KI-gestützte Due Diligence

Das echte Ausmaß des Problems

M&A-Due-Diligence ist zeitintensiv, hochriskant und zeitkritisch. In einer typischen Legal-Due-Diligence-Prüfung eines mittelständischen Unternehmens müssen 2.000 bis 10.000 Dokumente gesichtet werden, Verträge, Gerichtsurteile, Schutzrechte, Arbeitsverträge, behördliche Genehmigungen, Gesellschafterbeschlüsse. Das Zeitfenster ist knapp: Käufer haben oft 3 bis 6 Wochen, um eine Transaktion zu prüfen, die über Jahre das Unternehmen prägt.

Die Folgekosten einer schlechten Due Diligence sind erheblich. Eine frühere Fassung dieser Seite berief sich hier auf eine KPMG-Studie, nach der über 50 Prozent aller M&A-Transaktionen an nachträglich erkannten Risiken scheitern. Diese Studie haben wir nicht auffinden können, und die Aussage vermischt zwei verschiedene Dinge, nämlich dass viele Transaktionen ihre Wertversprechen verfehlen und dass der Grund dafür in der Due Diligence lag. Beides ist raus. Was bleibt, ist die Liste der klassischen DD-Mängel, und die kennt jeder, der einmal dabei war: übersehene Pensionsverbindlichkeiten, Change-of-Control-Klauseln, die Schlüsselverträge bei Eigentümerwechsel gefährden, unbekannte Rechtsstreitigkeiten, Umweltverpflichtungen.

Das Problem ist nicht mangelnde Sorgfalt der beteiligten Anwälte und Berater, sondern schiere Kapazität. Rechne es für deine eigene letzte Transaktion nach: Teile die Zahl der Dokumente im Datenraum durch die Personentage, die dafür zur Verfügung standen, und frag dich, wie viele Minuten je Dokument dabei herauskommen. Bei den meisten mittelgroßen Transaktionen ist das Ergebnis eine Zahl, die kein sorgfältiges Lesen mehr zulässt. Dokumente werden dann oberflächlich gelesen oder priorisiert übersprungen, und die Priorisierung entscheidet über das Ergebnis der Prüfung. Genau dort setzt KI an.

Mit vs. ohne KI, ein ehrlicher Vergleich

Prozentwerte zur Abdeckung und zur Stundenersparnis standen hier früher und sind raus: Sie stammten aus einem Anbieter-Whitepaper, das wir nicht auffinden konnten, und sie widersprachen einer anderen Zahl auf derselben Seite. Die belastbare Variante ist der Retro-Test weiter unten, bei dem du das Tool über eine abgeschlossene Transaktion laufen lässt und mit dem echten DD-Report vergleichst. Das ist eine Messung an deinem eigenen Material.

Einschätzung auf einen Blick

Zeitersparnis, sehr hoch (5/5) Die Due Diligence ist der Use Case mit dem größten absoluten Zeitgewinn im Rechts-Portfolio, und das liegt an der Basis, nicht an einer besonders guten Quote. Ein vierköpfiges Team bindet über drei bis vier Wochen mehrere hundert Stunden allein für die Erstsichtung. Selbst ein moderater Prozentsatz davon ist mehr als der gesamte Zeitgewinn anderer Anwendungsfälle im Jahr. Einen belegten Prozentsatz nennen wir hier nicht, dafür gibt es keine unabhängige Untersuchung.

Kosteneinsparung, sehr hoch (5/5) Der Einsparungseffekt ist direkt monetisierbar, und zwar mit einer Zahl, die du selbst hast: deinem Stundensatz mal den gesparten Stunden. Im Rechenbeispiel weiter unten ist jeder Prozentpunkt Zeitersparnis rund 1.680 Euro wert. Die Alternative zur Einsparung ist genauso wertvoll: Derselbe Aufwand deckt einen deutlich größeren Datenraum ab. Für auf M&A spezialisierte Kanzleien ist das die stärkste ROI-Argumentation im gesamten Portfolio.

Schnelle Umsetzung, sehr niedrig (1/5) Das ist der komplexeste Einstieg im gesamten Recht-Portfolio. KI-DD-Tools wie Luminance oder Harvey AI erfordern nicht nur Tool-Onboarding, sondern auch transaktionsspezifische Konfiguration des Prüfkatalogs, Datenraum-Integration und Qualitätssicherungsprozesse. Für ein erstes produktives Ergebnis brauchst du 4–12 Wochen Vorlaufzeit, und einen gut definierten Transaktionstyp als Startpunkt. Wer heute anfangen will, fängt nicht mit Due Diligence an.

ROI-Sicherheit, hoch (4/5) Der ROI pro Transaktion ist klar und messbar. Die Unsicherheit liegt in der Transaktionsfrequenz: Für eine Kanzlei mit 2–3 DD-Projekten pro Jahr lohnt sich der Einrichtungsaufwand. Für eine mit einem DD-Projekt alle zwei Jahre möglicherweise nicht, es sei denn, die einzelne Transaktion ist groß genug.

Skalierbarkeit, niedrig (2/5) Jede Transaktion ist individuell, andere Branche, anderer Vertragstyp, andere Prüfkategorien. Das System skaliert nicht einfach von einer Transaktion zur nächsten, ohne Rekonfiguration. Im Vergleich zu Fristenmanagement oder Mandantenkommunikation, die einmal eingerichtet dauerhaft laufen, braucht DD transaktionsspezifische Konfiguration.

Richtwerte, stark abhängig von Transaktionsgröße, Datenraumumfang und Rechtsgebiet.

Was das System konkret macht

Schritt 1, Datenraum-Intake und Klassifikation Das KI-System lädt alle Dokumente aus dem virtuellen Datenraum, liest sie und klassifiziert sie automatisch in Kategorien: Verträge, HR-Dokumente, IP-Schutzrechte, Gerichtsverfahren, Genehmigungen, Gesellschaftsunterlagen. Das allein, eine Grobsortierung, die manuell Stunden braucht, dauert mit KI Minuten.

Schritt 2, Risikoextraktion Je Kategorie sucht das System nach vordefinierten Risikokategorien:

• Verträge: Change-of-Control-Klauseln, außerordentliche Kündigungsrechte, wesentliche Haftungsklauseln
• HR: Schlüsselmitarbeiter-Abhängigkeiten, Abfindungsvereinbarungen, Wettbewerbsverbote
• IP: Lizenzrestriktionen, Eigentümerfragen, Third-Party-Rechte
• Rechtsstreitigkeiten: laufende und drohende Verfahren, Streitwerte, Prozesskostenrisiken

Schritt 3, Risikobewerteter Prüfbericht Das System generiert einen Prüfbericht, der Risikopunkte nach Kategorie und Schweregrad sortiert. Anwälte starten nicht mehr mit Dokument 1, sondern mit den 50 Dokumenten, die das System als hochriskant klassifiziert hat.

Was bleibt Anwaltsarbeit: Die Bewertung, ob ein identifiziertes Risiko für diese spezifische Transaktion akzeptabel ist, Deal-Breaker oder verhandelbar ist. Das ist kontextuelle juristische Analyse, keine Mustererkennung.

Rechtliche Besonderheiten

Bei der KI-gestützten Due Diligence sind die Datenschutzanforderungen am höchsten im gesamten Recht-Portfolio.

Vertraulichkeit von Datenräumen: Transaktionsdaten sind typischerweise durch NDA und Datenraumvereinbarungen geschützt. Das Hochladen von Datenraum-Dokumenten in ein Cloud-KI-Tool braucht explizite Freigabe durch die Zielgesellschaft und den Käufer. In der Praxis: Datenschutz-Klausel in der DD-Vereinbarung, die KI-Verarbeitung explizit erlaubt, oder On-Premise-Lösung.

KI-Verordnung: Die Hochrisiko-Einstufung für den Justizbereich in Anhang III Nr. 8 Buchst. a KI-VO erfasst nur KI-Systeme, die von einer Justizbehörde oder in deren Auftrag eingesetzt werden. Eine DD-Risikoklassifizierung in einer Kanzlei fällt nicht darunter, eine Hochrisiko-Konformitätserklärung ist also nicht erforderlich. Was gilt, ist Art. 4 KI-VO, die Pflicht des Betreibers, seit dem 2. Februar 2025 für ausreichende KI-Kompetenz des eigenen Personals zu sorgen. Transparenz gegenüber dem Auftraggeber über die KI-Nutzung ist keine Pflicht aus der Verordnung, aber gute Praxis.

Anwaltsverschwiegenheit (§ 43a Abs. 2 BRAO): Hier steht auf dieser Seite früher etwas Falsches. § 43a Abs. 2 BRAO erfasst alles, was dem Anwalt in Ausübung seines Berufs bekannt wird, nicht nur Tatsachen über den eigenen Mandanten. Was du im Datenraum der Zielgesellschaft erfährst, hast du in Ausübung deines Berufs erfahren, es ist damit von der Verschwiegenheitspflicht erfasst. Die Aussage, die Pflicht schütze Mandanten und nicht Dritte, war zu kurz gegriffen. Praktisch heißt das: Datenraum-Dokumente in ein Cloud-Tool zu geben ist eine Inanspruchnahme einer Dienstleistung im Sinne von § 43e BRAO, mit allem, was dort verlangt wird, Vertrag in Textform (Abs. 3), geklärter Verarbeitungsort (Abs. 4), und Einwilligung des Mandanten, weil eine Transaktions-DD unmittelbar einem einzelnen Mandat dient (Abs. 5). Dazu kommt die Datenraumvereinbarung mit der Gegenseite, die eine Weitergabe an Dritte typischerweise ohnehin beschränkt.

Konkrete Werkzeuge, was wann passt

Luminance , Eigenentwickeltes, auf Rechtsdokumente trainiertes Modell aus dem Vereinigten Königreich, mit M&A-spezifischen Funktionen: Datenraum-Anbindung, Risiko-Dashboard, Anomalie-Erkennung, ISO 27001 und SOC 2 Type 2, dedizierte Single-Tenant-Instanz je Kunde. Kein öffentliches Pricing, Enterprise-Deals auf Anfrage, erfahrungsgemäß im fünfstelligen Jahresbereich. Und der Punkt, der in diesem Anwendungsfall alles entscheidet: Die Datenschutzrichtlinie nennt Cambridge im Vereinigten Königreich als Ort der Datenhaltung, eine EU-Hosting-Region wird öffentlich nicht zugesichert. Für § 43e Abs. 4 BRAO ist das keine Randnotiz, sondern die Frage, die vor dem ersten Datenraum beantwortet sein muss.

Harvey AI , US-Tool mit starker Vertragsanalyse-Basis, zunehmend für DD genutzt. Versteht komplexe Klausel-Abhängigkeiten und kontextuelle Risiken, EU- und Schweiz-Datenverarbeitung nach Anbieterangaben möglich. Preise nennt Harvey nicht öffentlich, es gibt ausschließlich Enterprise-Pricing auf Anfrage und keinen Self-Service. Eine frühere Fassung dieser Seite nannte hier einen Monatspreis, den wir nicht belegen konnten.

Kira Systems , Gehört seit 2021 zu Litera und wird dort weiterentwickelt. Über 1.400 von Anwälten trainierte, vordefinierte Extraktionsmodelle für Standard-DD-Klauseln, dazu trainierbare eigene Klauseln. Datenresidenz in den USA, Kanada, Europa und Asien-Pazifik wählbar. Einschränkung, die für deutsche Mandate zählt: Die vortrainierten Modelle sind auf englische Verträge ausgelegt, deutschsprachige Klauselextraktion erfordert eigenes Training oder die generativen Smart Fields. Preise: auf Anfrage.

Claude mit Dokumenten-Upload, Für kleinere Transaktionen: Dokumente einzeln oder in Batches durch Claude analysieren lassen, Prüfkatalog als System-Prompt. Pro kostet 20 US-Dollar im Monat, Team Standard 25 US-Dollar je Sitz, bei Batch-Verarbeitung über die API kommt nutzungsabhängiger Token-Verbrauch dazu. Kein strukturierter DD-Workflow, keine Datenraum-Integration, und die Einwilligungsfrage nach § 43e Abs. 5 BRAO stellt sich hier genauso.

Zusammenfassung:

• Große Transaktion, professionelles DD-Team → Luminance oder Kira Systems
• Mittelgroße Transaktion, US-Verbindungen → Harvey AI
• Erste Erfahrungen, kleinere Deals → Claude mit eigenem Prüfkatalog

Datenschutz und Datenhaltung

Datenraum-Dokumente enthalten oft die sensibelsten Unternehmens- und Personendaten überhaupt, Pensionsverträge, Gerichtsverfahren, Strategiepapiere, HR-Akten. Das erfordert die höchsten Datenschutzstandards:

1. Vertragliche Absicherung mit dem Tool-Anbieter: Dienstleistervertrag nach § 43e Abs. 3 BRAO, nicht nur ein AVV nach Art. 28 DSGVO. Der AVV regelt die Datenschutzseite, die Belehrung über die strafrechtlichen Folgen und die Regelung zu Unterauftragnehmern kommen aus dem Berufsrecht und müssen ausdrücklich drinstehen
2. Datenraum-Vereinbarung prüfen: Virtuelle Datenräume erlauben standardmäßig keine Weitergabe von Datenraum-Inhalten an Dritte, und ein KI-Anbieter ist ein Dritter. Das muss explizit vereinbart werden, und zwar vor dem Upload, nicht danach
3. Verarbeitungsort klären, § 43e Abs. 4 BRAO: Frag nach der Region, in der verarbeitet wird, und lass sie dir vertraglich zusichern. Kira nennt Europa als wählbare Datenresidenz, Harvey nennt EU- und Schweiz-Verarbeitung als Option, Luminance nennt öffentlich Cambridge im Vereinigten Königreich. Verlass dich bei keinem der drei auf die Marketingseite, sondern auf den Vertrag
4. Anonymisierung des Prototyp-Tests: Beim ersten Test des Systems mit echten Dokumenten sollten nicht die sensitivsten Transaktionsdaten genutzt werden, erst Testdokumente, dann schrittweise Hochlauf

Was es kostet, realistisch gerechnet

Einmalige Einrichtungskosten

• Tool-Onboarding und Konfiguration: vom Anbieter abhängig, bei allen drei Enterprise-Tools Teil der Vertragsverhandlung und nicht öffentlich bepreist
• Berufsrechtliche Vorarbeit: Dienstleistervertrag nach § 43e Abs. 3 BRAO, Verarbeitungsort nach Abs. 4, Einwilligungsklausel nach Abs. 5, Freigabe durch die Datenraumvereinbarung
• Prüfkatalog-Entwicklung für häufigste Transaktionstypen: 3 bis 5 Tage intern
• Erste Transaktion als “Learning Run”: zusätzlicher Aufwand, rechne mit einem Aufschlag statt mit einer Ersparnis

Laufende Kosten

• Luminance , Kira Systems und Harvey AI : kein öffentliches Tarifmodell, alle drei ausschließlich auf Anfrage. Frühere Fassungen dieser Seite nannten hier Beträge je Transaktion und je Monat, für die es keine belegbare Quelle gibt. Erwarte eine Jahreslizenz, keinen Transaktionspreis, und verhandle die Laufzeit gegen deine tatsächliche Transaktionsfrequenz
• Claude -Eigenansatz: Pro 20 US-Dollar im Monat je Person, bei API-Batchverarbeitung zusätzlich Token-Verbrauch nach Volumen

ROI-Rechnung (Struktur, nicht Ergebnis) Die Rechnung selbst ist einfach, nur die Eingangsgröße musst du liefern. Beispiel: Team von 4 Anwälten, 4 Wochen, zusammen 600 Anwaltsstunden bei 280 Euro, macht 168.000 Euro für die Sichtung. Jeder Prozentpunkt Zeitersparnis ist damit 1.680 Euro wert. Bei 20 Prozent sind es 33.600 Euro, bei 40 Prozent 67.200 Euro.

Welcher Prozentsatz für dich gilt, sagt dir keine Anbieterbroschüre, und wir nennen hier bewusst keinen. Den Wert liefert der Retro-Test: eine abgeschlossene Transaktion, das Tool einmal darüber laufen lassen, Ergebnis gegen den echten DD-Report halten. Danach kennst du deine Zahl, und erst danach lohnt ein Preisgespräch.

Drei typische Einstiegsfehler

1. KI-DD-Report ohne tiefes Lesen der Hochrisiko-Dokumente absenden. Das KI-System priorisiert richtig, aber es priorisiert nach Mustern, nicht nach Transaktionslogik. Ein Change-of-Control-Trigger bei einem Lieferantenvertrag für Bürostühle ist technisch “hoch riskant”, praktisch irrelevant. Der Anwalt muss die KI-Priorisierung mit dem Deal-Kontext überlagern.

2. Zu spät beginnen. KI-DD braucht Einrichtungszeit vor der Transaktion. Wenn das Tool erst nach der NDA-Unterzeichnung konfiguriert wird, geht die heiße DD-Phase ohne KI-Unterstützung vorbei. Tools und Prüfkataloge sollten vor der Transaktion bereitstehen.

3. Nur Legal DD automatisieren, Financial und Tax vergessen. Der größte Wert entsteht, wenn Legal, Financial und Tax DD mit denselben KI-Tools auf denselben Datenraum zugreifen. Siloartige Implementierungen verlieren Querverbindungen zwischen Kategorien.

Was mit der Einführung wirklich passiert, und was nicht

KI-DD-Tools erzeugen in erfahrenen Teams eine nachvollziehbare Skepsis: “Ich habe 20 Jahre M&A-Erfahrung, ich finde Risiken besser als ein Algorithmus.” Das ist für komplexe Bewertungsentscheidungen richtig. Es ist falsch für das Durchkämmen von 5.000 Dokumenten.

Was konkret hilft: Starte mit einer abgeschlossenen, nicht-vertraulichen Transaktion. Lasse das Tool retrospektiv über den Datenraum laufen. Vergleiche die KI-Ergebnisse mit dem echten DD-Report. Das zeigt konkret, was das Tool gefunden hätte, und was du vielleicht übersehen hast.

Realistischer Zeitplan mit Risikohinweisen

Häufige Einwände, und was dahintersteckt

„Datenraum-Daten sind zu vertraulich für KI-Tools.” Berechtigter Einwand, und er ist nicht mit einem Produktnamen erledigt. § 43e Abs. 4 BRAO verlangt bei Verarbeitung im Ausland einen dem Inland vergleichbaren Geheimnisschutz, und mindestens ein häufig genannter DD-Anbieter sichert eine EU-Region öffentlich nicht zu. Der Weg führt über eine vertraglich zugesicherte Verarbeitungsregion oder über eine lokale Installation, nicht über Vertrauen in die Produktseite. Die Alternative, manuelle Sichtung tausender Dokumente unter Zeitdruck, erzeugt dafür eigene Risiken, die ebenfalls Vertraulichkeits-Konsequenzen haben.

„Wir machen nur 1–2 Transaktionen pro Jahr, das lohnt sich nicht.” Kommt auf die Transaktionsgröße an. Bei einer 50-Millionen-Transaktion, bei der KI 60.000 Euro Anwaltsstunden einspart, lohnt sich auch ein Einrichtungsaufwand von 10.000 Euro. Rechne transaktionsbezogen, nicht auf Jahresbasis.

„Unser Mandant erwartet menschliche Prüfung, keine KI.” Der Mandant erwartet Vollständigkeit und Sorgfalt, KI hilft bei beidem. Wenn du transparent kommunizierst, dass KI die Dokumentensichtung beschleunigt und die juristische Bewertung durch erfahrene Anwälte erfolgt, ist das ein Vorteil, kein Nachteil.

Woran du merkst, dass das zu dir passt

• Du führst 2+ M&A-Transaktionen pro Jahr durch
• Datenräume mit 1.000+ Dokumenten sind Standard
• Du hattest schon einmal das Gefühl, einen riesigen Datenraum unter Zeitdruck nicht vollständig abgedeckt zu haben
• Das DD-Team kämpft regelmäßig mit Kapazitätsproblemen bei großen Transaktionen

Wer noch warten sollte:

• Kanzleien mit weniger als einer DD-Transaktion pro Jahr, der Einrichtungsaufwand ist nicht amortisierbar
• Teams ohne klaren DD-Prozess, KI beschleunigt einen Prozess, sie ersetzt keinen fehlenden
• Kanzleien, die für DD-Arbeit keine klaren Vertraulichkeitsregeln für externe Tools haben, bevor KI-Tools auf Mandantendaten zugreifen, müssen Datenschutzfragen intern geklärt sein

Das kannst du heute noch tun

Nimm die erste Seite eines Vertrags aus einem früheren Datenraum (nicht sensibel), lade ihn in Claude oder ChatGPT hoch, und nutze den Prompt unten für eine erste Risikoextraktion.

Quellen & Methodik

• § 43a Abs. 2 BRAO, Verschwiegenheit über alles, was dem Anwalt in Ausübung seines Berufs bekannt wird. Das erfasst auch, was er im Datenraum der Zielgesellschaft erfährt. Eine frühere Fassung dieser Seite behauptete das Gegenteil (gesetze-im-internet.de/brao/__43a.html, abgerufen am 18.09.2026).
• § 43e BRAO, Inanspruchnahme von Dienstleistungen: Vertrag in Textform mit Verschwiegenheitsverpflichtung und Belehrung über die strafrechtlichen Folgen (Abs. 3), vergleichbarer Geheimnisschutz bei Verarbeitung im Ausland (Abs. 4), Einwilligung des Mandanten bei Einzelmandatsbezug (Abs. 5) (gesetze-im-internet.de/brao/__43e.html, abgerufen am 18.09.2026).
• Anhang III Nr. 8 Buchst. a KI-Verordnung (EU) 2024/1689, Hochrisiko im Justizbereich nur für KI-Systeme, die von einer Justizbehörde oder in deren Auftrag eingesetzt werden. Eine DD in der Kanzlei fällt nicht darunter (artificialintelligenceact.eu/annex/3, abgerufen am 18.09.2026).
• Art. 4 KI-Verordnung (EU) 2024/1689, KI-Kompetenz des Personals, anwendbar seit 2. Februar 2025 (artificialintelligenceact.eu/article/4, abgerufen am 18.09.2026).
• Art. 28 und Art. 44 ff. DSGVO, Auftragsverarbeitung und Drittlandübermittlung bei DD-Daten. Notwendig, aber nicht ausreichend, siehe § 43e Abs. 3 BRAO.
• Produktangaben, Preise und Verarbeitungsorte: Stand unserer Toolseiten, siehe Luminance , Harvey AI , Kira Systems und Claude . Keiner der drei Legal-Tech-Anbieter nennt einen öffentlichen Listenpreis.
• Nicht belegbar und deshalb nicht auf dieser Seite: eine KPMG-Studie zu gescheiterten M&A-Transaktionen, ein Luminance-Whitepaper mit 500 DD-Projekten und 40 bis 65 Prozent Zeitersparnis, eine Bundeskartellamt-Statistik mit 2.500 Zusammenschlüssen und 300 DD-pflichtigen Transaktionen, Monats- oder Transaktionspreise für Luminance, Harvey und Kira, sowie eigene Transaktions-Pilotprojekte. Frühere Fassungen dieser Seite nannten alle fünf.
• Keine Rechtsberatung. Dieser Text ordnet Normen ein, er ersetzt keine Prüfung des Einzelfalls und keine Auskunft deiner Rechtsanwaltskammer.