Ein mittelständischer Medizintechnikhersteller aus Bayern beliefert Krankenhäuser in sieben europäischen Ländern. Die Komponenten kommen aus Malaysia, Mexiko und Polen. Bis zur ersten BAFA-Prüfanfrage hat die Geschäftsführung die Lieferkettensorgfaltspflichten kaum als eigenes Risiko wahrgenommen – zu Unrecht.
Das Lieferkettensorgfaltspflichtengesetz (LkSG) verpflichtet Unternehmen ab bestimmten Schwellenwerten, entlang ihrer gesamten Lieferkette Menschenrechts- und Umweltrisiken zu identifizieren, zu bewerten und zu minimieren. Für Medizintechnikunternehmen verbindet sich diese Pflicht mit einer zweiten Regulierungsebene: Die MDR und das besondere Zulieferernetz der Branche erhöhen die Komplexität der Risikosteuerung erheblich. Geschäftsführer, die das LkSG ignorieren, riskieren empfindliche Bußgelder und den Ausschluss von öffentlichen Aufträgen.
Dieser Praxisleitfaden führt Sie Schritt für Schritt durch die Kernpflichten des LkSG – von der Risikoanalyse bis zum jährlichen Bericht an das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) – und zeigt, worauf Medizintechnikunternehmen dabei besonders achten müssen.
Was regelt das LkSG, und wen trifft es in der Medizintechnik?
Das Lieferkettensorgfaltspflichtengesetz ist seit dem 1. Januar 2023 für Unternehmen mit mindestens 3.000 Beschäftigten im Inland in Kraft; seit dem 1. Januar 2024 gilt es auch für Unternehmen mit mindestens 1.000 Beschäftigten. Viele mittelständische Medizintechnikunternehmen fallen damit unmittelbar in den Anwendungsbereich. Konzernmütter mit ausländischen Tochtergesellschaften müssen die Beschäftigten sämtlicher Konzernunternehmen einrechnen – auch die in Malaysia produzierende Sensorensparte.
Das Gesetz schützt menschenrechtliche und umweltbezogene Schutzgüter entlang der gesamten Lieferkette. Im Mittelpunkt stehen das Verbot von Kinder- und Zwangsarbeit, das Recht auf angemessene Entlohnung, sichere Arbeitsbedingungen sowie das Verbot bestimmter Umweltbeeinträchtigungen – namentlich nach dem Minamata-Übereinkommen (Quecksilber), dem Stockholmer Übereinkommen (persistente organische Schadstoffe) und dem Basler Übereinkommen (grenzüberschreitende Abfallverbringung). Für Medizintechnikunternehmen, die auf präzise Rohstoffe wie Kobalt (Akkumulatoren in mobilen Geräten), Latex (Handschuhe, Katheter) oder seltene Erden (bildgebende Systeme) angewiesen sind, ergeben sich daraus spezifische Risikoprofile.
Seit dem 1. Januar 2024 sind Unternehmen ab 1.000 Beschäftigten erfasst. Entscheidend für die Einordnung ist die Zahl der im Inland Beschäftigten im Jahresdurchschnitt. Entleiher und Leiharbeitnehmer im Unternehmen werden einbezogen, wenn die Eingliederung in die Betriebsorganisation überwiegt.
In der Mandatspraxis sehen wir bei Medizintechnikunternehmen häufig die fehlerhafte Annahme, das LkSG gelte erst dann, wenn das Unternehmen selbst produziert. Das stimmt nicht: Auch reine Händler und Vertriebsgesellschaften, die medizinische Geräte importieren und weiterveräußern, fallen unter das Gesetz, sofern sie die Beschäftigtenschwelle erreichen. Die Frage, ob Ihr Unternehmen erfasst ist, sollte daher vor Aufstellung des Compliance-Kalenders geklärt werden.
Schritt 1: Risikoanalyse als Pflichtfundament – Wie gehen Sie methodisch vor?
Die Risikoanalyse ist die zentrale Eingangsleistung jedes LkSG-Compliance-Systems. Sie ist mindestens einmal jährlich sowie bei wesentlichen Änderungen der Risikosituation durchzuführen. Für Medizintechnikunternehmen empfehlen wir eine zweistufige Struktur: Im ersten Schritt wird das eigene Geschäftsbereich-Portfolio nach Länderrisiko, Rohstoffkategorie und Wertschöpfungsstufe segmentiert; im zweiten Schritt werden die identifizierten Risiken nach Wahrscheinlichkeit und Schwere bewertet.
Die Risikoanalyse muss die unmittelbaren Zulieferer vollständig erfassen; mittelbare Zulieferer sind einzubeziehen, sobald das Unternehmen substantiierte Kenntnis von Verstößen erlangt. Dieser zweistufige Ansatz hat praktische Konsequenz: Für den direkten Komponentenlieferanten aus Kuala Lumpur müssen Sie aktiv und jährlich prüfen. Für den Sublieferanten des Lieferanten reagieren Sie anlassbezogen – sobald Sie konkrete Hinweise erhalten.
Methodisch sind anerkannte Instrumente einsetzbar: Fragebögen mit eidesstattlicher Erklärung (Self-Assessments), Audits vor Ort oder durch akkreditierte Dritte, Länderberichte des Auswärtigen Amts, Berichte der Internationalen Arbeitsorganisation (ILO) sowie branchenspezifische Initiativen wie die Medical Device Regulation (MDR)-Lieferantenqualifizierung, die sich gut mit der LkSG-Risikoanalyse verzahnen lässt. Nutzen Sie die MDR-Lieferantenakte als Startpunkt: Sie enthält bereits Angaben zu Fertigungsstandorten, Unterauftragnehmern und Qualitätsprozessen – genau die Informationen, die das LkSG fordert.
Wo liegen die typischen Risiken in der Medizintechnik? Latex-Zulieferketten aus Südostasien sind mit Berichten über erzwungene Überstunden und mangelnden Arbeitsschutz behaftet. Kobalt-Lieferketten aus der Demokratischen Republik Kongo weisen bekannte Kinderarbeitsrisiken auf. Elektronikbauteile aus Regionen mit schwacher Strafverfolgung können Zwangsarbeit in Fertigungsprozessen verdecken. Diese drei Kategorien sollten bei der Risikopriorisierung besondere Aufmerksamkeit erhalten.
Schritt 2: Präventionsmaßnahmen und Grundsatzerklärung
Sobald die Risikoanalyse vorliegt, verlangt das LkSG den Übergang zur Prävention. Kernelement ist die Grundsatzerklärung (Policy Statement): ein schriftliches Dokument der Unternehmensleitung, das die eigene Menschenrechts- und Umweltstrategie darstellt, die Verantwortlichkeit innerhalb der Geschäftsführung benennt und die Erwartungen an Zulieferer und Geschäftspartner formuliert. Diese Erklärung muss öffentlich zugänglich sein – in der Regel auf der Unternehmenswebsite.
Daneben sind vertragliche Präventionsmaßnahmen gegenüber unmittelbaren Zulieferern zu implementieren. Vertragsklauseln, die zur Einhaltung der LkSG-Anforderungen verpflichten (sog. Supplier Codes of Conduct), Auditrechte zugunsten des Unternehmens und Eskalationspfade bei Verstößen sind gängige Instrumente. Medizintechnikunternehmen profitieren hier von einem Vorteil: Die MDR-Qualitätssicherungsanforderungen erzwingen ohnehin intensive Lieferantenverträge. Diese müssen nun um spezifische LkSG-Klauseln ergänzt werden.
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Medizintechnikunternehmen aus dem Bereich Diagnostik. Ausgangslage: Das Unternehmen hatte rund 1.200 Beschäftigte, importierte Reagenziengrundstoffe aus China und verfügte über keine strukturierte Lieferantendokumentation. Vorgehen: Gemeinsam mit dem Unternehmen wurde zunächst eine vollständige Lieferantenliste mit Risikoklassifizierung erstellt; anschließend wurden standardisierte Vertragsergänzungen (Code of Conduct, Auditklausel, Hotline-Verweis) für die Beschaffungsverträge erarbeitet. Ergebnis: Das Unternehmen konnte seinen ersten LkSG-Bericht fristgerecht beim BAFA einreichen und verfügte über eine dokumentierte Grundlage für künftige Prüfanfragen.
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Unternehmen aus der Medizintechnikbranche mit Lieferantenbeziehungen in drei Kontinenten. Ausgangslage: Bestehende Lieferantenverträge enthielten keine Menschenrechtsklauseln; die Risikoanalyse war nie dokumentiert worden. Vorgehen: Wir haben das Unternehmen bei der Erstellung einer differenzierten Risikolandkarte, der Formulierung einer Grundsatzerklärung und der Überarbeitung von mehr als achtzig Lieferantenverträgen unterstützt. Ergebnis: Das Compliance-Programm war innerhalb weniger Monate BAFA-berichtsfähig, ohne den Einkaufsprozess wesentlich zu verlangsamen.
Welche Abhilfepflichten bestehen, wenn ein Verstoß festgestellt wird?
Stellt das Unternehmen fest – sei es durch die Risikoanalyse, eine Beschwerde oder einen externen Hinweis –, dass ein unmittelbarer Zulieferer gegen eine geschützte Rechtsposition verstößt, greift die Abhilfepflicht. Das LkSG fordert dann unverzügliches Handeln: Das Unternehmen muss einen konkreten Abhilfeplan aufstellen, diesen umsetzen und die Wirksamkeit der Maßnahmen kontrollieren. Gelingt keine Abhilfe innerhalb angemessener Zeit, kann die Pflicht entstehen, die Geschäftsbeziehung auszusetzen oder in letzter Konsequenz zu beenden.
Für Geschäftsführer im Mittelstand ist entscheidend: Die Pflicht zur Abhilfe ist keine absolute Erfolgspflicht. Das LkSG normiert eine Bemühenspflicht (sog. Best-Efforts-Standard). Der Nachweis dokumentierter, ernsthafter und verhältnismäßiger Maßnahmen kann daher ausreichen, um Haftungsrisiken zu begrenzen. Wer hingegen gar nicht tätig wird, exponiert sich gegenüber dem BAFA vollständig.
Praktisch empfehlen wir einen dreistufigen Eskalationsplan: (1) Sofortmaßnahme mit Frist gegenüber dem Lieferanten, (2) Eskalation an die Unternehmensleitung des Lieferanten und Vereinbarung eines Korrekturmaßnahmenplans, (3) Einleitung alternativer Beschaffung, falls keine Verbesserung erkennbar ist. Dieser Plan muss schriftlich dokumentiert sein – nicht für die Schublade, sondern für die BAFA-Akte.
Wie reagiert ein Unternehmen auf einen Hinweis aus dem Beschwerdeverfahren? Sobald über das interne Beschwerdesystem (oder extern, etwa über NGO-Berichte) eine Beschwerde eingeht, ist diese zu prüfen, zu dokumentieren und der meldenden Person eine Rückmeldung zu geben. Das Unternehmen muss weder jede Behauptung als bewiesen akzeptieren noch sie ignorieren. Entscheidend ist die nachvollziehbare Prüfung und das dokumentierte Ergebnis.
Schritt 3: Beschwerdeverfahren – Was muss das System leisten?
Das LkSG schreibt ein zugängliches, vertrauliches Beschwerdeverfahren vor, das es Betroffenen und Hinweisgebern ermöglicht, Verstöße zu melden. Dieses Verfahren gilt sowohl für das eigene Unternehmen als auch für unmittelbare Zulieferer. In der Praxis implementieren Medizintechnikunternehmen häufig digitale Hinweisgeberportale, die gleichzeitig die Anforderungen des Hinweisgeberschutzgesetzes (HinSchG) erfüllen – eine sinnvolle Konsolidierung.
Das Beschwerdesystem muss bestimmte Mindestvoraussetzungen erfüllen: Es muss für alle potenziell betroffenen Personen erreichbar sein – also auch für Arbeitnehmer bei Subunternehmen im Ausland. Es muss die Vertraulichkeit des Hinweisgebers gewährleisten und anonyme Meldungen ermöglichen. Und es muss die Bearbeitung von Beschwerden in einer Weise sicherstellen, die Hinweisgebern eine Rückmeldung über den Stand und das Ergebnis der Prüfung gibt.
Wichtig: Das HinSchG ist seit dem 2. Juli 2023 in Kraft; Unternehmen ab 50 Beschäftigten sind verpflichtet, interne Meldestellen einzurichten. Wer bereits eine HinSchG-konforme Meldestelle betreibt, kann diese mit wenigen Anpassungen als LkSG-Beschwerdeverfahren nutzen. Die Überschneidung spart Ressourcen und vermeidet Doppelstrukturen.
Nach unserer Erfahrung ist das Beschwerdeverfahren in Medizintechnikunternehmen der am häufigsten vernachlässigte Baustein. Die Risikoanalyse und die Grundsatzerklärung werden vergleichsweise früh umgesetzt; die zugängliche, mehrsprachige Beschwerdemöglichkeit für Arbeiter in Fertigungsstandorten in Asien oder Lateinamerika bleibt häufig aus. Das ist ein Fehler, der bei einer BAFA-Prüfung unmittelbar auffällt.
Schritt 4: Dokumentation und Berichtspflicht gegenüber dem BAFA
Betroffene Unternehmen müssen jährlich einen Bericht über die Erfüllung ihrer Sorgfaltspflichten erstellen und spätestens vier Monate nach Ablauf des Geschäftsjahres auf der eigenen Unternehmenswebsite veröffentlichen sowie dem BAFA in elektronischer Form zur Verfügung stellen. Für das Geschäftsjahr 2024 war der Bericht also bis Ende April 2025 fällig; entsprechend gilt das für Folgeberichte.
Der jährliche LkSG-Bericht muss mindestens sieben Themenbereiche abdecken, darunter die Grundsatzerklärung, die Ergebnisse der Risikoanalyse, die getroffenen Präventions- und Abhilfemaßnahmen, das Beschwerdeverfahren, die Wirksamkeitsprüfung und eine Zusammenfassung. Der BAFA hat Berichtsleitfäden veröffentlicht, die die Struktur vorgeben; es empfiehlt sich, diese als Checkliste zu verwenden.
Welche Konsequenzen hat ein mangelhafter Bericht? Das BAFA ist Aufsichtsbehörde mit Prüf- und Bußgeldbefugnissen. Verstöße gegen die Berichtspflicht können mit Bußgeldern belegt werden. Darüber hinaus können Unternehmen, gegen die eine Bußgeldentscheidung ergangen ist, von der Vergabe öffentlicher Aufträge ausgeschlossen werden – ein erhebliches Risiko für Medizintechnikunternehmen, die an Ausschreibungen im Gesundheitswesen teilnehmen. Die genaue Höhe der Bußgelder und die Ausschlussfrist sind im Einzelfall anwaltlich zu prüfen.
Für den Berichtsinhalt empfehlen wir folgende Struktur: Einleitende Darstellung des Unternehmens und seiner Lieferkette → Benennung der Risikobereiche und der angewandten Analyse-Methode → Beschreibung der Präventionsmaßnahmen mit konkreten Beispielen → Darstellung von Abhilfefällen (soweit vorhanden, anonymisiert) → Beschreibung des Beschwerdeverfahrens → Erläuterung der Wirksamkeitsprüfung. Dieser Aufbau entspricht den BAFA-Leitfäden und erleichtert die Prüfung.
Schritt 5: Wirksamkeitsprüfung – Wie stellt die Geschäftsführung sicher, dass das System funktioniert?
Das LkSG verlangt nicht nur die Einführung von Maßnahmen, sondern auch deren regelmäßige Überprüfung auf Wirksamkeit. Diese Anforderung ist anspruchsvoller als sie klingt. Wirksamkeitsprüfung bedeutet nicht, dass keine Verstöße aufgetreten sein dürfen – das wäre unrealistisch. Sie bedeutet, dass das Unternehmen systematisch überprüft, ob seine Präventions- und Abhilfemechanismen geeignet sind, Verletzungen zu erkennen, zu verhindern und zu beheben.
Geeignete Methoden sind: interne Audits der Compliance-Abteilung, Lieferantenaudits vor Ort oder durch Dritte, statistische Auswertung der Beschwerdeeingänge und -bearbeitungszeiten, sowie Benchmarking mit Branchenstandards. Für Medizintechnikunternehmen bietet sich die Verzahnung mit der MDR-Lieferantenüberwachung an: Wer ohnehin jährliche Lieferantenqualifizierungen durchführt, kann diese um einen LkSG-Prüfbaustein erweitern, ohne einen separaten Auditprozess aufbauen zu müssen.
Nach unserer Erfahrung in der Mandatspraxis fehlt in vielen mittelständischen Unternehmen nicht der Wille, sondern die Systematik. Es gibt Richtlinien, aber keine Kontrolle ihrer Umsetzung. Es gibt Vertragsklauseln, aber keine Prüfung, ob Lieferanten sie einhalten. Eine jährliche Wirksamkeitsprüfung, die in einem kurzen internen Prüfbericht mündet, schließt diese Lücke und liefert gleichzeitig das Dokumentationsmaterial für den BAFA-Bericht.
Wechselwirkung mit der EU-Lieferkettenrichtlinie (CSDDD) – Was kommt auf Medizintechnikunternehmen zu?
Neben dem deutschen LkSG tritt die europäische Corporate Sustainability Due Diligence Directive (CSDDD) in Kraft. Diese Richtlinie muss von den EU-Mitgliedstaaten in nationales Recht umgesetzt werden; die Umsetzungsfrist läuft grundsätzlich bis Mitte 2026. Die CSDDD geht in mehreren Punkten über das LkSG hinaus: Sie erfasst zivilrechtliche Haftungsansprüche geschädigter Personen, schließt ausdrücklich die Klimapflichtenkomponente ein und gilt für größere Unternehmensgruppen ab bestimmten Schwellenwerten (in der verabschiedeten Fassung zunächst für Unternehmen ab rund 1.000 Beschäftigten und einem weltweiten Nettoumsatz von über 450 Millionen Euro, mit abgestuften Übergangsfristen).
Für die Praxis bedeutet das: Wer heute ein robustes LkSG-Compliance-System aufbaut, legt gleichzeitig das Fundament für die CSDDD-Anforderungen. Die Risikoanalyse, die Grundsatzerklärung, das Beschwerdeverfahren und die Berichtspflicht sind strukturell kompatibel. Die wesentlichen Mehraufwände der CSDDD betreffen die Klimakomponente und den zivilrechtlichen Haftungspfad. Medizintechnikunternehmen sollten ihr Compliance-Programm daher zukunftssicher gestalten und CSDDD-Anforderungen bereits heute antizipieren.
Beachten Sie: Die genauen Schwellenwerte und Übergangsfristen der CSDDD sowie der Stand der nationalen Umsetzung in Deutschland sind im Einzelfall anwaltlich zu prüfen, da sich Detailfragen im laufenden Gesetzgebungsverfahren noch ändern können.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung Ihrer Lieferantenstruktur, Ihrer bestehenden Vertragswerke und der einschlägigen BAFA-Praxishinweise. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zum LkSG in der Medizintechnik
Ab wann gilt das LkSG für Medizintechnikunternehmen?
Das LkSG gilt seit dem 1. Januar 2023 für Unternehmen mit mindestens 3.000 Beschäftigten im Inland; seit dem 1. Januar 2024 auch für Unternehmen ab 1.000 Beschäftigten. Maßgeblich ist der Jahresdurchschnitt der im Inland Beschäftigten. Konzerntöchter zählen zusammen, wenn das Mutterunternehmen seinen Sitz in Deutschland hat. Für Medizintechnikunternehmen ist die genaue Zurechnung von Leiharbeitnehmern und ausländischen Tochtergesellschaften einzelfallbezogen zu prüfen.
Was passiert, wenn ein Medizintechnikunternehmen keinen LkSG-Bericht einreicht?
Das BAFA als zuständige Aufsichtsbehörde kann bei Verstößen gegen die Berichtspflicht Bußgelder verhängen. Darüber hinaus droht betroffenen Unternehmen der Ausschluss von der Vergabe öffentlicher Aufträge für einen bestimmten Zeitraum. Dieser Ausschluss trifft Medizintechnikunternehmen, die an Ausschreibungen im öffentlichen Gesundheitswesen teilnehmen, besonders hart. Die genaue Sanktionshöhe ist im Einzelfall zu klären.
Muss ein Medizintechnikunternehmen auch mittelbare Zulieferer überwachen?
Unmittelbare Zulieferer sind stets und aktiv zu überwachen. Mittelbare Zulieferer (Lieferanten der Lieferanten) sind nur anlassbezogen einzubeziehen – sobald das Unternehmen substantiierte Kenntnis von einem möglichen Verstoß erlangt. Diese Kenntnis kann aus Hinweisen über das Beschwerdeverfahren, aus Medienberichten oder aus Branchenberichten resultieren. Dann ist unverzügliches Handeln erforderlich.
Lässt sich die LkSG-Risikoanalyse mit der MDR-Lieferantenqualifizierung kombinieren?
Ja. Die MDR-Lieferantenqualifizierung verlangt ohnehin Angaben zu Fertigungsstandorten, Unterauftragnehmern und Qualitätsprozessen. Diese Informationen bilden einen guten Ausgangspunkt für die LkSG-Risikoanalyse. Mit gezielten Ergänzungen – Länderrisikoeinschätzung, menschenrechtliche Indikatoren, Umweltstandards – entsteht ein integriertes Lieferantendossier, das beiden Anforderungen genügt. Das spart Ressourcen und vermeidet redundante Prüfprozesse.
Welche Rolle spielt die Geschäftsführung persönlich?
Die Geschäftsführung trägt die Letztverantwortung für die Einrichtung und Aufrechterhaltung des LkSG-Compliance-Systems. Das LkSG schreibt vor, dass ein Mitglied der Leitungsebene mit der Wahrnehmung der Sorgfaltspflichten zu betrauen ist. Bei einer BAFA-Prüfung sind es die Unterlagen der Geschäftsführungsebene – Beschlüsse, Berichte, Beauftragungen – die darüber entscheiden, ob das Unternehmen seinen Pflichten genügt hat. Eine Delegation ohne Überwachung schützt nicht vor Haftung.
Die vorstehende Darstellung betrifft die wesentlichen Regelstrukturen des LkSG. Ihr konkreter Fall erfordert die Prüfung Ihrer Lieferantenliste, bestehender Vertragswerke und der aktuellen BAFA-Praxis. Für eine erste Durchsicht Ihrer Unterlagen wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.