(1) Ein Institut muss abhängig von Art, Umfang, Komplexität und Risikogehalt einer Auslagerung von Aktivitäten und Prozessen auf ein anderes Unternehmen, die für die Durchführung von Zahlungsdiensten, E-Geld-Geschäften oder sonstigen nach diesem Gesetz institutstypischen Dienstleistungen wesentlich sind, einschließlich IKT-Systeme, angemessene Vorkehrungen treffen, um übermäßige zusätzliche Risiken zu vermeiden. Eine Auslagerung darf weder die Ordnungsmäßigkeit dieser Geschäfte und Dienstleistungen noch die Geschäftsorganisation beeinträchtigen. Insbesondere muss ein angemessenes und wirksames Risikomanagement durch das Institut gewährleistet bleiben, das die ausgelagerten Aktivitäten und Prozesse einbezieht, und die Auslagerung darf nicht zu einer Delegation der Verantwortung der Geschäftsleiter oder anderen in § 10 Absatz 2 Nummer 14 und in § 11 Absatz 2 Satz 2 Nummer 5 bezeichneten Personen an das Auslagerungsunternehmen führen. Das Institut bleibt für die Einhaltung der von ihm zu beachtenden gesetzlichen Bestimmungen verantwortlich. Durch die Auslagerung darf die Bundesanstalt an der Wahrnehmung ihrer Aufgaben nicht gehindert werden; ihre Auskunfts- und Prüfungsrechte sowie Kontrollmöglichkeiten müssen in Bezug auf die ausgelagerten Aktivitäten und Prozesse auch bei einer Auslagerung auf ein Unternehmen mit Sitz im Ausland durch geeignete Vorkehrungen gewährleistet werden; Entsprechendes gilt für die Wahrnehmung der Aufgaben der Prüfer des Instituts. Eine Auslagerung bedarf einer schriftlichen Vereinbarung, welche die zur Einhaltung der vorstehenden Voraussetzungen erforderlichen Rechte des Instituts, einschließlich Weisungs- und Kündigungsrechten, sowie die korrespondierenden Pflichten des Auslagerungsunternehmens festschreibt. Hat bei einer wesentlichen Auslagerung ein Auslagerungsunternehmen seinen Sitz in einem Drittstaat, ist vertraglich sicherzustellen, dass das Auslagerungsunternehmen einen inländischen Zustellungsbevollmächtigten benennt, an den Bekanntgaben und Zustellungen durch die Bundesanstalt bewirkt werden können. Ein Institut hat im Rahmen seines Risikomanagements ein Auslagerungsregister zu führen; darin sind sämtliche wesentlichen und nicht wesentlichen Auslagerungen zu erfassen.

(2) Beabsichtigt ein Institut, wesentliche betriebliche Aufgaben von Zahlungsdiensten oder des E-Geld-Geschäfts auszulagern, hat es die Bundesanstalt und die Deutsche Bundesbank hiervon in Kenntnis zu setzen. Eine betriebliche Aufgabe ist dann wesentlich, wenn deren unzureichende oder unterlassene Wahrnehmung die dauerhafte Einhaltung der Zulassungsanforderungen oder der anderen Verpflichtungen des Instituts nach diesem Gesetz, seine finanzielle Leistungsfähigkeit oder die Solidität oder die Kontinuität seiner Zahlungsdienste oder des E-Geld-Geschäfts wesentlich beeinträchtigen würde.

(3) Rechtfertigen Tatsachen die Annahme, dass eine Auslagerung die Prüfungsrechte und Kontrollmöglichkeiten der Bundesanstalt beeinträchtigt, kann die Bundesanstalt gegenüber dem Institut die Anordnungen treffen, die geeignet und erforderlich sind, die Beeinträchtigungen zu beseitigen und künftigen Beeinträchtigungen vorzubeugen. Erweisen sich die Maßnahmen nicht als hinreichend, um die Prüfungsrechte und Kontrollmöglichkeiten der Bundesanstalt zu gewährleisten, kann die Bundesanstalt die Rücklagerung der ausgelagerten Tätigkeiten anordnen. Die Befugnisse der Bundesanstalt nach § 27 Absatz 3 bleiben unberührt.