Lieferkettensorgfaltspflichten (LkSG) umsetzen – Software- und IT-Branche: FAQ

Ja – und die Antwort überrascht viele: Das LkSG unterscheidet nicht nach Branchen, sondern nach Schwellenwerten. Entscheidend sind die im Gesetz festgelegten Beschäftigtenzahlen; auf den Tätigkeitsbereich kommt es nicht an.

Ab dem 1. Januar 2023 galt das LkSG für Unternehmen mit in der Regel mindestens 3.000 Arbeitnehmern in Deutschland. Seit dem 1. Januar 2024 wurde der Anwendungsbereich auf Unternehmen mit in der Regel mindestens 1.000 Arbeitnehmern im Inland ausgeweitet. Für IT-Unternehmen in dieser Größenordnung – also etwa größere Systemintegratoren, etablierte Softwarehäuser oder mittelgroße Managed-Service-Provider – besteht damit eine vollumfängliche LkSG-Pflicht.

Darüber hinaus besteht eine mittelbare Betroffenheit: Wer als Lieferant oder Dienstleister für ein nach LkSG verpflichtetes Unternehmen tätig ist, wird regelmäßig über vertragliche Klauseln zu Auskunft, Selbstauskunft oder eigenen Sorgfaltspflichten herangezogen. In der Mandatspraxis sehen wir, dass gerade IT-Dienstleister im B2B-Segment überproportional häufig solche vertraglichen Anforderungen erhalten – oft ohne zunächst zu erkennen, dass dahinter das LkSG steht.

Hinzu tritt die EU-Lieferkettenrichtlinie (CSDDD), die mittelfristig den Anwendungsbereich nochmals ausweiten wird. Unternehmen, die heute noch unter den Schwellenwerten liegen, sollten sich frühzeitig mit den Anforderungen vertraut machen.

Das LkSG begründet einen Katalog von Sorgfaltspflichten, die einen strukturierten Prozess – und keine punktuellen Einzelmaßnahmen – erfordern. Im Kern handelt es sich um sieben Pflichtbausteine.

Erstens ist ein unternehmensinternes Risikomanagement einzurichten, das menschenrechtliche und umweltbezogene Risiken systematisch erfasst. Zweitens muss eine Grundsatzerklärung verabschiedet werden, in der die Unternehmensstrategie zur Achtung der Menschenrechte dokumentiert ist. Drittens sind regelmäßige Risikoanalysen durchzuführen – bei unmittelbaren Zulieferern sowie anlassbezogen bei mittelbaren Zulieferern. Viertens sind bei identifizierten Risiken Präventionsmaßnahmen zu ergreifen und gegenüber direkten Lieferanten zu kommunizieren. Fünftens sind bei festgestellten Verletzungen unverzüglich Abhilfemaßnahmen zu ergreifen. Sechstens ist ein Beschwerdeverfahren einzurichten, über das Hinweise auf Verstöße eingehen können. Siebtens ist gegenüber dem Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) jährlich Bericht zu erstatten.

Für Software- und IT-Unternehmen liegt die Herausforderung insbesondere in der Analyse ihrer Lieferkette: Hardware-Komponenten (Rechenzentren, Endgeräte, Netzwerktechnik), Cloud-Dienste, Open-Source-Komponenten sowie die Arbeitsbedingungen in der Softwareentwicklung über externe Partner sind typische Risikobereiche. Nach unserer Erfahrung unterschätzen viele IT-Unternehmen dabei die Tiefe der zu analysierenden Lieferkette – das LkSG verlangt nicht nur den Blick auf den unmittelbaren Vertragspartner, sondern eine anlassbezogene Prüfung auch der nächsten Ebenen.

Das LkSG unterscheidet konzeptionell zwischen unmittelbaren Zulieferern (direkte Vertragspartner) und mittelbaren Zulieferern (weiter entfernte Glieder der Lieferkette). Diese Unterscheidung hat erhebliche Konsequenzen für den Pflichtenumfang.

Gegenüber unmittelbaren Zulieferern bestehen laufende Sorgfaltspflichten: Risikoanalyse, Präventionsmaßnahmen, vertragliche Verankerung von Standards sowie anlassbezogene Audits. Für einen IT-Dienstleister ist das typischerweise der Hardware-Hersteller, der Cloud-Anbieter oder der Softwareentwicklungspartner, mit dem ein direkter Vertrag besteht.

Gegenüber mittelbaren Zulieferern – also den Lieferanten der Lieferanten – bestehen hingegen nur anlassbezogene Pflichten: nämlich dann, wenn das Unternehmen substantiierte Kenntnis davon erlangt, dass dort menschenrechtliche oder umweltbezogene Risiken bestehen. Die Formulierung „substantiierte Kenntnis" ist dabei ein juristischer Schlüsselbegriff. Sie liegt nicht erst bei gesichertem Wissen vor, sondern bereits dann, wenn nach Lage der Dinge eine plausible tatsächliche Grundlage für die Annahme eines Risikos besteht – etwa durch Medienberichte, NGO-Berichte, Beschwerden oder Hinweise aus dem eigenen Beschaffungsprozess.

Für die IT-Branche ist diese Unterscheidung besonders relevant, weil die Lieferkette häufig länger ist als auf den ersten Blick erkennbar: Ein Tier-1-Lieferant (Hardwarehersteller) hat seinerseits Zulieferer für Rohstoffe (Seltenerdmetalle, Leiterplatten), bei denen internationale Menschenrechtsverletzungen ein strukturelles Risiko darstellen. Hier kann die anlassbezogene Pflicht schneller eintreten als erwartet.

Das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) ist die zentrale Aufsichtsbehörde für das LkSG. Es verfügt über weitreichende Befugnisse, die Geschäftsführer kennen sollten.

Das BAFA ist zunächst Adressat des jährlichen Berichts, den verpflichtete Unternehmen einzureichen haben. Darüber hinaus kann das BAFA von sich aus oder auf Beschwerde hin Prüfungen einleiten. Es ist befugt, Auskünfte zu verlangen, Unterlagen einzusehen und – bei festgestellten Verstößen – Bußgelder zu verhängen. Der Bußgeldrahmen des LkSG reicht bis zu 8 Millionen Euro oder – bei Unternehmen mit einem Jahresumsatz von mehr als 400 Millionen Euro – bis zu 2 Prozent des weltweiten Jahresumsatzes.

Besonders praxisrelevant für Geschäftsführer: Überschreitet das Bußgeld einen Betrag von 175.000 Euro, kann das Unternehmen für bis zu drei Jahre von der Vergabe öffentlicher Aufträge ausgeschlossen werden. Für IT-Unternehmen, die im Bereich der öffentlichen Verwaltung, der Behörden-IT oder der Digitalisierung staatlicher Leistungen tätig sind, ist dieser Vergabeausschluss eine unmittelbare und schwerwiegende wirtschaftliche Konsequenz.

Das BAFA hat seit Inkrafttreten des Gesetzes zudem Leitlinien, Handreichungen und branchenspezifische Orientierungshilfen veröffentlicht. Diese sind zwar nicht rechtsverbindlich, entfalten aber praktische Indizwirkung für eine ordnungsgemäße Umsetzung – und werden im Rahmen von Prüfverfahren herangezogen.

Die LkSG-Umsetzung hat weitreichende Auswirkungen auf die Vertragsgestaltung – sowohl auf der Einkaufs- als auch auf der Kundenseite von IT-Unternehmen.

Auf der Einkaufsseite (gegenüber Lieferanten und Subunternehmern) empfiehlt sich die Integration sogenannter LkSG-Klauseln in Einkaufsbedingungen und Lieferantenverträge. Diese sollten mindestens folgende Elemente umfassen: Verpflichtung des Lieferanten zur Einhaltung der im LkSG genannten menschenrechtlichen und umweltbezogenen Standards; Auskunfts- und Mitwirkungspflichten bei Risikoanalysen und Audits; Recht zur außerordentlichen Kündigung bei nachgewiesenen schwerwiegenden Verstößen; Pflicht zur Weitergabe der Standards in der eigenen Lieferkette (Kaskadenklausel).

Auf der Kundenseite – also wenn das IT-Unternehmen selbst Lieferant eines LkSG-verpflichteten Unternehmens ist – werden entsprechende Anforderungen zunehmend in Ausschreibungsunterlagen, Lieferantenvereinbarungen und Rahmenverträgen verankert. Wer hier keine strukturierte Antwort liefern kann, riskiert den Verlust von Aufträgen. In der Mandatspraxis sehen wir, dass Lieferantenfragebögen zum LkSG mittlerweile ein fester Bestandteil von Vergabeprozessen im Bereich der Unternehmens-IT sind.

Wichtig ist, dass die vertraglichen LkSG-Klauseln nicht lediglich formal existieren, sondern tatsächlich gelebt werden – also mit dokumentierten Verfahren zur Überprüfung hinterlegt sind. Eine Klausel ohne korrespondierendes internes Verfahren schützt im BAFA-Prüfverfahren nicht.

Die Software- und IT-Branche weist ein Risikoprofil auf, das sich von klassischen Produktionsbranchen deutlich unterscheidet. Die Risiken sind weniger offensichtlich, aber strukturell vorhanden und durch das LkSG adressiert.

Das erste zentrale Risikofeld ist die Hardware-Lieferkette: Rechenzentrumskomponenten, Endgeräte, Netzwerktechnik und insbesondere Halbleiter werden häufig in Regionen produziert, für die strukturelle Risiken im Bereich Zwangsarbeit, Kinderarbeit oder Verletzung von Vereinigungsfreiheit dokumentiert sind. Seltenerdmetalle für Prozessoren und Speicherchips stammen teilweise aus Abbauregionen mit schwerwiegenden Menschenrechtsproblemen.

Das zweite Risikofeld ist die Softwareentwicklung über externe Partner: Nearshore- und Offshore-Entwicklungspartner in Ländern außerhalb der EU unterliegen möglicherweise anderen Arbeitsrechtsstandards. Überstunden, fehlende soziale Absicherung oder informelle Beschäftigungsformen können LkSG-relevante Risiken darstellen.

Das dritte Risikofeld betrifft Cloud- und Rechenzentrumsdienste: Hyperscaler betreiben Rechenzentren weltweit. Die damit verbundene Lieferkette – von der Bauleistung bis zur Infrastrukturausstattung – kann LkSG-relevante Risiken begründen, auch wenn der IT-Dienstleister selbst nur als Reseller oder Integrator auftritt.

Nach unserer Erfahrung stellen Risikoanalysen in IT-Unternehmen vor allem dann eine Herausforderung dar, wenn keine vollständige Übersicht über alle eingesetzten Softwarekomponenten, Infrastrukturdienste und Entwicklungspartner vorliegt. Hier ist eine strukturierte Lieferanteninventur der erste praktische Schritt.

Die Risikoanalyse ist das Herzstück des LkSG-Pflichtenrahmens. Sie ist kein einmaliges Projekt, sondern ein wiederkehrender Prozess – nach dem Gesetz mindestens einmal jährlich sowie anlassbezogen bei wesentlichen Veränderungen.

Ein praxistaugliches Vorgehen umfasst vier Schritte: Zunächst erfolgt die Bestandsaufnahme der Lieferkette – Erfassung aller direkten Vertragspartner auf der Beschaffungsseite, kategorisiert nach Warengruppen und Dienstleistungsarten. Für IT-Unternehmen typische Kategorien sind Hardware (Endgeräte, Server, Netzwerktechnik), Softwarelizenzen (proprietäre und Open-Source-Komponenten), Entwicklungsdienstleistungen (Nearshore/Offshore), Infrastrukturdienste (Cloud, Hosting, Colocation) und professionelle Dienste.

Im zweiten Schritt erfolgt eine länderbezogene Risikoklassifikation: Für jeden Lieferanten bzw. dessen Ursprungsland werden einschlägige Risikoindikatoren herangezogen – etwa Ratings des Auswärtigen Amts, des BAFA, der ILO oder einschlägiger ESG-Datenanbieter. Hochrisikoländer erfordern intensivere Prüfung.

Dritter Schritt ist die produktbezogene Risikoklassifikation: Bestimmte Produktkategorien – etwa Halbleiter, seltene Erden oder bestimmte Dienstleistungen aus Hochrisikoländern – gelten strukturell als risikobehaftet.

Im vierten Schritt werden aus diesen Analysen Prioritäten für Präventionsmaßnahmen abgeleitet. Die Risikoanalyse muss dokumentiert, intern kommuniziert und in das Berichtswesen gegenüber dem BAFA überführt werden. Entscheidend ist, dass das Ergebnis nachvollziehbar begründet ist – auch und gerade dann, wenn das Unternehmen zu dem Ergebnis kommt, dass ein bestimmter Lieferant kein erhöhtes Risiko darstellt.

Das LkSG schreibt die Einrichtung eines Beschwerdeverfahrens zwingend vor. Dieses Verfahren muss es sowohl internen Personen (Arbeitnehmer, Betriebsrat) als auch externen Betroffenen (Lieferantenmitarbeiter, lokale Gemeinschaften) ermöglichen, auf menschenrechtliche und umweltbezogene Risiken oder Verletzungen hinzuweisen.

Das Verfahren muss bestimmte Anforderungen erfüllen: Es muss zugänglich und bekannt gemacht werden; es muss Vertraulichkeit gewährleisten; es darf keine Repressalien für Hinweisgeber auslösen; es muss eine Eingangsbestätigung und eine nachvollziehbare Bearbeitung sicherstellen; und es muss dokumentiert werden.

Für IT-Unternehmen bietet sich häufig die Integration in ein bereits vorhandenes Hinweisgebersystem an – etwa ein System, das nach dem Hinweisgeberschutzgesetz (HinSchG) ohnehin einzurichten ist. Wichtig ist dabei, dass das Beschwerdeverfahren auch sprachlich und technisch für externe Hinweisgeber aus Drittstaaten erreichbar ist. Ein ausschließlich deutschsprachiges Intranet-Formular genügt den Anforderungen des LkSG nicht, wenn die relevanten Lieferanten in nicht-deutschsprachigen Ländern tätig sind.

Eingehende Beschwerden sind ernst zu nehmen: Sie können „substantiierte Kenntnis" im Sinne des LkSG begründen und damit die anlassbezogenen Pflichten gegenüber mittelbaren Zulieferern auslösen.

Der Bericht gegenüber dem BAFA ist eine Kernpflicht des LkSG und zugleich der wichtigste externe Nachweis für die Erfüllung der Sorgfaltspflichten. Er ist jährlich zu erstellen und spätestens vier Monate nach Ende des Geschäftsjahres beim BAFA einzureichen – für Unternehmen mit kalenderjahrgleichem Geschäftsjahr also bis zum 30. April des Folgejahres.

Der Bericht muss Angaben zu folgenden Bereichen enthalten: Art und Weise der Risikoanalyse; identifizierte Risiken und getroffene Präventions- und Abhilfemaßnahmen; Funktionsweise des Beschwerdeverfahrens; Einschätzung der Wirksamkeit der Maßnahmen im abgelaufenen Geschäftsjahr; sowie eine Erklärung zur Grundsatzverantwortung der Unternehmensleitung.

Der Bericht ist auf der Unternehmenswebsite zu veröffentlichen und sieben Jahre lang vorzuhalten. Er richtet sich damit nicht nur an das BAFA, sondern ist auch für Kunden, Auftraggeber, Investoren und die Öffentlichkeit einsehbar. IT-Unternehmen sollten daher den Bericht auch aus einer Reputationsperspektive sorgfältig gestalten. Eine pauschale, inhaltsleere Berichterstattung gilt nicht als ordnungsgemäße Erfüllung der Berichtspflicht – das BAFA prüft inhaltliche Substanz.

Das LkSG adressiert das Unternehmen als solches, nicht primär den Geschäftsführer persönlich. Gleichwohl entsteht für die Unternehmensleitung eine strukturelle Verantwortung, die auch persönliche Konsequenzen haben kann.

Auf Unternehmensebene sieht das LkSG Bußgelder bis zu 8 Millionen Euro vor; bei Unternehmen mit einem weltweiten Jahresumsatz über 400 Millionen Euro kann das Bußgeld auf bis zu 2 Prozent des Jahresumsatzes erhöht werden. Bei Bußgeldern ab 175.000 Euro droht zusätzlich der Ausschluss von öffentlichen Vergabeverfahren für bis zu drei Jahre. Dieser Vergabeausschluss trifft IT-Unternehmen, die im öffentlichen Sektor tätig sind, besonders empfindlich.

Auf der persönlichen Haftungsebene des Geschäftsführers entsteht ein Risiko aus der gesellschaftsrechtlichen Sorgfaltspflichtverletzung: Versäumt ein Geschäftsführer die Einrichtung eines LkSG-konformen Sorgfaltssystems, kann dies eine Verletzung der Legalitätspflicht nach dem GmbH-Gesetz darstellen und Innenhaftungsansprüche der Gesellschaft begründen. Nach unserer Erfahrung wird dieser Zusammenhang in der Praxis häufig unterschätzt – die LkSG-Umsetzung ist daher auch eine Frage der persönlichen Haftungsvorsorge der Geschäftsführung.

Hinzukommt das Reputationsrisiko: Das BAFA-Prüfverfahren und verhängte Bußgelder sind öffentlich. Für IT-Unternehmen, deren Geschäftsmodell auf Vertrauen und Zuverlässigkeit basiert, kann ein öffentlichkeitswirksames BAFA-Verfahren dauerhaften Schaden anrichten.

Die EU-Lieferkettenrichtlinie (Corporate Sustainability Due Diligence Directive, CSDDD) wurde im Jahr 2024 verabschiedet und muss von den Mitgliedstaaten in nationales Recht umgesetzt werden. Das LkSG ist damit nicht obsolet, sondern wird in ein erweitertes europäisches Regelwerk eingebettet.

Die CSDDD geht in mehreren Punkten über das LkSG hinaus: Sie erfasst langfristig auch kleinere Unternehmen, schreibt weitergehende Klimaschutzverpflichtungen vor, sieht zivilrechtliche Haftungsansprüche Betroffener vor – ein Element, das das LkSG ausdrücklich ausgeschlossen hatte – und verlangt eine tiefgreifendere Integration der Sorgfaltspflichten in die Unternehmensstrategie. Zudem werden die Anforderungen an die Lieferkettentransparenz und das Risikomanagement voraussichtlich nochmals steigen.

Für IT-Unternehmen bedeutet das: Wer heute ein solides LkSG-System aufbaut, legt die Grundlage für die spätere CSDDD-Compliance. Es empfiehlt sich daher, die Umsetzung bereits jetzt in einer Weise zu konzipieren, die für die CSDDD-Anforderungen erweiterungsfähig ist. Dies betrifft insbesondere die Dokumentationstiefe, die IT-Infrastruktur für das Lieferantenmanagement und die Einbindung der Sorgfaltspflichten in die Beschaffungsstrategie.

Die genauen Übergangszeiträume und der endgültige Umsetzungsstand der CSDDD in deutsches Recht sind zum gegenwärtigen Zeitpunkt noch nicht abschließend fixiert und sollten anwaltlich verfolgt werden.

Die LkSG-Umsetzung ist kein Projekt, das man auf den letzten Drücker angehen sollte. Unternehmen, die bereits unter die Schwellenwerte fallen, sind zur sofortigen Umsetzung verpflichtet; Unternehmen unterhalb der Schwellenwerte sollten die Vorbereitungszeit für eine strukturierte Vorbereitung nutzen.

Als erste Schritte empfiehlt sich folgende Reihenfolge: Erstens eine Selbstprüfung der Anwendbarkeit – fällt das Unternehmen unmittelbar unter das LkSG, oder besteht lediglich eine mittelbare Betroffenheit als Lieferant? Zweitens eine vollständige Bestandsaufnahme der Lieferkette – Wer sind unsere direkten Vertragspartner auf der Einkaufsseite? Aus welchen Ländern und Branchen stammen diese? Drittens die Einschätzung des Risikoprofils – Welche Warengruppen und Lieferantenregionen sind besonders risikobehaftet? Viertens die Einrichtung der Pflichtbausteine: Grundsatzerklärung, Beschwerdeverfahren, Risikoanalyseprozess, Lieferantenvertragsklauseln und Berichtsstruktur. Fünftens die Dokumentation aller Schritte für den BAFA-Bericht und für interne Zwecke.

In der Mandatspraxis sehen wir, dass IT-Unternehmen, die die LkSG-Umsetzung strukturiert und rechtzeitig angehen, nicht nur die Compliance-Anforderungen erfüllen, sondern auch Beschaffungsrisiken reduzieren, Lieferantenbeziehungen professionalisieren und ihre Marktposition gegenüber LkSG-pflichtigen Großkunden stärken. Die Investition lohnt sich deshalb auch unternehmerisch.

Die vorstehende Darstellung betrifft die Regelfälle einer LkSG-Umsetzung für IT-Unternehmen. Ihr konkreter Fall erfordert die Prüfung von Unterlagen, Fristen und der einschlägigen Rechtslage.