Bitte lesen Sie das, bevor Sie weiterlesen Diese vier Beispiele sind konstruiert und geben keinen tatsächlichen Vorgang wieder. Sie sind gebaut, um Zusammenhänge zu zeigen: wie eine Kreditorenliste ein Register widerlegt, wie eine Kündigungsfrist einen Ausstiegsplan aushebelt, wie eine Unterauftragskette in die Tiefe geht. Die Zahlen darin sind Anschauungswerte, keine Erhebungsergebnisse. Rechnen Sie nicht mit ihnen und zitieren Sie sie nicht.
Was Sie übertragen können, sind die Fragen, nicht die Werte. Jede Zahl aus Ihrem Haus wird anders aussehen.
Beispiel 1 · Der Dienstleister, der nicht im Register stand
Genossenschaftsbank, rund 900 Mio € Bilanzsumme, zweiundzwanzig Beschäftigte in der Marktfolge.
Die Ausgangslage
Das Register war gepflegt: vierzehn Verträge, sauber erfasst, Kernbanksystem, Rechenzentrum, Zahlungsverkehr, Archiv. Die Kollegin, die es führte, hatte es gut gemacht: Sie hatte die Vertragsakte des Einkaufs durchgearbeitet.
In der Vorbereitung auf die Einreichung führte ein anderer Weg weiter: nicht die Vertragsakte, sondern die Kreditorenliste des letzten Geschäftsjahres, gefiltert auf alles, was nach IT aussah. Das dauerte einen Vormittag.
Was dabei herauskam
Tabelle seitlich wischbar
| Gefunden | Jahreskosten | Warum es niemand als Auslagerung gesehen hatte |
|---|---|---|
| Terminbuchung für die Beratungsgespräche | 1.188 € | Über die Kreditkarte des Vertriebsleiters bezahlt. „Ist doch nur ein Kalender.“ |
| Werkzeug für Serienbriefe und Newsletter | 2.340 € | Vom Marketing eingeführt. Enthält den kompletten Adressbestand der Privatkunden. |
| Übersetzungsdienst mit Weboberfläche | 468 € | Einzelne Mitarbeiter luden dort Vertragsentwürfe hoch. |
| Fernwartungswerkzeug eines Zulieferers | 0 € | Kostenlos beigestellt, deshalb keine Rechnung, deshalb kein Vertrag, deshalb unsichtbar. Mit vollem Zugriff auf zwei Fachanwendungen. |
| Signaturlösung für Kreditverträge | 4.700 € | Lief als Teilleistung unter dem Vertrag des Kernbankanbieters, tatsächlich aber ein eigener Anbieter im Unterauftrag. |
Was daraus folgte
Fünf Einträge mehr im Register, aber das war nicht das Ergebnis. Das Ergebnis war die Einstufung: Die Signaturlösung stützt den Kreditprozess. Fällt sie aus, kann das Haus keine Kreditverträge abschließen; sie unterstützt damit eine wichtige Funktion nach Art. 3 Nr. 21 DORA. Damit sind die zusätzlichen Vertragsinhalte nach Art. 30 Abs. 3 zu vereinbaren und ein Ausstiegsplan nach Art. 28 Abs. 8 zu erstellen. Die Unterauftragskette wird nach Delegierter Verordnung (EU) 2025/532 bewertungspflichtig.
Und das Newsletter-Werkzeug ist in diesem Beispiel gar keine DORA-Frage, sondern eine des Datenschutzes: Der Adressbestand liegt bei einem Anbieter ohne Auftragsverarbeitungsvertrag. Gefunden hat dieses Werkzeug die Erhebung für DORA.
Was das Beispiel zeigt Die Vertragsakte zeigt, was jemand als Vertrag erkannt hat. Die Kreditorenliste zeigt, wohin Geld fließt. Der Unterschied zwischen beiden ist genau die Menge, die im Register fehlt. Und das kostenlos beigestellte Werkzeug taucht in keiner von beiden auf. Danach muss man die Administratoren fragen, nicht den Einkauf.
Beispiel 2 · Der Ausstiegsplan, der auf dem Papier funktionierte
Zahlungsdienstleister, rund 60 Beschäftigte, Kernsystem bei einem spezialisierten Anbieter.
Die Ausgangslage
Der Ausstiegsplan lag vor, sechs Seiten, ordentlich gegliedert: Auslöser, Zielbild, Übergangslösung, Verantwortliche, Kommunikation. Ein Prüfer hätte ihn im Aktenordner abgehakt.
Die Rechnung, die keiner gemacht hatte
Tabelle seitlich wischbar
| Posten | Dauer |
|---|---|
| Auswahl und Vertragsschluss mit einem Nachfolger | 3–5 Monate |
| Datenextraktion beim bisherigen Anbieter (vertraglich: „auf Anfrage, in marktüblichem Format“) | unbestimmt |
| Migration und Abgleich der Bestandsdaten | 4 Monate |
| Parallelbetrieb und Abnahme | 2 Monate |
| Summe | 9–11 Monate |
| Kündigungsfrist im Vertrag | 3 Monate zum Quartalsende |
Der Plan war damit keiner. Nicht weil er schlecht geschrieben war (das war er), sondern weil der Vertrag drei Monate nach der Kündigung endete, der Nachfolger aber erst mindestens sechs Monate später produktiv laufen konnte. Aufgefallen ist das beim Nebeneinanderlegen zweier Zahlen, die vorher in zwei verschiedenen Dokumenten standen.
Was zu ändern war
- Kündigungsfrist verlängert: auf zwölf Monate. Der Anbieter hat zugestimmt, weil eine längere Bindung in seinem Interesse liegt. Das war die billigste Lösung und die, an die niemand gedacht hatte, weil man Kündigungsfristen gewöhnlich verkürzen will.
- Datenextraktion konkretisiert: statt „marktübliches Format“ nun ein benanntes Format, ein Höchstzeitraum von zwanzig Werktagen und ein Testabzug einmal jährlich. Das ist der wichtigste Punkt, denn er macht aus einer Zusage eine geprüfte Zusage.
- Übergangsunterstützung bepreist: mit einem Tagessatz im Vertrag statt „nach Aufwand“. Wer im Ausstiegsfall erst über Preise verhandelt, verhandelt aus der schlechtesten denkbaren Lage.
Die Frage, die jeden Ausstiegsplan prüft Wie viele Monate vergehen zwischen dem Tag der Kündigung und dem Tag, an dem der Nachfolger produktiv läuft, und ist die Kündigungsfrist länger als diese Zahl? Zwei Zahlen, fünf Minuten. Wenn der Plan diese Frage nicht beantwortet, beantwortet er die falsche.
Beispiel 3 · Die Kette, die drei Ebenen tief ging
Sparkasse, Archivierung und Dokumentenverarbeitung ausgelagert.
Was im Register stand
Ein Anbieter, ein Vertrag, Dienstleistungsart S07 (Datenverarbeitung). Sauber erfasst, nichts zu beanstanden.
Was tatsächlich dahinterstand
Vier Ebenen. Das Haus hatte eine im Register. Die Frage, wer die Dokumente eines Kreditnehmers tatsächlich verarbeitet, ließ sich nicht beantworten. Das ist keine Formalie, sondern der Kern des Konzentrations- und des Standortthemas.
Wie sich die Kette auflösen lässt
Nicht durch Nachforschung, sondern durch eine Frage in Textform an den Vertragspartner, mit Verweis auf Art. 30 Abs. 3 DORA und einer Frist von vier Wochen. Die Antwort kam nach fünf Wochen und war vollständig; sie lag beim Anbieter bereits vor, weil ihn andere Kunden schon gefragt hatten. Das ist der Regelfall: Die Auskunft existiert, aber niemand gibt sie unaufgefordert.
Anschließend ist im Vertrag zu ergänzen, was die Bewertung der Kette nach Verordnung (EU) 2025/532 überhaupt erst möglich macht: eine Anzeigepflicht bei jedem Wechsel in der Kette, mit einer Frist, die dem Haus Zeit zum Widerspruch lässt.
Der Satz, der die Auskunft bringt „Bitte benennen Sie uns alle Unterauftragnehmer, die an der Erbringung der vertragsgegenständlichen Leistung beteiligt sind, einschließlich der von diesen eingesetzten weiteren Anbieter, jeweils mit Firma, Sitz, Land der Leistungserbringung und Art des Beitrags." Der Nachsatz „einschließlich der von diesen eingesetzten weiteren Anbieter“ ist der Teil, der über eine Ebene hinausführt. Ohne ihn bekommen Sie Ebene 2 und sonst nichts.
Beispiel 4 · Der IKT-Dienstleister, der plötzlich zwölf Fragebögen bekam
Softwarehaus, 25 Beschäftigte, Fachanwendung für Meldewesen, vierzig Institute als Kunden.
Die Ausgangslage
Anfang 2025 kamen innerhalb von acht Wochen zwölf Fragebögen herein, jeder anders aufgebaut, zwischen 40 und 180 Fragen. Dazu Forderungen nach Vertragsanpassungen, jede anders formuliert, inhaltlich weitgehend gleich. Zwei Mitarbeiter waren sechs Wochen überwiegend damit beschäftigt.
Was statt der Beantwortung sinnvoll ist
-
Eine Selbstauskunft, einmal
Vierzehn Seiten: Unternehmen, Registereintrag, Eigentümer, Versicherung, Beschäftigte, Ansprechstellen, Leistungsbeschreibung, Zuordnung zu den Dienstleistungsarten nach Anhang III, Standorte, Unterauftragnehmer, technische und organisatorische Maßnahmen, Vorfallsbehandlung, Aussage zum Ausstieg. Neun von zwölf Fragebögen waren damit zu über achtzig Prozent beantwortet.
-
Eine eigene Vertragsanlage
Statt auf zwölf Klauselvorschläge zu reagieren, entstand ein eigener Text, der die Inhalte nach Art. 30 Abs. 2 und 3 abdeckt, formuliert vom Anbieter, nicht vom Kunden. Seitdem legt er vor. Von den nächsten neun Kunden haben sieben ihn unverändert übernommen.
-
Einen LEI beantragt
Kostet wenig und erspart beiden Seiten in jedem Registerzyklus eine Rückfrage. Vorher kam diese Frage vierzigmal im Jahr.
-
Alles öffentlich gestellt
Selbstauskunft, Vertragsanlage und die Maßnahmenbeschreibung stehen seitdem zum Herunterladen auf der eigenen Seite. Das war der Schritt mit der größten Wirkung und zugleich der, bei dem es die meiste Überzeugungsarbeit brauchte.
Was es gebracht hat
Der Aufwand je Anfrage fiel von rund drei Tagen auf wenige Stunden. Und in zwei Ausschreibungen des Folgejahres wurde die vorhandene Dokumentation ausdrücklich als Grund für die Auswahl genannt, nicht weil sie besser war als die des Wettbewerbers, sondern weil der Wettbewerber vier Wochen für die Antwort brauchte und das Institut den Termin nicht halten konnte.
Für Dienstleister die wichtigste Erkenntnis Die Fragebögen Ihrer Kunden fragen fast alle dasselbe, nur in anderer Reihenfolge. Sie beantworten also nicht zwölf verschiedene Fragenkataloge, sondern zwölfmal denselben. Und genau deshalb lohnt es, sie einmal gründlich zu beantworten. Wer stattdessen jeden Bogen einzeln ausfüllt, zahlt den Preis in jedem Quartal neu.
Zum Umgang mit diesen Beispielen
Die Beispiele sind konstruiert. Sie bilden Muster ab, die in der Umsetzung regelmäßig auftreten, geben aber keinen einzelnen Vorgang und keine einzelne Prüfung wieder. Übertragen Sie nichts davon ungeprüft: Ihr Haus hat andere Funktionen, andere Verträge und andere Größenverhältnisse. Was sich übertragen lässt, sind die Fragen: die Kreditorenliste gegen das Register, die Kündigungsfrist gegen die Migrationsdauer, die Kette über die erste Ebene hinaus.
Stand: 28. September 2026 · Konstruierte Lehrbeispiele; Namen, Zahlen und Details sind erfunden. Fachlicher Hinweis, keine Rechtsberatung.