Ein Entwicklungspartner in Armenien oder Georgien statt in Polen: Was sich für ein EU-Fintech bei DSGVO, DORA und Vertrag ändert

Für ein EU-Fintech bedeutet ein Entwicklungsunternehmen in Armenien oder Georgien mehr Arbeit am Vertrag als eines in Polen. Wenn seine Entwickler personenbezogene Daten sehen können, braucht der Vertrag ein Übermittlungsinstrument wie die Standardvertragsklauseln, und die Streitbeilegungsklausel sollte zu einer Entscheidung führen, die sich dort durchsetzen lässt. Wenn DORA für Sie gilt und der Dienst eine kritische oder wichtige Funktion unterstützt, muss Ihre Risikobewertung außerdem nach Datenschutz und Rechtsdurchsetzung in diesem Land fragen. Technische Prüfungen, Sanktionsscreening, Eigentum am Code und die meisten Vertragsbedingungen funktionieren wie in Polen.

Was ändert sich im Vergleich zu einer Firma in Polen, und was bleibt gleich?

Polen ist in der EU, Armenien und Georgien sind es nicht. Der größte Teil des Unterschieds folgt daraus:

• Daten: Wenn ein Entwickler eines Unternehmens in Jerewan oder Tiflis die personenbezogenen Daten Ihrer Kunden sehen kann, gilt dieser Zugriff als Übermittlung aus der EU heraus. Ein Zugriff aus Warschau nicht
• DORA: Bei Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, bringt ein Anbieter außerhalb der EU zwei zusätzliche Fragen in Ihre Risikobewertung, zum Datenschutz und zur Durchsetzung des Rechts in seinem Land
• Streitigkeiten: Ein Urteil aus einem anderen EU-Land wird in Polen nach EU-Recht anerkannt. In Armenien und Georgien lässt sich ein Schiedsspruch leichter durchsetzen als ein Gerichtsurteil
• Register: Das Europäische Justizportal (e-Justice) durchsucht die Unternehmensregister Polens und anderer EU-Staaten an einer Stelle. Armenische und georgische Unternehmen stehen in ihren eigenen nationalen Registern, teils auf Armenisch oder Georgisch

Der Rest hängt nicht vom Land ab: die Entwickler kennenlernen, die die Arbeit machen, die schriftliche Übertragung des Codes auf Ihr Unternehmen, Repositories und Cloud-Konten auf den Namen Ihres Unternehmens, das Sanktionsscreening des Unternehmens und seiner Eigentümer und die meisten Vertragsbedingungen, die DORA aufzählt.

Wie viele Arbeitsstunden teilen wir mit einem Team in Jerewan oder Tiflis?

Armenien und Georgien bleiben laut der Zeitzonendatenbank der IANA das ganze Jahr über bei UTC+4. Die EU-Staaten stellen ihre Uhren am letzten Sonntag im März vor und am letzten Sonntag im Oktober zurück. Jerewan und Tiflis sind Frankfurt, Paris und Warschau deshalb im Winter drei Stunden und im Sommer zwei Stunden voraus.

Bei einem Arbeitstag von 9 bis 18 Uhr auf beiden Seiten teilt ein Team in Jerewan mit Frankfurt im Winter sechs und im Sommer sieben Bürostunden. Mit London sind es im Winter fünf und im Sommer sechs Stunden. Legen Sie den täglichen Call, Code-Reviews und Releases in dieses Fenster und schreiben Sie die gemeinsamen Stunden in den Vertrag.

Hören Sie vor der Unterschrift in einem Videocall, wie die Entwickler und die Person, die die Arbeit im Alltag leiten wird, die Arbeitssprache Ihres Teams verwenden.

Ist es eine Datenübermittlung, wenn sich die Entwickler nur aus Jerewan einloggen?

Ja, wenn sie personenbezogene Daten sehen können. Der Europäische Datenschutzausschuss, in dem die Datenschutzbehörden der EU zusammenarbeiten, schrieb in seinen Leitlinien 05/2021, dass „der Fernzugriff aus einem Drittland (auch wenn er nur darin besteht, personenbezogene Daten auf einem Bildschirm anzuzeigen, etwa im Support, bei der Fehlerbehebung oder zu Verwaltungszwecken)“ ebenfalls als Übermittlung gilt, wenn die drei Kriterien der Leitlinien für eine Übermittlung erfüllt sind. Sie sind erfüllt, wenn die Entwickler für ein anderes Unternehmen arbeiten, etwa für Ihren Entwicklungspartner.

Am einfachsten begrenzen Sie die Übermittlung, indem Sie personenbezogene Daten aus der Reichweite der Entwickler halten: Testdaten, maskierte Kopien und Zugriff auf die Produktion nur bei Bedarf und protokolliert. Der Artikel über das Auslagern von KI-Entwicklung, ohne dass Ihre Daten das Haus verlassen, beschreibt diesen Aufbau.

Ein Angemessenheitsbeschluss erlaubt es, personenbezogene Daten ohne weitere Garantien in ein Land zu übermitteln. Mit Stand 26. Oktober 2026 enthält die Liste solcher Beschlüsse der Europäischen Kommission weder Armenien noch Georgien. Für beide Länder ist das übliche Instrument die Standardvertragsklauseln, vorformulierte Vertragsbedingungen, die die Kommission am 4. Juni 2021 erlassen hat.

Für ein Entwicklungsunternehmen, das auf Ihre Weisung mit Ihren Daten arbeitet, gilt Modul 2 der Klauseln, für Übermittlungen von einem Verantwortlichen an einen Auftragsverarbeiter. Verarbeitet Ihr Fintech die Daten selbst im Auftrag von Geschäftskunden, gilt stattdessen Modul 3, für Übermittlungen von einem Auftragsverarbeiter an einen anderen. Die Fragen und Antworten der Kommission zu den Klauseln sagen, dass Sie mit Modul 2 „keinen gesonderten Auftragsverarbeitungsvertrag schließen müssen“, weil es die Bedingungen nach Artikel 28 DSGVO bereits enthält. Der Text der Klauseln darf nicht geändert werden, außer um Module und Optionen auszuwählen, die Anhänge auszufüllen und Garantien hinzuzufügen.

Vor der Unterschrift müssen beide Seiten prüfen, ob „die Rechtsvorschriften und Gepflogenheiten des Bestimmungsdrittlandes“ das Unternehmen daran hindern könnten, die Klauseln einzuhalten. Die Fragen und Antworten nennen auch, was zu betrachten ist, etwa die Kategorien und das Format der Daten und die Länge der Verarbeitungskette.

Ein britisches Fintech arbeitet stattdessen unter der UK GDPR. Die britischen Angemessenheitsregeln erfassen Polen als Teil des Europäischen Wirtschaftsraums, Armenien und Georgien nicht. Für Übermittlungen dorthin nennt das Information Commissioner's Office (ICO) das International Data Transfer Agreement (IDTA) und das International Data Transfer Addendum, das den EU-Klauseln hinzugefügt wird, und verlangt zusätzlich eine Bewertung der Übermittlungsrisiken.

Was verlangt DORA, wenn der Anbieter außerhalb der EU sitzt?

DORA, die EU-Verordnung über die digitale operationale Resilienz, gilt seit dem 17. Januar 2025. Sie erfasst Banken, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Anbieter von Kryptowerte-Dienstleistungen, Handelsplätze und weitere Finanzunternehmen. Ihre Regeln gelten für IKT-Dienstleistungen, den Begriff der Verordnung für Technologiedienstleistungen. Ob ein Entwicklungsvertrag dazu zählt, hängt davon ab, was er umfasst, etwa Support, Wartung oder Hosting nach dem Start, fragen Sie also zuerst Ihr Compliance-Team.

Wenn er dazu zählt, bleiben Sie, so Artikel 28, „in vollem Umfang verantwortlich“ für Ihre Pflichten nach DORA und tragen den Vertrag in Ihr Informationsregister ein, das von DORA verlangte Verzeichnis Ihrer IKT-Verträge. Artikel 30 zählt Bedingungen auf, die jeder solche Vertrag braucht, darunter die Länder, in denen die Dienstleistungen erbracht und die Daten verarbeitet werden, eine vorherige Mitteilung, bevor sich diese Standorte ändern, und die Rückgabe Ihrer Daten, wenn der Anbieter ausfällt oder der Vertrag endet. Auch eine Firma in Polen muss diese Bedingungen akzeptieren.

Der Unterschied liegt in einem Teil der Risikobewertung, nämlich für Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, also Funktionen, deren Ausfall Ihrem Geschäft oder Ihrer Compliance ernsthaft schaden würde. Für jeden solchen Anbieter verlangt Artikel 29, die anwendbaren Insolvenzvorschriften und jede Einschränkung „der dringenden Wiederherstellung der Daten des Finanzunternehmens“ zu berücksichtigen. Bei einer Firma in Armenien oder Georgien sind das armenische oder georgische Vorschriften. Für einen Anbieter, der „in einem Drittland niedergelassen“ ist, kommt „die Einhaltung der Datenschutzvorschriften der Union und die wirksame Durchsetzung des Rechts in diesem Drittland“ hinzu.

Fragen Sie die Firma, wo ihre Mitarbeiter und Server an Ihrem System arbeiten werden und wie Sie Ihren Code und Ihre Daten zurückbekommen, wenn die Firma nicht mehr für Sie arbeitet. Fragen Sie Ihre Anwälte, ob sich eine Entscheidung zu Ihren Gunsten dort durchsetzen lässt. Verträge über diese Dienstleistungen brauchen außerdem Prüf- und Zugangsrechte und eine Ausstiegsstrategie mit Übergangszeitraum, egal wo der Anbieter sitzt.

Lässt sich ein Vertrag mit einem Unternehmen in Armenien oder Georgien durchsetzen?

Ja, wenn Sie den Weg vor der Unterschrift planen. Eine Entscheidung gegen das Unternehmen muss dort durchgesetzt werden, wo seine Konten und sein Vermögen sind, in der Regel also in seinem eigenen Land.

Ein Schiedsspruch lässt sich leichter durchsetzen. Armenien, Georgien und Polen sind alle Vertragsstaaten des New Yorker Übereinkommens von 1958, nach dem die Vertragsstaaten Schiedssprüche aus anderen Vertragsstaaten anerkennen und vollstrecken. Die Statustabelle von UNCITRAL zeigt das Übereinkommen für Georgien seit 1994 und für Armenien seit 1998 in Kraft. Armenien wendet es nur auf Schiedssprüche aus einem anderen Vertragsstaat und auf Streitigkeiten an, die sein Recht als Handelssachen ansieht.

Bei Gerichtsurteilen ist es schwieriger. Innerhalb der EU sorgt die Brüssel-Ia-Verordnung dafür, dass ein Urteil eines deutschen oder französischen Gerichts in Polen ohne besonderes Verfahren anerkannt wird. Über die EU gilt für Polen zudem das Haager Anerkennungs- und Vollstreckungsübereinkommen von 2019, das für das Vereinigte Königreich seit dem 1. Juli 2025 gilt. Mit Stand 26. Oktober 2026 ist laut den Statustabellen der Haager Konferenz weder Armenien noch Georgien Vertragspartei dieses Übereinkommens oder des Haager Übereinkommens über Gerichtsstandsvereinbarungen von 2005.

Fragen Sie Ihren Anwalt bei einer Firma in Armenien oder Georgien deshalb nach einer Schiedsklausel mit Schiedsort, also dem rechtlichen Sitz des Schiedsverfahrens, in einem Vertragsstaat des Übereinkommens. Fragen Sie auch, wie ein Urteil Ihrer eigenen Gerichte dort behandelt würde. Bei kritischen oder wichtigen Funktionen gehört diese Antwort zu dem, was DORA von Ihnen zu berücksichtigen verlangt.

Ist eine Firma in Armenien oder Georgien im Vergleich zu einer in Russland oder Belarus ein Sanktionsrisiko?

Nicht als Land. Mit Stand 26. Oktober 2026 zeigt die EU Sanctions Map EU-Sanktionsregime für Russland und für Belarus und keines für Armenien oder Georgien. Auch die Liste der britischen Sanktionsregime und die Liste der Sanktionsprogramme des US-Finanzministeriums enthalten keines für Armenien oder Georgien.

Ein Land ohne Regime macht kein Unternehmen darin automatisch unbedenklich. Suchen Sie das Unternehmen, jeden im Register genannten Eigentümer, den Geschäftsführer und die empfangende Bank auf der konsolidierten Liste der finanziellen Sanktionen der EU und als britisches Unternehmen zusätzlich auf der UK Sanctions List. In seinen Best Practices für die wirksame Umsetzung restriktiver Maßnahmen, aktualisiert am 3. Juli 2024, betrachtet der Rat der EU eine Einrichtung ab „50 % oder mehr der Eigentumsrechte“ als im Eigentum einer gelisteten Person. Eine Zahlung an eine solche Einrichtung gilt grundsätzlich als mittelbare Bereitstellung von Geldern an die gelistete Person.

Fragen Sie außerdem, von wo aus jeder Entwickler Ihres Projekts arbeiten wird, und holen Sie vor der Unterschrift die Einschätzung eines Sanktionsanwalts ein, wenn jemand aus Russland oder Belarus arbeiten würde. Der Artikel über die Wahl eines Unternehmens in Osteuropa oder im Kaukasus erklärt die US-Regeln dazu.

Wenn zu Ihrer Gruppe ein US-Unternehmen gehört, prüfen Sie auch, wo die Eigentümer und Entwickler der Firma leben: Das Data Security Program des Justizministeriums, in Kraft seit dem 8. April 2025, nennt sechs „countries of concern“ (bedenkliche Länder), darunter Russland, nicht aber Belarus, Armenien oder Georgien. Danach darf ein US-Unternehmen einem in Russland gegründeten Anbieter nur dann Zugriff auf die persönlichen Finanzdaten von mehr als 10.000 US-Personen (US persons), gezählt über die vorangegangenen zwölf Monate, geben, wenn es die Sicherheits- und Compliance-Anforderungen des Programms erfüllt. Die Regel erfasst auch einen Anbieter außerhalb der USA, der zu 50 % oder mehr solchen Unternehmen oder Menschen gehört, die überwiegend in Russland leben. Ein Entwickler, der überwiegend in Russland lebt, gilt ebenfalls als erfasste Person (covered person), egal wer ihn beschäftigt.

Mit welchem Unternehmen unterschreiben wir, und wie prüfen wir, dass es echt ist?

Unterschreiben Sie mit dem Unternehmen, bei dem die Entwickler Ihres Projekts angestellt sind. Bietet eine Firma einen Vertrag mit ihrer EU- oder US-Gesellschaft an, während die Entwickler für ihre armenische oder georgische Gesellschaft arbeiten, lassen Sie sich zeigen, wie Code und Rechte von einer Gesellschaft zur anderen und dann zu Ihnen gelangen.

Suchen Sie das Unternehmen dann selbst im amtlichen Register. In Armenien ist das das Register juristischer Personen des Justizministeriums unter e-register.moj.am. In Georgien ist es das Register der Nationalen Agentur des öffentlichen Registers. Für ein polnisches Unternehmen durchsucht das Europäische Justizportal (e-Justice) die nationalen Unternehmensregister. Der Artikel über die Wahl eines Unternehmens in Osteuropa oder im Kaukasus erklärt, was jedes Register zeigt und womit Sie es abgleichen.

Auch ein echtes Unternehmen kann die Arbeit auf halbem Weg einstellen. Der Artikel über ein dediziertes Team, das bleibt, behandelt die Prüfungen für dieses Risiko. Die oben genannten DORA-Bedingungen schützen Sie auch hier: Ihr Code in Ihren Repositories, Ihre Daten in einem nutzbaren Format zurück und ein Übergangszeitraum für den Wechsel.

Wo passt amBrain ins Bild?

amBrain, das diesen Blog herausgibt, ist ein Software-Engineering-Unternehmen aus Jerewan, Armenien, die armenische Seite dieses Artikels gilt also auch für amBrain. Zu seinen Leistungen gehört die „Entwicklung von Trading-Terminals, Order-Management-Systemen und FIX-Protokoll-Anbindung an Börsen“. Es entwickelt seit 2019 Software und arbeitet in drei Formaten: vollständige Umsetzung, ein dediziertes Team oder in Ihr Team eingebettete Entwickler.

Zum Eigentum lautet sein Satz: „Der Kunde behält das volle Eigentum an Produkt und Code, ausgenommen unsere wiederverwendbaren Komponenten.“ Wenn amBrain auf Ihrer Shortlist steht, stellen Sie ihm die Fragen oben wie jeder anderen Firma: ob es die Standardvertragsklauseln unterschreibt, von wo jeder Entwickler arbeitet, ob es die Bedingungen nach Artikel 30 akzeptiert und welche wiederverwendbaren Komponenten gemeint sind.

Dieser Artikel ist keine Rechtsberatung: Lassen Sie den Vertrag von einem Anwalt lesen, bevor Sie ihn unterschreiben.