Lieferkettengesetz und EU-CSDDD im Überblick

Was regelt das Lieferkettengesetz?

Der Maßstab der Sorgfalt ist in § 3 Abs. 2 LkSG festgelegt: Eine Maßnahme ist angemessen, wenn sie dem Art und Umfang der Geschäftstätigkeit, dem Einflussvermögen auf den Verursacher, der typischerweise zu erwartenden Schwere der Verletzung und der Art des Verursachungsbeitrags entspricht. Diese Relativierung ist zugleich die eigentliche Compliance-Aufgabe, denn sie verlangt Priorisierung statt Flächendeckung.

Die aktuelle Rechtslage wird von zwei Entwicklungen geprägt. Auf nationaler Ebene hat der Gesetzgeber eine Entlastungsnovelle auf den Weg gebracht, die die jährliche Berichtspflicht rückwirkend streicht und Bußgelder auf schwerwiegende Verstöße konzentriert. Auf europäischer Ebene wurde die Lieferkettenrichtlinie CSDDD durch das erste Omnibus-Paket grundlegend umgestaltet: Künftig unterliegen nur noch sehr große Unternehmen der Regelung, die am 26. Juli 2029 in Kraft tritt. Im Folgenden werden beide Entwicklungen entlang der Systematik des Gesetzes erörtert.

Wer ist vom Lieferkettengesetz betroffen?

Der Anwendungsbereich ergibt sich aus § 1 LkSG. Erfasst sind Unternehmen jeder Rechtsform mit Hauptverwaltung, Hauptniederlassung, Verwaltungssitz oder satzungsmäßigem Sitz in Deutschland, die in der Regel mindestens 1.000 Arbeitnehmer im Inland beschäftigen. Im ersten Geltungsjahr 2023 lag die Schwelle noch bei 3.000 Arbeitnehmern, seit dem 1. Januar 2024 gilt jedoch der abgesenkte Wert. Ebenfalls erfasst sind ausländische Unternehmen, die eine Zweigniederlassung nach § 13d HGB in Deutschland unterhalten und hier die Beschäftigtenschwelle erreichen. Anders als bei der europäischen Richtlinie kommt es nicht auf den Umsatz an.

Bei der Berechnung dieser Schwelle ist Sorgfalt geboten. Ins Ausland entsandte Arbeitnehmer zählen mit, ebenso Leiharbeitnehmer bei einer Einsatzdauer von mehr als sechs Monaten. Vor allem ordnet jedoch § 1 Abs. 3 LkSG eine Konzernbetrachtung an. Innerhalb verbundener Unternehmen werden die im Inland beschäftigten Arbeitnehmer sämtlicher konzernangehöriger Gesellschaften bei der Obergesellschaft berücksichtigt. Somit kann eine Holding mit schlanker eigener Struktur betroffen sein, obwohl keine einzelne Konzerngesellschaft die Schwelle erreicht. Für Gruppen mit Matrixstrukturen empfiehlt sich eine dokumentierte Zählung zu einem definierten Stichtag. Denn die Betroffenheitsprüfung ist der erste Punkt, den das BAFA bei einer Kontrolle nachvollzieht.

Gilt das LkSG auch für kleinere Unternehmen?

Unmittelbar verpflichtet sind nur Unternehmen, die die Schwelle überschreiten. Faktisch reicht das Gesetz jedoch erheblich weiter, da die Verpflichteten ihre Sorgfaltsanforderungen vertraglich an ihre Zulieferer weitergeben müssen. Als Präventionsmaßnahme gegenüber unmittelbaren Zulieferern nennt § 6 Abs. 4 LkSG ausdrücklich die vertragliche Zusicherung, die menschenrechtsbezogenen Erwartungen einzuhalten und entlang der Lieferkette zu adressieren. Dies ist flankiert von Schulungen und vertraglich vereinbarten Kontrollmechanismen.

Für den Mittelstand bedeutet das: Unternehmen, die Konzerne beliefern, müssen Lieferantenkodizes, Auditklauseln, Selbstauskunftsfragebögen und Weitergabeverpflichtungen unterzeichnen, obwohl sie nicht Adressaten des Gesetzes sind. Diese Klauseln sind verhandelbar – und das sollte auch geschehen. Pauschale Zusicherungen für die gesamte vorgelagerte Kette, verschuldensunabhängige Freistellungen oder Auditrechte ohne Ankündigungsfrist gehen in der Regel über das hinaus, was das LkSG vom Besteller selbst verlangt. Welche Klauseln akzeptabel sind und wo Zulieferer Gegenwehr leisten sollten, wird in unserem Beitrag zu den Vertragsklauseln zum Lieferkettengesetz im Einkauf vertieft behandelt. Zur strategischen Aufstellung des Einkaufs verweisen wir auf unsere Seite „Beschaffung, Liefer- und Vertriebsrecht”.

Welche Rechtsgüter schützt das Gesetz?

Die geschützten Rechtspositionen sind in § 2 LkSG durch Verweis auf internationale Übereinkommen definiert, darunter die ILO-Kernarbeitsnormen. Zu den menschenrechtlichen Risiken zählen unter anderem Kinderarbeit, Zwangsarbeit und alle Formen der Sklaverei, die Missachtung von Arbeitsschutz und Koalitionsfreiheit, Ungleichbehandlung in Beschäftigung, das Vorenthalten eines angemessenen Lohns sowie schädliche Boden-, Wasser- und Luftveränderungen, soweit sie menschliche Grundbedürfnisse beeinträchtigen.

Daneben treten eigenständige umweltbezogene Pflichten in Kraft. Diese knüpfen an drei Abkommen an: das Minamata-Übereinkommen über Quecksilber, das Stockholmer Übereinkommen über persistente organische Schadstoffe (POP) sowie das Basler Übereinkommen über grenzüberschreitende Verbringung gefährlicher Abfälle. Für Unternehmen der Chemie-, Elektronik- und Entsorgungsbranche stellt dies ein eigenes Prüffeld dar, das in der Praxis hinter den menschenrechtlichen Themen häufig zurücktritt, vom BAFA aber gleichrangig kontrolliert wird.

Welche Pflichten verlangt das LkSG konkret?

Der Pflichtenkatalog ist in § 3 Abs. 1 LkSG festgelegt. Er umfasst im Kern Folgendes:

• Die Einrichtung eines Risikomanagements mit einer festgelegten betriebsinternen Zuständigkeit, beispielsweise in Form eines Menschenrechtsbeauftragten, ist in § 4 geregelt.
• Regelmäßige, mindestens jährliche sowie anlassbezogene Risikoanalysen (§ 5).
• Die Verabschiedung einer Grundsatzerklärung zu Menschenrechtsstrategien und Präventionsmaßnahmen im eigenen Geschäftsbereich sowie gegenüber unmittelbaren Zulieferern (§ 6).
• Abhilfemaßnahmen bei eingetretenen oder unmittelbar bevorstehenden Verletzungen (§ 7)
• Ein Beschwerdeverfahren, das auch Externen offensteht (§ 8).
• die anlassbezogene Umsetzung von Sorgfaltspflichten gegenüber mittelbaren Zulieferern gemäß § 9.
• Die fortlaufende interne Dokumentation ist in § 10 Abs. 1 geregelt.

Da der Aufzählung die Systematik nicht anzusehen ist, soll sie hier benannt werden: Die Risikoanalyse bildet das Fundament, aus dem sich alle weiteren Maßnahmen ableiten. Wer Prioritäten falsch setzt und beispielsweise sämtliche Lieferanten mit identischen Fragebögen überzieht, statt nach Branche, Beschaffungsland und Einflussmöglichkeit zu gewichten, verfehlt die Angemessenheitslogik des Gesetzes in beide Richtungen. Er betreibt Aufwand ohne Erkenntnisgewinn und übersieht zugleich die tatsächlichen Hochrisikofelder. Die Wirksamkeit von Präventions- und Abhilfemaßnahmen ist regelmäßig zu überprüfen. Dabei sind Erkenntnisse aus dem Beschwerdeverfahren zu berücksichtigen.

Abgestufte Verantwortung: eigener Geschäftsbereich, unmittelbare und mittelbare Zulieferer

Das LkSG staffelt die Pflichtenintensität nach der Nähe zum Risiko. Im eigenen Geschäftsbereich – zu dem im Konzern unter Umständen auch Tochtergesellschaften zählen – muss eine Abhilfemaßnahme bei einer Verletzung im Inland zur Beendigung der Verletzung führen. Bei unmittelbaren Zulieferern, also den eigenen Vertragspartnern, gelten die vollen Präventions- und Abhilfepflichten. Lässt sich eine schwerwiegende Verletzung nicht in absehbarer Zeit beenden, verlangt § 7 Abs. 2 LkSG ein Konzept mit konkretem Zeitplan. Der Abbruch der Geschäftsbeziehung ist als letztes Mittel vorgesehen, etwa wenn die Umsetzung des Konzepts keine Abhilfe bewirkt und mildere Mittel nicht zur Verfügung stehen.

Gegenüber mittelbaren Zulieferern, mit denen keine Vertragsbeziehung besteht, greifen die Pflichten nach § 9 Abs. 3 LkSG nur anlassbezogen. Das bedeutet: Erlangt das Unternehmen substantiierte Kenntnis von einer möglichen Verletzung, muss es eine Risikoanalyse durchführen, Präventionsmaßnahmen gegenüber dem Verursacher verankern und ein Konzept zur Verhinderung, Beendigung oder Minimierung erstellen. „Substantiierte Kenntnis” liegt vor, wenn tatsächliche Anhaltspunkte eine Verletzung möglich erscheinen lassen. Dafür genügen regelmäßig Berichte von Nichtregierungsorganisationen über eine Beschaffungsregion oder Medienberichte über einen Vorlieferanten. Ein Hinweis verdient Beachtung: Das Gesetz behandelt Umgehungskonstruktionen, bei denen ein unmittelbarer Zulieferer nur zwischengeschaltet wird, als unmittelbare Zulieferbeziehung.

Welche Sanktionen drohen bei Verstößen?

Das BAFA kontrolliert risikobasiert und auf Beschwerden hin. Es kann Auskünfte verlangen, Geschäftsräume betreten und konkrete Handlungen zur Pflichterfüllung anordnen, deren Durchsetzung mit einem Zwangsgeld von bis zu 50.000 Euro möglich ist (§ 23 LkSG). § 24 LkSG bewehrt Ordnungswidrigkeiten mit gestaffelten Bußgeldern, die je nach verletzter Pflicht bis zu 100.000, 500.000 oder 800.000 Euro erreichen können. Bei Unternehmen mit einem durchschnittlichen Jahresumsatz von mehr als 400 Millionen Euro kann das Bußgeld bei bestimmten schwerwiegenden Verstößen zudem bis zu zwei Prozent des durchschnittlichen weltweiten Jahresumsatzes betragen.

Für viele Unternehmen ist die Folge des § 22 LkSG empfindlicher als das Bußgeld selbst: Ab einem rechtskräftig festgesetzten Bußgeld von 175.000 Euro sollen sie für bis zu drei Jahre von der Vergabe öffentlicher Aufträge ausgeschlossen werden. Für Anbieter, die ein relevantes Geschäft mit der öffentlichen Hand haben, ist dieses Ausschlussrisiko der eigentliche Hebel des Gesetzes. Eine zivilrechtliche Haftung begründet das LkSG dagegen nicht: § 3 Abs. 3 LkSG stellt klar, dass die Verletzung der Pflichten aus dem Gesetz keine eigenständige zivilrechtliche Haftung auslöst. Eine unabhängig davon begründete Haftung, etwa aus Deliktsrecht, bleibt bestehen. § 11 LkSG erlaubt Betroffenen zudem, inländische Gewerkschaften und Nichtregierungsorganisationen zur Prozessführung zu ermächtigen.

Berichtspflicht gestrichen: Was die LkSG-Novelle ändert

Ursprünglich verlangte § 10 Abs. 2 LkSG einen jährlichen Bericht über die Erfüllung der Sorgfaltspflichten, der spätestens vier Monate nach Ende des Geschäftsjahres beim BAFA einzureichen war. Diese Berichtspflicht ist Gegenstand der Entlastungsnovelle, die das Bundeskabinett am 3. September 2025 beschlossen hat und die der Bundestag im Januar 2026 in erster Lesung beraten hat. Demnach werden die Absätze 2 bis 4 des § 10 LkSG rückwirkend für Berichtszeiträume ab Januar 2023 gestrichen und Bußgelder sollen künftig nur noch bei schwerwiegenden Verstößen gegen die fortgeltenden Sorgfaltspflichten verhängt werden. Bereits im Oktober 2025 hat das BAFA mitgeteilt, die Prüfung von Unternehmensberichten einzustellen.

Diese Erleichterung sollte nicht überinterpretiert werden. Zwar wird die externe Berichtspflicht gestrichen, nicht jedoch die Sorgfaltspflichten: Risikoanalyse, Prävention, Abhilfe, Beschwerdeverfahren und die interne Dokumentation nach § 10 Abs. 1 LkSG gelten unverändert fort und das BAFA bleibt zur Kontrolle befugt. Wer die Novelle zum Anlass nimmt, sein Risikomanagement zurückzubauen, verwechselt den Wegfall eines Formulars mit dem Wegfall der Pflicht. Im Bußgeldfall wäre gerade die Dokumentation das zentrale Verteidigungsmittel. Da das Gesetzgebungsverfahren bei Redaktionsschluss noch nicht abgeschlossen war, sollten betroffene Unternehmen den genauen Zuschnitt der Sanktionsnorm im verkündeten Gesetz überprüfen.

Was ändert die EU-Lieferkettenrichtlinie (CSDDD)?

Die europäische Lieferkettenrichtlinie (Corporate Sustainability Due Diligence Directive, Richtlinie (EU) 2024/1760) sollte das Sorgfaltspflichtenrecht in der gesamten Union harmonisieren und ursprünglich Unternehmen mit mehr als 1.000 Beschäftigten und einem weltweiten Nettoumsatz von über 450 Millionen Euro erfassen. Mit dem ersten Omnibus-Paket hat der Unionsgesetzgeber die Richtlinie jedoch grundlegend umgebaut. Die entsprechende Änderungsrichtlinie (EU) 2026/470 wurde am 26. Februar 2026 im Amtsblatt veröffentlicht und ist am 18. März 2026 in Kraft getreten.

Drei Änderungen stechen hervor. Erstens der Anwendungsbereich: Künftig sind nur noch Unternehmen mit mehr als 5.000 Beschäftigten und einem weltweiten Nettoumsatz von über 1,5 Milliarden Euro erfasst. Die gestaffelten Anwendungswellen entfallen und die Pflichten gelten einheitlich ab dem 26. Juli 2029. Zweitens die Haftung: Das geplante, unionsweit harmonisierte Zivilhaftungsregime wurde gestrichen. Es bleibt beim nationalen Recht der Mitgliedstaaten. Drittens die Methodik: Wesentliche Sorgfaltspflichten, darunter die nun zweistufige Risikoanalyse aus Scoping und vertiefter Einzelbewertung, sind vollharmonisiert. Die Mitgliedstaaten dürfen insoweit weder strengere noch mildere Regeln vorsehen. Der Bußgeldrahmen der Richtlinie liegt bei bis zu drei Prozent des weltweiten Nettoumsatzes. Der deutsche Rahmen von derzeit zwei Prozent muss daher angepasst werden. Der ursprünglich vorgesehene Klimatransitionsplan ist vollständig entfallen.

Für die Umsetzung gelten zwei Fristen: Die inhaltlichen Änderungen müssen bis zum 19. März 2027 in nationales Recht überführt werden, die Regelungen zum Anwendungszeitpunkt bis zum 26. Juli 2028. In Deutschland ist angekündigt, das LkSG im Zuge der Umsetzung der Corporate Sustainability Due Diligence Directive (CSDDD) durch ein Gesetz über die internationale Unternehmensverantwortung abzulösen. Bis dahin bleibt das LkSG mit seiner 1.000er-Schwelle geltendes Recht. Somit werden deutsche Unternehmen unterhalb der neuen EU-Schwelle voraussichtlich länger und strenger reguliert als ihre europäischen Wettbewerber, sofern der deutsche Gesetzgeber die Schwellen nicht anhebt. Eine Überprüfung der Richtlinie, einschließlich der Schwellenwerte, ist bis zum 26. Juli 2031 vorgesehen.

Was Unternehmen jetzt tun sollten

Für unmittelbar Verpflichtete lautet die Aufgabe: Konsolidierung statt Neubau. Die bestehenden LkSG-Strukturen bilden weiterhin die Grundlage. Zu prüfen ist, inwiefern sie von den vollharmonisierten CSDDD-Vorgaben abweichen, insbesondere bei der Methodik der Risikoanalyse und beim Umgang mit eskalierenden Lieferantenfällen. Denn die Richtlinie ersetzt den Abbruch als letztes Mittel durch die Aussetzung der Geschäftsbeziehung mit begleitendem Maßnahmenplan. Eine Gap-Analyse mit Blick auf die Fristen von 2027 bis 2029 kann ohne Zeitdruck in die reguläre Compliance-Planung integriert werden.

Für mittelbar betroffene Zulieferer bleibt das Vertragsrecht der entscheidende Faktor. Lieferantenkodizes und Weitergabeklauseln sollten nicht ungeprüft unterzeichnet, sondern anhand des Gesetzes verhandelt werden. Was der Besteller selbst nicht schuldet, muss der Zulieferer nicht garantieren. Unsere Analyse der LkSG-Vertragsklauseln in Lieferverträgen zeigt die jeweiligen Verhandlungsspielräume im Einzelnen auf. Ausländische Unternehmensgruppen mit deutscher Zweigniederlassung sollten ihre Betroffenheit genau prüfen, bevor sie doppelte Compliance-Strukturen aufbauen. Zur passenden Struktur des Deutschland-Geschäfts siehe unseren Beitrag zur Wahl zwischen Zweigniederlassung und Tochtergesellschaft.

Rechtsstand: Juli 2026 Die LkSG-Novelle und die deutsche CSDDD-Umsetzung befinden sich noch im Gesetzgebungsprozess; maßgeblich ist jeweils der verkündete Gesetzestext.