Lieferkettengesetz und CSDDD im Überblick

LkSG und CSDDD sind zwei unterschiedliche Rechtsstufen

Das Lieferkettensorgfaltspflichtengesetz ist deutsches Recht, das unmittelbar gilt. Es verpflichtet erfasste Unternehmen dazu, menschenrechtliche und bestimmte umweltbezogene Risiken in angemessener Weise zu steuern. Die Pflichten beziehen sich abgestuft auf den eigenen Geschäftsbereich, die unmittelbaren Zulieferer und bei substantiierter Kenntnis auch auf die mittelbaren Zulieferer. Das Gesetz verlangt jedoch nicht, dass jede Verletzung in einer globalen Lieferkette verhindert werden muss. Vielmehr verlangt es ein wirksames, risikobasiertes Sorgfaltsmanagement, das an Einflussvermögen, Art des Beitrags und Schwere des Risikos ausgerichtet ist.

Die CSDDD ist eine EU-Richtlinie, die zunächst in nationales Recht umgesetzt werden muss. Die ursprüngliche Richtlinie (EU) 2024/1760 wurde durch die am 18. März 2026 in Kraft getretene Richtlinie (EU) 2026/470 wesentlich geändert. Für in der EU gegründete Unternehmen liegt die zentrale Schwelle nun bei mehr als 5.000 Beschäftigten und einem Nettoweltumsatz von über 1,5 Milliarden Euro. Auch oberste Mutterunternehmen entsprechender Gruppen sowie bestimmte Franchise- und Lizenzkonstellationen können erfasst sein. Für Unternehmen aus Drittstaaten gelten eigenständige Voraussetzungen, die an den in der Union erzielten Umsatz anknüpfen.

Die beiden Regime ähneln sich in ihrer risikobasierten Grundidee, decken sich aber weder beim Anwendungsbereich noch bei der Reichweite. So kann ein Unternehmen heute dem LkSG unterliegen, ohne später in den engeren persönlichen Anwendungsbereich der CSDDD zu fallen. Umgekehrt können internationale Gruppen durch die CSDDD erfasst werden, obwohl die deutsche Einheit allein die LkSG-Schwelle nicht erreicht.

Wer nach dem LkSG unmittelbar oder vertraglich betroffen ist

Gemäß § 1 LkSG gilt das Gesetz seit dem 1. Januar 2024 grundsätzlich für Unternehmen, die ihre Hauptverwaltung, Hauptniederlassung, ihren Verwaltungssitz, satzungsmäßigen Sitz oder eine Zweigniederlassung in Deutschland haben und in der Regel mindestens 1.000 Arbeitnehmer im Inland beschäftigen. Bei verbundenen Unternehmen werden die in Deutschland beschäftigten Arbeitnehmer der Obergesellschaft unter den gesetzlichen Voraussetzungen zugerechnet. Ins Ausland entsandte Beschäftigte können ebenfalls mitgezählt werden. Die genaue Berechnung sollte deshalb nicht allein anhand der lokalen Payroll erfolgen.

Allein durch die Belieferung eines erfassten Unternehmens werden kleinere Zulieferer nicht zu gesetzlichen Adressaten des LkSG. In der Praxis wirken die Anforderungen jedoch in die Vertragskette hinein. Gemäß § 6 Absatz 4 LkSG zählen zu den möglichen Präventionsmaßnahmen gegenüber unmittelbaren Zulieferern unter anderem vertragliche Zusicherungen, Schulungen und risikobasierte Kontrollmechanismen. Große Abnehmer verlangen deshalb häufig Verhaltenskodizes, Informationen, Auditrechte und Mitwirkung bei Abhilfe.

Diese vertragliche Einbindung hat jedoch Grenzen. Das verpflichtete Unternehmen darf seine eigene gesetzliche Verantwortung nicht pauschal auf den Zulieferer verlagern. Ebenso wenig sinnvoll ist eine undifferenzierte Garantie, mit der ein kleiner Lieferant verpflichtet wird, sämtliche Menschenrechts- und Umweltstandards in seiner gesamten Lieferkette ausnahmslos sicherzustellen. Belastbare Klauseln knüpfen an konkrete Risiken, tatsächliche Einflussmöglichkeiten und zumutbare Nachweise an. Sie regeln die Zusammenarbeit und Eskalation, anstatt lediglich eine umfassende Freistellung zu verlangen.

Was am 21. Juli 2026 tatsächlich gilt

Die materiellen Sorgfaltspflichten des LkSG bleiben bestehen. Dazu gehören insbesondere die Einrichtung eines Risikomanagements, die Festlegung interner Zuständigkeiten, regelmäßige und anlassbezogene Risikoanalysen, eine Grundsatzerklärung, angemessene Präventions- und Abhilfemaßnahmen, ein Beschwerdeverfahren sowie die Dokumentation. Auch die jährliche Berichterstattung ist weiterhin in § 10 LkSG verankert.

Die Vollzugspraxis ist derzeit jedoch deutlich zurückgefahren. So teilte das BAFA am 1. Oktober 2025 mit, dass es die Prüfung von Unternehmensberichten nach §§ 12 und 13 LkSG einstellt und Bußgelder nur noch in besonders gravierenden Fällen und unter sehr restriktivem Aufgriffsermessen verfolgt. Das Berichtsportal nimmt keine Berichte mehr entgegen. Hintergrund ist der Regierungsentwurf eines LkSG-Änderungsgesetzes, der die Berichtspflicht rückwirkend streichen und den Bußgeldkatalog verkürzen soll. Der Bundestag hat diesen Entwurf am 16. Januar 2026 in erster Lesung beraten und an die Ausschüsse überwiesen. Solange das Gesetzgebungsverfahren nicht abgeschlossen ist, sollte die behördliche Nichtprüfung jedoch nicht mit einer bereits vollzogenen Gesetzesänderung gleichgesetzt werden.

Für Unternehmen bedeutet dies: Die knapper gewordene behördliche Aktivität kann bei der Priorisierung und der Planung von Ressourcen berücksichtigt werden. Sie rechtfertigt jedoch keinen Abbau des Sorgfaltssystems. Eine interne Dokumentation ist weiterhin notwendig, um Maßnahmen zu steuern, Organentscheidungen zu begründen und vertragliche Nachweispflichten gegenüber Kunden zu erfüllen. Auch Beschwerden, konkrete Hinweise auf Verletzungen und erforderliche Abhilfemaßnahmen dürfen nicht aufgrund der geänderten Berichtspraxis liegen bleiben.

Was die geänderte CSDDD ab Juli 2029 vorsieht

Die Richtlinie (EU) 2026/470 hat nicht nur den zeitlichen Anwendungsbereich der CSDDD verschoben, sondern auch deren Inhalt verschlankt. Die Mitgliedstaaten müssen die geänderten Vorgaben bis zum 26. Juli 2028 umsetzen, während die Unternehmen im verbleibenden Anwendungsbereich die nationalen Vorschriften grundsätzlich erst ab dem 26. Juli 2029 einhalten müssen. Die frühere stufenweise Erfassung deutlich kleinerer Unternehmen entfällt. Auch die Pflicht zu einem Klimatransitionsplan wurde aus der CSDDD entfernt und ein eigenständiges, unionsweit harmonisiertes zivilrechtliches Haftungsregime ist nicht mehr vorgesehen. Nationale Haftungsregeln bleiben gleichwohl relevant.

Die Sorgfaltspflicht bleibt risikobasiert. Unternehmen sollen tatsächliche und potenzielle negative Auswirkungen in den besonders risikobehafteten Bereichen ihrer Wertschöpfungskette ermitteln und bewerten. Die geänderte Richtlinie erlaubt eine stärkere Priorisierung und verlangt die Nutzung vernünftigerweise verfügbarer Informationen. Damit soll unter anderem verhindert werden, dass große Unternehmen ihre kleineren Geschäftspartner ohne Bezug zum konkreten Risiko mit unbegrenzten Datenanforderungen belasten.

Bis zur deutschen Umsetzung steht noch nicht fest, wie das LkSG und die CSDDD im Einzelnen zusammengeführt werden. Die Bundesregierung hat jedoch bereits angekündigt, das LkSG durch ein Umsetzungsgesetz abzulösen. Unternehmen sollten deshalb keine parallelen Systeme für jede Reformstufe aufbauen. Sinnvoller ist ein belastbarer Kernprozess für Risikoanalyse, Maßnahmen, Beschwerden, Dokumentation und Lieferantensteuerung, der später an den endgültigen deutschen Anwendungsbereich angepasst werden kann.

Vertragsklauseln müssen Risiko und Einfluss abbilden

Verträge sind ein wichtiges Umsetzungsinstrument, aber kein Ersatz für eigene Sorgfalt. Eine tragfähige Klausel legt fest, welche Standards für die konkrete Leistung relevant sind, welche Informationen in welchem Fall verlangt werden dürfen und wie ein Audit vorbereitet, durchgeführt und vertraulich behandelt wird. Bei festgestellten Risiken sollte sie einen abgestuften Abhilfeprozess vorsehen, der eine Ursachenanalyse, einen Maßnahmenplan, angemessene Fristen und eine Wirksamkeitskontrolle verbindet. Die Aussetzung oder Beendigung der Geschäftsbeziehung bleibt in der Regel das letzte Mittel, wenn schwerwiegende Risiken fortbestehen und mildere Maßnahmen nicht ausreichen.

Ebenso wichtig ist die AGB-rechtliche Angemessenheit. § 307 BGB begrenzt auch im unternehmerischen Verkehr intransparente oder einseitig überdehnte Standardklauseln. Pauschale Kostenabwälzung, unbeschränkte Auditrechte, verschuldensunabhängige Freistellungen oder ein sofortiges Kündigungsrecht bei jedem geringfügigen Verstoß können deshalb mehr Unsicherheit schaffen als Schutz bieten. Wie Menschenrechtszusicherungen, Informations- und Auditrechte sowie Abhilfe- und Kündigungsmechanismen konkret ausgestaltet werden können, wird in unserem Beitrag „Lieferkettengesetz im Einkauf: Die Vertragsklauseln für Lieferverträge” erläutert.