Zwar benötigen reine technische Dienstleister keine eigene BaFin-Erlaubnis zum Betrieb ihrer Tätigkeit, solange diese nicht als Bankgeschäft oder Finanzdienstleistung einzuordnen ist. Erbringen sie ihre Leistungen aber an Unternehmen, die unter der Aufsicht der BaFin oder der Deutschen Bundesbank stehen, kann ihre Leistung im Einzelfall als eine wesentliche Auslagerung durch das beaufsichtigte Unternehmen anzusehen sein. Wesentliche Auslagerungen liegen zum Beispiel vor, wenn die erbrachte Leistung für das beaufsichtigte Geschäftsmodell kritisch ist oder bankaufsichtsrechtlich vorgeschriebene Compliance-Pflichten wie Geldwäscheprävention, interne Revision oder Risikomanagement des auslagernden Unternehmens betrifft. Handelt es sich bei einer technischen Dienstleitung um eine wesentliche Auslagerung, muss das beaufsichtigte Unternehmen bei der Vertragsgestaltung mit dem Auslagerungsunternehmen bestimmte Mindestanforderungen erfüllen, die von der BaFin vorgegeben werden. Das betrifft insbesondere die Sicherstellung, dass das beaufsichtigte Institut ebenso wie die Aufsichtsbehörden und die beauftragten Prüfer uneingeschränkte Auskunftsrechte in Bezug auf die zu erbringende Leistung erhält, die Gewährleistung von Weisungsrechten des Instituts zur jederzeitigen Einhaltung der aufsichtsrechtlichen Pflichten, die Vereinbarung angemessener Kündigungsfristen und vieles mehr. Über solche vertraglichen Vereinbarungen können deshalb die das auslagernde Institut treffenden aufsichtsrechtlichen Pflichten auch auf technische Dienstleister durchschlagen.

Mit In-Kraft-Treten des Gesetzes zur Stärkung der Finanzmarktintegrität (FISG) hat die BaFin weitere Kompetenzen erhalten und kann seit Anfang 2022 nun auch direkt auf Unternehmen zugreifen, auf die Banken wesentliche Aktivitäten und Prozesse auslagern. Das FISG stellt klar, welche unmittelbaren Informations- und Prüfrechte die BaFin hat: Musste die BaFin zuvor über die Banken eingreifen, kann sie nun unmittelbar auf das Auslagerungsunternehmen zugreifen, wenn sie einen Missstand vermeiden oder beheben will. Auch Bußgelder kann sie nun gegenüber dem Unternehmen verhängen. Für den Fall, dass Institute Auslagerungsunternehmen in Drittstaaten außerhalb des Europäischen Währungsraums wählen, müssen sie mit diesen vertraglich einen Zustellungsbevollmächtigten vereinbaren, an das die Aufsicht zum Beispiel Prüfungsanordnungen kurzfristig zustellen kann. Außerdem wurde die Anzeigepflicht für wesentliche Auslagerungen wiedereingeführt, was der Aufsicht einen flächendeckenden Überblick über Auslagerungen und die damit einhergehenden (Konzentrations-)Risiken verschafft.