Anwalt finden: Löse dein Rechtsproblem mit den besten Anwälten

LLMs in der Rechtsabteilung: Starke Unterstützung, kein Ersatz für den Legal Counsel

Ein Vertrag in Sekunden: Was vor wenigen Jahren nach Science-Fiction klang, ist heute Alltag. Ein Large Language Model (LLM) formuliert auf Zuruf eine Geheimhaltungsvereinbarung, einen Dienstleistungsvertrag oder eine Datenschutzerklärung – sprachlich sauber, gut gegliedert, scheinbar vollständig. Für kleine und mittlere Unternehmen mit schlanker oder gar keiner eigenen Rechtsabteilung liegt die Frage nahe: Brauchen wir dafür überhaupt noch einen Juristen? Meine Antwort ist eindeutig: Ja. LLMs sind ein hervorragendes Werkzeug, das Vorarbeit leistet und spürbar Zeit spart. Ein Rechtsdokument wird aber nicht dadurch rechtssicher, dass es schnell erstellt ist, sondern dadurch, dass jemand mit Erfahrung, Urteilskraft und Kenntnis des Unternehmens es geprüft, angepasst und verantwortet hat. Das bleibt die Aufgabe des Legal Counsel oder Rechtsanwalts – und daran ändert auch die nächste Generation von KI-Werkzeugen nichts Grundsätzliches. Was LLMs heute leisten – und warum man sie nutzen sollte Wer LLMs in der Rechtsarbeit grundsätzlich ablehnt, verschenkt Zeit. Gerade dort, wo viel Text in kurzer Zeit bewältigt werden muss, sind die Werkzeuge stark: • Erste Entwürfe von Verträgen, Klauseln, Schreiben und internen Hinweisen • Zusammenfassungen umfangreicher Verträge und Anlagen für die Geschäftsleitung • Abgleich eingehender Verträge mit den eigenen Standardpositionen • Extraktion von Kündigungsfristen, Laufzeiten und Haftungsgrenzen aus einem Vertragsbestand • Strukturierung von Sachverhalten und Vorbereitung von Recherchen Die Entwicklung geht dabei schnell voran. Microsoft hat zum Beispiel mit „Copilot for Legal“ mehrere rechtsspezifische Fähigkeiten (Skills) für Microsoft Copilot Kunden verfügbar gemacht. Über die Arbeitsumgebung Copilot Cowork lassen sich zudem mehrstufige Aufgaben delegieren, etwa der Abgleich von Verträgen mit einem Playbook oder die Nachverfolgung von Pflichten und Fristen über einen ganzen Vertragsbestand. Andere Anbieter gehen ähnliche Wege. Die Botschaft ist klar: LLMs werden zum festen Bestandteil der Rechtsarbeit. Gerade deshalb lohnt sich ein nüchterner Blick darauf, was diese Werkzeuge zu leisten im Stande sind – und was nicht. So wichtig wie der Einsatz von KI-Werkzeugen selbst ist das Verständnis dergleichen sowie das Wissen, was man von ihnen erwarten kann. Schnell ist nicht rechtssicher Ein LLM erzeugt Text, der nach einem guten Vertrag klingt. Ob er auch einer ist, kann das Modell selbst nicht beurteilen. Dafür gibt es mehrere Gründe. Plausibel ist nicht gleich richtig. Sprachmodelle berechnen, welche Formulierung wahrscheinlich passt – nicht, welche rechtlich zutrifft. Eine Untersuchung der Stanford University aus dem Jahr 2024 ergab, dass allgemeine Sprachmodelle bei juristischen Fragen in 58 bis 82 Prozent der Fälle fehlerhafte Angaben machten (AI on Trial: Legal Models Hallucinate in 1 out of 6 (or More) Benchmarking Queries | Stanford HAI). Selbst spezialisierte juristische Recherchetools lagen noch bei 17 bis 34 Prozent. Erfundene Urteile, veraltete Normen und Klauseln aus fremden Rechtsordnungen fallen nur auf, wenn jemand sie erkennt. Wirksamkeit ist kein Formulierungsproblem. Vorformulierte Vertragsbedingungen unterliegen auch im Geschäftsverkehr zwischen Unternehmen der AGB-Kontrolle nach §§ 305 ff. BGB. Eine Haftungsbegrenzung, die elegant klingt, kann nach § 307 BGB unwirksam sein – mit der Folge, dass das Unternehmen am Ende unbegrenzt haftet. Ob eine Klausel hält, hängt von Rechtsprechung, Branche und Einzelfall ab, nicht vom Wortlaut allein. Das Modell beantwortet nur die Fragen, die man ihm stellt. Die eigentliche Leistung eines erfahrenen Juristen liegt oft in den Fragen, die niemand gestellt hat: Was passiert, wenn der Lieferant insolvent wird? Wem gehören die Nutzungsrechte an der Software? Brauchen wir einen Auftragsverarbeitungsvertrag? Je besser die Fragen an das Modell, desto besser ist der Output. Insbesondere bei komplexen Fallgestalltungen stoßen selbst die besten LLMs sehr schnell an ihre Grenzen. Verantwortung lässt sich nicht delegieren. Ein LLM haftet nicht. Der Rechtsanwalt ist berufsrechtlich zur gewissenhaften Berufsausübung verpflichtet und trägt eine Berufshaftpflichtversicherung. Die Geschäftsführung muss mit der Sorgfalt eines ordentlichen Geschäftsmanns handeln. Wer einen ungeprüften KI-Entwurf unterschreibt, trägt das Risiko allein. Um fair zu sein: Für einfache Standardfälle kann ein LLM-Entwurf erstaunlich gut sein. Das Problem ist, dass man einem Entwurf nicht ansieht, ob er zu einem einfachen oder zu einem heiklen Fall gehört. Genau diese Einordnung erfordert eine anwaltliche Auseinandersetzung mit dem Fall. Was kein LLM ersetzt Erfahrung und persönliche Note. Ein erfahrener Anwalt hat gesehen, wie Verträge in der Praxis scheitern: welche Klausel im Streitfall trägt, welche nur auf dem Papier schützt, welche Formulierung beim Gegenüber Misstrauen weckt. Dieses Wissen steht in keinem Trainingsdatensatz, weil es aus konkreten Mandaten, Verhandlungen und Gerichtsverfahren stammt. Es prägt auch die persönliche Handschrift eines Dokuments – klar, angemessen im Ton und auf das Gegenüber zugeschnitten. Verhandlungsgeschick. Verträge werden nicht nur geschrieben, sondern verhandelt. Wann gibt man eine Position auf, um eine wichtigere zu sichern? Wie liest man die Signale der Gegenseite? Wann ist ein Telefonat besser als ein weiterer Redline-Durchgang? Wie bleibt die Geschäftsbeziehung intakt, während man hart in der Sache bleibt? Ein LLM kann Formulierungsalternativen vorschlagen. Es sitzt aber nicht am Tisch, baut kein Vertrauen auf und trägt keine Verantwortung für das Ergebnis. Kenntnis des Unternehmens. Kein LLM kennt das Unternehmen besser als sein Legal Counsel. Er weiß, welche Risiken die Geschäftsführung tragen will und welche nicht, welcher Kunde strategisch wichtig ist, welche Zusagen der Vertrieb bereits mündlich gemacht hat und wo es in der Vergangenheit Streit gab. Er kennt die ungeschriebenen Regeln, die Abhängigkeiten von Lieferanten und die Pläne für die nächsten Jahre. Dieses Wissen entscheidet darüber, ob ein Vertrag zum Unternehmen passt – und es lässt sich nur begrenzt in einen Prompt schreiben. Urteilskraft im Einzelfall. Recht ist Abwägung. Ob ein Risiko akzeptabel ist, hängt vom Geschäftswert, von der Beziehung zum Partner und von der Gesamtstrategie ab. Diese Entscheidung kann ein Werkzeug vorbereiten, aber nicht treffen. Playbooks und Skills: Technische Unterstützung, kein Ersatz Ein naheliegender Einwand lautet: Man kann einem LLM das Unternehmenswissen doch mitgeben. Mit Werkzeugen wie Copilot Cowork lassen sich ein Playbook mit den eigenen Verhandlungspositionen und ein Skill mit klaren Vorgaben hinterlegen. Das Modell prüft eingehende Verträge dann gegen diese Rahmenbedingungen und schlägt Änderungen vor. Das ist tatsächlich ein großer Fortschritt. Ein gutes Playbook leistet wichtige Vorarbeit, sorgt für einheitliche Standards und spart erheblich Zeit. Es bleibt jedoch aus den folgenden Gründen eine bloße technische Unterstützung: 1. Ein Playbook ist nur so gut wie der Jurist, der es geschrieben hat. Welche Positionen das Unternehmen vertritt, wo es nachgeben kann und wo nicht, muss jemand mit Sachverstand festlegen. Das Werkzeug setzt diese Entscheidungen um, es trifft sie nicht. 2. Ein Playbook bildet die Entscheidungen von gestern ab. Rechtsprechung, Gesetze und die Lage des Unternehmens ändern sich. Jemand muss das Playbook pflegen und erkennen, wann es nicht mehr passt oder nicht mehr aktuell ist. 3. Die entscheidenden Fälle sind die Abweichungen. Ein Playbook kann zeigen, dass eine Klausel vom Standard abweicht. Ob man die Abweichung akzeptiert, weil der Kunde strategisch wichtig ist, bleibt eine Abwägung im Einzelfall. Die richtige Arbeitsteilung Der größte Nutzen entsteht, wenn LLM und Legal Counsel bzw. Anwalt (Rechtsberater) jeweils das tun, was sie am besten können. Z.B. (i) liefert ein LLM in kurzer Zeit einen Rohentwurf. Der Rechtsberater passt ihn an die konkrete Fallgestaltung an, (ii) das LLM schlägt Formulierungsalternativen (selbst in verschiedenen Sprachen wie ein Muttersprachler), der Rechtsberater aber führt die Verhandlung, setzt Prioritäten und trifft Entscheidungen basierend auf persönlichen Erfahrungen, (iii) ein LLM recherchiert und gibt Orientierung, ein Rechtsberater aber muss die Fundstellen prüfen und eigene Schlussfolgerungen schließen. Damit der Einsatz auch rechtlich sauber bleibt, sollten Unternehmen einige Leitplanken beachten: • Nur freigegebene Unternehmenslizenzen nutzen (möglichst nur Premium Lizenzen um die Verarbeitung zu Trainingszwecken zu vermeiden), keine privaten Konten für Firmendaten • Datenschutz klären: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, Serverstandort, keine Nutzung der Eingaben zu Trainingszwecken • Geschäftsgeheimnisse schützen: Vertrauliche Verträge und Preise nur in geprüfte Umgebungen geben • Vier-Augen-Prinzip festschreiben: Kein KI-Ergebnis mit Rechtswirkung ohne Prüfung durch einen Rechtsberater • Mitarbeitende schulen: Die EU-KI-Verordnung verlangt, die KI-Kompetenz des Personals zu fördern (Art. 4) – AI Literacy • Eine kurze KI-Richtlinie einführen, die regelt, was erlaubt ist und was nicht, um die Integrität des Unternehmens und seiner Kunden zu schützen. Fazit: Das LLM schreibt, der Legal Counsel bzw. Rechtsanwalt macht es rechtssicher LLMs verändern die Rechtsarbeit in Unternehmen nachhaltig, und das ist gut so. Sie übernehmen Routine, liefern schnelle Entwürfe und schaffen Freiraum für die eigentliche juristische Arbeit. Ein Vertrag, der in Sekunden entsteht, ist aber nur ein Ausgangspunkt. Rechtssicher wird er erst durch Erfahrung, Verhandlungsgeschick und die genaue Kenntnis des Unternehmens. Diese Fähigkeiten bleiben beim Menschen – auch mit dem besten Playbook und dem ausgefeiltesten Skill. P.S.: Auch dieser Text wurde mit der Unterstützung eines LLMs erstellt.

Weiterlesen →

Untersuchung des Anwendungsbereichs der DSGVO über die EU hinaus

Implikationen für Verträge zwischen Nicht-EU-Unternehmen Als Mitglied der internen Rechtsabteilung einer internationalen Unternehmensgruppe hatte ich das Vergnügen, zahlreiche grenzüberschreitende Verträge mit Unternehmen innerhalb und außerhalb der EU auszuhandeln, insbesondere im Bereich von Softwareverträgen wie Software-as-a-Service (SaaS)-Vereinbarungen. Dieser Artikel analysiert die Anwendbarkeit der DSGVO in einer vertraglichen Beziehung zwischen US-Unternehmen. Die Frage, ob die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016, allgemein bekannt als Datenschutz-Grundverordnung (DSGVO), den Abschluss eines Auftragsverarbeitungsvertrags (AVV) gemäß Art. 28 Abs. 3 DSGVO zwischen zwei US-Unternehmen erforderlich macht, hat mein Interesse geweckt. Dies kam auf, als mehrere US-Unternehmen ein verstärktes Interesse am Abschluss von AVVs für den Bezug von Software von einem US-Softwareanbieter äußerten. Anfangs war meine Reaktion ablehnend – warum sollten sich zwei Nicht-EU-Unternehmen mit der DSGVO befassen? Die Antwort ist jedoch nicht so einfach. Typischerweise richten sich Anfragen auf den sachlichen Anwendungsbereich der DSGVO anstatt auf ihren räumlichen Anwendungsbereich, was oft übersehen wird, wenn es um zwei Nicht-EU-Unternehmen geht. Dieser Umstand unterstreicht die Notwendigkeit einer differenzierteren Analyse. Erlauben Sie mir, das folgende Szenario zu teilen: In einer Business-to-Business (B2B)-Beziehung verkauft ein US-Softwareanbieter Software (SaaS) an Softwarekunden in den USA. Ein AVV wird nur in einer Verantwortlicher-Auftragsverarbeiter-Beziehung relevant. Sowohl Verantwortliche als auch Auftragsverarbeiter haben ihre eigenen (unterschiedlichen) Verantwortlichkeiten. Art. 28 Abs. 3 DSGVO erfordert den Abschluss eines AVV nur zwischen einem Verantwortlichen und einem Auftragsverarbeiter. Im vorliegenden Fall agiert der SaaS-Kunde als unabhängiger Verantwortlicher, da er entscheidet, was mit den Daten geschehen soll, und den Softwareanbieter mit dem Hosting seiner Daten beauftragt. Der US-Softwareanbieter, ein SaaS-Dienstleister, ist in der Regel beides, sowohl Verantwortlicher als auch Auftragsverarbeiter. Nach Ansicht des Europäischen Datenschutzausschusses (EDSA) sind sie Verantwortliche in Situationen, in denen sie über die Zwecke und Mittel der Verarbeitung entscheiden (z. B. bei ihrer Website, Nutzerdatenbanken, Newsletter, Marketing, Zahlungsdaten usw.) und Auftragsverarbeiter, wenn sie auf Anweisung ihrer Kunden handeln (z. B. bei B2B-Aktivitäten, wenn sie personenbezogene Daten der Kunden ihrer Klienten verarbeiten). Letzteres trifft auf das beschriebene Szenario zu, in dem der Softwareanbieter zudem einen Dritten, einen sogenannten Unterauftragsverarbeiter, in der EU für die Erbringung seiner Hosting-Dienste einsetzt und somit die Daten innerhalb einer EU-Rechtsordnung verortet. Solche Kundendaten können (müssen aber nicht) personenbezogene Daten von betroffenen Personen aus der EU enthalten. Für die Zwecke des Anwendungsbereichs der DSGVO spielt es keine Rolle, ob solche Daten öffentlich zugänglich sind oder nicht. Alles, was für die Anwendbarkeit der DSGVO zählt, ist, dass personenbezogene Daten verarbeitet werden. Somit umfasst das beschriebene Szenario drei Parteien. Aus der Perspektive des internationalen Datentransfers ist die primäre Frage, ob ein Datenexporteur und ein Datenimporteur existieren und ob die DSGVO auf den Datenexporteur Anwendung findet – den EU-Rechenzentrumsanbieter. In diesem Zusammenhang qualifiziert sich der EU-Rechenzentrumsanbieter als Datenexporteur, der Daten an den in den USA ansässigen Softwareanbieter als Datenimporteur übermittelt. Folglich sind sowohl der sachliche Anwendungsbereich (Art. 2 DSGVO) als auch der räumliche Anwendungsbereich (Art. 3 DSGVO) der DSGVO erfüllt. Somit qualifiziert sich die Transaktion als internationaler Datentransfer, was angemessene Schutzmaßnahmen in Ermangelung eines Angemessenheitsbeschlusses für das Empfängerland, in diesem Fall die USA, erforderlich macht. Damit ein Datentransfer an ein US-Unternehmen als sicher gilt, muss der US-Softwareanbieter entweder nach dem Data Privacy Framework (DPF) zertifiziert sein oder es müssen EU-Standardvertragsklauseln (SCCs) abgeschlossen werden. Da sowohl der EU-Rechenzentrumsanbieter als auch der US-Softwareanbieter Auftragsverarbeiter sind, müssen die SCCs gemäß deren Modul 3 (Auftragsverarbeiter-zu-Auftragsverarbeiter-SCCs) abgeschlossen werden. Die ursprüngliche Frage betrifft jedoch die Beziehung zwischen dem US-Softwareanbieter und dem US-Softwarekunden. Wir wissen bereits, dass der Datentransfer zwischen den beiden in den sachlichen Anwendungsbereich der DSGVO fällt. In drei von vier Fällen ist jedoch der räumliche Anwendungsbereich der DSGVO nicht erfüllt – warum? Art. 3 Abs. 1 DSGVO findet keine Anwendung, da weder der Auftragsverarbeiter (US-Softwareanbieter) noch der Verantwortliche (US-Softwarekunde) über eine Niederlassung in der EU verfügt. Art. 3 Abs. 2 DSGVO erfordert eine genauere Betrachtung, da er die DSGVO auf die Verarbeitung personenbezogener Daten von betroffenen Personen anwendet, die sich in der Union befinden, selbst wenn der Verantwortliche oder Auftragsverarbeiter nicht in der EU niedergelassen ist. Der räumliche Anwendungsbereich von Buchstabe (b) des Art. 3 Abs. 2 DSGVO wäre erfüllt, wenn das Ziel des SaaS-Geschäfts darin bestünde, das Verhalten von betroffenen Personen in der EU zu beobachten. Dies würde beispielsweise für eine von einem US-Unternehmen in der EU installierte Videoüberwachungskamera zutreffen. Im vorliegenden Fall betrachten wir jedoch Software, die lediglich Daten in der EU hostet. Daher ist die entscheidende Frage, ob der in den USA ansässige Softwarekunde als unabhängiger Verantwortlicher in den Anwendungsbereich der DSGVO fällt. Gemäß Art. 3 Abs. 1 Buchstabe a DSGVO wäre dies der Fall, wenn "die Verarbeitung im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen, unabhängig davon, ob eine Zahlung der betroffenen Person erforderlich ist, an solche betroffenen Personen in der Union steht." Im Wesentlichen unterläge der US-Softwarekunde nur dann dem räumlichen Anwendungsbereich der DSGVO, wenn er Dienstleistungen für Einzelpersonen anbietet, die ihren Wohnsitz in der EU haben. Wenn die angebotenen Softwaredienstleistungen nicht für Einzelpersonen mit Wohnsitz in der EU bestimmt sind, fällt nichts davon in den Anwendungsbereich der DSGVO, und es besteht keine Notwendigkeit, einen AVV zwischen dem US-Softwareanbieter und seinen US-Kunden abzuschließen. Umgekehrt, wenn die Dienstleistungen des Anbieters spezifisch für Einzelpersonen mit Wohnsitz in der EU angeboten werden, wird der räumliche Anwendungsbereich der DSGVO ausgelöst, was den US-Softwareanbieter dazu verpflichtet, einen AVV mit seinen US-basierten Kunden abzuschließen. Fazit Während die DSGVO auf die Daten von Einzelpersonen in der EU beschränkt sein mag, ist sie nicht auf europäische Unternehmen beschränkt. Nicht-EU-Unternehmen müssen ebenso wie in Europa ansässige Organisationen in Übereinstimmung mit der DSGVO handeln, sofern sie in den Anwendungsbereich von Art. 3 Abs. 2 DSGVO fallen. Zusammenfassend ist es sehr ratsam, jedes in Art. 3 DSGVO skizzierte Szenario bezüglich des räumlichen Anwendungsbereichs sorgfältig zu bewerten, bevor DSGVO-Verpflichtungen bei Transaktionen mit Nicht-EU-Unternehmen ausgeschlossen werden. Eine solche Sorgfalt stellt die umfassende Einhaltung des regulatorischen Rahmens der DSGVO sicher. Falls ein Nicht-EU-Unternehmen zu dem Schluss kommt, dass die DSGVO gemäß Art. 3 Abs. 2 DSGVO anwendbar ist, sollte die Bestellung eines EU-Vertreters gemäß Art. 27 DSGVO in Betracht gezogen werden. Dieser Abschnitt der DSGVO besagt, dass Nicht-EU-Unternehmen, die Waren oder Dienstleistungen für Einzelpersonen in der EU anbieten und/oder das Verhalten von Einzelpersonen in der EU beobachten, einen EU-Vertreter benennen müssen, der in ihrem Namen handelt.

Weiterlesen →

Was tun bei Trennung und Scheidung? Die wichtigsten ersten Schritte

Eine Trennung ist eine der schützendsten Lebenssituationen. Doch neben dem emotionalen Stress gibt es viele rechtliche Fragen, die schnell beantwortet werden müssen. Als erstes sollten Sie die Kontoverbindungen prüfen und ggf. ein eigenes Konto eröffnen. Dokumentieren Sie gemeinsames Vermögen. Suchen Sie frühzeitig anwaltliche Beratung, insbesondere wenn Kinder betroffen sind.

Weiterlesen →

Testament selbst verfassen oder doch zum Anwalt?

Ein handschriftliches Testament ist in Deutschland grundsätzlich gültig. Es muss vollständig handgeschrieben und unterschrieben sein. Dennoch raten wir zu anwaltlicher Begleitung, um Formfehler und spätere Streitigkeiten zu vermeiden.

Weiterlesen →