Ein mittelständisches Softwareunternehmen mit Entwicklungszentren in Südasien, Rechenzentrumskapazitäten in Osteuropa und einem globalen Netz freiberuflicher Entwickler: Auf den ersten Blick scheint das Lieferkettensorgfaltspflichtengesetz (LkSG) die Herausforderung anderer Branchen zu sein – Textilfabriken, Bergbau, Agrarbetriebe. Doch diese Annahme ist teuer. Auch IT- und Softwareunternehmen unterhalten Lieferketten, die das Gesetz unmittelbar erfasst – von Hardware-Einkauf über Cloud-Infrastruktur bis zu Subunternehmern für Softwareentwicklung.
Das LkSG verpflichtet betroffene Unternehmen zur Einrichtung eines Risikomanagements für menschenrechtliche und umweltbezogene Risiken in ihrer Liefer- und Wertschöpfungskette. Seit dem 1. Januar 2024 gilt das Gesetz für Unternehmen mit in der Regel mindestens 1.000 Arbeitnehmern in Deutschland. Die Überwachung obliegt der Bundesbehörde für Wirtschaft und Ausfuhrkontrolle (BAFA), die Bußgelder und – ab bestimmten Umsatzschwellen – Vergabeausschlüsse verhängen kann. Für Geschäftsführer des deutschen IT-Mittelstands bedeutet das: Wer die Schwelle erreicht oder als Zulieferer größerer Konzerne in deren Sorgfaltspflichten eingebunden wird, muss jetzt handeln.
Dieser Branchenreport analysiert die Rechtslage, zeigt branchenspezifische Risikopunkte auf und gibt Geschäftsführern einen strukturierten Fahrplan an die Hand.
Welche IT- und Softwareunternehmen unterliegen dem LkSG?
Das LkSG erfasst nach seinem Anwendungsbereich in § 1 Abs. 1 LkSG Unternehmen unabhängig von ihrer Rechtsform, die ihren Sitz, ihre Hauptverwaltung, ihre Hauptniederlassung oder ihren satzungsmäßigen Sitz in Deutschland haben. Maßgeblich ist die Arbeitnehmerzahl im Inland. Ab 1. Januar 2024 gilt die Schwelle von in der Regel 1.000 Arbeitnehmern im Inland, nach der ersten Stufe (ab 3.000 Arbeitnehmern seit 1. Januar 2023) nun auch für den breiteren Mittelstand.
Für die Software- und IT-Branche ergeben sich daraus drei Gruppen, die rechtlich präzise auseinandergehalten werden müssen. Erstens: Unternehmen, die selbst die Schwelle überschreiten und unmittelbar als Pflichtige im Sinne des Gesetzes handeln müssen. Zweitens: Unternehmen unterhalb der Schwelle, die als unmittelbare Zulieferer von LkSG-pflichtigen Konzernen indirekt in das Sorgfaltssystem eingebunden werden – etwa durch vertragliche Selbstauskunftspflichten oder Auditrechte. Drittens: Unternehmen, die zwar heute noch nicht betroffen sind, aber mit der geplanten CSDDD-Umsetzung (Corporate Sustainability Due Diligence Directive der EU) in absehbarer Zeit unter eine europarechtlich weitergehende Regelung fallen könnten.
In der Mandatspraxis sehen wir, dass IT-Unternehmen die zweite Gruppe regelmäßig unterschätzen. Wer als Subunternehmer oder SaaS-Anbieter für einen DAX-Konzern oder großen Bundeslieferanten tätig ist, erhält häufig Fragebögen, Vertragsklauseln und Auditankündigungen, für die eine geregelte LkSG-Dokumentation unerlässlich wird – auch ohne eigene gesetzliche Pflicht.
Welche Sorgfaltspflichten schreibt das LkSG konkret vor?
Das LkSG strukturiert die Sorgfaltspflichten in einem Katalog, der für jeden Pflichtigen klar abgrenzt, was zu tun ist. Der Gesetzgeber folgt dabei dem sogenannten risikobasierten Ansatz: Unternehmen müssen nicht jedes Risiko beseitigen, wohl aber angemessene Maßnahmen zur Risikovermeidung, -minimierung und -behebung einleiten.
Die Kernanforderungen lassen sich wie folgt systematisieren:
- Risikoanalyse (§ 5 LkSG): Jährliche sowie anlassbezogene Analyse menschenrechtlicher und umweltbezogener Risiken im eigenen Geschäftsbereich, bei unmittelbaren Zulieferern und – bei substantiierter Kenntnis – bei mittelbaren Zulieferern.
- Grundsatzerklärung (§ 6 Abs. 2 LkSG): Schriftliche Darlegung der menschenrechtlichen und umweltbezogenen Erwartungen der Unternehmensleitung gegenüber eigener Belegschaft und Lieferanten.
- Präventionsmaßnahmen (§ 6 LkSG): Verankerung von Risikokontrollen bei eigenen Aktivitäten und im Einkaufsprozess, z. B. durch Lieferantenbewertungen, Vertragsklauseln, Schulungen.
- Abhilfemaßnahmen (§ 7 LkSG): Unverzügliches Handeln bei Kenntnis einer Verletzung oder drohenden Verletzung schutzwürdiger Rechtspositionen.
- Beschwerdeverfahren (§ 8 LkSG): Einrichtung oder Teilnahme an einem zugänglichen Hinweisgebermechanismus für eigene Arbeitnehmer und Dritte in der Lieferkette.
- Berichterstattung (§ 10 LkSG): Jährlicher Bericht an die BAFA, Veröffentlichung auf der Unternehmenswebsite, Abgabefrist vier Monate nach Ende des Geschäftsjahres.
Für die IT-Branche ist besonders die Risikoanalyse vielschichtig. Anders als Produktionsunternehmen haben Softwareanbieter eine oft unsichtbare Lieferkette: Open-Source-Komponenten, externe Entwickler auf Plattformen in Schwellenländern, Hardware-Einkauf für Büros und Rechenzentren sowie Cloud-Subdienstleister. Jede dieser Ebenen ist potenziell risikobehaftet – und muss systematisch bewertet werden.
Branchenspezifische Risikopunkte: Wo drohen Verstöße in der IT-Wertschöpfungskette?
Die Software- und IT-Branche operiert mit einer Wertschöpfungsstruktur, die auf den ersten Blick weniger greifbar ist als die Fertigung physischer Güter. Dennoch enthält sie mehrere Risikofelder, die das LkSG unmittelbar adressiert.
Hardware-Beschaffung: Rechenzentren, Büroausstattung, Netzwerkkomponenten und Endgeräte werden regelmäßig bei Herstellern und Großhändlern eingekauft, deren eigene Lieferketten in Länder mit erhöhtem Menschenrechtsrisiko reichen – Kobalt-Abbau für Akkus, Seltene Erden in Halbleitern, Fabrikfertigung unter fragwürdigen Arbeitsbedingungen. Hier ist die IT-Branche unmittelbar als Käufer in die Verantwortung genommen.
Nearshoring und Offshore-Entwicklung: Viele IT-Mittelständler lassen Softwareentwicklung, Testing oder IT-Support in Regionen mit günstigeren Lohnstrukturen erbringen. Die Subunternehmer in diesen Regionen sind unmittelbare Zulieferer im Sinne des LkSG. Arbeitszeitüberschreitungen, mangelhafte Arbeitssicherheit, fehlende Gewerkschaftsfreiheit oder Diskriminierungspraktiken sind dort keine theoretischen Risiken.
Plattformarbeit und freiberufliche Entwickler: Wer Entwickler über internationale Freelancer-Plattformen engagiert, muss prüfen, ob diese als unmittelbare Zulieferer qualifiziert werden. Nach der BAFA-Handreichung und der Gesetzesbegründung kommt es auf die wirtschaftliche Einbindung an, nicht allein auf den formellen Vertragsstatus.
Cloud-Infrastruktur und Subdienstleister: Die Abhängigkeit von großen Cloud-Anbietern und deren Subunternehmen schafft mittelbare Lieferkettenrisiken. Zwar betreffen die unmittelbaren Pflichten vorrangig den direkten Vertragspartner, bei substantiierter Kenntnis von Verletzungen mittelbarer Zulieferer greifen jedoch die Anforderungen des § 9 LkSG.
Datenverarbeitungsdienstleister in Hochrisikoregionen: Werden Datenverarbeitung oder KI-Trainingsprozesse an Anbieter in Ländern mit eingeschränkten Arbeitnehmerrechten ausgelagert, ist auch hier eine Risikobewertung geboten.
Nach unserer Erfahrung ist es gerade diese Multiplizität von Risikofeldern, die IT-Unternehmen in der praktischen LkSG-Umsetzung überfordert. Die Lösung liegt nicht in einer vollständigen Risikovermeidung, sondern in einer strukturierten, dokumentierten Priorisierung nach Schwere und Wahrscheinlichkeit.
Mikro-Fall (anonymisiert): In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Softwareunternehmen aus der Branche Enterprise-Resource-Planning mit rund 1.200 Mitarbeitern in Deutschland. Ausgangslage: Das Unternehmen unterhielt Entwicklungspartnerschaften mit fünf Subunternehmern in Südasien und Osteuropa, hatte jedoch weder eine formalisierte Risikoanalyse noch ein Beschwerdeverfahren eingerichtet. Ein Großkunde forderte im Rahmen seiner eigenen BAFA-Berichtspflicht innerhalb von acht Wochen eine LkSG-Selbstauskunft. Vorgehen: Die Kanzlei unterstützte die Erstellung einer Risikoanalyse, die Ausarbeitung einer Grundsatzerklärung, die Integration eines Hinweisgebersystems sowie die Gestaltung der Lieferantenverträge mit sorgfaltspflichtrechtlichen Klauseln. Ergebnis: Das Unternehmen konnte die Selbstauskunft fristgerecht einreichen und ist nun auf eine mögliche BAFA-Prüfung dokumentarisch vorbereitet. Aus Gründen der Mandatsvertraulichkeit werden keine Beträge oder Quoten genannt.
Wie kontrolliert die BAFA die Einhaltung des LkSG – und was droht bei Verstößen?
Die Bundesbehörde für Wirtschaft und Ausfuhrkontrolle (BAFA) ist die zuständige Aufsichtsbehörde nach § 14 LkSG. Sie handelt sowohl anlassbezogen auf der Grundlage von Beschwerden als auch im Rahmen allgemeiner Überwachungsmaßnahmen. Die BAFA kann Auskünfte verlangen, Unterlagen anfordern und Vor-Ort-Kontrollen durchführen.
Das Sanktionssystem des LkSG ist abgestuft. Bei Pflichtverletzungen drohen Bußgelder bis zu 8 Millionen Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes – der jeweils höhere Betrag gilt für Unternehmen mit mehr als 400 Millionen Euro Jahresumsatz. Daneben sieht § 22 LkSG einen Vergabeausschluss von bis zu drei Jahren vor, wenn ein Bußgeld von mindestens 175.000 Euro verhängt wurde. Für Unternehmen, die auf öffentliche Aufträge angewiesen sind oder als Lieferant öffentlicher Auftraggeber tätig sein wollen, ist dieser Ausschluss in der Praxis häufig gravierender als die Geldbuße selbst.
Was sind die häufigsten Auslöser für BAFA-Verfahren? Erfahrungsgemäß sind dies: unvollständige oder nicht fristgerecht eingereichte Jahresberichte, mangelhafte Risikoanalysen, das Fehlen eines zugänglichen Beschwerdeverfahrens sowie substantiierte Hinweise Dritter auf Rechtsverletzungen in der Lieferkette. Gerade Letzteres ist für IT-Unternehmen mit internationalem Entwicklungsnetzwerk ein reales Risiko.
Die BAFA hat in der Vergangenheit deutlich gemacht, dass sie keinen rein formalen Prüfungsansatz verfolgt. Entscheidend ist die Qualität der Maßnahmen, nicht allein deren Existenz. Eine Risikoanalyse, die erkennbar pro forma erstellt wurde ohne echte Auseinandersetzung mit den identifizierten Risiken, erfüllt die gesetzliche Anforderung nicht.
Welche Fristen und Pflichttermine müssen Geschäftsführer kennen?
Die zeitliche Dimension des LkSG ist für Geschäftsführer unmittelbar handlungsrelevant. Wer einen Jahresabschluss zum 31. Dezember aufstellt, muss den Bericht nach § 10 LkSG spätestens bis zum 30. April des Folgejahres der BAFA digital übermitteln und auf der Unternehmenswebsite veröffentlichen. Die Risikoanalyse ist nach § 5 LkSG mindestens einmal jährlich sowie anlassbezogen – etwa bei wesentlichen Änderungen der Beschaffungskette oder bei Kenntnis einer Verletzung – durchzuführen.
Darüber hinaus müssen Abhilfemaßnahmen bei Kenntniserlangung einer Verletzung unverzüglich eingeleitet werden; das Gesetz räumt keine feste Anzahl von Tagen ein, die Rechtsprechung und BAFA-Praxis gehen von einem zeitnahen Handeln innerhalb weniger Wochen aus, abhängig von der Schwere der Verletzung. Das Beschwerdeverfahren muss dauerhaft zugänglich und wirksam sein – es ist kein Einmaldokument, sondern ein operativer Mechanismus.
Was bedeutet das in der Praxis für die IT-Branche? Unternehmen, die erstmals in den Anwendungsbereich des LkSG gefallen sind, sollten ihre bestehenden Beschaffungs- und Vertragsmanagementprozesse umgehend auf Konformität prüfen. Wer mit der Umsetzung noch nicht begonnen hat, darf keine weitere Vegetationsperiode verstreichen lassen. Die BAFA erwartet keine Perfektion ab dem ersten Tag, wohl aber eine erkennbare und dokumentierte Aufbauarbeit.
Lieferantenmanagement und Vertragsgestaltung: Praktische Instrumente für IT-Unternehmen
Das operative Herzstück der LkSG-Compliance liegt im Lieferantenmanagement. Für IT-Unternehmen bedeutet das die Integration sorgfaltspflichtrechtlicher Anforderungen in den gesamten Beschaffungsprozess – von der Lieferantenauswahl über die Vertragsgestaltung bis zur laufenden Überwachung.
Im Einkaufsprozess empfiehlt sich ein risikobasiertes Stufenmodell: Lieferanten werden zunächst nach Herkunftsland, Beschaffungskategorie und Vertragsvolumen priorisiert. Hochrisiko-Lieferanten – etwa Entwicklungspartner in Ländern mit erhöhtem menschenrechtlichem Risikopotenzial oder Hardwarelieferanten aus Risikoregionen – werden einer vertieften Prüfung unterzogen. Diese umfasst standardisierte Selbstauskunftsfragebögen, Nachweise über interne Richtlinien (Verhaltenskodex, Arbeitszeiterfassung, Sicherheitsstandards) sowie bei wesentlichen Lieferbeziehungen Remote- oder Vor-Ort-Audits.
Vertragsrechtlich sind sorgfaltspflichtrechtliche Klauseln in Liefer- und Dienstleistungsverträge aufzunehmen. Diese umfassen regelmäßig: die Verpflichtung zur Einhaltung der einschlägigen internationalen Menschenrechtskernübereinkommen (ILO-Kernarbeitsnormen), Auskunfts- und Auditrechte, Eskalationsklauseln bei Verstößen sowie das Recht zur außerordentlichen Kündigung bei schwerwiegenden und anhaltenden Verletzungen. Pauschale Verweisklauseln ohne operativen Gehalt sind nach der BAFA-Praxis unzureichend.
Für Softwareunternehmen, die auf Open-Source-Komponenten oder internationale Plattformentwicklung setzen, stellt sich die Frage, wie diese Zuliefererbeziehungen im LkSG-System abzubilden sind. Eine eindeutige gesetzliche Antwort gibt es nicht. Die Gesetzesbegründung und die BAFA-Handreichung legen nahe, dass die wirtschaftliche Einbindung und die Möglichkeit der Einflussnahme entscheidend sind. Wer faktisch keinen Einfluss auf Open-Source-Beitragende hat, kann dies dokumentieren; wer jedoch wesentliche Entwicklungsleistungen auf Plattformen nach eigenen Spezifikationen vergeben hat, sollte diese Beziehungen als unmittelbare Zulieferbeziehungen einordnen und entsprechend behandeln.
LkSG und CSDDD: Wie müssen sich IT-Unternehmen auf die europäische Ebene vorbereiten?
Das LkSG ist kein statisches Regelwerk. Auf europäischer Ebene ist die Corporate Sustainability Due Diligence Directive (CSDDD) – auch EU-Lieferkettengesetz genannt – verabschiedet worden und tritt stufenweise in Kraft. Die Umsetzung in deutsches Recht muss grundsätzlich binnen der vorgeschriebenen Frist erfolgen; die genauen nationalen Übergangsregeln sind zum Zeitpunkt der Berichtserstellung noch nicht abschließend festgelegt.
Die CSDDD geht in mehreren Punkten über das LkSG hinaus: Sie erfasst potenziell mehr Unternehmen, umfasst einen weiter gefassten Wertschöpfungskettenansatz (auch nachgelagerte Aktivitäten), sieht eine zivilrechtliche Haftung vor und etabliert strengere Anforderungen an den Klimaübergangsplan. Für IT-Unternehmen bedeutet das: Die heute aufgebauten LkSG-Compliance-Strukturen bilden die Grundlage für die CSDDD-Konformität – vorausgesetzt, sie werden jetzt substanziell und nicht nur formal aufgebaut.
Die Entscheidungsmatrix für Geschäftsführer lautet konkret: Ist das Unternehmen heute LkSG-pflichtig? Dann besteht unmittelbarer Handlungsbedarf. Ist das Unternehmen heute nicht LkSG-pflichtig, aber als Zulieferer in Konzern-Lieferketten eingebunden? Dann besteht mittelbarer vertraglicher Druck, dem mit einer freiwilligen, dokumentierten Sorgfaltspflichtstruktur begegnet werden sollte. Ist das Unternehmen weder pflichtig noch vertraglich eingebunden, aber wächst und könnte die CSDDD-Schwellen erreichen? Dann empfiehlt sich eine vorausschauende Strukturplanung, die spätere Nachrüstungskosten und operative Unterbrechungen vermeidet.
Wie setzt man das LkSG operativ um – ein strukturierter Fahrplan für IT-Unternehmen
Die operative Umsetzung des LkSG lässt sich in fünf aufeinanderfolgenden Schritten strukturieren, die aufeinander aufbauen und in einem dokumentierten Compliance-System zusammenlaufen müssen.
Schritt 1 – Anwendbarkeits- und Scope-Prüfung: Zunächst ist festzustellen, ob das Unternehmen selbst dem LkSG unterliegt, und welche Konzerngesellschaften gegebenenfalls einzubeziehen sind. Maßgeblich sind die Arbeitnehmerzahl in Deutschland und die Unternehmenseigenschaft nach § 1 LkSG.
Schritt 2 – Lieferkettenmapping: Alle unmittelbaren Zulieferer sind zu identifizieren und nach Kategorie, Herkunftsregion und wirtschaftlicher Bedeutung zu dokumentieren. Für die IT-Branche umfasst das: Hardware-Lieferanten, Softwareentwicklungs-Subunternehmer, Cloud- und Rechenzentrumsdienstleister, Personaldienstleister und externe Berater mit wesentlichem Leistungsanteil.
Schritt 3 – Risikoanalyse: Auf Basis des Lieferkettenmappings erfolgt die Identifikation und Priorisierung menschenrechtlicher und umweltbezogener Risiken. Die BAFA stellt eine Methodik bereit; zu berücksichtigen sind zudem die ILO-Kernarbeitsnormen, das Kinderarbeitsverbot, Zwangsarbeitsrisiken, Arbeitssicherheitsstandards und Umweltbeeinträchtigungen. Die Ergebnisse sind schriftlich festzuhalten.
Schritt 4 – Maßnahmenplan und Dokumentation: Für identifizierte Risiken sind konkrete Präventions- und ggf. Abhilfemaßnahmen festzulegen. Diese müssen in das Vertragswerk, den Einkaufsprozess und die internen Richtlinien integriert werden. Beschwerdeverfahren und Grundsatzerklärung sind zu verabschieden und zu kommunizieren.
Schritt 5 – Berichterstattung und laufende Überwachung: Der jährliche Bericht an die BAFA ist fristgerecht und vollständig einzureichen. Die Risikoanalyse ist mindestens einmal jährlich zu aktualisieren; bei wesentlichen Änderungen der Lieferkette oder bei Kenntniserlangung von Verletzungen ist eine anlassbezogene Aktualisierung geboten.
Nach unserer Erfahrung ist der größte operative Engpass in IT-Unternehmen nicht das Rechtswissen, sondern die Datenerhebung im Schritt 2. Wer keine strukturierte Lieferantendatenbank führt, muss diese zunächst aufbauen – ein Projekt, das je nach Unternehmensgröße mehrere Wochen in Anspruch nehmen kann und vom Management aktiv priorisiert werden muss.
Geschäftsführerhaftung und persönliches Risiko: Was müssen Geschäftsführer wissen?
Das LkSG selbst enthält keine unmittelbare persönliche Haftungsnorm für Geschäftsführer. Die haftungsrelevanten Verbindungen laufen jedoch über das allgemeine Gesellschafts- und Organhaftungsrecht. Nach der einschlägigen Rechtsprechung zur Geschäftsführerhaftung nach § 43 GmbHG trifft den Geschäftsführer die Pflicht, die Gesellschaft rechtskonform zu führen und einschlägige gesetzliche Pflichten zu beachten. Wer erkennbar fällige LkSG-Maßnahmen unterlässt und der Gesellschaft dadurch Bußgelder oder Reputationsschäden entstehen, setzt sich dem Vorwurf der Pflichtverletzung aus.
Daneben besteht ein mittelbares strafrechtliches Risiko: Werden Unterlagen gegenüber der BAFA unrichtig oder unvollständig eingereicht, können die Ordnungswidrigkeitentatbestände des LkSG greifen. In schwerwiegenden Fällen – etwa wenn bekannte Menschenrechtsverletzungen in der Lieferkette bewusst verschwiegen werden – ist auch eine Prüfung nach dem allgemeinen Strafrecht (z. B. Urkundenfälschung, Betrug gegenüber Behörden) nicht ausgeschlossen, auch wenn die Hürden hier hoch sind.
Für den Geschäftsführer im IT-Mittelstand gilt daher: Die LkSG-Compliance ist keine Angelegenheit der Rechtsabteilung oder des Nachhaltigkeitsbeauftragten allein. Sie ist eine Leitungsaufgabe, die im Organbeschluss verankert, im Organhaftungskontext dokumentiert und in der Unternehmenssteuerung verankert sein muss. Wer kann heute sagen, dass er die wesentlichen Risiken seiner Lieferkette kennt und bewertet hat?
Die vorstehende Darstellung betrifft die typischen Konstellationen des deutschen IT-Mittelstands. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen Lieferkettenstruktur, Ihrer Beschaffungsverträge und der bereits vorhandenen oder fehlenden Compliance-Dokumentation. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Häufige Fehler bei der LkSG-Umsetzung in der IT-Branche
In der Beratungspraxis begegnen uns bei IT-Unternehmen wiederkehrende Umsetzungsfehler, die sowohl das BAFA-Risiko erhöhen als auch die Wirksamkeit der Compliance-Maßnahmen untergraben.
Fehler 1: Unterschätzung der Lieferkettenbreite. Viele IT-Unternehmen erfassen nur die unmittelbaren Dienstleistungspartner, nicht jedoch die Hardwarelieferkette oder die Infrastrukturdienstleister. Das LkSG macht keinen Unterschied zwischen Waren- und Dienstleistungslieferketten.
Fehler 2: Formale Risikoanalyse ohne Substanz. Eine Risikoanalyse, die lediglich eine Liste von Ländern mit einem Ampelsystem enthält, ohne auf spezifische menschenrechtliche Risiken und deren Relevanz für das eigene Geschäftsmodell einzugehen, genügt dem Anspruch des § 5 LkSG nicht. Die BAFA erwartet eine inhaltlich fundierte Auseinandersetzung.
Fehler 3: Beschwerdeverfahren ohne operative Erreichbarkeit. Ein Beschwerdeverfahren, das auf einer internen E-Mail-Adresse basiert, die nur deutsch-sprachige Beschwerden verarbeiten kann, ist für Zulieferer in Südasien oder Osteuropa faktisch unzugänglich. Das Gesetz verlangt ein tatsächlich zugängliches Verfahren.
Fehler 4: Keine Integration in den Beschaffungsprozess. LkSG-Anforderungen als separate Compliance-Übung ohne Verankerung im operativen Einkaufsprozess führen zu einer Lücke zwischen dokumentiertem Anspruch und gelebter Praxis. Genau diese Lücke sucht die BAFA bei Prüfungen.
Fehler 5: Vernachlässigung der Dokumentationspflicht. Das LkSG ist ein Dokumentationsgesetz: Wer nicht nachweisen kann, dass er Maßnahmen ergriffen hat, wird so behandelt, als hätte er keine ergriffen. Dokumentation ist kein Bürokratismus, sondern haftungsrelevanter Nachweis.
Verwandte Leistungen
Häufige Fragen: LkSG-Umsetzung in der Software- und IT-Branche
Gilt das LkSG auch für IT-Unternehmen ohne eigene Fertigung?
Ja. Das LkSG knüpft nicht an die Herstellung physischer Produkte an, sondern an die Arbeitnehmerzahl und den Sitz in Deutschland. IT- und Softwareunternehmen unterhalten Lieferketten – von Hardware-Einkauf über Offshore-Entwicklung bis zu Cloud-Infrastruktur –, die das Gesetz unmittelbar erfasst. Die Pflichten gelten unabhängig davon, ob das Unternehmen produziert oder ausschließlich Dienstleistungen erbringt.
Ab welcher Mitarbeiterzahl ist mein IT-Unternehmen LkSG-pflichtig?
Seit dem 1. Januar 2024 gilt das LkSG für Unternehmen mit in der Regel mindestens 1.000 Arbeitnehmern in Deutschland. Maßgeblich ist die Zahl der inländischen Arbeitnehmer, nicht die Gesamtbelegschaft weltweit. Zeitarbeitnehmer, die länger als sechs Monate eingesetzt werden, zählen nach der Gesetzesbegründung zum Entleiher hinzu.
Was droht, wenn ich den LkSG-Jahresbericht nicht fristgerecht einreiche?
Bei Verstößen gegen die Berichtspflicht kann die BAFA Bußgelder verhängen. Die Bußgeldobergrenzen richten sich nach der Schwere der Pflichtverletzung; bei Unternehmen mit mehr als 400 Millionen Euro Jahresumsatz kann das Bußgeld bis zu 2 Prozent des weltweiten Jahresumsatzes erreichen. Daneben droht bei Bußgeldern ab 175.000 Euro ein temporärer Ausschluss von der öffentlichen Vergabe. Die genaue Frist ist im Einzelfall anwaltlich zu prüfen.
Müssen auch IT-Unternehmen unterhalb der 1.000-Mitarbeiter-Schwelle das LkSG beachten?
Unmittelbar gesetzlich verpflichtet sind nur Unternehmen ab der Schwelle. Faktisch sind jedoch viele kleinere IT-Unternehmen mittelbar betroffen, wenn sie als Lieferanten LkSG-pflichtiger Konzerne tätig sind. Diese Konzerne geben Sorgfaltspflichten über Vertragsklauseln, Selbstauskunftspflichten und Auditrechte an ihre Lieferkette weiter. Wer als Subunternehmer oder SaaS-Anbieter für Konzerne tätig ist, sollte die eigene Vertragsposition prüfen.
Was ist bei der Auslagerung von Softwareentwicklung ins Ausland zu beachten?
Offshore- und Nearshore-Entwicklungspartner sind in der Regel unmittelbare Zulieferer im Sinne des LkSG. Für sie ist eine Risikoanalyse durchzuführen, und in die Verträge sind sorgfaltspflichtrechtliche Klauseln aufzunehmen – darunter Auskunftsrechte, Prüfungsrechte und Eskalationsklauseln bei Verstößen. Allgemeine Verhaltenskodex-Verweise ohne operativen Inhalt sind nach der BAFA-Praxis nicht ausreichend.
Wie verhält sich das LkSG zur geplanten EU-CSDDD?
Das LkSG ist das deutsche Vorläufergesetz. Die EU-CSDDD (Corporate Sustainability Due Diligence Directive) geht in mehreren Dimensionen darüber hinaus: Sie umfasst potenziell mehr Unternehmen, schließt nachgelagerte Wertschöpfungsschritte ein, sieht eine zivilrechtliche Haftung vor und enthält Klimaübergangspläne als Pflicht. IT-Unternehmen, die heute LkSG-konform aufgestellt sind, legen damit die Basis für die CSDDD-Umsetzung – sofern die Strukturen substanziell und nicht nur formal sind.
Die vorstehende Darstellung betrifft die Regelfälle der LkSG-Umsetzung im IT-Mittelstand. Ihr konkreter Fall erfordert die Prüfung Ihrer Lieferkettenstruktur, bestehender Verträge und vorhandener Compliance-Dokumentation. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.