Wer ein mittelständisches Softwareunternehmen führt, denkt bei „Lieferkette" zuerst an Cloud-Anbieter, Subentwickler in Drittstaaten oder Lizenzgeber – nicht an Kobaltminen oder Kinderstunden. Doch das Lieferkettensorgfaltspflichtengesetz (LkSG) macht diese Unterscheidung nicht. Seit dem 1. Januar 2024 gilt das Gesetz für Unternehmen ab 1.000 Arbeitnehmern im Inland; die europäische Lieferketten-Richtlinie (CSDDD) setzt den Rahmen für die nächste Ausdehnungsstufe. Wer die eigene Lieferkette – also Softwarehäuser im Ausland, Hardware-OEM, Rechenzentrumsdienstleister – nicht systematisch auf Menschenrechts- und Umweltrisiken geprüft hat, riskiert BAFA-Prüfungen, Bußgelder und zivilrechtliche Haftung.
Das LkSG verpflichtet betroffene Unternehmen zur Einrichtung eines Risikomanagements, zur Durchführung von Risikoanalysen, zur Verankerung von Präventions- und Abhilfemaßnahmen sowie zur jährlichen Berichterstattung gegenüber dem Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA). Für die Software- und IT-Branche sind die Sorgfaltspflichten inhaltlich anspruchsvoll: Wertschöpfungsketten sind international verflochten, Dienstleistungsbeziehungen sind schwerer zu kontrollieren als physische Güterströme, und die Verantwortlichkeit des Geschäftsführers ist unmittelbar. Bußgelder betragen nach dem LkSG bis zu acht Prozent des durchschnittlichen weltweiten Jahresumsatzes für schwere Verstöße.
Dieser Beitrag legt die aktuelle Rechtslage dar, entwickelt branchenspezifische Umsetzungsoptionen und skizziert, welche Schritte Geschäftsführer und Compliance-Verantwortliche im IT-Mittelstand jetzt prüfen sollten.
Welche Unternehmen der Software- und IT-Branche fallen unter das LkSG?
Der persönliche Anwendungsbereich des LkSG knüpft nicht an die Branche, sondern an die Unternehmensgröße. Seit dem 1. Januar 2024 sind Unternehmen mit mindestens 1.000 Arbeitnehmern mit Sitz oder Hauptniederlassung in Deutschland erfasst. Zuvor galt die Schwelle von 3.000 Arbeitnehmern ab dem 1. Januar 2023.
In der Software- und IT-Branche liegt die kritische Trennlinie damit bei der Konzernbetrachtung. Arbeitnehmer inländischer Tochtergesellschaften und – nach dem Wortlaut des § 1 Abs. 2 LkSG – im Inland eingesetzte Leiharbeitnehmer werden einbezogen. Ein mittelständisches Softwarehaus, das selbst 700 Festangestellte beschäftigt, aber über eine inländische Vertriebs-GmbH weitere 350 Mitarbeitende verfügt, kann die Schwelle bereits erreichen. In der Mandatspraxis sehen wir häufig, dass Unternehmensgruppen ihre Mitarbeiterzahl erst dann konsolidiert prüfen, wenn das BAFA einen konkreten Anlass gibt – ein Versäumnis mit erheblichen Folgen.
Hinzu kommt die mittelbare Reichweite des Gesetzes. Auch Unternehmen unterhalb der Schwelle werden de facto erfasst, wenn sie als unmittelbarer Zulieferer oder Dienstleistungspartner eines pflichtigen Unternehmens auftreten. Die Abnehmer fragen dann vertraglich ab, ob der IT-Dienstleister ein eigenes Compliance-System vorweisen kann – und machen dies zur Voraussetzung für die Auftragsvergabe oder -verlängerung. Für softwareliefernde KMU ist das LkSG damit wirtschaftlich relevant, auch wenn die formelle Anwendungsschwelle noch nicht erreicht ist.
Ist Ihr Unternehmen auf eine Anfrage eines Großkunden gestoßen, der eine LkSG-Selbstauskunft verlangt? Das ist der Regelfall, nicht die Ausnahme. Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung von Unterlagen, Fristen und der einschlägigen Rechtsprechung. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Was schreibt das LkSG Geschäftsführern konkret vor?
Das LkSG normiert einen gestuften Pflichtenkanon, der auf der Ebene der Unternehmensleitung verankert ist. Geschäftsführer einer GmbH – im IT-Mittelstand die dominante Rechtsform – tragen die persönliche Verantwortung für Einrichtung und Wirksamkeit des gesamten Systems.
Die Kernsorgfaltspflichten umfassen sieben Elemente: erstens das Risikomanagement (§ 4 LkSG), das eine angemessene und wirksame Struktur zur Erfüllung der Sorgfaltspflichten verlangt; zweitens die Risikoanalyse (§ 5 LkSG), die jährlich und anlassbezogen durchzuführen ist; drittens Präventionsmaßnahmen im eigenen Geschäftsbereich (§ 6 LkSG); viertens Präventionsmaßnahmen gegenüber unmittelbaren Zulieferern; fünftens Abhilfemaßnahmen bei festgestellten Verletzungen (§ 7 LkSG); sechstens den Beschwerdemechanismus (§ 8 LkSG); siebtens die jährliche Dokumentation und Berichterstattung gegenüber dem BAFA (§§ 10, 12 LkSG).
Der Jahresbericht ist dem BAFA spätestens vier Monate nach Ablauf des Geschäftsjahres zu übermitteln und muss auf der Unternehmenswebsite für mindestens sieben Jahre öffentlich zugänglich sein. Für ein Unternehmen mit Geschäftsjahr = Kalenderjahr bedeutet das eine Abgabefrist bis Ende April des Folgejahres. Diese Frist ist eine echte Ausschlussfrist – nicht das BAFA, sondern das Unternehmen trägt die Beweislast für die fristgemäße Einreichung.
Für Geschäftsführer im Mittelstand besonders relevant: Die Pflicht entsteht kraft Gesetzes; eine Delegation auf Compliance-Mitarbeitende entbindet nicht von der persönlichen Verantwortung. Wer das System nicht einrichtet oder offensichtlich wirkungslos gestaltet, riskiert ein persönliches Bußgeld. Der Rahmen des LkSG für schwere Pflichtverletzungen sieht bis zu acht Prozent des weltweiten Jahresumsatzes vor; ab einer Höhe von 175 Millionen Euro droht zudem der temporäre Ausschluss von öffentlichen Aufträgen.
Welche Lieferketten-Risiken sind in der Software- und IT-Branche besonders relevant?
Die Software- und IT-Branche weist im Vergleich zur Fertigungsindustrie eine spezifische Risikostruktur auf. Nicht Rohstoffgewinnung steht im Vordergrund, sondern Dienstleistungsbeziehungen, Hardware-Komponenten und digitale Infrastruktur.
Vier Risikofelder prägen die Branche besonders ausgeprägt:
- Offshore-Softwareentwicklung: Entwicklerteams in Ländern mit unzureichendem Arbeitsrechtsschutz – etwa in bestimmten Regionen Süd- und Ostasiens – können menschenrechtliche Risiken aus erzwungener Mehrarbeit, fehlenden Kollektivrechten oder unzulässigen Arbeitsbedingungen aufweisen. Das LkSG erfasst diese Risiken ausdrücklich, auch wenn keine physischen Güter fließen.
- Hardware-Komponenten und Peripherie: Notebooks, Server, Netzwerkausrüstung – die Wertschöpfungskette reicht in Regionen mit dokumentierten Risiken aus Ressourcenabbau (Mineralien, seltene Erden) und Arbeitsbedingungen in Fertigungsstätten. Selbst wenn das IT-Unternehmen Hardware nur als Nebenleistung beschafft, muss es den unmittelbaren Zulieferer erfassen.
- Cloud- und Rechenzentrumsdienstleistungen: Hyperscaler und mittelständische Rechenzentrumsanbieter stehen ebenfalls auf dem Prüfstand. Energiebedarf, Kühlung und die Bedingungen in vorgelagerten Hardware-Lieferketten sind relevante Risikofaktoren – auch wenn sie vom IT-Unternehmen auf den ersten Blick als „Infrastruktur" und nicht als eigene Lieferkette wahrgenommen werden.
- Lizenz- und Drittanbieter-Software: Benutzung von Open-Source-Komponenten, proprietären Bibliotheken oder Sub-API-Dienstleistungen erzeugt Zuliefererbeziehungen, die zumindest im Rahmen der Risikoanalyse zu identifizieren und, wenn das Risiko als wesentlich eingestuft wird, zu adressieren sind.
Nach unserer Erfahrung unterschätzen IT-Unternehmen regelmäßig die Reichweite des Begriffs „unmittelbarer Zulieferer". Das LkSG definiert ihn als jeden Vertragspartner, dessen Lieferungen oder Leistungen für die Herstellung des eigenen Produkts oder die Erbringung der eigenen Dienstleistung notwendig sind. Das ist weit gefasst – und schließt SaaS-Unterkomponenten, Entwicklungsdienstleister und sogar Personalvermittler in Risikostaaten ein.
Wie läuft die BAFA-Prüfung ab, und was bedeutet das für die Praxis?
Das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) ist die zuständige Aufsichtsbehörde nach dem LkSG. Es verfügt über umfangreiche Befugnisse: Es kann von Amts wegen tätig werden, Unterlagen anfordern, Begehungen durchführen und Bußgeldverfahren einleiten.
Die BAFA-Prüfung folgt in der Praxis einem zweistufigen Schema. Auf der ersten Stufe wertet die Behörde die Jahresberichte aus, die Unternehmen nach § 12 LkSG einreichen. Dabei prüft das BAFA, ob die Berichterstattung die gesetzlich vorgegebenen Mindestinhalte – insbesondere die Beschreibung des Risikomanagements, der Risikoanalyse, der ergriffenen Maßnahmen und ihrer Wirksamkeit – vollständig abbildet. Fehlende oder offensichtlich unzureichende Berichte sind der häufigste Anlass für vertiefte Prüfungen.
Auf der zweiten Stufe kann das BAFA anlassbezogen tätig werden, etwa auf der Grundlage von Beschwerden über ein Unternehmen oder aufgrund eigener Erkenntnisse. In diesem Fall fordert die Behörde Originalunterlagen an: Risikoanalysen, Lieferantenverträge, Auditberichte, interne Richtlinien, Schulungsnachweise. Die Frist zur Vorlage ist regelmäßig kurz – es ist also kein sinnvoller Ansatz, Unterlagen erst im Fall einer Prüfung zu erstellen.
Was bedeutet das für IT-Unternehmen konkret? Zum einen muss die Risikoanalyse dokumentiert sein, bevor ein Prüfungsfall eintritt. Zum anderen müssen Verträge mit unmittelbaren Zulieferern Klauseln enthalten, die eine Weitergabe der Sorgfaltspflichten sowie Audit- und Kontrollrechte absichern. Ein Softwarehaus ohne entsprechende Vertragsklauseln gegenüber seinem Offshore-Entwicklungspartner hat in einer BAFA-Prüfung ein strukturelles Problem.
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Softwareunternehmen mit Sitz in Baden-Württemberg, das auf Basis einer BAFA-Anfrage seine Lieferketten-Dokumentation vorlegen musste. Ausgangslage: Das Unternehmen hatte rund 1.200 Mitarbeitende, davon 180 über Offshore-Entwicklungspartner in drei Ländern, und beschaffte Hardwarekomponenten über drei Großhändler. Ein LkSG-konformes System existierte dem Namen nach, aber Risikoanalyse und Vertragsklauseln waren unvollständig. Vorgehen: Die Kanzlei strukturierte die Bestandsaufnahme, identifizierte Lücken in der Risikoanalyse, überarbeitete die relevanten Lieferantenverträge und unterstützte die Geschäftsführung bei der fristgerechten Vorlage gegenüber dem BAFA. Ergebnis: Das Verfahren konnte ohne Bußgeldbescheid abgeschlossen werden; die Unterlagen wurden als vollständig anerkannt.
Wie gestaltet man ein LkSG-konformes Compliance-System für IT-Unternehmen?
Ein wirksames LkSG-Compliance-System für die Software- und IT-Branche ist kein einmaliges Projekt, sondern ein dauerhaftes Managementsystem. Es besteht aus ineinandergreifenden Elementen, die jeweils an die spezifische Struktur des Unternehmens angepasst werden müssen.
Schritt eins: Mapping der Lieferkette. Zunächst sind alle unmittelbaren Zulieferer vollständig zu erfassen. In der IT-Branche bedeutet das: Offshore-Entwicklungspartner, Hardwarebeschaffung, Cloud-Dienstleister, Lizenzgeber, Personalvermittlung in Risikoregionen. Ohne dieses vollständige Bild ist jede Risikoanalyse fehlerhaft.
Schritt zwei: Risikoanalyse. Das LkSG verlangt eine angemessene Gewichtung der identifizierten Risiken. Die Kriterien sind: Wahrscheinlichkeit des Eintritts, Schwere der möglichen Menschenrechtsverletzung, Einfluss des eigenen Unternehmens auf den Verursacher. Branchenspezifische Risikohinweise des BAFA, Informationen internationaler Organisationen sowie Länderberichte des Auswärtigen Amts sind anerkannte Quellen. Die Risikoanalyse muss jährlich und anlassbezogen – etwa bei einem neuen Zulieferer oder einer politischen Verschlechterung in einem Bezugsland – aktualisiert werden.
Schritt drei: Präventionsmaßnahmen. Im eigenen Geschäftsbereich ist eine Grundsatzerklärung (Policy Statement) zu erlassen und intern zu verankern. Gegenüber unmittelbaren Zulieferern sind vertragliche Sorgfaltspflichten zu vereinbaren: Menschenrechts- und Umweltklauseln, Audit-Rechte, Selbstauskunftspflichten. Für IT-Unternehmen mit Offshore-Partnern empfiehlt sich ein standardisierter Fragebogen zur Ersterfassung sowie ein risikobasiertes Auditprogramm.
Schritt vier: Beschwerdemechanismus. § 8 LkSG verlangt ein internes oder gemeinsames Hinweisgebersystem, über das Mitarbeitende und Dritte – auch Beschäftigte bei Zulieferern – Missstände melden können. Dieses System muss barrierefrei, vertraulich und wirksam sein. IT-Unternehmen können hier auf digitale Whistleblower-Plattformen zurückgreifen, die gleichzeitig die Anforderungen des Hinweisgeberschutzgesetzes (HinSchG) erfüllen.
Schritt fünf: Dokumentation und Berichterstattung. Alle ergriffenen Maßnahmen sind schriftlich zu dokumentieren. Der Jahresbericht hat die gesetzlich vorgeschriebene Mindeststruktur einzuhalten und ist nach Abgabe für mindestens sieben Jahre auf der Unternehmenswebsite zu veröffentlichen. Wer hier spart, spart am falschen Ende: Unvollständige Berichte sind der häufigste BAFA-Prüfungsauslöser.
Welche Haftungsrisiken trägt der Geschäftsführer persönlich?
Die persönliche Haftung des Geschäftsführers ist im LkSG mehrfach verankert. Das Gesetz richtet sich unmittelbar an das Unternehmen – aber die Verpflichtung, das System einzurichten und zu kontrollieren, trifft die Leitungsorgane, also in der GmbH den Geschäftsführer.
Bußgelder nach §§ 24, 25 LkSG treffen zunächst das Unternehmen. Für schwere Verstöße – namentlich die Nichteinrichtung eines Risikomanagements, die Nichtdurchführung von Risikoanalysen oder das Fehlen von Abhilfemaßnahmen – beträgt der Bußgeldrahmen bis zu acht Prozent des weltweiten durchschnittlichen Jahresumsatzes. Ob und in welchem Umfang die Behörde Bußgelder gegen verantwortliche Organmitglieder persönlich verhängt, hängt nach den allgemeinen Grundsätzen des Ordnungswidrigkeitenrechts vom Grad des individuellen Verschuldens ab.
Daneben besteht das Regressrisiko: Verhängt die Behörde ein Bußgeld gegen das Unternehmen, weil der Geschäftsführer trotz Kenntnis von Risiken keine Maßnahmen ergriffen hat, kann die Gesellschaft unter den Voraussetzungen des § 43 GmbHG Schadensersatz vom Geschäftsführer verlangen. In der Mandatspraxis sehen wir diesen Zusammenhang häufig unterschätzt: Aufsichtsrat und Beirat stellen im Nachgang die Frage, ob die Leitungsorgane ihren Pflichten genügt haben.
Schließlich ist die zivilrechtliche Außenhaftung zu beachten. Die CSDDD sieht auf europäischer Ebene – vorbehaltlich nationaler Umsetzung – eine zivilrechtliche Haftung für Schäden vor, die aus der Verletzung von Sorgfaltspflichten entstehen. Das LkSG selbst schließt eine solche Haftung in § 3 Abs. 3 ausdrücklich noch aus; die Umsetzung der CSDDD wird das ändern. Geschäftsführer, die jetzt ein belastbares Compliance-System einrichten, schaffen zugleich die Dokumentationsbasis für eine spätere haftungsrechtliche Verteidigung.
Lässt sich Haftung durch formale Systeme vollständig ausschließen? Nein. Das LkSG verlangt ein angemessenes und wirksames System – formale Compliance ohne Substanz ist kein Haftungsschutz, sondern ein Risiko für sich.
Wie verhält sich das LkSG zur europäischen CSDDD und was ändert sich für die IT-Branche?
Die Corporate Sustainability Due Diligence Directive (CSDDD) der Europäischen Union ist im Mai 2024 in Kraft getreten. Sie legt einen europäischen Mindeststandard für Sorgfaltspflichten entlang der Lieferkette fest und ist von den Mitgliedstaaten umzusetzen. Die CSDDD geht in wesentlichen Punkten über das LkSG hinaus.
Erstens ist der sachliche Geltungsbereich weiter: Die CSDDD erfasst nicht nur unmittelbare Zulieferer, sondern die gesamte vorgelagerte Wertschöpfungskette – also mittelbare Zulieferer der Zulieferer – sowie, in bestimmten Sektoren, auch nachgelagerte Bereiche der Verwertung. Für IT-Unternehmen bedeutet das, dass in Zukunft auch die Lieferketten der Zulieferer systematisch zu erfassen und zu bewerten sein werden.
Zweitens enthält die CSDDD eine zivilrechtliche Haftungsnorm: Unternehmen können für Schäden haftbar gemacht werden, die aus der Verletzung von Sorgfaltspflichten entstehen, wenn die nationalen Gerichte die Voraussetzungen als erfüllt ansehen. Deutschland hat die CSDDD noch nicht umgesetzt; das LkSG schließt wie erwähnt eine entsprechende Haftung noch aus, die Umsetzungsgesetzgebung wird diesen Schutz aufheben.
Drittens gelten in der CSDDD andere Größenschwellen. Die vollständige Umsetzung betrifft Unternehmen ab 1.000 Arbeitnehmern und 450 Millionen Euro Umsatz; kleinere Schwellen gelten für Hochrisikosektoren. Für den IT-Mittelstand, der bislang die LkSG-Schwelle von 1.000 Arbeitnehmern noch nicht erreicht, bedeutet das: Der Druck aus der Lieferkette – Großkunden, die LkSG-Konformität ihrer Zulieferer verlangen – bleibt der wahrscheinlichere Treiber als die direkte gesetzliche Pflicht.
Nach unserer Erfahrung in der Beratung mittelständischer IT-Unternehmen lohnt es sich nicht, auf die CSDDD-Umsetzung zu warten und erst dann ein Compliance-System einzurichten. Wer heute die LkSG-konforme Infrastruktur aufbaut, schafft die Basis für die spätere CSDDD-Konformität. Die strukturellen Anforderungen – Risikoanalyse, Vertragsklauseln, Beschwerdemechanismus, Berichterstattung – sind weitgehend kompatibel.
Welche Gestaltungsoptionen haben IT-Unternehmen, die noch keine vollständige LkSG-Struktur haben?
Für Geschäftsführer, die feststellen, dass das Compliance-System noch nicht vollständig aufgebaut ist, gibt es einen strukturierten Handlungsrahmen. Dieser unterscheidet zwischen dem, was sofort zu tun ist, und dem, was mittel- und langfristig angelegt werden muss.
Unmittelbarer Handlungsbedarf besteht bei der Grundsatzerklärung (§ 6 Abs. 2 LkSG): Sie muss erlassen, von der Unternehmensleitung verabschiedet und intern bekanntgemacht sein. Fehlt sie, ist das Compliance-System schon auf der Grundsatzebene unvollständig. Ebenfalls unmittelbar erforderlich ist eine erste dokumentierte Risikoanalyse, auch wenn sie noch nicht alle Zulieferer vollständig abbildet – sie muss zumindest die nach Risikoabwägung als wesentlich eingestuften Bereiche erfassen.
Mittelfristig sind die Verträge mit unmittelbaren Zulieferern anzupassen. Das erfordert eine systematische Durchsicht der bestehenden Dienstleistungs-, Entwicklungs- und Beschaffungsverträge auf LkSG-konforme Klauseln. Fehlen Menschenrechtsklauseln, Auditzugangsrechte und Selbstauskunftspflichten, sind Vertragsanpassungen oder neue Rahmenvereinbarungen zu erarbeiten.
Langfristig – aber planmäßig innerhalb des laufenden Geschäftsjahres – ist der Beschwerdemechanismus einzurichten oder mit einem bestehenden HinSchG-Kanal zu integrieren und der erste vollständige Jahresbericht vorzubereiten.
Konstellation A: Ein IT-Unternehmen mit 1.200 Arbeitnehmern und drei Offshore-Entwicklungspartnern, das noch keinen Jahresbericht eingereicht hat → sofortige Grundsatzerklärung → priorisierte Risikoanalyse für die Offshore-Partner → Jahresbericht BAFA binnen der gesetzlichen Frist → Vertragsanpassungen im laufenden Quartal. Konstellation B: Ein Software-KMU mit 650 Mitarbeitenden, das von einem Großkunden nach LkSG-Konformität gefragt wird → Selbstauskunft erarbeiten → risikobasiertes Mapping der eigenen Lieferkette → Vertragsklauseln für zukünftige Lieferantenverträge einführen. Beide Konstellationen erfordern unterschiedliche Prioritäten, aber dasselbe grundlegende Methodengerüst.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung von Unterlagen, Fristen und der einschlägigen Rechtsprechung. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Wenn Sie als Geschäftsführer oder Compliance-Verantwortlicher in der Software- und IT-Branche jetzt prüfen möchten, ob Ihre LkSG-Struktur den gesetzlichen Anforderungen standhält, ist eine dokumentenbasierte Bestandsaufnahme der erste sinnvolle Schritt. Für eine erste Durchsicht Ihrer vorhandenen Unterlagen – Risikoanalysen, Vertragsklauseln, Jahresbericht – schreiben Sie an info@brandtfalk.com.
Verwandte Leistungen
Häufig gestellte Fragen: LkSG in der Software- und IT-Branche
Ab welcher Unternehmensgröße gilt das LkSG für IT-Unternehmen?
Das LkSG gilt seit dem 1. Januar 2024 für Unternehmen mit mindestens 1.000 Arbeitnehmern in Deutschland, unabhängig von der Branche. Für die IT-Branche kommt es auf die konsolidierte Arbeitnehmerzahl an: Inländische Tochtergesellschaften und im Inland eingesetzte Leiharbeitnehmer sind einzubeziehen. Unterhalb der Schwelle entsteht wirtschaftlicher Druck durch Lieferantenanfragen größerer Abnehmer, die LkSG-Konformität ihrer Zulieferer vertraglich einfordern.
Welche konkreten Pflichten hat der Geschäftsführer nach dem LkSG?
Der Geschäftsführer ist persönlich verantwortlich für die Einrichtung und Wirksamkeit des LkSG-Compliance-Systems. Die Kernsorgfaltspflichten umfassen ein Risikomanagement, eine jährliche Risikoanalyse, Präventionsmaßnahmen im eigenen Geschäftsbereich und gegenüber unmittelbaren Zulieferern, Abhilfemaßnahmen bei Verletzungen, einen Beschwerdemechanismus sowie die jährliche Berichterstattung gegenüber dem BAFA. Eine formale Delegation auf Mitarbeitende entbindet nicht von der Leitungsverantwortung.
Was prüft das BAFA bei einer Kontrolle von IT-Unternehmen?
Das BAFA prüft zunächst die Jahresberichte auf vollständige Abbildung der gesetzlichen Mindestinhalte. Bei vertieften Prüfungen fordert die Behörde Originalunterlagen an: Risikoanalysen, Lieferantenverträge, Auditberichte, interne Richtlinien und Schulungsnachweise. Unvollständige Berichte und fehlende Vertragsdokumentation sind die häufigsten Schwachstellen, die BAFA-Verfahren auslösen.
Wie hoch sind die Bußgelder bei Verstößen gegen das LkSG?
Das LkSG sieht für schwere Pflichtverletzungen Bußgelder von bis zu acht Prozent des weltweiten durchschnittlichen Jahresumsatzes vor. Zusätzlich droht bei Bußgeldern ab einem bestimmten Schwellenwert der temporäre Ausschluss von der Vergabe öffentlicher Aufträge. Die genaue Höhe im Einzelfall hängt von der Art und Schwere des Verstoßes sowie dem Verschulden ab.
Was ändert die EU-CSDDD gegenüber dem LkSG für IT-Unternehmen?
Die CSDDD geht in drei wesentlichen Punkten über das LkSG hinaus: Sie erfasst die gesamte vorgelagerte Wertschöpfungskette (nicht nur unmittelbare Zulieferer), führt eine zivilrechtliche Haftung für Sorgfaltspflichtverstöße ein und gilt nach vollständiger nationaler Umsetzung für Unternehmen ab 1.000 Arbeitnehmern und 450 Millionen Euro Umsatz. Die deutsche Umsetzungsgesetzgebung steht noch aus; LkSG-konforme Systeme bilden die Grundlage für spätere CSDDD-Konformität.
Müssen auch Offshore-Softwareentwickler in die LkSG-Risikoanalyse einbezogen werden?
Ja. Das LkSG definiert unmittelbare Zulieferer als alle Vertragspartner, deren Leistungen für die Erbringung der eigenen Dienstleistung notwendig sind. Offshore-Entwicklungspartner, die wesentliche Bestandteile der Softwareleistung erbringen, fallen in aller Regel darunter. Menschenrechtliche Risiken aus Arbeitsbedingungen in Entwicklerteams – etwa in Ländern mit unzureichendem Arbeitsrechtsschutz – sind explizit in die Risikoanalyse einzubeziehen und vertraglich zu adressieren.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.