ESG steht für: Environment, Social, Governance und die Pflichten dahinter

ESG steht für Environment, Social und Governance und ist seit der Richtlinie (EU) 2022/2464 (CSRD) der verbindliche Berichtsrahmen für rund 50.000 Unternehmen in der EU, in Deutschland nach Schätzungen des DRSC etwa 15.000. Das Kürzel ist damit kein Konzept mehr, sondern eine Rechtsnorm mit Wirtschaftsprüfer-Testierung.

Dieser Beitrag erklärt jede der drei Säulen einzeln, ordnet die jeweiligen Rechtsgrundlagen ein und zeigt, welche Rollen, Datenpunkte und Belegketten ein Unternehmen aufbauen muss. Der Fokus liegt auf operativer Belegbarkeit: Was muss in der Bestellurkunde stehen, welche Audit-Vorlagen werden benötigt und wo passt das duale CIVAC-Modell aus Workspace-Lizenz und Officer-as-a-Service?

Das Kürzel ESG taucht erstmals 2004 im UN-Global-Compact-Bericht Who Cares Wins auf und wurde dort als Investorenrahmen für nachhaltige Anlageentscheidungen geprägt. 2006 übernahmen die UN Principles for Responsible Investment das Kürzel, was zur breiten Adoption im Asset-Management-Bereich führte.

Die regulatorische Wende kam 2014 mit der Richtlinie 2014/95/EU (NFRD, Non-Financial Reporting Directive), die etwa 11.700 Unternehmen in der EU zu nichtfinanzieller Berichterstattung verpflichtete. Sie wurde 2024 durch die CSRD abgelöst, die den Anwenderkreis auf rund 50.000 Unternehmen erweitert.

Inhaltlich steht E für Environment (Umwelt), S für Social (Soziales) und G für Governance (Unternehmensführung). Diese Dreiteilung deckt sich mit der Logik der ESRS-Standards, die in ESRS E1 bis E5, S1 bis S4 und G1 jeweils die operativen Berichtsinhalte definieren.

Häufig wird ESG mit CSR (Corporate Social Responsibility) gleichgesetzt. Der Unterschied ist regulatorisch: CSR bezeichnet das freiwillige gesellschaftliche Engagement, ESG den verbindlichen Berichts- und Governance-Rahmen mit Kennzahlen, Wesentlichkeitsanalyse und Prüfungspflicht durch den Wirtschaftsprüfer.

Wer die Säulen operativ angehen will, beginnt mit der Rollenstruktur. Die CIVAC-Seite zum ESG- und Nachhaltigkeitsbeauftragten beschreibt Bestellurkunde, Aufgaben, Berichtslinie und das duale Modell aus Workspace-Lizenz und externem Beauftragten.

Damit ist die Eingangsfrage beantwortet: ESG steht für Environment, Social, Governance, ist seit 2024 EU-rechtlich verankert und löst CSR als verbindlichen Rahmen ab. Wer 2026 erstmals unter die Schwelle fällt, hat 12 bis 18 Monate Aufbauzeit für Datenmodell, Wesentlichkeit und Rolle.

Die Umwelt-Säule wird durch ESRS E1 bis E5 ausdifferenziert. ESRS E1 Klimawandel ist der mit Abstand wichtigste Standard und verlangt Scope-1-, Scope-2- und Scope-3-Emissionen nach GHG Protocol, einen Transition Plan zur Klimaneutralität und die Offenlegung physischer und transitorischer Klimarisiken nach TCFD-Logik.

ESRS E2 Umweltverschmutzung adressiert Emissionen in Luft, Wasser und Boden inklusive Mikroplastik. ESRS E3 Wasser und Meeresressourcen fordert Angaben zu Wasserentnahme, -verbrauch und Wassergefährdungsrisiken. ESRS E4 Biodiversität verlangt Standortbewertungen, ESRS E5 Kreislaufwirtschaft den Materialeinsatz und Recyclingquoten.

Quer dazu liegt die EU-Taxonomie nach Verordnung (EU) 2020/852 mit sechs Umweltzielen: Klimaschutz, Klimaanpassung, Wasser, Kreislaufwirtschaft, Umweltverschmutzung, Biodiversität. Für jedes Ziel sind technische Screening-Kriterien definiert, an denen die taxonomiekonforme Wirtschaftstätigkeit gemessen wird.

Die Datenintensität ist hoch: Allein ESRS E1 enthält rund 220 Datenpunkte, davon etwa 95 verpflichtend. Hinzu kommen die drei Taxonomie-Kennzahlen Umsatz, CapEx, OpEx, jeweils aufgespalten nach taxonomiefähig und taxonomiekonform und je Wirtschaftsaktivität.

Der CBAM-Mechanismus (Verordnung (EU) 2023/956) verlangt seit Oktober 2023 von Importeuren energieintensiver Güter (Zement, Eisen, Stahl, Aluminium, Düngemittel, Strom, Wasserstoff) eine vierteljährliche Berichterstattung über die eingebetteten Emissionen, ab 2026 ergänzt um eine Zertifikatpflicht.

Audit-fest, dokumentiert, § 289c-fest: Die Emissionsdaten müssen mit Energierechnungen, Lieferantendaten und ggf. Messprotokollen verknüpft sein. Eine reine Excel-Berechnung reicht nicht aus, die Prüfung verlangt eine Belegkette von der Quelldatei bis zum berichteten Datenpunkt mit Vier-Augen-Prinzip und Versionierung.

Die Sozial-Säule wird durch ESRS S1 bis S4 strukturiert. ESRS S1 Eigene Belegschaft verlangt detaillierte Angaben zu Geschlechterverteilung, Lohngleichheit (Gender Pay Gap), Tarifbindung, Arbeitsschutz, Arbeitsunfällen, Aus- und Weiterbildung sowie zum Anteil befristeter und Leiharbeitsverhältnisse.

ESRS S2 Wertschöpfungskette weitet die Berichtspflicht auf Arbeitskräfte in der Lieferkette aus, inhaltlich überlappt zu 70 bis 80 Prozent mit dem LkSG. Konkret verlangt sind Risikoanalysen, Beschwerdemechanismen und Abhilfemassnahmen bei Menschenrechtsverletzungen, Kinderarbeit und unangemessenen Arbeitsbedingungen.

ESRS S3 Betroffene Gemeinschaften adressiert lokale Folgen von Unternehmensaktivitäten, etwa Landnutzungsrechte, indigene Rechte oder Umsiedlungen. ESRS S4 Verbraucher und Endnutzer behandelt Produktsicherheit, faire Vertriebspraktiken, Datenschutz von Endkundendaten und Diskriminierungsfreiheit.

Das LkSG (Lieferkettensorgfaltspflichtengesetz seit 2024) verpflichtet Unternehmen ab 1.000 Mitarbeitenden zu Risikoanalyse, Präventionsmassnahmen, Beschwerdesystem und jährlicher Berichterstattung an das BAFA. Der Bericht ist separat einzureichen, inhaltlich aber konsistent zum ESRS-S2-Teil des Nachhaltigkeitsberichts.

Die Berichtslinie für Whistleblowing-Hinweise wird durch das HinSchG (Hinweisgeberschutzgesetz) geregelt und überlappt mit der CIVAC-Rolle der internen Meldestelle. Eingehende Hinweise zu Menschenrechts- oder Sozialthemen fliessen direkt in die ESRS-S-Datenpunkte und in den LkSG-Bericht.

Frist läuft ab Kenntnis: Sobald ein Hinweis eingeht, beginnen die Reaktionsfristen nach § 17 HinSchG (Eingangsbestätigung in 7 Tagen, Rückmeldung in 3 Monaten). Die Verknüpfung mit dem ESG-Bericht ist nicht optional, sondern Teil der Wesentlichkeitsanalyse und der Governance-Offenlegung.

Die Governance-Säule wird in ESRS G1 Geschäftsverhalten zusammengefasst und behandelt klassische Compliance-Themen mit ESG-Brille: Antikorruption und Bestechungsprävention, politische Einflussnahme und Lobbying, Beziehungen zu Lieferanten und Zahlungspraktiken sowie das Hinweisgebersystem nach HinSchG.

Zentral sind die Offenlegung der Antikorruptionspolitik nach OECD-Leitlinien, die Anzahl bestätigter Korruptionsvorfälle, die Höhe von Bussgeldern und die Durchschnittszahlungsfrist gegenüber KMU-Lieferanten. Diese Datenpunkte sind hart zu belegen und werden bei Erstprüfungen 2025 besonders häufig nachgefragt.

Hinzu kommen die übergreifenden Governance-Anforderungen aus ESRS 2: Zusammensetzung des Vorstands und Aufsichtsrats nach Geschlecht, Unabhängigkeit, ESG-Kompetenz, Sitzungsfrequenz des ESG-Komitees, Verknüpfung der Vorstandsvergütung mit Nachhaltigkeitszielen und Risikomanagement-Architektur.

Die G-Säule verzahnt sich strukturell mit dem klassischen Compliance-Beauftragten, der ohnehin Antikorruption, Hinweisgebersystem und Lieferantenbeziehungen verantwortet. Die Doppelung der Berichtspflichten lässt sich vermeiden, wenn beide Rollen auf das gleiche Datenmodell zugreifen.

Bestellurkunde, unterschrieben, abgelegt, belegbar: Der ESG-Beauftragte braucht ein dokumentiertes Mandat mit Schnittstelle zum Compliance-Beauftragten, idealerweise mit gemeinsamen Reporting-Terminen quartalsweise. Ohne diese Verzahnung produzieren beide Rollen redundante Daten und widersprüchliche Aussagen im Bericht.

Die Bussgeldsystematik ist scharf: Verstösse gegen § 130 OWiG (Aufsichtspflichtverletzung) können bis zu 10 Mio. Euro kosten, Fehler im Lagebericht nach § 334 HGB bis zu 250.000 Euro. Bei kapitalmarktorientierten Unternehmen kommt die Marktmissbrauchsverordnung (MAR) hinzu, was zusätzliche BaFin-Risiken nach WpHG erzeugt.

Die zwölf ESRS-Standards definieren zusammen 1.144 Datenpunkte, organisiert in qualitative Angaben (narrative Beschreibungen) und quantitative Metriken (Kennzahlen). Etwa 270 Datenpunkte sind verpflichtend unabhängig von der Wesentlichkeit, die übrigen 874 Datenpunkte werden über die Wesentlichkeitsanalyse gefiltert.

Die Wesentlichkeitsanalyse folgt dem Prinzip der doppelten Wesentlichkeit nach ESRS 1 Kapitel 3: Ein Thema ist berichtspflichtig, sobald es entweder finanziell wesentlich oder Impact-wesentlich ist. Beide Perspektiven sind methodisch gleichrangig zu prüfen und mit Stakeholder-Dialog zu unterlegen.

Die EFRAG-Implementierungsleitlinien empfehlen mindestens 30 bis 50 Stakeholder-Interviews und die Einbindung von mindestens fünf internen Funktionen: Finanzen, Einkauf, HR, Operations, Recht. Die Ergebnisse fliessen in eine Heatmap, die als Anlage zum Lagebericht offengelegt wird.

Datenflusstechnisch lassen sich drei Schichten trennen: Quellsysteme (ERP, HR, Energiemanagement, Lieferantenportal, Whistleblowing-Tool), Konsolidierungsschicht mit dokumentierten Transformationen und Reporting-Layer mit dem fertigen ESRS-Datapoint. Jede Transformation braucht Vier-Augen-Prinzip und Versionierung.

Der Prüfer ruft an, der Nachweis liegt bereit: Jeder ESRS-Datenpunkt sollte im Workspace mit Quellbeleg, Berechnungslogik, Verantwortlichem und Versionsdatum verknüpft sein. Die 490 Audit-Vorlagen von CIVAC bilden genau diese Belegkette ab, einschliesslich der für ESG relevanten Standardprüfschritte wie Wesentlichkeitsanalyse und Konsolidierungsregeln.

Wer das Datenmodell als Excel-Friedhof aufbaut, wird in der Erstprüfung 2025 mit hoher Wahrscheinlichkeit eine Findung wegen fehlender Datenqualität erhalten. Diese Findung ist nicht durch nachträgliche Strukturierung heilbar, sondern verlangt einen vollständigen Re-Lauf der Datenerhebung, was Wochen kostet.

ESG ohne benannte Rolle bleibt Folklore. Die ESRS schreiben zwar keine Rollenbezeichnung vor, fordern aber in ESRS 2 GOV-1 die Offenlegung der Governance-Struktur: Wer ist verantwortlich, wem wird berichtet, welche Kompetenz liegt im Aufsichts- oder Verwaltungsrat, wie oft tagt das ESG-Komitee, welche Eskalationsstufen sind definiert?

In der Praxis kristallisiert sich der ESG- oder Nachhaltigkeitsbeauftragte als Verantwortungsträger heraus, idealerweise auf Director- oder Bereichsleitungsebene. Eine Bestellurkunde nach Vorbild des § 7 BImSchG ist nicht gesetzlich gefordert, aber prüfungsdienlich und schafft eine eindeutige, schriftliche Verantwortungslinie.

Die Berichtslinie ist heikel: Wer beim Marketing-Bereich angedockt ist, verliert Glaubwürdigkeit. Best Practice ist die direkte Linie zum Vorstand oder zur Geschäftsführung, mit Eskalationsrecht an den Prüfungsausschuss des Aufsichtsrats, analog zur Stellung des Datenschutzbeauftragten nach Art. 38 DSGVO.

Das duale CIVAC-Modell trennt sauber: Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Im ersten Fall erhält Ihr ESG-Beauftragter eine vorkonfigurierte Umgebung mit 490 Audit-Vorlagen, ESRS-Datenmodell, Berichtslinie und Versionsverwaltung.

Im zweiten Fall stellt CIVAC einen externen ESG-Beauftragten mit Bestellurkunde, dokumentiertem Mandat und SLA von zwei Werktagen statt der branchenüblichen zwei bis sechs Wochen klassischer Kanzleibetreuung. Die operative Verantwortung wandert in eine spezialisierte Rolle, die Letztverantwortung der Geschäftsführung bleibt unberührt.

Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Genau dieser Unterschied bestimmt, ob ESG am Bilanzstichtag berichtsfähig und prüfungsfest ist oder ob das Projekt in einer Verschiebungsschleife endet, was bei rund einem Drittel der erstprüfenden Unternehmen 2025 der Fall war.

ESG steht selten allein. Das LkSG verlangt seit 2024 für Unternehmen ab 1.000 Mitarbeitenden eine Risikoanalyse der Lieferkette, einen BAFA-Jahresbericht und ein Beschwerdesystem. Inhaltlich überlappt das stark mit ESRS S2, der Bericht ist aber separat einzureichen und mit anderen Fristen verbunden.

Die EU-Taxonomie nach Verordnung (EU) 2020/852 verlangt für jede Wirtschaftsaktivität die Kennzahlen taxonomiefähiger und taxonomiekonformer Umsatz, CapEx und OpEx. Diese Kennzahlen sind Teil des Nachhaltigkeitsberichts nach CSRD, müssen aber nach den technischen Screening-Kriterien der Anhänge ermittelt werden.

Die CSDDD (Richtlinie (EU) 2024/1760) tritt ab 2027 in Stufen in Kraft, erweitert die Sorgfaltspflichten gegenüber LkSG auf die gesamte Wertschöpfungskette inklusive downstream und schafft eine zivilrechtliche Haftung der Muttergesellschaft. Damit verändert sich die Risikolage strukturell, nicht nur die Berichtslast.

Hinzu kommen sektorspezifische Verordnungen: SFDR (Sustainable Finance Disclosure Regulation) für Finanzdienstleister, CBAM für Importeure energieintensiver Güter, EUDR (Verordnung (EU) 2023/1115) für Importeure von Soja, Rindfleisch, Holz, Kaffee, Kakao, Palmöl und Kautschuk. Jede Verordnung schafft eigene Datenpunkte.

Die Praxis zeigt: Wer ESG-, LkSG-, Taxonomie- und CSDDD-Pflichten in separaten Projekten organisiert, baut redundante Strukturen mit identischen Daten und widersprüchlichen Aussagen. Eine integrierte Compliance-Plattform und Officer-as-a-Service verhindert genau das, indem alle Pflichtenkreise auf das gleiche Datenmodell zugreifen.

Die EFRAG hat in ihren Q&A 2025 mehrfach klargestellt, dass Konsistenz zwischen LkSG-Bericht, ESRS-Angaben und Taxonomie-Quoten geprüft wird. Inkonsistenzen führen regelmässig zu eingeschränktem Bestätigungsvermerk und damit zu öffentlicher Reputationsfolge im Bundesanzeiger, was bei kapitalmarktorientierten Unternehmen unmittelbar kursrelevant ist.

Neben ESG zirkulieren ähnliche Kürzel, die regulatorisch nicht gleichwertig sind. CSR (Corporate Social Responsibility) bezeichnet das freiwillige gesellschaftliche Engagement eines Unternehmens, ist aber kein Berichtsstandard. Mit der CSRD wurde CSR als verbindlicher Rahmen abgelöst, was zur Umbenennung vieler CSR-Reports in Nachhaltigkeitsberichte führte.

SRI (Socially Responsible Investing) ist ein Anlagekonzept, das ESG-Kriterien bei der Investitionsentscheidung berücksichtigt. SRI nutzt ESG-Daten, ist aber selbst kein Berichtsrahmen. Die SFDR (Sustainable Finance Disclosure Regulation, Verordnung (EU) 2019/2088) regelt seit 2021 die Offenlegungspflichten von Finanzdienstleistern, die SRI-Produkte vertreiben.

Impact Investing geht einen Schritt weiter und verlangt einen messbaren positiven Effekt auf Mensch und Umwelt. Die Standards dazu stammen vom GIIN (Global Impact Investing Network) und sind nicht EU-rechtlich verbindlich. Sie bauen aber auf ESG-Kennzahlen auf und nutzen die ESRS-Datenpunkte als Inputgrösse.

Greenwashing ist die häufigste Fehlanwendung der ESG-Begriffe und seit der EU-Greenwashing-Richtlinie 2024 ein Bussgeldtatbestand. Behauptungen wie klimaneutral, nachhaltig oder umweltfreundlich müssen mit nachprüfbaren Belegen unterlegt sein, andernfalls drohen Untersagungsverfügungen und Bussgelder nach UWG.

Wer ESG-Aussagen in der externen Kommunikation, im Marketing oder im Investorenmaterial verwendet, sollte die Belege im gleichen Workspace ablegen, der auch den ESG-Bericht trägt. Inkonsistenzen zwischen Marketingaussagen und Bericht werden bei Erstprüfungen häufig als Findung dokumentiert.

Bestellurkunde, unterschrieben, abgelegt, belegbar: Auch für ESG-Aussagen im Marketing braucht es eine schriftliche Freigabelogik, üblicherweise mit Vier-Augen-Prinzip durch ESG-Beauftragten und Rechtsabteilung. Dieser Schritt wird häufig unterschätzt, ist aber bei der zunehmenden Greenwashing-Aufsicht durch BaFin und Kartellamt wesentlich.

ESG steht für Environment, Social und Governance, ist seit 2024 durch die CSRD verbindlich geregelt und verlangt eine dokumentierte Wesentlichkeitsanalyse, ein integriertes Datenmodell, eine eindeutige Rolle mit Bestellurkunde sowie Audit-Vorlagen, die in der Prüfung in Minuten statt Wochen nachweisbar sind.

CIVAC adressiert genau diese Bausteine als Compliance-Plattform und Officer-as-a-Service. Der Workspace enthält 490 Audit-Vorlagen, 93 ISO-27001:2022-Controls für die IT-Seite, eine EU-Datenresidenz und eine NIS-2-fähige 24/72-Meldepfad-Logik, die bei Datenpannen auch für ESG-relevante Vorfälle nutzbar ist.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Im ersten Fall erhält Ihr ESG-Beauftragter eine vorkonfigurierte Umgebung mit ESRS-Datenmodell. Im zweiten Fall übernimmt ein externer Beauftragter mit Bestellurkunde, SLA von zwei Werktagen und direkter Berichtslinie an Ihre Geschäftsführung.

Die typischen Einstiegsfragen lauten: Welche CSRD-Welle, welche Schwellen nach § 267 HGB, welche Tochtergesellschaften im Konsolidierungskreis, welches Berichtsgeschäftsjahr, welche Vorjahresdaten existieren? Diese Fragen klären wir in einem strukturierten 45-Minuten-Erstgespräch, das mit einer schriftlichen Einordnung Ihrer Pflichtenlage endet.

Wer 2026 unter die CSRD-Schwelle fällt und noch kein Datenmodell hat, sollte spätestens im ersten Quartal entscheiden. Jede weitere Verzögerung verkürzt den Aufbau-Vorlauf, der mindestens zwölf Monate vor dem Bilanzstichtag liegen muss, sonst ist die Erstbefüllung der ESRS-Datapoints nicht testierungsfähig nach limited assurance.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de für ein strukturiertes Erstgespräch zu Ihrer ESG-Pflichtenlage, Rollenstruktur und der Frage Workspace-Lizenz oder externer Beauftragter.