Viele Geschäftsführer mittelständischer Softwareunternehmen und IT-Dienstleister halten das Lieferkettensorgfaltspflichtengesetz (LkSG) für ein Problem der klassischen Industrie – für Automobilkonzerne, Textilfertiger, Rohstoffhändler. Diese Einschätzung ist ein gefährlicher Irrtum. Die Aufsichtsbehörde, das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA), prüft seit 2023 aktiv und ohne Branchenausnahme. Wer Softwarelizenzen bezieht, Cloud-Infrastruktur nutzt, Hardware beschafft oder IT-Dienstleistungen in Niedriglohnländern einkauft, betreibt eine Lieferkette im Sinne des Gesetzes.
Das LkSG verpflichtet betroffene Unternehmen, entlang ihrer gesamten Lieferkette menschenrechtliche und umweltbezogene Sorgfaltspflichten zu erfüllen, Risiken systematisch zu analysieren, Präventions- und Abhilfemaßnahmen einzuleiten und jährlich gegenüber dem BAFA zu berichten. Für Geschäftsführer im Mittelstand bedeutet dies eine persönliche Sorgfaltspflicht, deren Vernachlässigung Bußgelder und den Ausschluss von öffentlichen Vergaben nach sich ziehen kann. Dieser Beitrag zeigt, welche Pflichten in der Software- und IT-Branche konkret greifen, wie eine praxistaugliche Umsetzung aussieht und welche Schritte jetzt vorrangig zu gehen sind.
Im Folgenden erläutern wir den gesetzlichen Rahmen, arbeiten die branchenspezifischen Risikopunkte der IT-Wertschöpfungskette heraus, beschreiben den Aufbau eines gesetzeskonformen Sorgfaltspflichtsystems und geben eine Handlungsempfehlung für die Umsetzung.
Was das LkSG von IT-Unternehmen verlangt – Anwendungsbereich und Grundstruktur
Das LkSG gilt unmittelbar für Unternehmen mit Niederlassung in Deutschland, die bestimmte Schwellenwerte überschreiten. Seit dem 1. Januar 2024 gilt das Gesetz für Unternehmen ab 1.000 Arbeitnehmern in Deutschland – die ursprünglich auf 3.000 Beschäftigte gesetzte Grenze wurde zum Jahresbeginn 2024 abgesenkt. Für die Software- und IT-Branche, die oft mit schlanken eigenen Strukturen und umfangreichen Zulieferer- und Subunternehmernetzwerken arbeitet, ist dieser Schwellenwert präzise zu prüfen: Konzernverbundene Unternehmen, Leiharbeitnehmer und bestimmte Dauerschuldverhältnisse können die tatsächliche Beschäftigtenzahl in die Pflichtenzone heben.
Das Gesetz unterscheidet zwischen dem eigenen Geschäftsbereich, dem unmittelbaren Zulieferer und dem mittelbaren Zulieferer. Im eigenen Geschäftsbereich und beim unmittelbaren Zulieferer gelten anlassunabhängige, durchgehende Sorgfaltspflichten. Beim mittelbaren Zulieferer – also dem Vorlieferanten Ihrer direkten Lieferanten – greift das Gesetz anlassbezogen, sobald das Unternehmen substanziierte Kenntnis von Verstößen erlangt. Für IT-Einkäufer, die bei einem europäischen Distributor Hardware oder Software beziehen, heißt das: Der Distributor ist unmittelbarer Zulieferer, der asiatische Chip-Hersteller dahinter ist mittelbarer Zulieferer.
Die sieben Kern-Sorgfaltspflichten des LkSG umfassen: Einrichtung eines Risikomanagements, Durchführung einer Risikoanalyse, Verankerung von Präventionsmaßnahmen, Ergreifung von Abhilfemaßnahmen bei festgestellten Verletzungen, Einrichtung eines Beschwerdeverfahrens, Sicherstellung der Sorgfaltspflichten bei mittelbaren Zulieferern und die jährliche Berichterstattung gegenüber dem BAFA. Jede dieser Pflichten ist nach unserer Erfahrung mit konkretem Dokumentationsaufwand verbunden – sie lassen sich nicht durch eine bloße Policy-Erklärung erfüllen.
Welche menschenrechtlichen und umweltbezogenen Risiken in der IT-Lieferkette bestehen
Die Lieferkette der Software- und IT-Branche ist auf den ersten Blick weniger „physisch" als die eines Automobilherstellers. Tatsächlich enthält sie strukturelle Risikoschwerpunkte, die das BAFA explizit in seinem Prüffokus hat. Das gilt insbesondere für drei Bereiche.
Erstens: Hardware-Beschaffung und Rohstoffgewinnung. Jede IT-Infrastruktur – Server, Arbeitsplatzrechner, Netzwerktechnik, mobile Endgeräte – enthält Mineralien, deren Abbau in Konfliktregionen mit Kinder- und Zwangsarbeit verbunden sein kann. Sogenannte Konfliktmineralien (Tantal, Zinn, Wolfram, Gold) sind ein weltweit anerkannter Risikofaktor. Wer Hardware beschafft, hat eine Lieferkette mit einem potenziellen menschenrechtlichen Risiko ab der zweiten oder dritten Stufe.
Zweitens: Softwareentwicklung in Niedriglohnländern. IT-Unternehmen, die Entwicklungskapazitäten in Ländern wie Indien, der Ukraine, Vietnam, Pakistan oder Bangladesch einkaufen – sei es über Nearshoring-Agenturen, Freelancer-Plattformen oder eigene Niederlassungen –, müssen die dortige Arbeitssituation ihrer unmittelbaren Lieferanten bewerten. Arbeitsstunden jenseits gesetzlicher Limits, fehlende Arbeitsschutzstandards und unzulässige Beschäftigung Minderjähriger in Subunternehmer-Strukturen sind dokumentierte Risiken in IT-Zuliefererketten.
Drittens: Cloud-Dienste und Rechenzentrumsbetrieb. Der Energieverbrauch und die Kühltechnik großer Rechenzentren sind mit umweltbezogenen Risiken verbunden, die das LkSG erfasst, soweit sie mit dem Einsatz umweltgefährdender Stoffe oder der Beeinträchtigung natürlicher Ressourcen einhergehen. Wer Cloud-Kapazitäten als wesentliche Infrastruktur einkauft und dabei erhebliche Volumina abnimmt, sollte diesen Bereich nicht ohne Risikoprüfung lassen.
Wie greift die BAFA-Aufsicht – und was bedeutet das für die Geschäftsführung?
Das BAFA ist die zuständige Aufsichtsbehörde für die LkSG-Compliance. Es kann auf eigene Initiative oder auf Grundlage von Eingaben Dritter tätig werden. Bußgelder können nach dem LkSG bis zu 8 Mio. Euro betragen; bei Unternehmen mit einem weltweiten Jahresumsatz von mehr als 400 Mio. Euro ist ein Bußgeld von bis zu 2 % des weltweiten Jahresumsatzes möglich. Daneben droht bei Bußgeldern oberhalb von 175.000 Euro der Ausschluss von der Vergabe öffentlicher Aufträge für bis zu drei Jahre.
Für Geschäftsführer ist entscheidend: Das LkSG adressiert die Sorgfaltspflicht als unternehmerische Obliegenheit, nicht als Ergebnisverpflichtung. Es wird nicht gefordert, dass Verletzungen in der Lieferkette tatsächlich nie vorkommen. Gefordert wird ein ernsthafter, dokumentierter, systematischer Prozess. Wer diesen Prozess nicht nachweisen kann – weil er ihn schlicht nicht aufgebaut hat –, handelt sorgfaltswidrig, unabhängig davon, ob in seiner Lieferkette tatsächlich ein Verstoß vorliegt.
In der Mandatspraxis sehen wir regelmäßig Geschäftsführer, die das Gesetz kennen, aber davon ausgehen, die BAFA-Prüfung werde nur Konzerne treffen. Das BAFA hat indes seit Inkrafttreten des Gesetzes auch mittelgroße Unternehmen mit Auskunftsverlangen und Vor-Ort-Prüfungen adressiert. Die entscheidende Frage ist nicht, ob Ihr Unternehmen geprüft wird, sondern ob Sie im Prüfungsfall eine tragfähige Dokumentation vorlegen können.
Welche Schritte beim Aufbau eines LkSG-konformen Sorgfaltspflichtsystems zwingend sind
Die gesetzlichen Pflichten folgen einer klaren Sequenz. Nachfolgend beschreiben wir die Schritte, die für IT-Unternehmen im Mittelstand besonders relevant sind.
Schritt 1: Anwendbarkeitscheck und Beschäftigtenermittlung. Bevor ein Unternehmen das vollständige LkSG-Programm implementiert, ist verbindlich zu klären, ob die gesetzliche Schwelle überschritten ist. Dabei sind Konzernstrukturen, Stammhaus und Tochtergesellschaften sowie Leiharbeitnehmer einzubeziehen. Liegt das Unternehmen knapp unter der Schwelle, ist die Überprüfung jährlich zu wiederholen, da Wachstum oder Akquisitionen den Schwellenwert übersteigen können.
Schritt 2: Risikoanalyse. Die Risikoanalyse ist das Herzstück des Systems. Sie ist anfänglich und danach jährlich sowie anlassbezogen durchzuführen. Für die IT-Branche bedeutet das: Kategorisierung der Lieferanten nach Risikoprofil (Hardware vs. Software vs. Dienstleistung), geografische Risikobewertung (Herkunftsländer der Vorprodukte, Standorte der Entwicklungspartner), Bewertung des eigenen Einflussvermögens. Das Ergebnis muss schriftlich dokumentiert und intern verabschiedet sein.
Schritt 3: Präventionsmaßnahmen. Auf Grundlage der Risikoanalyse sind angemessene Präventionsmaßnahmen einzuleiten. In der Software-Beschaffung sind dies typischerweise: Aufnahme von Menschenrechtsklauseln in Lieferantenverträge, Durchführung von Lieferanten-Self-Assessments oder Audits, Integration von ESG-Kriterien in die Lieferantenauswahl. Für Hardware-Beschaffung können branchenspezifische Zertifizierungen (etwa Responsible Business Alliance-Standards) als Referenzrahmen dienen – sie ersetzen aber nicht die eigene Risikoanalyse.
Schritt 4: Beschwerdeverfahren. Das LkSG verlangt ein zugängliches, öffentlich bekanntes Beschwerdeverfahren. Für IT-Unternehmen bietet sich die Integration in ein bereits vorhandenes datenschutzrechtliches Hinweisgebersystem an – sofern dieses die spezifischen LkSG-Anforderungen (Anonymität, Reaktionspflicht, Dokumentation) erfüllt. Das Hinweisgeberschutzgesetz (HinSchG) und das LkSG haben hier übergreifende Anforderungen, die koordiniert umgesetzt werden sollten.
Schritt 5: Jährliche Berichterstattung. Das Unternehmen hat jährlich einen Bericht über die Erfüllung der Sorgfaltspflichten zu erstellen und diesen für mindestens sieben Jahre aufzubewahren. Der Bericht ist gegenüber dem BAFA zugänglich zu machen. Inhalt und Struktur sind durch BAFA-Leitlinien vorgegeben; eine bloße Auflistung von Maßnahmen ohne Bewertung ihrer Wirksamkeit genügt regelmäßig nicht.
Wann besteht besonderer Handlungsdruck – und welche Konstellationen sind besonders heikel?
Nicht alle IT-Unternehmen tragen das gleiche LkSG-Risikoprofil. Folgende Konstellationen begründen nach unserer Erfahrung besonders dringenden Handlungsbedarf.
Konstellation A: IT-Unternehmen mit eigener Hardware-Beschaffung. Wer Server, Notebooks oder Netzwerktechnik direkt bei Herstellern oder Distributoren beschafft und dabei signifikante Volumina bewegt, hat eine unmittelbare Zulieferbeziehung mit den Risiken des Elektroniksektors. Hier ist eine strukturierte Risikoanalyse mit konkreter Lieferanten-Kommunikation unabdingbar.
Konstellation B: Nearshoring-abhängige Softwareentwicklung. Unternehmen, die 30 % oder mehr ihrer Entwicklungskapazität über externe Partner in Drittstaaten beziehen, haben einen unmittelbaren Zulieferer mit potenziell erhöhtem Arbeitsrecht-Risikoprofil. Hier sind vertragliche Absicherungen, Self-Assessment-Fragebögen und eine anlassbezogene Eskalationspflicht einzurichten.
Konstellation C: Cloud-First-Strategie mit konzentrierten Abhängigkeiten. Wer seine gesamte Infrastruktur über einen oder zwei hyperscaler Cloud-Anbieter betreibt, hat bei diesen Anbietern eine unmittelbare Zulieferbeziehung. Auch wenn deren interne Compliance-Programme oft gut dokumentiert sind, entbindet das den verpflichteten IT-Dienstleister nicht von einer eigenen Risikoprüfung und Dokumentation.
Konstellation D: Öffentliche Aufträge. IT-Dienstleister, die erhebliche Umsatzanteile mit öffentlichen Auftraggebern generieren, tragen ein doppeltes Risiko: Bußgelder und – bei Bußgeldern oberhalb von 175.000 Euro – der Ausschluss von der Vergabe. Für diese Unternehmen ist LkSG-Compliance keine bloße regulatorische Übung, sondern eine unmittelbare Voraussetzung für das Kerngeschäft.
Wie verhält sich das LkSG zur europäischen Lieferkettenrichtlinie (CSDDD)?
Seit April 2024 ist die europäische Richtlinie über unternehmerische Sorgfaltspflichten in der Lieferkette (Corporate Sustainability Due Diligence Directive, CSDDD) in Kraft. Sie ist bis 2027 in nationales Recht der EU-Mitgliedstaaten umzusetzen und wird das LkSG nicht ersetzen, sondern ergänzen und in Teilen verschärfen. Die CSDDD erfasst zusätzlich klimabezogene Transitionspläne und erweitert den Anwendungsbereich auf bestimmte EU-Unternehmen sowie drittstaatliche Unternehmen mit erheblichem EU-Umsatz.
Für Geschäftsführer ergibt sich daraus eine klare Botschaft: Wer heute ein tragfähiges LkSG-Compliance-System aufbaut, legt zugleich das Fundament für die künftige CSDDD-Compliance. Der Aufbau paralleler Strukturen wäre nicht nur ineffizient, sondern führte zu einer unnötig erhöhten Komplexität. Nach unserer Erfahrung empfiehlt sich ein systemischer Ansatz, der LkSG-Pflichten und absehbare CSDDD-Anforderungen von Beginn an zusammenführt.
Welche konkreten Umsetzungsfristen sich aus der deutschen CSDDD-Transposition ergeben werden, ist zum Zeitpunkt dieses Beitrags noch nicht abschließend bestimmt; die genauen Fristen sind im Einzelfall anwaltlich zu prüfen.
Typische Umsetzungsfehler in der IT-Branche – und wie Sie sie vermeiden
In der Mandatspraxis sehen wir wiederkehrende Fehler, die die LkSG-Compliance von IT-Unternehmen gefährden. Drei davon sind besonders folgenreich.
Fehler eins: Die Risikoanalyse bleibt auf dem Papier. Viele Unternehmen erstellen eine initiale Risikoanalyse, führen diese aber nicht jährlich fort und passen sie nicht an veränderte Lieferantenstrukturen an. Das BAFA prüft explizit, ob die Analyse aktuell und auf die tatsächliche Lieferkette bezogen ist. Eine einmalige Bestandsaufnahme aus dem Gründungsjahr des LkSG-Projekts ist nach zwei Jahren wertlos als Compliance-Nachweis.
Fehler zwei: Lieferantenverträge enthalten keine Menschenrechtsklauseln. Wer seine Standardlieferantenverträge nicht nachgerüstet hat, kann Präventions- und Abhilfemaßnahmen gegenüber Zulieferern rechtlich kaum durchsetzen. Die Klauseln müssen inhaltlich die Schutzgüter des LkSG abbilden und mit Auditrechten, Eskalationspflichten und Kündigungsrechten verbunden sein.
Fehler drei: Das Beschwerdeverfahren ist nicht zugänglich. Das Gesetz verlangt ein für Betroffene zugängliches Verfahren. Ein internes Compliance-Postfach, das nur Mitarbeitern bekannt ist, genügt nicht. Das Beschwerdeverfahren muss öffentlich kommuniziert, für externe Betroffene (Mitarbeiter von Zulieferern, Gewerkschaften, NGOs) erreichbar und auf Vertraulichkeit ausgelegt sein.
Aus der Mandatspraxis: Ein mittelständisches Softwareunternehmen mit rund 1.200 Mitarbeitern hatte nach Inkrafttreten des erweiterten Anwendungsbereichs des LkSG eine interne Projektgruppe eingesetzt, die einen ersten Risikoanalyse-Entwurf erstellte. Als das BAFA ein Auskunftsverlangen über die Sorgfaltspflichten-Dokumentation richtete, stellte sich heraus, dass die Analyse nur den eigenen Geschäftsbereich, nicht aber die unmittelbaren Lieferanten der Nearshoring-Partner erfasste. Zudem fehlte ein formales Beschwerdeverfahren. Die Kanzlei beriet das Unternehmen bei der Erstellung eines vollständigen Compliance-Dossiers, der Ergänzung der Lieferantenverträge um einschlägige Klauseln und der fristgerechten Beantwortung des BAFA-Auskunftsverlangens. Das Unternehmen konnte nach qualitativer Einschätzung der Mandatssituation nachweisen, dass es die Lücken unverzüglich geschlossen hatte – was die Ausgangssituation gegenüber der Behörde erheblich verbesserte.
Was jetzt zu tun ist – Handlungsempfehlungen für Geschäftsführer
Angesichts des aktiven Aufsichtsregimes des BAFA und der absehbaren Verschärfung durch die CSDDD besteht kein Raum mehr für abwartende Haltungen. Die nachfolgende Prioritätensequenz orientiert sich an der Prüfungspraxis des BAFA.
Priorität 1: Anwendbarkeitsprüfung. Klären Sie rechtssicher, ob Ihr Unternehmen – unter Einschluss aller verbundenen Unternehmen und Leiharbeitnehmer – den gesetzlichen Schwellenwert erreicht. Bei Grenzlagen ist die Prüfung nicht nur aktuell, sondern auch prospektiv durchzuführen.
Priorität 2: Gap-Analyse. Lassen Sie den Status quo Ihrer Lieferketten-Dokumentation gegen die sieben Sorgfaltspflichten des LkSG abgleichen. Erfahrungsgemäß sind Beschwerdeverfahren und Berichterstattung die häufigsten Lücken.
Priorität 3: Vertragsreview und -anpassung. Überprüfen Sie Ihre Lieferantenrahmenverträge auf LkSG-konforme Klauseln. Fehlen diese, ist die nächste Vertragsverlängerung oder -neuabschluss der späteste Zeitpunkt zur Nachrüstung – bei erhöhtem Risikoprofil sollte das früher geschehen.
Priorität 4: Berichtssystem. Bauen Sie ein dokumentiertes Verfahren für den jährlichen BAFA-Bericht auf. Die Aufbewahrungsfrist für LkSG-Unterlagen beträgt nach dem Gesetz sieben Jahre.
Priorität 5: Schulung und interne Kommunikation. Einkauf, Rechtsabteilung und Geschäftsführung müssen die LkSG-Pflichten kennen und operativ umsetzen können. Ein Compliance-System, das nur auf dem Papier der Rechtsabteilung existiert, hält einer BAFA-Prüfung nicht stand.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung Ihrer individuellen Lieferkettenstruktur, der Vertragswerke mit Zulieferern sowie der einschlägigen BAFA-Leitlinien und Rechtsprechung.
Für eine fachliche Einschätzung Ihrer LkSG-Situation – insbesondere zur Frage, ob Ihr Unternehmen den Schwellenwert überschreitet, welche Sorgfaltspflichten konkret greifen und wie ein BAFA-Auskunftsverlangen beantwortet werden sollte – schreiben Sie an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zum LkSG in der Software- und IT-Branche
Ab welcher Unternehmensgröße gilt das LkSG für IT-Unternehmen?
Das LkSG gilt seit dem 1. Januar 2024 für Unternehmen mit einer Niederlassung in Deutschland und regelmäßig mindestens 1.000 Arbeitnehmern. Entscheidend ist die Gesamtzahl aller Beschäftigten, einschließlich Leiharbeitnehmer und konzernverbundener Gesellschaften. IT-Unternehmen mit schlanken eigenen Strukturen und umfangreichen Subunternehmernetzwerken sollten den Schwellenwert sorgfältig, ggf. anwaltlich, ermitteln lassen.
Gilt das LkSG auch für reine Softwareunternehmen ohne eigene Hardware-Produktion?
Ja. Das LkSG erfasst jede Lieferkette, die ein Unternehmen für seine eigene Geschäftstätigkeit unterhält. Reine Softwareunternehmen, die Entwicklungsleistungen in Drittstaaten einkaufen, Cloud-Dienste nutzen oder Hardware für den Betrieb beschaffen, betreiben eine Lieferkette im Sinne des Gesetzes. Das Gesetz kennt keine Branchenausnahme für die IT- oder Softwarebranche.
Was prüft das BAFA konkret bei IT-Unternehmen?
Das BAFA prüft, ob das Unternehmen die sieben Kern-Sorgfaltspflichten des LkSG systematisch und nachweisbar erfüllt: Risikoanalyse, Präventionsmaßnahmen, Beschwerdeverfahren, Abhilfemaßnahmen und jährliche Berichterstattung. Bei IT-Unternehmen liegt der Prüffokus regelmäßig auf der Vollständigkeit der Risikoanalyse (einschließlich Nearshoring und Hardware), der Existenz und Zugänglichkeit des Beschwerdeverfahrens sowie der Qualität des BAFA-Berichts.
Welche Bußgelder drohen bei LkSG-Verstößen?
Das LkSG sieht Bußgelder von bis zu 8 Mio. Euro vor. Bei Unternehmen mit einem weltweiten Jahresumsatz von mehr als 400 Mio. Euro kann das Bußgeld bis zu 2 % des weltweiten Jahresumsatzes betragen. Ab einem Bußgeld von mehr als 175.000 Euro droht zusätzlich der Ausschluss von der Vergabe öffentlicher Aufträge für bis zu drei Jahre. Für IT-Dienstleister mit Public-Sector-Geschäft ist dieses Vergaberisiko oft die wirtschaftlich gravierendere Konsequenz.
Wie hängen LkSG und EU-CSDDD zusammen?
Das LkSG ist das nationale Vorläufergesetz der europäischen CSDDD, die seit April 2024 in Kraft ist und bis 2027 in nationales EU-Recht umzusetzen ist. Die CSDDD erweitert den Anwendungsbereich und fügt klimabezogene Transitionspflichten hinzu. Wer heute ein belastbares LkSG-System aufbaut, schafft damit die Grundlage für eine effiziente CSDDD-Compliance – eine parallele Strukturierung wäre ineffizient.
Müssen IT-Unternehmen auch Freelancer und Plattform-Entwickler als Lieferanten behandeln?
Kommt es auf den Einzelfall an. Freelancer, die dauerhaft und weisungsgebunden für das Unternehmen tätig sind, können arbeitsrechtlich als Beschäftigte oder Scheinselbstständige zu qualifizieren sein – was wiederum den eigenen Geschäftsbereich betrifft. Agenturen und Plattformen, über die Entwicklungsleistungen bezogen werden, sind regelmäßig als unmittelbare Zulieferer zu behandeln und damit vollumfänglich in die Risikoanalyse einzubeziehen.
Zur Klärung, welche LkSG-Pflichten konkret auf Ihr IT-Unternehmen wirken und wie eine BAFA-konforme Umsetzung aussieht, wenden Sie sich an info@brandtfalk.com. Die Ersteinschätzung umfasst die Prüfung Ihres Anwendungsbereichs, eine strukturierte Gap-Analyse und eine Empfehlung für die nächsten Umsetzungsschritte.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.