DORA-konforme Verträge mit IT-Dienstleistern (Art. 28 ff.)

DORA-Vertragsgestaltung bezeichnet die Pflicht von Finanzunternehmen, Verträge mit IT- und KI-Dienstleistern nach Art. 28 ff. der Verordnung (EU) 2022/2554 (DORA) mit verbindlichen Klauseln auszustatten: Leistungsbeschreibung, Datenstandorte, Audit-Rechte, Exit/Kündigung, Sub-Outsourcing-Zustimmung, Vorfallsmeldung und Service-Level. DORA ist seit 17. Januar 2025 anwendbar und adressiert in der BaFin-Aufsichtspraxis primär CRR-Institute und Solvency-II-Versicherer.

• Wer ist betroffen? Finanzunternehmen im DORA-Anwendungsbereich (Banken, Versicherer und weitere Finanzentitäten) sowie deren IT-/KI-Dienstleister, die ohne die Pflichtklauseln nicht vertragsfähig sind.
• Was ist der Kern? Art. 28-30 regeln das IKT-Drittparteienrisiko; Art. 30 enthält den verbindlichen Klauselkanon. Der Umfang skaliert mit der Kritikalität der ausgelagerten Funktion.
• Was ist der häufigste Stolperstein? Bei Hyperscalern ist der Klauseltext Stand 2026 Standard; bei KI-Startups fehlen Audit-Rechte, Exit- und Sub-Outsourcing-Klauseln und werden zum Procurement-Blocker.

Warum KI-Dienstleister unter DORA fallen

Die zentrale Weichenstellung für KI-Projekte: KI-Systeme sind kein Sonderfall, sondern ein Unterfall der „Netzwerk- und Informationssysteme" gemäß Art. 3 Nr. 2 DORA. Die BaFin-Orientierungshilfe zu IKT-Risiken beim Einsatz von KI in Finanzunternehmen vom 18. Dezember 2025 stellt das ausdrücklich klar und zieht damit den vollständigen DORA-Pflichtenkanon in die KI-Governance: Art. 5-15 (IKT-Risikomanagement), Art. 24-27 (Resilienztests einschließlich Threat-Led Penetration Testing) und Art. 28-30 (IKT-Drittparteienrisiko). Adressaten sind primär CRR-Institute und Solvency-II-Versicherer.

Für die Schweiz besteht ein analoges, nicht voll deckungsgleiches Regime: Die FINMA-Aufsichtsmitteilung 08/2024 vom 18. Dezember 2024 und das FINMA-Rundschreiben 2023/1 (Operationelle Risiken und Resilienz) prägen die Erwartungen an externe IKT-Lieferanten. In Österreich existiert Stand Mai 2026 keine formelle sektorale AI-Leitlinie der FMA; österreichische Institute orientieren sich überwiegend an BaFin und EBA. DORA selbst gilt als EU-Verordnung in Deutschland und Österreich unmittelbar.

Eine wichtige Einordnung vorweg: Dieser Artikel ist eine fachliche Orientierung, keine Rechtsberatung. Mustervertragsklauseln und ihre Übertragung auf den konkreten Einzelfall sind anwaltlich zu prüfen.

Der Klauselkanon nach Art. 30 DORA

Art. 30 DORA verlangt, dass die Rechte und Pflichten des Finanzunternehmens und des IKT-Drittdienstleisters klar zugewiesen und schriftlich fixiert werden. Die Verordnung trennt dabei zwei Stufen: einen Mindestumfang für alle IKT-Verträge (Art. 30 Abs. 2) und einen erweiterten Katalog für Dienste, die eine kritische oder wichtige Funktion unterstützen (Art. 30 Abs. 3).

Der Klauselkanon umfasst nach der DORA-Systematik insbesondere verpflichtende Audit-Rechte, Exit-Klauseln, Sub-Processor-Kontrollen und Service-Level-Vereinbarungen mit Datenresidenz-, Latenz- und Rechenkapazitätszusagen. Bei Hyperscalern ist dieser Text aktuell Standard; bei KI-Startups ist er ein häufiger Procurement-Blocker. Hintergrund: DORA hat die früheren EBA Outsourcing Guidelines (EBA/GL/2019/02) sowie die ESMA-Outsourcing-Guidelines (ESMA50-164-4285) substantiell modifiziert und in einen unmittelbar geltenden Verordnungsstandard überführt.

Einfache versus kritische/wichtige Funktionen

Die Pflichttiefe hängt davon ab, ob der ausgelagerte IKT-Dienst eine kritische oder wichtige Funktion unterstützt – also eine Funktion, deren Ausfall die finanzielle Belastbarkeit, die Kontinuität der Dienstleistungen oder die Einhaltung der Zulassungsbedingungen des Instituts wesentlich beeinträchtigen würde. Diese Klassifizierung ist die erste Aufgabe jeder DORA-Vertragsgestaltung und entscheidet über den Vertragsumfang.

Für einen KI-Dienst lautet die Leitfrage konkret: Greift der Agent in einen kritischen Prozess ein (z. B. Echtzeit-Betrugserkennung im Zahlungsverkehr, regulatorisches Reporting) oder unterstützt er nur einen nachgelagerten, leicht ersetzbaren Hilfsprozess (z. B. interne Texterstellung ohne Kundendatenbezug)? Bei kritischen/wichtigen Funktionen greifen die zusätzlichen Anforderungen des Art. 30 Abs. 3: dokumentierte Exit-Strategien, vollständige und uneingeschränkte Audit-Rechte, SLA mit präzisen quantitativen und qualitativen Leistungszielen sowie eindeutige Datenstandort-Festlegungen.

Pflicht-Klauseln im Überblick

Die folgende Tabelle ordnet die zentralen Vertragsbestandteile ihrem Zweck zu und kennzeichnet, ob sie für alle IKT-Verträge oder verschärft für kritische/wichtige Funktionen gelten. Die Artikelzuordnung folgt der DORA-Systematik (Art. 30 Abs. 2 für den Mindestumfang, Art. 30 Abs. 3 für kritische/wichtige Funktionen).

Konzentrationsrisiko und CTPP-Designation

DORA adressiert nicht nur den einzelnen Vertrag, sondern das systemische Konzentrationsrisiko. Die Europäischen Aufsichtsbehörden (ESAs) haben am 18. November 2025 erstmals 19 kritische IKT-Drittdienstleister (Critical ICT Third-Party Providers, CTPPs) designiert – darunter AWS, Microsoft Azure, Google Cloud, Oracle, IBM, SAP, Deutsche Telekom, Equinix und Swift. Diese 19 Anbieter unterliegen ab 2026 direkter EU-Aufsicht; das DORA Joint Oversight Forum wird im Verlauf 2026 erste umfassende Prüfungen durchführen.

Für die Vertragsgestaltung auf Institutsseite hat das zwei praktische Folgen: Exit-Pläne sind jährlich zu testen, und Multi-Cloud-Strategien werden faktisch erzwungen. KI-Agent-Workloads auf Hyperscalern bleiben unter zusätzlicher Beobachtung. Offen ist Stand 2026, ob Institute deshalb tatsächlich systematisch Multi-Cloud forcieren oder es bei eher symbolischen Exit-Plänen bleibt – eine vollständige Multi-Cloud-AI-Architektur für Banken ist technisch und kommerziell anspruchsvoll. In der DACH-Praxis ergibt sich daraus ein präferiertes Sourcing-Muster: souveräne oder On-Premise-Lösungen für sensitive Workloads, Hyperscaler dort, wo das CTPP-Konzentrationsrisiko aktiv gemanagt wird.

Praxisbeispiel: KI-gestützte Betrugserkennung einbinden

Ein Solvency-II-Versicherer möchte einen KI-Agenten eines Drittanbieters für die Echtzeit-Betrugserkennung im Zahlungsverkehr einsetzen. Die Schritte einer DORA-konformen Vertragsgestaltung lassen sich wie folgt skizzieren:

1. Klassifizierung: Die Betrugserkennung ist eine kritische oder wichtige Funktion, weil ihr Ausfall die Kontinuität der Dienstleistung wesentlich beeinträchtigt. Damit gilt der erweiterte Katalog des Art. 30 Abs. 3.
2. Leistungsbeschreibung und SLA: Der Vertrag fixiert Funktionsumfang, Verfügbarkeit und messbare Zielwerte. Im Verbund prüft etwa das System KIWI der Finanz Informatik den Zahlungsverkehr nach 460 Kriterien – ein Anhaltspunkt für die nötige Präzision der Leistungsbeschreibung und der Performance-Zusagen.
3. Datenstandorte: Festlegung, dass Trainings- und Inferenzdaten innerhalb der EU verarbeitet werden; bei Schweizer Kundendaten ist die FINMA-Erwartung der CH-Datenhaltung zu berücksichtigen.
4. Audit-Rechte und Sub-Outsourcing: Uneingeschränkte Prüfrechte für Institut und Aufsicht; jeder Unterauftragnehmer, der die kritische Funktion mitausführt, unterliegt dem Zustimmungsvorbehalt.
5. Incident-Meldung: Der Anbieter wird vertraglich verpflichtet, IKT-Vorfälle so unverzüglich zu melden, dass der Versicherer seine DORA-Art.-19-Meldepflicht erfüllen kann. Zur Einordnung der Relevanz: In den ersten drei Quartalen 2025 wurden der BaFin 525 schwerwiegende IKT-Vorfälle gemeldet, rund 70 Prozent davon von Kreditinstituten.
6. Exit: Dokumentierte Exit-Strategie mit Datenrückgabe in nutzbarem Format und Migrationsunterstützung; der Exit-Plan wird jährlich getestet.

Hinzu kommt die Schnittstelle zum EU AI Act: Für Finanzunternehmen substituiert die DORA-Vorfallsmeldung nach Art. 19 die Meldepflicht nach Art. 73 AI Act – mit Ausnahme der Meldung von Grundrechtsverletzungen. Doppelmeldungen lassen sich so vermeiden, wenn die Workflows aufeinander abgestimmt sind.

Für Agenturen und B2B

Für Marketing-Agenturen und B2B-Dienstleister, die KI-Lösungen an Banken oder Versicherer verkaufen, ist die Botschaft eindeutig: Ohne den Art.-30-Klauselkanon scheitert die Vendor-Auswahl regelmäßig in der finalen Runde. Wer Audit-Rechte, Exit- und Sub-Outsourcing-Klauseln, Datenstandort-Zusagen und eine belastbare Incident-Meldekette von Beginn an im Standardvertrag mitliefert, verkürzt das Procurement und qualifiziert sich überhaupt erst für regulierte Auftraggeber. Für B2B-Entscheider auf Institutsseite empfiehlt sich, die Kritikalitätsklassifizierung als ersten Schritt zu standardisieren und die Vertragsklauseln daran zu skalieren. Blck Alpaca begleitet die inhaltliche und kommunikative Aufbereitung solcher Compliance-Themen – die juristische Prüfung der konkreten Verträge bleibt anwaltliche Aufgabe.