Eine im Jahr 2024 abgeschlossene Sonderprüfung hatte ergeben, dass das Institut die Vorgaben des Zahlungsdiensteaufsichtsgesetzes an eine ordnungsgemäße Geschäftsorganisation und an Auslagerungen nicht in allen geprüften Bereichen vollumfänglich erfüllte. Betroffen waren etwa auch die eingesetzte IT und IT-Prozesse, die anhand der Anforderungen des Rundschreibens Zahlungsdiensteaufsichtliche Anforderungen an die IT von Zahlungs- und E-Geld-Instituten (ZAIT) beurteilt wurden. Das Institut muss erhöhte Eigenmittelanforderungen einhalten, bis es die organisatorischen Mängel vollständig beseitigt hat.

Der Bescheid der BaFin ist seit dem 25. Februar 2025 bestandskräftig.

Ordnungsgemäße Geschäftsorganisation und Auslagerungen

Eine ordnungsgemäße Geschäftsorganisation soll gewährleisten, dass Zahlungsinstitute die gesetzlichen Bestimmungen einhalten und tun, was betriebswirtschaftlich notwendig ist. Wie dies zu geschehen hat, regelt § 27 Absatz 1 Zahlungsdiensteaufsichtsgesetz (ZAG). Wesentliche Teile der ordnungsgemäßen Geschäftsorganisation sind angemessene Maßnahmen der Unternehmenssteuerung, Kontrollmechanismen und Verfahren, die gewährleisten, dass das Institut seine Verpflichtungen erfüllt.

Ebenfalls muss ein Institut angemessene Vorkehrungen treffen, um übermäßige zusätzliche Risiken einer Auslagerung zu vermeiden. Diese Vorkehrungen sind abhängig von Art, Umfang, Komplexität und Risikogehalt der Auslagerung. Eine Auslagerung darf weder die Ordnungsmäßigkeit der Geschäfte und Dienstleistungen des Institutes noch seine Geschäftsorganisation beeinträchtigen.

Kommt die BaFin zu dem Schluss, dass die Geschäftsorganisation eines Instituts Mängel aufweist, kann sie tätig werden. Sie kann zum Beispiel verlangen, dass das Institut zusätzlich zu den gesetzlichen Anforderungen weitere Eigenmittel vorhält. Dies hat die BaFin bei der GP Payments Acquiring International GmbH getan. Grundlage hierfür ist § 15 Absatz 2 Satz 3 ZAG.

Seit dem 17. Januar 2025 findet die Verordnung über die digitale operationale Resilienz im Finanzsektor (Digital Operational Resilience Act, DORA) Anwendung. Sie führt europaweit harmonisierte Regeln für das Management von Risiken der Informations- und Kommunikationstechnologie ein. Die neuen aufsichtlichen Anforderungen schließen diejenigen aus den ZAIT im Wesentlichen mit ein. Die ZAIT sind daher zeitgleich aufgehoben worden.

Auch die Veröffentlichung solcher Maßnahmen erfolgt nach festen Regeln. Sie finden sich in § 27 Abs. 2 Satz 1 ZAG in Verbindung mit 60b Absatz 1 Kreditwesengesetz.