschiede bestehen zukünftig zwischen wesentlichen und nicht-wesentlichen Auslagerungen im Hinblick auf die aufsichtsrechtlichen Anforderungen – und welche praktische Bedeutung wird diese von den Instituten gestaltbare Unterscheidung zukünftig noch haben?

Diese und weitere Fragen werden erst dann rechtssicher zu beantworten sein, wenn sich zur zukünftigen Rechtslage auch eine neue Verwaltungspraxis der BaFin und EZB herausbildet. Die übernächste MaRisk-Novelle lässt diesbezügliche Ergänzungen und Konkretisierungen erwarten.

Inkrafttreten

Das Inkrafttreten der auslagerungsbezogenen Änderungen von KWG, ZAG, KAGB und WpHG ist durch das FISG stufenweise geregelt. Die neuen Pflichten der auslagernden Unternehmen, insbesondere zur Führung eines Auslagerungsregister, zu vertraglichen Anpassungen sowie zur Absichts-, Vollzugs- und Änderungsanzeige wesentlicher Auslagerung auch im KWG-Kontext, treten erst mit Beginn des Jahres 2022 in Kraft. Die erweiterten Aufsichtskompetenzen der BaFin sind demgegenüber bereits seit dem 01.07.2021 gültig. Zudem ist zu berücksichtigen, dass Wertpapierinstitute, die seit Ende Juni nach dem neu eingeführten Wertpapierinstitutegesetz (“WpIG”) anstatt wie bisher nach KWG beaufsichtigt werden, bereits jetzt die erweitereten auslagerungsbezogenen Pflichten einhalten müssen.

Handlungsbedarf

Es ist angesichts der Veränderungen somit bereits jetzt erforderlich, den Anpassungsbedarf bei der Planung und Gestaltung bereits bestehender und neuer Auslagerungsverhältnisse zu berücksichtigen. Unternehmen, die bislang als Dienstleister lediglich mit ihrem auslagernden Unternehmen verbunden waren, müssen sich auf Neuerungen die Beaufsichtigungspraxis einstellen und sich dafür wappnen, nun unmittelbar Gegenstand der Aufsicht durch BaFin und EZB zu sein. Darüber hinaus sollten die möglichen Auswirkungen des digitalisierungsbezogenen Digital Operational Resilience Act („DORA“) in Betracht gezogen werden, der einen Teilbereich der Auslagerung erfassen wird und voraussichtlich im Rahmen eines Verordnungsbegleitgesetzes die Neuregelungen des FISG im Bereich der Auslagerung wieder ändern wird.