Lieferkettensorgfaltsgesetz: eine praktische Einordnung

Das Lieferkettensorgfaltspflichtengesetz betrifft nicht nur große Konzerne. In der Praxis landet das Thema sehr schnell bei dir in der Beschaffung, im IT-Einkauf, in der Vergabestelle oder im Justiziariat, auch wenn deine Behörde oder dein Unternehmen gar nicht unmittelbar vom Gesetz erfasst ist. Denn die Pflichten „wandern“ über Verträge, Ausschreibungen und Standardklauseln in die gesamte Lieferkette.

Für wen gilt das Lieferkettensorgfaltspflichtengesetz aktuell?

Das Lieferkettensorgfaltspflichtengesetz (LkSG) gilt seit 2023 schrittweise und knüpft an die Anzahl der in Deutschland beschäftigten Arbeitnehmerinnen und Arbeitnehmer an.

Aktueller Stand:

• Seit 1. Januar 2023: Unternehmen mit in der Regel mindestens 3.000 Beschäftigten in Deutschland.
• Seit 1. Januar 2024: Unternehmen mit in der Regel mindestens 1.000 Beschäftigten in Deutschland.

Erfasst sind:

• Unternehmen mit Hauptverwaltung, Hauptniederlassung, Verwaltungssitz oder satzungsmäßigem Sitz in Deutschland.
• Bestimmte ausländische Unternehmen mit Zweigniederlassung in Deutschland, wenn sie die Schwellenwerte erreichen.

Öffentliche Auftraggeber sind als solche nicht unmittelbar Adressaten des LkSG. Aber: Viele deiner Vertragspartner im IT-Bereich unterliegen dem Gesetz. Diese Unternehmen geben ihre Sorgfaltspflichten über Vertragsklauseln, Verhaltenskodizes und Nachweisanforderungen an Unterauftragnehmer und Lieferanten weiter. Damit bist du mittelbar betroffen, auch als:

• IT-Dienstleister oder Softwarehaus, das große Unternehmen beliefert.
• Systemhaus, Cloud- oder Hosting-Anbieter.
• Öffentlicher Auftraggeber, der von LkSG-pflichtigen Unternehmen Leistungen einkauft und dabei entsprechende Vertragsbedingungen akzeptiert oder fordert.

Du solltest das LkSG daher als Rahmenbedingung deiner IT-Verträge und Beschaffungsprozesse verstehen, auch wenn deine eigene Organisation die Schwelle (noch) nicht erreicht.

Welche Sorgfaltspflichten das LkSG vorsieht

Das LkSG verlangt keine „perfekte“ Lieferkette, sondern eine angemessene, risikobasierte Sorgfalt. Kernpflichten sind insbesondere:

• Einrichtung eines Risikomanagements.
• Festlegung von Zuständigkeiten, typischerweise durch einen Menschenrechtsbeauftragten oder eine entsprechende Funktion.
• Regelmäßige Risikoanalyse.
• Verabschiedung einer Grundsatzerklärung zur Achtung der Menschenrechte.
• Verankerung von Präventionsmaßnahmen in eigenen Geschäftsbereichen und gegenüber unmittelbaren Zulieferern.
• Ergreifen von Abhilfemaßnahmen bei festgestellten Verletzungen.
• Einrichtung eines Beschwerdeverfahrens.
• Dokumentations- und Berichtspflichten.

Für dich relevant ist vor allem, wie diese Pflichten in konkrete Anforderungen übersetzt werden, zum Beispiel:

• Vertragsklauseln zu Menschenrechten, Arbeits- und Sozialstandards.
• Verpflichtung zur Weitergabe von Anforderungen an Unterauftragnehmer.
• Audit- und Informationsrechte.
• Schulungs- und Sensibilisierungspflichten für Mitarbeitende in Einkauf und Projektleitung.

Gerade bei IT-Projekten mit komplexen Subunternehmerketten, Near- oder Offshoring, Cloud-Hosting oder Hardware-Beschaffung wird es schnell unübersichtlich. Ein strukturiertes Vorgehen hilft, das auf ein handhabbares Maß zu bringen.

Risikoanalyse in der Praxis: wo anfangen?

Die Risikoanalyse ist das Herzstück des LkSG. Sie soll menschenrechtliche und bestimmte umweltbezogene Risiken identifizieren, priorisieren und bewerten. Für IT-Einkauf und Vergabestellen ergibt sich eine pragmatische Reihenfolge:

1. Scope klären: Welche Leistungen und Produkte sind besonders risikobehaftet? Typische Beispiele:

• Hardware-Beschaffung, insbesondere Komponenten mit bekannten Risikoländern (z. B. Rohstoffe, Fertigung).
• Softwareentwicklung in Drittstaaten mit schwachen Arbeits- und Menschenrechtsstandards.
• IT-Services mit intensiver Nutzung von Subunternehmern, z. B. Rollout, Field Service, Callcenter.

2. Risikofaktoren definieren: Du kannst zunächst mit einfachen Kriterien arbeiten:

• Herkunftsland der Leistung oder der wesentlichen Komponenten.
• Art der Tätigkeit (z. B. einfache Fertigung mit hohem Arbeitsaufwand, Daten-Center-Betrieb, hochqualifizierte Entwicklung).
• Komplexität der Lieferkette und Anzahl der Unterauftragnehmer.
• Bekanntheit des Anbieters und vorhandene Zertifizierungen oder Standards.

3. Risikobewertung vornehmen: Die Bewertung muss nicht hochwissenschaftlich sein. Häufig reicht eine qualitative Einstufung:

• Geringes Risiko
• Mittleres Risiko
• Hohes Risiko

Wichtig ist, dass du nachvollziehbare Kriterien dokumentierst und regelmäßig überprüfst.

4. Maßnahmen ableiten: Aus der Einstufung musst du konkrete Konsequenzen ziehen, etwa:

• Zusätzliche Nachweise oder Eigenerklärungen im Vergabeverfahren.
• Verschärfte Vertragsklauseln.
• Verbot bestimmter Unterauftragnehmerkonstellationen.
• Intensivere Überwachung und regelmäßige Abfragen.

Eine einfache Übersicht kann dir helfen, strukturiert vorzugehen:

Schritt	Frage	Typische IT-Beispiele
Identifikation	Wo entstehen menschenrechtliche Risiken?	Hardwarefertigung, Offshore-Entwicklung
Bewertung	Wie hoch ist das Risiko?	Herkunftsland, Lieferkettentiefe, Branche
Priorisierung	Wo schauen wir zuerst hin?	Große Volumina, kritische Infrastrukturen
Maßnahmen	Was fordern wir vom Anbieter?	Klauseln, Nachweise, Audits, Schulungen

Wichtig: Die Risikoanalyse ist kein einmaliges Projekt, sondern ein laufender Prozess. In der Praxis wird sie oft jährlich oder anlassbezogen (z. B. vor großen Vergaben) aktualisiert.

Beschwerdeverfahren: was du organisatorisch regeln musst

Das LkSG verlangt ein „angemessenes“ Beschwerdeverfahren. Betroffene in der Lieferkette sollen Verstöße oder Risiken melden können. Viele große Unternehmen richten dafür Hotlines, Online-Meldeportale oder Ombudspersonen ein.

Für dich stellen sich vor allem diese Fragen:

• Wenn dein Unternehmen selbst LkSG-pflichtig ist: Wie gestaltest du ein Verfahren, das auch Lieferanten und deren Beschäftigten offensteht?

• Wenn du als Zulieferer für LkSG-pflichtige Unternehmen tätig bist: Welche Beschwerdekanäle deiner Auftraggeber musst du in deine Kommunikation und Verträge einbinden?

Praktische Punkte:

• Zugänglichkeit: Informationen über das Beschwerdeverfahren müssen leicht auffindbar sein, idealerweise auch in relevanten Sprachen der Lieferkette.

• Vertraulichkeit und Schutz: Hinweisgeberinnen und Hinweisgeber dürfen keine Nachteile erleiden. Hier überschneidet sich das LkSG mit Vorgaben aus dem Hinweisgeberschutzgesetz.

• Schnittstelle zu bestehenden Systemen: Viele Organisationen haben bereits Hinweisgebersysteme für Compliance-Themen, Korruption oder Datenschutz. Es ist meist sinnvoll, das LkSG hier zu integrieren, statt parallele Strukturen aufzubauen.

Für Beschaffung und Projektleitung bedeutet das: Du solltest wissen, welche Beschwerdewege deine Organisation anbietet und wie du Lieferanten darüber informierst. Und du solltest klären, wie eingehende Hinweise mit Bezug zu konkreten IT-Verträgen bearbeitet werden.

Berichtspflichten und Dokumentation

Unternehmen, die unmittelbar dem LkSG unterliegen, müssen jährlich einen Bericht über die Erfüllung ihrer Sorgfaltspflichten erstellen und auf ihrer Website veröffentlichen. Der Bericht ist zudem elektronisch beim Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) einzureichen.

Wichtig für dich:

• Auch wenn du nicht berichtspflichtig bist, werden deine Auftraggeber von dir Informationen verlangen, um ihren eigenen Bericht zu erstellen.
• Du solltest daher deine eigenen Prozesse, Risikoabwägungen und Maßnahmen so dokumentieren, dass du bei Anfragen strukturiert Auskunft geben kannst.
• In IT-Vergaben kann es sinnvoll sein, standardisierte Fragenkataloge oder Eigenerklärungen zu nutzen, damit die Informationen vergleichbar und wiederverwendbar sind.

Typische Informationsbedarfe deiner LkSG-pflichtigen Kunden:

• Beschreibung deines eigenen Risikomanagements.
• Relevante Zertifizierungen oder Standards (z. B. ISO-Managementsysteme, Brancheninitiativen).
• Angaben zu Herkunftsländern und Subunternehmern, soweit relevant.
• Darstellung deiner Beschwerde- und Hinweisgebersysteme.

Passende Seminare und Termine zum LkSG, IT-Recht und Compliance findest du bei uns auf cmt.de.

Schnittstelle zur IT-Beschaffung und zum Vergaberecht

Das LkSG entfaltet seine Wirkung in der Praxis vor allem über Beschaffung und Vertragsgestaltung. Für dich als öffentliche Vergabestelle oder IT-Einkauf stellen sich insbesondere diese Punkte:

1. LkSG-Anforderungen in Vergabeunterlagen integrieren

In Ausschreibungen und Verhandlungsverfahren solltest du prüfen, welche Anforderungen du rechtssicher vorgeben kannst. Mögliche Bausteine:

• Eigenerklärungen zur Einhaltung menschenrechtlicher Sorgfaltspflichten.
• Vorlage vorhandener Konzepte oder Richtlinien, sofern vergaberechtlich zulässig.
• Verpflichtung, bestimmte Mindeststandards in der Lieferkette einzuhalten und auf Verlangen nachzuweisen.

Dabei musst du das Vergaberecht beachten, insbesondere:

• Transparenz- und Gleichbehandlungsgrundsatz nach GWB und VgV bzw. UVgO.
• Angemessenheit der Anforderungen, keine unverhältnismäßigen Hürden.
• Klare Zuordnung, ob es sich um Eignungsanforderungen, Zuschlagskriterien oder Vertragsbedingungen handelt.

2. Vertragsgestaltung im IT-Bereich

In IT-Verträgen, etwa auf Basis der EVB-IT, werden zunehmend Klauseln zu Menschenrechten und Nachhaltigkeit ergänzt. Typische Elemente:

• Verpflichtung zur Einhaltung bestimmter Standards in der Lieferkette.
• Pflicht zur Weitergabe dieser Verpflichtungen an Unterauftragnehmer.
• Informations- und Mitwirkungspflichten bei der Risikoanalyse.
• Audit- und Kontrollrechte, beispielsweise Einsicht in bestimmte Unterlagen.
• Regelungen zu Sanktionen bei schweren Verstößen, bis hin zur außerordentlichen Kündigung.

Wichtig ist ein angemessenes Maß: Zu weitgehende oder unklare Klauseln können zu Rechtsunsicherheit führen oder im Vergabeverfahren angreifbar sein.

3. Zusammenarbeit von Einkauf, Fachbereich, Compliance und Datenschutz

Das LkSG ist ein klassisches Querschnittsthema. In der Realität landen die Fragen aber oft isoliert in einer Abteilung. Sinnvoll ist daher:

• Klare Zuständigkeiten: Wer verantwortet das Thema LkSG intern, wer ist fachliche Ansprechperson für die Beschaffung?
• Gemeinsame Standards: Einheitliche Textbausteine und Anforderungen für Ausschreibungen und IT-Verträge.
• Abstimmung mit Datenschutz und Informationssicherheit: Viele Lieferkettenfragen betreffen auch Datenflüsse und Standorte von Rechenzentren.

Gerade bei Cloud- und SaaS-Leistungen überschneiden sich LkSG-Themen mit Datenschutz (DSGVO), Informationssicherheit und teilweise Exportkontrolle. Eine isolierte Betrachtung führt schnell zu Widersprüchen.

Praktische Checkliste: LkSG in deiner Organisation verankern

Die folgenden Punkte kannst du als pragmatische Einstiegsliste nutzen:

1. Betroffenheit klären:

• Erreicht deine Organisation selbst die Schwellenwerte des LkSG?
• Welche deiner wesentlichen Auftraggeber sind LkSG-pflichtig?

2. Verantwortlichkeiten festlegen:

• Gibt es eine zentrale Ansprechperson oder Stelle für LkSG-Themen?
• Wie ist die Zusammenarbeit mit Einkauf, Vergabestelle, Justiziariat, Compliance und Datenschutz organisiert?

3. Bestehende Prozesse sichten:

• Welche Richtlinien zu Menschenrechten, Compliance, Nachhaltigkeit gibt es bereits?
• Gibt es ein Hinweisgebersystem, das für LkSG genutzt werden kann?

4. Risikobereiche im IT-Umfeld identifizieren:

• Welche IT-Leistungen und Produkte sind besonders risikobehaftet?
• Wo bestehen komplexe Lieferketten oder Auslandsbezüge?

5. Standardanforderungen definieren:

• Welche Mindestanforderungen sollen in allen IT-Verträgen enthalten sein?
• Welche zusätzlichen Anforderungen gelten für risikoreiche Beschaffungen?

6. Vertrags- und Vergabeunterlagen anpassen:

• Einsatz einheitlicher Klauseln und Eigenerklärungen.
• Prüfung der vergaberechtlichen Zulässigkeit und Verhältnismäßigkeit.

7. Dokumentation und Reporting vorbereiten:

• Wie werden Risikoanalysen und Entscheidungen dokumentiert?
• Wie können Informationen für Anfragen von LkSG-pflichtigen Kunden bereitgestellt werden?

8. Schulung und Sensibilisierung:

• Welche Zielgruppen benötigen ein Grundverständnis des LkSG, z. B. Einkauf, Projektleitungen, Vertrieb?
• Wie werden neue Kolleginnen und Kollegen künftig eingebunden?

Fazit: LkSG als Daueraufgabe im IT-Recht und in der Beschaffung

Das Lieferkettensorgfaltspflichtengesetz ist kein isoliertes Compliance-Thema, das man „abhaken“ kann. Es wirkt in deine tägliche Praxis hinein, besonders in IT-Beschaffung, Vertragsgestaltung und Vergabeverfahren.

Wenn du frühzeitig klare Zuständigkeiten schaffst, risikobasierte Standards definierst und bestehende Systeme wie Hinweisgeberschutz und Compliance einbindest, wird das LkSG handhabbar. Entscheidend ist ein pragmatischer, gut dokumentierter Ansatz, der sowohl die rechtlichen Anforderungen als auch die Realität komplexer IT-Lieferketten berücksichtigt.