Anlage 2 EVB-IT Rahmenvereinbarung Unterstützung Softwareentwicklung für das RISK/CONT System in PL/SQL (Open Text Team Developer) und ABAP Vertragsnummer/Kennung Auftraggeber: Unterstützung – technische Systemadministration Los 3
Einfache IKT-Dienstleistungen
Ergänzungsvereinbarung über die Mindestinhalte nach
Art. 30 Abs. 2 DORA
zu
Vergabeverfahren: LfA-2026-01 Unterstützung – technische Systemadministration Vertragsbedingungen – Los 3: EVB-IT Rahmenvereinbarung Unterstützung Softwareentwicklung für das RISK/CONT System in PL/SQL (Open Text Team Develo- per) und ABAP
nachfolgend „Vertragswerk“ genannt
zwischen der
LfA Förderbank Bayern
Königinstraße 17 80539 München
nachfolgend „LfA“ genannt
und der
Siehe Teil A, Vertragsparteien, EVB-IT Rahmenvereinbarung Unterstützung Softwareentwicklung für das RISK/CONT System in PL/SQL (Open Text Team Developer) und ABAP, Los 3 der Ausschreibung Unterstützung – technische Systemadministration LfA-01-2026
nachfolgend „Auftragnehmer“ genannt
nachfolgend gemeinsam „Vertragspartner“ genannt
Stand des Vordrucks: 20.10.2025
Seite 1 von 12
Präambel
Die LfA ist das Landesförderinstitut des Freistaats Bayern und ist eine Anstalt des öffentlichen Rechts mit Sitz in
München. Die LfA ist verpflichtet, ab dem 17. Januar 2025 die Vorschriften der „Verordnung (EU) 2022/2554 des
Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Fi-
nanzsektor“ (Digital Operational Resilience Act; im Folgenden „DORA“) einzuhalten.
Die LfA hat eine Risikoanalyse durchgeführt, wonach der Auftragnehmer als IKT-Drittdienstleister einzustufen ist
und die von ihm erbrachten Vertragsleistungen als IKT-Dienstleistung im Sinne von Art. 3 Nr.21 DORA zu qualifi-
zieren sind, die nicht zur Unterstützung von kritischen und wichtigen Funktionen dienen.
Aus diesem Grund vereinbaren die Vertragspartner zusätzlich zum Vertragswerk Folgendes:
1 Geltungsbereich und Rangfolge
Die in dieser Ergänzungsvereinbarung vereinbarten Regelungen ergänzen das Vertragswerk samt seinen
Anlagen und gelten für sämtliche vom Auftragnehmer nach dem Vertragswerk zu erbringenden Leistun-
gen („Vertragsleistungen“). Die Regelungen der Ergänzungsvereinbarung haben bei Widersprüchen Vor-
rang vor den weiteren Regelungen des Vertragswerkes.
Ausnahmen der vorstehenden Regelungen sind in diesem Dokument ausdrücklich für den Einzelfall zu
vereinbaren.
2 Vertragsleistungen (Art. 30 Abs. 2 (a) DORA)
2.1 Leistungsbeschreibung
Die vom Auftragnehmer zu erbringenden Vertragsleistungen sind die in dem Vertragswerk enthaltenen
Leistungsbeschreibungen, diese genügen hinreichenden Best Practices. Dessen ungeachtet ist der Auf-
tragnehmer verpflichtet, im Rahmen einer Qualitätssicherung sicherzustellen, dass die Leistungsbeschrei-
bungen keine Fehler, Unklarheiten oder Lücken enthalten. Leistungsbestandteil sind auch ohne ausdrück-
liche Beschreibung solche Leistungen, die typischerweise Bestandteil der beschriebenen Vertragsleistun-
gen, Aufgaben, Verfahren und Verantwortlichkeiten sind, oder die benötigt werden, um diese wirtschaft-
lich sinnvoll nutzen zu können.
2.2 Leistungsgüte / Service Level und KPIs (Art. 30 Abs. 2 (e) DORA)
Die Vertragspartner prüfen das Vertragswerk regelmäßig gemeinsam auch während der Vertragslaufzeit,
um sicherzustellen, dass die Leistungsgüte durch die LfA beurteilt werden kann. Die Vertragspartner über-
Seite 2 von 12
Stand: 20.10.2025
prüfen oder vereinbaren im Wege des vertraglichen Änderungsverfahrens angemessene messbare Leis-
tungskriterien, in der Regel in Form von Key Performance Indikatoren (KPI) und / oder Service Leveln so-
wie zugehöriger Messkriterien und Berichte.
Der Auftragnehmer wird – unabhängig von den sonstigen vereinbarten Anforderungen an die Vertrags-
leistungen – die vereinbarten Service Level einhalten. Soweit für bestimmte Vertragsleistungen keine Ser-
vice Level vereinbart wurden, wird der Auftragnehmer zumindest die Qualität sicherstellen, die von einem
professionellen Dienstleister im Finanzdienstleistungssektor erwartet werden kann.
Der Auftragnehmer wird die Einhaltung der Service Level und der vereinbarten KPIs kontinuierlich gemäß
den vertraglichen Vereinbarungen messen und der LfA die vertraglich vereinbarten Berichte unaufgefor-
dert regelmäßig (in der Regel monatlich) in elektronischer Form liefern.
2.3 Vertragsänderung in Bezug auf Service Level und KPIs
Der Auftragnehmer wird Änderungsanträge der LfA hinsichtlich der Anpassung bzw. Ergänzung der Leis-
tungsbeschreibung sowie der Vereinbarung angemessener KPIs und/oder Service Level nicht unbillig ver-
weigern.
3 Einsatz von Subunternehmern (Art. 30 Abs. 2 (a) DORA)
3.1 Zustimmungspflicht
Dritte dürfen nur dann als Subunternehmer zur Erbringung der Vertragsleistungen eingesetzt werden,
wenn und soweit die LfA hierzu zuvor schriftlich ihre Zustimmung erteilt hat. Der Zustimmungsvorbehalt
erstreckt sich auch auf Umfang und Details der Weiterverlagerung. Die LfA ist berechtigt ihre Zustimmung
bei Vorliegen eines wichtigen Grundes zu verweigern.
Der Auftragnehmer informiert die LfA mit einem Vorlauf von mindestens 3 Monaten über einen beabsich-
tigten Subunternehmereinsatz oder die Änderung eines bereits genehmigten Subunternehmereinsatzes
in Textform unter Angabe der Firma, der Leistungsbeschreibung, des Leistungsortes, des Orts der Daten-
haltung sowie des anwendbaren Rechts der Subunternehmervereinbarung. Weiterhin stellt der Auftrag-
nehmer die Ergebnisse seiner Risikobewertung bereit, die insbesondere etwaige Risiken aus dem Standort
des Subunternehmers (einschließlich Muttergesellschaft) sowie den Orten der Leistungserbringung für
die LfA nachvollziehbar bewertet. Dabei sind auf Verlangen der LfA auch weitere Informationen jederzeit
unverzüglich zur Verfügung zu stellen.
Seite 3 von 12
Stand: 20.10.2025
Unbeschadet der in dieser Ergänzungsvereinbarung genannten Voraussetzungen für den Einsatz von Sub-
unternehmern hat die LfA das Recht, ihre Zustimmung zum Einsatz eines Dritten als Subunternehmer je-
derzeit, auch nach Aufnahme der Tätigkeit durch den Subunternehmer, aus wichtigem Grund zurückzu-
nehmen.
3.2 Vertragsgestaltung
Voraussetzung für den Einsatz des Subunternehmers ist zudem, dass der Auftragnehmer dafür Sorge
trägt, dass zwischen dem Auftragnehmer und dem Dritten schriftliche vertragliche Vereinbarungen be-
stehen, durch die sichergestellt ist, dass während der gesamten Zeit der Erbringung der Subunternehmer-
leistung
a) die Pflichten des Dritten im Einklang mit den in diesem Vertragswerk geregelten Pflichten des Auf-
tragnehmers stehen; dies gilt insbesondere für die Rechte der LfA für eine Kündigung nach Maß-
gabe von Art.28 Abs. 7 DORA sowie für die Pflichten des Auftragnehmers in Bezug auf Vertraulich-
keit, Datenschutz, Sicherheit, Notfallvorsorge und die Steuerung und Kontrolle der Vertragsleistun-
gen, und dass
b) der Dritte zur Einhaltung aller relevanten Gesetze und aufsichtsrechtlichen Anforderungen, insbe-
sondere zur Einräumung von Prüf- und Auditrechten im Sinne von Ziffer 9, datenschutzrechtlichen
Bestimmungen, des Bankgeheimnisses, der Wahrung des Geschäftsgeheimnisses verpflichtet ist,
und dass
c) der Auftragnehmer mit diesem Dritten eine Auftragsverarbeitungsvereinbarung gemäß Art. 28
Abs. 3 DSGVO nebst den gegebenenfalls nach Art. 44 ff. DSGVO erforderlichen Garantien abge-
schlossen hat oder der Auftragnehmer nachweisen kann, dass der Dritte keinen Zugang zu oder
Zugriff auf personenbezogene Daten aus der Sphäre der LfA hat.
Der Auftragnehmer wird der LfA die Einhaltung dieser Anforderungen auf Verlangen in geeigneter Form
nachweisen.
3.3 Verantwortung des Auftragnehmers
Der Auftragnehmer bleibt für die Erfüllung der auf den Subunternehmer übertragenen Tätigkeiten in dem
gleichen Umfang verantwortlich, als würden diese durch den Auftragnehmer selbst ausgeführt.
Der Auftragnehmer steuert den Subunternehmereinsatz gemäß den vertraglichen Vorgaben (insbeson-
dere die Bestimmungen dieser Ergänzungsvereinbarung) der LfA nachvollziehbar. Zur regelmäßigen Steu-
erung gehören mindestens die fortlaufende Überwachung der Dienstleistungsqualität, die monatliche Be-
wertung und Dokumentation der Service Level Einhaltung, die Würdigung von Berichten und Zertifikaten
und die regelmäßige Abstimmung mit dem Subunternehmer.
Seite 4 von 12
Stand: 20.10.2025
4 Standorte / Leistungsorte (Art. 30 Abs. 2 (b) DORA)
4.1 Leistungsorte
Der Auftragnehmer wird die Vertragsleistungen ausschließlich an den in dem Vertragswerk bezeichneten
Leistungsorten erbringen.
4.2 Änderung der Leistungsorte
Der Auftragnehmer ist frei, innerhalb der vereinbarten Leistungsorte seinen Standort zu verlegen, voraus-
gesetzt, die Interessen und Rechte der LfA, insbesondere die Qualität der geschuldeten Vertragsleistun-
gen, werden hierdurch nicht negativ beeinträchtigt und der Auftragnehmer hat die LfA über die Verlegung
oder Veränderung mit angemessenem zeitlichem Vorlauf von mindestens drei (3) Monaten schriftlich un-
terrichtet und sich mit der LfA über die möglichen Folgen der Verlegung oder Veränderung verständigt.
Sofern es sich bei der Änderung des Leistungsortes um die Nutzung eines anderen Rechenzentrums für
die Vertragsleistungen oder um die Verlagerung von Vertragsleistungen ins EU-Ausland handelt, bedarf
dies der vorherigen ausdrücklichen schriftlichen Zustimmung der LfA. Die LfA wird die Zustimmung zu
einer solchen Verlagerung nicht unbillig verzögern und nur bei Vorliegen eines wichtigen Grundes verwei-
gern. Ein wichtiger Grund liegt insbesondere vor, wenn die Verlagerung nach der vernünftigen Einschät-
zung der LfA
a) die in dieser Ergänzungsvereinbarung vereinbarten Prüfungsrechte oder Steuerungs- und Kontroll-
möglichkeiten der LfA oder die Prüfungsrechte und Kontrollmöglichkeiten der Bankenaufsicht oder
der Finanzverwaltung einschränkt,
b) die von der Änderung betroffenen Vertragsleistungen und damit verbundenen Risiken der LfA in
einem erheblichen Maße zum Nachteil der LfA verändert,
c) sich mehr als nur unwesentlich auf die Geschäftsprozesse der LfA auswirkt,
d) eine Rück- oder Weiterverlagerung der Vertragsleistungen durch die LfA im Falle der Beendigung
des Vertragswerkes erschwert oder ausschließt.
Die Verlagerung von Vertragsleistungen in Länder außerhalb der EU bedarf der vorherigen ausdrücklichen
schriftlichen Zustimmung der LfA, die in deren freien Ermessen steht.
Der Auftragnehmer trägt die eigenen Kosten sowie die Kosten der LfA, die durch die Verlegung oder Ver-
änderung eines Standortes verursacht werden.
Seite 5 von 12
Stand: 20.10.2025
5 Datenschutz (Art. 30 Abs. 2 (c) DORA)
5.1 Zweckbestimmung und Schutzmaßnahmen
Der Auftragnehmer legt besonderen Wert auf den Schutz sämtlicher Daten seiner Kunden, einschließlich
der personenbezogenen Daten (gemeinsam nachfolgend „Daten“).
Der Auftragnehmer verarbeitet Daten ausschließlich zu den mit der LfA vereinbarten Zwecken, nur in
Übereinstimmung mit den Bestimmungen des Vertragswerkes, auf Weisungen der LfA sowie zur Erfüllung
seiner Verpflichtungen aus dem Vertragswerk.
Der Auftragnehmer implementiert angemessene technische und organisatorische Maßnahmen zur Siche-
rung der Verfügbarkeit, Integrität und Authentizität sämtlicher Daten.
5.2 Verarbeitung Personenbezogener Daten im Auftrag
Für die Verarbeitung personenbezogener Daten im Auftrag gelten die Bestimmungen der zwischen den
Vertragspartnern geschlossenen Auftragsverarbeitungsvereinbarung gemäß Art 28. DSGVO.
6 Zugang zu Daten, Wiederherstellung und Rückgabe von Daten (Art. 30 Abs. 2 (d)
DORA)
Alle Auftraggeber-Daten stehen der LfA zu. „Auftraggeber-Daten“ sind alle Daten, die die LfA oder ein mit
der LfA verbundenes Unternehmen oder deren jeweiligen Kunden oder Geschäftspartner betreffen, sowie
sonstige Daten, zu denen der Auftragnehmer im Zusammenhang mit den Vertragsleistungen Zugang hat
oder die im Zusammenhang mit den Vertragsleistungen durch die LfA oder im Auftrag der LfA geschaffen
werden, mit Ausnahme von Daten, die der Auftragnehmer unabhängig von den vorstehend beschriebe-
nen Daten zu internen Zwecken der Erbringung der Vertragsleistungen selbst generiert.
Auf Verlangen der LfA wird der Auftragnehmer jederzeit während der im Vertragswerk geregelten ver-
traglichen Laufzeit sowie nach der Beendigung der vertraglichen Beziehung die Auftraggeber-Daten in
einem gebräuchlichen Datenformat (wieder-)herstellen und herausgeben, auch mehrfach sowie in Teilen.
Eine Konvertierung in ein anderes Datenformat kann die LFA gegen Vergütung beim Auftragnehmer be-
auftragen. Für die Datenübertragung werden entsprechende Tests von der LfA geplant und durchgeführt,
bei denen der Auftragnehmer beratend und unterstützend zur Verfügung steht.
Hat der Auftragnehmer im Rahmen der Vertragsleistungen Besitz an Auftraggeber-Daten erlangt, ist der
LfA auch im Falle der Insolvenz, Liquidation oder Abwicklung des Auftragnehmers ungehinderter Zugriff
insbesondere durch (Wieder-)Herstellung und Rückgabe dieser Auftraggeber-Daten in einem gebräuchli-
chen Dateiformat zu gewähren.
Seite 6 von 12
Stand: 20.10.2025
Zurückbehaltungsrechte des Auftragnehmers in Bezug auf die Herausgabe von Auftraggeber-Daten sind
ausgeschlossen.
7 Informationssicherheitsmanagement (Art. 28 Abs. 5 DORA)
7.1 Selbstauskunft
Alle dem Auftragnehmer zur Verfügung gestellten Zusatzdokumente zu Informationssicherheit und Da-
tenschutz (z.B. „Selbstauskunft Informationssicherheit“, Maßnahmenkatalog) sind zu befüllen und im
jährlichen Turnus zu bestätigen oder bei wesentlichen Änderungen (z. B: kein gültiges Zertifikat mehr vor-
handen, Verschlechterung des vorhandenen Reifegrads) neu abzustimmen.
7.2 Anforderungen an das Informationssicherheitsmanagement
Der Auftragnehmer ist verpflichtet, die von ihm gegenüber der LfA zu erbringenden Leistungen in sein
Informationssicherheitsmanagement einzubeziehen. Im Rahmen seines Informationssicherheitsmanage-
ments trifft der Auftragnehmer unter anderem geeignete technische und organisatorische Maßnahmen,
um ein dem Risiko für die Informationssicherheit angemessenes Schutzniveau zu gewährleisten. Dabei
wird der Auftragnehmer in Bezug auf die Daten und Informationen des Auftraggebers die Schutzziele der
Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit auf Basis angemessener Standards der Infor-
mationssicherheit (Artikel 28 Abs. 5 DORA) wahren.
7.3 Weiterentwicklung des Informationssicherheitsmanagements
Der Auftragnehmer wird die technischen und organisatorischen Maßnahmen entsprechend dem techni-
schen Fortschritt und des Bekanntwerdens neuer Risiken für die Informationssicherheit stetig weiterent-
wickeln. Wesentliche Änderungen der technischen und organisatorischen Maßnahmen, die Einfluss auf
die Integrität, Vertraulichkeit, Authentizität oder Verfügbarkeit der im Kontext der Leistungserbringungen
betroffenen Daten und Informationen haben können, wird der Auftragnehmer der LfA mitteilen, wobei
die LfA solchen Änderungen nur aus wichtigem Grund widersprechen kann. Als wichtiger Grund gilt ins-
besondere, wenn begründeter Anlass zu Zweifeln bezüglich des ordnungsgemäßen Schutzes der Informa-
tionen der LfA besteht. Die LfA kann jederzeit eine aktuelle Beschreibung der vom Auftragnehmer konkret
getroffenen technischen und organisatorischen Maßnahmen anfordern.
7.4 Überwachung und Kontrollen
Der Auftragnehmer wird der LfA mindestens einmal jährlich (in der Regel zum 31.03. eines Kalenderjah-
res) durch geeignete Nachweise belegen, dass er geeignete technische und organisatorische Maßnahmen
Seite 7 von 12
Stand: 20.10.2025
implementiert hat, um ein dem Risiko für die Informationssicherheit angemessenes Schutzniveau zu ge-
währleisten.
8 IKT-Vorfälle (Art. 30 Abs. 2 (f) DORA)
8.1 Meldung und Dokumentation
Der Auftragnehmer hat Unregelmäßigkeiten in der Verarbeitung von Informationen, sowie alle sicher-
heitsrelevanten Vorfälle, die zu einer Verletzung mindestens eines der Schutzziele Vertraulichkeit, Integ-
rität, Authentizität und Verfügbarkeit führen (nachfolgend gemeinsam „IKT-Vorfall“) unverzüglich, d.h.
ohne schuldhaftes Zögern nach Bekanntwerden zu melden und zu dokumentieren. Der Auftragnehmer
hat zur Erkennung und Behandlung von IKT-Vorfällen angemessene Systeme, Prozesse und Verantwort-
lichkeiten implementiert. Die Dokumentation und Meldung eines Informationssicherheitsvorfalls enthält
mindestens folgende Informationen:
a) eine Beschreibung der Art des IKT-Vorfalls, der betroffenen Informationen, der voraussichtlichen
Folgen und der von dem Auftragnehmer ergriffenen oder beabsichtigten Maßnahmen zur Behe-
bung des IKT-Vorfalls und der nachteiligen Auswirkungen sowie
b) den Namen und die Kontaktdaten des Informationssicherheitsbeauftragten oder eines anderen
Ansprechpartners.
8.2 Unterstützung der LfA
Der Auftragnehmer unterstützt die LfA und die zuständigen Behörden bei der Erfüllung der ihr bei einem
IKT-Vorfall obliegenden Pflichten und erteilt ihr die in diesem Zusammenhang erforderlichen weiteren
Informationen.
Der Auftragnehmer ist verpflichtet, die LfA beim Eintritt eines IKT-Vorfalls im Rahmen des Zumutbaren zu
unterstützen.
Zu dieser Unterstützung gehört insbesondere die Umsetzung aller erforderlichen Maßnahmen zur Analyse
der Ursachen sowie zur Sicherung der Auftraggeber-Daten und zur Umsetzung aller Sicherheitspatches.
Der Auftragnehmer ist im Übrigen verpflichtet, der LfA innerhalb angemessener Frist alle Auskünfte zu
erteilen oder Informationen zur Verfügung zu stellen, die für die Behandlung und Behebung des IKT-Vor-
falls notwendig sind.
Hat der Auftragnehmer mit seinen IKT-Dienstleistungen bei der LfA einen IKT-Vorfall verschuldet, trägt er
seine Aufwände und auch die der LfA. Liegt kein Verschulden des Auftragsnehmers vor, übernimmt die
LfA nachvollziehbare Aufwände des Auftragnehmers bis zu einer Obergrenze von 10.000,00 Euro.
Seite 8 von 12
Stand: 20.10.2025
9 Aufsichtsrechtliche Prüf- und Auditrechte (Art. 30 Abs. 2 (g) DORA)
9.1 Duldungs- und Kooperationspflicht
Der Auftragnehmer ist in Bezug auf die Vertragsleistungen und die Einhaltung der sich aus dem Vertrag
ergebenden Verpflichtungen zur Zusammenarbeit mit den für die LfA zuständigen Aufsichtsbehörden
(dies beinhaltet die von den Aufsichtsbehörden beauftragte Stellen) verpflichtet. Der Auftragnehmer ist
insbesondere verpflichtet, unmittelbar oder mittelbar an ihn gerichtete Fragen der Aufsichtsbehörden
unverzüglich und vollständig zu beantworten und nach den anwendbaren rechtlichen Rahmenbedingun-
gen zulässige und rechtmäßige Anordnungen der Aufsichtsbehörden zu befolgen.
Der Auftragnehmer verpflichtet sich, durch die Aufsichtsbehörden gegenüber der LfA oder dem Auftrag-
nehmer angeordnete Prüfungen sowie sonstige gesetzlich vorgesehene Prüfungen und aufsichtsrechtli-
che Maßnahmen, die zur Überwachung des Geschäftsbetriebes der LfA oder des Auftragnehmers ange-
ordnet werden, zu dulden. Dies gilt auch für Prüfungen, die in den Geschäftsräumen des Auftragnehmers
stattfinden. Zu den Kosten siehe Ziffer 9.4.
9.2 Zusammenwirken mit der LfA
Der Auftragnehmer wird die LfA unverzüglich – vorbehaltlich etwaiger Verschwiegenheitspflichten –
schriftlich unterrichten, sofern der Auftragnehmer von einer Behörde um Auskunft ersucht oder von be-
vorstehenden aufsichtsrechtlichen Maßnahmen unterrichtet oder solchen Prüfungen oder Maßnahmen
unterworfen wird oder werden soll, sofern sich solche Auskunftsverlangen, Prüfungen oder Maßnahmen
auf die Vertragsleistungen beziehen, und sich im Anschluss daran über das weitere Vorgehen abstimmen.
Die LfA hat das Recht, gegenüber der LfA angeordnete Prüfungen der Aufsichtsbehörden, die beim Auf-
tragnehmer durchgeführt werden, zu begleiten.
9.3 Entbindung von der Schweigepflicht
Der Auftragnehmer ist von der vertraglichen Schweigepflicht gegenüber den Aufsichtsbehörden entbun-
den, sofern und soweit dieser Auskünfte zur Erfüllung der in dieser Ziffer 9 enthaltenen Verpflichtungen
erteilt, und entbindet auch Personen, die im Namen des Auftragnehmers Ansprechpartner der Aufsichts-
behörden sind, entsprechend von der Schweigepflicht.
9.4 Kosten
Die aus den Verpflichtungen resultierenden Aufwände sind bis zu einem Gesamtaufwand von 10 PT mit
der vereinbarten Vergütung abgegolten. Über die vereinbarte Vergütung hinaus übernimmt die LfA die
Seite 9 von 12
Stand: 20.10.2025
Kosten gegen Vorlage eines nachvollziehbaren Nachweises. Voraussetzung ist, dass der Auftragnehmer
den entstehenden Aufwand rechtzeitig der LfA an-zeigt und eine plausible Schätzung des Aufwands der
LfA vorlegt. Eine Kostentragung der LfA ist jedoch stets und aus-schließlich auf Aufwände für solche auf-
sichtsrechtliche Prüfungen sowie sonstige gesetzlich vorgesehene Prüfungen und aufsichts-rechtliche
Maßnahmen beschränkt, die unmittelbar gegenüber der LfA und zur Überwachung des Geschäftsbetrie-
bes der LfA angeordnet wurden.
10 Laufzeit und Kündigung (Art. 30 Abs. 2 (h) DORA)
10.1 Ordentliche Kündigung
Die Bestimmungen in dem Vertragswerk zur ordentlichen Kündigung bleiben unberührt.
10.2 Außerordentliche Kündigung
Jeder Vertragspartner kann das Vertragswerk außerordentlich aus wichtigem Grund kündigen.
Ist die LfA zur Kündigung aus wichtigem Grund berechtigt, kann die LfA in der Kündigungserklärung eine
angemessene Kündigungsfrist, längstens 6 Monate, bestimmen.
Ist der Auftragnehmer zur Kündigung aus wichtigem Grund berechtigt, beträgt die Kündigungsfrist 6 Mo-
nate, es sei denn dies ist für den Auftragnehmer unzumutbar. Dessen ungeachtet ist die LfA berechtigt
auf die Einhaltung einer Kündigungsfrist ganz oder vollständig zu verzichten.
Ein wichtiger Grund, der die LfA zur außerordentlichen Kündigung berechtigt, liegt insbesondere dann vor,
wenn
a) beim Auftragnehmer eine wesentliche Vermögensgefährdung oder Vermögensverschlechterung
eintritt, die zu einem Creditreform-Bonitätsindex von 420 oder schlechter führt, oder
b) sich die Eigentumsverhältnisse beim Auftragnehmer im Sinne eines Change of Control verändern,
oder
c) der Auftragnehmer eine wesentliche Pflicht des Vertragswerks trotz vorheriger Abmahnung nicht
einhält, hierzu gehört auch der vertragswidrige Einsatz von Subunternehmern oder die vertrags-
widrige Verlegung von Leistungsorten, oder
d) der Auftragnehmer wiederholt mangelhaft leistet, insbesondere wiederholt Service Level(s) nicht
einhält oder die Betriebssicherheit oder Betriebsstabilität kritischer Systeme gefährdet ist, oder
e) die Art und/oder Häufigkeit von Schadensfällen den Betriebsablauf bei der LfA so beeinträchtigt,
dass ihr ein Festhalten an dem Vertragswerk nicht mehr zugemutet werden kann, oder
Seite 10 von 12
Stand: 20.10.2025
f) ein erheblicher Verstoß des Auftragnehmers gegen geltende Gesetze, sonstige Vorschriften oder
Bestimmungen der vertraglichen Regelungen vorliegt; oder
g) nachweisliche Schwächen des Auftragnehmers in Bezug auf sein allgemeines Risikomanagement
und insbesondere bei der Art und Weise, in der er die Verfügbarkeit, Authentizität, Sicherheit und
Vertraulichkeit von Daten gewährleistet, unabhängig davon, ob es sich um personenbezogene oder
anderweitig sensible Daten oder nicht personenbezogene Daten handelt, vorliegen; oder
h) ein nicht nur geringfügiger Verstoß gegen Datenschutz- und/oder Vertraulichkeitsbestimmungen
vorliegt, oder
i) die Kündigung zur Erfüllung aufsichtsrechtlicher, gesetzlicher oder gerichtlicher Anordnungen ge-
genüber der LfA oder aufgrund einer Feststellung von Missständen durch die BaFin geboten ist.
Jede Kündigung bedarf der Schriftform. Vor einer Kündigung aus wichtigem Grund ist diese schriftlich
anzudrohen. Der vertragsbrüchige Vertragspartner ist schriftlich abzumahnen und ihm ist Gelegenheit zu
geben, innerhalb von 30 Kalendertagen nach Erhalt der Abmahnung die den wichtigen Grund begründen-
den Missstände zu beheben. Einer Abmahnung bedarf es nicht, wenn
a) der vertragsbrüchige Vertragspartner die Leistung ernsthaft und endgültig verweigert, und/oder
b) besondere Umstände vorliegen, die unter Abwägung der beiderseitigen Interessen die sofortige
Kündigung rechtfertigen.
11 Sensibilisierung und Schulung (Art. 30 Abs. 2 (i) DORA)
Auf Verlangen der LfA wird der Auftragnehmer an den von der LfA gemäß Art. 13 Abs. 6 DORA angebote-
nen Programmen zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resi-
lienz teilnehmen. Dies gilt nicht, wenn der Auftragnehmer nachweist, dass er in den beiden vorangegan-
genen Jahren bereits selbst für vergleichbare Schulungen gesorgt hat, oder binnen eines Jahres sorgen
wird. Die LfA informiert Auftragnehmer in Textform über Termine und Schulungsinhalte. Der Auftragneh-
mer trägt die Aufwände seiner Mitarbeiter, die durch die Teilnahme an den Schulungen entstehen.
12 Ansprechpartner und Kommunikation
Siehe Teil A, Vertragsparteien, EVB-IT Rahmenvereinbarung Unterstützung Softwareentwicklung für das
RISK/CONT System in PL/SQL (Open Text Team Developer) und ABAP, Los 3 der Ausschreibung Unterstüt-
zung – technische Systemadministration LfA-01-2026
Seite 11 von 12
Stand: 20.10.2025
13 Schlussbestimmung
Die vorliegende Ergänzungsvereinbarung unterfällt im Übrigen den Regelungen des auf Seite 1 genannten
Vertragswerkes.
LfA Förderbank Bayern (Auftraggeber) Auftragnehmer
Datum, Ort Datum, Ort
Unterschrift(en) Auftraggeber (Name(n) in Druck- Unterschrift(en) Auftragnehmer (Name(n) in
schrift) Druckschrift)
Seite 12 von 12
Stand: 20.10.2025