Veröffentlicht am
Das FINMA-Rundschreiben 2018/03 «Outsourcing» richtet sich nicht an Versicherungsvermittlerinnen und Versicherungsvermittler. Auf der Titelseite steht eine Adressatentabelle, in der sieben Spalten ein Kreuz tragen; die Spalte «Vermittler» gehört nicht dazu, und in der separaten FINMA-Übersicht «Adressaten FINMA-Rundschreiben» bleibt sie ebenfalls leer.
Wer daraus schliesst, das Rundschreiben gehe einen Broker nichts an, unterschätzt es. Es bestimmt, was in den Verträgen steht, die ein Versicherer mit seinen Dienstleistern schliesst, und es schreibt vor, dass diese Pflichten weitergereicht werden, wenn ein Dienstleister seinerseits jemanden beizieht. Ein Broker, der Daten und Prozesse an einen Softwareanbieter auslagert, trifft die Anforderungen des Rundschreibens deshalb häufig als Vertragsklausel, nicht als eigene Aufsichtspflicht. Und daneben steht eine Pflicht, die ihn ohne jeden Umweg über die FINMA direkt bindet: das Datenschutzgesetz.
Das Rundschreiben trägt einen Untertitel, der den Adressatenkreis bereits nennt. Er lautet vollständig und ohne Ergänzung so, wie er unten zitiert ist. Vermittlerinnen und Vermittler kommen darin nicht vor.
Der Geltungsbereich in Ziffer III führt dieselbe Liste aus. Rz 5 nennt Banken und Wertpapierhäuser mit Sitz in der Schweiz sowie schweizerische Zweigniederlassungen ausländischer Banken und Wertpapierhäuser. Rz 6 nennt Versicherungsunternehmen mit Sitz in der Schweiz und Zweigniederlassungen ausländischer Versicherungsunternehmen, die eine Bewilligung nach VAG brauchen. Rz 6.1 nennt Verwalter von Kollektivvermögen und Fondsleitungen, Rz 6.2 die selbstverwaltete SICAV. Damit ist die Aufzählung zu Ende.
Der Begriff, der im ganzen Rundschreiben die Pflichten trägt, ist «Unternehmen». Rz 2 definiert ihn eng: Als Unternehmen gelten Institute im Geltungsbereich dieses Rundschreibens gemäss Ziffer III. Wer nicht in dieser Liste steht, ist kein Unternehmen im Sinne des Rundschreibens, und keine seiner Randziffern spricht ihn an.
Auslagerungen Banken, Versicherungsunternehmen und ausgewählten Finanzinstituten nach FINIG
FINMA-RS 2018/03, Untertitel auf der Titelseite
Die Begriffsbestimmung steht in Rz 3 und Rz 4 und verlangt drei Dinge gleichzeitig. Erstens muss ein Unternehmen im obigen Sinn einen Dienstleister beauftragen. Zweitens muss dieser selbständig und dauernd tätig werden, eine einmalige Zulieferung genügt nicht. Drittens muss die Funktion für die Geschäftstätigkeit wesentlich sein, und wesentlich ist sie nur, wenn von ihr die Einhaltung der Ziele und Vorschriften der Finanzmarktaufsichtsgesetzgebung signifikant abhängt.
Fällt eine Auslagerung darunter, ist sie nach Rz 7 grundsätzlich zulässig. Für Versicherungsunternehmen kommt eine Hürde dazu: Nach Rz 10 sind das Outsourcing wesentlicher Funktionen und die beschränkt zulässige Auslagerung von Kontrollfunktionen geschäftsplanrelevant und damit genehmigungspflichtig. Der Versicherer muss die Auslagerung ausserdem in ein Inventar aufnehmen, das er nach Rz 15 im Rahmen des Geschäftsplanformulars J führt.
Nicht auslagerbar bleiben nach Rz 8 die Oberleitung, Aufsicht und Kontrolle durch das Oberleitungsorgan, die zentralen Führungsaufgaben der Geschäftsleitung und Funktionen, die das Fällen strategischer Entscheide umfassen. Das Rundschreiben verlangt die Umsetzung ausserdem verhältnismässig: Nach Rz 6.3 sind die Anforderungen unter Berücksichtigung der Grösse, der Komplexität, der Struktur und des Risikoprofils des Instituts umzusetzen.
Ein Outsourcing (Auslagerung) im Sinne des Rundschreibens liegt vor, wenn ein Unternehmen einen Dienstleister beauftragt, selbständig und dauernd eine für die Geschäftstätigkeit des Unternehmens wesentliche Funktion ganz oder teilweise zu erfüllen. Wesentlich sind jene Funktionen, von denen die Einhaltung der Ziele und Vorschriften der Finanzmarktaufsichtsgesetzgebung signifikant abhängt.
FINMA-RS 2018/03, Rz 3 und Rz 4
Das Rundschreiben verlangt vom auslagernden Unternehmen, dass es die ausgelagerte Funktion vertraglich einfängt. Nach Rz 23 trägt das Unternehmen gegenüber der FINMA weiterhin dieselbe Verantwortung, wie wenn es die Funktion selber erbringen würde. Nach Rz 26 müssen das Unternehmen, seine Prüfgesellschaft und die FINMA in der Lage sein, die Einhaltung der aufsichtsrechtlichen Bestimmungen beim Dienstleister zu prüfen, und zu ihren Gunsten ist vertraglich ein jederzeitiges, vollumfängliches und ungehindertes Einsichts- und Prüfrecht einzuräumen.
Rz 29 schliesst die Lücke für Dienstleister, die selbst nicht beaufsichtigt sind: Untersteht der Dienstleister nicht der Aufsicht der FINMA, hat er sich gegenüber dem Unternehmen vertraglich zu verpflichten, der FINMA sämtliche Auskünfte und Unterlagen bezogen auf den ausgelagerten Geschäftsbereich zur Verfügung zu stellen. Ein Softwareanbieter ist typischerweise genau ein solcher nicht beaufsichtigter Dienstleister.
Und dann kommt die Kette. Rz 32 verlangt einen schriftlichen Vertrag oder einen Vertrag in anderer Form, die den Nachweis durch Text ermöglicht, und nennt in Rz 33 und Rz 34 den Mindestinhalt. Rz 33 regelt die Unterakkordanten, also die Dienstleister des Dienstleisters. Die entscheidende Anordnung steht im zweiten Satz und ist unten zitiert: Die Pflichten und Zusicherungen werden überbunden.
Praktisch heisst das: Übernimmt ein Broker für einen Versicherer eine wesentliche Funktion, wird er zum Dienstleister im Sinne des Rundschreibens, und sein Softwareanbieter wird zum Unterakkordanten. Die Prüfrechte, die Sicherheitsanforderungen nach Rz 24 und die Auskunftsverpflichtung nach Rz 29 wandern dann über zwei Vertragsstufen bis zum Anbieter durch. Ob eine konkrete Brokertätigkeit eine wesentliche Funktion eines Versicherers ist, entscheidet sich an den Kriterien von Rz 3 und Rz 4 im Einzelfall; dieser Artikel beantwortet die Frage nicht.
Werden solche Unterakkordanten beigezogen, sind ihnen die Pflichten und Zusicherungen des Dienstleisters, die zur Erfüllung dieses Rundschreibens erforderlich sind, zu überbinden.
FINMA-RS 2018/03, Rz 33
Neben dem Rundschreiben steht eine Bestimmung im Gesetz selbst, und sie wirkt unabhängig davon, wen ein Rundschreiben adressiert. Artikel 47 Absatz 2 VAG erfasst nicht den Versicherer, sondern denjenigen, auf den ausgegliedert wird.
Die Verweisung führt zu Artikel 29 Absatz 1 FINMAG. Danach müssen die Beaufsichtigten, ihre Prüfgesellschaften und Revisionsstellen sowie qualifiziert oder massgebend beteiligte Personen und Unternehmen der FINMA alle Auskünfte erteilen und Unterlagen herausgeben, die sie zur Erfüllung ihrer Aufgaben benötigt. Absatz 2 verlangt von den Beaufsichtigten zusätzlich, Vorkommnisse von wesentlicher Bedeutung unverzüglich zu melden.
Der Unterschied zum Rundschreiben ist wichtig genug, ihn auszusprechen: Artikel 47 Absatz 2 VAG knüpft nicht an eine Adressatentabelle an, sondern an einen Vorgang. Wer wesentliche Funktionen eines Versicherungsunternehmens übernimmt, untersteht der Auskunfts- und Meldepflicht, gleichgültig wie er sich nennt.
Gliedert ein Versicherungsunternehmen wesentliche Funktionen auf andere natürliche oder juristische Personen aus, so unterstehen diese der Auskunfts- und Meldepflicht nach Artikel 29 des Finanzmarktaufsichtsgesetzes vom 22. Juni 2007.
VAG Art. 47 Abs. 2
Wer Software einkauft, kauft einen Verarbeitungsort mit. Das Rundschreiben widmet dem einen eigenen Abschnitt mit zwei Randziffern. Rz 30 erlaubt Auslagerungen ins Ausland, sofern das Unternehmen ausdrücklich zusichern kann, dass es selber, seine Prüfgesellschaft sowie die FINMA ihre Einsichts- und Prüfrechte wahrnehmen und durchsetzen können. Rz 28 stellt zuvor klar, dass eine Auslagerung die Aufsicht durch die FINMA nicht erschweren darf, insbesondere nicht bei einer Auslagerung ins Ausland.
Rz 31 geht weiter und verlangt etwas, das kein Vertrag allein herstellt, sondern nur eine Architektur. Der Satz steht unten im Wortlaut. Für die Auswahl eines Anbieters übersetzt er sich in zwei nüchterne Fragen: Wo liegen die Daten, und wer kommt in einem Notfall von der Schweiz aus an sie heran, ohne auf die Mitwirkung einer ausländischen Stelle angewiesen zu sein.
Zusammen mit Rz 24, wonach bei sicherheitsrelevanten Auslagerungen namentlich im Bereich IT Unternehmen und Dienstleister vertraglich Sicherheitsanforderungen festlegen und deren Einhaltung überwacht wird, ergibt das den Grund, warum Fragebogen von Versicherern so oft nach Rechenzentrumsstandort, Schlüsselverwaltung und Wiederherstellbarkeit fragen. Die Fragen stammen nicht aus dem Einkauf, sie stammen aus diesen Randziffern.
Die Sanierbarkeit bzw. Abwickelbarkeit des Unternehmens in der Schweiz muss gewährleistet sein. Der Zugriff auf die dafür notwendigen Informationen muss jederzeit in der Schweiz möglich sein.
FINMA-RS 2018/03, Rz 31
Die Abgrenzung verdient Genauigkeit, weil beide Übertreibungen falsch sind. Ungebundene Versicherungsvermittlerinnen und Versicherungsvermittler dürfen nach Artikel 41 Absatz 1 VAG nur tätig werden, wenn sie im Register nach Artikel 42 eingetragen sind. Absatz 2 nennt vier Eintragungsvoraussetzungen: Sitz, Wohnsitz oder Niederlassung in der Schweiz; guter Ruf und Gewähr für die Erfüllung der Pflichten nach diesem Gesetz; die notwendigen Fähigkeiten und Kenntnisse nach Artikel 43; und eine abgeschlossene Berufshaftpflichtversicherung oder gleichwertige finanzielle Sicherheiten. Die FINMA führt dieses Register, und nach Artikel 42 Absatz 2 VAG ist es öffentlich.
Die FINMA hat auch Aufgaben, die Vermittlerinnen und Vermittler betreffen. Nach Artikel 46 Absatz 1 Buchstabe b VAG prüft sie, ob die Versicherungsunternehmen sowie die Versicherungsvermittlerinnen und Versicherungsvermittler einen guten Ruf geniessen und Gewähr für die Erfüllung der Pflichten nach diesem Gesetz bieten; nach Buchstabe f schützt sie die Versicherten gegen deren Missbräuche. Es wäre also falsch zu sagen, ein Broker habe mit der FINMA nichts zu tun.
Ebenso falsch ist der Umkehrschluss. Aus der Registrierung und aus Artikel 46 VAG folgt nicht, dass ein Broker Adressat des Outsourcing-Rundschreibens wäre. Die Adressatenliste steht im Rundschreiben selbst, sie ist abschliessend, und sie nennt ihn nicht. Beides gilt nebeneinander.
Die Pflicht, die bei jeder Übergabe von Personendaten an einen Softwareanbieter greift, steht nicht im Aufsichtsrecht, sondern im Datenschutzgesetz, und sie greift unabhängig von jeder Registrierung. Artikel 9 Absatz 1 DSG erlaubt die Übertragung der Bearbeitung an einen Auftragsbearbeiter unter zwei Bedingungen: Die Daten werden so bearbeitet, wie der Verantwortliche selbst es tun dürfte, und keine gesetzliche oder vertragliche Geheimhaltungspflicht verbietet die Übertragung. Die Absätze 2 und 3 stehen unten im Wortlaut.
Wird ins Ausland übermittelt, kommt Artikel 16 DSG dazu. Absatz 1 erlaubt die Bekanntgabe, wenn der Bundesrat für den betreffenden Staat einen angemessenen Schutz festgestellt hat. Fehlt ein solcher Entscheid, braucht es nach Absatz 2 einen der dort aufgezählten Behelfe, etwa Datenschutzklauseln, die dem EDÖB vorgängig mitgeteilt wurden, oder vom EDÖB genehmigte Standarddatenschutzklauseln. Diese Liste ist im Gesetz abschliessend, aber nicht endgültig: Nach Absatz 3 kann der Bundesrat andere geeignete Garantien im Sinne von Absatz 2 vorsehen. Daneben steht Artikel 17: Er lässt die Bekanntgabe abweichend von Artikel 16 Absätze 1 und 2 in einzelnen Fällen trotzdem zu, etwa bei ausdrücklicher Einwilligung der betroffenen Person, bei unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags oder wenn sie zur Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor einem Gericht notwendig ist.
Diese Pflichten sind strafbewehrt, und zwar deutlich schärfer als viele der aufsichtsrechtlichen Bussen. Nach Artikel 61 DSG wird mit Busse bis zu 250 000 Franken auf Antrag bestraft, wer vorsätzlich Personendaten unter Verstoss gegen Artikel 16 Absätze 1 und 2 ins Ausland bekanntgibt, ohne dass die Voraussetzungen nach Artikel 17 erfüllt sind (Buchstabe a), die Datenbearbeitung einem Auftragsbearbeiter übergibt, ohne dass die Voraussetzungen nach Artikel 9 Absätze 1 und 2 erfüllt sind (Buchstabe b), oder die Mindestanforderungen an die Datensicherheit, die der Bundesrat nach Artikel 8 Absatz 3 erlassen hat, nicht einhält (Buchstabe c). Die Strafe trifft private Personen, nicht ein Institut in einer Adressatentabelle.
Der Verantwortliche muss sich insbesondere vergewissern, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten. Der Auftragsbearbeiter darf die Bearbeitung nur mit vorgängiger Genehmigung des Verantwortlichen einem Dritten übertragen.
DSG Art. 9 Abs. 2 und Abs. 3
Ein Broker muss das Rundschreiben nicht einhalten. Er kann seine Prüfpunkte aber als Massstab verwenden, weil genau sie in den Verträgen und Fragebogen der Versicherer auftauchen und weil sie ein durchdachter Katalog für die Auswahl eines Dienstleisters sind. Die folgenden Punkte geben die genannten Randziffern wieder; sie sind eine Orientierung, keine Pflicht des Brokers.
Kein Broker wird durch die Wahl einer Software «FINMA-konform», und keine Software macht ihn dazu. Das Rundschreiben adressiert ihn nicht, es hat für ihn keine Frist und keine Bewilligungspflicht, und eine Konformitätsaussage zu einem Erlass, dessen Geltungsbereich einen ausschliesst, ist gegenstandslos. Wer sie trotzdem führt, macht eine Aussage, die sich an der Titelseite des Rundschreibens in einer Minute widerlegen lässt.
Belastbar sind demgegenüber drei andere Sätze. Erstens: Ein Anbieter kann vertraglich zusichern, was Rz 26, Rz 29 und Rz 33 verlangen, damit ein Versicherer diese Pflichten überbinden kann, ohne dass die Kette reisst. Zweitens: Ein Anbieter kann die Voraussetzungen nach Artikel 9 DSG erfüllen und den Nachweis dafür führen. Drittens: Ein Anbieter kann offenlegen, wo verarbeitet wird und wer beigezogen ist, sodass der Broker seine eigene Prüfpflicht nach Artikel 9 Absatz 2 DSG überhaupt erfüllen kann.
Zur Einordnung noch die Daten des Erlasses selbst: Das Rundschreiben wurde am 21. September 2017 erlassen, trat am 1. April 2018 in Kraft und wurde zuletzt am 4. November 2020 geändert; diese Änderungen gelten seit dem 1. Januar 2021. Für bereits bestehende Outsourcingverhältnisse von Banken sah Rz 37 eine Übergangsfrist von fünf Jahren ab Inkrafttreten vor. Für Versicherungsunternehmen gilt es nach Rz 38 bei Erstbewilligungen ab Inkrafttreten und bei Änderungsgenehmigungen ab dem Zeitpunkt, in dem eine Geschäftsplanänderung der FINMA unterbreitet wird.
Wer den Artikel auf das Nötigste zusammenzieht, behält Folgendes:
SOTHURA SAFE ist eine Schweizer Software-Plattform für Versicherungsberater und -broker. Die Speicherung erfolgt zu 100 % in der Schweiz, die KI-Auswertung läuft in Zürich und weicht nur bei Überlast auf einen EU-Standort aus; die Verarbeitung findet damit ausschliesslich in der Schweiz und der EU statt, und Kunden-, Vertrags- und Dokumentdaten gehen nicht in die USA oder andere Drittstaaten. Die eingesetzten Unter-Auftragsverarbeiter sind mit Zweck, Verarbeitungsregion und Status der Datenverarbeitungsvereinbarung in einer öffentlichen Liste auf dieser Website ausgewiesen.
SOTHURA SAFE GmbH, Wassergasse 5, 4573 Lohn-Ammannsegg, Kanton Solothurn. Eingetragen im Handelsregister des Kantons Solothurn, UID CHE-429.131.582. Die Geschäftsführung liegt bei Silvio Siegenthaler und Michel Di Vito, Zeichnungsberechtigung Kollektivunterschrift zu zweien. Die vollständige Anbieterkennzeichnung steht im Impressum.