Artikel 6
Organisatorische Anforderungen an die Auslagerung
(1) Sofern ein Datenbereitstellungsdienst Dritte mit der Durchführung von Tätigkeiten in seinem Namen beauftragt, einschließlich Unternehmen, zu denen er enge Verbindungen hat, so stellt er sicher, dass der Drittdienstleister über die Fähigkeiten und Kapazitäten verfügt, um die Tätigkeiten zuverlässig und professionell durchzuführen.
(2) Ein Datenbereitstellungsdienst legt fest, welche Tätigkeiten auszulagern sind, einschließlich in welchem Umfang personelle und technische Ressourcen für die Durchführung sämtlicher dieser Tätigkeiten erforderlich sind.
(3) Ein Datenbereitstellungsdienst, der Tätigkeiten auslagert, stellt sicher, dass die Auslagerung nicht seine Fähigkeiten oder Möglichkeiten einschränkt, Aufgaben der Geschäftsleitung oder des Leitungsorgans auszuüben.
(4) Ein Datenbereitstellungsdienst ist weiterhin für die ausgelagerten Tätigkeiten verantwortlich und ergreift organisatorische Maßnahmen, um zu gewährleisten:
a) dass er überprüft, ob der Drittdienstleister die ausgelagerten Tätigkeiten effektiv und unter Einhaltung anwendbarer Gesetze und regulatorischer Anforderungen durchführt und erkannte Mängel angemessen beseitigt;
b) dass die Risiken bezüglich der ausgelagerten Tätigkeiten erkannt und in angemessener Weise regelmäßig überwacht werden;
c) dass angemessene Kontrollverfahren in Bezug auf ausgelagerte Tätigkeiten vorgesehen werden, einschließlich der effektiven Überwachung der Tätigkeiten und deren Risiken innerhalb des Datenbereitstellungsdienstes;
d) dass die Kontinuität ausgelagerter Tätigkeiten angemessen sichergestellt werden kann.
Im Sinne von Buchstabe d holt der Datenbereitstellungsdienst Informationen zu den Notfallvorkehrungen des Drittdienstleisters ein, prüft deren Qualität und verlangt gegebenenfalls Nachbesserungen.
(5) Ein Datenbereitstellungsdienst stellt sicher, dass der Drittdienstleister in Verbindung mit ausgelagerten Tätigkeiten mit der für den Datenbereitstellungsdienst zuständigen Behörde zusammenarbeitet.
(6) Sofern ein Datenbereitstellungsdienst kritische Aufgaben auslagert, übermittelt er der zuständigen Behörde seines Herkunftsmitgliedstaats folgende Informationen:
a) genaue Angaben zum Drittdienstleister;
b) organisatorische Maßnahmen und Strategien im Hinblick auf eine Auslagerung und deren Risiken gemäß Absatz 4;
c) interne oder externe Berichte zu den ausgelagerten Tätigkeiten.
Im Sinne des ersten Unterabsatzes 6 gilt eine Aufgabe als kritisch, wenn eine mangelhafte oder Nichtausführung die fortwährende Einhaltung der Zulassungsbedingungen und -verpflichtungen oder anderer Verpflichtungen gemäß der Richtlinie 2014/65/EU durch den Datenbereitstellungsdienst wesentlich beeinträchtigen würde.