Aus den Augen – aus dem Sinn ?

Abgelegt in: Antworten

Auslagern lässt sich Vieles, nicht jedoch die Verantwortung. Wer dies beachtet, kann sich Ärger ersparen.

Gesetzgeber und Aufsichtsbehörden haben dieses Grundprinzip verschiedentlich formuliert, wenngleich die entsprechenden Gesetze und Regularien nicht die Überschrift „Outsourcing“ tragen. So ließe sich dieser Artikel denn auch einreihen in die früheren, als „Gut verpackt (Teil 3): Outsourcing“. Denn wenngleich der Begriff „Auslagerung“ als Übersetzung von „Outsourcing“ naheliegend ist, verwenden Gesetze für diesen Sachverhalt beispielsweise auch die Begriffe „Datenverarbeitung im Auftrag“ oder „Funktionsausgliederung“. Nicht immer ist dabei direkt von Verantwortung die Rede. Im Investmentgesetz tritt an die Stelle der Verantwortung sozusagen das Eintreten für das Verschulden des Auslagerungsunternehmens.

Dieses Grundprinzip der Verantwortlichkeit beim Outsourcing zeigt – aus meiner nicht-juristischen Sicht und im Sinne eines „tertium comparationis“ – Analogien zum § 831, Haftung für den Verrichtungsgehilfen des BGB. Demzufolge ist derjenige, der „einen anderen zu einer Verrichtung bestellt, […] zum Ersatz des Schadens verpflichtet, den der andere in Ausführung der Verrichtung einem Dritten widerrechtlich zufügt.“

Branchenübergreifend anwendbar ist das Bundesdatenschutzgesetz (BDSG). Es führt – diesem Grundprinzip der Verantwortlichkeit folgend – in §11 aus: „Werden personenbezogene Daten im Auftrag durch andere Stellen erhoben, verarbeitet oder genutzt, ist der Auftraggeber für die Einhaltung der Vorschriften dieses Gesetzes und anderer Vorschriften über den Datenschutz verantwortlich.“

Das Kreditwesengesetz (KWG) spricht das Thema Outsourcing im Rahmen der besonderen organisatorischen Pflichten von Instituten an. In den diesbezüglichen Mindestanforderungen an das Risikomanagement fordert die BaFin: „Die Auslagerung darf nicht zu einer Delegation der Verantwortung der Geschäftsleitung an das Auslagerungsunternehmen führen.“

Das Versicherungsaufsichtsgesetz (VAG) geht auf das Outsourcing im Rahmen der Geschäftsorganisation unter dem Begriff Funktionsausgliederung ein. In den Mindestanforderungen an das Risikomanagement für Versicherungen führt die BaFin in ähnlicher Form, allerdings in den Erläuterungen aus: „Die Ausgliederung darf nicht zu einer Delegation der Verantwortung der Geschäftsleitung an das Auslagerungsunternehmen führen.“

Das Investmentgesetz (InvG) stellt die Anforderung, dass „die Kapitalanlagegesellschaft […] ein Verschulden des Auslagerungsunternehmens in gleichem Umfang zu vertreten [hat] wie eigenes Verschulden.“

Diesen Ausführungen folgend verbleibt auch die Verantwortung für die Kontinuität, die Sicherheit und den Datenschutz der ausgelagerten Leistungen beim auslagernden Unternehmen. Sicherlich einer der Gründe, warum auslagernde Unternehmen sich auch in dieser Hinsicht – unter Einbezug juristischer und thematischer Expertise – vertraglich absichern, ihre Dienstleister regelmäßig auditieren oder auditieren lassen und – unterstützt von Fachkundigen – gemeinsame Notfallübungen durchführen.

Dies alles zeigt: Die Verantwortung bleibt.

 

Literatur / Quellen:

Gesetze

Bürgerliches Gesetzbuch, 27.7.2011

Investmentgesetz, 9.12.2010

Kreditwesengesetz, 7.12.2011

Versicherungsaufsichtsgesetz, 22.12.2010

Aufsichtsbehördliche Anforderungen

MaRisk, BaFin, 15.12.2010

MaRisk VA, BaFin, Rundschreiben 3/2009

Geschrieben von

Als Autor von Fachbüchern und zahlreichen Artikeln bin ich Ihnen – zumindest namentlich – vielleicht bereits bekannt. Doch welche Vita verbirgt sich hinter diesem Namen?
Studium und Promotion machten mich bereits früh mit der IT vertraut. Meine berufliche Laufbahn startete ich im Bereich der Softwareentwicklung und –Spezifikation als Gruppenleiter. Als Ingenieur hatte ich gelernt, dass methodisches Vorgehen ein entscheidender Erfolgsfaktor ist, wenn Fehler vermieden und Aufgaben ohne unnötige Iterationen richtig und effizient gelöst werden sollen. Dies zumal dann, wenn die Aufgabenstellung – wie bei Software – komplex ist. Daher führte ich in meiner damaligen Entwicklergruppe das Software-Engineering ein. In meinem weiteren beruflichen Werdegang stellten sich die gemachten Erfahrungen beim Einstieg in ein internationales Softwarehaus als tragfähige Basis heraus. Zu Entwicklung und Spezifikation von Software kamen Teilprojektleitung, (Krisen-)Projekt-management, Test- und Qualitätsmanagement sowie Beratung und Prüfung, aber auch die Rollen Key Account Manager und Career Manager hinzu.
Bei der ACG Automation Consulting Group GmbH in Frankfurt (www.acg-gmbh.de), einer Unternehmensberatung für Organisation und Informationsverarbeitung, übernahm ich den Fachbereich Qualitäts- und Sicherheitsmanagement. Heute verantworte ich hier das Fach Competence Center Unternehmenssicherheit. Als Senior Management Consultant berate ich das Management zu den Themenfeldern (IT-)Sicherheits-, Kontinuitäts- und Risikomanagement, IT-Governance, IT-Service und IT Service Level Management sowie Sourcing.
Um die genannten Themen effizient, durchgängig und integrativ behandeln zu können, entwickelte ich in meiner Freizeit eine Vorgehensweise, in die meine langjährigen Praxis- und Beratungserfahrungen eingeflossen sind. Diese veröffentlichte ich gegen Ende des letzten Jahr-hunderts ;-). Die Anfrage des Vieweg-Verlags und mein Faible für’s Schreiben führten zur detaillierteren Veröffentlichung dieser Vorgehensweise in Buchform. Leserinnen und Lesern meiner Bücher „IT-Sicherheit mit System“ (4. Auflage, 2011) und „Handbuch Unterneh-menssicherheit“ (2. Auflage, 2010) sind die Sicherheitspyramide bzw. Sicherheitsmanagementpyramide sowie die Kontinuitäts- und die Risiko(management)pyramide bekannt.
Wenngleich diese Managementdisziplinen auch einzeln betrachtet werden können, habe ich sie aufgrund der vielfältigen Abhängigkeiten und zur Steigerung der Effizienz nicht nur im Handbuch Unternehmenssicherheit zusammengeführt. Die ganzheitliche Betrachtungsweise der Unternehmenssicherheit führt darüber hinaus zur Konsolidierung und Integration von Prozessen und Ressourcen unterschiedlicher Organisationseinheiten von der Arbeits-, Betriebs-, IT- und Gebäudesicherheit über BCM und ITSCM bis hin zum Risikomanagement für das Unternehmen und seine IT.
Ein weiteres Ergebnis meiner Autorentätigkeit ist das Buch „IT für Manager“, bei dessen Haupttitel – warum auch immer – inzwischen Verwechslungsgefahr besteht ;-).

0 Responses

Schreibe einen Kommentar