Ein Softwarehaus mit 120 Mitarbeitern beschafft Hardware-Komponenten aus Südostasien, bezieht Cloud-Dienste von US-amerikanischen Hyperscalern und lässt Entwicklungsleistungen in einem osteuropäischen Nearshore-Zentrum erbringen. Auf den ersten Blick ein klassisches IT-Betriebsmodell. Auf den zweiten Blick: eine Lieferkette mit erheblichem menschenrechtlichem Risikopotenzial – und seit dem Inkrafttreten des Lieferkettensorgfaltspflichtengesetzes (LkSG) eine Quelle ernsthafter Haftungs- und Bußgeldrisiken für die Geschäftsführung.
Das Lieferkettensorgfaltspflichtengesetz (LkSG) verpflichtet Unternehmen ab bestimmten Schwellenwerten, menschenrechtliche und umweltbezogene Sorgfaltspflichten in der gesamten Lieferkette zu erfüllen. Verstöße kann das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) mit empfindlichen Bußgeldern ahnden und – bei Umsatzabhängigkeit der Sanktion – auch mittelgroße IT-Unternehmen hart treffen. Wer die einschlägigen Prozesse nicht dokumentiert und implementiert hat, läuft Gefahr, sowohl im BAFA-Kontrollverfahren als auch bei öffentlichen Auftragsvergaben das Nachsehen zu haben.
Diese Checkliste führt Geschäftsführer und Compliance-Verantwortliche in der Software- und IT-Branche Schritt für Schritt durch die gesetzlichen Anforderungen, benennt typische Fallstricke und zeigt, wo anwaltliche Unterstützung den Unterschied macht.
Was regelt das LkSG – und wen trifft es in der IT-Branche?
Das LkSG (Gesetz über die unternehmerischen Sorgfaltspflichten zur Vermeidung von Menschenrechtsverletzungen in Lieferketten) ist zum 1. Januar 2023 für Unternehmen mit mindestens 3.000 Arbeitnehmern in Kraft getreten; ab dem 1. Januar 2024 gilt es auch für Unternehmen mit mindestens 1.000 Arbeitnehmern im Inland. Die zuständige Aufsichtsbehörde ist das BAFA.
Für IT- und Softwareunternehmen bedeutet das: Wer die Schwelle von 1.000 Beschäftigten im Inland überschreitet – sei es im Stammhaus oder einschließlich konzernmäßig zugerechneter Einheiten –, ist unmittelbar normadressat. Darüber hinaus geraten auch kleinere IT-Dienstleister mittelbar in den Geltungsbereich, wenn sie als unmittelbare Zulieferer für LkSG-verpflichtete Kunden auftreten: Diese sind gehalten, Informationen von Vertragspartnern einzufordern und im Verdachtsfall einzuschreiten.
In der Mandatspraxis sehen wir, dass IT-Unternehmen ihre eigene Betroffenheit häufig unterschätzen. Das liegt an einem verbreiteten Missverständnis: Das Gesetz fragt nicht allein nach physischer Produktion, sondern nach sämtlichen Zulieferketten – und Softwareentwicklung, IT-Infrastruktur sowie digitale Dienste weisen allesamt Beschaffungsketten auf, die in Hochrisikoländer reichen können.
Schritt 1: Geltungsbereich und interne Zuständigkeit klären
Bevor Prozesse aufgebaut werden, ist zu klären, ob und in welchem Umfang das LkSG auf das eigene Unternehmen Anwendung findet. Diese Eingangsanalyse ist kein bürokratischer Formalismus, sondern die Grundlage jeder belastbaren Compliance-Strategie.
Checkliste Schritt 1:
- Ermittlung der Arbeitnehmerzahl im Inland (Kopfzahl, Vollzeitäquivalente nach LkSG-Maßgabe).
- Prüfung, ob Konzernzurechnung die Schwelle von 1.000 Beschäftigten auslöst.
- Festlegung der verantwortlichen Person auf Leitungsebene (Geschäftsführer oder beauftragter Menschenrechtsbeauftragter).
- Dokumentation der Entscheidungsgrundlage in einem internen Vermerk (BAFA-Kontrolle berechtigt zur Anforderung dieser Unterlagen).
- Einbindung der Rechts- und Compliance-Abteilung, ggf. externer anwaltlicher Begleitung.
In inhabergeführten IT-Unternehmen ist die Frage der persönlichen Verantwortung besonders relevant. Das LkSG ordnet Pflichten nicht der Gesellschaft abstrakt zu, sondern erwartet nachweisbar aktive Leitungsentscheidungen. Für Geschäftsführer bedeutet das: Untätigkeit kann zur persönlichen Haftung führen, wenn ein Bußgeldverfahren durch das BAFA eingeleitet wird.
Schritt 2: Risikoanalyse – Wo lauern menschenrechtliche Risiken in der IT-Lieferkette?
Das Kernstück des LkSG-Compliance-Systems ist die Risikoanalyse. Das Gesetz verlangt, dass Unternehmen die menschenrechtlichen und umweltbezogenen Risiken sowohl im eigenen Geschäftsbereich als auch bei unmittelbaren Lieferanten identifizieren und gewichten. Bei mittelbaren Lieferanten greift die Pflicht anlassbezogen.
Für die Software- und IT-Branche sind folgende Risikobereiche typisch:
- Hardware-Beschaffung: Halbleiter, Speicherchips, Displays – Rohstoffe aus Konfliktregionen, Kinderarbeit in Minen, prekäre Produktionsbedingungen in Südostasien.
- Nearshore- und Offshore-Softwareentwicklung: Arbeitsbedingungen, Zwangsarbeit, fehlende Vereinigungsfreiheit in bestimmten Jurisdiktionen.
- Cloud- und Rechenzentrumsbetrieb: Energieintensität, ökologische Risiken, Arbeitssicherheit in physischen Rechenzentren.
- Merchandising und Peripheriegeräte: Tastaturen, Headsets, Firmenbekleidung – klassische Branchen mit Produktionsrisiken.
- Dienstleistungsbeschaffung (Reinigung, Catering, Sicherheit): oft ausgelagert, aber dem eigenen Geschäftsbereich zugehörig.
Nach unserer Erfahrung unterschätzen IT-Geschäftsführer vor allem den eigenen Betrieb. Wer Reinigungsdienste, Cateringpartner oder Sicherheitsdienstleister einsetzt, muss auch diese in die Risikoanalyse einbeziehen. Das LkSG kennt keine Bagatellausnahme für Nebenleistungen.
Checkliste Schritt 2:
- Lieferanten-Mapping: vollständige Liste unmittelbarer Zulieferer erstellen.
- Kategorisierung nach Risikoland, Branche und Beschaffungsvolumen.
- Priorisierung der Risikoanalyse auf Basis der Wesentlichkeit.
- Dokumentation der Analysemethodik und Ergebnisse.
- Jährliche Wiederholung sowie anlassbezogene Aktualisierung (z. B. nach Medienberichten, Hinweisen aus dem Beschwerdeverfahren).
Schritt 3: Grundsatzerklärung und Präventionsmaßnahmen – Was ist zu tun?
Auf Basis der Risikoanalyse hat das Unternehmen eine Grundsatzerklärung (Policy Statement) abzugeben, die die menschenrechtliche und umweltbezogene Strategie darlegt. Diese muss von der Leitungsebene verabschiedet werden und das gesamte Unternehmen einschließlich der Beschaffungsprozesse adressieren.
Wirksame Prävention setzt im IT-Umfeld vor allem an den Einkaufsprozessen an. Vertragsgestaltung gegenüber unmittelbaren Lieferanten ist das zentrale Instrument: Wer keine LkSG-konformen Vertragspflichten, Audit-Rechte und Kündigungsklauseln in seine Lieferantenverträge aufnimmt, riskiert, im BAFA-Verfahren den Nachweis wirksamer Maßnahmen nicht führen zu können.
Checkliste Schritt 3:
- Verabschiedung der Grundsatzerklärung durch die Geschäftsführung (mit Datum, Unterschrift, Veröffentlichung auf der Unternehmenswebsite).
- Schulung aller Einkaufs- und Beschaffungsverantwortlichen.
- Integration von LkSG-Klauseln in Standard-Lieferantenverträge (Selbstverpflichtung, Audit-Recht, Abhilfepflicht, außerordentliches Kündigungsrecht bei Verstoß).
- Risikobasierte Lieferantenfragebögen (Self-Assessment) für priorisierte Lieferanten.
- Einholung von Nachweisen bei als hochriskant eingestuften Lieferanten (Zertifizierungen, Auditberichte).
- Verankerung der menschenrechtlichen Sorgfalt im Einkaufshandbuch.
Darf man Lieferanten kündigen, wenn diese die Selbstauskunft verweigern? Rechtlich ist das bei entsprechender Vertragsgestaltung möglich. Praktisch erfordert es eine Abwägung: In der IT-Branche bestehen bei spezialisierten Komponentenlieferanten oder exklusiven Cloud-Diensteanbietern erhebliche Abhängigkeiten. Hier ist frühzeitige anwaltliche Begleitung bei Vertragsverhandlungen entscheidend.
Welche Abhilfemaßnahmen und Eskalationsregeln gelten bei erkannten Verstößen?
Wenn die Risikoanalyse oder ein Hinweis auf eine konkrete Menschenrechtsverletzung beim Lieferanten hindeutet, sieht das LkSG ein abgestuftes Abhilfesystem vor. Unverzügliches Handeln ist gefordert – das Gesetz unterscheidet zwischen Maßnahmen im eigenen Geschäftsbereich und solchen gegenüber Lieferanten.
Für IT-Unternehmen bedeutet das konkret: Wird bekannt, dass ein Nearshore-Entwicklungspartner Mitarbeiter unter ausbeuterischen Bedingungen beschäftigt, muss das Unternehmen zunächst auf Abhilfe dringen, notfalls die Vertragsbeziehung beenden. Wichtig: Die Beendigung einer Lieferantenbeziehung als letztes Mittel ist zulässig, aber nicht automatisch die einzig richtige Reaktion. Das Gesetz verlangt zunächst den ernsthaften Versuch zur Abhilfe.
Checkliste Schritt 4 – Abhilfe und Eskalation:
- Definition interner Eskalationspfade: Wer entscheidet bei einem Hinweis auf einen Verstoß?
- Sofortmaßnahmen im eigenen Betrieb: Unterbrechung der betroffenen Beschaffungsbeziehung bis zur Klärung.
- Formelles Abhilfeverlangen gegenüber dem Lieferanten mit gesetzter Frist.
- Konzeptentwicklung: Wenn ein Lieferant nicht kooperiert – alternative Beschaffungsquelle identifizieren (Minimierungsplan).
- Dokumentation aller Maßnahmen und Kommunikation im Rahmen des Abhilfeverfahrens.
- Information der Geschäftsführung und ggf. des Aufsichtsrats (sofern vorhanden).
Schritt 5: Das Beschwerdeverfahren – Pflichtprogramm, keine Option
Das LkSG schreibt die Einrichtung eines zugänglichen Beschwerdeverfahrens für eigene Beschäftigte und betroffene Dritte verpflichtend vor. Dieses Verfahren muss so gestaltet sein, dass Hinweisgebende keine Repressalien befürchten müssen – eine Anforderung, die sich inhaltlich mit dem Hinweisgeberschutzgesetz (HinSchG) überschneidet.
In der IT-Branche bietet sich die technologische Infrastruktur für digitale Hinweisgebersysteme geradezu an. Die Einrichtung eines rein formalen E-Mail-Postfachs genügt jedoch regelmäßig nicht den Anforderungen des BAFA. Erforderlich sind klar definierte Bearbeitungsprozesse, Bestätigung des Eingangs, nachweisbare Prüfung und Rückmeldung an den Hinweisgebenden.
Checkliste Schritt 5:
- Einrichtung oder Anpassung eines bestehenden Hinweisgebersystems (digital, anonym, mehrsprachig).
- Verfahrensordnung für das Beschwerdeverfahren erstellen und intern veröffentlichen.
- Abgrenzung zum HinSchG-Verfahren: Koordination beider Systeme vermeiden Doppelstrukturen.
- Schulung der zuständigen Bearbeiter (Vertraulichkeit, Dokumentation, Rückmeldepflicht).
- Nachweis der Zugänglichkeit für externe Betroffene (Lieferantenmitarbeiter, Subunternehmer).
- Jährliche Überprüfung der Wirksamkeit des Verfahrens.
Schritt 6: Dokumentation und Berichterstattung gegenüber dem BAFA
Das LkSG verlangt einen jährlichen Bericht über die Erfüllung der Sorgfaltspflichten. Dieser Bericht ist spätestens vier Monate nach Ende des Geschäftsjahres auf der Unternehmenswebsite zu veröffentlichen und dem BAFA zu melden. Das BAFA prüft die Berichte und kann Nachfragen stellen sowie Auskunftsersuchen adressieren.
Was viele IT-Unternehmen nicht wissen: Das BAFA kann auch außerhalb des regulären Berichtszyklus anlassbasierte Kontrollen durchführen – etwa aufgrund von Hinweisen aus der Öffentlichkeit, Medienberichten oder Beschwerden von Betroffenen. Wer dann keine belastbare Dokumentation vorweisen kann, ist in einer schwachen Verhandlungsposition.
Checkliste Schritt 6:
- Jährlichen LkSG-Bericht erstellen (Inhalt richtet sich nach § 10 LkSG und der BAFA-Handreichung).
- Veröffentlichung auf der Unternehmenswebsite spätestens vier Monate nach Geschäftsjahresende.
- Elektronische Meldung über das BAFA-Berichtsportal.
- Interne Dokumentenarchivierung: alle Risikoanalysen, Präventionsmaßnahmen, Abhilfeberichte und Beschwerdeprotokoll mindestens sieben Jahre aufbewahren (Empfehlung nach anwaltlicher Praxis; das Gesetz selbst sieht § 10 Abs. 1 LkSG vor).
- Prozess zur Beantwortung von BAFA-Auskunftsverlangen einrichten (Fristenkontrolle, Zuständigkeit).
Welche Bußgelder und Sanktionen drohen bei Verstößen?
Das LkSG enthält ein eigenständiges Bußgeldregime. Die zuständige Behörde ist das BAFA. Bei schwerwiegenden Verstößen gegen Sorgfaltspflichten drohen Bußgelder, deren Obergrenze sich am weltweiten Jahresumsatz des Unternehmens orientiert. Das Gesetz sieht dabei gestaffelte Sanktionen vor, die sich nach dem Schweregrad des Verstoßes richten.
Besonders einschneidend: Ab einem bestimmten Bußgeldbetrag kann das BAFA Unternehmen von der Vergabe öffentlicher Aufträge ausschließen. Für IT-Dienstleister, die öffentliche Auftraggeber – Behörden, Kommunen, staatsnahe Unternehmen – zu ihren Kunden zählen, ist das eine existenzrelevante Sanktionsdrohung.
In der Mandatspraxis beraten wir regelmäßig Unternehmen, die nach Einleitung eines BAFA-Verfahrens erst feststellen, dass ihre Dokumentation lückenhaft ist. Dann sind die Handlungsspielräume bereits eingeschränkt. Proaktive Compliance ist deshalb nicht nur eine Rechtspflicht, sondern eine wirtschaftliche Notwendigkeit.
Checkliste Schritt 7 – Sanktionsrisiken minimieren:
- Bestandsaufnahme: Sind alle Pflichtprozesse implementiert und dokumentiert?
- Gap-Analyse: Wo bestehen Lücken zwischen gesetzlicher Anforderung und aktuellem Stand?
- Risikobewertung: Wie hoch ist die Eintrittswahrscheinlichkeit eines BAFA-Verfahrens (Branchenexponierung, Medienberichte, Beschwerdelage)?
- Anwaltliche Überprüfung der Bußgeldbewehrung im konkreten Unternehmenskontext.
- Notfallplan für den Fall eines BAFA-Auskunftsverlangens (Zuständigkeit, Fristen, Kommunikation).
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Softwarehaus aus dem Bereich Unternehmenssoftware mit rund 1.200 Mitarbeitern im Inland. Ausgangslage: Das Unternehmen hatte keine strukturierte LkSG-Risikoanalyse durchgeführt und berichtete dem BAFA lediglich mit einem pauschalen Freitextformular ohne Darstellung konkreter Präventionsmaßnahmen. Nach einem anlassbezogenen BAFA-Hinweis auf einen seiner Hardware-Zulieferer hatte das Unternehmen keine dokumentierten Verfahren, um die Anforderungen nachzuweisen. Vorgehen: Die Kanzlei begleitete die Erstellung einer vollständigen Risikoanalyse, überarbeitete die Lieferantenverträge um LkSG-Klauseln, installierte ein digitales Hinweisgebersystem und erstellte einen revisionsfesten Bericht für das BAFA. Ergebnis: Das Verfahren wurde ohne Bußgeldbescheid abgeschlossen. Die Compliance-Strukturen sind seither in den regulären Beschaffungsprozess integriert.
Branchenbesonderheiten: LkSG-Compliance in der Software- und IT-Branche
Die IT-Branche weist strukturelle Besonderheiten auf, die ihre LkSG-Compliance von klassischen Industriebranchen unterscheiden. Wer diese kennt, setzt Ressourcen gezielter ein.
Erstens: Die Lieferkette ist heterogen und häufig intransparent. IT-Unternehmen beziehen Hardware-Komponenten über mehrstufige Handelsketten, Cloud-Dienste von globalen Plattformanbietern und Entwicklungsleistungen über Subunternehmer-Netzwerke. Die mittelbare Lieferkette reicht damit weiter als in vielen anderen Sektoren.
Zweitens: Software-Entwicklungspartnerschaften in Hochrisikoländern sind ein Kernrisikofaktor. Arbeitnehmerrechte, Vereinigungsfreiheit, Diskriminierungsverbote und Arbeitssicherheit sind in einer Reihe populärer Nearshore- und Offshore-Standorte nicht auf europäischem Niveau gesichert.
Drittens: IT-Unternehmen sind häufig selbst LkSG-pflichtige Kunden anderer Branchen. Wer als IT-Dienstleister an Unternehmen der Automobilindustrie, des Handels oder der Finanzwirtschaft liefert, muss damit rechnen, von diesen Kunden nach seinen eigenen LkSG-Prozessen befragt zu werden – auch wenn die eigene Schwelle noch nicht erreicht ist.
Viertens: Die Schnittstelle zum Datenschutzrecht ist relevant. Hinweisgebersysteme erfassen personenbezogene Daten; die Risikoanalyse kann Angaben zu Lieferantenmitarbeitern enthalten. Hier sind DSGVO und LkSG koordiniert umzusetzen – Meldung einer Datenschutzverletzung binnen 72 Stunden (Art. 33 DSGVO) und Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes zeigen, dass Versäumnisse auch hier kostspielig werden können.
Nach unserer Erfahrung lohnt sich für IT-Unternehmen eine Koordination der LkSG-Implementierung mit der bestehenden Datenschutzorganisation. Das vermeidet doppelte Strukturen und nutzt vorhandenes Compliance-Know-how im Unternehmen.
Die vorstehende Checkliste deckt die Regelfälle der LkSG-Umsetzung in der Software- und IT-Branche ab. Ihr konkreter Fall erfordert die Prüfung Ihrer Lieferantenstruktur, bestehenden Verträge, Berichtsdokumentation und der einschlägigen BAFA-Verwaltungspraxis. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
FAQ: Häufige Fragen zum LkSG in der Software- und IT-Branche
Gilt das LkSG auch für IT-Unternehmen, die keine Waren produzieren?
Ja. Das LkSG erfasst nicht nur produzierende Unternehmen, sondern alle Unternehmen, die die Schwellenwerte erfüllen, unabhängig von ihrem Geschäftsmodell. IT-Dienstleister, Softwarehäuser und Systemintegratoren sind Normadressaten, wenn sie mindestens 1.000 Arbeitnehmer im Inland beschäftigen. Auch ihre Beschaffungsketten – von Hardware über Cloud-Dienste bis zu Nearshore-Entwicklungsleistungen – unterliegen der Sorgfaltspflicht.
Was passiert, wenn ein Lieferant die LkSG-Selbstauskunft verweigert?
Verweigert ein unmittelbarer Lieferant die angeforderte Selbstauskunft, muss das betroffene Unternehmen dies dokumentieren und risikobasiert entscheiden, ob die Geschäftsbeziehung fortgeführt werden kann. Das LkSG erlaubt keine schlichte Weiterbeschaffung unter Hinweis auf die Verweigerung. Abhilfemaßnahmen, alternative Lieferanten oder ein Minimierungsplan sind zu entwickeln. Anwaltliche Begleitung ist bei dieser Entscheidung empfehlenswert.
Müssen kleinere IT-Unternehmen unter 1.000 Beschäftigten gar nichts tun?
Sie sind nicht unmittelbar gesetzlich verpflichtet. Mittelbar kann jedoch erheblicher Handlungsdruck entstehen, wenn LkSG-pflichtige Kunden Sorgfaltspflichten vertraglich auf ihre Zulieferer weiterreichen. In der Praxis verlangen Konzerne und große Mittelständler von ihren IT-Dienstleistern zunehmend LkSG-konforme Selbstauskünfte und Auditnachweise. Wer frühzeitig Strukturen aufbaut, schützt bestehende Kundenbeziehungen und ist bei Ausschreibungen besser positioniert.
Wann muss der LkSG-Bericht beim BAFA eingereicht werden?
Der jährliche Bericht ist spätestens vier Monate nach Ende des Geschäftsjahres elektronisch über das BAFA-Portal zu melden und auf der Unternehmenswebsite zu veröffentlichen. Bei einem kalenderjahrgleichen Geschäftsjahr bedeutet das: Abgabe bis Ende April. Das BAFA kann bei Fristversäumnis Ordnungsmaßnahmen einleiten. Eine frühzeitige Vorbereitung, idealerweise im laufenden Geschäftsjahr, ist deshalb ratsam.
Wie hängen LkSG und DSGVO in der Praxis zusammen?
Das Beschwerdeverfahren nach LkSG erfasst personenbezogene Daten von Hinweisgebenden und potenziell auch von beschuldigten Personen. Das löst DSGVO-Pflichten aus: Verzeichnis von Verarbeitungstätigkeiten, Datenschutzfolgenabschätzung bei Hinweisgebersystemen, Wahrung der Betroffenenrechte. Eine koordinierte Implementierung beider Regelwerke vermeidet Doppelarbeit und sichert Rechtskonformität gegenüber der Datenschutzbehörde wie gegenüber dem BAFA.
Die vorstehende Darstellung betrifft die Regelfälle der LkSG-Umsetzung. Ihr konkretes Unternehmen erfordert die Prüfung Ihrer Lieferantenstruktur, Ihres Berichts und der laufenden BAFA-Verwaltungspraxis. Zur Klärung, wie das LkSG auf Ihr Unternehmen wirkt, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.