KI im Vertragsmanagement: Wie der Mittelstand Fristen und Risiken endlich im Griff behält

Irgendwo in einem Aktenordner oder auf einem Netzlaufwerk liegt gerade ein Vertrag, dessen Kündigungsfrist in drei Wochen abläuft. Niemand in deinem Unternehmen weiß das gerade. Genau das ist für zwei Drittel der deutschen Unternehmen der Normalzustand, nicht die Ausnahme.

Ein unterschriebener Vertrag ist der Anfang der Arbeit, nicht das Ende. Foto: Tima Miroshnichenko auf Pexels

Warum Verträge im Mittelstand aus dem Ruder laufen

Es ist kein Wissensproblem. Jeder Geschäftsführer weiß, dass Verträge Fristen haben. Es ist ein Systemproblem: Verträge landen bei Abschluss meist im Postfach der Person, die sie verhandelt hat, dann irgendwann in einem Ordner, manchmal noch in Papierform im Aktenschrank. Wer heute in einem mittelständischen Unternehmen wissen will, wann der Leasingvertrag für den Fuhrpark automatisch verlängert wird oder welche Klauseln im Rahmenvertrag mit dem größten Lieferanten stehen, fragt in der Regel erst einmal in der Runde, wer sich zuletzt darum gekümmert hat.

Die Zahlen bestätigen das. In der bereits erwähnten techconsult-Studie im Auftrag von Ceyoniq gaben 49 Prozent der befragten Unternehmen an, Verträge über einfache Excel-Tabellen zu verwalten. Rund 60 Prozent verschicken Vertragsentwürfe weiterhin klassisch als Word-Datei per E-Mail. Nur 22 Prozent nutzen ein lokal betriebenes CLM-System (Contract Lifecycle Management), weitere 20 Prozent eine Cloud-Lösung. Macht zusammen 42 Prozent mit einem dedizierten Tool, der Rest wurstelt sich mit Bordmitteln durch. Zur Einordnung der Stichprobe: Befragt wurden gut 220 Unternehmen, die jeweils mehr als 100 Verträge verwalten. Die Studie beschreibt also Betriebe, die das Problem bereits in einer Größenordnung haben, in der es weh tut.

Wie oft es tatsächlich weh tut, hat Ceyoniq im Juli 2026 aus denselben Daten nachgereicht: 29 Prozent der Unternehmen verpassen regelmäßig Kündigungs-, Verlängerungs- oder Zahlungsfristen. Fast jeder dritte Betrieb zahlt also wiederkehrend für einen übersehenen Kalendereintrag. Verhandelt wurde in diesen Fällen gut, gescheitert ist die Wiedervorlage.

Eine zweite, unabhängig davon erhobene Studie von BearingPoint kommt im August 2025 zu einem ähnlichen Bild: Nur 25,7 Prozent der befragten Unternehmen setzen überhaupt ein IT-System für ihr Vertragsmanagement ein. Bei kleineren Unternehmen mit weniger als 50 Mitarbeitenden haben gerade einmal 32 Prozent ein strukturiertes CLM-Vorgehen, bei Großunternehmen sind es 60 Prozent. Besonders aufschlussreich ist die Lücke zwischen Wunsch und Wirklichkeit: 66 Prozent der Befragten sehen Potenzial in verstärktem KI-Einsatz für ihr Vertragsmanagement, aber nur 33 Prozent nutzen KI-gestützte Funktionen bereits tatsächlich.

Contract Lifecycle Management ist keine Technikfrage. Es ist eine Führungsfrage.

— Ammar Jamal, Partner bei BearingPoint, August 2025

Diese Lücke ist auch deshalb bemerkenswert, weil der Mittelstand beim KI-Einsatz generell aufholt. Laut KfW Research nutzten im Zeitraum 2022 bis 2024 bereits 20 Prozent der mittelständischen Unternehmen KI, eine Verfünffachung gegenüber 4 Prozent im Zeitraum 2016 bis 2018. Bei Unternehmen mit mehr als 50 Beschäftigten liegt die Quote sogar bei 36 Prozent. Nur: In der Rechts- und Vertragsabteilung kommt davon fast nichts an. Der Digitalverband Bitkom fand in seiner Studie “Künstliche Intelligenz 2025”, dass gerade einmal 5 Prozent der Unternehmen KI in ihrer Rechts- oder Steuerabteilung einsetzen. Zum Vergleich: Im Kundenkontakt sind es 88 Prozent, im Marketing 57 Prozent. Vertragsmanagement ist der blinde Fleck der KI-Adoption im deutschen Mittelstand.

Was KI im Vertragsmanagement in der Praxis übernimmt

Die Kernfunktion, die fast jedes KI-gestützte CLM-Tool mitbringt, ist unspektakulär und trotzdem der eigentliche Hebel: automatische Fristen- und Klauselextraktion. Ein System liest einen hochgeladenen Vertrag, egal ob PDF oder eingescanntes Papier, und zieht daraus Vertragsparteien, Laufzeit, Kündigungsfristen und Verlängerungsklauseln. Wird eine Frist erreicht, kommt eine Erinnerung per Mail oder Push-Nachricht, lange bevor es zu spät ist.

Der zweite Baustein ist die Risikoerkennung. Hier vergleicht die KI eingehende Klauseln mit einem hinterlegten Regelwerk, dem sogenannten Playbook, und markiert Abweichungen: eine ungewöhnlich hohe Haftungsklausel, eine fehlende Kündigungsoption, eine Gerichtsstandklausel, die vom Standard abweicht. Wie leistungsfähig das inzwischen ist, zeigt eine kontrollierte Studie des Anbieters LawGeex mit wissenschaftlicher Begleitung durch die Stanford Law School: Beim Prüfen von fünf Vertraulichkeitsvereinbarungen auf Risikoklauseln erreichte die KI 94 Prozent Genauigkeit, ein Team erfahrener Corporate-Anwälte im Schnitt 85 Prozent, und zwar in 26 Sekunden statt in durchschnittlich 92 Minuten pro Vertrag. Das ersetzt keinen Juristen bei komplexen Verhandlungen, aber es fängt die Fälle ab, die sonst einfach durchrutschen, weil niemand Zeit für eine Zeile-für-Zeile-Prüfung jedes Standardvertrags hat.

Ein drittes, neueres Feature ist der direkte Dialog mit dem Vertragsbestand: Statt einen Vertrag manuell zu durchsuchen, stellt man dem System eine Frage in normaler Sprache, etwa welche Lieferantenverträge im vierten Quartal auslaufen oder welche Kunden eine Preisanpassungsklausel haben. Wie groß der Hebel bei sehr großen Vertragsvolumina ist, zeigt ein oft zitiertes, wenn auch nicht mittelstandstypisches Beispiel aus dem Bankensektor: JPMorgan Chase hat mit dem intern entwickelten Tool COiN rund 12.000 gewerbliche Kreditverträge pro Jahr automatisiert ausgewertet und dabei nach eigenen Angaben etwa 360.000 Stunden juristischer Prüfarbeit im Jahr eingespart. Kein Mittelständler hat dieses Volumen, aber das Prinzip, Verträge maschinenlesbar statt aktenlesbar zu machen, skaliert auch bei 200 statt 20.000 Verträgen deutlich spürbar.

Werkzeuge, die zum deutschen Mittelstand passen

Wer sich international umschaut, landet schnell bei Enterprise-Plattformen wie Icertis oder DocuSign CLM, die auf sehr große Vertragsvolumina und internationale Konzernstrukturen ausgelegt sind, und preislich entsprechend liegen. Für den Mittelstand lohnt sich eher der Blick auf Anbieter, die im DACH-Raum tatsächlich aktiv sind und sich an kleinere Teams richten.

ContractHero aus Berlin ist ein Beispiel: KI-gestützte Vertragsverwaltung mit Fristenüberwachung, Risikoerkennung und Dokumentenmanagement, DSGVO-konform mit deutschem Hosting, ISO-27001-zertifiziert, inzwischen zusätzlich mit DORA-Konformität beworben. Der Anbieter ist von festen Listenpreisen abgerückt: Alle drei Pakete sind auf der Preisseite nur noch “auf Anfrage” gelistet, Drittvergleichsseiten nennen für das Einstiegspaket weiterhin rund 390 Euro im Monat als groben Richtwert, verbindlich ist das aber nicht. Verwertbar bleibt der Zuschnitt der Pakete, weil er zeigt, für welche Größe gedacht wird: Essential umfasst 500 Verträge und 5 Nutzer, Professional unbegrenzte Verträge und 15 Nutzer, Enterprise unbegrenzte Verträge und 50 Nutzer. Wer 200 Verträge und vier Leute im Vertragsumlauf hat, landet also im kleinsten Paket und sollte sich davon nicht durch ein Enterprise-Angebot wegverhandeln lassen.

Aus der Schweiz kommt Legartis, ein “Legal AI Workspace”, der sich stärker auf die automatisierte Vertragsprüfung direkt in Word konzentriert, mit eigenen Angaben zufolge bis zu 85 Prozent schnellerer Erstprüfung. Ein Kunde berichtet, dass sich die Prüfung einer Datenschutzvereinbarung von 45 bis 60 Minuten auf unter 10 Minuten verkürzt hat. Auch Legartis hat die Preisliste inzwischen geschlossen: Die früher offen ausgewiesene Professional-Stufe zu 250 Schweizer Franken je Nutzer im Monat steht nicht mehr auf der Paketseite. Geblieben sind ein kostenloser Zugang mit einem Arbeitsplatz, dem NDA-Playbook und zwei NDA-Prüfungen im Monat sowie eine einzige Bezahlstufe “Team to Enterprise” auf Anfrage. Für die Praxis ist das eine gute Nachricht und eine schlechte: Der Gratiszugang reicht aus, um die Trefferqualität an euren eigenen Geheimhaltungsvereinbarungen zu testen, bevor Geld fließt. Der Preisvergleich vor dem Erstgespräch fällt dafür bei beiden Anbietern weg, ihr braucht zwei Angebote nebeneinander.

Bei der Auswahl lohnt sich weniger die Frage “Welches Tool hat die meisten Funktionen” als “Wo stehen unsere Vertragsdaten, und wer hat vertraglich Zugriff darauf”. Wer schon einmal geprüft hat, wie KI-Tools im Mittelstand DSGVO-konform eingesetzt werden, kennt das Muster: Ein europäischer Serverstandort ist ein gutes erstes Kriterium, aber kein Freibrief, dazu gleich mehr.

Interessant ist Vertragsmanagement auch als Randstück eines größeren Themas. Wer bereits KI im Einkauf einsetzt, um Lieferantenkonditionen zu vergleichen, sollte die Rahmenverträge mit denselben Lieferanten nicht getrennt davon in einer Excel-Liste pflegen. Und wer die Buchhaltung bereits automatisiert hat, profitiert davon, wenn Vertragswerte und Zahlungsverpflichtungen aus demselben System stammen wie die Rechnungsverarbeitung, statt doppelt gepflegt zu werden.

Datenschutz und Recht: Was beim Vertragsmanagement per KI zu beachten ist

Sobald personenbezogene Daten wie Namen, Unterschriften oder in Arbeitsverträgen auch Gehälter über ein Cloud-Tool verarbeitet werden, greift die DSGVO, konkret Art. 28. Ein Auftragsverarbeitungsvertrag mit dem Anbieter ist keine Kür, sondern Pflicht, und zwar bevor das Tool produktiv genutzt wird. Wichtig bei KI-Funktionen speziell: Der AVV sollte ausdrücklich ausschließen, dass eingegebene Vertragsdaten zum Training des zugrunde liegenden KI-Modells verwendet werden. Sonst verlässt der Anbieter faktisch die Rolle des reinen Auftragsverarbeiters, weil die Daten dann auch seinen eigenen Zwecken dienen.

Ein Punkt, der häufig übersehen wird: Ein Rechenzentrum in der EU allein schützt nicht zuverlässig vor einem Datenzugriff aus den USA, wenn der Anbieter, auch über eine europäische Tochtergesellschaft, zu einem US-Konzern gehört. Der US CLOUD Act knüpft an die Konzernkontrolle an, nicht an den physischen Speicherort der Server. Die Datenschutzkonferenz der deutschen Aufsichtsbehörden weist in ihren Bewertungen zu Cloud-Souveränität ausdrücklich darauf hin, dass rein vertragliche Zusicherungen hier in der Regel nicht ausreichen. Bei europäischen Anbietern wie ContractHero oder Legartis, die explizit mit deutschem beziehungsweise Schweizer Rechenzentrum werben, stellt sich diese Frage in der Praxis seltener, bei US-Anbietern lohnt sich eine genauere Prüfung des Konzerngeflechts.

Beim EU AI Act, der Verordnung (EU) 2024/1689, herrscht bei vielen Geschäftsführern eine unnötige Sorge: Muss ein KI-Vertragsanalyse-Tool jetzt als Hochrisiko-KI-System behandelt werden, mit allen Dokumentations- und Konformitätspflichten, die das mit sich bringt? In aller Regel nein. Anhang III Nummer 8 des AI Act stuft KI-Systeme als hochriskant ein, die von einer Justizbehörde oder in deren Auftrag eingesetzt werden, um bei der Auslegung von Recht und Sachverhalten zu unterstützen, oder die in vergleichbarer Weise in einem Schiedsverfahren mit rechtsverbindlicher Wirkung genutzt werden. Ein unternehmensinternes Tool, das Kaufverträge auf Risikoklauseln prüft, hat mit einer Justizbehörde nichts zu tun und fällt damit schon tatbestandlich nicht unter diese Kategorie. Selbst wenn ein Randbezug bestünde, greift zusätzlich die Ausnahme aus Art. 6 Absatz 3, wonach Systeme, die nur eine eng gefasste Verfahrensaufgabe erfüllen oder ein bereits abgeschlossenes menschliches Ergebnis verbessern, nicht automatisch als hochriskant gelten, solange sie kein Profiling natürlicher Personen betreiben.

Seit dem 2. August 2026 gelten außerdem die Transparenzpflichten aus Art. 50. Die fangen ein internes Vertragstool in aller Regel nicht ein, weil sie an zwei Situationen hängen, die beim Prüfen eigener Verträge nicht vorliegen: an Systemen, die mit natürlichen Personen interagieren, und an KI-Texten, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Ein Playbook-Abgleich im eigenen Haus ist weder das eine noch das andere.

Die Pflicht, die euch tatsächlich trifft, steht an einer Stelle, an der kaum jemand sucht. Art. 4 der KI-Verordnung gilt seit dem 2. Februar 2025 und nimmt jeden Betreiber eines KI-Systems in die Pflicht, für ausreichende KI-Kompetenz der Menschen zu sorgen, die damit arbeiten. Das gilt unabhängig von der Risikoklasse, also auch für ein harmloses Vertragsanalyse-Tool. Der Digital Omnibus hat die Vorschrift im Juli 2026 entschärft: Aus einer Ergebnispflicht ist eine Förderpflicht geworden, ihr müsst Kompetenz aufbauen helfen, statt für jede einzelne Person ein Niveau zu garantieren. Gestrichen ist sie damit aber nicht.

Arno Hoffrichter

Chief Technology Officer, Collective Brain GmbH · Hamburg

CTO bei Collective Brain. Verantwortlich für die technische Umsetzung von Web-Projekten und SEO-Architektur.

Beratung anfragen