Due Diligence & Datenraumprüfung

Bei einer Übernahme, Finanzierung oder größeren Beschaffung muss ein Deal-Team einen ganzen virtuellen Datenraum (VDR) unter extremem Zeitdruck lesen und zu Risiken, Preisanpassungen und Vertragsbedingungen verdichten. Die KI klassifiziert die Dokumente, extrahiert Klauseln und Fakten in ein Prüfraster mit Zitaten und entwirft den ersten Red-Flag-Bericht; Juristen und Deal-Verantwortliche prüfen jede Feststellung und entscheiden über die Wesentlichkeit. Der Gewinn liegt vor allem im ersten Lesen, Klassifizieren und Extrahieren, nicht im Urteil.

Problem & Nutzen

• Heute: Associates und Paralegals öffnen Dokument um Dokument, füllen Tabellen (Change of Control, Abtretung, Kündigung, Exklusivität, Haftungsobergrenzen, Eigentum an geistigem Eigentum, Rechtsstreitigkeiten, Arbeitsvertragsbedingungen) und schreiben einen Bericht gegen eine Frist von Tagen bis Wochen. Die Qualität schwankt mit der Ermüdung; spät eintreffende Dokumente erzwingen Nacharbeit. Verkäuferseitige Teams müssen den Datenraum außerdem vorbereiten, indexieren und schwärzen.
• KI-Nutzen: automatische Indexierung und Zuordnung zu Arbeitsbereichen, Massenextraktion von Klauseln über den gesamten Vertragsbestand, einheitliche Anwendung des Käufer-Playbooks, Fragen in natürlicher Sprache mit Zitaten, Lückenerkennung gegenüber der Anforderungsliste und schnelleres Entwerfen des Berichts.
• Belegte Zahlen (Anbieter/Marketing, nicht unabhängig): Ein Webstudio, das Individuallösungen verkauft, schätzt für einen Datenraum mit 500 Verträgen 455 Stunden manuell gegenüber 216 Stunden mit KI plus juristischer Prüfung (rund 53 % weniger), mit großen Einsparungen beim Sortieren (25 h auf 4 h) und bei der Klauselextraktion (250 h auf 90 h), aber nur geringen Einsparungen bei der Analyse wesentlicher Risiken (80 h auf 70 h) und beim Entwerfen des Berichts (40 h auf 32 h); dieselbe Quelle behauptet einen Recall von über 90 % bei Standardklauseln in sauberen digitalen Dokumenten und 10–20 Punkte weniger bei schlechten Scans [3]. Harvey gibt an, dass Prüfungen, die zwei bis drei Wochen dauerten, oft auf Tage verkürzt werden können, ohne Genauigkeitsdaten zu veröffentlichen [1]. Behandeln Sie all dies als Hypothesen, die an Ihren eigenen Deal-Dokumenten zu testen sind.

Varianten

• Käuferseitige M&A / Private Equity: vollständige Arbeitsbereiche für Recht, Geschäft, Finanzen, Steuern, Personal, IP, IT/Datenschutz und ESG; Red-Flag-Bericht.
• Verkäuferseitig (Vendor Due Diligence): Strukturierung und Indexierung des Datenraums, Konsistenzprüfungen, Schwärzung personenbezogener und wettbewerblich sensibler Daten (DOC-018), Vorwegnahme von Käuferfragen.
• Finanzierungs-, Kreditgeber- und Investorenprüfung: Sicherheitenpakete, Covenants, Jahresabschlüsse (DOC-012).
• Immobilienprüfung: Mietverträge, Grundbuchauszüge, Genehmigungen, Umweltgutachten.
• Lieferanten- und Partnerprüfung: Dokumentation zu Sicherheit, Compliance und finanzieller Gesundheit (siehe AGENT-018).
• Portfolio und Integration nach der Fusion: dieselbe Extraktion, angewandt auf alle übernommenen Verträge (DOC-009).
• Technische/IP-Prüfung bei Software-Zielunternehmen: Prüfung von Lizenz- und Open-Source-Pflichten.
• KMU-Nachfolge und kleine Übernahmen (Unternehmensnachfolge): eine schlanke Version mit einigen Dutzend Dokumenten mit einem Assistenten plus fester Checkliste.
• Private Nutzung: kein realistischer Anwendungsfall; am nächsten liegen Dokumentenprüfungen beim Hauskauf, die von Assistenten im Stil von PERS besser bedient werden.

So funktioniert es

1. Datenraum-Export / API (Ordner, PDFs, Scans, Office, E-Mail)
2. Dokumentenverarbeitung + OCR + Layout (Tabellen, Unterschriften, Nachträge)
3. Entdoppelung & Versionsgruppierung
4. Klassifikation nach Arbeitsbereich und Dokumentart (SPA, Mietvertrag, Arbeitsvertrag, Lizenz, Darlehen, ...)
5. strukturierte Extraktion je Art gegen Schema/Playbook (Parteien, Laufzeit, Change of Control, Obergrenzen, ...)
6. dokumentübergreifendes Schlussfolgern (Nachtragsketten, widersprüchliche Bedingungen, fehlende Anlagen, Lücken zur Anforderungsliste)
7. Prüfraster mit seitengenauen Zitaten + RAG/Chat über den Datenraum
8. menschliche Prüfung: Juristen bestätigen, ändern die Einstufung oder verwerfen jede markierte Ausnahme
9. Red-Flag-Bericht + Verhandlungspunkte + Rückfragen an den Verkäufer

• Extraktion: schemagebundene LLM- oder VLM-Extraktion je Dokumentart; jedes Feld speichert Zitat und Seite, damit Prüfende in Sekunden verifizieren können.
• Dokumentübergreifende Logik: Reasoning-Modelle lösen Nachtragshierarchien auf („Nachtrag 2 ersetzt Klausel 14.3“) und vergleichen mit einem Playbook.
• Chat über den Datenraum: Hybrid-Retrieval (Embeddings + Stichwort + Reranker) mit verpflichtenden Zitaten.
• Mensch-in-der-Schleife (Human-in-the-Loop): Jede Feststellung, die in den Bericht eingeht, wird von einer namentlich benannten prüfenden Person bestätigt; Wesentlichkeit, Preiswirkung und rechtliche Schlussfolgerungen bleiben menschliche Entscheidungen. Ein Prüfnachweis (wer hat welche Ausnahme geprüft) ist gute Praxis [1].

Datenaufbereitung

Datenrauminhalte kommen vom Verkäufer als Export eines virtuellen Datenraums: Verträge, Gesellschaftsunterlagen, Jahresabschlüsse, Personal-, IP-, Immobilien- und Prozessakten, als PDFs, Scans, Office-Dateien und E-Mails, in einer vom Verkäufer gewählten Ordnerstruktur. Typische Lücken: Scans ohne Text, Duplikate über Ordner hinweg, passwortgeschützte oder beschädigte Dateien, uneinheitliche Benennung, fehlende Dokumente gegenüber der Anforderungsliste, gemischte Sprachen und personenbezogene Daten von Beschäftigten.

Aufbereitungsschritte: (1) den Datenraum vollständig mit Index exportieren und eine Audit-Kopie aufbewahren (PREP-005); (2) entdoppeln und Scans per OCR erfassen (PREP-006, PREP-007); (3) Anforderungsliste und Themenliste des Käufers auf Arbeitsbereiche und Dokumentarten abbilden (PREP-019); (4) das Red-Flag-Playbook schreiben: welche Klauseln und Schwellenwerte als kritisch gelten (PREP-016); (5) Personal- und personenbezogene Daten pseudonymisieren oder beschränken, wo die Prüfung keine Namen braucht (PREP-022); (6) einen kleinen Test mit 30 Dokumenten mit bekannten Antworten durchführen (PREP-018). Verwandt: DOC-009, DOC-018.

Grober Anteil: 25 bis 35 Prozent des Aufwands, überwiegend Bereinigen und Klassifizieren; dies wiederholt sich bei jedem neuen Deal, daher ist das Playbook der wiederverwendbare Teil.

Umsetzungswege

Welcher Weg für wen

• KMU: Weg A, weil Due Diligence ein gelegentliches Projekt ist und Massenprüfungsplattformen (oder die Werkzeuge der Berater) ausgereift sind und pro Projekt verkauft werden.
• Großunternehmen: Weg B, weil eine wiederkehrende M&A- oder Beschaffungsfunktion von Prüfrastern, Playbooks und Integration in den Deal-Workflow profitiert.
• Entwickler: Weg C, weil Datenräume hochvertrauliches Material enthalten und ein quelloffener Stack für Dokumentenverarbeitung und Retrieval isoliert laufen kann.

Weg A — Kaufen (Standardsoftware)

Empfohlen für die meisten KMU und Berater. - Legal-KI-Plattformen mit Massen-/Tabellenprüfung: Harvey (Vault, Massenextraktion mit quellenverlinkten Prüftabellen) [1], Legora (schwedisch; tabellarische Prüfung und Agent; nennt SOC 2 Type II, ISO 27001, ISO 42001, kein Training mit Kundendaten) [5], Luminance (Großbritannien; Contract-Intelligence-Plattform, Angaben zu ISO 27001 und SOC 2 Type II) [6], dazu Kira (Litera), DiliTrust (Frankreich), Libra und weitere europäische Legal-Tech-Werkzeuge. Prüfen Sie bei jedem die Option eines Datenstandorts in der EU. - Anbieter virtueller Datenräume mit integrierter KI: Datasite, Intralinks, Ansarada (Ask AiDA Fragen und Antworten mit Zitaten, AI-Sort, AI-Redact; ISO 27001, SOC 2 laut Anbieter), iDeals, DealRoom, ShareVault, Firmex [2]. Anbietervergleiche sind meist selbst veröffentlicht; führen Sie einen eigenen Vergleichstest durch. - Wählen Sie A, wenn: Deals nur gelegentlich vorkommen, das Team klein ist und die Gegenseite des Käufers den VDR bereits vorgibt. Prüfen Sie: EU-Hosting, Unterauftragsverarbeiter, Klausel zum Ausschluss von Training, Trennung auf Mandatsebene, Aufbewahrung von Protokollen, Löschbestätigung [3].

Weg B — Auf Cloud-KI-Diensten aufbauen

• Modelle: Spitzen-LLMs mit langem Kontext und strukturierten Ausgaben (Claude, Gemini, GPT) in EU-Regionen über Azure OpenAI, Google Vertex AI, AWS Bedrock; oder EU-Anbieter wie Mistral (Mistral Large 3, Medium und OCR-Modelle – prüfen Sie die aktuelle Lebenszyklusseite, ältere Versionen werden regelmäßig abgekündigt) [7].
• Pipeline: Verarbeitung mit Docling, Azure Document Intelligence oder Mistral OCR; Klassifikation mit einem kleinen Modell; Extraktion mit schemagebundenen Prompts je Dokumentart; Ergebnisse in Postgres speichern; Prüfoberfläche bauen (Raster + PDF-Viewer mit Hervorhebung); Orchestrierung mit n8n oder einem Python-Dienst.
• Wählen Sie B, wenn: Sie ein eigenes Playbook oder eine eigene Methodik haben, viele Deals pro Jahr, DMS-Integration (iManage, NetDocuments) oder sich von Anbietern abheben müssen. Eine Eigenentwicklung kostet nur bei höherem Volumen einen Bruchteil laufender SaaS-Gebühren [3].

Weg C — Selbst betreiben (Open Source)

• Dokumentenverarbeitung: Docling (MIT, Eingabe PDF/Office/E-Mail/Bild, läuft vollständig lokal, MCP- und REST-Server) [4], MinerU, PaddleOCR.
• Modelle: Open-Weight-LLMs wie Qwen3 (Apache 2.0, bis 235B-A22B; Versionen 2507 mit 256K Kontext) [8] und Mistral Small 4 / Large 3 (Apache 2.0) [7], bereitgestellt mit vLLM; Embeddings wie BGE-M3 oder multilingual E5 mit einem Reranker; Qdrant, pgvector oder OpenSearch für das Retrieval.
• Warum selbst betreiben: streng geheime Deals, börsennotierte Zielunternehmen mit Insiderinformationen, strenge Mandantengeheimnisse oder Datenräume ohne Netzanbindung.
• Hardware: HW3 (eine GPU mit 48–141 GB) für Modelle mit 30–120B; HW4 für die größten offenen Modelle und parallelen Durchsatz bei großen Datenräumen. Der Betriebsaufwand ist erheblich (Evaluation, Updates, Pflege von Prompts und Raster).

Weg D — Eigenes Training

Meist nicht nötig. Das Feintuning eines kleinen Modells oder Klassifikators ist sinnvoll bei einem Portfolio mit hohem Volumen (Tausende Miet-/Darlehensverträge einer Familie) oder für eine Nischensprache/-rechtsordnung. Trainingsdaten: einige hundert bis einige tausend annotierte Dokumente je Art – die Prüfraster abgeschlossener Deals sind mit Zustimmung der Mandanten und Vertraulichkeitsfreigabe die natürliche Quelle. Zuerst gegen reine Prompt-Baselines evaluieren.

Stand der Technik (2026)

• Agentische Massenprüfung hat sich von Klauselfindern (Klassifikatoren im Kira-Stil) zu LLM-Systemen entwickelt, die ganze Dokumente lesen, Prüftabellen mit Zitaten füllen und Fragen über den gesamten Datenraum beantworten; viele Anbieter bieten inzwischen auch MCP-Zugriff auf den Dokumentenindex [2].
• Playbook-gesteuerte Prüfung: Die Standardpositionen der Kanzlei werden als Checklisten kodiert; die KI meldet Abweichungen. Das funktioniert am besten bei wiederkehrenden, standardisierten Klauselfamilien.
• Langkontext- und Reasoning-Modelle helfen bei Nachtragsketten und Widersprüchen, doch der Recall sinkt bei Scanqualität, Handschrift, exotischen Formaten und nicht-englischen oder mehrsprachigen Dokumenten.
• Die Evidenzbasis ist dünn: Veröffentlichte Zahlen sind überwiegend Anbieter- oder Beratungsbehauptungen [1][3]; unabhängige Legal-KI-Benchmarks decken Aufgaben wie Extraktion und Zusammenfassung ab, aber keine vollständigen Deals. Führen Sie einen Pilot an einem abgeschlossenen früheren Deal durch („Replay-Test“) und messen Sie den Recall bekannter Probleme.
• Fehlerbilder: übersehene Probleme (falsch negative Ergebnisse sind der teure Fehler), halluzinierte Klauseln, falsche Zuordnung von Partei oder Datum, Fehllesen von „es sei denn“ und Ausnahmen, Ignorieren eines fehlenden Dokuments, in hochgeladenen Dokumenten versteckte Prompt Injection und übermäßiges Vertrauen von Berufseinsteigern.

Gemeinsame Bausteine & Kombinationen

• Gleicher Stack (ocr-docparse + llm-general + vector-db): DOC-009 Vertragsanalyse & Klauselextraktion (die Kern-Engine; DOC-011 ergänzt Workflow, dokumentübergreifende Logik, Bericht), DOC-010 Vertragsprüfung & Redlining (Verhandlungs-Nachbereitung), DOC-014 Dokumentenverarbeitung für RAG, DOC-012 Analyse von Jahresabschlüssen (Finanz-Arbeitsbereich), DOC-016 regelbasierte Compliance-Prüfungen, DOC-018 Anonymisierung/Schwärzung (verkäuferseitig und DSGVO-Minimierung).
• Retrieval-Schicht: KNOW-002 (RAG über Dokumente), KNOW-013 (Wissensgraph aus Parteien, Tochtergesellschaften und Vertragsverknüpfungen), KNOW-006 (Rechtsrecherche zu den festgestellten Problemen).
• Nachgelagert: AGENT-018 (laufende Kontrollüberwachung nach dem Closing).
• Hardware: Ein vLLM-Server (HW3) mit Embedding- und Rerank-Modellen kann DOC-009, DOC-010 und DOC-011 gemeinsam bedienen; PDF-Viewer und Oberfläche des Prüfrasters sind übergreifend wiederverwendbar.

Aufwand, Kosten & Kennzahlen

• Weg A: Tage bis Wochen bis zur Einführung; SaaS-Preise typischerweise pro Nutzerplatz und Monat oder pro Mandat. Eine Webstudio-Quelle nennt 100–300 EUR pro Nutzer und Monat bei 12 Monaten Mindestlaufzeit; mit Angeboten verifizieren, Anbieterpreise sind oft nicht öffentlich [3].
• Weg B: grob 2–4 Monate für ein produktives Werkzeug mit Prüfoberfläche und DMS-Integration; Kosten sind Entwicklung plus API-Kosten pro Token.
• Weg C: 3–6 Monate inkl. Evaluation; GPU-Server und eine ML/DevOps-Verantwortung in Teilzeit.
• Kennzahlen: Recall/Precision der Red Flags gegenüber einem Referenzsatz aus früheren Deals; Zeit bis zum ersten Raster-Entwurf; Prüferstunden je 100 Dokumente; Anteil der KI-Feststellungen, die bestätigt, korrigiert oder verworfen werden; Anzahl spät gefundener Probleme; Zitiergenauigkeit; Kosten je Deal.

Menschen & Veränderung

Binden Sie die Deal-Leitung oder die Geschäftsleitung ein, die Leitungen der Arbeitsbereiche Recht und Finanzen, die Juristen oder Analysten, die die Prüfung durchführen, die IT-Sicherheit (Datenräume sind hochvertraulich), die oder den Datenschutzbeauftragten sowie Recht/Compliance. Lieferanten im weiteren Sinn, nämlich Verkäufer und deren Berater, legen die Datenraumregeln fest; prüfen Sie daher vor dem Hochladen, ob die KI-Verarbeitung nach NDA und Datenraumbedingungen erlaubt ist.

Betriebsrat: im typischen Fall nein, weil das Werkzeug Dokumente analysiert, nicht Beschäftigte, und ein kleines Deal-Team nicht systematisch überwacht wird. Relevant wird es, wenn das Werkzeug die Leistung einzelner Prüfender protokolliert oder wenn Personalakten des Zielunternehmens für die eigene Belegschaft analysiert werden; dann greifen § 87 Abs. 1 Nr. 6 und § 90 Abs. 1 Nr. 3 BetrVG. Eine DSFA ist ratsam, weil Personal- und personenbezogene Daten im Umfang liegen; ein AVV (Art. 28 DSGVO) ist mit dem Anbieter zwingend, idealerweise mit EU-Hosting und ohne Training mit Kundendaten.

KI-Kompetenz: Unterstützen Sie das Team mit Schulungen zur Zitatprüfung und zum Risiko übersehener Dokumente (Art. 4 KI-Verordnung). Pilot mit einem früheren, abgeschlossenen Deal und Vergleich mit den menschlichen Feststellungen. Typische Sorge: übersehene Red Flags; begegnen Sie ihr mit quellenverlinkten Prüfrastern, Stichprobenprüfungen durch Seniors und einer klaren Regel, dass Juristen den Bericht freigeben. Siehe GUIDE-005, GUIDE-009, GUIDE-013.

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): typischerweise minimales Risiko – M&A-Prüfung ist kein Anwendungsfall nach Anhang III [9]. Hochriskant wird sie nur bei Anwendung auf die Auswahl von Beschäftigten oder Entscheidungen über Arbeitsbedingungen (Anhang III Nr. 4) oder die Kreditwürdigkeitsprüfung natürlicher Personen. Die KI-Kompetenz (Art. 4) gilt. Die Transparenz nach Art. 50 gilt für chatbot-artige Interaktion und KI-generierte öffentliche Texte, selten für die interne Nutzung [10].
• DSGVO: Datenräume enthalten Daten von Beschäftigten, Kunden und Organmitgliedern. Wenden Sie Datenminimierung an (gestufte Offenlegung, Schwärzung, „Clean Team“), einen Auftragsverarbeitungsvertrag mit dem KI-Anbieter (Art. 28), eine Rechtsgrundlage (berechtigtes Interesse, Art. 6 Abs. 1 lit. f), eine DSFA für Personaldaten und einen Transfermechanismus bei Anbietern außerhalb der EU [3].
• Berufsgeheimnis: Rechtsanwälte (§ 43a BRAO in Deutschland) und Wirtschaftsprüfer müssen sicherstellen, dass Dienstleister zur Vertraulichkeit verpflichtet sind; eine Einwilligung des Mandanten kann nötig sein; manche PE-Fonds und Verkäufer schreiben KI-Nutzungsklauseln vor oder verbieten das Hochladen des Datenraums in KI-Dienste Dritter [3].
• Wettbewerbsrecht: Gun-Jumping und Austausch wettbewerblich sensibler Informationen; KI-Zusammenfassungen müssen die Clean-Team-Regeln beachten.
• Insiderinformationen: Börsennotierte Zielunternehmen unterliegen der MAR; Zugriff beschränken und Protokolle führen.
• Haftung: Die unterzeichnende Juristin oder der unterzeichnende Jurist bleibt verantwortlich; legen Sie die KI-Nutzung gegenüber dem Mandanten offen und dokumentieren Sie die Prüfung.
• Sicherheit: Prompt Injection über Dokumente, Mandantentrennung, kein Training mit Kundendaten, Löschung bei Mandatsabschluss.
• Gegenmaßnahmen: Playbook-basierte Prüfungen plus Stichproben von „unauffälligen“ Dokumenten (zur Schätzung falsch negativer Ergebnisse), Oberfläche mit Zitat an erster Stelle, Vier-Augen-Prüfung bei Themen mit hohem Schweregrad.

Erste Schritte

1. Wählen Sie einen abgeschlossenen früheren Deal und seine bekannten Red Flags; nutzen Sie ihn als Replay-Testsatz und Baseline (Stunden, Recall).
2. Definieren Sie mit den Partnern die Arbeitsbereiche, Dokumentarten und das Playbook (Klauseln, Schwellenwerte, Schweregrad).
3. Lassen Sie 2–3 Werkzeuge aus Weg A (oder einen Prototyp aus Docling + LLM) auf den Replay-Daten laufen; messen Sie Recall und Zeit je Dokument.
4. Klären Sie die Vertraulichkeit: EU-Hosting, Klausel zum Ausschluss von Training, Unterauftragsverarbeiter, Zustimmung des Mandanten, AVV, Löschbestätigung.
5. Pilotieren Sie bei einem laufenden Deal mit verpflichtender Zitatprüfung und einem dokumentierten Prüfschritt; verfeinern Sie dann das Raster.

Quellen

1. Harvey — Data room due diligence — https://www.harvey.ai/blog/data-room-due-diligence
2. Ansarada — Best AI data rooms for due diligence 2026 (vendor marketing; compares Intralinks, iDeals, DealRoom, ShareVault) — https://www.ansarada.com/article/best-ai-data-rooms-due-diligence-2026
3. Kolonell — AI due diligence data room review: cost 2026 (web-studio estimates, not independent) — https://kolonell.com/en/blog/ai-due-diligence-data-room-review-cost-2026
4. Docling project — https://github.com/docling-project/docling
5. Legora — https://www.legora.com/
6. Luminance — https://www.luminance.com/
7. Mistral AI — Models overview — https://docs.mistral.ai/getting-started/models/models_overview/
8. Qwen3 — https://github.com/QwenLM/Qwen3
9. EU AI Act — Annex III high-risk systems — https://artificialintelligenceact.eu/annex/3/
10. EU AI Act — Article 50 transparency obligations — https://artificialintelligenceact.eu/article/50/