LkSG ab 1.000 Mitarbeitern: Pflichtenkatalog 2024 und Übergang zur CSDDD

Seit dem 1. Januar 2024 gilt das Lieferkettensorgfaltspflichtengesetz (LkSG) nach § 1 Absatz 1 Nummer 2 auch für Unternehmen mit mindestens 1.000 im Inland beschäftigten Arbeitnehmern. Damit hat sich der Anwendungskreis von rund 700 Unternehmen (Schwelle 3.000) auf knapp 2.900 Unternehmen erweitert. Verstöße werden vom Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) mit Bußgeldern bis 8 Millionen Euro oder 2 Prozent des Jahresumsatzes geahndet.

Die elf Sorgfaltspflichten nach § 3 LkSG sind keine reine Berichtspflicht. Sie verlangen einen operativen Aufbau aus Grundsatzerklärung, Risikoanalyse, Präventionsmaßnahmen, Beschwerdeverfahren und jährlicher BAFA-Berichterstattung. Dieser Beitrag liefert die strukturierte Übersicht und zeigt, wie die Umsetzung bis zum Übergang in die EU-CSDDD ab Juli 2027 anschlussfähig bleibt.

Nach § 1 Absatz 1 LkSG fällt ein Unternehmen unter das Gesetz, wenn es im Inland mindestens 1.000 Arbeitnehmer beschäftigt. Die Zählung erfolgt auf Hauptverwaltungs-, Niederlassungs- oder Sitz-Ebene und umfasst Leiharbeitnehmer, wenn deren Einsatzdauer sechs Monate übersteigt. Konzernzugehörige Tochtergesellschaften werden separat betrachtet, sofern sie nicht zentral gesteuert sind.

Die Mitarbeiterschwelle wird stichtagsbezogen auf den 1. Januar des Berichtsjahres geprüft. Auslandsmitarbeiter zählen nicht, wohl aber im Inland eingesetzte Mitarbeitende ausländischer Konzerngesellschaften. Die Schwelle ist absolut, eine Toleranzregel existiert nicht. Wer am Stichtag 999 inländische Mitarbeiter hat, fällt nicht unter das Gesetz, wer 1.000 hat, ist voll betroffen.

Die BAFA-Liste der LkSG-pflichtigen Unternehmen wird nicht öffentlich geführt. Verantwortung für die korrekte Selbsteinordnung liegt beim Unternehmen. Falsche Einordnung kann später als Verstoß nach § 24 LkSG geahndet werden, mit Bußgeldern bis 8 Millionen Euro oder 2 Prozent des Jahresumsatzes.

Mit der Erweiterung des Anwendungskreises 2024 sind etwa 2.200 weitere Unternehmen hinzugekommen, viele davon im Mittelstand. Diese Unternehmen mussten innerhalb von zwölf Monaten eine vollständige LkSG-Compliance aufbauen, von der Grundsatzerklärung über die Risikoanalyse bis zum BAFA-Bericht.

Eine strukturierte Übersicht der LkSG-Rolle und der operativen Aufgaben des Menschenrechtsbeauftragten finden Sie auf der CIVAC-Rollenseite Lieferkettenbeauftragter. Die Bestellung dieser Funktion ist nach § 4 Absatz 3 LkSG verpflichtend.

§ 3 Absatz 1 LkSG listet die Sorgfaltspflichten in elf Nummern. Erstens: Einrichtung eines Risikomanagements (§ 4). Zweitens: Festlegung einer betriebsinternen Zuständigkeit (§ 4 Absatz 3, Bestellung eines Menschenrechtsbeauftragten). Drittens: Durchführung regelmäßiger Risikoanalysen (§ 5).

Viertens: Abgabe einer Grundsatzerklärung (§ 6). Fünftens: Verankerung von Präventionsmaßnahmen im eigenen Geschäftsbereich und gegenüber unmittelbaren Zulieferern (§ 6 Absatz 3 und 4). Sechstens: Ergreifen von Abhilfemaßnahmen (§ 7). Siebtens: Einrichtung eines Beschwerdeverfahrens (§ 8).

Achtens: Umsetzung von Sorgfaltspflichten in Bezug auf Risiken bei mittelbaren Zulieferern (§ 9). Neuntens: Dokumentation und Berichterstattung (§ 10). Zehntens: jährliche Überprüfung der Wirksamkeit. Elftens: Aktualisierung bei wesentlichen Veränderungen der Risikolage.

Die Pflichten sind grundsätzlich auf den eigenen Geschäftsbereich und unmittelbare Zulieferer (Tier-1) bezogen. Bei mittelbaren Zulieferern (Tier-2 und darüber hinaus) greifen die Pflichten erst bei substantiierter Kenntnis konkreter Verstöße. Die Auslegung dieser Schwelle ist in der BAFA-Aufsichtspraxis weiter konkretisiert worden.

Aus den elf Pflichten ergeben sich vier zentrale Artefakte: Grundsatzerklärung, Risikoanalyse-Bericht, Beschwerdeverfahrensbeschreibung und jährlicher BAFA-Bericht. Diese vier Dokumente sind das Mindest-Set, das jeder LkSG-pflichtige Betrieb belegbar führen muss. Audit-fest, dokumentiert, § 3-fest.

Die Risikoanalyse nach § 5 LkSG ist das operative Herzstück. Sie umfasst eine systematische Identifikation und Bewertung menschenrechtlicher und umweltbezogener Risiken im eigenen Geschäftsbereich und bei unmittelbaren Zulieferern. Die Analyse erfolgt mindestens jährlich und anlassbezogen bei wesentlichen Veränderungen.

Methodisch verlangt das BAFA einen risikobasierten Ansatz, der branchenspezifische Risiken, länderbezogene Risiken und produktspezifische Risiken kombiniert. Branchenspezifische Risiken werden über Listen wie die OECD Due Diligence Guidance erfasst, länderbezogene Risiken über Indizes wie den Children's Rights and Business Atlas oder den Global Slavery Index.

Reichweite: Die Analyse muss alle unmittelbaren Zulieferer abdecken, die für das Unternehmen tätig sind, unabhängig von Umsatzanteil oder Bestellvolumen. Bei sehr großen Lieferantenbeständen ist eine Stratifizierung möglich, die hochpriorisierte Lieferanten vollständig und weniger kritische in Stichproben analysiert. Die Stratifizierungs-Logik selbst muss dokumentiert sein.

Die zwölf LkSG-Risiken aus § 2 Absatz 2 und 3 umfassen Kinderarbeit, Zwangsarbeit, Sklaverei, Missachtung von Arbeitsschutz, Verstoß gegen Koalitionsfreiheit, Diskriminierung, Lohnnichtzahlung, weitere Arbeitsrechte sowie umweltbezogene Risiken nach Minamata-, Stockholm- und Basler Übereinkommen.

Im CIVAC Workspace ist die Risikoanalyse als Audit-Vorlage hinterlegt: Lieferantenstamm, Risikomatrix, Bewertungsraster, Eskalations- und Maßnahmenkatalog. Der Lieferanten-Audit-Workflow verbindet Risikoanalyse direkt mit der Lieferanten-Auditor-Rolle und schließt den Kreis zur operativen Lieferkettensteuerung.

§ 8 LkSG verpflichtet zur Einrichtung eines Beschwerdeverfahrens, das sowohl eigene Mitarbeitende als auch Personen entlang der Lieferkette nutzen können. Das Verfahren muss zugänglich, vertraulich, unparteiisch und ohne Repressalien zugänglich sein. Eine bloße Email-Adresse oder ein internes Telefon erfüllt diese Anforderungen nicht.

Die Mindestanforderungen umfassen: schriftliche Verfahrensordnung, klar benannte Verantwortliche, Vertraulichkeitszusage, Eingangsbestätigung innerhalb von sieben Tagen, regelmäßige Statusinformationen, dokumentierte Bearbeitung und Schutz vor Repressalien. Die Verfahrensordnung muss öffentlich zugänglich sein.

Sprachen: Das Beschwerdeverfahren muss in den Sprachen verfügbar sein, die in der relevanten Lieferkette gesprochen werden. Für Unternehmen mit Lieferanten in Bangladesch, Vietnam oder Mexiko bedeutet das auch Bangla, Vietnamesisch und Spanisch. Eine rein deutsch- oder englischsprachige Hotline genügt nicht.

Es bestehen Überschneidungen mit dem Hinweisgeberschutzgesetz (HinSchG). Wer nach HinSchG bereits eine interne Meldestelle führt, kann diese um LkSG-relevante Themen erweitern. Aber Achtung: HinSchG-Meldestellen sind primär für eigene Mitarbeitende. Das LkSG-Beschwerdeverfahren muss explizit auch für externe Personen zugänglich sein.

Im Workspace ist das Beschwerdeverfahren als kombinierte Audit-Vorlage mit HinSchG-Meldestelle hinterlegt. Eingangsbestätigungen, Statusinformationen und Bearbeitungsdokumentation laufen über dieselbe Plattform. Der Prüfer ruft an, der Nachweis liegt bereit. Die Berichtslinie zur Geschäftsführung ist eingebaut.

§ 10 Absatz 2 LkSG verpflichtet zur jährlichen Berichterstattung an das BAFA. Die Frist beträgt vier Monate nach Geschäftsjahresende. Für Geschäftsjahr 2024 war der Bericht bis spätestens 30. April 2025 einzureichen, sofern das Geschäftsjahr dem Kalenderjahr entspricht.

Der Bericht erfolgt über das BAFA-Berichtsfragebogen-Portal und umfasst sieben Pflichtfelder: Beschreibung des Risikomanagements, Ergebnisse der Risikoanalyse, ergriffene Präventionsmaßnahmen, ergriffene Abhilfemaßnahmen, Beschwerdeverfahren, Sorgfaltspflichten bei mittelbaren Zulieferern, Bewertung der Wirksamkeit.

Häufige Fehler: Erstens, oberflächliche Risikoanalyse-Beschreibung ohne konkrete Lieferantenkategorien. Zweitens, generische Präventionsmaßnahmen ohne Bezug zu den identifizierten Risiken. Drittens, fehlende Statistik zum Beschwerdeverfahren (Anzahl Eingänge, Anzahl bearbeitet, Anzahl mit Maßnahmen). Viertens, keine dokumentierte Wirksamkeitsprüfung.

Das BAFA prüft die Berichte stichprobenhaft und nachgelagert. Festgestellte Mängel werden zunächst mit Auflagen versehen, bei Wiederholung mit Bußgeldern. 2024 hat das BAFA 38 förmliche Prüfverfahren eröffnet, 2025 voraussichtlich über 100. Die Aufsichtsintensität nimmt mit dem erweiterten Anwendungskreis zu.

Der erste Bericht ist regelmäßig der schwierigste. Erfahrene externe Lieferkettenbeauftragte reduzieren die Vorbereitungszeit von 8 bis 12 Wochen auf 3 bis 5 Wochen, weil die Inhaltsstruktur, Bewertungsmaßstäbe und typischen BAFA-Erwartungen bekannt sind.

§ 24 LkSG sieht Bußgelder bis 8 Millionen Euro oder 2 Prozent des durchschnittlichen Jahresumsatzes der letzten drei Geschäftsjahre vor, je nachdem, welcher Betrag höher ist. Die Bußgelder können vorsätzliche und fahrlässige Verstöße erfassen. Bei Konzernen wird der konsolidierte Konzernumsatz herangezogen.

Zusätzlich kann das BAFA nach § 22 LkSG einen Ausschluss von der Vergabe öffentlicher Aufträge bis zu drei Jahre verhängen. Diese Sanktion wirkt für Unternehmen mit öffentlichen Auftraggebern als Bayer, Bundeswehr, Bahn oder kommunalen Stellen besonders einschneidend, oft schwerer als das Bußgeld selbst.

Zivilrechtlich begründet das LkSG ausdrücklich keine eigenen Anspruchsgrundlagen für Betroffene (§ 3 Absatz 3 Satz 1 LkSG). Die Möglichkeit der besonderen Prozessstandschaft nach § 11 LkSG erlaubt aber NGOs und Gewerkschaften, im Namen Betroffener Klagen gegen deutsche Unternehmen zu führen, was 2024 in zwei bekannten Fällen genutzt wurde.

Reputationsrisiken sind nicht zu unterschätzen. Das BAFA veröffentlicht Bußgeldentscheidungen nach Bestandskraft. Negative Schlagzeilen wirken sich auf Kundenbeziehungen, Versicherungsprämien und ESG-Ratings aus. Wer ein offenes Bußgeldverfahren hat, wird von vielen institutionellen Investoren auf rote Listen gesetzt.

Frist läuft ab Kenntnis. Wer auf eine BAFA-Anfrage nicht innerhalb der gesetzten Frist (typischerweise vier Wochen) substantiiert antwortet, riskiert eine Eskalation in das förmliche Bußgeldverfahren. Eine externe Begleitung der BAFA-Kommunikation reduziert dieses Risiko spürbar.

Unternehmen, die seit 1. Januar 2024 erstmals unter das LkSG fallen und noch keine vollständige Compliance aufgebaut haben, sollten einen strukturierten 90-Tage-Plan verfolgen. Tag 1 bis 14: Bestellung eines Menschenrechtsbeauftragten nach § 4 Absatz 3, Berichtslinie zur Geschäftsführung, Grundsatzerklärung verabschieden.

Tag 15 bis 45: Risikoanalyse im eigenen Geschäftsbereich und bei unmittelbaren Zulieferern. Lieferantenstamm konsolidieren, Risikomatrix aufbauen, Top-30-Prozent-Lieferanten vertieft analysieren. Branchen- und Länderrisiken aus offiziellen Quellen integrieren. Dokumentation der Methodik schriftlich anlegen.

Tag 46 bis 70: Beschwerdeverfahren aufsetzen oder bestehendes HinSchG-Verfahren erweitern, Verfahrensordnung verabschieden, Mehrsprachigkeit prüfen, technische Plattform implementieren. Präventionsmaßnahmen für identifizierte Risiken planen, Verträge mit kritischen Zulieferern um LkSG-Klauseln ergänzen.

Tag 71 bis 90: Wirksamkeitsprüfung-Routine implementieren, Schulungen für Einkauf, Vertragsmanagement und Compliance durchführen, Vorbereitung des ersten BAFA-Berichts strukturieren. Interne Audits der LkSG-Prozesse durchführen, Findings dokumentieren, Maßnahmen einleiten.

CIVAC ist eine Compliance-Plattform und Officer-as-a-Service. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle setzen einen 90-Tage-Plan strukturiert um, mit allen Vorlagen, Berichtslinien und Audit-Pfaden eines ISO/IEC 27001:2022-zertifizierten Systems.

Die EU-Lieferkettenrichtlinie (Corporate Sustainability Due Diligence Directive, CSDDD) wurde am 13. Juni 2024 verabschiedet und tritt in Mitgliedstaaten gestuft in Kraft. Für sehr große Unternehmen ab 5.000 Mitarbeitern und 1,5 Milliarden Euro Umsatz gilt sie ab Juli 2027, für Unternehmen ab 3.000 Mitarbeitern und 900 Millionen Euro ab Juli 2028, ab 1.000 Mitarbeitern und 450 Millionen Euro ab Juli 2029.

Die CSDDD verschärft das LkSG in mehreren Punkten: Sie erstreckt sich auf die gesamte Wertschöpfungskette (nicht nur Tier-1 plus substantiierte Kenntnis), führt eine zivilrechtliche Haftung gegenüber Betroffenen ein, verlangt einen Klimaplan im Einklang mit dem 1,5-Grad-Ziel und setzt schärfere Sanktionsmaßstäbe.

Die Umsetzung in nationales deutsches Recht wird voraussichtlich in einer Novelle des LkSG erfolgen, mit Anwendungsbeginn frühestens Juli 2027 für die größten Unternehmen. In der Übergangszeit gilt das bestehende LkSG fort, mit angekündigter Schärfung beim BAFA-Aufsichtsverhalten.

Wer LkSG-Compliance heute belastbar aufgebaut hat, erfüllt etwa 70 Prozent der CSDDD-Anforderungen. Die zusätzlichen 30 Prozent betreffen vor allem die erweiterte Reichweite auf die gesamte Wertschöpfungskette, den Klimaplan und die zivilrechtliche Klagbarkeit. Diese Elemente sind ab 2025 vorbereitbar.

Im Workspace ist das CSDDD-Mapping bereits hinterlegt. Pro LkSG-Pflicht wird dokumentiert, welche zusätzlichen CSDDD-Anforderungen abzudecken sind, mit Vorlauf-Indikator pro Quartal. So bleibt die Compliance-Investition heute auch für den 2027er Übergang werthaltig.

LkSG ist kein Papier-Akt, sondern eine operative Disziplin. Risikoanalyse, Beschwerdeverfahren und BAFA-Berichterstattung verlangen kontinuierliche Pflege, klare Berichtslinien und belastbare Dokumentation. Wer die Compliance nebenher führt, scheitert spätestens am ersten BAFA-Prüfverfahren oder an einer NGO-Anfrage.

CIVAC ist eine Compliance-Plattform und Officer-as-a-Service mit zwei klar getrennten Modellen. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Wege liefern die volle LkSG-Struktur: Grundsatzerklärung, Risikoanalyse-Vorlagen, Beschwerdeverfahren, BAFA-Berichtsstruktur, Wirksamkeitsprüfung.

Modell eins, Workspace-Lizenz: Ihr eigener Menschenrechtsbeauftragter und der Einkauf nutzen die Plattform für Lieferantenstammdaten, Risikomatrix, Bewertung, Maßnahmenkatalog und BAFA-Berichtsentwurf. Die EU-Datenresidenz schützt vertrauliche Lieferantendaten im ISO 27001:2022-zertifizierten ISMS.

Modell zwei, Officer-as-a-Service: CIVAC bestellt einen externen Lieferkettenbeauftragten, der die LkSG-Compliance end-to-end verantwortet. Bestellurkunde innerhalb zwei Werktagen, Risikoanalyse-Methodik in vier Wochen aufgesetzt, erster BAFA-Bericht koordiniert eingereicht.

Beide Modelle bereiten zugleich den CSDDD-Übergang ab 2027 vor. Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de für ein strukturiertes Erstgespräch zur LkSG-Compliance.