Vertragsmanagement in der IT: was ein Vertragsregister wirklich enthalten muss

Der Anruf kommt meist im November. Eine Backup-Software verlängert sich zum Jahreswechsel, die Kündigungsfrist ist drei Monate lang, und irgendwo im Dateiablagesystem liegt der unterschriebene Vertrag als eingescanntes PDF. Gefunden wird er nach zwanzig Minuten. Beantwortet ist damit trotzdem nichts, denn die eigentliche Frage lautet nicht „wo liegt das Dokument”, sondern „wer entscheidet, ob wir das noch brauchen”.

Genau an dieser Stelle trennt sich ein Vertragsregister von einer Vertragsablage. Die Ablage beantwortet Fragen über Dokumente. Das Register beantwortet Fragen über Verpflichtungen — und die wichtigste davon ist eine Personalfrage. Wer ein Register aufbaut und dabei nur Metadaten des Papiers erfasst, bekommt eine sortierte Liste. Nützlich wird sie erst mit dem Feld, das am häufigsten fehlt.

Ablage und Register lösen zwei verschiedene Probleme

Eine Ablage ist auf Wiederauffindbarkeit optimiert: Ordnerstruktur, Dateiname, Volltextsuche. Ihr Erfolgsmaß ist die Zeit bis zum Fund. Ein Register ist auf Entscheidungsfähigkeit optimiert: Es hält je Vertrag einen strukturierten Datensatz, der auch dann etwas aussagt, wenn niemand das Dokument öffnet. Sein Erfolgsmaß ist die Zahl der Termine, die nicht überrascht kommen.

Der Unterschied wird an einem Detail sichtbar. Eine Ablage kann nicht beantworten, welche Verträge in den nächsten neunzig Tagen ihre Kündigungsfrist erreichen, ohne dass jemand jedes Dokument einzeln liest. Ein Register kann es, sobald Enddatum und Frist als eigene Felder gepflegt sind. Deshalb ersetzt ein Dokumentenmanagementsystem kein Vertragsmanagement — es liefert nur dessen Unterbau.

In der Praxis existieren beide selten getrennt. Verträge liegen im Laufwerk, die Fristen in einem Tabellenblatt, die Kosten in der Kreditorenbuchhaltung, und die Frage nach dem Bedarf beantwortet der Fachbereich per E-Mail. Ein Register ist der Versuch, diese vier Quellen auf einen Datensatz je Vertrag zu reduzieren.

Die Pflichtfelder und die Frage, die jedes beantwortet

Feldlisten werden schnell lang. Brauchbar ist eine andere Prüfung: Jedes Feld muss genau eine Frage beantworten, die im Betrieb tatsächlich gestellt wird. Felder, denen keine reale Frage entspricht, werden nicht gepflegt und stehen nach zwei Jahren leer. Die folgende Aufstellung enthält deshalb kein Feld ohne zugehörige Frage.

Die Zuständigkeit ist keine Zusatzspalte

Neun der zehn Felder beschreiben den Vertrag. Das zehnte beschreibt die Organisation — und nur dieses eine macht aus der Liste ein Werkzeug. Der Grund liegt im Ablauf: Ein Register meldet einen Termin, aber es entscheidet nicht. Die Entscheidung „verlängern, kündigen oder neu verhandeln” ist eine Bedarfsfrage, und Bedarf kennt nur der Fachbereich, der die Software benutzt.

Fehlt das Feld, beginnt an jedem erkannten Termin eine Suche. Jemand fragt in der IT nach, die IT verweist auf die Buchhaltung, die Buchhaltung nennt die Kostenstelle, und über die Kostenstelle findet man irgendwann eine Abteilung, aber selten eine Person. Diese Suche kostet in der Regel mehr Zeit als die Entscheidung selbst und findet unter Zeitdruck statt, weil der Termin bereits läuft.

Die Konsequenz ist unangenehm: Ein Register ohne Zuständigkeit erzeugt Alarme, die niemand zugeordnet bekommt. Nach dem dritten unbeantworteten Alarm wird das Register als unzuverlässig eingestuft und die Pflege eingestellt. Das Feld ist damit nicht nur nützlich, sondern die Bedingung dafür, dass die übrigen neun Felder überhaupt gepflegt werden.

Warum das Feld beim Kopieren verloren geht

Verträge entstehen selten auf der grünen Wiese. In der CLM-Studie 2025 von BearingPoint, einer Online-Befragung von über 200 Fachleuten aus Recht, Einkauf und Geschäftsführung zwischen April und Juni 2025, gaben 43 Prozent an, einen neuen Vertrag auf Basis eines alten Entwurfs zu erstellen; nur 22 Prozent nutzen dafür eine automatisierte Entwurfserstellung. Kopiert werden dabei die Klauseln — nicht der organisatorische Kontext, in dem der alte Vertrag einmal entstand.

Dieselbe Studie zeigt, wie wenig Werkzeugunterstützung dahintersteht: 74 Prozent der befragten Unternehmen setzten zum Erhebungszeitpunkt kein spezielles System für den Vertragslebenszyklus ein. Wo Systeme im Einsatz sind, stehen vier Funktionen an der Spitze — Dokumentenverwaltung mit Versionierung (85 Prozent), Workflows und Freigaben (81 Prozent), Fristenüberwachung (77 Prozent) und Vertragsvorlagen (71 Prozent).

Sechs, acht oder zehn Jahre: die Aufbewahrung

Wie lange ein Vertrag vorgehalten werden muss, ergibt sich nicht aus dem Vertrag, sondern aus seiner steuer- und handelsrechtlichen Einordnung. § 147 Abs. 3 AO staffelt in drei Stufen: zehn Jahre für Bücher, Aufzeichnungen, Inventare, Jahresabschlüsse und Lageberichte, acht Jahre für Buchungsbelege, sechs Jahre für die sonstigen aufbewahrungspflichtigen Unterlagen einschließlich empfangener und abgesandter Handels- und Geschäftsbriefe. § 257 Abs. 4 HGB enthält dieselbe Staffelung für den Kaufmann.

Die Acht-Jahres-Stufe ist neu. Bis Ende 2024 galten für Buchungsbelege zehn Jahre; das Vierte Bürokratieentlastungsgesetz hat die Frist mit Wirkung zum 1. Januar 2025 im Handels- wie im Steuerrecht auf acht Jahre verkürzt. Für Verträge ist das relevant, weil sie nach Auffassung der Kammern regelmäßig zu den Buchungsbelegen zählen — sie dokumentieren einen Geschäftsvorfall mit Auswirkung auf Vermögens-, Finanz- oder Ertragslage.

Ein Register braucht deshalb ein Feld für die Aufbewahrungsklasse, nicht für ein Löschdatum. Die Klasse ist stabil, das Datum nicht: § 147 Abs. 3 Satz 5 AO hemmt den Fristablauf, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch läuft. Die reguläre Festsetzungsfrist beträgt nach § 169 Abs. 2 Nr. 2 AO vier Jahre, verlängert sich durch die Anlaufhemmung des § 170 Abs. 2 Nr. 1 AO aber um bis zu drei Jahre.

Der Fristbeginn hängt am Vertragsende

Die praktisch folgenreichste Regel steht nicht in der Fristenlänge, sondern im Fristbeginn. Nach § 147 Abs. 4 AO und § 257 Abs. 5 HGB beginnt die Frist mit dem Schluss des Kalenderjahres, in dem der Geschäftsbrief empfangen oder der Buchungsbeleg entstanden ist. Für Dauerschuldverhältnisse gilt eine Besonderheit: Bei Verträgen mit mehrjähriger Laufzeit — die Handelskammer Hamburg nennt ausdrücklich Miet- und ähnliche Verträge — beginnt die Aufbewahrungsfrist erst nach dem Ende der Vertragsdauer.

Damit hängt eine steuerliche Frist an einem Feld, das viele Register gar nicht führen. Ein 2019 geschlossener Wartungsvertrag, der bis 2027 läuft, ist nicht 2027 aussortierbar, sondern frühestens Ende 2035. Wer das Enddatum nicht pflegt, kann die Aufbewahrungsfrist nicht berechnen und löscht entweder zu früh oder hebt vorsichtshalber alles unbefristet auf.

Für die Registerpflege folgt daraus eine unscheinbare Regel: Ein beendeter Vertrag wird nicht gelöscht, sondern bekommt ein Enddatum und wechselt den Status. Erst dieser Statuswechsel startet die Uhr, die irgendwann die Vernichtung erlaubt.

Fristen brauchen einen Adressaten, keinen Kalendereintrag

Fristenüberwachung ist die dritthäufigste Funktion in eingesetzten Vertragssystemen, und sie ist zugleich die am leichtesten überschätzte. Ein Termin, der auftaucht, hat noch nichts entschieden. Er verlagert die Arbeit nur vom Suchen zum Klären — und wenn im Datensatz kein Name steht, ist das Klären der aufwendigere Teil.

Zu den Grundlagen des Vertragsmanagements in der IT gehört deshalb weniger ein weiteres Dokument als ein Termin, der von selbst beim Richtigen landet. Werkzeuge, die ein Register für Verträge und Laufzeiten mit den laufenden Kosten und den Lizenzbeständen in einer Ansicht führen, setzen an dieser Stelle an; Yupana etwa verbindet Verträge mit Laufzeit und Frist mit einem Renewal-Kalender und den Microsoft-365-Plätzen, die niemand mehr nutzt. Buchhaltung ersetzt eine solche Software nicht, Firmenkarten gibt sie nicht aus, und Zahlungen löst sie nicht aus. Wer im Feld daneben steht, bleibt ohnehin eine organisatorische Entscheidung, die kein Werkzeug abnimmt.

NIS-2 macht aus der Zuständigkeit eine Nachweispflicht

Seit dem 6. Dezember 2025 gilt das NIS-2-Umsetzungsgesetz. Nach Angaben des BSI wächst der Kreis der beaufsichtigten Einrichtungen dadurch von rund 4.500 auf etwa 29.500; betroffene Unternehmen müssen sich registrieren, erhebliche Sicherheitsvorfälle melden sowie Risikomanagementmaßnahmen umsetzen und dokumentieren. Zu diesen Maßnahmen zählt ausdrücklich die Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern.

Eine vertragliche Verpflichtung, die man nachweisen soll, setzt voraus, dass jemand sie kennt, prüft und bei Verlängerungen fortschreibt. Damit wird die Zuständigkeitsspalte vom organisatorischen Komfort zur Voraussetzung der Dokumentation: Ein Register, das für jeden IT-Dienstleister eine verantwortliche Person ausweist, beantwortet die Auditfrage in einem Schritt. Eines ohne diese Spalte beantwortet sie durch Rückfragen im Haus.

Was ein Vertragsregister nicht leistet

Die Erwartungen an ein Register sind regelmäßig zu hoch. Es ist ein Verzeichnis von Verpflichtungen, keine Rechtsprüfung und keine Bedarfsanalyse. Wer es als Ersatz für beides einführt, produziert gepflegte Felder ohne Wirkung.

Ein Register in fünf Schritten aufbauen

Der häufigste Fehler beim Aufbau ist die Vollständigkeit als Startbedingung. Ein Register mit dreißig Feldern und halber Befüllung ist schlechter als eines mit zehn Feldern und vollständiger Befüllung, weil nur letzteres verlässliche Auswertungen zulässt. Der Aufbau lohnt sich deshalb entlang der Fälligkeit, nicht entlang des Aktenschranks.

1. Zahlungsströme statt Aktenordner auswerten Die Kreditorenliste eines vollen Geschäftsjahres zeigt jeden wiederkehrenden Betrag — auch die Verträge, von denen niemand mehr weiß.
2. Zuständigkeit vor Vollständigkeit klären Für jede wiederkehrende Zahlung zuerst eine Person eintragen. Bleibt sie unbesetzt, ist der Vertrag ein Kandidat für die Kündigung.
3. Enddatum und Kündigungsfrist nachtragen Beide Felder stehen im Dokument. Sie zu übertragen ist der einzige Arbeitsschritt, für den das PDF geöffnet werden muss.
4. Aufbewahrungsklasse setzen Sechs, acht oder zehn Jahre nach § 147 AO und § 257 HGB — und die Uhr erst mit dem Vertragsende starten.
5. Einen festen Prüftermin verankern Ein monatlicher Blick auf die nächsten neunzig Tage genügt; die Zuständigen bekommen die Liste, nicht die IT.

Nach diesen fünf Schritten steht kein perfektes Vertragsmanagement, aber ein belastbarer Datensatz je Verpflichtung. Alles Weitere — Klauselbibliotheken, Freigabeworkflows, Verhandlungsunterstützung — baut darauf auf und ist ohne diesen Kern nicht sinnvoll einzuführen.

Häufige Fragen

Welche Felder muss ein Vertragsregister mindestens enthalten?

Vertragspartner, Leistungsgegenstand, Lizenzmetrik und Menge, Vertragsbeginn, Enddatum, Kündigungsfrist mit Form, Verlängerungsregel, Jahreskosten, Fundstelle des Originals und die zuständige Person. Zehn Felder, von denen jedes eine Frage beantwortet, die im Betrieb tatsächlich gestellt wird.

Wie lange müssen Verträge aufbewahrt werden?

§ 147 Abs. 3 AO und § 257 Abs. 4 HGB staffeln in zehn Jahre für Bücher und Abschlüsse, acht Jahre für Buchungsbelege und sechs Jahre für sonstige Geschäftsunterlagen. Verträge zählen regelmäßig zu den Buchungsbelegen; für sie gilt seit dem 1. Januar 2025 die Acht-Jahres-Frist statt zuvor zehn Jahren.

Wann beginnt die Aufbewahrungsfrist bei einem mehrjährigen Vertrag?

Nicht mit dem Abschluss, sondern nach dem Ende der Vertragsdauer. Ein bis 2027 laufender Vertrag ist daher frühestens Ende 2035 aussortierbar. Zusätzlich hemmt § 147 Abs. 3 Satz 5 AO den Fristablauf, solange die Unterlagen für Steuern mit noch laufender Festsetzungsfrist von Bedeutung sind.

Wer sollte im Register als zuständig eingetragen werden?

Die Person im Fachbereich, die den Bedarf verantwortet — nicht die Kostenstelle und nicht pauschal die IT. Nur sie kann bei einem anstehenden Verlängerungstermin entscheiden, ob die Leistung noch gebraucht wird. Ein leeres Zuständigkeitsfeld ist selbst ein Befund.

Reicht ein Tabellenblatt als Vertragsregister?

Für den Einstieg ja, sofern die zehn Pflichtfelder vollständig gepflegt sind und eine feste Person die Pflege verantwortet. Grenzen zeigen sich bei Versionierung, Zugriffsrechten und automatischer Fristerinnerung — genau den Funktionen, die in der BearingPoint-Studie 2025 am häufigsten genannt werden.