Ausgliederungsbeauftragter nach VAG: Aufgaben & Überwachung

Versicherungsunternehmen unterliegen bei der Auslagerung von Betriebsprozessen strengen aufsichtsrechtlichen Leitplanken. Die regulatorische Grundregel ist im Versicherungsaufsichtsgesetz unmissverständlich geregelt: Ein Versicherungsunternehmen, das Funktionen oder Versicherungstätigkeiten auf externe Dienstleister überträgt, bleibt für die Erfüllung aller aufsichtsrechtlichen Vorschriften voll verantwortlich. Eine rechtliche Delegation der Verpflichtungen auf den Dienstleister ist ausgeschlossen.

Der Vorstand eines Versicherers trägt die unübertragbare Letztverantwortung für die ordnungsgemäße Geschäftsorganisation nach § 23 VAG. Um dieser Steuerungspflicht bei Ausgliederungen nachzukommen, fordert die Aufsicht die Benennung qualifizierter Beauftragter. Ein interner oder externer Ausgliederungsbeauftragte übernimmt als aufsichtsrechtliche Schlüsselfunktion im Sinne des § 47 Nr. 1 VAG die zentrale Überwachung aller ausgelagerten Funktionen und stellt die Schnittstelle zur Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) sicher.

Nicht jede externe Vergabe stellt eine aufsichtsrechtlich relevante Ausgliederung dar. Die regulatorischen Anforderungen differenzieren scharf nach der Kritikalität der betroffenen Prozesse für den Versicherungsbetrieb.

Gemäß § 32 Abs. 2 VAG muss die Ausgliederung zwingend garantieren, dass die Steuerungs- und Kontrollmöglichkeiten des Vorstands sowie die Prüfungs- und Kontrollrechte der Aufsichtsbehörde zu keinem Zeitpunkt beeinträchtigt werden.

Das regulatorische Umfeld für Versicherer hat sich grundlegend verschärft. Seit dem Jahr 2025 greifen zwei maßgebliche Regelwerke ineinander, die das Auslagerungsmanagement neu strukturieren.

Die BaFin hat die Mindestanforderungen an die Geschäftsorganisation von Versicherungsunternehmen grundlegend überarbeitet und als Rundschreiben 09/2025 (VA) veröffentlicht. Dieses Rundschreiben ist am 14. Oktober 2025 in Kraft getreten und ersetzt das bisherige Rundschreiben 02/2017 (VA). Zu den zentralen Schärfungen gehören die stärkere Steuerung auf Gruppenebene sowie die systematische Verankerung von Nachhaltigkeitsrisiken in der Governance.

Ergänzend zur nationalen Aufsicht ist der Digital Operational Resilience Act (DORA) seit dem 17. Januar 2025 unmittelbar anwendbar. DORA vereinheitlicht das Management von Informations- und Kommunikationstechnologie-Drittparteienrisiken (IKT) in Europa und fordert von Finanzunternehmen lückenlose Kontrollmechanismen gegenüber Software- und Cloud-Anbietern.

Die Kombination aus MaGo Rundschreiben 09/2025 (VA) und DORA verlangt von der Aufsichtskoordination eine Verzahnung juristischer und technischer Überwachungsprozesse.

Jeder Vertragsunterzeichnung muss eine strukturierte Risikobewertung vorausgehen. Eine nachträgliche Legitimierung von Ausgliederungsrisiken wird von der Aufsichtsbehörde in Prüfungen umgehend beanstandet.

Nach den Vorgaben des MaGo-Rundschreibens 09/2025 (VA) müssen Versicherungsunternehmen für alle als relevant eingestuften Risikokategorien explizite Wesentlichkeitsgrenzen festlegen. Diese Schwellenwerte bestimmen, ob eine Ausgliederung als wichtig einzustufen ist und welche Überwachungstiefe erforderlich wird. Ein Risikomanagementbeauftragter bindet diese Werte direkt in das Risikoprofil des Unternehmens ein.

Neben rein finanziellen Kennzahlen verlangt Kapitel 7 des MaGo-Rundschreibens 09/2025 (VA) eine Evaluierung der Risikokultur der Organisation und der eingebundenen Partner. Vor Vertragsschluss ist eine fundierte Compliance-Risikoanalyse zur Bonität, Reputation und Leistungsfähigkeit des externen Dienstleisters durchzuführen.

Ergibt die Risikoanalyse eine hohe Materialität, muss das Gesamtergebnis dem Vorstand vor der Ausgliederungsentscheidung vorgelegt werden.

Der Ausgliederungsvertrag bildet das zentrale Fundament der aufsichtsrechtlichen Steuerung. Mängel im Vertragswerk führen bei einer BaFin-Prüfung zur förmlichen Beanstandung und können Anordnungen zur Vertragsanpassung nach sich ziehen.

Gemäß § 32 Abs. 2 VAG muss das ausgliedernde Unternehmen sicherstellen, dass es selbst, seine Abschlussprüfer und die Aufsichtsbehörde auf alle Daten der betroffenen Funktionen zugreifen können. Zudem muss der Dienstleister mit der Aufsichtsbehörde zusammenarbeiten und ihr Zugangsrechte zu seinen Räumen einräumen, die die BaFin selbst oder durch Dritte ausüben kann.

Bei IKT-Dienstleistungen regelt Artikel 30 DORA die zwingend erforderlichen Vertragsinhalte, von Leistungsbeschreibung und Servicelevels über Prüf- und Zugangsrechte bis zu Kündigungsrechten. Dazu gehören auch klare Vorgaben zur Weitervergabe von Leistungen an Sub-Dienstleister.

Werden wichtige Funktionen oder Versicherungstätigkeiten auf ein Unternehmen mit Sitz in einem Drittstaat ausgegliedert, ist nach § 32 Abs. 4 Satz 3 VAG vertraglich sicherzustellen, dass dieses Unternehmen einen inländischen Zustellungsbevollmächtigten benennt, an den Bekanntgaben und Zustellungen durch die Aufsichtsbehörde bewirkt werden können.

Mit dem Vertragsschluss beginnt die kontinuierliche Kontrollphase. Versicherungsunternehmen müssen nach § 29 VAG über ein wirksames internes Kontrollsystem (IKS) mit angemessener unternehmensinterner Berichterstattung verfügen; ein Ausgliederungsvertrag ohne laufendes Monitoring läuft diesen Anforderungen zuwider. Zudem sind die ausgegliederten Funktionen und Versicherungstätigkeiten nach § 32 Abs. 4 VAG ausdrücklich in das Risikomanagement einzubeziehen.

Artikel 28 Abs. 3 DORA verpflichtet Finanzunternehmen zur Führung und laufenden Aktualisierung eines Informationsregisters über sämtliche vertraglichen Vereinbarungen zur Nutzung von IKT-Dienstleistungen. Das Register muss klar zwischen Vereinbarungen unterscheiden, die kritische oder wichtige Funktionen unterstützen, und sonstigen IT-Services.

Mit dem MaGo-Rundschreiben 09/2025 (VA) fordert die BaFin in Kapitel 9 eine verstärkte Überwachung automatisierter Geschäftsabläufe. Wenn Dienstleister KI-basierte Systeme oder automatisierte Dunkelverarbeitungen einsetzen, müssen diese Abläufe vor dem Einsatz sowie im laufenden Betrieb unabhängig bewertet und qualitätsgesichert werden.

Erkenntnisse aus dem laufenden Monitoring müssen direkt in die jährliche Überprüfung der Risiko- und Solvabilitätsbeurteilung (ORSA) einfließen.

Aufsichtsrecht fordert Voraussicht: Versicherer müssen bereits bei Vertragsschluss regeln, wie die Dienstleistung geordnet beendet oder auf einen alternativen Anbieter übertragen werden kann.

Bei der Ausgliederung wichtiger Funktionen müssen Versicherer nach § 32 Abs. 3 VAG sicherstellen, dass wesentliche Beeinträchtigungen der Qualität der Geschäftsorganisation, eine übermäßige Steigerung des operationellen Risikos sowie eine Gefährdung der kontinuierlichen und zufriedenstellenden Dienstleistung für die Versicherungsnehmer vermieden werden. Ergänzend verlangt Artikel 28 Abs. 8 DORA, dass Finanzunternehmen für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, Ausstiegsstrategien einrichten.

Die Notfall- und Exit-Planung muss betriebsnah getestet werden. Dazu gehören Vereinbarungen über Datenmigrationsformate, Übergangsfristen und die Verpflichtung des bisherigen Dienstleisters zur Mitwirkung während der Migrationsphase.

Fehlt ein funktionierendes Notfallkonzept, droht bei Leistungsunterbrechungen eines kritischen Providers ein unmittelbarer Organisationsmangel nach § 23 VAG.

Die manuelle Überwachung von DORA-Informationsregistern, BaFin-Anzeigepflichten und Dienstleister-SLAs über dezentrale Tabellen erzeugt unkalkulierbare Haftungsrisiken. Verpassen Verantwortliche gesetzliche Meldefristen oder Nachweisdokumentationen, drohen persönliche Bußgelder nach § 130 OWiG wegen Verletzung der Aufsichtspflicht.

Wir lösen diese operative Herausforderung mit einer integrierten Plattform, die Vertragsdaten, Fristenüberwachungen, Risikobewertungen und SLA-Reports in einem zentralen System bündelt. Ausgliederungsverantwortliche steuern alle Prüfschritte nach § 32 VAG und DORA revisionssicher über eine einzige Benutzeroberfläche.

Auf unserer Plattform wählen Versicherungsunternehmen exakt die Betriebsform, die zu ihrer Organisation passt:

Mit lückenlosen Audit-Trails garantieren wir, dass Ihre Ausgliederungsorganisation jederzeit prüfbereit ist, wenn die BaFin Einsicht fordert.

Der Ausgliederungsbeauftragte überwacht Dienstleister, an die ein Versicherungsunternehmen wichtige Funktionen übertragen hat. Gemäß § 32 VAG stellt er sicher, dass die Steuerungs- und Kontrollmöglichkeiten des Vorstands sowie die Prüfungsrechte der BaFin durch die Ausgliederung nicht beeinträchtigt werden. Er fungiert als zentrale Schnittstelle zwischen Dienstleister und internem Risikomanagement.

Die überarbeiteten Mindestanforderungen an die Geschäftsorganisation (Rundschreiben 09/2025) treten am 14. Oktober 2025 in Kraft. Sie zwingen Versicherer dazu, Wesentlichkeitsgrenzen für alle relevanten Risiken im Rahmen von Ausgliederungen noch schärfer zu definieren und Nachhaltigkeitsrisiken fest im Risikomanagement zu verankern.

Der Digital Operational Resilience Act (DORA) gilt seit dem 17. Januar 2025 verbindlich. Er verschärft die Anforderungen an das Management von Drittparteienrisiken im IT-Bereich massiv. Versicherer müssen kritische IKT-Dienstleister engmaschig überwachen und strenge Vorgaben für Unterauftragsvergaben in den Verträgen verankern.

Nach § 32 Abs. 2 VAG muss zwingend vertraglich gesichert sein, dass die Aufsichtsbehörde (BaFin), das Unternehmen selbst und externe Abschlussprüfer jederzeit Zugriffs- und Zugangsrechte zu den Räumlichkeiten und Daten des Dienstleisters erhalten. Fehlen diese Klauseln, ist der Ausgliederungsvertrag aufsichtsrechtlich ungültig.

Ja. Die MaGo schreiben vor, dass Notfallmaßnahmen und Exit-Szenarien bereits bei Vertragsabschluss vertraglich und prozessual festgelegt sein müssen. Das Unternehmen muss detailliert nachweisen können, wie der Geschäftsbetrieb fortgeführt wird, falls der Dienstleister ausfällt oder der Vertrag kurzfristig beendet wird.