Regulatorische Anforderungen an Backup-Servicer in Europa
Das regulatorische Bild rund um Backup-Servicing hat mehr Ebenen, als die meisten Originatoren erwarten. Drei Rahmenwerke sind maßgeblich: die EU-Verbriefungsverordnung, DORA und MaRisk. Sie gelten nicht alle für jede Struktur, und sie überlappen sich auf Weisen, die nicht immer offensichtlich sind. Diese Seite arbeitet jedes einzelne durch und beantwortet dann die Frage, die die meisten Menschen tatsächlich stellen: Was gilt für eine private Warehouse-Fazilität mit einem Nichtbanken-Originator?
Die EU-Verbriefungsverordnung (Verordnung (EU) 2017/2402)
Die Verordnung trat im Januar 2019 in Kraft. Sie gilt für Originatoren, Sponsoren und Verbriefungszweckgesellschaften (SSPEs), die an Verbriefungen beteiligt sind, die von institutionellen Investoren in der EU gehalten werden. Volltext auf EUR-Lex: Verordnung (EU) 2017/2402.
Artikel 7: Transparenz
Originatoren, Sponsoren und SSPEs müssen Daten auf Kreditebene zu den zugrunde liegenden Risikopositionen, strukturelle Informationen und regelmäßige Investorenberichte fortlaufend zur Verfügung stellen. Dies gilt für alle Verbriefungen, nicht nur für solche, die eine STS-Einstufung anstreben. Das Reporting erfolgt über ein registriertes Verbriefungsregister. Die ESMA beaufsichtigt die Registrierung der Register und veröffentlicht die technischen Standards: ESMA Securitisation.
Artikel 21 Absatz 7 und Absatz 8: STS-Servicer-Bestimmungen
Für Transaktionen, die eine STS-Einstufung (Simple, Transparent and Standardised – einfach, transparent und standardisiert) anstreben, legt Artikel 21 zusätzliche Standardisierungsanforderungen fest. Zwei Unterabsätze befassen sich mit der Servicing-Funktion. Artikel 21 Absatz 7 Buchstabe b verlangt, dass die Transaktionsdokumentation die Prozesse und Verantwortlichkeiten festlegt, die sicherstellen, dass ein Ausfall oder eine Insolvenz des Servicers nicht zu einer Beendigung des Servicings führt – typischerweise durch eine vertragliche Bestimmung, die den Austausch des Servicers ermöglicht. Artikel 21 Absatz 8 ergänzt eine eigene Anforderung: Der Servicer muss über nachweisbare Expertise im Servicing von Risikopositionen ähnlicher Art verfügen, mit gut dokumentierten Leitlinien, Verfahren und Risikomanagementkontrollen. Zusammen bedeuten sie, dass eine STS-Nicht-ABCP-Transaktion vor dem Closing einen glaubwürdigen Mechanismus zum Austausch des Servicers benötigt – entweder einen benannten Backup-Servicer oder ein definiertes Bestellungsverfahren. Die Leitlinien der EBA zu den STS-Kriterien für Nicht-ABCP-Verbriefungen (EBA/GL/2018/09) bieten die maßgebliche Auslegungshilfe: EBA-Leitlinien zu den STS-Kriterien.
Die Risikoselbstbehaltspflicht und ihr Zusammenspiel mit dem Servicing
Artikel 6 der Verordnung verlangt, dass Originatoren fortlaufend einen materiellen Nettoanteil von mindestens 5 % an der Verbriefung behalten. Diese Selbstbehaltspflicht steht in Wechselwirkung mit der Servicing-Funktion: In einer Abwicklung hat die Einheit, die den wirtschaftlichen Anteil behält, den stärksten Anreiz sicherzustellen, dass das Portfolio weiterhin korrekt verwaltet wird. Ein Backup-Servicer, der die Portfolio-Performance während eines Übergangs aufrechterhalten kann, schützt den behaltenen Anteil ebenso wie die vorrangigen Investoren.
Was die Verordnung offenlässt
Sie sagt nicht, wer der Backup-Servicer sein muss, welche Form die Bestellung annimmt oder welcher Standard der operativen Bereitschaft gilt. Das bleibt der Dokumentation überlassen und, in der Praxis, dem, was Kreditgeber tatsächlich verlangen. Der vertragliche Standard hat die Lücke gefüllt.
DORA: Digital Operational Resilience Act (Verordnung (EU) 2022/2554)
DORA trat am 17. Januar 2025 in Kraft. Sie gilt für ein breites Spektrum von in der EU tätigen Finanzunternehmen, darunter Kreditinstitute, Zahlungsinstitute, E-Geld-Institute, Wertpapierfirmen und deren kritische IKT-Drittdienstleister. Der vollständige Verordnungstext ist verfügbar unter: Verordnung (EU) 2022/2554 auf EUR-Lex.
Artikel 11: IKT-Geschäftskontinuität
Finanzunternehmen müssen IKT-Geschäftskontinuitätspläne für kritische Funktionen einrichten, vorhalten und regelmäßig testen, einschließlich der an Dritte ausgelagerten Funktionen. Die Leitlinie ist vom Leitungsorgan zu genehmigen und mindestens jährlich zu überprüfen. Für Originatoren, deren Servicing auf Drittplattformen läuft, ist die Kontinuität dieser Plattformen eine unmittelbare DORA-Pflicht. Siehe: Überblick zu DORA Artikel 11.
Artikel 12: Wiederherstellungspläne
Finanzunternehmen benötigen dokumentierte Reaktions- und Wiederherstellungspläne mit definierten Wiederherstellungszeitzielen, die jährlich durch szenariobasierte Übungen getestet werden. Für Einheiten mit aktiven Kreditfazilitäten sollte dies das Szenario abdecken, in dem die Servicing-Funktion nicht mehr verfügbar ist.
Artikel 28–31: Überwachung von IKT-Drittparteien
Finanzunternehmen müssen ein Register über IKT-Drittparteienvereinbarungen führen, kritische Anbieter bewerten und sicherstellen, dass Verträge Kontinuitätsbestimmungen und Ausstiegsstrategien enthalten. Wo ein einzelner Anbieter sowohl das primäre Servicing als auch die Calculation-Agent-Funktionen übernimmt, muss diese Konzentration identifiziert und gemindert werden. Ein Backup-Servicer, der operativ vom primären Technologieanbieter unabhängig ist, ist die unmittelbare Antwort.
Für wen DORA in der Praxis gilt
Die meisten Nichtbanken-Originatoren in Europa halten mindestens eine regulierte Lizenz: ZAG für Zahlungsdienste, KWG für Factoring oder Kreditvergabe oder ein Äquivalent anderswo in der EU. Wenn Sie eine halten, gilt DORA unmittelbar für Sie. Wenn nicht, hält Ihr Kreditgeber wahrscheinlich eine, und seine DORA-Pflichten fließen in die vertraglichen Bedingungen ein, die er Ihnen auferlegt. So oder so ist das Ergebnis dasselbe.
MaRisk: Mindestanforderungen an das Risikomanagement der BaFin
Die MaRisk (Mindestanforderungen an das Risikomanagement) sind der Rahmen der BaFin für das Risikomanagement in deutschen Kreditinstituten und Finanzdienstleistungsinstituten. Sie wird als Rundschreiben herausgegeben und hat nicht die Kraft einer EU-Verordnung, doch die BaFin behandelt sie in der Praxis als verbindlich. Die aktuelle Fassung ist die 8. Novelle (MaRisk 2024), veröffentlicht und in Kraft seit dem 29. Mai 2024. Die BaFin veröffentlichte im April 2026 eine Konsultation zu einer 9. Novelle, die DORA-Anforderungen expliziter integriert: Überblick von Gleiss Lutz.
AT 9: Auslagerung
Nach § 25b KWG müssen KWG-regulierte Institute bei der Auslagerung wesentlicher Aktivitäten angemessene Vorkehrungen treffen. AT 9 Tz. 6 verlangt, dass Institute für wesentliche ausgelagerte Aktivitäten die Kontinuität und Qualität der ausgelagerten Funktion sicherstellen, wenn die Vereinbarung endet, sei es geplant oder nicht. Das bedeutet: ein vorab identifizierter Ersatzanbieter, dokumentierte Übergangsverfahren und eine getestete Übergabe. Für Originatoren, die das primäre Loan Servicing als wesentliche ausgelagerte Funktion behandeln, erfüllt ein vorab benannter, operativ bereiter Backup-Servicer AT 9 Tz. 6 unmittelbar. Siehe: Myra Security: MaRisk AT 9.
AT 7.3: Notfallmanagement
MaRisk AT 7.3 verlangt ein Notfallmanagementsystem einschließlich Business-Impact-Analyse, Notfallplänen für kritische Prozesse und regelmäßiger Tests. Servicing, ob intern erbracht oder ausgelagert, ist für jeden Originator mit aktiven Fazilitäten ein kritischer Prozess. Seit der 8. Novelle wird AT 7.3 für Einheiten, die in den Anwendungsbereich beider fallen, durch die Brille von DORA ausgelegt.
MaRisk und Nichtbanken-Originatoren
Die MaRisk gilt formell für KWG-regulierte Institute. Originatoren ohne KWG-Lizenz unterliegen ihr nicht unmittelbar. Doch ihre Kreditgeber tun es oft, und Kreditgeber legen MaRisk-äquivalente Standards an die Fazilitätsdokumentation an, unabhängig vom regulatorischen Status des Originators. Das Ergebnis ist dasselbe.
ZAG, PSD2 und die Cash-Manager-Frage
Eine regulatorische Dimension, die seltener diskutiert, für europäische Nichtbanken-Kreditgeber aber zunehmend relevant wird, ist das Zusammenspiel zwischen der Regulierung von Zahlungsdiensten und der operativen Rolle eines Backup-Servicers.
Viele strukturierte Kreditvehikel, insbesondere luxemburgische SPVs oder deutsche GmbH-&-Co.-KG-Strukturen, die in Warehouse- und ABS-Transaktionen verwendet werden, enthalten eine Cash-Manager-Funktion: die Einheit, die für die Verwaltung der Zahlungsströme über die Konten der SPV, die Steuerung der Zahlungen gemäß dem Wasserfall und die Aufrechterhaltung der Zahlungsmechanik der Fazilität verantwortlich ist. In Deutschland können bestimmte Cash-Management-Tätigkeiten, die das Anweisen von Zahlungen im Namen Dritter umfassen, eine Lizenz nach dem ZAG (Zahlungsdiensteaufsichtsgesetz, das PSD2 in deutsches Recht umsetzt) erfordern.
Das wirft für Backup-Servicer eine regulatorische Frage auf: Wenn vom Backup-Servicer erwartet wird, bei Aktivierung Cash-Management-Funktionen zu übernehmen, erfordert das eine ZAG-Lizenz, und falls ja, hält der vorgeschlagene Anbieter eine? Die Frage ist in deutschrechtlichen Strukturen schärfer als in luxemburgischen oder irischen SPV-Strukturen, in denen die einschlägige Zahlungsdiensteregulierung anders zur Anwendung kommt. Die Position der BaFin zum Umfang der ZAG-Lizenzierung für das Cash-Management in der strukturierten Finanzierung ist nicht förmlich kodifiziert, und Rechtsgutachten deutscher Kanzleien (typischerweise Linklaters, Freshfields oder ähnliche) sind der übliche Weg, die Frage für eine konkrete Struktur zu klären.
Für Originatoren: Wenn Ihre Fazilitätsdokumentation dem Backup-Servicer bei Aktivierung Cash-Management-Verantwortlichkeiten zuweist, sprechen Sie die ZAG-Frage mit Ihrer Rechtsberatung an, bevor Sie die Bestellung finalisieren. Ein Backup-Servicer, der die Cash-Management-Funktion rechtlich nicht ausüben kann, ist keine vollständige Lösung.
Was gilt tatsächlich für eine private Warehouse-Fazilität?
Das ist die Frage, die die meisten Originatoren stellen. Die Antwort hängt von drei Variablen ab: der Struktur der Fazilität, dem Lizenzstatus des Originators und der eigenen regulatorischen Position des Kreditgebers.
Wenn die Fazilität als Verbriefung nach der EU-Verbriefungsverordnung strukturiert ist
Das heißt, das mit einem Pool von Risikopositionen verbundene Kreditrisiko ist in Tranchen unterteilt und wird von institutionellen Investoren gehalten: Dann gelten die Transparenzpflichten des Artikels 7 und, falls eine STS-Einstufung angestrebt wird, die Anforderung zum Servicer-Austausch nach Artikel 21 Absatz 7 Buchstabe b unmittelbar. Das deckt die meisten gerateten ABS-Transaktionen und viele private revolvierende Strukturen ab, die bewusst aus Gründen des regulatorischen Kapitals oder des Risikotransfers als Verbriefungen strukturiert sind.
Wenn die Fazilität ein privates bilaterales oder Club-Warehouse ist, das nicht als Verbriefung strukturiert ist
Was die Mehrheit der europäischen Warehouse-Fazilitäten für Nichtbanken-Originatoren im Bereich von 10–100 Mio. EUR abdeckt: Dann gilt die EU-Verbriefungsverordnung nicht unmittelbar. Doch Kreditgeber wenden dieselbe Logik vertraglich an. Die Clifford-Chance-Note zur Warehouse-Finanzierung erläutert dies klar: Securitised Origination Warehouse Financing. Institutionelle Kreditgeber behandeln Backup-Servicer-Anforderungen unabhängig vom regulatorischen Etikett der Struktur als Marktstandard.
Wenn der Originator eine regulierte Lizenz hält
KWG, ZAG oder eine gleichwertige Lizenz in einem anderen EU-Mitgliedstaat: DORA gilt ab Januar 2025, und MaRisk gilt für KWG-regulierte Einheiten in Deutschland. Beide schaffen ausdrückliche Pflichten zur operativen Kontinuität, die ein vorab benannter Backup-Servicer unmittelbar erfüllt.
Wenn der Originator unreguliert ist
Tätig unter vertraglichen oder kommerziellen Vereinbarungen ohne Finanzdienstleistungslizenz: Dann gelten weder DORA noch MaRisk unmittelbar. Die regulatorische Dimension wird dann vollständig durch die eigenen Pflichten des Kreditgebers und die vertraglichen Bedingungen der Fazilität definiert. In der Praxis importieren institutionelle Kreditgeber ihre eigenen Compliance-Anforderungen in die Fazilitätsdokumentation, was zum selben Ergebnis führt.
Die Kurzfassung: Unabhängig von Ihrem regulatorischen Status werden Sie, wenn Sie einen institutionellen Kreditgeber haben, der Fremdkapital gegen einen Pool von Forderungen bereitstellt, aufgefordert, einen Backup-Servicer zu benennen. Die obigen regulatorischen Rahmenwerke erklären, warum die Anforderung besteht und welchen Standard sie erfüllen muss. Die vertragliche Anforderung im Term Sheet ist der Ort, an dem sie tatsächlich verbindlich wird.
Fragen dazu, was für Ihre Struktur gilt?
Credibur arbeitet mit regulierten und unregulierten Originatoren, privaten und strukturierten Fazilitäten, in Deutschland und in ganz Europa. Wenn Sie das regulatorische Bild für Ihre konkrete Struktur vor Ihrem nächsten Kreditgebergespräch durcharbeiten müssen, ist der schnellste Weg ein kurzes Gespräch.
30-minütiges Gespräch buchen