114
}
Cloud-Anbieter muss Gewähr für eine dauerhafte und dauerhaft
sichere Leistungserbringung leisten können.
Die Bank muss sicherstellen, dass sie die Tätigkeit des Cloud-
Anbieters tatsächlich auch während des Betriebs wirksam
kontrollieren und beeinflussen kann. Namentlich die Möglichkeit,
dem Dienstleister verbindliche Instruktionen zu erteilen, muss
gewahrt sein.
Mittels angemessener technischer und organisatorischer
Maßnahmen ist sicherzustellen, dass das Bankgeheimnis gewahrt
werden kann.
Kunden sind im Vorfeld darüber zu informieren, in welchen
Bereichen die Bank Auslagerungen vornimmt, wobei die Information
in den Allgemeinen Geschäftsbedingungen ausreichend ist. (In
Österreich besteht diese Verpflichtung freilich nicht.)
Der Vertrag muss gewisse Mindestinhalte (genaue Umschreibung der
Tätigkeit, Einsichts-, Weisungs- und Kontrollrechte, Schnittstellen,
Verantwortlichkeiten, Zuständigkeiten, Haftungsfragen) ausdrücklich
nennen.
Auslagerungen ins Ausland unterliegen besonderen Nachweisen.
Namentlich muss die Bank z. B. mittels rechtlicher Gutachten
nachweisen, dass sie den Cloud-Anbieter tatsächlich kontrollieren
kann und dass die Kontrollmöglichkeiten auch im Ausland
durchsetzbar sind, namentlich dass auch die Aufsichtsbehörde den
Cloud-Anbieter im Ausland bei Bedarf auditieren lassen kann und
sich der Cloud-Anbieter den aufsichtsrechtlichen Anordnungen der
Aufsichtsbehörde unterwerfen muss und wird. Die Kunden sind bei
Auslagerungen ins Ausland mit besonderem Schreiben und detailliert
zu informieren und auf die getroffenen Sicherheitsvorkehrungen
hinzuweisen. In Österreich ist dies freilich nicht erforderlich.
Die Beurteilung der Zulässigkeit der Auslagerung fließt in der Schweiz in den
Prüfbericht der Revisionsgesellschaft ein und die Aufsichtsbehörde prüft die
Auslagerung auf der Grundlage des Prüfberichts im Nachhinein. Vor
Auslagerungen in die Cloud ist in jedem Fall der enge Abgleich mit der
Prüfgesellschaft zu suchen.
Ebenso prüft die österreichische Finanzmarktaufsicht Auslagerungen erst im
Nachhinein. Eine Meldepflicht vor Durchführung der Auslagerung besteht
nicht. Freilich ist eine Abstimmung mit der Finanzmarktaufsicht sinnvoll. Die
