Für Unternehmen im DACH-Mittelstand ist die praktische Ausgangslage meist eine andere als die juristische Diskussion vermuten lässt. Die wenigsten mittelständischen Betriebe fallen selbst unmittelbar in den Anwendungsbereich. Trotzdem landet das Thema auf ihren Schreibtischen, und zwar über einen sehr direkten Weg: Ein großer Kunde, der selbst verpflichtet ist, muss seine eigene Lieferkette überprüfen – und der Mittelständler ist Teil dieser Lieferkette. Aus der gesetzlichen Pflicht des Kunden wird über Verträge, Verhaltenskodizes, Selbstauskünfte und Auditanforderungen eine faktische Pflicht des Lieferanten. Rechtlich ist das keine Verpflichtung aus dem Gesetz, sondern eine vertragliche Bindung. Wirtschaftlich fühlt es sich identisch an.
Der Gegenstand der Sorgfaltspflichten ist bewusst breit angelegt. Es geht um Risiken für Menschenrechte, wie sie in international anerkannten Übereinkommen beschrieben sind – etwa Kinderarbeit, Zwangsarbeit, Missachtung von Arbeitsschutz und Vereinigungsfreiheit, Diskriminierung, unangemessene Entlohnung, widerrechtliche Landnahme oder der Einsatz privater Sicherheitskräfte mit Gewaltanwendung. Hinzu kommen umweltbezogene Pflichten, die an internationale Abkommen zu bestimmten Chemikalien und Abfällen anknüpfen, sowie Umweltrisiken, die sich unmittelbar auf Menschen auswirken. Wer diese Liste zum ersten Mal liest, hält sie für weit entfernt vom eigenen Geschäft. Der zweite Blick zeigt regelmäßig, dass einzelne Vorlieferanten in Regionen oder Branchen sitzen, für die zumindest ein abstraktes Risiko besteht.
Die wichtigste Einordnung für Entscheider lautet: Das Gesetz verlangt eine Bemühenspflicht, keine Garantie. Kein Unternehmen kann zusichern, dass in einer mehrstufigen, global verzweigten Lieferkette nirgends ein Verstoß stattfindet. Verlangt wird stattdessen, dass das Unternehmen ein angemessenes Verfahren betreibt: Risiken ermitteln, gewichten, priorisieren, wirksame Maßnahmen ableiten, deren Wirkung überprüfen und den gesamten Vorgang dokumentieren. Angemessenheit ist dabei ein bewegliches Maß, das sich unter anderem an Art und Umfang der Geschäftstätigkeit, am Einflussvermögen auf den Verursacher, an der Schwere und Wahrscheinlichkeit einer Verletzung und am eigenen Verursachungsbeitrag orientiert.
Diese Konstruktion ist für die Umsetzung ausgesprochen wichtig. Sie bedeutet nämlich, dass ein kleiner Zulieferer mit begrenzten Ressourcen nicht dieselbe Prüftiefe leisten muss wie ein internationaler Konzern – und dass ein Konzern seine eigene Prüftiefe nicht eins zu eins auf jeden Lieferanten durchreichen kann, ohne unangemessen zu werden. In der Praxis geschieht genau das trotzdem häufig, weil ein Fragebogen, der einmal entwickelt wurde, an alle verschickt wird. Der professionelle Umgang damit besteht nicht darin, die Anforderung stillschweigend zu erfüllen oder pauschal abzulehnen, sondern darin, das eigene Risikoprofil sachlich darzustellen und die Antworttiefe daran auszurichten.
Ein zweiter Punkt betrifft die Reichweite. Das Gesetz unterscheidet zwischen dem eigenen Geschäftsbereich, den unmittelbaren Zulieferern und den mittelbaren Zulieferern. Für die ersten beiden gilt eine regelmäßige, anlassunabhängige Betrachtung. Für mittelbare Zulieferer greift die Prüfung nach der Konzeption des Gesetzes vor allem dann, wenn tatsächliche Anhaltspunkte für eine mögliche Verletzung vorliegen. Diese Abstufung ist der Grund, warum sich das Thema in der Lieferkette wellenförmig ausbreitet: Jede Stufe fragt die nächste, und je weiter man sich vom verpflichteten Unternehmen entfernt, desto dünner wird die Informationslage.
Es gibt drei Kanäle, über die ein nicht unmittelbar verpflichtetes Unternehmen mit dem LkSG in Berührung kommt. Der erste ist der Einkauf des Kunden: Lieferantenselbstauskünfte, Verhaltenskodizes zur Gegenzeichnung, Zusicherungen in Rahmenverträgen, Auditrechte, Informations- und Weitergabepflichten an die eigene Vorstufe. Der zweite ist die Finanzierung und die Versicherung: Banken, Kreditversicherer und Investoren fragen Nachhaltigkeitsinformationen ab, teils regulatorisch getrieben, teils aus eigenem Risikointeresse. Der dritte ist die öffentliche Beschaffung, in der Nachweise zu Arbeitsbedingungen und Lieferketten zunehmend Teil der Eignungs- oder Zuschlagskriterien werden.
Aus Sicht der Geschäftsführung ist das zunächst lästig, aber es hat auch eine strategische Seite. Wer die Fragen belastbar beantworten kann, wird als Lieferant leichter freigegeben, kommt schneller durch Onboarding-Prozesse und erspart sich Rückfragen, Nachforderungen und Eskalationen. Wer die Fragen nicht beantworten kann, riskiert im ungünstigen Fall, dass ein Rahmenvertrag nicht verlängert wird – nicht wegen eines nachgewiesenen Verstoßes, sondern weil der Kunde das Restrisiko nicht tragen will. Die eigentliche Kostenfrage lautet deshalb nicht, ob man sich mit dem Thema befasst, sondern wie effizient man es organisiert.
Erstens: Das LkSG sei ein Zertifizierungsgesetz. Das ist es nicht. Es gibt keine gesetzlich vorgeschriebene Zertifizierung, die eine Sorgfaltspflicht ersetzt. Zertifikate und Auditberichte sind Bausteine der Risikobewertung und der Nachweisführung, sie können die eigene Beurteilung stützen, aber sie übertragen die Verantwortung nicht auf einen Dritten. Wer ein Zertifikat vorlegt, hat damit Indizien geliefert, nicht die Pflicht erfüllt.
Zweitens: Die Pflicht ende beim direkten Lieferanten. Auch das trifft nicht zu. Zwar liegt der Schwerpunkt der regelmäßigen Betrachtung auf dem eigenen Geschäftsbereich und den unmittelbaren Zulieferern, doch bei substantiierter Kenntnis über mögliche Verletzungen weiter hinten in der Kette entstehen anlassbezogene Pflichten. Für die IT bedeutet das, dass die Datenhaltung wenigstens die Fähigkeit besitzen muss, Vorstufeninformationen aufzunehmen, sobald sie verfügbar werden.
Drittens: Das Thema sei ein reines Nachhaltigkeitsthema für die Kommunikationsabteilung. In der Umsetzung ist es überwiegend ein Prozess- und Datenthema. Es berührt Lieferantenstammdaten, Einkaufsrichtlinien, Vertragsvorlagen, Qualitätsmanagement, Compliance, Personalwesen und die IT-Systeme, in denen all das abgebildet wird. Genau deshalb behandeln wir es in dieser Wissensdatenbank unter Supply Chain und nicht unter Marketing.
Das Gesetz richtet sich an Unternehmen ab bestimmten Beschäftigtenschwellen mit Sitz oder Niederlassung in Deutschland. Die Schwellen wurden gestaffelt eingeführt: Zunächst galten sie nur für sehr große Unternehmen, in einer zweiten Stufe wurde der Kreis auf eine niedrigere Beschäftigtenzahl ausgeweitet. Wir verzichten hier bewusst auf die Nennung konkreter Zahlen, weil die Ausgestaltung Gegenstand der laufenden Reformdiskussion ist und weil bei der Zählung Details eine Rolle spielen, die im Einzelfall geprüft gehören – etwa die Berücksichtigung von Leiharbeitskräften, die Behandlung von ins Ausland entsandten Beschäftigten und die konzernweite Zurechnung innerhalb verbundener Unternehmen.
Diese Zurechnungsfragen sind der praktische Grund, warum manche Unternehmen sich für nicht betroffen halten und es doch sind. Eine mittelständische Gruppe mit mehreren rechtlich selbständigen Gesellschaften kann in der Summe über einer Schwelle liegen, obwohl keine einzelne Gesellschaft sie erreicht. Ebenso kann eine deutsche Tochtergesellschaft eines ausländischen Konzerns in den Anwendungsbereich fallen, wenn sie hier eine Zweigniederlassung im rechtlichen Sinn betreibt. Wer nahe an einer Schwelle liegt, sollte die Prüfung nicht selbst vornehmen, sondern rechtlich begleiten lassen und das Ergebnis schriftlich festhalten – schon deshalb, weil sich Beschäftigtenzahlen ändern und die Einordnung dann erneut zu bewerten ist.
Für die Aufsicht ist in Deutschland das Bundesamt für Wirtschaft und Ausfuhrkontrolle zuständig. Es kann Auskünfte verlangen, Unterlagen anfordern, Kontrollen durchführen und Maßnahmen anordnen. Ob und in welchem Umfang darüber hinaus eine jährliche Berichtspflicht besteht, ist ein Punkt, der in der Reformdiskussion ausdrücklich zur Debatte steht; der Gesetzgeber diskutiert Anpassungen und Entlastungen. Für die Praxis heißt das: Die interne Dokumentation aufrechterhalten, die Form der externen Berichterstattung aber am jeweils geltenden Rechtsstand ausrichten und nicht auf Vorrat aufbauen.
Ein verpflichtetes Unternehmen kann seine Sorgfaltspflicht nicht erfüllen, ohne Informationen von seinen Lieferanten zu erhalten. Deshalb entsteht ein Instrumentarium, das inzwischen weitgehend standardisiert ist. Am Anfang steht ein Verhaltenskodex für Lieferanten, der die erwarteten Standards beschreibt und dessen Anerkennung vertraglich verlangt wird. Es folgen Zusicherungen und Nebenpflichten im Vertrag: die Einhaltung bestimmter Standards, die Weitergabe der Anforderungen an die eigenen Vorlieferanten, Informationspflichten bei Vorfällen, Mitwirkung bei Prüfungen und gelegentlich Kündigungsrechte bei schwerwiegenden Verstößen.
Das dritte Instrument ist der Fragebogen zur Selbstauskunft. Er erhebt Angaben zu Standorten, Produktionsländern, Beschäftigtenstruktur, Managementsystemen, Zertifikaten, Beschwerdemechanismen und zum Umgang mit der eigenen Vorstufe. Viertens kommen Audits und Vor-Ort-Prüfungen hinzu, entweder durch den Kunden selbst, durch beauftragte Prüfgesellschaften oder in Form anerkannter Branchenaudits. Fünftens verlangen manche Kunden die Registrierung auf einer Nachhaltigkeitsplattform, über die Bewertungen und Nachweise zentral verwaltet werden.
Für den Zulieferer entsteht daraus ein charakteristisches Problem: Jeder Kunde nutzt ein leicht anderes Format, fragt ähnliche Inhalte in anderer Struktur ab und verlangt Nachweise in anderer Form. Der Aufwand entsteht nicht durch die Substanz der Fragen, sondern durch die Vielfalt der Formate. Genau hier liegt der wirksamste Hebel: eine einmal aufgebaute, gepflegte interne Faktenbasis, aus der sich jede Variante eines Fragebogens in überschaubarer Zeit bedienen lässt. Wir kommen darauf im Kapitel zur Datenbasis zurück.
Die häufigste Fehlreaktion auf den ersten großen Fragebogen ist eine von zwei Extremen. Entweder wird alles zugesagt, was gefragt wird, ohne zu prüfen, ob die Zusage im Betrieb gedeckt ist – dann entsteht ein vertragliches Versprechen, das im Ernstfall nicht gehalten werden kann. Oder es wird alles abgelehnt mit dem Hinweis, man sei nicht betroffen – dann entsteht ein Konflikt, der auf der Einkaufsseite des Kunden als Risikofaktor vermerkt wird. Beide Wege sind vermeidbar.
Der sachliche Weg besteht aus vier Schritten. Erstens: Den eigenen Anwendungsbereich klären und das Ergebnis schriftlich festhalten, damit die Aussage jederzeit belegbar ist. Zweitens: Das eigene Risikoprofil beschreiben – Beschaffungsländer, Warengruppen, Fertigungstiefe, Anteil an Handelsware, Anteil an Direktimporten. Drittens: Die vorhandenen Managementsysteme benennen, die faktisch schon einen Teil der Anforderungen erfüllen, etwa Qualitätsmanagement, Arbeitsschutzorganisation, Umweltmanagement, Compliance-Regelungen und ein bestehendes Hinweisgebersystem. Viertens: Die Antworten in einer wiederverwendbaren Form ablegen, sodass der nächste Fragebogen aus vorhandenen Bausteinen entsteht.
Ein Hinweis zu Vertragsklauseln, der in Verhandlungen immer wieder relevant wird: Zusicherungen sollten so formuliert sein, dass sie zum tatsächlichen Einflussbereich passen. Die Zusage, dass in der gesamten mehrstufigen Vorkette keinerlei Verstöße stattfinden, ist für kein Unternehmen haltbar. Realistisch sind Zusagen zu eigenen Standards, zur Weitergabe von Anforderungen an unmittelbare Vorlieferanten, zur Information bei Kenntnis von Vorfällen und zur Mitwirkung an Aufklärung. Die Prüfung und Verhandlung solcher Klauseln gehört in juristische Hände; dieser Beitrag ersetzt sie nicht.
Die Risikoanalyse ist inhaltlich anspruchsvoll und methodisch am ehesten missverständlich. Sie ist keine Bewertung der Bonität und keine Lieferantenqualifizierung im klassischen Sinn. Gefragt ist eine Einschätzung, wie wahrscheinlich und wie schwerwiegend eine Beeinträchtigung geschützter Rechtsgüter durch die eigene Geschäftstätigkeit oder durch Zulieferer sein kann. Üblich ist ein zweistufiges Vorgehen: eine abstrakte Betrachtung über Länder, Branchen, Warengruppen und Rohstoffe, gefolgt von einer vertieften Betrachtung derjenigen Lieferanten, die in dieser Vorprüfung auffällig geworden sind.
Für die abstrakte Stufe braucht man drei Datenpunkte je Lieferant, die im ERP oder Beschaffungssystem verfügbar sein sollten: das tatsächliche Produktions- oder Herkunftsland, nicht nur das Land der Rechnungsanschrift; die Warengruppe beziehungsweise die Materialart; und das Einkaufsvolumen als Hinweis auf das eigene Einflussvermögen. Auf dieser Basis lässt sich eine erste Einteilung erzeugen, die den überwiegenden Teil der Lieferantenbasis als unauffällig ausweist und eine überschaubare Zahl als vertieft zu prüfen markiert. Genau darin liegt der Sinn der Priorisierung: Der Aufwand konzentriert sich dort, wo Risiko und Einfluss zusammenkommen.
In der vertieften Stufe kommen Selbstauskünfte, Zertifikate, Auditberichte, Gespräche und – wo verhältnismäßig – Vor-Ort-Prüfungen hinzu. Wichtig ist die Dokumentation der Begründung: Warum wurde ein Lieferant als unkritisch eingestuft, welche Quellen wurden herangezogen, wer hat die Einschätzung wann getroffen? Diese Begründungskette ist im Zweifel wertvoller als das Ergebnis selbst, weil sie zeigt, dass ein Verfahren existiert und angewendet wurde. Eine Risikoanalyse ohne nachvollziehbare Begründung ist aus Prüfsicht kaum etwas wert.
Bei Präventionsmaßnahmen bewährt sich eine einfache Ordnung: Maßnahmen im eigenen Haus, Maßnahmen in der Lieferantenbeziehung und Maßnahmen im Beschaffungsverhalten. Im eigenen Haus geht es um Schulung, klare Zuständigkeiten und interne Kontrollen. In der Lieferantenbeziehung um Auswahlkriterien, vertragliche Regelungen, Unterstützungsangebote und vereinbarte Prüfungen. Im Beschaffungsverhalten um einen oft übersehenen Punkt: Preis- und Terminvorgaben, die Lieferanten strukturell zu Überstunden oder Unterbezahlung drängen, sind selbst ein Risikofaktor. Wer über Menschenrechte in der Lieferkette spricht, muss auch über die eigenen Einkaufspraktiken sprechen.
Bei Abhilfemaßnahmen ist der wichtigste Punkt, dass Kündigung selten die richtige Antwort ist. Wird eine Geschäftsbeziehung abgebrochen, verliert das Unternehmen jeden Einfluss auf die Verbesserung der Lage – und die betroffenen Beschäftigten beim Lieferanten haben nichts gewonnen, im Gegenteil. Sinnvoll ist ein Vorgehen in Stufen: Sachverhalt klären, gemeinsam einen Maßnahmenplan mit Fristen vereinbaren, Umsetzung nachhalten, Wirksamkeit prüfen, eskalieren wenn nichts geschieht. Erst wenn keine Aussicht auf Abhilfe besteht und die Verletzung schwer wiegt, kommt der Abbruch in Betracht.
Das Beschwerdeverfahren wird häufig auf ein Formular reduziert. Tatsächlich besteht es aus einer Verfahrensordnung, einer benannten und unparteiischen Bearbeitung, einer nachvollziehbaren Fallbearbeitung mit Fristen, einer Rückmeldung an die hinweisgebende Person und einer Auswertung, aus der Präventionsmaßnahmen abgeleitet werden. Zugänglichkeit ist dabei ein eigenes Thema: Ein deutschsprachiges Onlineformular hilft einer Näherin in Südostasien nicht. Verlangt ist eine Ausgestaltung, die für die potenziell betroffenen Personengruppen tatsächlich erreichbar ist – gegebenenfalls mehrsprachig und über den Lieferanten kommuniziert.
Praktisch relevant ist die Schnittstelle zu einem bereits vorhandenen Hinweisgebersystem nach dem Hinweisgeberschutzgesetz. Viele Unternehmen betreiben eine solche Meldestelle bereits. Die Zusammenführung beider Kanäle ist naheliegend und reduziert Aufwand, verlangt aber eine saubere Abgrenzung der Verfahren, der Fristen und der Vertraulichkeitszusagen. Ob und wie sich beide Systeme in Ihrem Fall zusammenlegen lassen, gehört rechtlich geprüft – auch das ist keine Frage, die eine Softwareauswahl beantwortet.
Eine Richtlinie der Europäischen Union entfaltet keine unmittelbare Wirkung gegenüber Unternehmen, sondern muss von den Mitgliedstaaten in nationales Recht überführt werden. Für Deutschland bedeutet das: Nicht die Richtlinie selbst, sondern das daraus entstehende deutsche Gesetz wird maßgeblich sein – ob als Anpassung des LkSG oder als neue Regelung. Diese Umsetzung ist der Punkt, an dem sich Anwendungsbereich, Pflichtenumfang und Sanktionsmechanik konkretisieren.
Inhaltlich zielt die europäische Regelung nach dem bisherigen Diskussionsstand auf einige Punkte, die über die bisherige deutsche Konstruktion hinausgehen können. Dazu gehören eine stärkere Betonung der gesamten Wertschöpfungskette statt einer starken Fokussierung auf unmittelbare Zulieferer, eine Verknüpfung mit klimabezogenen Anforderungen und eine andere Ausgestaltung der Haftungsfragen. Zugleich unterscheiden sich Anwendungsbereich und Schwellen von der deutschen Regelung. Welche dieser Elemente in welcher Form am Ende in deutschem Recht ankommen, ist derzeit nicht abschließend zu beurteilen – belastbare Aussagen sind erst nach Abschluss des Gesetzgebungsverfahrens möglich.
Für Unternehmen mit europäischer Struktur kommt eine praktische Dimension hinzu: Solange nationale Umsetzungen nebeneinanderstehen, können in verschiedenen Mitgliedstaaten unterschiedliche Anforderungen gelten. Konzerne lösen das üblicherweise über ein gruppenweites Sorgfaltssystem, das die jeweils strengste Anforderung als Maßstab nimmt. Für den Mittelstand ist das keine sinnvolle Strategie, weil es Aufwand erzeugt, der nicht gefordert ist. Sinnvoller ist ein System, das den Kern abbildet und modular erweiterbar bleibt.
Auf europäischer Ebene läuft eine Initiative, mehrere Nachhaltigkeitsregelwerke zu bündeln, zu vereinfachen und in ihrem Anwendungsbereich zu überarbeiten. Betroffen sind unter anderem Berichtspflichten, Anwendungsschwellen und die Tiefe der geforderten Prüfungen in der Lieferkette. Auch in Deutschland diskutiert der Gesetzgeber Anpassungen, insbesondere bei Berichts- und Meldepflichten sowie bei der Ausrichtung auf die europäische Regelung. Es wäre unseriös, den Ausgang dieser Prozesse hier vorwegzunehmen.
Was sich daraus für die Planung ableiten lässt, ist trotzdem ziemlich klar. Erstens: Die inhaltliche Kernanforderung – Risiken kennen, priorisieren, Maßnahmen ergreifen, Vorgang dokumentieren – wird in keiner denkbaren Reformvariante verschwinden. Sie ist international über die Leitprinzipien der Vereinten Nationen für Wirtschaft und Menschenrechte und die einschlägigen Leitsätze der OECD verankert und findet sich in allen Regelwerken wieder. Investitionen in Lieferantenstammdaten, Risikoeinstufung und Nachweisverwaltung sind deshalb robust gegenüber der Reform.
Zweitens: Die Formvorschriften – Berichtsformate, Einreichungswege, Fristen, Schwellen – sind der volatile Teil. Wer hier vorab in maßgeschneiderte Werkzeuge investiert, riskiert Fehlinvestitionen. Die praktische Empfehlung lautet deshalb, die Substanz aufzubauen und die Form so lange generisch zu halten, bis der Rechtsstand feststeht. Drittens: Unabhängig vom Gesetz bleibt der Marktdruck bestehen. Große Kunden werden ihre Lieferantenanforderungen nicht zurücknehmen, nur weil eine Berichtspflicht entfällt – ihre eigenen Kunden, Investoren und Versicherer fragen weiter.
In der Praxis wird das LkSG regelmäßig mit anderen Vorschriften verwechselt oder vermischt, was zu unnötigem Aufwand führt. Die Nachhaltigkeitsberichterstattung von Unternehmen ist ein eigenes Regelungsfeld mit eigener Systematik; sie fragt nach Angaben und Kennzahlen, während das LkSG nach einem Sorgfaltsverfahren fragt. Beide berühren sich inhaltlich, folgen aber unterschiedlichen Logiken. Ebenfalls eigenständig sind produktbezogene Regelungen, etwa zu bestimmten Rohstoffen, zu entwaldungsfreien Lieferketten oder zu Konfliktmineralien. Sie knüpfen an Waren und deren Herkunftsnachweis an, nicht an ein Managementsystem.
Für die IT-Architektur ist diese Abgrenzung wichtiger, als sie klingt. Produktbezogene Nachweispflichten verlangen Daten am Artikel oder an der Charge – Herkunft, Geolokalisierung, Chargenrückverfolgung. Prozessbezogene Sorgfaltspflichten verlangen Daten am Geschäftspartner – Standort, Bewertung, Nachweis, Maßnahme. Wer beides in dieselbe Datenstruktur zwingt, bekommt ein System, das keine der beiden Aufgaben sauber erfüllt. Die saubere Trennung von Artikel- und Partnerstammdaten ist deshalb keine akademische Frage, sondern die Voraussetzung dafür, dass sich künftige Anforderungen ohne Umbau ergänzen lassen.
Schließlich das Verhältnis zum Hinweisgeberschutz. Die Pflicht zur Einrichtung interner Meldestellen folgt einem eigenen Gesetz mit eigenen Anforderungen an Fristen, Vertraulichkeit und Rückmeldung. Das Beschwerdeverfahren nach dem LkSG hat einen anderen Zuschnitt, überschneidet sich aber im Werkzeug. Eine gemeinsame technische Plattform bei getrennten Verfahrensordnungen ist ein gangbarer Weg, der in der Praxis häufig gewählt wird – die konkrete Ausgestaltung gehört rechtlich geprüft.
Die erste Erkenntnis in fast jedem Projekt ist ernüchternd: Es gibt kein sauberes Lieferantenverzeichnis. Was es gibt, sind Kreditorenkonten in der Buchhaltung, Einkaufsdatensätze im ERP, Kontakte in Postfächern und Tabellen einzelner Einkäufer. Diese Bestände enthalten Dubletten, inaktive Partner, Sammelkonten, Zahlungsempfänger, die keine Lieferanten sind, und Handelsvertreter, hinter denen der eigentliche Hersteller verborgen bleibt. Bevor über Risikoanalyse gesprochen werden kann, muss dieser Bestand bereinigt werden.
Die Zielstruktur ist überschaubar. Je Lieferant brauchen wir eine eindeutige Identität, den Rechtssitz, den tatsächlichen Produktions- oder Leistungsort, die bezogenen Warengruppen, das Einkaufsvolumen einer Periode, den Status im Lebenszyklus, eine fachliche Zuständigkeit im eigenen Haus und ein Feld für die Risikoeinstufung mit Begründung und Datum. Der wichtigste und zugleich am häufigsten fehlende Wert ist der Produktionsort. Eine Rechnungsanschrift in Nordrhein-Westfalen sagt nichts darüber aus, wo gefertigt wurde. Bei Handelsware ist der Ursprung ohne Nachfrage beim Lieferanten oft gar nicht bekannt.
Ein zweiter Punkt ist die Abgrenzung des relevanten Kreises. Nicht jeder Kreditor gehört in die Risikobetrachtung. Der Steuerberater, der Stromversorger und der örtliche Handwerksbetrieb sind Zulieferer im weiten Sinn, tragen aber zum Risikoprofil praktisch nichts bei. Sinnvoll ist eine Segmentierung nach Beschaffungsart: Produktionsmaterial, Handelsware, Verpackung, technische Dienstleistungen, Personaldienstleistungen, allgemeiner Bedarf. Diese Segmentierung erlaubt es, den Prüfaufwand von vornherein auf die relevanten Segmente zu richten – und sie ist gegenüber Kunden und Behörden begründbar.
Für die abstrakte Risikoeinstufung existieren öffentlich zugängliche Quellen, die sich ohne Lizenzkosten nutzen lassen: Länderindizes zu Arbeitsrechten und Gewerkschaftsfreiheit, Berichte internationaler Organisationen zu Kinder- und Zwangsarbeit, Branchenanalysen zu Rohstoffen und Fertigungsprozessen sowie die von öffentlichen Stellen bereitgestellten Risikoinstrumente für Unternehmen. Daneben gibt es kommerzielle Datendienste und Plattformen, die Bewertungen bündeln und laufend aktualisieren. Für kleinere Unternehmen genügt in der Regel die öffentliche Quellenlage, sofern die Auswahl dokumentiert und regelmäßig überprüft wird.
Methodisch bewährt hat sich eine einfache Matrix aus drei Dimensionen: Länderrisiko, Branchen- beziehungsweise Warengruppenrisiko und eigenes Einflussvermögen, hilfsweise abgebildet über den Volumenanteil. Daraus entsteht eine Einstufung in wenige Klassen – etwa gering, erhöht, hoch – mit jeweils festgelegten Konsequenzen. Wichtiger als die Verfeinerung der Skala ist die Konsequenz: Für jede Klasse muss festgelegt sein, was passiert. Eine Einstufung ohne hinterlegte Maßnahme ist reine Verwaltung.
Ein häufiger Fehler besteht darin, die Bewertung als einmaliges Projekt zu behandeln. Risikolagen ändern sich: politische Entwicklungen, Berichte über einzelne Standorte, Wechsel des Vorlieferanten, Verlagerung der Fertigung. Deshalb gehört ein Auslöser definiert, der eine erneute Prüfung anstößt – mindestens die jährliche Wiederholung, zusätzlich anlassbezogen bei neuen Informationen, bei Aufnahme neuer Warengruppen und bei Änderungen im Beschaffungsland. Diese Auslöser lassen sich technisch als Wiedervorlage abbilden und gehören in die Systemlandschaft, nicht in den Kopf einer einzelnen Person.
Audits sind das teuerste Instrument im Werkzeugkasten und werden am häufigsten falsch eingesetzt. Ein Vor-Ort-Audit bei einem Lieferanten mit geringem Risiko und kleinem Volumen kostet mehr, als es an Erkenntnis bringt. Sinnvoll ist eine Staffelung: Selbstauskunft als Regelfall, Prüfung vorhandener Auditberichte und Zertifikate als zweite Stufe, eigene oder beauftragte Prüfung als dritte Stufe für die kleine Gruppe kritischer Lieferanten. Wo Branchenstandards mit anerkannten Auditprogrammen existieren, spart deren Anerkennung erheblichen Aufwand auf beiden Seiten – vorausgesetzt, der Standard deckt die eigenen Prüfinhalte ab.
Bei Vertragsklauseln lohnt sich Sorgfalt in der Formulierung. Sinnvolle Bausteine sind die Anerkennung eines Verhaltenskodex, die Verpflichtung zur Weitergabe der Anforderungen an unmittelbare Vorlieferanten, eine Informationspflicht bei Kenntnis von Vorfällen, ein angemessenes Prüf- und Auskunftsrecht, die Bereitschaft zur Mitwirkung an Abhilfemaßnahmen und gestufte Rechtsfolgen. Übermäßig weit gefasste Zusicherungen erzeugen ein Risiko für den Zulieferer und liefern dem Kunden trotzdem keine Sicherheit. Die Ausgestaltung solcher Klauseln ist eine juristische Aufgabe, die wir hier nicht ersetzen.
Der Eskalationsweg schließlich entscheidet darüber, ob ein Verdachtsfall geordnet oder chaotisch abläuft. Festzulegen sind: Wer nimmt eine Meldung entgegen, wer prüft die Plausibilität, in welcher Frist erfolgt eine erste Bewertung, wer entscheidet über eine vertiefte Untersuchung, ab welcher Schwere wird die Geschäftsleitung eingebunden, wer kommuniziert mit dem Lieferanten, und wie wird das Ergebnis dokumentiert. Diese Festlegungen passen auf eine Seite. Sie im Ruhezustand zu treffen ist ungleich einfacher, als sie unter dem Druck eines konkreten Vorwurfs zu improvisieren.
Der Kern besteht aus fünf Objekten. Erstens der Geschäftspartner mit eindeutiger Identität, Rechtssitz, Produktionsstandorten, Warengruppen, Volumen und Status. Zweitens die Risikoeinstufung als eigenes Objekt mit Bewertungsdatum, verwendeten Quellen, Ergebnis, Begründung und verantwortlicher Person – bewusst als Historie, nicht als überschreibbares Feld, damit frühere Einschätzungen nachvollziehbar bleiben. Drittens der Nachweis: Selbstauskunft, Zertifikat, Auditbericht, Kodexunterzeichnung, jeweils mit Gültigkeitszeitraum, Quelle und Zuordnung zum Partner oder Standort.
Viertens die Maßnahme mit Auslöser, Beschreibung, Verantwortlichem, Frist, Status und Wirksamkeitsprüfung. Fünftens der Vorgang aus dem Beschwerdeverfahren, der aus Datenschutzgründen besonders zu behandeln ist und in der Regel getrennt von den übrigen Objekten geführt wird. Diese fünf Objekte reichen aus, um den gesamten Sorgfaltsprozess abzubilden. Alles Weitere ist Komfort. Wer sie sauber modelliert, kann jedes Berichtsformat daraus erzeugen und ist gegenüber Formänderungen robust.
Die Verwaltung von Fragebögen hat zwei Richtungen, die im Mittelstand beide vorkommen. Nach außen: Man erhält Fragebögen von Kunden und muss sie beantworten. Nach innen: Man verschickt Fragebögen an eigene Lieferanten und muss die Antworten auswerten. Beide Richtungen profitieren von derselben Maßnahme – einer internen Faktenbasis, in der die immer gleichen Angaben einmal gepflegt und belegt sind.
Diese Faktenbasis enthält typischerweise: Angaben zum Unternehmen und zu den Standorten, Beschäftigtenstruktur und Arbeitsbedingungen, vorhandene Managementsysteme und Zertifikate, die Grundsatzerklärung, das Beschwerdeverfahren, die Beschaffungsstruktur mit Herkunftsländern, den Umgang mit der eigenen Vorstufe und die Ansprechpartner. Jede Angabe wird mit einem Beleg und einem Stand versehen. Aus dieser Basis lässt sich ein beliebiger Fragebogen in einem Bruchteil der Zeit befüllen, und – wichtiger – die Antworten sind über alle Kunden hinweg konsistent. Widersprüchliche Angaben gegenüber verschiedenen Kunden sind ein Risiko, das man leicht vermeidet und schwer repariert.
Für die Nachweisverwaltung sind drei Eigenschaften entscheidend: Gültigkeitsdaten mit automatischer Wiedervorlage vor Ablauf, eine eindeutige Zuordnung zum Partner beziehungsweise zum konkreten Standort und eine Versionierung, die frühere Stände erhält. Zertifikate laufen ab, Auditberichte veralten, Erklärungen werden erneuert. Ohne Fristenkontrolle entsteht ein Bestand, der auf dem Papier vollständig aussieht und inhaltlich abgelaufen ist. Diese Fristenkontrolle ist der Punkt, an dem sich eine Tabellenlösung von einer Systemlösung am deutlichsten unterscheidet.
Die Dokumentation muss nachvollziehbar sein und über einen festgelegten Zeitraum aufbewahrt werden. Für die IT bedeutet das vier Anforderungen. Erstens Unveränderbarkeit im Sinne der Nachvollziehbarkeit: Änderungen dürfen möglich sein, müssen aber protokolliert werden, sodass ersichtlich bleibt, wer wann was geändert hat. Zweitens Vollständigkeit: Zu jeder Einstufung gehören die Quellen und die Begründung, nicht nur das Ergebnis. Drittens Verfügbarkeit: Die Unterlagen müssen innerhalb angemessener Zeit auffindbar sein, was ohne konsistente Verschlagwortung nicht funktioniert. Viertens Aufbewahrung: Löschroutinen dürfen nicht gegen die Aufbewahrungspflicht arbeiten.
Was Revisionssicherheit nicht bedeutet: dass ein besonderes Produkt gekauft werden muss. Ein Dokumentenmanagementsystem mit Versionierung, Protokollierung und Rechtekonzept erfüllt die Anforderungen in aller Regel. Eine geordnete Ablage auf einem Dateiserver mit klarer Struktur, gesicherten Berechtigungen und regelmäßiger Sicherung kann als Übergangslösung genügen, wenn die Änderungshistorie anderweitig belegt ist. Kritisch wird es bei Ablagen in persönlichen Postfächern und lokalen Tabellen – dort ist weder Nachvollziehbarkeit noch Verfügbarkeit gegeben, und beim Ausscheiden der zuständigen Person ist der Nachweis verloren.
Am stabilsten arbeiten regelbasierte Automatisierungen ohne jede KI. Eine Wiedervorlage, die neunzig Tage vor Ablauf eines Zertifikats eine Aufgabe erzeugt, ist banal und außerordentlich wirksam. Ein Onboarding-Ablauf, der bei Anlage eines Lieferanten aus einem als erhöht eingestuften Land automatisch einen Prüfschritt einfügt, verhindert genau die Lücke, die später im Audit auffällt. Eine Auswertung, die monatlich zeigt, welcher Anteil des Einkaufsvolumens durch gültige Nachweise abgedeckt ist, macht Fortschritt sichtbar. Diese Bausteine brauchen kein Sprachmodell, sondern Disziplin bei der Datenpflege.
Sprachmodelle kommen dort ins Spiel, wo unstrukturierter Text verarbeitet werden muss. Der überzeugendste Anwendungsfall ist die Vorstrukturierung: Ein Auditbericht von vierzig Seiten wird in eine Übersicht überführt, die Geltungsbereich, Prüfzeitraum, festgestellte Abweichungen und vereinbarte Maßnahmen benennt und jeweils die Fundstelle angibt. Die Fundstelle ist dabei kein Detail, sondern die Bedingung für Brauchbarkeit: Eine Zusammenfassung ohne Verweis auf die Quelle ist im regulatorischen Kontext wertlos, weil sie nicht überprüft werden kann.
Sprachmodelle erzeugen plausibel klingende Ausgaben, auch wenn die zugrunde liegende Information fehlt oder falsch ist. In einem Marketingtext ist das ärgerlich, in einer Risikoanalyse ist es gefährlich. Drei Fehlerbilder treten in diesem Anwendungsfeld regelmäßig auf. Erstens die Namensverwechslung: Firmen mit ähnlichen Namen, Tochtergesellschaften und Standorte mit gleichlautenden Ortsbezeichnungen werden zusammengeworfen, und ein Vorfall wird dem falschen Lieferanten zugeordnet. Zweitens die Auslassung: Eine Zusammenfassung übergeht einen Nebensatz, in dem die entscheidende Einschränkung des Geltungsbereichs steht. Drittens die scheinbare Präzision: Ein Modell erzeugt eine Bewertungszahl, die nach Messung aussieht und tatsächlich eine Schätzung ohne belastbare Grundlage ist.
Daraus folgt eine klare Arbeitsteilung. KI darf sammeln, sortieren, extrahieren, zusammenfassen und Entwürfe vorschlagen. Sie darf nicht entscheiden, ob ein Lieferant als unkritisch eingestuft wird, ob ein Hinweis begründet ist, ob eine Maßnahme ausreicht oder ob eine Geschäftsbeziehung fortgeführt wird. Diese Entscheidungen tragen eine Verantwortung, die beim Unternehmen liegt und die sich nicht an ein System delegieren lässt. Praktisch heißt das: Jede KI-gestützte Vorbewertung wird von einer benannten Person geprüft und mit einer eigenen Begründung versehen, bevor sie zur dokumentierten Einstufung wird.
Hinzu kommen Anforderungen an Nachvollziehbarkeit. Wenn eine Behörde oder ein Kunde fragt, wie eine Einstufung zustande kam, ist die Antwort, ein System habe das so berechnet, keine ausreichende Erklärung. Deshalb gehört bei jedem KI-gestützten Schritt festgehalten, welches Verfahren eingesetzt wurde, welche Quellen es verarbeitet hat, wann die Prüfung stattfand und wer das Ergebnis bestätigt hat. Das ist kein bürokratischer Zusatz, sondern genau die Dokumentation, die der Sorgfaltsprozess ohnehin verlangt.
Zwei Datenkategorien sind hier besonders empfindlich. Die erste sind Hinweise aus dem Beschwerdeverfahren: Sie können Angaben zu identifizierbaren Personen enthalten, teils zu besonders geschützten Kategorien, und sie unterliegen Vertraulichkeitszusagen. Solche Inhalte gehören grundsätzlich nicht in allgemeine KI-Dienste. Die zweite sind Lieferantendaten mit Geschäftsgeheimnischarakter – Konditionen, Bezugsquellen, Kapazitäten. Auch hier gilt: Vor jeder Verarbeitung ist zu klären, wo die Daten verarbeitet werden, ob sie zum Training verwendet werden und welche vertraglichen Zusagen der Anbieter macht.
Für Unternehmen mit Anforderungen an europäische Verarbeitung führt das zu einer bewussten Auswahl: Verarbeitung in der Europäischen Union, vertraglich ausgeschlossene Trainingsnutzung, dokumentierte Unterauftragnehmer, Vertrag zur Auftragsverarbeitung. Wo diese Bedingungen nicht erfüllbar sind, bleibt der Weg über die Anonymisierung – Auswertung ohne Firmennamen und Personenbezug, Zuordnung erst im eigenen System. Das kostet etwas Komfort und löst die meisten Bedenken. Die datenschutzrechtliche Bewertung des konkreten Einsatzes gehört zum eigenen Datenschutzbeauftragten.
Die erste Entscheidung ist die Segmentierung. Wer alle Kreditoren gleich behandelt, erzeugt ein Vielfaches des notwendigen Aufwands. Eine begründete Eingrenzung auf die tatsächlich relevanten Beschaffungssegmente reduziert die Zahl der zu betrachtenden Partner in typischen Fällen erheblich – und sie ist gegenüber Kunden und Behörden gut vertretbar, solange die Begründung dokumentiert ist.
Die zweite Entscheidung betrifft die Prüftiefe. Es ist verlockend, jedem Lieferanten denselben ausführlichen Fragebogen zu schicken. Wirksamer ist ein kurzer Basisfragebogen für alle relevanten Lieferanten und ein ausführlicher nur für die erhöht eingestuften. Das entlastet nicht nur das eigene Haus, sondern auch die Lieferanten – und erhöht damit die Rücklaufquote, die bei überlangen Fragebögen erfahrungsgemäß einbricht.
Die dritte Entscheidung ist die Anerkennung vorhandener Nachweise. Viele Lieferanten verfügen bereits über Bewertungen aus Branchenprogrammen, über Zertifikate zu Arbeitsschutz oder Umweltmanagement oder über Auditberichte, die ein Kunde bereits erhoben hat. Diese Nachweise anzuerkennen, statt eigene Erhebungen zu verlangen, spart auf beiden Seiten Zeit. Voraussetzung ist eine kurze Prüfung, ob der Standard die eigenen Inhalte abdeckt und ob der Geltungsbereich den relevanten Standort einschließt.
Die vierte Entscheidung ist die Zusammenarbeit mit Kunden. Wer von mehreren großen Kunden ähnliche Anforderungen erhält, sollte das Gespräch suchen: Häufig akzeptieren Kunden ein bereits erstelltes Dokument, eine bestehende Plattformbewertung oder einen vorhandenen Auditbericht, wenn man aktiv darauf hinweist. Das aktive Angebot einer Alternative funktioniert deutlich besser als die passive Bearbeitung jeder einzelnen Anfrage im gelieferten Format.
Im Markt haben sich Sammelplattformen und Standardformate etabliert, über die Lieferanten ihre Angaben einmal hinterlegen und mehreren Kunden freigeben. Es gibt Bewertungsplattformen mit Punktesystem, Auditprogramme mit anerkannten Prüfstandards, Branchenlösungen einzelner Wirtschaftszweige und frei verfügbare Musterfragebögen von Verbänden und öffentlichen Stellen. Für den Zulieferer kann eine solche Plattform Aufwand bündeln – vorausgesetzt, seine Kunden akzeptieren sie tatsächlich.
Vor der Registrierung lohnen sich drei Prüffragen. Erstens: Verlangen mehrere meiner Kunden diese Plattform, oder nur einer? Bei einem einzelnen Kunden ist die Direktbeantwortung häufig günstiger. Zweitens: Welche laufenden Kosten und welcher Pflegeaufwand entstehen, und wer aktualisiert die Angaben? Eine veraltete Plattformbewertung ist schlechter als keine. Drittens: Welche Daten werden dort gespeichert, wer hat Zugriff und wo findet die Verarbeitung statt? Das ist keine akademische Frage, weil Standortangaben, Beschäftigtenstrukturen und Auditbefunde sensible Geschäftsinformationen sind.
Für den einkaufenden Mittelständler gilt die Umkehrung: Der Einsatz einer Plattform lohnt sich, wenn die eigene Lieferantenzahl im relevanten Segment groß genug ist, dass manuelle Erhebung nicht mehr trägt. Darunter ist ein strukturierter Fragebogen per E-Mail mit disziplinierter Ablage vollkommen ausreichend und deutlich günstiger. Die Entscheidung sollte an der Zahl der Vorgänge hängen, nicht an dem Wunsch, ein professionelles Werkzeug vorweisen zu können.
Für unmittelbar verpflichtete Unternehmen sieht das Gesetz behördliche Instrumente vor: Auskunfts- und Vorlageverlangen, Kontrollen, Anordnungen zur Beseitigung von Mängeln sowie Sanktionen bei Verstößen gegen die Pflichten. Über die Höhe möglicher Bußgelder machen wir hier bewusst keine Angaben; der Rahmen ergibt sich aus dem geltenden Recht, ist an Bemessungsgrößen geknüpft und Gegenstand der laufenden Diskussion. Wesentlich für die Praxis ist die Beobachtung, dass Sanktionen nicht an das Vorliegen einer Menschenrechtsverletzung anknüpfen, sondern an das Fehlen oder die Mangelhaftigkeit des Sorgfaltsverfahrens. Wer ein dokumentiertes Verfahren betreibt und es nachweisen kann, steht damit strukturell besser da als jemand, der auf ein sauberes Gewissen verweist.
Neben behördlichen Folgen existiert ein Ausschlussrisiko, das für den Mittelstand meist relevanter ist. In der öffentlichen Beschaffung können Verstöße gegen arbeits- und sozialrechtliche Vorgaben zu Ausschlüssen von Vergabeverfahren führen; die konkreten Voraussetzungen richten sich nach dem Vergaberecht und sind im Einzelfall zu prüfen. Im privatwirtschaftlichen Bereich entscheidet der Kunde. Ein Lieferant, der Nachweise nicht liefert oder bei einem Vorfall nicht auskunftsfähig ist, wird im Zweifel ausgelistet – ohne Verfahren, ohne Frist, ohne Begründungspflicht. Dieses Risiko ist nicht rechtlicher, sondern kommerzieller Natur und tritt deutlich häufiger ein.
Ein dritter Risikobereich betrifft die Reputation. Berichte über Zustände bei Vorlieferanten treffen im öffentlichen Bild häufig die bekannteste Marke der Kette, nicht den Verursacher. Für ein mittelständisches Unternehmen mit regionalem Namen ist das weniger wahrscheinlich, aber nicht ausgeschlossen – insbesondere dann, wenn es als Zulieferer einer bekannten Marke identifiziert wird. Auch dieser Punkt spricht dafür, das Verfahren nicht nur zu haben, sondern die Kommunikationsfähigkeit im Ernstfall vorzubereiten.
Schließlich der Umgang mit zivilrechtlichen Fragen. Das Gesetz ist in seiner Konzeption nicht darauf angelegt, eine zusätzliche zivilrechtliche Haftung zu begründen; zugleich bleiben allgemeine haftungsrechtliche Grundsätze unberührt, und es existieren prozessuale Möglichkeiten der Rechtsdurchsetzung durch Dritte. Wie diese Fragen im Einzelfall zu bewerten sind und wie sich der Rechtsrahmen im Zuge der europäischen Umsetzung entwickelt, ist eine juristische Fragestellung, die dieser Beitrag ausdrücklich nicht beantwortet.
Das Beschwerdeverfahren ist der Ort, an dem der Sorgfaltsprozess mit besonders sensiblen Daten in Berührung kommt. Ein Hinweis kann Angaben zur hinweisgebenden Person, zu benannten Beschäftigten, zu Vorgesetzten und zu Vorfällen enthalten, die gesundheitliche, ethnische oder gewerkschaftliche Aspekte berühren. Der Schutz dieser Daten ist keine Nebenanforderung, sondern Voraussetzung dafür, dass das Verfahren überhaupt genutzt wird. Wer den Eindruck erweckt, Meldungen könnten zurückverfolgt werden, bekommt keine Meldungen – und ein Verfahren ohne Meldungen ist kein Wirksamkeitsnachweis, sondern ein Warnsignal.
Technisch und organisatorisch folgen daraus konkrete Anforderungen: ein getrennter, eng berechtigter Datenbereich; die Möglichkeit vertraulicher und je nach Ausgestaltung anonymer Meldung; ein dokumentierter Bearbeitungsablauf mit Fristen; eine unparteiische, geschulte Bearbeitung; klare Regeln, wer welche Informationen sehen darf; und ein Löschkonzept, das die Aufbewahrung auf das Erforderliche begrenzt. Die Abgrenzung zum Hinweisgeberschutz nach dem einschlägigen Gesetz und die konkrete Ausgestaltung von Fristen, Rückmeldungen und Dokumentation gehören rechtlich geprüft.
Auch außerhalb des Beschwerdeverfahrens entstehen personenbezogene Daten. Auditberichte enthalten Angaben zu Beschäftigten und Interviewpartnern, Selbstauskünfte nennen Ansprechpartner, Sanktionslistenprüfungen verarbeiten Namen und Geburtsdaten. Für all diese Verarbeitungen braucht es eine Rechtsgrundlage, einen Eintrag im Verarbeitungsverzeichnis, ein Berechtigungskonzept und eine Löschregel. Besondere Vorsicht ist bei Auditberichten geboten, die Interviewaussagen einzelnen Personen zuordnen – solche Berichte gehören nicht in eine allgemein zugängliche Lieferantenakte.
Die Werkzeuge in diesem Feld sind überwiegend Cloud-Dienste, und ein erheblicher Teil der Anbieter sitzt außerhalb der Europäischen Union. Das ist kein Ausschlussgrund, aber es verlangt eine bewusste Entscheidung. Zu klären ist, wo verarbeitet und gespeichert wird, welche Unterauftragnehmer beteiligt sind, welche vertraglichen Zusagen der Anbieter macht und welche Zugriffsmöglichkeiten Dritter bestehen. Bei Beschwerdedaten und bei Auditberichten mit Personenbezug ist die Anforderung an Vertraulichkeit besonders hoch, und viele Unternehmen entscheiden sich hier bewusst für eine Verarbeitung innerhalb der Europäischen Union oder für den Eigenbetrieb.
Ein zweiter Aspekt betrifft die Abhängigkeit. Lieferantenbewertungen, Nachweise und Historien, die über Jahre in einer externen Plattform entstehen, sind ein Vermögenswert. Wenn sie sich nicht strukturiert exportieren lassen, entsteht eine Bindung, die bei Preiserhöhungen oder Anbieterwechseln teuer wird. Die vertragliche Sicherung eines vollständigen, verwertbaren Exports gehört deshalb in jede Verhandlung – und zwar bevor unterschrieben wird, nicht wenn der Wechsel ansteht.
Der dritte Aspekt ist die Kette selbst. Ein Sorgfaltsprozess, der über eine Plattform läuft, die wiederum Datendienste einbindet, die ihrerseits Modelle eines weiteren Anbieters nutzen, ist nur so souverän wie sein schwächstes Glied. Wer diese Kette einmal aufzeichnet, erkennt schnell, wo die eigentlichen Abhängigkeiten liegen. Diese Aufzeichnung ist ohnehin für das Verarbeitungsverzeichnis nötig und kostet wenig Zusatzaufwand.
