In einer Anzeige nach § 26 Absatz 2 Satz 1 oder § 28 Absatz 1 Nummer 10 des Zahlungsdiensteaufsichtsgesetzes sind die beabsichtigten Vorkehrungen gemäß § 26 Absatz 1 Satz 1 des Zahlungsdiensteaufsichtsgesetzes zu beschreiben und Entwürfe der Auslagerungsverträge gemäß § 26 Absatz 1 Satz 6 des Zahlungsdiensteaufsichtsgesetzes einzureichen. Die Namen und Anschriften der Auslagerungsunternehmen sind anzugeben. Mit der Vollzugsanzeige nach § 28 Absatz 1 Nummer 10 des Zahlungsdiensteaufsichtsgesetzes ist der geschlossene Vertrag in Kopie einzureichen.

(1) In einer Anzeige nach § 26 Absatz 2 Satz 1 oder § 28 Absatz 1 Nummer 10 des Zahlungsdiensteaufsichtsgesetzes sind die beabsichtigten Vorkehrungen gemäß § 26 Absatz 1 Satz 1 des Zahlungsdiensteaufsichtsgesetzes zu beschreiben und Entwürfe der Auslagerungsverträge gemäß § 26 Absatz 1 Satz 6 des Zahlungsdiensteaufsichtsgesetzes einzureichen. Mit der Vollzugsanzeige nach § 28 Absatz 1 Nummer 10 des Zahlungsdiensteaufsichtsgesetzes ist der geschlossene Vertrag einzureichen.

(2) Anzeigen nach § 26 Absatz 2 Satz 1 oder § 28 Absatz 1 Nummer 10 des Zahlungsdiensteaufsichtsgesetzes über die Absicht und den Vollzug einer wesentlichen Auslagerung müssen weiterhin folgende Informationen enthalten:

1. eine vom Institut vergebene Referenznummer für jeden Auslagerungsvertrag,
2. Angaben zum Beginn und, sofern vereinbart, zum Ende der Vertragslaufzeit sowie gegebenenfalls zum Zeitpunkt der nächsten Vertragsverlängerung und zu den Kündigungsfristen,
3. die Bezeichnung der auszulagernden oder ausgelagerten Aktivitäten und Prozesse, einschließlich einer Bezeichnung der Daten, die im Rahmen der Auslagerung übermittelt werden oder wurden, sowie die Angabe, ob personenbezogene Daten übermittelt werden oder wurden und ob das Auslagerungsunternehmen mit der Verarbeitung personenbezogener Daten beauftragt wird oder worden ist,
4. eine Kategorie, die die Art der Aktivitäten und Prozesse widerspiegelt und die die Ermittlung verschiedener Arten von Vereinbarungen ermöglicht,
5. die Angabe, ob in Teilen oder im Ganzen ausgelagert wird oder worden ist,
6. die Firma, die Handelsregisternummer sowie gegebenenfalls die Rechtsträgerkennung, die im Handelsregister eingetragene Adresse und sonstige relevante Kontaktangaben des Auslagerungsunternehmens und die Firma des Mutterunternehmens,
7. den Staat, in dem der Dienst erbracht werden soll oder wird, einschließlich des Standortes, an dem die Daten gespeichert werden sollen oder werden,
8. das Datum der letzten Bewertung der Wesentlichkeit der auszulagernden oder ausgelagerten Aktivitäten und Prozesse und die Angabe, warum die Auslagerung als wesentlich eingestuft wird,
9. bei der Auslagerung zu einem Cloud-Anbieter das Cloud-Dienstmodell, das Cloud- Bereitstellungsmodell und die Art der betreffenden Daten sowie die Standorte, an denen diese Daten gespeichert werden sollen oder werden,
10. die Institute und sonstigen Unternehmen im aufsichtlichen Konsolidierungskreis, die von der Auslagerung Gebrauch machen, sofern einschlägig,
11. die Angabe, ob das Auslagerungsunternehmen oder ein von ihm beauftragtes Subunternehmen Teil der Gruppe im Sinne des § 1 Absatz 6 des Zahlungsdiensteaufsichtsgesetzes ist, zu dem das Institut gehört, oder sich im Eigentum von anderen Instituten innerhalb der Institutsgruppe befindet, zu der das Institut gehört, sofern einschlägig,
12. das Datum der letzten Risikoanalyse und eine Zusammenfassung der Ergebnisse dieser Risikoanalyse,
13. die Benennung der Personen und ihrer Funktion oder des Entscheidungsgremiums des Instituts, die oder das den Auslagerungsvertrag genehmigt haben oder hat, sowie gegebenenfalls das Datum der Genehmigung,
14. das auf den Auslagerungsvertrag anwendbare Recht,
15. gegebenenfalls das Datum der letzten und der nächsten geplanten Prüfung durch das Institut beim Auslagerungsunternehmen,