Lieferkettengesetz im Mittelstand: Wer betroffen ist und was Kunden verlangen dürfen

Wen das Lieferkettengesetz direkt verpflichtet

Das Lieferkettensorgfaltspflichtengesetz, kurz LkSG, verpflichtet große Unternehmen, in ihren Lieferketten menschenrechtliche und umweltbezogene Sorgfaltspflichten zu beachten: Risiken vorzubeugen oder sie zu minimieren und Verletzungen zu beenden. Was sie dafür tun, müssen sie intern fortlaufend dokumentieren und mindestens sieben Jahre aufbewahren. Das Gesetz gilt seit dem 1. Januar 2023, im ersten Jahr ab 3.000 und seit dem 1. Januar 2024 ab 1.000 Beschäftigten im Inland.

• —Deutsches LkSG: Unternehmen mit Hauptverwaltung, Hauptniederlassung, Verwaltungssitz, satzungsmäßigem Sitz oder Zweigniederlassung in Deutschland, die in der Regel mindestens 1.000 Arbeitnehmer im Inland beschäftigen
• —Leiharbeit und Konzern: Leiharbeitnehmer zählen mit, wenn ihr Einsatz sechs Monate übersteigt. In einer Unternehmensgruppe rechnet die Obergesellschaft die im Inland Beschäftigten aller Konzerngesellschaften zusammen.
• —EU-Lieferkettenrichtlinie CSDDD: nach Umsetzung in deutsches Recht ab dem 26. Juli 2029 Unternehmen mit mehr als 5.000 Beschäftigten und mehr als 1,5 Milliarden Euro weltweitem Nettoumsatz; bei Unternehmen aus Drittstaaten zählt ein Nettoumsatz von mehr als 1,5 Milliarden Euro in der EU
• —Mittelständische Zulieferer unterhalb dieser Schwellen: nicht verpflichtet, über ihre Kunden aber mittelbar einbezogen

Ein Betrieb unterhalb der Schwelle muss also keine Risikoanalyse nach dem LkSG durchführen und nicht an das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) berichten. Risikobasierte Kontrollen führt das BAFA bei nicht verpflichteten Unternehmen nach eigener Aussage nicht durch.

Warum Zulieferer trotzdem betroffen sind

Ein verpflichtetes Unternehmen muss seine Sorgfalt auch gegenüber seinen unmittelbaren Zulieferern wahrnehmen. Das Gesetz nennt dafür vier Regelbeispiele für Präventionsmaßnahmen (§ 6 Abs. 4 LkSG): menschenrechts- und umweltbezogene Erwartungen schon bei der Auswahl berücksichtigen, sich vom Zulieferer vertraglich zusichern lassen, dass er diese Erwartungen einhält und entlang seiner Lieferkette angemessen adressiert, Schulungen durchführen und angemessene vertragliche Kontrollmechanismen vereinbaren. Gibt es tatsächliche Anhaltspunkte für eine mögliche Verletzung bei einem mittelbaren Zulieferer, muss das Unternehmen auch dort anlassbezogen handeln (§ 9 Abs. 3 LkSG).

Wer an Konzerne oder große Industrieunternehmen liefert, erlebt das als Fragebogen, als Verhaltenskodex und als zusätzliche Klausel im Rahmenvertrag. Betroffen macht den Mittelstand also nicht das Gesetz selbst, sondern die Anforderungen seiner Kunden. Ähnliche Anforderungen können auch aus öffentlichen Ausschreibungen kommen: Öffentliche Auftraggeber berücksichtigen bei der Vergabe soziale und umweltbezogene Aspekte und können entsprechende Ausführungsbedingungen festlegen (§ 97 Abs. 3 und § 128 Abs. 2 GWB). Das ist Vergaberecht und gilt unabhängig vom LkSG.

Was große Kunden von Zulieferern erwarten

In der Praxis lassen verpflichtete Unternehmen ihre Zulieferer vielfach einen Verhaltenskodex unterzeichnen und regeln darin oder in einer Zusatzvereinbarung, wie die Zusammenarbeit aussieht. So beschreibt es das BAFA in seiner Handreichung zur Zusammenarbeit in der Lieferkette. Häufige Bestandteile:

• —Unterzeichnung eines Lieferanten- oder Verhaltenskodex (Code of Conduct)
• —Vertragliche Zusicherung, die menschenrechts- und umweltbezogenen Erwartungen des Kunden einzuhalten und gegenüber den eigenen Lieferanten angemessen zu adressieren
• —Informationen für die Risikoanalyse des Kunden, etwa über Fragebögen, Selbstauskünfte oder vorhandene Nachweise
• —Zustimmung zu Audits und Besuchen vor Ort
• —Teilnahme an Schulungen
• —Mitwirkung bei Präventions- und Abhilfemaßnahmen, wenn es konkrete Hinweise auf eine Verletzung gibt
• —Hilfe dabei, das Beschwerdeverfahren des Kunden für die eigenen Beschäftigten zugänglich zu machen
• —Kontrollrechte und Folgen bei Nichteinhaltung

Wo die Grenze liegt

Was ein Kunde verlangen darf, ist begrenzt. Das BAFA hat die wichtigsten Grenzen in derselben Handreichung festgehalten:

• —Pflichten aus dem LkSG darf ein verpflichtetes Unternehmen nicht auf Zulieferer übertragen.
• —Zu weit geht die Forderung nach einer schriftlichen Zusicherung, dass in der gesamten Lieferkette sämtliche menschenrechts- und umweltbezogenen Bestimmungen eingehalten werden.
• —Anfragen sollen sich an den Risiken orientieren, die der Kunde in seiner Risikoanalyse ermittelt hat. Pauschale und flächendeckende Abfragen bei allen Zulieferern können unangemessen sein.
• —Wer Daten abfragt, sollte im Einzelfall begründen, wofür er sie braucht, und ihren Schutz gewährleisten, zum Beispiel mit einer Verschwiegenheitsvereinbarung.
• —Möchten Sie die Namen Ihrer Vorlieferanten nicht preisgeben, kann der Kunde Sie nach der Handreichung stattdessen bei der Präventionsmaßnahme unterstützen.
• —Schulungen sicherzustellen ist grundsätzlich Aufgabe des verpflichteten Unternehmens. Kosten von Abhilfemaßnahmen sollen angemessen aufgeteilt werden.
• —Maßnahmen, die einen Zulieferer offenkundig überfordern, sind in aller Regel unwirksam und damit unangemessen.
• —Das LkSG selbst begründet keine zivilrechtliche Haftung (§ 3 Abs. 3 LkSG). Eine Haftung kann aber aus dem Vertrag entstehen, den Sie unterschreiben.

Was sich 2025 und 2026 geändert hat

Das Regelwerk ist seit 2025 in Bewegung, in Deutschland wie in der EU. Die Bundesregierung will die jährliche Berichtspflicht rückwirkend streichen und Bußgelder auf schwere Verstöße beschränken; die Sorgfaltspflichten und ihre interne Dokumentation sollen bleiben. Das BAFA richtet sich schon danach. Die Koalition will den Anwendungsbereich außerdem auf sehr große Unternehmen beschränken, so wie es die EU bei ihrer Lieferkettenrichtlinie CSDDD bereits getan hat. Mittelfristig soll ein Gesetz über die internationale Unternehmensverantwortung, das die CSDDD in deutsches Recht überführt, das LkSG ersetzen.

Für Zulieferer zählt vor allem eine neue Regel: Unternehmen im Anwendungsbereich der CSDDD dürfen ab 2029 von Geschäftspartnern mit weniger als 5.000 Beschäftigten Informationen für ihre eingehende Risikobewertung nur anfordern, wenn sie sich nach vernünftigem Ermessen nicht auf andere Weise beschaffen lassen (Art. 8 Abs. 2a CSDDD). Auch im deutschen Recht will die Koalition die Informations- und Prüfpflichten gegenüber kleineren und mittelbaren Zulieferern an Informationen ausrichten, die mit angemessenem Aufwand verfügbar sind. Solange das LkSG gilt und sehr große Kunden ab 2029 unter die CSDDD fallen, bleiben Anfragen Teil der Lieferbeziehung. Sie sollen aber gezielter werden.

Was Sie als Zulieferer jetzt vorbereiten

Ein eigenes Sorgfaltssystem nach dem LkSG müssen Sie nicht aufbauen. Das BAFA rät nicht verpflichteten Zulieferern aber, die Anforderungen zu verstehen und sich mit Teilschritten auf Anfragen vorzubereiten. Aus seiner Handreichung lassen sich diese Schritte ableiten:

1. 1.Zuständigkeit festlegen: Eine Person bündelt die Anfragen Ihrer Kunden. Als schlanke Lösung nennt das BAFA, die Zuständigkeit für Qualität, Nachhaltigkeit und Einkauf in einer Person zu bündeln, mit einem Mindestmaß an festgelegten Abläufen, die auch ohne diese Person funktionieren.
2. 2.Lieferkette kennen: Halten Sie fest, aus welchen Ländern und Branchen Ihre wichtigsten Vorprodukte kommen. Eine Risikoanalyse zumindest für den risikoreichsten Teil Ihrer Lieferkette bereitet Sie auf Anfragen vor.
3. 3.Erwartungen weitergeben: Legen Sie fest, wie Sie die Anforderungen Ihrer Kunden gegenüber Ihren eigenen Lieferanten adressieren, etwa mit einem eigenen Lieferantenkodex oder passenden Vertragsklauseln. Genau das ist Gegenstand der vertraglichen Zusicherung nach § 6 Abs. 4 Nr. 2 LkSG.
4. 4.Nachweise ordnen: Legen Sie Zertifikate, Auditberichte und bereits beantwortete Fragebögen an einem Ort ab, mit Datum und Geltungsbereich. Das BAFA regt verpflichtete Unternehmen an zu prüfen, ob bereits ausgefüllte Fragebögen ihren Informationsbedarf decken. Bieten Sie deshalb einen vorhandenen Fragebogen an, bevor Sie einen neuen ausfüllen.
5. 5.Anfragen prüfen: Fragen Sie bei Datenabfragen ohne Begründung nach dem Zweck und achten Sie auf den Schutz Ihrer Daten. Vertragsklauseln, die Sie zu Maßnahmen verpflichten sollen, lassen Sie im Zweifel rechtlich prüfen.
6. 6.Unterstützung nutzen: Der Helpdesk Wirtschaft & Menschenrechte der Bundesregierung berät Unternehmen kostenfrei und vertraulich zur praktischen Umsetzung.

Woran sich eine nachvollziehbare Beschaffung zeigt

Für Ihren Einkauf verschiebt sich damit die Frage. Sie lautet nicht, ob Sie ein Gesetz einhalten, das Sie als Zulieferer unterhalb der Schwelle gar nicht adressiert. Sie lautet, ob Sie einem Kunden auf Nachfrage zeigen können, nach welchen Kriterien Sie einen Lieferanten ausgewählt, welche Nachweise Sie eingeholt und wie Sie Ihre Entscheidung begründet haben. Das gelingt, wenn Auswahl, Vergleich und Begründung festgehalten werden, statt in Mailverläufen und Tabellenständen zu verschwinden.

• —Nach welchen Kriterien ein Lieferant ausgewählt wurde, ist dokumentiert
• —Angebote und Alternativen sind vergleichbar festgehalten, nicht nur das Ergebnis
• —Die Vergabeentscheidung ist begründet und lässt sich auf Nachfrage belegen
• —Eingeholte Nachweise und Zusicherungen liegen beim jeweiligen Vorgang
• —Änderungen am Vorgang bleiben rückverfolgbar
• —Wer wann was entschieden hat, ist protokolliert

Wie Corlis dabei unterstützt

In Corlis laufen Bedarf, Anfrage, Angebotsvergleich, Verhandlung und Vergabe in einem Vorgang zusammen. Die Vergabeentscheidung hält fest, wen Sie angefragt haben, welche Angebote eingegangen sind und warum Sie vergeben haben, und lässt sich als Entscheidungsblatt ausgeben. Der Audit-Trail zeigt, wer wann was entschieden hat. So können Sie einem Kunden zeigen, wie eine Beschaffung zustande gekommen ist. Eine rechtliche Bewertung, ob Ihr Unternehmen seine Pflichten einhält, ersetzt das nicht.