Menschenrechtsbeauftragter: Pflicht nach § 4 Abs. 3 LkSG und Aufgabenprofil

Der Menschenrechtsbeauftragte ist seit dem Lieferkettensorgfaltspflichtengesetz (LkSG) eine formelle Rolle in deutschen Unternehmen. § 4 Abs. 3 LkSG verlangt, dass die Geschäftsleitung eine Person für die Überwachung des Risikomanagements festlegt und regelmäßig, mindestens jährlich, über deren Arbeit informiert wird. Die Pflicht trifft seit 1. Januar 2024 Unternehmen ab 1.000 Mitarbeitenden.

Dieser Beitrag erklärt, wer die Pflicht trifft, welche Aufgaben das Profil umfasst, wie die Bestellung formal erfolgt und wie die Compliance-Plattform und Officer-as-a-Service von CIVAC die Rolle absichert. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Das Lieferkettensorgfaltspflichtengesetz trat am 1. Januar 2023 für Unternehmen ab 3.000 Mitarbeitenden in Kraft und gilt seit 1. Januar 2024 ab 1.000 Mitarbeitenden in Deutschland. § 1 Abs. 1 LkSG definiert den Anwendungsbereich, § 2 listet menschenrechtliche und umweltbezogene Risiken auf.

§ 4 Abs. 3 LkSG verlangt: Die Geschäftsleitung legt fest, wer das Risikomanagement überwacht. Diese Person muss insbesondere bei Bestellung eines Menschenrechtsbeauftragten die Geschäftsleitung regelmäßig, mindestens einmal jährlich, über die Arbeit unterrichten.

Die Formulierung lässt zu, dass die Aufgabe auch durch eine andere Funktion übernommen werden kann, etwa den Compliance-Beauftragten oder den Leiter Nachhaltigkeit. In der Praxis hat sich der Begriff Menschenrechtsbeauftragter als eigenständige Rolle etabliert.

Ergänzend zur deutschen Regelung tritt voraussichtlich ab 2027 die EU-Lieferkettenrichtlinie (CSDDD) hinzu. Sie erweitert den Anwendungsbereich auf Unternehmen ab 1.000 Mitarbeitenden mit mindestens 450 Mio. Euro weltweitem Umsatz und verschärft die Pflichten in mehreren Punkten.

Auch Unternehmen unterhalb der Schwellenwerte werden über die Lieferkette mittelbar erfasst, weil große Auftraggeber die Sorgfaltspflichten vertraglich an Lieferanten weiterreichen. Cascade Effekt ist in der Praxis ein wesentlicher Treiber.

Der Anwendungsbereich erfasst auch ausländische Unternehmen mit Zweigniederlassung in Deutschland, sofern die Mitarbeiterzahl im Inland überschritten wird. § 1 Abs. 1 Nr. 2 LkSG stellt darauf ab.

Die Aufgaben des Menschenrechtsbeauftragten ergeben sich aus den Sorgfaltspflichten in §§ 3 bis 10 LkSG. Sie umfassen die Einrichtung eines Risikomanagements, die jährliche Risikoanalyse, Präventionsmaßnahmen, Abhilfemaßnahmen, ein Beschwerdeverfahren, Dokumentation und Berichterstattung.

Die Risikoanalyse nach § 5 LkSG erfolgt jährlich und anlassbezogen. Sie identifiziert menschenrechtliche und umweltbezogene Risiken im eigenen Geschäftsbereich und bei unmittelbaren Zulieferern. Bei substantiierter Kenntnis erstreckt sich die Analyse auch auf mittelbare Zulieferer.

Präventionsmaßnahmen nach § 6 LkSG umfassen die Verankerung der Menschenrechtsstrategie, Schulungen, vertragliche Zusicherungen mit Lieferanten und risikobasierte Kontrollen. Wirksamkeit muss überprüft und dokumentiert werden.

Abhilfemaßnahmen nach § 7 LkSG werden ergriffen, wenn ein Verstoß bereits eingetreten ist. Bei eigenen Geschäftsaktivitäten muss der Verstoß beendet werden, bei unmittelbaren Zulieferern ist ein Konzept zur Beendigung oder Minimierung erforderlich, ein Lieferantenwechsel ist ultima ratio.

Das Beschwerdeverfahren nach § 8 LkSG steht potenziell Betroffenen entlang der gesamten Lieferkette offen. Es ist niedrigschwellig, vertraulich und sprachlich zugänglich auszugestalten. Eine Verfahrensordnung wird öffentlich gemacht.

CIVAC verbindet diese Pflichten im Workspace. Risikoanalyse, Maßnahmen, Beschwerden und Bericht laufen in einem Workflow zusammen. Audit-fest, dokumentiert, § 4-LkSG-fest.

Anders als beim Datenschutz- oder Immissionsschutzbeauftragten schreibt das LkSG keine spezifische Form der Bestellung vor. § 4 Abs. 3 LkSG verlangt nur die Festlegung der Person. In der Praxis empfiehlt sich dennoch eine schriftliche Bestellurkunde, weil sie Aufgabenklarheit und Beweissicherung schafft.

Die Bestellurkunde enthält Name, Aufgabenbereich, Befugnisse, Berichtslinie zur Geschäftsleitung, Ressourcenzusage und Eskalationsweg. Eine Bestellung als reine Stellenbeschreibung im Organigramm reicht nicht aus, weil die individuelle Verantwortung benannt werden muss.

Die Berichtslinie zur Geschäftsleitung ist explizit gefordert. Mindestens einmal jährlich, häufig auch quartalsweise, berichtet der Beauftragte über Risikolage, getroffene Maßnahmen, Beschwerden und Wirksamkeitsprüfungen. Der Bericht wird protokolliert und in den Geschäftsbericht aufgenommen.

Eine organisatorische Aufhängung im Bereich Compliance, Recht oder Nachhaltigkeit ist üblich. Wichtig ist die Unabhängigkeit von operativen Einkaufsentscheidungen, damit der Beauftragte ohne Interessenkonflikt agieren kann.

Externe Bestellung ist zulässig und in vielen Unternehmen sinnvoll, weil die geforderte Fachbreite intern selten vorhanden ist. Der externe Officer wird mit Bestellurkunde und Vertrag installiert, Berichtslinie und Eskalationsweg bleiben zur internen Geschäftsleitung gerichtet.

CIVAC stellt qualifizierte externe Menschenrechtsbeauftragte als Officer-as-a-Service bereit. Die Bestellung liegt innerhalb der CIVAC-SLA von 2 Werktagen vor, mit Bestellurkunde und dokumentiertem Qualifikationsnachweis.

§ 10 LkSG verpflichtet zur jährlichen Berichterstattung an das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA). Der Bericht beschreibt identifizierte Risiken, Maßnahmen, Wirksamkeitsprüfung und Beschwerden. Er ist binnen vier Monaten nach Geschäftsjahresende einzureichen und öffentlich zugänglich zu machen.

Die Berichtsstruktur folgt einem Fragebogen, den das BAFA als ausfüllbares Formular bereitstellt. Insgesamt umfasst der Fragebogen rund 437 Felder, gegliedert in Pflichtfragen und freie Beschreibung. Die Vollständigkeit wird vom BAFA stichprobenartig geprüft.

Bei Mängeln im Bericht oder im Risikomanagement kann das BAFA Maßnahmen anordnen, Auskünfte verlangen und Bußgelder bis 800.000 Euro je Verstoß verhängen. Bei Unternehmen mit über 400 Mio. Euro Jahresumsatz greift zudem eine umsatzabhängige Sanktion.

Zusätzlich zur LkSG-Berichterstattung übernimmt der Menschenrechtsbeauftragte häufig Beiträge zum Nachhaltigkeitsbericht nach CSRD, speziell zu den ESRS S1 bis S4 (eigene Belegschaft, Lieferkettenbeschäftigte, betroffene Gemeinschaften, Verbraucher). Die Doppelfunktion entlastet die Organisation.

Externe Wirtschaftsprüfer testieren den CSRD-Bericht mit begrenzter Sicherheit. Die LkSG-Berichterstattung wird durch das BAFA geprüft, eine externe Auditpflicht besteht aktuell nicht, ist aber im Rahmen der CSDDD vorgesehen.

CIVAC führt den BAFA-Fragebogen im Workspace, mit Versionen, Belegen und Querverweisen zum CSRD-Bericht. Der Prüfer ruft an, der Nachweis liegt bereit.

§ 8 LkSG verlangt ein Beschwerdeverfahren, das Hinweisen aus der gesamten Lieferkette zugänglich ist. Anders als die Hinweisgeber-Meldestelle nach HinSchG ist das LkSG-Verfahren nicht auf Mitarbeiter beschränkt, sondern offen für Externe, Lieferantenarbeiter und betroffene Gemeinschaften.

Anforderungen sind Niederschwelligkeit, Vertraulichkeit, Sprachenvielfalt entlang der Beschaffungsregionen und der Schutz vor Repressalien gegen Hinweisgeber. Eine Verfahrensordnung muss öffentlich verfügbar sein und das Vorgehen erläutern.

Eine Eingangsbestätigung sollte binnen sieben Tagen, eine erste Rückmeldung binnen drei Monaten erfolgen, in Anlehnung an § 17 HinSchG. Die LkSG-Vorgaben sind weniger formstreng, in der Praxis hat sich der HinSchG-Standard durchgesetzt.

Die Bündelung von Hinweisgeber- und LkSG-Meldestelle ist organisatorisch sinnvoll, sofern die Verfahrensordnung beide Anwendungsbereiche klar trennt. Vertraulichkeit und Repressalienschutz gelten in beiden Verfahren.

Beschwerden müssen analysiert, dokumentiert und gegebenenfalls als Anlass für eine Risikoanalyse nach § 5 LkSG behandelt werden. Substantiierte Hinweise auf mittelbare Zulieferer lösen eine vertiefte Analyse aus.

CIVAC integriert die Meldestelle im Workspace mit verschlüsselter Eingabe, mehrsprachiger Oberfläche, Bearbeitungsfrist-Tracking und Audit-Trail. Frist läuft ab Kenntnis. Eingangsbestätigung und Rückmeldung werden automatisch dokumentiert.

Der Menschenrechtsbeauftragte arbeitet entlang vieler Schnittstellen. Personenbezogene Beschwerden, Beschäftigtenstammdaten von Lieferanten und Whistleblower-Informationen sind regelmäßig datenschutzrelevant nach DSGVO, insbesondere Art. 6 Abs. 1 lit. c und Art. 9.

Die Zusammenarbeit mit dem Datenschutzbeauftragten ist deshalb obligatorisch. Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO können erforderlich sein, etwa beim Einsatz von Lieferanten-Audit-Plattformen oder Beschwerdesoftware.

Im ESG-Kontext liefert der Menschenrechtsbeauftragte Daten und Bewertungen für die soziale Säule (S1 bis S4 der ESRS). Die Wesentlichkeitsanalyse nach CSRD übernimmt menschenrechtliche Risiken in die doppelte Materialitätsbetrachtung.

Compliance-Schnittstellen entstehen bei Korruptionsrisiken in Lieferketten, bei Kartellverstößen und bei Geldwäscheverdacht. § 6 GwG kann mit § 5 LkSG kollidieren, wenn risikobehaftete Lieferantenbeziehungen sowohl Korruptions- als auch Menschenrechtsrisiken aufweisen.

Bei IT-Systemen für Risikoanalyse und Meldestelle greift ISO/IEC 27001:2022. Die 93 Controls der Norm decken Zugriffsmanagement, Verschlüsselung, Backup, Lieferantensicherheit und Vorfallmanagement ab. EU-Datenresidenz reduziert datenschutzrechtliche Übertragungsrisiken.

CIVAC bündelt 25 Beauftragten-Rollen, alle live. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Die Berichtslinien laufen in einem konsolidierten Workflow zusammen.

Die EU-Richtlinie über die Sorgfaltspflichten von Unternehmen im Hinblick auf Nachhaltigkeit (CSDDD), beschlossen 2024, muss bis Mitte 2027 in deutsches Recht umgesetzt werden. Die Bundesregierung plant eine Anpassung des LkSG oder ein neues Stammgesetz.

Der Anwendungsbereich der CSDDD erfasst Unternehmen ab 1.000 Mitarbeitenden und 450 Mio. Euro weltweitem Umsatz. Ausländische Unternehmen mit entsprechendem EU-Umsatz fallen ebenfalls darunter. Die Schwellen werden gestaffelt über mehrere Jahre eingeführt.

Inhaltlich verschärft die CSDDD den Anwendungsbereich auf die gesamte Wertschöpfungskette, nicht nur unmittelbare Zulieferer. Mittelbare Zulieferer fallen damit regelmäßig in den Pflichtenkanon, was die Risikoanalyse erheblich aufweitet.

Klimathemen werden expliziter geregelt. Pflichtbestandteil ist ein Klimaplan im Einklang mit dem 1,5-Grad-Pfad des Pariser Abkommens, einschließlich Zwischenziele und Maßnahmen. Die Verknüpfung mit der Vergütung der Geschäftsleitung ist verbindlich vorgeschrieben.

Zivilrechtliche Haftung wird neu eingeführt. Geschädigte können vor europäischen Gerichten Schadenersatz fordern, sofern die Sorgfaltspflichten verletzt wurden und ein Kausalzusammenhang besteht. Die Haftung trifft die Konzernmuttergesellschaft.

CIVAC bereitet die Workspace-Strukturen bereits auf die CSDDD-Anforderungen vor. Erweiterte Lieferantenanalyse, Klimaplan-Tracking und Schadenersatzmanagement werden in die Roll-out-Phase aufgenommen. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Die Kosten eines externen Menschenrechtsbeauftragten variieren mit Lieferantenumfang, Risikoregionen und Konzernstruktur. Pauschalverträge für Mittelständler liegen häufig zwischen 18.000 und 60.000 Euro jährlich, bei großen Konzernen mit globaler Lieferkette deutlich höher.

Die Pauschale deckt typischerweise Risikoanalyse, Begleitung der Maßnahmen, Beschwerdebearbeitung, BAFA-Bericht und Vorstandsberichterstattung ab. Anlassbezogene Sondereinsätze, etwa nach kritischen Beschwerden, werden auf Stundenbasis abgerechnet.

Eine Berufshaftpflicht des Beauftragten ist üblich, mit Deckungssumme von mindestens 5 Mio. Euro je Schadensfall. Mit Einführung der CSDDD und der zivilrechtlichen Haftung werden höhere Deckungssummen marktüblich werden.

Der Dienstvertrag muss die Datenschutzkonformität sicherstellen. Personenbezogene Daten aus Lieferantenbeziehungen, Audits und Beschwerden fallen unter DSGVO, eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO ist erforderlich.

Die Bestellurkunde ist eigenständiges Dokument neben dem Vertrag. Sie schafft die individuelle Verantwortung der bestellten Person und ist der zentrale Beleg gegenüber BAFA und Aufsichtsbehörden.

Mit CIVAC liegt die Bestellung innerhalb der SLA von 2 Werktagen vor, gegenüber 2 bis 6 Wochen bei klassischer Beraterauswahl. Vertrag, Bestellurkunde, Auftragsverarbeitungsvereinbarung und Berichtslinie werden in einem Vorgang abgewickelt.

§ 4 Abs. 3 LkSG ist nicht delegierbar, nicht durch eine Stellenbeschreibung ersetzbar und nicht durch eine pauschale Compliance-Funktion abdeckbar. Die Geschäftsleitung muss eine konkrete Person benennen, die das Risikomanagement überwacht und mindestens jährlich berichtet.

CIVAC bündelt die Pflichten in einer Compliance-Plattform und Officer-as-a-Service. 25 Beauftragten-Rollen, alle live, einschließlich Menschenrechts-, ESG-, Hinweisgeberschutz- und Compliance-Beauftragten, dazu 490 einsatzbereite Audit-Vorlagen und 93 Controls nach ISO/IEC 27001:2022.

Der Workspace führt Bestellurkunde, Aufgabenbeschreibung, Berichtslinie zur Geschäftsleitung, Risikoanalyse, Maßnahmenkatalog, Meldestelle und BAFA-Bericht in einem System. Versionen, Unterschriften und Eingangsbestätigungen liegen audit-fest in EU-Datenresidenz vor.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Das duale Modell passt sich an Ihre interne Aufstellung an, der gesetzliche Auftrag bleibt in beiden Fällen Sache der Geschäftsleitung.

Die FAQ-Seite beantwortet typische Folgefragen zur Bestellpflicht, zum BAFA-Bericht und zur Schnittstelle zwischen LkSG und CSDDD. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Die Bestellung liegt innerhalb von 2 Werktagen vor, audit-fest und § 4-LkSG-fest.