Zahlungsverkehr und Operations
DORA-Auslagerungsregister-Eintrag für Cloud-LLM-Anbieter
anymize entfernt eingebettete Kunden-Beispiele aus Vertrag und AVV, bevor das Material an GPT, Claude oder Gemini geht — und setzt sie nach der KI-Antwort wieder ein. So drafted Ihr Auslagerungs-Beauftragter den DORA-Art.-28/31-Register-Eintrag in einem Bruchteil der manuellen Zeit, mit Quellen-Zitat pro Pflichtfeld.
Schwierigkeit: Fortgeschritten · Datenklasse: Mandantendaten · Letztes Review:
Zur Orientierung gedacht. Die anwaltliche Würdigung im Einzelfall bleibt selbstverständlich bei Ihnen — KI-Outputs sind vor jeder Verwendung zu prüfen. Mehr dazu am Ende.
Anwendungsbereich
Worum geht es hier?
DORA Art. 28 verpflichtet beaufsichtigte Institute, alle IKT-Drittparteien-Beziehungen in einem Register nach definierten Pflichtfeldern zu führen. Cloud-LLMs sind IKT-Dienstleistungen i.S.v. Art. 3 Nr. 21 DORA und EU-AI-Act-relevant. Manuelle Befüllung pro Eintrag kostet 2–4 Stunden mit hoher Inkonsistenz-Quote. anymize beschleunigt das Drafting, indem aus Hauptvertrag, AVV und Anbieterdokumentation pseudonymisiert die Pflichtfelder extrahiert werden — die Kritikalitätsbewertung bleibt beim Auslagerungs-Beauftragten.
Für wen passt das?
Zielgruppe und Kontext
- Rolle
- DORA-Beauftragter, Outsourcing-Beauftragter, Auslagerungsmanager, Compliance Officer, IKT-Risikomanager. Bei kleineren Häusern oft Personenunion.
- Seniorität
- Mid-Level — Kenntnis DORA Art. 28/31, EBA Outsourcing Guidelines und MaRisk AT 9 erforderlich.
- Kanzleigröße
- Alle DORA-pflichtigen Institute. Sparkassen/Volksbanken nutzen oft Verbund-Vorlagen aus FI/atruvia; Großbanken eigene Register-Systeme (ServiceNow GRC, Workiva).
- Spezifische Kontexte
- Neuer Cloud-LLM-Vertrag, Wechsel des Anbieters, Vertrags-Refresh nach 12 Monaten, Erweiterung der Use-Cases, Vor-Ort-Prüfungs-Vorbereitung.
Die Situation in der Kanzlei
So bringen Sie Tempo und Sorgfalt zusammen
DORA Art. 28 verlangt Pflichtfelder im Register: IKT-Drittdienstleister-Daten (Name, LEI, Sitz, Unterauftragnehmer), Vertragsart, bezogene Funktion, Kritikalitätsbewertung (kritisch/wichtig), Datenarten, Rückverlagerungsfähigkeit, Service-Level, Datenlokation, Verarbeitungs-Standorte. EBA Outsourcing Guidelines ergänzen. Manuelle Befüllung pro Eintrag 2–4 Stunden mit Inkonsistenz-Quote (Felder leer, widersprüchliche Kritikalitätsbewertungen). Wer ChatGPT direkt nutzen würde, lädt potenziell vertrauliche AVV-Klauseln und Kunden-Beispiele aus Anhängen hoch — § 43 KWG-Risiko, sobald Vertragsanhänge personenbezogene Test-Daten enthalten. anymize löst das: eingebettete Klasse-A-Inhalte werden pseudonymisiert, der pseudonymisierte Vertragstext geht an die KI, der re-identifizierte Register-Eintrag kommt zurück.
Was Sie davon haben
Zeit, Wert, Vertraulichkeit
Zeit pro Register-Eintrag
1–2 h
Pflichtfelder werden automatisch aus Vertrag, AVV und Anbieterdokumentation extrahiert. Konsistenz-Check gegen bestehende Register-Einträge inklusive.
BaFin-Vorhalt-Bereitschaft
strukturiert
Jedes Pflichtfeld mit Quellen-Zitat (Vertragsparagraf, AVV-Klausel) — bei Vor-Ort-Prüfung sofort belegbar.
Vertraulichkeit
Klasse B + A-Anhänge
Vertragsdaten sind typisch Klasse B; eingebettete Kunden-Test-Daten in Anhängen sind Klasse A und werden pseudonymisiert.
Konsistenz-Quote
höher
KI vergleicht gegen Standard-Vorlage und markiert fehlende Pflichtfelder, fehlende Sub-Processor-Liste, fehlende Exit-Strategie.
So gehen Sie vor
In 5 Schritten zum Antrag
Eingangs-Trigger erfassen: neuer Vertrag, Vertragsänderung, Quartals-Refresh oder Vor-Ort-Prüfungs-Vorbereitung. Quellen sammeln: Hauptvertrag, AVV nach Art. 28 DSGVO, BSI-C5- und AIC4-Attestate, Sub-Processor-Liste, SLA-Anhänge.
Sie
Register-Frequenz und Datenbasis
Klasse-Entscheidung: Anbieter-Dokumente sind meist Klasse B (kein Personenbezug). Bei eingebetteten Kunden-Test-Daten in Vertragsanhängen Klasse A. anymize pseudonymisiert nur die A-Anhänge — Vertragsklauseln, AVV-Text und Attestate bleiben in Klartext.
anymize + Sie
§ 43 KWG · DSGVO
Frontier-KI drafted die Pflichtfelder. Der pseudonymisierte Vertrags-/AVV-Text geht an Ihr gewähltes Modell — GPT, Claude oder Gemini, alle in anymize verfügbar. Mit dem CRAFT-Prompt fragen Sie eine strukturierte Pflichtfeld-Tabelle ab: Anbieter-Identität (Name, LEI, Sitzstaat), Sub-Processor-Liste, bezogene Funktion, Vertragsart, Kritikalitäts-Vorschlag mit Begründung, Datenarten, Datenlokation, SLA, Exit-Strategie.
GPT / Claude / Gemini in anymize
Strukturierung mit Quellen-Zitat
anymize re-identifiziert. Sie erhalten eine Register-Eintrag-Vorlage mit den richtigen LEI, Sub-Processor-Namen und Datenlokationen zurück. Konsistenz-Check gegen bestehende Register-Einträge: erscheint derselbe Sub-Processor bei mehreren Haupt-Anbietern? Stimmen die Kritikalitätsbewertungen über Service-Lines hinweg?
anymize + Sie
Konsistenz · EBA Outsourcing
Kritikalitäts-Einstufung kritisch/wichtig durch den DORA-Beauftragten — die KI liefert nur einen Vorschlag, die Entscheidung trifft der Mensch. Eintrag in das Register-System (ServiceNow GRC, Workiva, SharePoint). Bei „kritisch“ zusätzlich BaFin-Anzeige nach § 25b KWG prüfen.
Sie
Letztverantwortung Auslagerungs-Beauftragter
Womit Sie arbeiten
So setzen Sie anymize konkret ein
Was anymize tut
- Erkennt eingebettete Kunden-Test-Daten in Vertragsanhängen (IBAN, Namen, Adressen) mit über 95 % Erkennungsrate.
- Pseudonymisiert nur die A-Anhänge; Vertragsklauseln, AVV-Text, Attestat-Inhalte bleiben sichtbar für die KI.
- Bidirektionale Anonymisierung: Re-Identifikation der KI-Antwort ist automatisch.
- Daten in deutschen Rechenzentren (Hetzner). AVV nach Art. 28 DSGVO und § 25b KWG im Standardvertrag.
Was Sie als Auslagerungs-Beauftragter tun
- Kritikalitäts-Einstufung kritisch/wichtig trifft der DORA-Beauftragte — KI liefert nur Vorschlag mit Begründung.
- Quellen-Zitate (Vertragsparagraf, AVV-Klausel) je Pflichtfeld manuell verifizieren — kein Pflichtfeld ohne Quelle.
- Konsistenz-Check gegen bestehende Register-Einträge (Sub-Processor-Cluster, Datenlokations-Konsistenz).
- Bei Re-Einstufung auf „kritisch“ BaFin-Anzeige nach § 25b KWG einleiten + Vorstands-Notifikation.
Daten-Input
Hauptvertrag (PDF/Word), AVV nach Art. 28 DSGVO, BSI-C5- und AIC4-Attestate (Typ 1 oder 2), Sub-Processor-Liste, SLA-Anhänge, Standort-Nachweise, ggf. Vertrags-Vorgänger zum Vergleich.
Output-Kontrolle
Pseudonymisierter Vertragstext geht an die KI. Re-identifizierter Pflichtfeld-Tabellen-Entwurf kommt zurück — mit Quellen-Zitat je Pflichtfeld, Auffälligkeits-Liste, Kritikalitäts-Vorschlag, Folgeaufgaben. anymize selbst trifft keine Register-Entscheidungen.
Freigabeprozess
Sie behalten jederzeit die Hoheit: Sichtung der Anonymisierung, Quellen-Verifikation, Kritikalitäts-Einstufung, Eintrag im offiziellen Register-System, BaFin-Anzeige bei „kritisch“. anymize ist der Anonymisierungs-Layer, keine Register-Software.
Die KI-Anweisung
Prompt zum Kopieren
So nutzen Sie diesen Prompt:
1. Vertrag, AVV und Anbieterdokumentation in anymize einfügen — eingebettete Kunden-Test-Daten in Anhängen werden zu Platzhaltern.
2. Diesen Prompt kopieren und an das pseudonymisierte Vertrags-Bündel anhängen.
3. In anymize unter „Tools → Reasoning“ auf ”Thinking-Modus“ stellen, dann KI-Aufruf starten — der Output kommt re-identifiziert zurück.
# Rolle
Du bist DORA-Outsourcing-Drafting-Assistenz für ein BaFin-beaufsichtigtes
Institut.
Rechtsstand: <heutiges Datum — bitte aktuell ermitteln und hier einsetzen>.
# Aufgabe
Drafte den DORA-Auslagerungsregister-Eintrag für den unten beschriebenen
Cloud-LLM-Anbieter. Quelldokumente: Hauptvertrag, AVV nach Art. 28 DSGVO,
BSI-C5-/AIC4-Attestate, Sub-Processor-Liste, SLA-Anhänge. Eingebettete
Kunden-Test-Daten sind pseudonymisiert.
# Inhalt
1. Pflichtfelder-Tabelle nach DORA Art. 28 Abs. 3
Spalten: Feld | Wert | Quelle (Vertrags-§/AVV-Klausel) | Bemerkung
Pflichtfelder: Anbieter-Identität (Name, LEI, Sitzstaat),
Sub-Processor-Liste, bezogene Funktion, Vertragsart, Kritikalitäts-
Vorschlag (kritisch/wichtig) mit Begründung, Datenarten (Klasse A/B/C),
Datenlokation (Rechenzentrum, Region), Service-Level,
Rückverlagerungsfähigkeit/Exit-Strategie, Standorte der
Datenverarbeitung.
2. Auffälligkeiten — nummerierte Liste
Fehlende AVV-Klauseln, fehlende Sub-Processor-Liste, fehlende
Exit-Strategie, BSI-AIC4-Typ-1-statt-Typ-2, fehlende LEI-Validierung.
3. Kritikalitäts-Vorschlag
Absatz mit Begründung. "Kritisch" wenn: betrifft kritische Funktion
+ nicht kurzfristig substituierbar. Sonst "wichtig".
4. Folgeaufgaben
Nummerierte Liste. Bei "kritisch" zusätzlich BaFin-Anzeige nach
§ 25b KWG.
# Format
Markdown, Tabelle für Pflichtfelder. Sachlich, ohne Marketing-Sprache.
# Verbote
KEINE Erfindung von Daten — bei fehlender Quelle: [[FEHLT: …]]
KEINE finale Kritikalitäts-Einstufung — nur Vorschlag mit Begründung.
KEINE Datenlokations-Aussage aus Marketing-Material — nur aus
Vertragsanhang.
KEINE LEI-Übernahme ohne GLEIF-Validierungs-Hinweis.So sieht der Sachverhalt aus
Pseudonymisierter Eingabetext
DORA-Register-Eintrag — Quellen-Set
Vertragspartner: [[Anbieter-a3f9]] (Cloud-LLM-Anbieter)
LEI: [[LEI-b2e7]]
Sitzstaat: [[Sitzstaat-c4d1]]
Hauptvertrag: [[Vertrag-d5f3]], unterschrieben 2026-04-12,
Laufzeit 24 Monate
AVV nach Art. 28 DSGVO: [[AVV-e8a2]] vom 2026-04-12
BSI-C5-Attestat: Typ 2 (2025), Anhang [[Attestat-f4a1]]
BSI-AIC4-Attestat: Typ 1 (2025), Anhang [[AIC4-7e2a]]
Sub-Processor-Liste: 3 Unterauftragnehmer; vollständige Liste
Anlage [[Sub-9f1c]]
Bezogene Funktion / Service-Lines:
- Backoffice-Dokumentenextraktion (Operations)
- Compliance-Screening (AML-Backoffice)
- DORA-Reporting-Drafting (Risk)
Rechenzentrums-Region: [[Region-aa01]] (EU)
Service-Level: 99,5 % verfügbar, RTO 4h, RPO 1h
Exit-Strategie: 90-Tage-Datenrückgabe und -löschung;
alternativer Anbieter [[Alt-Anbieter-bb02]] vorab evaluiertSo liefert anymize zurück
Der Antrags-Entwurf
# Auslagerungsregister-Eintrag — Entwurf
## Pflichtfelder
| Feld | Wert | Quelle | Bemerkung |
|---|---|---|---|
| Anbieter | [[Anbieter-a3f9]] | Hauptvertrag § 1 | — |
| LEI | [[LEI-b2e7]] | Anbieter-Stammdaten | bestätigt GLEIF |
| Sitzstaat | [[Sitzstaat-c4d1]] | Hauptvertrag § 1 | — |
| Sub-Processor | 3 (Liste Anlage [[Sub-9f1c]]) | AVV § 7 | Quartals-Review |
| Funktion | Backoffice-Extraktion, AML-Screening, DORA-Reporting | Hauptvertrag § 3 | Mehrfach-Service |
| Vertragsart | Dienstleistungsvertrag mit AVV | Hauptvertrag § 1 | — |
| Kritikalität-Vorschlag | wichtig (nicht kritisch) | siehe Begründung | siehe unten |
| Datenarten | Klasse A (pseudonymisiert) + B | Datenklassifikations-Anhang | — |
| Datenlokation | [[Region-aa01]] EU | Hauptvertrag § 5 | BSI C5 Typ 2 |
| Service-Level | 99,5 %, RTO 4h, RPO 1h | SLA-Anhang | — |
| Exit-Strategie | 90-Tage-Rückgabe + Löschung | Hauptvertrag § 12 | Alt-Anbieter evaluiert |
## Auffälligkeiten
1. Sub-Processor-Liste mit Quartals-Review-Klausel — sicherstellen, dass
interner Review-Workflow existiert.
2. BSI-AIC4-Attestat nur Typ 1 (Design-Wirksamkeit). Bei Klassifikation
"kritisch" sollte Typ 2 (operative Wirksamkeit) verlangt werden.
3. Alternativer Anbieter [[Alt-Anbieter-bb02]] vorab evaluiert —
Bewertungsdokument verlinken.
## Kritikalitäts-Vorschlag
Einstufung "wichtig" (nicht kritisch): Service betrifft mehrere
Service-Lines, ist aber nicht in zeitkritische Payments-Verarbeitung
eingebettet; bei Ausfall ist Wechsel auf alternativen Anbieter binnen
30 Tagen möglich. Hinweis: bei Erweiterung auf zeitkritische
Payments-Use-Cases (z. B. Fraud-Triage Echtzeit) ist Re-Einstufung auf
"kritisch" zu prüfen.
## Folgeaufgaben
1. Quartals-Review Sub-Processor-Liste einplanen.
2. BSI-AIC4 Typ 2 für Folge-Vertrag verhandeln.
3. Bewertungsdokument Alt-Anbieter verlinken.
4. § 25b KWG-Anzeige bei Re-Einstufung auf "kritisch" prüfen.Was das Berufsrecht verlangt
Pflichten — und wie anymize sie abdeckt
DORA Art. 28 + Art. 31 (SRC-0128)
Das Auslagerungs-Register ist Pflicht mit definierten Feldern; bei Mängeln Bußgelder bis 10 Mio. EUR oder 5 % Umsatz. Art. 31 ergänzt die Aufsichts-Übersicht — die BaFin kann das Register jederzeit anfordern.
BaFin DORA-Aufsichtsmitteilung (SRC-0123)
Gap-Analyse BAIT vs. DORA ist Prüfungsmaßstab. Der Register-Eintrag ist die Grundlage; bei Auffälligkeiten erwartet die BaFin Quartals-Refresh-Workflows mit Sub-Processor-Review.
§ 25b KWG + MaRisk AT 9 (SRC-0107, SRC-0115)
Bei „kritischer“ Auslagerung ist die BaFin-Anzeige nach § 25b KWG verpflichtend. Der KI-Kritikalitäts-Vorschlag ist Hilfe; die Anzeige-Entscheidung trifft der Auslagerungs-Beauftragte.
EBA Outsourcing Guidelines EBA/GL/2019/02 (SRC-0132)
Erhöhte Anforderungen bei Cloud-Auslagerungen und bei kritischen Funktionen. Sub-Processor-Cluster (derselbe Sub bei mehreren Haupt-Anbietern) sind explizit als Konzentrations-Marker zu erfassen (UC-V-FIN-PAY-004).
BSI C5 + AIC4 (SRC-0145, SRC-0146)
Mindest-Attestate bei Cloud-LLM. BSI-AIC4-Typ-1 (Design-Wirksamkeit) reicht bei „wichtigen“ Auslagerungen, bei ”kritischen“ ist Typ 2 (operative Wirksamkeit) zu verlangen — das KI-Output markiert die Lücke.
BaFin Orientierungshilfe IKT-Risiken KI (SRC-0119)
Cloud-KI ist IKT-Asset und gehört ins KI-Inventar. Der Register-Eintrag ist Teil davon; bei Schatten-KI-Aufdeckung (UC-V-FIN-PAY-017) wird das Register nachträglich gepflegt.
Datenschutz und Vertraulichkeit
So funktioniert das mit anymize
Die typische Frage bei Cloud-LLM-Onboarding: Sieht der KI-Anbieter Kunden-Beispiele aus Vertragsanhängen? Antwort mit anymize: nein. Eingebettete Klasse-A-Daten (IBAN, Namen, Test-Verträge) werden vor dem KI-Aufruf zu Platzhaltern. Vertragsklauseln, AVV-Text und Attestat-Inhalte bleiben sichtbar — das ist Klasse B (juristische Person, Standard-Compliance-Daten). Verarbeitung in deutschen Rechenzentren (Hetzner), AVV nach Art. 28 DSGVO und § 25b KWG im Standardvertrag. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (gesetzliche DORA-Registerpflicht). Bei systematischer KI-Nutzung im Auslagerungs-Management ist eine DPIA nach Art. 35 DSGVO zu prüfen.
Was anymize konkret leistet
- Erkennt eingebettete Kunden-Beispiele in Vertragsanhängen automatisch.
- Pseudonymisiert nur die A-Inhalte; Vertragsklauseln bleiben für die KI lesbar.
- Re-identifiziert die KI-Antwort mit den richtigen LEI, Sub-Processor-Namen und Regionen.
- Verarbeitung in deutschen Rechenzentren (Hetzner). AVV im Standardvertrag.
- Originaldokumente werden nicht gespeichert — nur die Zuordnung Platzhalter ↔ Klarname.
Sicherheitscheck vor der Einreichung
Was anymize liefert — was Sie souverän entscheiden
Vor dem KI-Aufruf
- Quellen vollständig: Hauptvertrag, AVV, Sub-Processor-Liste, BSI-C5-/AIC4-Attestate?
- Vertragsanhänge auf eingebettete Kunden-Test-Daten geprüft?
- Klasse-Entscheidung dokumentiert (typisch B, A nur bei Test-Daten)?
- Pseudonymisierungs-Vorschau gesichtet?
- Standard-Pflichtfeld-Liste DORA Art. 28 Abs. 3 zur Hand?
Nach der KI-Antwort
- Quellen-Zitat pro Pflichtfeld vorhanden — keine [[FEHLT: …]]-Markierung übersehen?
- LEI über GLEIF live validiert?
- Sub-Processor-Liste gegen Anlage abgeglichen?
- Datenlokation aus Vertragsanhang (nicht Marketing)?
- BSI-AIC4-Typ (1 oder 2) korrekt erfasst?
Vor Register-Eintrag
- Kritikalitäts-Einstufung manuell durch DORA-Beauftragten?
- Bei „kritisch“: § 25b KWG-Anzeige eingeleitet?
- Konsistenz-Check gegen Sub-Processor-Cluster (UC-V-FIN-PAY-004)?
- Quartals-Refresh-Termin im Kalender?
Typische Fehlermuster — und wie anymize gegensteuert
- →KI nimmt Datenlokation aus Anbieter-Marketing-Material („Frankfurt Cloud“) statt aus Vertragsanhang — Prompt zwingt Quellen-Zitat aus Vertragsparagraf.
- →Sub-Processor-Liste unvollständig — die Anlage muss als separates Quelldokument einfließen, sonst KI rät.
- →KI macht abschließende Kritikalitäts-Einstufung („akzeptabel“) statt Vorschlag mit Begründung — Prompt-Verbot zwingt Mensch-Entscheidung.
- →LEI ohne GLEIF-Live-Validierung übernommen — KI darf LEI nur zitieren, nicht validieren.
- →BSI-AIC4-Typ-1 fälschlich als ausreichend für „kritisch“ markiert — Prompt-Auffälligkeits-Logik macht das sichtbar.
Rechtsgrundlagen
Normen, Urteile, Belege
Primärnormen Aufsichtsrecht
- DORA (VO 2022/2554), Art. 28 + 31 — Auslagerungs-Register
- BaFin DORA-Aufsichtsmitteilung 08.07.2024
- EBA Outsourcing Guidelines EBA/GL/2019/02
- § 25b KWG — Auslagerung
- BaFin MaRisk 8. Novelle (AT 9)
BaFin KI-/IKT-Aufsicht
- BaFin Orientierungshilfe IKT-Risiken KI 18.12.2025
Cloud- und KI-Attestate
- BSI C5 — Cloud-Sicherheit
- BSI AIC4 — KI-Cloud-Sicherheit
- DSGVO Art. 28 — Auftragsverarbeitung
Sekundärquellen
- PwC KI-Finanzsektor 2025 — Textanalyse Top-3 GenAI
Stand: · Nächste Überprüfung:
Hinweis zur Nutzung
Zur Orientierung — nicht als Mandatsersatz
Diese Anleitung beschreibt einen Arbeitsablauf, den Sie mit anymize umsetzen können. Sie ist zur Orientierung gedacht und ersetzt weder die anwaltliche Würdigung im Einzelfall noch eine fachanwaltliche Prüfung. Welche Rechtsprechung einschlägig ist, wie der Sachverhalt rechtlich zu bewerten ist, welche Anträge in Ihrem konkreten Mandat richtig sind — das bleibt selbstverständlich bei Ihnen.
KI-Outputs müssen vor jeder Verwendung anwaltlich geprüft werden. Insbesondere Urteils-Aktenzeichen, Norm-Verweise und Fristen sind gegen Primärquellen zu verifizieren. anymize gewährleistet die Vertraulichkeit der Mandantendaten gegenüber dem KI-Anbieter; die fachliche Richtigkeit des Outputs liegt in Ihrer Verantwortung.
Jetzt starten.
14 Tage kostenlos testen.
Alle Modelle. Alle Features. Keine Kreditkarte.
Wir sind überzeugt von anymize. Und wir wissen: Bei einem KI-Werkzeug, das Mandanten-, Patienten- oder Mitarbeiter-Daten berührt, reicht ein Demo-Video nicht. Deshalb 14 Tage voller Zugang – alle Modelle, alle Features, keine Kreditkarte. Genug Zeit, um sicher zu sein, bevor du uns vertraust.
Dein KI-Arbeitsplatz wartet.