KI-gestützte Vertragsanalyse und Compliance-Prüfung sind im Bankensektor zunehmend produktiv einsetzbar: Finanzinstitute verarbeiten täglich hunderte Vertragswerke, von Kreditverträgen über Rahmenvereinbarungen bis hin zu DPA-Dokumentationen. Legal-AI-Plattformen helfen dabei, Risiken schneller zu erkennen, Standardabweichungen zu flaggen und Dokumentationsanforderungen systematisch abzubilden – ohne Ersatz für juristische Beurteilung zu sein.
Warum der Bankensektor besondere Anforderungen stellt
Banken in Deutschland arbeiten unter einem Regulierungsrahmen, der sich von anderen Branchen qualitativ unterscheidet. Die Aufsicht durch BaFin und Deutsche Bundesbank umfasst nicht nur Eigenkapital- und Liquiditätsvorgaben, sondern auch detaillierte Anforderungen an das Risikomanagement. Nach § 25a Abs. 1 KWG muss ein Institut über eine ordnungsgemäße Geschäftsorganisation mit einem angemessenen und wirksamen Risikomanagement verfügen; die BaFin konkretisiert das in den MaRisk. Seit 17. Januar 2025 gilt zudem die Verordnung (EU) 2022/2554 (DORA): Finanzunternehmen müssen das IKT-Drittparteienrisiko als integralen Bestandteil ihres IKT-Risikomanagements steuern und ein Informationsregister über alle Verträge mit IKT-Drittdienstleistern führen (Art. 28 DORA). Für Auslagerungen außerhalb des DORA-Anwendungsbereichs gelten § 25b KWG und MaRisk AT 9.
Hinzu kommt die Datenschutz-Grundverordnung (DSGVO). Für Kundendaten wie Kontoinformationen oder Bonitätsdaten gilt zudem das Bankgeheimnis, das in Deutschland nicht in einem eigenen Gesetz geregelt ist, sondern aus dem Vertragsverhältnis mit den Kundinnen und Kunden folgt. Bonitätsbewertungen können außerdem unter Art. 22 DSGVO fallen, wenn eine Entscheidung ausschließlich auf einer automatisierten Verarbeitung einschließlich Profiling beruht. KI-Systeme zur Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen gelten nach Anhang III Nr. 5 lit. b der KI-Verordnung (EU) 2024/1689 als hochriskant; die entsprechenden Pflichten gelten nach der Verordnung (EU) 2026/1744 ab 2. Dezember 2027. Externe Dienstleister, die personenbezogene Daten im Auftrag verarbeiten, sind über einen Vertrag nach Art. 28 DSGVO zu binden.
Das Volumen der betroffenen Dokumente ist dabei beträchtlich. Eine mittelgroße Universalbank in Deutschland unterhält typischerweise Hunderte aktiver Lieferanten- und Dienstleisterverträge, dazu Rahmenvereinbarungen mit institutionellen Gegenparteien, ISDA Master Agreements, Factoring-Verträge und eine wachsende Zahl von Cloud- und SaaS-Verträgen mit Drittanbietern.
Der Alltag im Bank-Legal-Team: Engpässe und Fehlerquellen
Wer in einem Legal-Team einer deutschen Bank arbeitet, kennt das Muster: Ein neuer SaaS-Vertrag liegt auf dem Tisch. Der Anbieter hat seinen eigenen Standardvertrag geschickt. Die Datenschutzklauseln sind nach US-Recht formuliert, die Haftungsregeln fehlen oder sind gekappt, und es fehlen Auftragsverarbeitungsklauseln nach Art. 28 DSGVO.
Das Reviewing-Team muss prüfen, ob die Klauseln mit dem internen Vendor-Management-Playbook übereinstimmen, welche Risiken für die Bank bestehen, und ob der Vertrag die Mindestinhalte für Verträge mit IKT-Drittdienstleistern nach Art. 30 DORA erfüllt. Bei einem einzigen Vertrag ist das handhabbar. Bei zwanzig gleichzeitig aktiven Vendor-Reviews kippt das System – nicht weil die Juristinnen und Juristen schlecht sind, sondern weil die Arbeit repetitiv und zeitintensiv ist.
Genau hier setzen Legal-AI-Werkzeuge an.
Vertragsprüfung mit KI: Was konkret möglich ist
Eine KI-gestützte Vertragsanalyse kann bei Banken-Verträgen verschiedene Prüfungsschritte übernehmen oder beschleunigen.
Risiko- und Schwachstellenanalyse in einzelnen Verträgen
Mit einem Risiko-Review-Workflow lassen sich in einem einzelnen Vertrag Risiken und Red Flags identifizieren, nach Parteiperspektive zuordnen und nach Schweregrad (niedrig / mittel / hoch) priorisieren. Für einen Vendor-Vertrag einer deutschen Privatbank könnte das bedeuten: eine unangemessen niedrige Haftungsbegrenzung des Anbieters flaggen, fehlende Datenschutzklauseln markieren, einseitige Kündigungsrechte des Anbieters hervorheben – und pro Finding direkt eine Formulierungsoption als Verbesserungsvorschlag liefern.
Die Vorschläge lassen sich dabei direkt im Word-Dokument übernehmen, korrekt formatiert, ohne manuelle Copy-Paste-Schritte. Das AI-gestützte Vertragsreview von CASUS arbeitet so.
Abgleich gegen interne Playbooks
Banken in Deutschland haben in der Regel gut ausgearbeitete interne Playbooks für Standardvertragstypen – besonders für Auslagerungsverträge, DPA-Dokumentationen und ISDA-nahe Rahmenvereinbarungen. Der Benchmark-Workflow prüft ein eingereichertes Dokument automatisch gegen einen solchen Standard und zeigt, ob Schlüsselklauseln fehlen, unvollständig sind oder abweichen. Das Ergebnis ist ein Prozentsatz der Übereinstimmung plus eine strukturierte Liste von Lücken.
Fehlt etwa eine Klausel zur Datenlöschung nach Vertragsende – ein häufiger Befund bei SaaS-Verträgen aus dem angloamerikanischen Raum – wird das sofort sichtbar, mit einer Empfehlung zur Klauseleinfügung an der richtigen Stelle.
Parallele Analyse großer Dokumentenmengen
Bei M&A-Transaktionen, Due-Diligence-Prozessen oder regulatorischen Reviews (z. B. Überprüfung aller Cloud-Verträge nach den Anforderungen von Art. 30 DORA) geht es nicht um einzelne Dokumente, sondern um Mengen. Der AI Data Room erlaubt den Upload von Dutzenden oder Hunderten von Dokumenten. Die Nutzerinnen und Nutzer definieren selbst, welche Informationen extrahiert werden sollen – Haftungscaps, Kündigungsfristen, Datenschutzklauseln, SLA-Regelungen – und erhalten eine tabellarische Übersicht, die sich direkt in Excel weiterverarbeiten lässt.
Auffälligkeiten – etwa Haftung ohne Cap oder Kündigungsfristen über zwölf Monate – werden flagged und nach Risiko priorisiert. Das ersetzt keine juristische Bewertung, schafft aber eine strukturierte Grundlage, auf der das Legal-Team seine Kapazitäten gezielt einsetzen kann.
Datenschutz und Datenresidenz: Kritische Fragen für Banken
Ein praktisches Problem bei KI-Tools in der Finanzbranche ist die Datensicherheit. Viele internationale Legal-AI-Anbieter verarbeiten Dokumente auf US-amerikanischen Servern. Für Banken in Deutschland ist das heikel: Sobald Kundendaten betroffen sind, greifen das Bankgeheimnis und die DSGVO. Übermittlungen in die USA sind nur unter den Voraussetzungen der Art. 44 ff. DSGVO zulässig, etwa an Unternehmen, die nach dem EU-US Data Privacy Framework zertifiziert sind (Durchführungsbeschluss (EU) 2023/1795). Zudem verlangt DORA, dass Verträge mit IKT-Drittdienstleistern die Regionen oder Länder festlegen, in denen Daten verarbeitet und gespeichert werden (Art. 30 Abs. 2 lit. b DORA). Bei US-gehosteten Tools muss die Bank Drittstaatentransfer, Behördenzugriff und Speicherdauer deshalb selbst prüfen und vertraglich absichern.
CASUS geht weiter: Hosting ausschließlich in der Schweiz und der EU, keine Übermittlung in die USA, auch nicht über Subunternehmer, kein Human Review und kein Zugriff Dritter auf Inhalte. Dank Zero Data Retention werden Inhalte nach der Session nicht gespeichert und nie zum Training verwendet. Damit entfällt die Prüfung von Datenübermittlungen in die USA. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (Entscheidung 2000/518/EG), der nach Art. 45 Abs. 9 DSGVO fortgilt; Übermittlungen in die Schweiz bedürfen daher nach Art. 45 Abs. 1 DSGVO keiner besonderen Genehmigung. Für Banken ist das kein Nebenpunkt: Die Standorte der Datenverarbeitung gehören nach Art. 30 Abs. 2 lit. b DORA in jeden Vertrag mit einem IKT-Drittdienstleister, und bei CASUS sind sie eindeutig: die Schweiz und die EU. Mehr zu den technischen Sicherheitsmaßnahmen findet sich unter /security.
Was KI in diesem Kontext nicht kann
Es gibt einen wichtigen Vorbehalt: Keine Legal-AI-Plattform ersetzt die juristische Beurteilung des Einzelfalls. KI kann Muster erkennen, Abweichungen flaggen und Formulierungsoptionen vorschlagen – aber ob eine Haftungsklausel in einem konkreten Kontext rechtlich haltbar ist, ob ein Vertrag mit einem IKT-Dienstleister die Anforderungen von DORA tatsächlich erfüllt, oder wie ein strittiger Begriff in einem ISDA Master Agreement nach dem gewählten, meist englischen oder New Yorker Recht auszulegen wäre, bleibt eine juristische Aufgabe.
Legal-Research-Funktionen – etwa die quellenbasierte Suche in über 620.000 Rechtsdokumenten für Deutschland, über 1,58 Mio. Rechtsdokumenten für Österreich sowie über 1 Mio. Entscheiden und über 21.000 Gesetzen für die Schweiz über die Legal-Research-Funktion – können strukturierte Ersteinschätzungen liefern und Argumentationslinien aufzeigen. Sie sind aber ausdrücklich als Unterstützung und nicht als abschließende Rechtsauskunft gedacht.
Für Schweizer Recht recherchierst du mit CASUS auch Open-Access-Kommentare aus Onlinekommentar und Unternehmensinformationen aus ZEFIX, dem zentralen Firmenindex der Schweiz. Zur aktuellen Quellenübersicht.
Wer Legal-AI-Tools in einem regulierten Umfeld einsetzt, sollte das intern klar kommunizieren und entsprechende Governance-Regeln definieren: welche Analyseschritte durch KI unterstützt werden dürfen, welche einer manuellen Überprüfung bedürfen, und wie KI-generierte Outputs dokumentiert werden.
Praktischer Einstieg: So könnte ein Bank-Legal-Team beginnen
Legal-Teams in Banken, die erstmals mit KI-Unterstützung arbeiten wollen, profitieren von einem strukturierten Einstieg. Ein sinnvoller erster Schritt ist oft die Standardisierung eines häufigen Vertragstyps – zum Beispiel SaaS-Verträge oder Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Das interne Playbook dient als Referenz, und neue Verträge werden automatisch dagegen geprüft.
Nach einer Einarbeitungsphase lässt sich der Scope ausweiten: auf Vendor-Verträge, auf Kreditdokumentationen, auf die Due-Diligence-Analyse bei Akquisitionen. Der Aufwand pro Dokument sinkt, während die Konsistenz der Prüfung steigt.
Wer diesen Ansatz ausprobieren möchte, kann CASUS kostenlos testen. Die Plattform bietet einen strukturierten Einstieg ohne langfristige Bindung – direkt über die Registrierungsseite zugänglich.
FAQ
Ist KI-gestützte Vertragsprüfung in deutschen Banken regulatorisch zulässig?
Es gibt keine aufsichtsrechtliche Regelung, die Legal-AI-Tools verbietet. Der Einsatz ist Teil der ordnungsgemäßen Geschäftsorganisation nach § 25a KWG; für Verträge mit IKT-Drittdienstleistern gelten Art. 28 bis 30 DORA, für personenbezogene Daten die DSGVO. Die BaFin hat dazu im Dezember 2025 eine Orientierungshilfe zu IKT-Risiken beim Einsatz von KI in Finanzunternehmen veröffentlicht. Nach Art. 4 der KI-Verordnung (EU) 2024/1689 müssen Betreiber von KI-Systemen seit 2. Februar 2025 zudem Maßnahmen ergreifen, damit ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt; Vertragsprüfung zählt nicht zu den Hochrisiko-Anwendungen nach Anhang III. Entscheidend sind Fragen wie Datenresidenz, Zugriffsrechte und Dokumentation des Tool-Einsatzes.
Welche Vertragstypen eignen sich besonders für KI-Analyse?
Repetitive, strukturell ähnliche Verträge profitieren am meisten: SaaS-Verträge, Auftragsverarbeitungsverträge, Vendor-Agreements, Rahmenvereinbarungen. Komplexe, individuelle Vertragswerke wie ISDA-Dokumentationen können ebenfalls analysiert werden, erfordern aber zwingend juristische Nachbearbeitung.
Wie wird sichergestellt, dass vertrauliche Bankdaten nicht in externe Systeme fließen?
Das hängt vom gewählten Anbieter ab. Anbieter mit Hosting in der Schweiz oder EU, ohne US-Datentransfer und ohne Datenspeicherung nach Session-Ende (Zero Data Retention) bieten die stärkste Basis für den Einsatz in regulierten Umgebungen.
Kann KI einen DORA-konformen Vertrag mit einem IKT-Dienstleister automatisch erstellen?
Nein. KI kann bestehende Verträge analysieren, Lücken gegenüber einem Referenzstandard flaggen und Formulierungsoptionen vorschlagen. Die juristische Verantwortung für die Endversion liegt beim Legal-Team.
Wie viele Dokumente lassen sich gleichzeitig analysieren?
Das hängt vom Workflow ab. Für Einzelverträge ist der Aufwand gering. Für größere Dokumentenmengen – etwa bei einer Due-Diligence oder einer Überprüfung des Vendor-Portfolios anhand der DORA-Anforderungen – erlaubt ein Data-Room-Workflow den gleichzeitigen Upload von Dutzenden oder Hunderten von Dokumenten mit tabellarischer Ausgabe.
Ist die KI-Analyse für Kreditverträge geeignet?
Kreditverträge sind rechtlich komplex und regulatorisch geprägt. KI kann bei der Strukturanalyse, beim Identifizieren fehlender Klauseln und beim Prüfen gegen interne Standards helfen. Die inhaltliche Beurteilung der Kreditkonditionen und regulatorischen Anforderungen bleibt juristische und fachliche Aufgabe.
Welche internen Governance-Anforderungen gelten für den KI-Einsatz?
Es empfiehlt sich, intern zu definieren: welche Analyseschritte KI-unterstützt sein dürfen, wer Ergebnisse freigibt, wie KI-Outputs dokumentiert werden, und wie Fehler oder Halluzinationen behandelt werden. Für regulierte Institute sind diese Fragen Teil des allgemeinen Risikomanagements; für den IKT-Bezug hat die BaFin ihre Erwartungen in der Orientierungshilfe zu IKT-Risiken beim Einsatz von KI vom Dezember 2025 beschrieben.
Wie unterscheidet sich CASUS von generischen KI-Assistenten wie ChatGPT?
CASUS ist auf juristische Dokumentenarbeit spezialisiert, nutzt eine kuratierte Rechtsprechungsdatenbank mit über 620.000 Rechtsdokumenten für Deutschland, über 1,58 Mio. Rechtsdokumenten für Österreich sowie über 1 Mio. Entscheiden und über 21.000 Gesetzen für die Schweiz, hostet in der Schweiz und der EU ohne US-Datentransfer, und gibt strukturierte, nachvollziehbare Outputs statt allgemeiner Antworten. Das unterscheidet es von allgemeinen Sprachmodellen ohne juristischen Fokus.
