Legal Workflow Software für die Rechtsabteilung: Was du vor dem Kauf klärst

Legal Workflow Software hält wiederkehrende Abläufe der Rechtsabteilung einmal fest und führt sie danach nach denselben Vorgaben aus: den Kundenvertrag aus dem Vertrieb, den Lieferantenvertrag aus dem Einkauf, die kurze Rückfrage aus einer Fachabteilung. Beim Kauf zählt deshalb weniger, wie viele Schritte ein Produkt automatisiert. Entscheidend ist, wie verlässlich es eure Vorgaben anwendet und was mit den Fällen geschieht, die nicht ins Schema passen. Welche Abläufe sich überhaupt eignen, zeigen unsere sieben Beispiele aus der Rechtsabteilung.

Workflow-Automatisierung und agentische Legal AI

Unter dem Begriff Legal Workflow Software finden sich heute zwei Arten von Produkten. Klassische Workflow-Automatisierung folgt festen Regeln: Ein Formular geht an eine bestimmte Stelle, eine Datei landet in einem Ordner, ein Vertrag über einem bestimmten Wert löst eine Freigabe aus. Solche Regeln können Inhalte auswerten, und manche Workflows rufen dafür auch ein KI-Modell auf. Der Ablauf selbst bleibt aber vorgegeben. Agentische Legal AI bearbeitet dagegen mehrstufige Aufgaben abhängig vom einzelnen Fall. Sie prüft einen Vertrag nach dem Playbook, nutzt dafür Vorlagen, den Vertragsbestand oder Rechtsquellen und wählt innerhalb festgelegter Grenzen den nächsten Schritt: eine Redline, eine Rückfrage oder die Übergabe an eine Juristin oder einen Juristen.

Für die Auswahl ist dieser Unterschied zentral. Im ersten Fall kaufst du vor allem Logistik, im zweiten einen Teil der juristischen Arbeit. Wie gut diese Arbeit ist, sollte sich vor dem Kauf zeigen.

Zehn Fragen an jeden Anbieter von Legal Workflow Software

Eine Demo zeigt ein Produkt in einer vorbereiteten Umgebung. Wie es mit euren Verträgen und euren Daten umgeht, siehst du dort nur, wenn du gezielt danach fragst. Deshalb gehört zu jeder Frage ein Nachweis: ein Testergebnis, ein Dokument, ein Protokoll oder eine Vorführung in eurer eigenen Umgebung. Folien und Websitetexte reichen dafür nicht. Die ersten drei Fragen gelten der Qualität der juristischen Arbeit, die Fragen 4 bis 6 dem Datenschutz und der Sicherheit, die Fragen 7 bis 9 der Kontrolle im Alltag und die letzte der Integration.

1. Wie weist der Anbieter nach, dass das System eure Vorgaben zuverlässig anwendet? Ein Mustervertrag in der Demo sagt darüber wenig. Aussagekräftig ist erst ein Test mit euren eigenen Verträgen und eurem Playbook. Nachweis: Testergebnisse für eine repräsentative Auswahl eurer Verträge, mit festgelegten Prüfkriterien, einer Auswertung je Anforderung und einer Fehleranalyse.
2. Was geschieht mit unklaren Ergebnissen und Ausnahmen? Jedes System trifft auf Klauseln, die das Playbook nicht vorsieht. Wichtig ist, dass es diese Fälle sichtbar macht, statt sie stillschweigend einer Position zuzuordnen. Nachweis: ein Grenzfall aus eurem Bestand, den das System live prüft. Sichtbar wird dabei, an welcher Stelle es den Fall an eine Person übergibt.
3. Was erledigt das System selbst, und wo entscheidet ein Mensch? Ihr legt fest, welche Fälle das System nach eurem Standard abschliessen darf und ab welcher Schwelle eine Juristin oder ein Jurist entscheidet. Das Produkt muss diese Grenze abbilden können. Nachweis: Freigabeschritte, die in einem Testzugang nach euren Schwellen eingerichtet sind.
4. Wo werden unsere Daten verarbeitet, und wer ist beteiligt? Gemeint ist jeder Ort, an dem eure Daten liegen oder bearbeitet werden: Speicherung, Verarbeitung im Sprachmodell, Backups und Support-Zugriffe. Hinter vielen Produkten stehen zudem ein Cloud-Anbieter und ein Modellanbieter, die unter Umständen eure Verträge zu sehen bekommen. Nachweis: die Standorte im Vertrag oder im Auftragsverarbeitungsvertrag (AVV), dazu eine aktuelle Liste der Subprozessoren mit Sitz und Zweck und die Regel, wie ihr über Änderungen informiert werdet.
5. Wird mit unseren Daten ein Modell trainiert? Die Antwort muss für den Anbieter gelten und ebenso für jeden Modellanbieter dahinter. Nachweis: eine Vertragsklausel, die das Training mit euren Inhalten ausschliesst. Ein Satz in den FAQ genügt nicht.
6. Wer genau ist nach ISO 27001 zertifiziert? Manchmal gehört das Zertifikat nur dem Rechenzentrum und nicht dem Anbieter selbst. Nachweis: das Zertifikat mit Geltungsbereich und Ablaufdatum.
7. Was wird protokolliert, und welche Fassung galt? Zu jedem abgeschlossenen Ablauf solltest du sehen, wer ihn gestartet hat, welche Vorgabe galt, was das System vorgeschlagen hat und wer das Ergebnis übernommen hat. Ändert jemand eine Rückfallposition, muss trotzdem klar bleiben, welche Fassung für einen Vertrag aus dem letzten Quartal galt. Nachweis: das Protokoll eines echten Ablaufs, direkt in der Demo geöffnet, und der Versionsverlauf eines Playbooks mit Datum und Person zu jeder Änderung.
8. Wer darf was? Wer einen Ablauf baut, ist selten dieselbe Person, die ihn später ändert, startet oder das Ergebnis freigibt. Ohne Rollen bleibt jede Vorgabe ein Vorschlag. Nachweis: das Rollenmodell, vorgeführt mit zwei Testkonten.
9. Wie kommen wir wieder heraus? Playbooks, Abläufe und Protokolle sind euer Wissen, und dieses Wissen muss das Produkt überdauern. Nachweis: ein Export in einem offenen Format und eine Regel im Vertrag, was nach Vertragsende mit euren Daten geschieht.
10. Wie passt das Produkt zu Word, Outlook, SharePoint und eurer Lösung für Contract Lifecycle Management (CLM)? Jurist:innen arbeiten in Word und im Postfach. Ein Werkzeug, für das sie beides verlassen müssen, wird im Alltag leicht umgangen. Nachweis: die Integration live in eurer Umgebung oder in einem Testzugang.

Die Fragen 4 bis 10 kannst du direkt an IT, Informationssicherheit und Einkauf weitergeben. Die Antworten auf die ersten drei kann nur die Rechtsabteilung selbst beurteilen, denn nur sie kennt ihre Vorgaben und weiss, wo ein Fehler teuer wird. Kann ein Anbieter für eine Frage keinen Nachweis liefern, ist auch das eine Antwort.

Kanzlei oder Rechtsabteilung: unterschiedliche Schwerpunkte

Viele Produkte, die als Legal Workflow Software auftreten, wurden zuerst für Kanzleien gebaut. Die Grenze ist allerdings nicht starr. Auch Rechtsabteilungen nutzen Matter Management, und auch Kanzleien arbeiten mit Playbooks und Workflows. Unterschiedlich ist der Schwerpunkt, also der Fall, für den ein Produkt in erster Linie gedacht ist.

• Ausgangspunkt: In der Kanzlei hängt die Arbeit meist an Akte und Mandat. In der Rechtsabteilung beginnt sie oft mit einer Anfrage aus dem Vertrieb oder dem Einkauf.
• Zeit: Kanzlei-Software stellt Stundenerfassung und Honorarnoten ins Zentrum. Eine Rechtsabteilung stellt keine Rechnungen. Sie muss zeigen, wie schnell sie arbeitet und wofür sie ihre Kapazität einsetzt.
• Steuerung: Mandatsaufnahme und Kollisionsprüfung sind für Kanzleien Pflicht. Im Unternehmen zählen dagegen Playbooks, Freigaben und klare Schwellen, ab denen eine Juristin oder ein Jurist entscheidet.

Für die Auswahl heisst das: Prüfe in der Demo, ob dein häufigster Ablauf ohne Umweg abgebildet ist, zum Beispiel die Prüfung des Lieferantenvertrags aus dem Einkauf. Wie die Startseite des Produkts aussieht, sagt darüber wenig.

Wann Copilot und Power Automate reichen

In vielen Unternehmen sind Microsoft 365 Copilot und Power Automate längst lizenziert. Da liegt die Frage nahe, wozu es noch ein weiteres Werkzeug braucht. Die Antwort hängt vom Ablauf ab, nicht vom Produkt.

Oft genügt, was schon da ist. Copilot hilft Jurist:innen, einen Vertrag zusammenzufassen, eine Klausel umzuformulieren oder eine E-Mail vorzubereiten. Power Automate leitet Formulare weiter, legt Dateien in SharePoint ab und verschickt Freigabeanfragen, auf Wunsch auch in mehreren Stufen. Flows, die in einer Lösung verwaltet werden, haben einen Versionsverlauf, und die Ausführungen der letzten 28 Tage lassen sich im Verlauf nachverfolgen. Technisch lässt sich damit viel abbilden.

Der Unterschied liegt an anderer Stelle. Eine Workflow-Engine leitet Vorgänge weiter, eine juristische Entscheidungslogik bringt sie aber nicht mit. Playbook, Prüfkriterien, Qualitätskontrolle und die Schwellen für menschliche Entscheidungen müsst ihr selbst bauen, testen und pflegen. Entscheidend ist deshalb nicht, ob Microsoft das kann, sondern was euch dieser Aufbau im Vergleich zu einer spezialisierten Lösung kostet. In vier Situationen wird der Eigenbau aufwendig:

• Mehrere Personen sollen gleich prüfen. Ein guter Prompt bleibt bei der Person, die ihn geschrieben hat. Arbeiten fünf Jurist:innen mit fünf Fassungen, gelten am Ende fünf Massstäbe.
• Der Massstab ist ein Playbook. Standardpositionen, Rückfallpositionen und rote Linien sollen bei jeder Prüfung gleich angewendet werden, und wie gut das gelingt, soll messbar sein.
• Du musst später zeigen, welche Vorgabe galt. Den Ausführungsverlauf liefert Power Automate. Welche Playbook-Position auf welche Klausel angewendet wurde, müsst ihr selbst erfassen.
• Jemand muss den Eigenbau pflegen. Ein Flow in Power Automate gehört meist der IT. Ändert sich das Playbook, braucht die Rechtsabteilung jemanden, der den Flow anpasst und neu testet.

Trifft keiner dieser Punkte zu, reicht, was ihr schon habt. Treffen zwei oder mehr zu, gehört der Vergleich in den Business Case. Ob ihr grundsätzlich selbst bauen oder kaufen solltet, beschreibt unser Beitrag zu Software für die Rechtsabteilung.

Aufwand und Business Case

Zur Lizenz kommt eure Arbeitszeit: Ihr legt die Vorgaben fest, testet den Ablauf und pflegt beides laufend. Dieser Aufwand fällt beim Eigenbau ebenso an wie bei einer spezialisierten Lösung.

Wer richtet ein? Rechne mit drei Rollen. Fachlich verantwortet den Ablauf eine Juristin, ein Jurist oder jemand aus Legal Operations (Legal Ops). Die IT kümmert sich um Anmeldung, Berechtigungen und Integration. Datenschutz und Informationssicherheit prüfen AVV und Subprozessoren. Ohne fachliche Verantwortung fehlt dem Projekt die Person, die über die Vorgaben entscheidet.

Wer pflegt Playbook und Ablauf? Ein Playbook altert mit jeder Verhandlung, jeder neuen Rechtslage und jedem Sonderfall. Legt deshalb fest, wer Änderungen vornimmt, wer sie freigibt und wie oft ihr das Playbook überprüft. Dasselbe gilt für jeden Ablauf, der darauf aufbaut.

Was misst du vorher und nachher? Ein Business Case überzeugt nur, wenn du den Ausgangswert kennst. Miss deshalb schon vor dem Start, und zwar mit denselben Definitionen wie danach:

• die Durchlaufzeit pro Vertragsart, etwa vom Eingang eines Lieferantenvertrags bis zur Rückgabe an den Einkauf
• den Anteil der Verträge, die Jurist:innen von Grund auf prüfen müssen
• den Anteil der Vorschläge, die Jurist:innen unverändert übernehmen
• die Abweichungen zwischen zwei Prüfer:innen beim selben Vertragstyp
• die Arbeit, die heute an externe Kanzleien geht

Eingesparte Stunden senken die Personalkosten nicht von selbst. Greifbarer sind kürzere Durchlaufzeiten bei umsatznahen Verträgen, weniger externe Kosten und ein Massstab, den alle gleich anwenden. Ein Posten gehört zudem in jeden Business Case, unabhängig vom Produkt: die Pflichten, die der Einsatz von KI mit sich bringt.

Was der EU AI Act von dir als Betreiber verlangt

Der EU AI Act unterscheidet zwei Rollen. Anbieter entwickeln ein KI-System und bringen es auf den Markt, Betreiber setzen es in eigener Verantwortung ein (Art. 3 Nr. 3 und Nr. 4 KI-Verordnung). Kauft deine Rechtsabteilung Legal Workflow Software ein, ist dein Unternehmen also Betreiber. Daraus ergeben sich zwei Gruppen von Pflichten.

KI-Kompetenz betrifft jedes KI-System. Nach Art. 4 ergreifen Betreiber Massnahmen, um die Entwicklung der KI-Kompetenz ihrer Mitarbeitenden und anderer Personen zu unterstützen, die in ihrem Auftrag mit KI-Systemen arbeiten. Die Pflicht besteht seit dem 2. Februar 2025 (Art. 113 lit. a). Seit der Änderung durch die Verordnung (EU) 2026/1744 müssen Betreiber nicht mehr nach besten Kräften sicherstellen, dass ihr Personal über ein ausreichendes Mass an KI-Kompetenz verfügt. Halte deshalb fest, wer welche Schulung erhalten hat und welche Regeln für den Einsatz gelten. Der übliche Ort dafür ist eine KI-Richtlinie.

Die Betreiberpflichten aus Art. 26 gelten nur für Hochrisiko-Systeme. Welche Systeme dazugehören, regelt Art. 6 zusammen mit Anhang III. Dort stehen etwa Beschäftigung und Personalmanagement (Anhang III Nr. 4) und Rechtspflege und demokratische Prozesse (Nr. 8). Die Vertragsprüfung in einer Rechtsabteilung steht nicht auf dieser Liste. Ein Ablauf, der über Bewerbungen oder Kündigungen mitentscheidet, kann aber darunter fallen. Frag deshalb jeden Anbieter, wie er sein Produkt einstuft, und lass dir die Einschätzung mit der Gebrauchsanweisung schriftlich geben. Sie ist ein wichtiges Prüfmittel. Massgeblich bleiben aber die gesetzlichen Kriterien und die Art, wie ihr das System tatsächlich einsetzt.

Die Verordnung (EU) 2026/1744 hat den Termin verschoben: Für Hochrisiko-Systeme nach Anhang III gelten die Pflichten ab dem 2. Dezember 2027. Betreiber müssen dann unter anderem:

• das System gemäss Gebrauchsanweisung verwenden (Art. 26 Abs. 1)
• die menschliche Aufsicht Personen übertragen, die die nötige Kompetenz, Ausbildung und Befugnis haben (Art. 26 Abs. 2)
• für relevante und hinreichend repräsentative Eingabedaten sorgen, soweit sie diese kontrollieren (Art. 26 Abs. 4)
• den Betrieb überwachen und Risiken oder schwerwiegende Vorfälle dem Anbieter melden (Art. 26 Abs. 5)
• automatisch erzeugte Protokolle, soweit sie ihrer Kontrolle unterliegen, mindestens sechs Monate aufbewahren, sofern andere Vorschriften nichts anderes bestimmen (Art. 26 Abs. 6)
• Arbeitnehmervertretungen und betroffene Mitarbeitende vor dem Einsatz informieren (Art. 26 Abs. 7)

Menschliche Aufsicht ist geteilte Arbeit. Der Anbieter muss ein Hochrisiko-System so gestalten, dass Menschen es wirksam beaufsichtigen können (Art. 14). Du als Betreiber benennst die Personen, die das tun. Für die Auswahl heisst das: Ein Produkt ohne Freigabeschritte, Protokolle und Rollen macht dir diese Aufgabe schwer, auch wenn es formal nicht als hochriskant gilt.

Schweizer Unternehmen kann die Verordnung auf mehreren Wegen erfassen. Ein Anknüpfungspunkt ist, dass die Ergebnisse eines KI-Systems in der EU verwendet werden (Art. 2 Abs. 1 lit. c). Ein anderer ist eine Gesellschaft in der EU, die das System selbst einsetzt (Art. 2 Abs. 1 lit. b). Prüfe deshalb den Einzelfall. Wie ein Governance-Modell aussieht, das diesen Pflichten standhält, zeigt unser Beitrag Wenn Legal AI handelt: Was Rechtsabteilungen nachweisen müssen.

Quellen: Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 2, 3, 4, 6, 14, 26, 113 und Anhang III, geändert durch Verordnung (EU) 2026/1744.

So sieht ein kontrollierter Ablauf bei Legartis aus

Anbieterbeispiel: Hier zeigen wir an unserem eigenen Produkt, wie ein Ablauf mit Kontrollen aussieht, und nennen, was wir öffentlich belegen können.

Im agentischen Legal AI Workspace von Legartis heissen wiederkehrende Abläufe Frequent Actions. Sie gehören zum Legal Agent. Du beschreibst ihm in eigenen Worten, welche Aufgabe regelmässig anfällt. Daraus erstellt er die passenden Prompts und speichert sie als Frequent Action. Diese kannst du mit deinem Team oder dem ganzen Unternehmen teilen.

Ein Beispiel ist der Lieferantenvertrag aus dem Einkauf. Eine Frequent Action kann ihn nach eurem Playbook prüfen, die Redlines erstellen, der zuständigen Person eine Aufgabe mit Frist zuweisen und die E-Mail an die Gegenpartei entwerfen. Kontrolliert wird dieser Ablauf an mehreren Stellen:

• Vorgaben: Jede Frequent Action folgt einer Anweisung, die du einsehen und anpassen kannst. Sie arbeitet nach euren Playbooks, Guidelines und Vorlagen und nutzt eure Rechtsquellen.
• Entscheidung durch Menschen: Das Ergebnis bleibt ein Vorschlag, den die zuständige Person prüft.
• Qualität: Die KI-Qualität ist mess- und steuerbar. Dafür gibt es ein mehrschichtiges Qualitätssystem, das du siehst und steuerst.
• Nachvollziehbarkeit: Legartis führt einen vollständigen Audit-Trail.
• Gleicher Massstab für alle: Deine eigenen Frequent Actions siehst nur du, bis du sie teilst. Geteilte Frequent Actions stehen allen Kolleg:innen im Unternehmen zur Verfügung und arbeiten für alle nach denselben Vorgaben.
• Arbeitsumgebung: Frequent Actions stehen auch im Word-Add-in zur Verfügung. Mit Plans & Flows starten sie nach Zeitplan oder bei einem festgelegten Auslöser.

Die Fragen 4 bis 6 können wir öffentlich beantworten: Legartis verarbeitet die Daten in der Schweiz und in der EU, DSGVO-konform, und trainiert mit Kundendaten kein Modell. Legartis selbst ist nach ISO 27001 zertifiziert, nicht nur das Rechenzentrum.

Für alles Weitere gilt dasselbe wie bei jedem anderen Anbieter: Verlange die Nachweise auch von uns, vom Test mit euren eigenen Verträgen über Subprozessoren, Versionierung, Rollenrechte und Export bis zur Einstufung nach dem EU AI Act. Wie die Frequent Actions im Alltag arbeiten, zeigt die Seite Legal Workflow Automation.

Demo buchen: Bring einen Ablauf und einige typische Verträge mit, und geh die zehn Fragen mit unserem Team durch.