DORA-Prüfpaket · Teil 7 von 8
Vertragscheckliste nach DORA
Die Mindestinhalte nach Art. 30 DORA und wo sie bei uns geregelt sind
Stand: 14. November 2026 · Beschützerbox GmbH, Großbeerenstr. 11, 10963 Berlin
Jeder Vertrag über IKT-Dienstleistungen braucht die Mindestinhalte nach Art. 30 Abs. 2 DORA. Die Tabelle zeigt für jeden Punkt, wo er in unseren Vertragsunterlagen steht. Was unsere AGB nicht abdecken, regelt unsere Vertragsanlage nach DORA (Teil 8); wir unterschreiben sie mit dem Vertrag. Besteht Ihr Haus auf dem Muster Ihres Verbands, prüfen wir es. Auch ein Test ist schon ein Vertrag über eine IKT-Dienstleistung; die Vertragsanlage unterschreiben wir deshalb vor dem Test.
- geregelt steht in AGB, Angebot oder Leistungsbeschreibung
- Vertragsanlage steht in der Vertragsanlage nach DORA (Teil 8)
1. Mindestinhalte für jeden Vertrag (Art. 30 Abs. 1 und 2)
| Punkt | Anforderung | Wo geregelt | Unsere Antwort |
|---|---|---|---|
| Abs. 1 | Rechte und Pflichten schriftlich; vollständiger Vertrag mit Dienstleistungsgüte, herunterladbar und dauerhaft | AGB, Angebot oder Bestellung, Leistungsbeschreibung, Anlage § 1 geregeltVertragsanlage | Vertragsbestandteile sind AGB, Angebot oder Bestellung und Leistungsbeschreibung, für Banken dazu die Vertragsanlage nach DORA (Teil 8). Alle gibt es als PDF oder als Text zum Speichern und Ausdrucken, die AGB unter beschuetzerbox.de/agb; zusammen bekommen Sie sie als eine PDF-Datei (Anlage § 1). |
| Punkt a | Klare und vollständige Beschreibung aller Funktionen und IKT-Dienstleistungen; ob und wie Unteraufträge bei kritischen oder wichtigen Funktionen zulässig sind | Leistungsbeschreibung, AGB § 3, Anlage § 2 geregeltVertragsanlage | Die Leistung beschreibt die Leistungsbeschreibung. Die Unterauftragnehmer für den Betrieb nennt die Anlage (§ 2), Einzelheiten Teil 4. Bedingungen für Unteraufträge verlangt DORA nur bei kritischen oder wichtigen Funktionen. |
| Punkt b | Orte (Regionen oder Länder) der Leistung und Datenverarbeitung, Speicherort; Vorabinformation bei geplanter Änderung | AGB § 3.1, Anlage § 3 geregeltVertragsanlage | Der Internetzugang läuft über Server in Deutschland (AGB § 3.1); einzelne Server und IP-Adressen können sich ändern (§ 3.2), das Land nicht. Alle Datenorte, auch für Buchhaltung und Rechnungsarchiv, stehen in Teil 4. Ändern sich die in Teil 4 genannten Orte, ein Rechenzentrumsbetreiber oder ein Unterauftragnehmer für den Betrieb, informieren wir Sie mindestens drei Monate vorher in Textform (Anlage § 3). |
| Punkt c | Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit in Bezug auf den Datenschutz, einschließlich personenbezogener Daten | AGB § 5.3, Anlage § 4 geregeltVertragsanlage | Zugesichert sind 99 % Verfügbarkeit je Abrechnungsmonat. Fällt der Dienst in einem Abrechnungsmonat zusammengerechnet länger als 7,2 Stunden aus, entfällt das Entgelt für diesen Monat (AGB § 5.3). Ausfälle, die Dritte verursachen, etwa beim Internetanschluss, zählen nicht. Abweichend davon zählen Ausfälle unserer Unterauftragnehmer mit (Anlage § 4). Vertraulichkeit sichern das Fernmeldegeheimnis (§ 3 TDDDG) und der verschlüsselte Tunnel. Dass wir den weitergeleiteten Verkehr nicht protokollieren und die Maßnahmen aus Teil 3 mindestens gleichwertig aufrechterhalten, steht in der Anlage (§ 4). |
| Punkt d | Zugang zu den Daten des Finanzunternehmens bei Insolvenz, Abwicklung, Einstellung oder Vertragsende; Wiederherstellung und Rückgabe in leicht zugänglichem Format | Anlage § 5 Vertragsanlage | Ihre Daten bekommen Sie auf Anforderung, die bis 30 Tage nach Vertragsende möglich ist, innerhalb von 30 Tagen in einem gängigen elektronischen Format, auch bei Einstellung, Abwicklung oder Insolvenz unseres Betriebs; verlorene Daten stellen wir aus den vorhandenen Sicherungen wieder her. Spätestens 60 Tage nach Vertragsende löschen wir Konten, Einstellungen und Daten der Box 4 Pro des beendeten Vertrags und bestätigen das; für andere laufende Verträge genutzte Konten bleiben, Sicherungskopien entfallen mit ihrer regulären Löschung, Vertrags- und Rechnungsdaten löschen wir nach den gesetzlichen Fristen (Anlage § 5). Welche Daten es gibt, steht in Teil 6. |
| Punkt e | Beschreibung der Dienstleistungsgüte, einschließlich Aktualisierungen und Überarbeitungen | Leistungsbeschreibung, AGB §§ 1.1, 5.3, Anlage §§ 1, 6 geregeltVertragsanlage | Leistung und Verfügbarkeit stehen in Leistungsbeschreibung und AGB; für Ihren Vertrag gilt die AGB-Fassung bei Vertragsschluss (§ 1.1). Die Anlage geht den AGB vor und schließt die Änderungsklausel § 12.2 aus: Änderungen und Überarbeitungen gelten für Ihren Vertrag nur mit Ihrer Zustimmung in Textform (Anlage §§ 1, 6). |
| Punkt f | Unterstützung bei IKT-Vorfällen ohne zusätzliche Kosten oder zu vorab festgelegten Kosten | Leistungsbeschreibung, Angebot, Anlage § 7 geregeltVertragsanlage | Hilfe bei Störungen per Telefon und E-Mail ist im Monatspreis enthalten. Bei IKT-Vorfällen liefern wir ohne zusätzliche Kosten Auskunft zu Beginn, Ende, betroffenen Boxen und Ursache, die vorhandenen Verbindungsdaten unserer Server und die Sperre oder den Austausch betroffener Boxen (Anlage § 7). Wege und Zeiten stehen in Teil 5. |
| Punkt g | Vollumfängliche Zusammenarbeit mit den zuständigen Behörden und Abwicklungsbehörden, einschließlich der von ihnen benannten Personen | Anlage § 8 Vertragsanlage | Wir arbeiten mit BaFin, Deutscher Bundesbank, Europäischer Zentralbank, den Abwicklungsbehörden und den von ihnen benannten Personen uneingeschränkt zusammen (Anlage § 8). |
| Punkt h | Kündigungsrechte und Mindestkündigungsfristen entsprechend den Erwartungen der Behörden | AGB § 9, Anlage § 9 geregeltVertragsanlage | Im Monatstarif kündigen Sie zum Ende des Abrechnungsmonats, Verträge über 6, 12 oder 24 Monate mit einem Monat Frist zum Ende der Laufzeit. Dazu kommen die außerordentlichen Kündigungsrechte nach Art. 28 Abs. 7 DORA. Wir selbst kündigen mit drei Monaten Frist, bei 6, 12 oder 24 Monaten frühestens zum Ende der Laufzeit (Anlage § 9). |
| Punkt i | Bedingungen für die Teilnahme an Programmen zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz | Anlage § 10 Vertragsanlage | Auf Anforderung nehmen wir an Ihren Programmen teil, soweit sie das Kunden-WLAN betreffen; bis zu zwei Stunden im Jahr per Videokonferenz sind im Preis enthalten (Anlage § 10). |
2. Die Vertragsanlage
Die Vertragsanlage nach DORA (Teil 8) gibt es als Seite und als PDF zum Unterschreiben. Sie regelt die Punkte oben mit „Vertragsanlage“ und dazu, dass wir Sie über Vorfälle, die Ihr Kunden-WLAN betreffen, unverzüglich per E-Mail informieren, bei Sicherheitsvorfällen spätestens zeitgleich mit einer Erstmeldung nach § 168 TKG (§ 7).
3. Zusätzlich bei einer kritischen oder wichtigen Funktion (Art. 30 Abs. 3)
Diese Punkte braucht der Vertrag nur, wenn Ihr Haus das Kunden-WLAN als Unterstützung einer kritischen oder wichtigen Funktion einstuft. Warum wir das nicht erwarten, steht in Teil 2. Stuft Ihr Haus es anders ein, sprechen Sie uns vor der Bestellung an; dann ergänzen wir die Vertragsanlage um diese Punkte (Anlage § 2 Abs. 3). Die rechte Spalte zeigt, was es dazu heute schon gibt.
| Punkt | Anforderung | Heute |
|---|---|---|
| Punkt a | Vollständige Dienstleistungsgüte mit präzisen quantitativen und qualitativen Leistungszielen | 99 % Verfügbarkeit je Abrechnungsmonat (AGB § 5.3) |
| Punkt b | Kündigungsfristen und Berichtspflichten des Dienstleisters, auch über Entwicklungen, die seine Leistungsfähigkeit wesentlich beeinträchtigen könnten | Kündigungsfristen nach AGB § 9 und Anlage § 9 |
| Punkt c | Notfallpläne umsetzen und testen; Maßnahmen, Tools und Richtlinien für IKT-Sicherheit | Beschreibung der Maßnahmen und Notfälle in Teil 3 und Teil 6 |
| Punkt d | Beteiligung an bedrohungsorientierten Penetrationstests (TLPT) des Finanzunternehmens | – |
| Punkt e i | Uneingeschränkte Zugangs-, Inspektions- und Auditrechte für Sie, beauftragte Dritte und die Aufsicht, Kopien vor Ort | – |
| Punkt e ii | Alternative Bestätigungsniveaus, wenn Rechte anderer Kunden betroffen sind | – |
| Punkt e iii | Zusammenarbeit bei Vor-Ort-Inspektionen und Audits | – |
| Punkt e iv | Angaben zu Umfang, Häufigkeit und Verfahren der Inspektionen und Audits | – |
| Punkt f i | Verbindlicher Übergangszeitraum, in dem der Dienst weiterläuft | Weiterlauf bis zum Vertragsende (Teil 6) |
| Punkt f ii | Wechsel zu einem anderen Anbieter oder zu einer eigenen Lösung ermöglichen | Wechsel ohne Umbau im Banknetz (Teil 6) |
Die Tabellen geben Art. 30 DORA verkürzt wieder; maßgeblich ist der Wortlaut der Verordnung (EU) 2022/2554.
