Contract Remediation: Vertragsbestände für DORA, IBOR und Datenschutz anpassen

Kurzantwort: Contract Remediation bedeutet, einen ganzen Vertragsbestand systematisch an neue Vorgaben anzupassen. Typische Auslöser sind die Mindestinhalte für IKT-Verträge nach Art. 30 DORA, Rückfallklauseln für Referenzzinssätze nach Art. 28 Abs. 2 der Benchmark-Verordnung und Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Erfolgreich sind Projekte, die zuerst inventarisieren und einen Klauselstandard festlegen und erst danach verhandeln.

Dieser Ratgeber richtet sich an General Counsel, Heads of Legal, Legal-Operations-Verantwortliche und Compliance-Leitungen in der Schweiz und in Deutschland. Er erklärt die wichtigsten Auslöser mit ihren Rechtsgrundlagen, zeigt ein Vorgehen in sechs Schritten und hilft, Team und Aufwand realistisch zu planen.

Was Contract Remediation ist

Contract Remediation (auch Repapering) ist ein Projekt, in dem viele bestehende Verträge nach einem einheitlichen Raster geprüft, nachgetragen oder neu abgeschlossen werden. Anders als die laufende Vertragsprüfung geht es nicht um einzelne neue Geschäfte, sondern um den Bestand.

• Mengenprojekt mit juristischem Kern: Hunderte oder tausende Verträge folgen demselben Prüfraster; nur Abweichungen brauchen eine juristische Entscheidung.
• Standardisierung vor Verhandlung: Ein Klauselstandard und ein Nachtragsmuster sparen mehr Zeit als jede Verhandlungstaktik.
• Nachweis zählt: Am Ende muss das Unternehmen zeigen können, welcher Vertrag welchen Stand hat.

Wie ein solches Projekt mit einem temporären Team typischerweise abläuft, beschreibt der Ratgeber Contract Remediation mit einem Projektjuristen-Team. Dieser Beitrag konzentriert sich auf die regulatorischen Auslöser und die Planung.

Auslöser: DORA, IBOR-Ablösung, Datenschutz und Lieferkette

Die meisten Remediation-Projekte im Finanzsektor und in regulierten Unternehmen gehen auf vier Auslöser zurück. Die Tabelle zeigt, was jeweils im Vertrag stehen muss.

Ein fünfter, nicht regulatorischer Auslöser ist die Lieferkette: neue Konzernvorgaben, ein Lieferantenwechsel, eine Übernahme oder ein Carve-out, bei dem Verträge übertragen werden müssen.

DORA im Detail: Finanzunternehmen führen ein Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern und unterscheiden darin Verträge für kritische oder wichtige Funktionen (Art. 28 Abs. 3 DORA). Art. 30 Abs. 2 nennt die Mindestinhalte für alle IKT-Verträge, Abs. 3 die zusätzlichen Inhalte für kritische oder wichtige Funktionen. Für die Arbeitspakete rund um DORA insgesamt siehe den Ratgeber DORA: Arbeitspakete für Legal und Compliance.

Datenschutz im Detail: Verträge, die vor dem 27. September 2021 auf Basis der alten Standardvertragsklauseln geschlossen wurden, galten nur bis zum 27. Dezember 2022 als geeignete Garantie (Art. 4 Abs. 4 Durchführungsbeschluss (EU) 2021/914). Ältere Bestände ohne Umstellung sind deshalb ein typischer Fund im Inventar. In der Schweiz sind Standarddatenschutzklauseln zulässig, die der EDÖB vorgängig genehmigt, ausgestellt oder anerkannt hat (Art. 16 Abs. 2 Bst. d DSG).

Vorgehen in sechs Schritten

Ein Remediation-Projekt folgt meist sechs Schritten. Die Reihenfolge ist entscheidend: Wer vor dem Klauselstandard verhandelt, verhandelt jeden Vertrag neu.

1. Inventar: Alle relevanten Verträge finden, auch ausserhalb des Vertragsmanagementsystems (Einkauf, IT, Fachbereiche), und Stammdaten erfassen: Partei, Laufzeit, Kündigungsfrist, Ansprechperson.
2. Klassifizierung: Jeden Vertrag dem Auslöser und der Kritikalität zuordnen, etwa IKT-Dienstleistung für eine kritische oder wichtige Funktion, Auftragsverarbeitung, Referenzwert.
3. Klauselstandard: Für jede Lücke eine Standardklausel, eine Rückfallposition und eine Eskalationsregel festlegen; dazu ein Nachtragsmuster.
4. Outreach: Vertragspartner mit Nachtrag, kurzer Erklärung und Frist anschreiben; Antworten zentral nachverfolgen.
5. Verhandlung: Abweichungen nach den Eskalationsregeln behandeln; Grundsatzfragen entscheidet die interne Rechtsabteilung.
6. Ablage und Nachweis: Unterzeichnete Nachträge ablegen, Vertragsdaten und Register aktualisieren, Reststände mit Begründung dokumentieren.

Beginnen Sie mit einer Stichprobe von 20 bis 30 Verträgen (Annahme der Redaktion). Danach wissen Sie, wie gut das Prüfraster trägt und wie lange ein Vertrag im Durchschnitt dauert.

Team und Rollen

Ein Remediation-Team kombiniert wenige erfahrene Personen mit mehreren Projektjuristen. Die Steuerung und die Ergebnisverantwortung bleiben beim Unternehmen.

• Projektverantwortung im Unternehmen: General Counsel, Head of Legal oder Legal Operations; legt Ziele, Raster und Freigaben fest.
• Team Lead (Senior, 7+ Jahre): verteilt die Arbeit, sichert die Qualität im Vier-Augen-Prinzip und berichtet wöchentlich.
• Projektjuristen (Junior bis Experienced, 0–6 Jahre): prüfen Verträge, erfassen Abweichungen, bereiten Nachträge vor und führen die Korrespondenz.
• Contract Manager: pflegen Stammdaten, Vertragsmanagementsystem und Register.
• Spezialisten bei Bedarf: IKT- und Outsourcing-Recht, Datenschutz, Bank- und Kapitalmarktrecht.

Alpinum Solutions stellt Projektjuristen, Contract Manager und Team Leads über Staff Leasing und Freelancing bereit, in Teilzeit oder Vollzeit, für die Dauer des Projekts. Ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab.

Aufwand schätzen

Der Aufwand ergibt sich aus Anzahl Verträge, Prüfzeit je Kategorie und Verhandlungsquote. Die Tabelle zeigt eine Beispielrechnung; die Werte sind Annahmen und ersetzen nicht Ihre Stichprobe.

Bei rund 29 produktiven Stunden pro Woche und Vollzeitkraft (42-Stunden-Woche, 70 % produktive Zeit) entspricht das etwa 60 Personenwochen, zum Beispiel drei Projektjuristen über fünf Monate, plus Team Lead und Projektleitung. Für die Kapazitätsrechnung im Detail siehe Contract-Review-Backlog abbauen.

Grenzen und Risiken

• Verantwortung bleibt beim Unternehmen: Unter DORA bleiben Finanzunternehmen jederzeit voll für die Einhaltung ihrer Pflichten verantwortlich (Art. 28 Abs. 1 Bst. a DORA). Das Remediation-Team arbeitet unter Ihrer Steuerung und nach Ihren Freigaben.
• Verhandlungsmacht: Grosse IKT-Anbieter akzeptieren oft nur eigene Zusätze. Legen Sie vorab fest, welche Abweichungen tragbar sind und wer entscheidet.
• Unvollständiges Inventar: Verträge ausserhalb des Systems tauchen sonst erst bei einer Prüfung auf.
• Keine Rechtsberatung: Alpinum stellt Fachkräfte bereit; rechtliche Grundsatzentscheide trifft Ihre Rechtsabteilung, bei Bedarf mit einer Kanzlei.

Häufige Fragen zu Contract Remediation

Was bedeutet Contract Remediation?

Contract Remediation bedeutet, einen bestehenden Vertragsbestand nach einem einheitlichen Raster zu prüfen und an neue Vorgaben anzupassen, meist per Nachtrag. Auslöser sind regulatorische Pflichten wie DORA, Datenschutz oder Referenzzinssätze, aber auch Übernahmen und Konzernvorgaben. Im Englischen heisst das Vorgehen auch Repapering. Ziel ist ein vollständiger, nachweisbarer Stand des gesamten Bestands.

Welche Verträge fallen unter Art. 30 DORA?

Alle vertraglichen Vereinbarungen eines Finanzunternehmens über die Nutzung von IKT-Dienstleistungen, die ein IKT-Drittdienstleister erbringt. Für alle gelten die Mindestinhalte nach Art. 30 Abs. 2 DORA. Unterstützt die Dienstleistung eine kritische oder wichtige Funktion, kommen die zusätzlichen Inhalte nach Abs. 3 hinzu, etwa Zugangs-, Inspektions- und Auditrechte und Ausstiegsstrategien.

Wie lange dauert ein Remediation-Projekt?

Das hängt von Anzahl Verträge, Prüfzeit je Kategorie, Verhandlungsquote und Teamgrösse ab. Rechnen Sie den Aufwand aus einer Stichprobe hoch und teilen Sie ihn durch die verfügbare Kapazität. Ein Bestand von einigen hundert Verträgen lässt sich mit einem kleinen Team oft in einigen Monaten bearbeiten; die Verhandlungen mit wenigen grossen Anbietern dauern meist am längsten.

Welche Profile brauche ich für Contract Remediation?

Einen Team Lead mit Senior-Erfahrung, mehrere Projektjuristen auf Junior- bis Experienced-Level und einen Contract Manager für Daten und Register. Bei Bedarf kommen Spezialisten für IKT- und Outsourcing-Recht, Datenschutz oder Bankrecht dazu. Alle Profile sind über Staff Leasing oder Freelancing verfügbar, in Teilzeit oder Vollzeit.

Betrifft DORA auch Schweizer Unternehmen?

DORA gilt unmittelbar für Finanzunternehmen in der EU. Schweizer Finanzinstitute mit Tochtergesellschaften in der EU sind über diese betroffen, und Schweizer IKT-Dienstleister mit Kunden aus dem EU-Finanzsektor erhalten Nachtragsentwürfe nach Art. 30 DORA. Für Schweizer Banken und Versicherungen ist bei Auslagerungen zudem das FINMA-Rundschreiben 2018/3 Outsourcing massgebend.

Nächster Schritt

Steht bei Ihnen eine Contract Remediation an? Alpinum Solutions ist der führende Anbieter für Interim Legal & Compliance im DACH-Raum. Beschreiben Sie Auslöser, Vertragsbestand und Zeitrahmen; Sie erhalten ausgewählte Profile für Projektjuristen, Contract Manager und Team Lead.

• Contract Review mit Projektjuristen
• Contract Remediation mit einem Projektjuristen-Team
• DORA: Arbeitspakete für Legal und Compliance
• Rollen & Fachgebiete: alle Ratgeber zu Einsätzen in Legal & Compliance
• Bedarf besprechen

Stand: 11. November 2026.