Menschenrechtsbeauftragter nach § 4 LkSG: Aufgaben, Bestellung und Berichtspflicht

Das Lieferkettensorgfaltspflichtengesetz (LkSG) trat am 1. Januar 2023 in Kraft und gilt seit 1. Januar 2024 für alle Unternehmen mit mehr als 1.000 Mitarbeitenden in Deutschland. Nach § 4 Abs. 3 LkSG hat die Geschäftsleitung dafür Sorge zu tragen, dass das Risikomanagement zur Erfüllung der Sorgfaltspflichten in alle maßgeblichen Geschäftsabläufe verankert wird. Sie hat eine Person festzulegen, die innerhalb des Unternehmens für die Überwachung des Risikomanagements zuständig ist. Diese Person ist im Sprachgebrauch des BAFA und der Praxis der Menschenrechtsbeauftragte. Die Funktion ist namentlich nicht im Gesetz genannt, aber in den Handreichungen des BAFA und in den Berichten der ersten Berichtsjahre fest etabliert. Die Geschäftsleitung muss sich mindestens einmal jährlich vom Beauftragten zur Arbeit des Risikomanagements informieren lassen.

Dieser Leitfaden zeigt die operativen Aufgaben des Menschenrechtsbeauftragten, die formalen Anforderungen an die Bestellung, den Berichtsweg an die Geschäftsleitung und die Schnittstellen zu Beschwerdeverfahren, BAFA-Bericht und Lieferantenmanagement. Sie erfahren, welche Pflichten in der ersten Berichtsperiode am häufigsten falsch ausgelegt werden, wie ein Workspace BAFA-Bericht, Risikoanalyse und Beschwerden in einer Quelle bündelt und wie sich die Funktion mit der CSRD-Berichtspflicht und ESRS S2 verzahnen lässt, ohne dass doppelte Strukturen entstehen.

Die zentrale Norm lautet: 'Die Geschäftsleitung hat dafür Sorge zu tragen, dass die in Absatz 1 und 2 genannten Maßnahmen umgesetzt werden. Sie hat eine Person festzulegen, die innerhalb des Unternehmens für die Überwachung des Risikomanagements zuständig ist, etwa einen Menschenrechtsbeauftragten. Die Geschäftsleitung hat sich regelmäßig, mindestens einmal jährlich, von der Arbeit der zuständigen Person zu informieren.' Damit definiert das Gesetz vier konstitutive Elemente: erstens die persönliche Verantwortung der Geschäftsleitung für die Umsetzung, zweitens die Pflicht zur Festlegung einer überwachenden Person, drittens die Wahlfreiheit der Benennung (der Begriff Menschenrechtsbeauftragter ist ein Vorschlag, kein Pflichtbegriff), viertens die jährliche Berichtspflicht.

Die Wahlfreiheit der Benennung wird in der Praxis häufig genutzt, um die Funktion in eine bestehende Rolle zu integrieren, etwa beim Compliance-Beauftragten, beim Nachhaltigkeitsbeauftragten oder beim Leiter Einkauf. Wichtig ist, dass die Funktion ausdrücklich benannt, mit Ressourcen ausgestattet und mit einem direkten Berichtsweg an die Geschäftsleitung versehen ist. Die Funktion des LkSG-Beauftragten ist im CIVAC-Workspace als eigenständiger Rolleneintrag mit Bestellurkunde, Aufgabenbeschreibung und Berichtsweg abgebildet. CIVAC operiert als Compliance-Plattform und Officer-as-a-Service und liefert die Bestellurkunde als rechtsgeprüfte Vorlage. Bestellurkunde, unterschrieben, abgelegt, belegbar. Die Geschäftsleitung darf die operative Verantwortung delegieren, aber die rechtliche Haftung für die Aufsichtspflicht verbleibt nach § 130 OWiG bei ihr selbst. Die Bestellurkunde dokumentiert daher nicht nur den Aufgabenumfang, sondern auch die Berichtspflicht, die Vertretungsregelung im Urlaubs- und Krankheitsfall sowie die zur Verfügung gestellten Ressourcen, weil all dies vom BAFA in der Prüfung gefordert wird. Eine sauber strukturierte Bestellung schließt zudem eine klare Aussage zur Weisungsfreiheit in fachlichen Fragen ein, damit die Funktion nicht im Linieninteresse aufgelöst wird.

Das LkSG zählt in § 3 Abs. 1 die acht Sorgfaltspflichten auf, deren operative Steuerung der Menschenrechtsbeauftragte verantwortet. Erstens die Einrichtung eines Risikomanagements (§ 4). Zweitens die Durchführung regelmäßiger Risikoanalysen (§ 5). Drittens die Abgabe einer Grundsatzerklärung (§ 6 Abs. 2). Viertens die Verankerung von Präventionsmaßnahmen im eigenen Geschäftsbereich und bei unmittelbaren Zulieferern (§ 6 Abs. 3 und 4). Fünftens die Ergreifung von Abhilfemaßnahmen bei festgestellten Verletzungen (§ 7). Sechstens die Einrichtung eines Beschwerdeverfahrens (§ 8). Siebtens die Umsetzung von Sorgfaltspflichten in Bezug auf mittelbare Zulieferer (§ 9). Achtens die Dokumentation und Berichterstattung an das BAFA (§ 10).

Praktisch heißt das: Der Menschenrechtsbeauftragte koordiniert die jährliche Risikoanalyse, prüft die Lieferanten nach festgelegten Kriterien, schließt Verhaltenskodex-Klauseln in Verträge ein, dokumentiert Schulungen, betreut das Beschwerdeverfahren und erstellt den jährlichen BAFA-Bericht. Er ist nicht der Alleinverantwortliche, sondern der Koordinator eines bereichsübergreifenden Prozesses, in dem Einkauf, Recht, HR, Compliance und Geschäftsleitung gemeinsam agieren. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Der CIVAC-Workspace verknüpft alle acht Sorgfaltspflichten in einem Datenmodell, sodass eine Maßnahme im Lieferantenkontext automatisch in der Risikoanalyse, der Berichterstattung und der Schulungsplanung sichtbar wird. Das spart Doppelarbeit und vermeidet inkonsistente Datenlagen, die im BAFA-Bericht zu Beanstandungen führen. Eine zusätzliche Aufgabe, die im Gesetz nicht ausdrücklich genannt ist, aber in der Praxis unverzichtbar ist, ist die regelmäßige Berichterstattung an die Geschäftsleitung und an den Aufsichtsrat, weil die LkSG-Risiken zunehmend Teil der Unternehmensrisikoberichterstattung werden und im Lagebericht nach HGB Erwähnung finden.

Die Risikoanalyse ist das Herz der LkSG-Pflichten. Nach § 5 Abs. 4 ist sie einmal im Jahr durchzuführen und anlassbezogen zu wiederholen, wenn das Unternehmen mit einer wesentlich veränderten oder erweiterten Risikolage rechnen muss, etwa durch die Einführung neuer Produkte, Projekte oder eines neuen Geschäftsfelds. Inhaltlich umfasst sie zwei Ebenen: den eigenen Geschäftsbereich und die unmittelbaren Zulieferer. Mittelbare Zulieferer fallen nach § 9 nur dann in den Anwendungsbereich, wenn das Unternehmen substantiierte Kenntnis von Verletzungen erlangt. Diese Trennung ist im LkSG ein politischer Kompromiss und wird mit der EU-Richtlinie CSDDD ab voraussichtlich 2027 wegfallen, sodass dann auch mittelbare Zulieferer regelmäßig zu prüfen sind.

Methodisch beginnt die Risikoanalyse mit einer abstrakten Risikobewertung nach Branche, Land und Produktkategorie, gefolgt von einer konkreten Bewertung der priorisierten Lieferanten anhand standardisierter Indikatoren. Das BAFA hat in seinen Handreichungen detaillierte Kriterien veröffentlicht, etwa länderbezogene Risikoindizes (ITUC Global Rights Index, EPI Environmental Performance Index), branchenspezifische Risikoprofile und produktspezifische Hotspots. Der CIVAC-Workspace integriert diese Indizes automatisch und verknüpft sie mit dem Lieferantenstamm, sodass die Risikoanalyse für jeden Lieferanten innerhalb weniger Minuten erzeugt werden kann. Frist läuft ab Kenntnis. Bei substantiierter Kenntnis einer Verletzung im mittelbaren Bereich ist unverzüglich eine anlassbezogene Risikoanalyse durchzuführen, und das Ergebnis muss im BAFA-Bericht dokumentiert sein. Wer die Frist verstreichen lässt, riskiert ein Bußgeld nach § 24 LkSG. Das Konzept der angemessenen Maßnahmen ist im LkSG ausdrücklich erwähnt und verlangt eine Verhältnismäßigkeitsprüfung anhand der Schwere der Verletzung, der Wahrscheinlichkeit ihres Eintritts, der Reichweite des Unternehmensbeitrags und der Möglichkeiten der Einflussnahme.

§ 6 LkSG verlangt angemessene Präventionsmaßnahmen, sobald die Risikoanalyse ein Risiko identifiziert. Im eigenen Geschäftsbereich umfasst das eine schriftliche Grundsatzerklärung, die Verankerung der Menschenrechtsstrategie in den Beschaffungspraktiken, Schulungen in relevanten Bereichen und risikobasierte Kontrollmaßnahmen. Bei unmittelbaren Zulieferern gehören dazu die Auswahl auf Basis der Risikoanalyse, vertragliche Zusicherungen über die Einhaltung der menschenrechtsbezogenen Erwartungen, Schulungen und Weiterbildungen sowie die vertragliche Vereinbarung angemessener Kontrollmechanismen. Der Verhaltenskodex für Lieferanten ist der zentrale vertragliche Anker dieser Pflichten.

Stellt das Unternehmen eine Verletzung fest oder hat es Anhaltspunkte für eine drohende Verletzung, sind nach § 7 unverzüglich Abhilfemaßnahmen zu ergreifen. Im eigenen Geschäftsbereich muss die Verletzung beendet werden, bei unmittelbaren Zulieferern ist ein Konzept zur Beendigung oder Minimierung zu erstellen mit einem konkreten Zeitplan. Die Beendigung der Geschäftsbeziehung ist nach § 7 Abs. 3 das letzte Mittel und nur dann erforderlich, wenn die Verletzung als schwerwiegend einzustufen ist und keine milderen Mittel zur Verfügung stehen. CIVAC liefert für den Verhaltenskodex eine geprüfte Mustervorlage mit den vom BAFA empfohlenen Klauseln, inklusive Auditrechten, Mitteilungspflichten und Eskalationsstufen. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. In beiden Modellen entsteht eine durchgehende Dokumentationskette von der Risikoanalyse bis zur Abhilfemaßnahme. Im Workspace lassen sich Abhilfemaßnahmen nach Status, Verantwortlichem und Eskalationsstufe filtern, sodass die Geschäftsleitung im Quartalsrhythmus eine kompakte Sicht auf den Maßnahmenfortschritt erhält und ungeklärte Fälle nicht in einer Aktenschublade verschwinden. Zusätzlich werden die Klauseln im Verhaltenskodex versioniert, sodass im Audit nachvollziehbar ist, welche Version mit welchem Lieferanten zu welchem Zeitpunkt vertraglich vereinbart war.

§ 8 LkSG verlangt ein angemessenes unternehmensinternes Beschwerdeverfahren, das Personen ermöglicht, auf menschenrechtliche und umweltbezogene Risiken sowie auf Verletzungen menschenrechtsbezogener oder umweltbezogener Pflichten hinzuweisen. Das Verfahren muss zugänglich sein, von einer unparteiischen Stelle geführt werden, die Vertraulichkeit der Identität wahren, und es muss Schutz vor Benachteiligung oder Bestrafung gewährleisten. Anders als beim Hinweisgeberschutzgesetz (HinSchG) ist das LkSG-Verfahren auch für externe Personen offen, also für betroffene Arbeitnehmer von Lieferanten, für Vertreter von NGOs oder für Anwohner. Die Verfahrensordnung muss schriftlich vorliegen und öffentlich zugänglich sein.

In der Praxis lassen sich HinSchG-Meldestelle und LkSG-Beschwerdeverfahren in einem System zusammenführen, mit klar getrennten Eingangskanälen und Fallarten. Die Interne Meldestelle (HinSchG) deckt die internen Hinweise ab, das LkSG-Modul nimmt zusätzlich externe Beschwerden entgegen. Der Workspace dokumentiert jeden Fall mit Eingangsdatum, Bearbeitungsstand, Maßnahmen und Rückmeldung an den Hinweisgeber. Die Frist von drei Monaten für die Rückmeldung ist im LkSG nicht ausdrücklich geregelt, wird aber vom BAFA als gute Praxis empfohlen, in Anlehnung an § 17 HinSchG. Der Prüfer ruft an, der Nachweis liegt bereit. Anonyme Eingangswege sind ausdrücklich zulässig und in vielen Fällen die einzige Möglichkeit, externe Hinweise zu erhalten, weil betroffene Arbeitnehmer aus Lieferländern oft Repressalien fürchten. Mehrsprachige Eingangskanäle, idealerweise in den Sprachen der Hauptbeschaffungsländer, erhöhen die Zugänglichkeit deutlich und werden vom BAFA als gute Praxis ausdrücklich empfohlen. Die Verfahrensordnung des Beschwerdeverfahrens ist im Workspace versioniert abgelegt und mit Stichtagsabfrage verfügbar, sodass im BAFA-Bericht der jeweils gültige Stand nachvollziehbar zitiert werden kann. Eine externe Ombudsstelle ergänzt das interne Verfahren in vielen Fällen sinnvoll.

Der jährliche BAFA-Bericht ist die zentrale öffentliche Pflicht des LkSG. Nach § 10 Abs. 2 ist der Bericht spätestens vier Monate nach dem Schluss des Geschäftsjahres an das BAFA zu übermitteln und parallel auf der Unternehmenswebsite zu veröffentlichen, mindestens sieben Jahre lang. Inhaltlich umfasst er sieben Hauptkategorien: festgestellte Risiken und Verletzungen, durchgeführte Maßnahmen zur Erfüllung der Sorgfaltspflichten, Bewertung der Wirksamkeit der Maßnahmen, abgeleitete Schlussfolgerungen für die zukünftige Strategie, das Beschwerdeverfahren sowie die Ergebnisse einer Plausibilitätsprüfung der eingegangenen Beschwerden.

Das BAFA stellt seit 2023 einen elektronischen Berichtsbogen mit über 400 Fragen bereit, die mit Pflichtangaben, Begründungen und Verweisen zu beantworten sind. Wer den Bericht in Excel oder Word zusammenstellt, riskiert formale Fehler beim Upload und inhaltliche Inkonsistenzen zwischen den Antworten. Der CIVAC-Workspace führt die LkSG-Daten ganzjährig im erforderlichen Strukturmodell und exportiert den BAFA-Berichtsbogen mit allen Pflichtangaben in dem vom BAFA geforderten Format. Audit-fest, dokumentiert, § 10 LkSG-fest. Die Wirksamkeitsbewertung der Maßnahmen ist der Teil, an dem die meisten Erstberichte scheitern, weil ohne ganzjährige Datenerfassung im Workspace die belastbare Wirkungsmessung fehlt und reine Aktivitätsbeschreibungen geliefert werden, die das BAFA als unzureichend bewertet. Eine sauber strukturierte Datenführung reduziert die Berichtszeit von durchschnittlich drei Wochen auf rund drei Werktage. Der Bericht wird in einem strukturierten XML-Format an das BAFA übermittelt, und der CIVAC-Workspace übernimmt die Konvertierung automatisch, sodass keine manuellen Schritte mehr nötig sind und die formalen Anforderungen des BAFA-Portals zuverlässig erfüllt werden. Die Veröffentlichung auf der Unternehmenswebsite erfolgt im PDF/A-Format, das für die siebenjährige Aufbewahrung vorgeschrieben ist.

Wer LkSG-pflichtig ist und gleichzeitig unter die CSRD fällt, muss zwei parallele Berichtspflichten bedienen. Das LkSG verlangt den jährlichen Bericht an das BAFA mit operativer Detailtiefe. Die CSRD verlangt die Nachhaltigkeitserklärung im Lagebericht mit ESRS S2 (Arbeitskräfte in der Wertschöpfungskette) und ESRS S3 (betroffene Gemeinschaften), die inhaltlich erheblich mit dem LkSG überlappen. Die Datenpunkte sind teils identisch (Risiken in der Lieferkette, Beschwerdeverfahren, Abhilfemaßnahmen), teils unterschiedlich strukturiert. Wer die beiden Welten getrennt führt, doppelt seinen Aufwand und produziert Inkonsistenzen, die im BAFA-Verfahren oder in der Wirtschaftsprüfung beanstandet werden.

Die Lösung ist ein gemeinsames Datenmodell, das die LkSG-Datenpunkte als Untermenge der ESRS-Datenpunkte führt und beide Berichte aus einer Quelle erzeugt. Der CIVAC-Workspace nutzt ein solches konsolidiertes Modell, in dem die LkSG-Datenpunkte mit den ESRS-Datenpunkten verknüpft sind und sich automatisch auf den BAFA-Berichtsbogen und auf die ESRS-XBRL-Taxonomie verteilen. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Wer die Konsolidierung erst beim zweiten oder dritten Berichtsjahr angeht, verliert mehrere hundert Stunden im Erstbericht und legt eine inkonsistente Datenbasis, die in der späteren Wirtschaftsprüfung als Befund auftaucht. Wer die Konsolidierung früh aufsetzt, gewinnt einen strukturellen Effizienzvorteil von rund 40 bis 50 Prozent, weil Lieferantenabfragen, Risikoanalyse und Maßnahmenverfolgung nur einmal durchgeführt werden müssen. Dieselbe Logik gilt für die EU-Taxonomie und für sektorspezifische Vorgaben, sofern sie auf Lieferketten-Daten zugreifen, sodass das Datenmodell mehrere Berichtspflichten gleichzeitig bedient. Wer die Konsolidierung sauber aufsetzt, kann zudem die zukünftige CSDDD-Berichterstattung aus demselben Datenstamm bedienen, ohne dass das System grundlegend umgebaut werden muss.

§ 24 LkSG sieht für Verstöße Bußgelder bis zu 8 Mio. Euro oder bis zu 2 Prozent des durchschnittlichen Jahresumsatzes der letzten drei Geschäftsjahre vor, je nachdem, welcher Betrag höher ist. Die Umsatzgrenze gilt nur für Unternehmen mit mehr als 400 Mio. Euro Jahresumsatz. Hinzu kommt nach § 22 LkSG der Ausschluss von der Vergabe öffentlicher Aufträge für bis zu drei Jahre. Beide Sanktionen werden vom BAFA verhängt und veröffentlicht. Die Geschäftsleitung haftet zusätzlich nach § 130 OWiG persönlich, wenn die organisatorischen Aufsichtsmaßnahmen unzureichend waren. Eine zivilrechtliche Haftung gegenüber Geschädigten ist nach § 3 Abs. 3 LkSG ausdrücklich nicht begründet, was häufig missverstanden wird. Schadensersatzansprüche bestehen weiterhin auf Grundlage des BGB.

Die ersten BAFA-Verfahren der Jahre 2023 und 2024 zeigen ein klares Muster: Beanstandet werden vor allem die unzureichende Dokumentation der Risikoanalyse, die fehlende Wirksamkeitsbewertung der Maßnahmen und das ungenügende Beschwerdeverfahren. Bußgelder wurden bisher nur in Einzelfällen verhängt, das BAFA arbeitet überwiegend mit Hinweisen und Anordnungen. Mit dem Inkrafttreten der EU-CSDDD ab voraussichtlich 2027 wird das Sanktionsregime deutlich verschärft, und auch mittelbare Zulieferer fallen vollständig in den Anwendungsbereich. Wer heute eine saubere Dokumentation aufbaut, ist auf den europäischen Standard vorbereitet. CIVAC führt im Workspace eine vollständige Dokumentation aller Maßnahmen mit Zeitstempel, Verantwortlichem und Wirksamkeitsbewertung, sodass im BAFA-Verfahren oder im Audit der Nachweis in Minuten verfügbar ist. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Wer die Wirksamkeitsbewertung konsequent dokumentiert, gewinnt zudem ein Steuerungsinstrument für die Geschäftsleitung, das deutlich über die formale BAFA-Pflicht hinausgeht und in Investorenfragen, Kundenaudits und Bankgesprächen zu einem klaren Reputationsvorteil führt.

§ 4 Abs. 3 LkSG lässt der Geschäftsleitung viel Gestaltungsspielraum, aber wenig Spielraum bei der Substanz. Die zuständige Person muss benannt, mit Ressourcen ausgestattet, in der Bestellurkunde dokumentiert und mit jährlichem Berichtsweg an die Geschäftsleitung versehen sein. Operativ koordiniert sie Risikoanalyse, Präventionsmaßnahmen, Abhilfemaßnahmen, Beschwerdeverfahren, BAFA-Bericht und Schulungen, ohne dass sie alle Aufgaben selbst übernehmen muss. Die richtige organisatorische Verankerung entscheidet darüber, ob die Funktion in der Praxis Wirkung entfaltet oder als formaler Eintrag im Compliance-Handbuch verkümmert. Genau dafür haben wir CIVAC als Compliance-Plattform und Officer-as-a-Service gebaut: einen Workspace mit LkSG-Datenmodell, Lieferantenfragebogen, Beschwerdemodul, BAFA-Berichtsexport und EU-Datenresidenz.

Sie entscheiden selbst, wie tief Sie einsteigen: Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Aus dem Lesen einen Auftrag machen. Schreiben Sie uns an info@civac.de oder buchen Sie ein Erstgespräch über das Kontaktformular auf civac.de. Sie erhalten eine ehrliche Reifegradbewertung Ihres LkSG-Programms, eine Lückenanalyse gegen den BAFA-Berichtsbogen, eine priorisierte Maßnahmenliste und ein transparentes Angebot. In den ersten 30 Tagen entstehen Bestellurkunde, Grundsatzerklärung und Risikoanalyse. In den folgenden 60 Tagen werden Lieferantenfragebogen, Beschwerdemodul und Schulungen im Workspace produktiv gesetzt. Der Prüfer ruft an, der Nachweis liegt bereit. Mit dem Inkrafttreten der EU-CSDDD ab 2027 wird die saubere Dokumentation von heute zur Grundlage des europäischen Compliance-Programms von morgen, ohne dass das Datenmodell neu aufgebaut werden muss. Wer den Übergang frühzeitig plant, vermeidet Doppelarbeit und positioniert sich als bevorzugter Lieferant bei Großkunden, die ihre eigenen Lieferanten zunehmend auf belastbare LkSG- und CSDDD-Strukturen prüfen.