▶ Eine Kernfrage des Business an Unternehmensjuristen ist die Frage nach dem Risiko: Sollen wir einen Prozess führen? Können wir die Marketingkampagne so umsetzen oder fällt sie uns auf die Füße? Wirkt sich die Klausel im Vertrag für uns negativ aus? Für eine realistische Risikobewertung werden zwei Dinge betrachtet: Wie wahrscheinlich ein Ereignis ist und wie groß der mögliche Schaden wäre. „Das funktioniert in manchen Rechtsbereichen besser als in anderen“, sagt Gunnar Skoeries, General Counsel bei der Unternehmensgruppe Theo Müller. Um etwa das drohende Bußgeld eines möglichen Kartellrechtsverstoßes zu beziffern, reicht ein Blick ins Gesetz. Hier ist als Bußgeldrahmen bis zu zehn Prozent des weltweiten Konzernumsatzes festgelegt. „Dann schaut man sich tatsächliche Bußgelder an“, sagt Skoeries. Gibt es Beispielfälle für die eigene Branche? Falls nicht, gibt es Fälle aus vergleichbaren Branchen oder bei denen der Sachverhalt ähnlich gelagert ist? „Dahinter steht keine Formel. Allerdings arbeiten wir schon mit konkreten Werten“, erklärt der General Counsel. Oft lassen sich die zugrunde liegenden Zahlen recherchieren. „Bei der Einschätzung der Risiken von Gerichtsverfahren kommt noch eine Mischung aus Bauchgefühl und Erfahrung hinzu“, sagt Skoeries. Inzwischen könne auch KI helfen. „In unserer Datenbank sammeln wir Fälle und Entscheidungen. Darauf kann die KI zugreifen und eine Einschätzung geben.“ Die Analyse könne dabei unterstützen, neue Ansätze zu finden. Rechtliche Risiken müssen auch für neue Projekte oder Produkte eingeschätzt werden. Ein Bereich, mit dem sich Skoeries beschäftigt, ist etwa das Marketing. Geht ein Claim zu weit oder ist er noch vom Recht gedeckt? Manchmal gibt es Grenzbereiche, die unterschiedlich ausgelegt werden können. „Wir müssen dann auch weiterdenken: Wenn die Behörde eine andere Einschätzung hat als wir, welche möglichen Szenarien gibt es dann?“ Materialisiert sich ein Risiko, gehört zur Arbeit auch das Nachdenken über mögliche Konsequenzen: Was sollte in Zukunft anders laufen? Als integrierter Teil des Business versuche die Rechtsabteilung, das Gesamtszenario zu betrachten. „Der differenzierte Blick auf Risiken ist es, was unser Dasein berechtigt und uns gegenüber der Anwaltskanzlei abgrenzt“, sagt Skoeries. Während die Kanzlei womöglich schnell abblockt, betrachten die In-house Counsel den gesamten Kontext.
Es ist wichtig, nah am Business zu arbeiten, um frühzeitig Risiken zu identifizieren.
Franziska Kell,
Syndikusanwältin und Leiterin Operations, Finmas
Unterschiedliche Risiken, unterschiedliche Aufgaben
Unternehmensjuristen sind in ihrer täglichen Arbeit vor allem mit vier verschiedenen Risikoarten konfrontiert: regulatorische Risiken, Geschäftsmodellrisiken, Vertragsrisiken und Prozessrisiken. Dabei bewerten Unternehmen dasselbe rechtliche Risiko zuweilen unterschiedlich. Entscheidend ist auch, welches Risiko das Unternehmen bewusst einzugehen bereit ist. Ein schnell und aggressiv wachsendes Unternehmen kann Grenzbereiche anders bewerten als ein stark regulierter Konzern. Legal liefert also nicht nur eine Einordnung in „zulässig“ oder „unzulässig“, sondern muss die Risikobereitschaft des Business kennen. Regulatorische Risiken haben in den vergangenen Jahren zunehmend an Bedeutung gewonnen. So können Verstöße gegen die Datenschutz-Grundverordnung (DSGVO), das Lieferkettensorgfaltspflichtengesetz (LkSG) oder die EU KI-Verordnung zu drastischen Bußgeldern führen. Die Schlagzahl, mit der neue Regeln in Kraft treten, hat sich deutlich erhöht. Es ist deshalb eine Kernaufgabe der Rechtsabteilung, regulatorische Entwicklungen im Blick zu behalten und ihre künftigen Auswirkungen auf das Unternehmen regelmäßig zu überprüfen. Nur so kann die Rechtsabteilung frühzeitig notwendige Maßnahmen vorbereiten. Gerade international agierende Unternehmen stellt das vor Herausforderungen, denn sie müssen die Entwicklungen weltweit im Blick behalten. Inzwischen unterstützen hierbei spezielle Regulatory Intelligence Tools. Sie versprechen, frühzeitig auf Änderungen hinzuweisen und der Rechtsabteilung dadurch Zeit zum Reagieren zu verschaffen. Vertragsrisiken resultieren aus mangelhaft gestalteten, unvollständigen, rechtlich unwirksamen oder wirtschaftlich nachteiligen vertraglichen Vereinbarungen. Sie zu reduzieren zählt ebenfalls zu den täglichen Routinen der Rechtsabteilung. Ein wichtiges Instrument sind dafür Vertrags-Playbooks. Sie legen fest, welche Vertragsklauseln verwendet werden sollen, welche Abweichungen akzeptabel sind und wann eine rechtliche Prüfung oder Freigabe erforderlich ist. Systeme für das Vertragsmanagement unterstützen dabei, indem sie Verträge zentral verwalten, Fristen überwachen und Abweichungen von definierten Standards sichtbar machen. So können Verträge im Unternehmen nach einheitlichen Kriterien geprüft und verhandelt und typische Risiken ausgeräumt werden. Geschäftsmodellrisiken entstehen wiederum, wenn rechtliche oder regulatorische Anforderungen wesentliche Teile des Geschäftsmodells betreffen oder dessen Umsetzung einschränken. Um solche Risiken frühzeitig zu erkennen, sollte die Rechtsabteilung eng in die Entwicklung neuer Produkte, Dienstleistungen und Geschäftsmodelle eingebunden werden. Plant ein Unternehmen etwa eine digitale Plattform, über die Kundendaten ausgewertet und für personalisierte Angebote genutzt werden, sollte die Rechtsabteilung frühzeitig prüfen, ob das Modell mit Datenschutzrecht, Verbraucherrecht und gegebenenfalls neuen regulatorischen Anforderungen vereinbar ist.
Wie teuer wird es wirklich?
Während in der juristischen Praxis Wahrscheinlichkeiten häufig mit vagen Begriffen wie „überwiegend wahrscheinlich“ oder „risikobehaftet“ umschrieben werden, bevorzugen Vorstände und Finanzvorstände harte Zahlen, um Rechtsrisiken kalkulierbar zu machen. Das gilt vor allem für Prozessrisiken. Vereinzelt arbeiten Rechtsabteilungen deshalb mit Entscheidungsbäumen und Erwartungswerten. Dabei wird ein Rechtsstreit in einzelne rechtliche Fragen zerlegt, deren Ausgang jeweils mit einer geschätzten Wahrscheinlichkeit bewertet wird. Die möglichen Verläufe des Rechtsstreits werden anschließend mit ihren finanziellen Folgen, beispielsweise Schadensersatz, verknüpft. Aus Eintrittswahrscheinlichkeiten und möglichen finanziellen Folgen lässt sich für verschiedene Szenarien ein Erwartungswert berechnen. Ein einfaches Beispiel: Besteht bei einem Prozess ein Risiko von 20 Prozent, eine Million Euro zahlen zu müssen, beträgt der Erwartungswert des finanziellen Risikos 200.000 Euro. Bei einem einzelnen Prozess ist der Erwartungswert vor allem eine Entscheidungshilfe. Er macht unterschiedliche Optionen vergleichbar, etwa sich außergerichtlich zu einigen oder einen Prozess fortzuführen. Bei vielen vergleichbaren Prozessen bekommt der Erwartungswert zusätzlich eine statistische Bedeutung: Über eine große Zahl von Fällen können sich Gewinne und Verluste dem berechneten Durchschnitt annähern. Allerdings kann die scheinbare Objektivität des Wertes täuschen. Eine Einschätzung von „20 Prozent Wahrscheinlichkeit“ beruht bei Rechtsfragen häufig nicht auf einer belastbaren Statistik, sondern auf Erfahrung und Annahmen. Der Erwartungswert ist also nur in seltenen Fällen tatsächlich der errechnete „Preis“ des Risikos, die Qualität des Ergebnisses hängt stark von den Eingangsdaten ab. Zudem gilt: Die Schadenshöhe lässt sich nicht immer auf eine Geldsumme reduzieren. Hinzu kommen können Reputationsschäden, Vertrauensverlust bei Kunden, operative Einschränkungen, Managementaufwand oder der Verlust wichtiger Geschäftspartner. Ein juristisch überschaubares Risiko kann dadurch gleichzeitig wirtschaftlich erheblich sein.
Gewinnen oder verlieren
Eine weitere Methode zur Bewertung von Prozessrisiken ist Legal Analytics. Dabei werden Daten aus vergangenen Gerichtsverfahren systematisch ausgewertet, um Erkenntnisse über mögliche Verläufe und Ergebnisse künftiger Verfahren zu gewinnen. Algorithmen analysieren frühere Gerichtsentscheidungen und verfügbare Schriftsätze, um Muster zu erkennen und daraus Wahrscheinlichkeiten für bestimmte Prozessausgänge abzuleiten. In Deutschland sind solchen Prognosen jedoch deutliche Grenzen gesetzt. Nur ein kleiner Teil der Gerichtsentscheidungen wird überhaupt veröffentlicht, sodass häufig keine ausreichende und repräsentative Datengrundlage vorhanden ist. Schätzungen zufolge liegt die Quote aller veröffentlichten Urteile zwischen einem und drei Prozent. Eine aktuelle Recherche des Südwestrundfunks (SWR) hat sich die Veröffentlichungsquote von Zivil- und Verwaltungsgerichte in den Jahren 2023 und 2024 angeschaut. Der bundesweite Schnitt lag hier bei 3,5 Prozent. Manche Landgerichte haben in diesem Zeitraum gar keine Urteile veröffentlicht. Was und wie veröffentlicht wird, liegt meist in der Entscheidung einzelner Richterinnen und Richter. Eine statistische Auswertung oder gar ein Training von KI-Modellen ist auf dieser Datenbasis kaum zielführend. Legal Analytics funktioniert besonders gut in Rechtssystemen wie den USA oder England, da frühere Urteile dort eine starke rechtliche Bedeutung für spätere, ähnliche Fälle haben. Die Vergangenheit ist deshalb aussagekräftiger für zukünftige Entscheidungen. Im deutschen Recht gibt es diese Form der Bindung nicht. Gerichte können in ähnlich gelagerten Fällen anders entscheiden. Deshalb lassen sich aus vergangenen Entscheidungen nur eingeschränkt zuverlässige Vorhersagen für zukünftige Verfahren ableiten.
KI kann natürlich grundsätzlich die rechtliche Risikobewertung unterstützen, indem sie große Mengen an Informationen strukturiert, vergleichbare Fälle identifiziert und Muster sichtbar macht. Ihre Ergebnisse sollten jedoch nicht mit objektiver Gewissheit verwechselt werden. Wie belastbar eine Prognose ist, hängt wesentlich von den verfügbaren Daten ab. Gerade bei neuen Rechtsfragen, einer uneinheitlichen Rechtsprechung oder wenigen vergleichbaren Fällen stößt die Technologie schnell an Grenzen. Hinzu kommt, dass sich viele Faktoren nur schwer aus Daten ableiten lassen – etwa die Besonderheiten eines Geschäftsmodells, die Haltung einer Aufsichtsbehörde oder mögliche Reputationsfolgen. KI kann damit eine zusätzliche Grundlage für die Risikoeinschätzung liefern, die eigentliche Abwägung aber nicht ersetzen. Mit der Bewertung eines rechtlichen Risikos ist die Arbeit auch nicht abgeschlossen. Risiken sind nicht statisch: Neue Rechtsprechung, Gesetzesänderungen oder eine veränderte Praxis von Behörden können dazu führen, dass eine ursprünglich vertretbare Entscheidung neu bewertet werden muss. Gleiches gilt, wenn sich das Geschäftsmodell, die Zahl der betroffenen Kunden oder die mögliche Schadenshöhe verändert. Ein funktionierendes Legal Risk Management braucht deshalb ein kontinuierliches Monitoring. Dabei geht es nicht darum, jede einmal getroffene Entscheidung permanent zu überprüfen. Vielmehr sollten für wesentliche Risiken konkrete Auslöser definiert werden, bei denen Legal erneut hinschaut. Aus der einmaligen Risikobewertung wird so ein Kreislauf aus Identifikation, Bewertung, Steuerung und erneuter Prüfung.
Der differenzierte Blick auf Risiken ist es, was unser Dasein berechtigt und uns gegenüber der Anwaltskanzlei abgrenzt.
Gunnar Skoeries, General Counsel, Unternehmensgruppe Theo Müller
Bessere Entscheidungen im Netzwerk
Rechtliche Risiken sind für den Sparkassendienstleister Finmas insbesondere regulatorische Risiken. Das Unternehmen ist eine Tochtergesellschaft der Hypoport SE und der Finanz Informatik GmbH und Co. KG. Neue Vorgaben wie DORA, NIS2 oder bankentypische Anforderungen werden im Verbund thematisiert, erzählt Franziska Kell, Syndikusanwältin und Leiterin Operations. „Wir stimmen uns hier eng mit den anderen Rechtsabteilungen ab.“ Für rechtliche Streitigkeiten hat das Legal Team von Finmas Eskalationsprozesse definiert. „Wir gehen aus Prinzip nur sehr selten in die gerichtliche Auseinandersetzung“, sagt Kell. „Egal wie der Streit ausgeht, er bindet Kapazitäten und produziert Kosten und das teils über Jahre.“ Deshalb strebe das Unternehmen in der Regel eine außergerichtliche Einigung an. Zudem sei die Kundengruppe mit knapp 340 Sparkassen recht klein. „Wir bewegen uns in einem stark vernetzten Marktumfeld mit langfristigen Beziehungen. Deshalb ist es für uns besonders wichtig, Konflikte lösungsorientiert und partnerschaftlich zu behandeln.“ Alles habe einen Grund. Das Legal Team versuche, die Ursachen festzustellen und zu überlegen, wie die Dinge gelöst werden können. „Es ist wichtig, nah am Business zu arbeiten, um frühzeitig Risiken zu identifizieren“, sagt Franziska Kell. Insbesondere bei der Entwicklung neuer Produkte sei die Einbindung sehr stark. Außerdem gibt es Freigabeprozesse, bei denen bestimmte Gremien und Fachausschüsse eingebunden sind, die ebenfalls ihre rechtliche Sicht mit einbringen. „Das ist manchmal herausfordernd, aber so werden die unterschiedlichen Perspektiven berücksichtigt“, erklärt Kell. Auch die externen Kunden begleitet die Rechtsabteilung eng. Bei der rechtlichen Bewertung werden immer auch Fragestellungen berücksichtigt, die deren B2C-Geschäft betreffen. Die tägliche Arbeit wird gemonitort, die Legal-Kosten sind stark im Blick. „Dabei müssen wir immer wieder neu bewerten, welche Themen wir etwa an externe Kanzleien abgeben.“ Sowohl Franziska Kell als auch ihre Teamleitung Legal arbeiten schon lange im Unternehmen. „Diese Erfahrung ist bei der Bewertung von Risiken Gold wert“, sagt Kell. ■ Henning Zander
