Hinter dem LkSG steht eine Beobachtung, die sich über Jahrzehnte verfestigt hat: Globale Lieferketten sind lang, arbeitsteilig und für Außenstehende schwer zu durchschauen. Zwischen dem Rohstoff und dem fertigen Produkt liegen häufig viele Stationen in unterschiedlichen Ländern mit sehr unterschiedlichen Standards. Freiwillige Selbstverpflichtungen haben in der Vergangenheit nur begrenzt gewirkt. Das LkSG reagiert darauf, indem es ein Mindestmaß an Sorgfalt nicht dem guten Willen einzelner Unternehmen überlässt, sondern rechtlich verbindlich einfordert – und die Erfüllung dieser Sorgfalt durch eine Behörde beaufsichtigen lässt.
Ein zentrales Missverständnis gilt es früh auszuräumen: Das LkSG verlangt von Unternehmen nicht, dass in ihrer gesamten Lieferkette jede Menschenrechtsverletzung mit Sicherheit ausgeschlossen wird. Das wäre bei komplexen, globalen Lieferketten schlicht unmöglich. Das Gesetz begründet vielmehr eine Bemühenspflicht: Unternehmen müssen angemessene Anstrengungen unternehmen, um Risiken zu erkennen, zu vermeiden und zu mindern. Maßstab ist nicht das perfekte Ergebnis, sondern das ernsthafte, systematische und nachvollziehbare Bemühen.
Dieser Unterschied ist für die Praxis entscheidend und zugleich entlastend. Er nimmt Unternehmen die Angst vor einer unerfüllbaren Garantie und lenkt den Blick auf das Machbare: einen strukturierten Prozess, der Risiken sichtbar macht und darauf reagiert. Das LkSG folgt damit einem Ansatz, der international als menschenrechtliche Sorgfaltspflicht bekannt ist und maßgeblich von den Leitprinzipien der Vereinten Nationen für Wirtschaft und Menschenrechte geprägt wurde.
Das LkSG schützt zwei Bereiche: die Menschenrechte und – in einem definierten Umfang – die Umwelt. Bei den Menschenrechten geht es um Themen wie das Verbot von Kinder- und Zwangsarbeit, den Schutz vor Diskriminierung, die Achtung der Vereinigungsfreiheit, den Arbeits- und Gesundheitsschutz sowie das Verbot des Vorenthaltens eines angemessenen Lohns. Der Umweltschutz ist im Gesetz eng an bestimmte internationale Übereinkommen geknüpft, etwa im Umgang mit gefährlichen Stoffen und Abfällen, wird aber auch dort relevant, wo Umweltschäden mittelbar Menschenrechte gefährden.
Diese beiden Schutzgüter sind kein abstrakter Zusatz, sondern der eigentliche Kern des Gesetzes. Alle im weiteren Verlauf beschriebenen Pflichten – Risikoanalyse, Prävention, Abhilfe, Beschwerdeverfahren, Berichterstattung – dienen letztlich dem Ziel, diese Rechtsgüter entlang der Lieferkette wirksamer zu schützen. Wer das LkSG verstehen will, sollte deshalb nicht bei den Formalien beginnen, sondern bei der Frage, welche realen Risiken für Menschen und Umwelt im eigenen Beschaffungsumfeld tatsächlich bestehen.
Ein ehrlicher Hinweis gehört an den Anfang jeder Beschäftigung mit dem LkSG: Das regulatorische Umfeld ist stark in Bewegung. Auf europäischer Ebene entsteht mit der Richtlinie über die Sorgfaltspflichten von Unternehmen im Hinblick auf Nachhaltigkeit (CSDDD) ein umfassenderer Rahmen, dessen nationale Umsetzung das deutsche Recht verändern und Teile des LkSG ablösen oder anpassen kann. Zugleich werden Anwendungsbereich, Schwellenwerte und einzelne Anforderungen politisch immer wieder diskutiert und können sich ändern.
Aus diesem Grund verzichtet dieser Beitrag bewusst auf die Nennung exakter Schwellenwerte, Fristen oder Bußgeldhöhen – solche Zahlen sind volatil und sollten stets am aktuellen amtlichen Stand geprüft werden. Die inhaltliche Stoßrichtung des LkSG steht hingegen fest: angemessene Sorgfalt, Transparenz über die Lieferkette und ein wirksamer Umgang mit Risiken. Wer diese Fähigkeiten aufbaut, ist unabhängig von einzelnen Detailregelungen gut vorbereitet und auch auf die kommenden europäischen Anforderungen besser eingestellt.
Das LkSG richtet sich zunächst an Unternehmen ab einer bestimmten Größe, die ihre Hauptverwaltung, Hauptniederlassung, ihren Verwaltungssitz oder satzungsmäßigen Sitz in Deutschland haben; erfasst werden unter bestimmten Voraussetzungen auch inländische Zweigniederlassungen ausländischer Unternehmen. Der Kreis der unmittelbar verpflichteten Unternehmen wurde seit dem Inkrafttreten schrittweise erweitert. Die genauen Größenschwellen – gemessen an der Zahl der Beschäftigten – nennen wir hier bewusst nicht, weil sie sich aus dem Gesetz ergeben, politisch diskutiert werden und am aktuellen amtlichen Stand zu prüfen sind.
Ob ein Unternehmen unmittelbar unter das LkSG fällt, hängt im Kern von zwei Faktoren ab: dem Inlandsbezug und der Unternehmensgröße. Anders als bei sektorspezifischen Regelungen kommt es dabei nicht auf die Branche an – das LkSG gilt branchenübergreifend. Für die Beschäftigtenschwelle werden in bestimmten Konstellationen auch ins Inland entsandte Arbeitnehmer sowie – innerhalb von Konzernstrukturen – Beschäftigte verbundener Unternehmen einbezogen. Die genaue Zählweise ist im Detail auslegungsbedürftig und sollte fachkundig geprüft werden.
Für direkt verpflichtete Unternehmen bedeutet die Betroffenheit, dass sie den vollständigen Katalog der Sorgfaltspflichten erfüllen und dies gegenüber der Aufsichtsbehörde nachweisen müssen. Die Prüfung der eigenen Betroffenheit sollte deshalb strukturiert erfolgen und dokumentiert werden – nicht zuletzt, weil sich die Schwellen über die Zeit verändert haben und ein Unternehmen durch Wachstum oder Umstrukturierung neu in den Anwendungsbereich hineinwachsen kann.
Für die meisten kleinen und mittleren Unternehmen ist nicht die direkte, sondern die mittelbare Betroffenheit der eigentlich relevante Weg. Verpflichtete Unternehmen müssen ihre Sorgfaltspflichten auch mit Blick auf ihre Zulieferer erfüllen. Deshalb geben sie Anforderungen an ihre Lieferanten weiter: durch Verhaltenskodizes, Selbstauskünfte, Fragebögen, Vertragsklauseln und die Bitte um Nachweise. Ein KMU, das selbst nicht unter das Gesetz fällt, kann so trotzdem faktisch verpflichtet werden, bestimmte Standards einzuhalten und zu belegen – schlicht, weil ein großer Kunde dies zur Voraussetzung der Geschäftsbeziehung macht.
Diese Kaskadenwirkung ist kein Nebeneffekt, sondern gesetzlich angelegt: Nur wenn Anforderungen die Lieferkette hinunterwandern, kann das übergeordnete Ziel des Gesetzes erreicht werden. Für den Mittelstand heißt das, sich auf entsprechende Anfragen einzustellen, auch wenn keine unmittelbare gesetzliche Pflicht besteht. Wer hier vorbereitet ist und Nachweise sauber liefern kann, sichert seine Position in der Lieferkette – wer die Entwicklung ignoriert, riskiert, aus Ausschreibungen oder Rahmenverträgen herauszufallen. Kapitel 08 vertieft diese Zulieferer-Perspektive.
Das LkSG unterscheidet, wie weit die Sorgfaltspflichten reichen. Im Zentrum stehen der eigene Geschäftsbereich und die unmittelbaren Zulieferer, also die direkten Vertragspartner. Für mittelbare Zulieferer – die Vorlieferanten der eigenen Lieferanten und die tieferen Stufen der Kette – gelten die Pflichten grundsätzlich abgeschwächt und vor allem anlassbezogen: nämlich dann, wenn ein Unternehmen substantiierte Kenntnis von möglichen Verstößen erlangt. In diesem Fall muss es tätig werden und die tieferen Stufen in die Risikobetrachtung einbeziehen.
Diese Abstufung trägt der Realität Rechnung: Der direkte Einfluss eines Unternehmens ist bei unmittelbaren Vertragspartnern am größten und nimmt in tieferen Stufen der Lieferkette ab. Das Gesetz verlangt keine lückenlose Durchleuchtung der gesamten globalen Kette, wohl aber ein wachsames Vorgehen, das auf Hinweise reagiert. Die genaue Reichweite der Pflichten im Einzelfall ist eine Rechtsfrage und sollte am aktuellen Stand fachkundig geprüft werden.
Der Gesetzgeber hat die Sorgfaltspflichten bewusst als Kreislauf angelegt, der sich am Prinzip der kontinuierlichen Verbesserung orientiert. Risiken werden erkannt, bewertet, mit angemessenen Maßnahmen behandelt, die Wirksamkeit wird überprüft, und der Prozess beginnt von neuem. Damit ähnelt die Logik der eines Managementsystems, wie man es aus dem Qualitäts- oder dem Informationssicherheitsmanagement kennt. Diese Verwandtschaft ist hilfreich, weil Unternehmen mit bestehenden Managementsystemen darauf aufbauen können.
Das LkSG benennt eine Reihe von Pflichten, die zusammen die Sorgfalt ausmachen. Dazu gehören insbesondere die Einrichtung eines Risikomanagements und die Festlegung einer betriebsinternen Zuständigkeit, die Durchführung regelmäßiger Risikoanalysen, die Abgabe einer Grundsatzerklärung zur Menschenrechtsstrategie, die Verankerung von Präventionsmaßnahmen im eigenen Geschäftsbereich und gegenüber unmittelbaren Zulieferern, das Ergreifen von Abhilfemaßnahmen bei festgestellten Verletzungen, die Einrichtung eines Beschwerdeverfahrens sowie die laufende Dokumentation und die jährliche Berichterstattung.
Wichtig ist, diese Aufzählung nicht als abzuhakende Liste zu lesen, sondern als miteinander verbundene Elemente. Die Risikoanalyse liefert die Grundlage, auf der Prävention und Abhilfe ansetzen. Das Beschwerdeverfahren ist zugleich ein Frühwarnsystem, das neue Risiken sichtbar macht. Die Dokumentation begleitet alle Schritte und mündet in den jährlichen Bericht. Erst im Zusammenspiel entsteht das, was das Gesetz unter angemessener Sorgfalt versteht.
Am Anfang steht die Einrichtung eines angemessenen und wirksamen Risikomanagements, das in alle maßgeblichen Geschäftsabläufe eingebettet sein soll. Es geht nicht um eine isolierte Stabsstelle, sondern um die Verankerung der Sorgfalt in den Prozessen, in denen tatsächlich beschafft, ausgewählt und entschieden wird – von der Lieferantenauswahl über den Einkauf bis zur Produktentwicklung. Das Gesetz verlangt zudem, eine betriebsinterne Zuständigkeit festzulegen, häufig in Gestalt einer oder eines Menschenrechtsbeauftragten, die den Prozess überwacht.
Die Unternehmensleitung ist ausdrücklich in der Verantwortung: Sie muss sich regelmäßig über die Arbeit informieren und die notwendige Ausstattung sicherstellen. Damit ist die Sorgfaltspflicht Chefsache und lässt sich nicht vollständig delegieren. Für die Praxis bedeutet das, klare Rollen, Berichtswege und Entscheidungsbefugnisse zu schaffen, damit die Sorgfaltspflichten nicht im Alltag untergehen.
Die Grundsatzerklärung zur Menschenrechtsstrategie ist das nach außen und innen sichtbare Bekenntnis des Unternehmens. In ihr legt das Unternehmen unter anderem dar, wie es seine Sorgfaltspflichten versteht, welche prioritären Risiken es für sich identifiziert hat und welche Erwartungen es an Beschäftigte und Zulieferer richtet. Die Erklärung wird von der Unternehmensleitung verabschiedet und soll den relevanten Anspruchsgruppen zugänglich gemacht werden.
Die Grundsatzerklärung ist kein reines Lippenbekenntnis, sondern der Bezugspunkt für das gesamte weitere Handeln. Sie sollte auf den Ergebnissen der Risikoanalyse aufbauen und im Zeitverlauf aktualisiert werden, wenn sich die Risikolage verändert. Eine Erklärung, die zu den tatsächlich identifizierten Risiken und zu den ergriffenen Maßnahmen passt, ist glaubwürdiger und im Zweifel auch gegenüber der Aufsicht belastbarer als ein allgemein gehaltenes Bekenntnis ohne konkreten Bezug.
Das Gesetz verlangt eine regelmäßige Risikoanalyse – typischerweise mindestens einmal jährlich – sowie eine anlassbezogene Analyse, wenn sich die Risikolage wesentlich verändert, etwa durch neue Produkte, neue Beschaffungswege oder neue Zulieferer. Damit wird die Analyse zur Daueraufgabe und nicht zur einmaligen Übung. Sie erstreckt sich auf den eigenen Geschäftsbereich und die unmittelbaren Zulieferer; die tieferen Stufen der Lieferkette werden anlassbezogen einbezogen, sobald belastbare Hinweise vorliegen.
Eine tragfähige Risikoanalyse verläuft in mehreren Schritten. Zunächst gilt es, Transparenz über die eigene Lieferkette zu schaffen: Welche Zulieferer gibt es, welche Waren und Dienstleistungen kommen woher, welche Länder und Branchen sind beteiligt? Auf dieser Grundlage werden abstrakte Risiken bestimmt – etwa anhand von Länder-, Branchen- und Produktrisiken – und anschließend konkretisiert. Schließlich werden die identifizierten Risiken gewichtet und priorisiert, denn nicht jedes Risiko ist gleich schwerwiegend oder gleich wahrscheinlich.
Für die Priorisierung nennt das Gesetz Kriterien wie die Schwere und die Wahrscheinlichkeit einer möglichen Verletzung, die Art des Verursachungsbeitrags des Unternehmens und dessen Einflussmöglichkeit. Dieses Vorgehen ist bewusst risikobasiert: Ressourcen sollen dort eingesetzt werden, wo sie den größten Schutz bewirken. Eine gute Analyse verbindet daher externe Informationsquellen – Länderberichte, Brancheninformationen, Hinweise aus dem Beschwerdeverfahren – mit dem konkreten Wissen über die eigene Lieferkette.
Auf Basis der Analyse müssen Präventionsmaßnahmen verankert werden. Im eigenen Geschäftsbereich kann das etwa die Umsetzung der Menschenrechtsstrategie in relevanten Abläufen, die Schulung von Beschäftigten und die Einführung geeigneter Beschaffungspraktiken bedeuten. Gegenüber unmittelbaren Zulieferern kommen Maßnahmen wie die vertragliche Zusicherung der Einhaltung von Standards, die Vereinbarung von Kontrollmechanismen, Schulungs- und Weiterbildungsangebote sowie eine risikobasierte Auswahl und Überprüfung der Lieferanten in Betracht.
Entscheidend ist auch hier die Angemessenheit. Nicht jede denkbare Maßnahme ist verpflichtend, sondern diejenigen, die im Verhältnis zum Risiko und zur Einflussmöglichkeit des Unternehmens angemessen und wirksam sind. Präventionsmaßnahmen sollten regelmäßig auf ihre Wirksamkeit überprüft und bei Bedarf angepasst werden. Ein reines Einholen unterschriebener Verhaltenskodizes ohne begleitende Prüfung und Unterstützung greift in aller Regel zu kurz.
Stellt ein Unternehmen fest, dass eine Verletzung bereits eingetreten ist oder unmittelbar bevorsteht, muss es unverzüglich Abhilfemaßnahmen ergreifen, um die Verletzung zu verhindern, zu beenden oder ihr Ausmaß zu minimieren. Im eigenen Geschäftsbereich muss die Abhilfe die Verletzung in aller Regel beenden. Bei unmittelbaren Zulieferern, wo der direkte Zugriff geringer ist, kann es darum gehen, gemeinsam mit dem Zulieferer ein Konzept zur Beendigung oder Minimierung zu entwickeln und umzusetzen.
Ein Abbruch der Geschäftsbeziehung ist dabei ausdrücklich das letzte Mittel und nicht der erste Reflex. Das Gesetz erkennt an, dass ein abrupter Rückzug die Lage der betroffenen Menschen sogar verschlechtern kann. Sinnvoller ist häufig, den Einfluss zu nutzen, um Verbesserungen zu bewirken. Erst wenn eine schwerwiegende Verletzung vorliegt, mildere Mittel erfolglos bleiben und keine Aussicht auf Abhilfe besteht, kann der Abbruch geboten sein. Diese Abwägung ist rechtlich geprägt und im Einzelfall sorgfältig zu treffen.
Diese drei Elemente sind eng verknüpft. Das Beschwerdeverfahren ist ein wichtiges Frühwarnsystem, dessen Erkenntnisse in die Risikoanalyse zurückfließen. Die Dokumentation begleitet alle Schritte des Sorgfaltsprozesses und bildet die Grundlage des Berichts. Und der Bericht schließlich fasst zusammen, was das Unternehmen im Berichtszeitraum getan hat. Wer diese Pflichten von Anfang an mitdenkt, erspart sich am Jahresende die mühsame Rekonstruktion von Vorgängen, die längst geschehen sind.
Das LkSG verlangt die Einrichtung eines Beschwerdeverfahrens, über das Personen auf menschenrechtliche und umweltbezogene Risiken sowie auf Verletzungen hinweisen können. Das Verfahren soll für potenziell Betroffene zugänglich sein, was Anforderungen an Verständlichkeit, Erreichbarkeit und Sprache mit sich bringt. Wichtig ist zudem der Schutz der Hinweisgebenden vor Benachteiligung sowie die Vertraulichkeit der Identität. Das Unternehmen muss eine Verfahrensordnung festlegen und öffentlich zugänglich machen.
Ein gutes Beschwerdeverfahren ist mehr als ein Briefkasten. Es braucht klare Zuständigkeiten, definierte Abläufe für die Bearbeitung, Rückmeldemechanismen und eine unparteiische Behandlung der Hinweise. Weil über das Verfahren regelmäßig auch personenbezogene Daten verarbeitet werden – etwa von Hinweisgebenden oder von beschuldigten Personen – ist der Datenschutz von Beginn an mitzudenken; Kapitel 09 geht darauf ein. Praktisch überschneidet sich das Beschwerdeverfahren häufig mit den Meldekanälen nach dem Hinweisgeberschutzrecht, sodass sich eine abgestimmte, gemeinsame Lösung anbietet.
Die Dokumentation ist kein lästiges Beiwerk, sondern ein Kernbestandteil der Compliance. Das Unternehmen muss die Erfüllung seiner Sorgfaltspflichten fortlaufend dokumentieren und die Dokumentation für einen bestimmten Zeitraum aufbewahren. Dazu gehören die Ergebnisse der Risikoanalysen, die getroffenen Präventions- und Abhilfemaßnahmen, die Grundsatzerklärung, die Vorgänge im Beschwerdeverfahren sowie die Wirksamkeitsprüfungen. Wer seine Maßnahmen nicht belegen kann, steht selbst dann schlecht da, wenn er inhaltlich vieles richtig macht.
Eine gepflegte Dokumentation dient nicht nur der Aufsicht, sondern auch dem Unternehmen selbst: Sie schafft Überblick, macht Fortschritte sichtbar und erleichtert die Beantwortung von Kundenanfragen. In der Praxis empfiehlt es sich, die Dokumentation nicht als separate Aufgabe zu behandeln, sondern sie in die laufenden Prozesse einzubetten, sodass Nachweise gewissermaßen als Nebenprodukt der eigentlichen Arbeit entstehen. Genau hier setzen die IT-Werkzeuge an, die Kapitel 07 behandelt.
Verpflichtete Unternehmen müssen einen jährlichen Bericht über die Erfüllung ihrer Sorgfaltspflichten erstellen und der zuständigen Behörde – dem Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) – zugänglich machen sowie öffentlich veröffentlichen. Der Bericht legt unter anderem dar, welche Risiken das Unternehmen identifiziert hat, welche Maßnahmen es ergriffen hat und wie es deren Wirksamkeit bewertet. Damit wird die Sorgfalt transparent und für Außenstehende nachvollziehbar.
Der Bericht ist damit die sichtbarste Pflicht des Gesetzes und zugleich ein Prüfstein für die Qualität der dahinterliegenden Prozesse. Ein guter Bericht entsteht nicht am Stichtag, sondern ist das Ergebnis einer über das Jahr gepflegten Dokumentation. Die genauen Anforderungen an Inhalt, Form und Fristen ergeben sich aus dem Gesetz und den Vorgaben der Behörde und sind am aktuellen amtlichen Stand zu prüfen, da sie sich – auch im Zuge der europäischen Entwicklungen – verändern können.
Ein verbreiteter Irrtum ist, jedes dieser Regelwerke müsse von Grund auf getrennt erfüllt werden. Tatsächlich überschneiden sich die Anforderungen erheblich, weil sie alle auf demselben Grundgedanken der Sorgfalt und Transparenz beruhen. Wer die Zusammenhänge kennt, kann sein Vorgehen so aufsetzen, dass eine einmal geschaffene Struktur mehreren Pflichten zugleich dient. Die folgende Einordnung ist qualitativ; die verbindliche Zuordnung im Einzelfall ist eine Rechtsfrage.
Die CSDDD (Corporate Sustainability Due Diligence Directive) ist die europäische Richtlinie über die Sorgfaltspflichten von Unternehmen im Hinblick auf Nachhaltigkeit. Sie verfolgt ein ähnliches Ziel wie das LkSG, geht aber in mehreren Punkten weiter: Sie zielt auf einen umfassenderen Blick auf die gesamte Wertschöpfungskette, bezieht Klima- und Umweltaspekte stärker ein und sieht eigene Durchsetzungs- und Haftungsmechanismen vor. Als Richtlinie gilt die CSDDD nicht unmittelbar, sondern muss von den Mitgliedstaaten in nationales Recht überführt werden.
Für Deutschland bedeutet das, dass die Umsetzung der CSDDD das bestehende LkSG verändern, ergänzen oder in Teilen ablösen wird. Der genaue Ausgang dieses Prozesses – einschließlich Zeitplan, Schwellen und Detailregelungen – ist Gegenstand laufender politischer Diskussion und am aktuellen amtlichen Stand zu prüfen. Für Unternehmen ist die wichtigste Botschaft, dass die inhaltliche Richtung stabil bleibt: Wer heute solide Sorgfaltsprozesse aufbaut, ist auch für die europäischen Anforderungen besser gerüstet, statt später neu beginnen zu müssen.
Die CSRD (Corporate Sustainability Reporting Directive) betrifft die Nachhaltigkeitsberichterstattung. Sie verpflichtet einen erweiterten Kreis von Unternehmen, umfassend über Nachhaltigkeitsthemen zu berichten – nach einheitlichen europäischen Standards und einschließlich Angaben zu Menschenrechten und Lieferketten. Während das LkSG in erster Linie Handlungspflichten begründet, steht bei der CSRD die Berichtspflicht im Vordergrund. Beide hängen jedoch eng zusammen: Wer nach CSRD berichten muss, benötigt belastbare Informationen über seine Lieferkette, wie sie im Rahmen der LkSG-Sorgfalt ohnehin erhoben werden.
Neben den gesetzlichen Vorgaben existiert eine Vielzahl freiwilliger Branchenstandards, Zertifizierungen und Brancheninitiativen, die sich mit sozialen und ökologischen Anforderungen entlang der Lieferkette befassen. Sie können ein hilfreiches Werkzeug sein, um Teile der Sorgfaltspflichten praktisch umzusetzen – etwa durch gemeinsame Audits, anerkannte Prüfsysteme oder Brancheninitiativen, die Ressourcen bündeln. Sie ersetzen die gesetzlichen Pflichten jedoch nicht automatisch: Die Teilnahme an einer Initiative allein entbindet nicht von der eigenständigen Erfüllung und dem eigenen Nachweis.
Sinnvoll ist deshalb ein bewusster, kritischer Umgang: Branchenstandards können den Aufwand senken und die Vergleichbarkeit erhöhen, sollten aber daraufhin geprüft werden, ob sie die konkreten Anforderungen tatsächlich abdecken und wie belastbar ihre Prüfmechanismen sind. In der Praxis bewährt sich eine Kombination aus eigenem, risikobasiertem Vorgehen und dem gezielten Einsatz anerkannter Standards dort, wo sie einen echten Mehrwert bieten.
Viele Unternehmen unterschätzen zunächst, wie datenintensiv die Sorgfaltspflichten sind. Lieferantenstammdaten, Länder- und Branchenrisiken, Selbstauskünfte, Prüfergebnisse, Beschwerdevorgänge, Maßnahmenpläne und Wirksamkeitsbewertungen müssen erhoben, verknüpft, aktuell gehalten und für den Bericht zusammengeführt werden. Wer das mit verstreuten Tabellen und E-Mails versucht, stößt schnell an Grenzen – besonders, wenn die Lieferkette komplex ist oder viele Kundenanfragen zu beantworten sind. Eine durchdachte IT-Unterstützung ist daher weniger Kür als Fundament.
Am Anfang steht die Datengrundlage: ein gepflegter, vollständiger Bestand an Lieferanten- und Materialstammdaten, angereichert um Informationen zu Herkunftsländern, Branchen und bezogenen Waren. Diese Daten liegen in vielen Unternehmen bereits in ERP- oder Einkaufssystemen vor, sind dort aber oft nicht unter dem Blickwinkel der Sorgfaltspflichten strukturiert. Eine wesentliche Aufgabe besteht darin, vorhandene Daten nutzbar zu machen, Lücken zu schließen und eine verlässliche Sicht auf die eigene Lieferkette zu schaffen.
Auf dieser Basis lassen sich Risiken systematisch bewerten. Software kann dabei unterstützen, indem sie Stammdaten mit externen Risikoindizes verknüpft, Auffälligkeiten sichtbar macht und eine risikobasierte Priorisierung erleichtert. Wichtig ist, dass die Werkzeuge die fachliche Bewertung unterstützen und nicht ersetzen: Ob ein Risiko relevant und wie es zu gewichten ist, bleibt eine fachliche Entscheidung, die Kontext und Urteilsvermögen erfordert.
Für die einzelnen Sorgfaltspflichten gibt es spezialisierte Softwarekategorien. Dazu gehören Lösungen für die Risikoanalyse, die Länder-, Branchen- und Lieferantenrisiken zusammenführen; Systeme für Lieferanten-Self-Assessments und Fragebögen, die die Erhebung und Auswertung von Selbstauskünften strukturieren; Werkzeuge zur Steuerung von Maßnahmen und Audits; sowie Systeme für die Beschwerdebearbeitung. Übergreifend sorgen Dokumentenmanagement und revisionssichere Ablage dafür, dass Nachweise geordnet und auffindbar bleiben.
Der Nutzen solcher Werkzeuge liegt vor allem in der Verknüpfung und Nachvollziehbarkeit: Wenn Risiken, Maßnahmen, Belege und Beschwerdevorgänge miteinander verbunden sind, entsteht der jährliche Bericht weitgehend als Nebenprodukt der laufenden Arbeit. Zugleich ist Vorsicht vor überdimensionierten Lösungen geboten. Nicht jedes Unternehmen braucht eine umfassende Plattform; oft ist ein pragmatischer, an die eigene Größe angepasster Werkzeugkasten wirksamer als ein überkomplexes System, das im Alltag nicht gepflegt wird.
Automatisierung kann den Aufwand spürbar senken – etwa durch den automatisierten Versand und die Auswertung von Fragebögen, durch Erinnerungen an fällige Prüfungen oder durch die Anbindung externer Risikodaten. Entscheidend für den Erfolg sind jedoch weniger einzelne Funktionen als die Integration in die bestehende Systemlandschaft und die Datenqualität. Isolierte Insellösungen, die nicht mit dem ERP oder dem Einkaufssystem verbunden sind, führen zu doppelter Datenpflege und Inkonsistenzen.
Ein realistischer Blick gehört dazu: Auch die beste Software erledigt die Sorgfaltspflichten nicht von selbst. Sie strukturiert, erinnert, verknüpft und dokumentiert – die inhaltliche Bewertung, die Kommunikation mit Zulieferern und die Entscheidungen über Maßnahmen bleiben Aufgabe von Menschen. Der Automatisierungsgrad sollte deshalb an Größe, Komplexität und Ressourcen des Unternehmens angepasst werden. Für viele Mittelständler ist ein schrittweiser Ausbau sinnvoller als der große Wurf.
Der Mittelstand ist heterogen: vom spezialisierten Zulieferer über den Handel bis zum Dienstleister. Was viele dieser Betriebe eint, ist eine gewachsene Beschaffung mit begrenzten Ressourcen für Nachhaltigkeit und Compliance. Genau hier setzt die Herausforderung an: Wo bisher pragmatische Einzelabsprachen genügten, erwarten große Kunden nun strukturierte Nachweise. Das ist anspruchsvoll, aber machbar – mit der richtigen Priorisierung und dem Bewusstsein, dass gute Vorbereitung zum Wettbewerbsvorteil werden kann.
Eine wichtige, oft übersehene Botschaft: Das Prinzip der Angemessenheit wirkt nicht nur nach unten, sondern auch zugunsten kleinerer Zulieferer. Verpflichtete Unternehmen dürfen ihre Sorgfaltspflichten nicht unbesehen und in vollem Umfang auf ihre Lieferanten abwälzen; sie müssen ihren eigenen Einflussmöglichkeiten und der Zumutbarkeit für die Zulieferer Rechnung tragen. Das Gesetz zielt gerade nicht darauf ab, kleine und mittlere Betriebe mit unverhältnismäßigen Anforderungen zu überfordern.
Für den Mittelstand bedeutet das eine gewisse Verhandlungsposition: Anforderungen, die erkennbar über das Angemessene hinausgehen, dürfen hinterfragt werden. Zugleich entbindet das nicht davon, die berechtigten, angemessenen Erwartungen zu erfüllen. Ein konstruktiver Dialog mit den Kunden – über das, was wirklich benötigt wird, und über gemeinsame Wege dorthin – ist meist ergiebiger als reflexhafte Abwehr oder blinde Übererfüllung.
Die größte Sorge im Mittelstand ist verständlich: Wie soll ein Betrieb mit begrenztem Personal die Anforderungen stemmen? Die Antwort liegt in klarer Priorisierung. Sinnvoll ist, mit Transparenz über die eigene Lieferkette zu beginnen, die wichtigsten Kundenanforderungen zu bündeln und wiederkehrende Nachweise zu standardisieren, sodass eine einmal erstellte Selbstauskunft für mehrere Kunden verwendbar wird. Bestehende Zertifizierungen und Brancheninitiativen können dabei als Gerüst dienen.
Ebenso wichtig ist, vorhandene Strukturen klug zu nutzen: Daten aus dem ERP- oder Einkaufssystem heranziehen, öffentliche Hilfestellungen der Behörden einbeziehen und externe Unterstützung dort einkaufen, wo internes Wissen fehlt. Der Mittelstand muss nicht zur Nachhaltigkeitsabteilung eines Großkonzerns werden – aber er sollte ein angemessenes, nachweisbares Niveau erreichen und halten. Wer strukturiert vorgeht, verwandelt die Anforderung von einer Bedrohung in eine planbare Aufgabe.
Das LkSG wird durch das BAFA beaufsichtigt, das über Kontroll- und Durchsetzungsbefugnisse verfügt. Die Behörde kann Auskünfte und Unterlagen verlangen, das betriebliche Vorgehen prüfen und bei Verstößen tätig werden. Zugleich soll die Aufsicht auch beratend und unterstützend wirken. Für Unternehmen ist das BAFA damit der zentrale Bezugspunkt – als Prüfinstanz ebenso wie als Quelle für Handreichungen und Orientierung.
Bei Verstößen gegen die Sorgfaltspflichten sind verschiedene Sanktionen möglich. Dazu zählen Zwangs- und Bußgelder sowie – bei schwerwiegenden Verstößen – ein möglicher Ausschluss von der Vergabe öffentlicher Aufträge für einen bestimmten Zeitraum. Konkrete Bußgeldhöhen und die genauen Voraussetzungen nennen wir hier bewusst nicht, weil sie sich aus dem Gesetz ergeben, im Zuge der europäischen Entwicklungen verändert werden können und am aktuellen amtlichen Stand zu prüfen sind. Wichtig ist die Erkenntnis, dass die Pflichten mit spürbaren Durchsetzungsmöglichkeiten hinterlegt sind.
Häufig missverstanden wird das Verhältnis zur zivilrechtlichen Haftung. Das LkSG begründet primär öffentlich-rechtliche Pflichten gegenüber der Aufsicht; es schafft für sich genommen keine neue eigenständige zivilrechtliche Haftungsgrundlage allein wegen der Verletzung der Sorgfaltspflichten. Bestehende zivilrechtliche Ansprüche nach allgemeinem Recht bleiben davon unberührt. Die europäische CSDDD sieht demgegenüber ausdrücklich eigene Haftungsmechanismen vor, deren nationale Umsetzung die Rechtslage verändern kann. Diese Zusammenhänge sind rechtlich anspruchsvoll und im Einzelfall fachkundig zu klären.
Ein oft unterschätzter Aspekt ist der Datenschutz. An mehreren Stellen des Sorgfaltsprozesses werden personenbezogene Daten verarbeitet: im Beschwerdeverfahren die Daten von Hinweisgebenden und von möglicherweise beschuldigten Personen, in Selbstauskünften und Audits teils Angaben zu benannten Personen, in der Dokumentation die Aufzeichnung von Vorgängen. Diese Verarbeitung muss den Anforderungen der DSGVO genügen – etwa hinsichtlich Rechtsgrundlage, Zweckbindung, Datensparsamkeit, Löschfristen und der Wahrung von Betroffenenrechten.
Besondere Sorgfalt verlangt das Beschwerdeverfahren. Die zugesagte Vertraulichkeit der Identität von Hinweisgebenden ist datenschutzrechtlich abzusichern; zugleich sind die Rechte beschuldigter Personen zu wahren. In der Praxis überschneidet sich das Beschwerdeverfahren häufig mit den Anforderungen des Hinweisgeberschutzrechts, weshalb sich eine abgestimmte, datenschutzkonforme Gesamtlösung anbietet. Werden externe Dienstleister für Beschwerdekanäle oder Risikodaten eingebunden, rücken zudem Auftragsverarbeitung, Serverstandort und mögliche Drittlandtransfers in den Blick.
