Lieferkettengesetz für KMU: Pflichten als Zulieferer
Das Lieferkettensorgfaltspflichtengesetz verpflichtet unmittelbar erfasste Großunternehmen zu menschenrechtlicher und umweltbezogener Sorgfalt. KMU begegnen den Anforderungen vor allem als Zulieferer. Daraus können vertragliche Mitwirkungspflichten entstehen, die gesetzlichen Pflichten des Kunden gehen aber nicht pauschal auf den kleinen Betrieb über. Eine nachvollziehbare Vorbereitung hilft, Kundenanfragen sachgerecht zu beantworten und unnötige Zusagen zu vermeiden.
Zusammenfassung
Die wichtigsten Punkte zum Lieferkettengesetz für KMU:
- Das LkSG verpflichtet unmittelbar nur erfasste Großunternehmen; seit 2024 gilt grundsätzlich eine Schwelle von mindestens 1.000 Beschäftigten im Inland.
- KMU sind meist indirekt als Zulieferer betroffen, etwa durch Fragebögen, einen Code of Conduct oder Vertragsklauseln.
- Die gesetzlichen Pflichten des Kunden gehen nicht pauschal auf Zulieferer über; trennen Sie gesetzliche Anforderungen von vertraglichen Zusagen.
- Prüfen Sie Anfragen und Zusagen, bevor Sie unterschreiben, und dokumentieren Sie Quellen und Prüfdatum.
- Eine eigene umfassende LkSG-Risikoanalyse oder ein eigenes Beschwerdeverfahren nach dem LkSG ist für nicht erfasste KMU nicht allein wegen der Zulieferstellung vorgeschrieben.
- Ein KI-Agent kann beim Vergleich von Dokumenten helfen, die Bewertung bleibt bei der zuständigen Person.
- Die geänderte CSDDD verpflichtet KMU nicht allgemein unmittelbar.
Rechtsstand: November 2026. Beim deutschen LkSG sind Gesetzeswortlaut, geplante Änderungen und behördliche Vollzugspraxis zu unterscheiden. Die europäische CSDDD wurde 2026 geändert. Ihre künftigen Anwendungsvoraussetzungen sind nicht mit denen des LkSG identisch.
Was ist das Lieferkettengesetz?
Das Lieferkettensorgfaltspflichtengesetz, kurz LkSG, soll menschenrechtliche und bestimmte umweltbezogene Risiken in Lieferketten verringern. Es gilt seit dem 1. Januar 2023. Seit dem 1. Januar 2024 liegt die Beschäftigtenschwelle grundsätzlich bei mindestens 1.000 Arbeitnehmerinnen und Arbeitnehmern im Inland. Hinzukommen die gesetzlichen Voraussetzungen zum Inlandsbezug; auch bestimmte Zweigniederlassungen sind erfasst. Für die Zählung gelten besondere Regeln, etwa für verbundene Unternehmen.
Maßgeblich ist der Anwendungsbereich nach § 1 LkSG. Die Zuordnung hängt nicht allein davon ab, ob ein Unternehmen sich selbst als Mittelstand bezeichnet. Ein gewöhnliches KMU unterhalb der gesetzlichen Schwelle wird durch einen Auftrag eines Großkunden jedoch nicht selbst unmittelbar LkSG-pflichtig.
Welche Risiken und Pflichten sind gemeint?
Das Gesetz erfasst etwa Risiken durch Kinder- und Zwangsarbeit oder die Missachtung von Arbeitsschutz. Hinzu kommen gesetzlich bestimmte Umweltpflichten. Es handelt sich aber nicht um eine allgemeine Garantie, jede denkbare Menschenrechtsverletzung weltweit zu verhindern. Verpflichtete Unternehmen müssen angemessen vorgehen und ihre Maßnahmen an den konkreten Risiken ausrichten.
| Bereich der Lieferkette | Einordnung für verpflichtete Unternehmen |
|---|---|
| Eigener Geschäftsbereich | Risiken analysieren und geeignete Präventions- beziehungsweise Abhilfemaßnahmen umsetzen |
| Unmittelbare Zulieferer | In die Risikoanalyse einbeziehen und risikobezogene Maßnahmen verankern |
| Mittelbare Zulieferer | Insbesondere bei substantiierten Hinweisen auf mögliche Verletzungen anlassbezogen tätig werden; das Beschwerdeverfahren muss auch Hinweise zu dieser Ebene ermöglichen |
Solche Abläufe gehören in eine nachvollziehbare Corporate Governance. Zuständigkeit und Entscheidungswege müssen klar sein, damit eine eingehende Risikomeldung tatsächlich bearbeitet wird. Ein unterschriebenes Leitbild allein erfüllt diese Aufgabe nicht.
Welche Sanktionen sieht das LkSG vor?
Das BAFA überwacht die Einhaltung der Regeln und verhängt je nach Verstoß und Adressat unterschiedliche Bußgelder. Bei juristischen Personen sind für bestimmte Verstöße bis zu 8 Millionen Euro möglich. Bei einem durchschnittlichen Jahresumsatz von mehr als 400 Millionen Euro kann für bestimmte Verstöße stattdessen ein Rahmen bis zu 2 Prozent des durchschnittlichen Jahresumsatzes maßgeblich sein. Die Umsatzermittlung berücksichtigt dabei die wirtschaftliche Einheit.
Diese Rahmen sind keine pauschale Sanktion für jede unvollständige Zuliefererauskunft. Maßgeblich sind die Voraussetzungen des § 24 LkSG. Außerdem ist die Vollzugspraxis zu beachten: Das zuständige Ministerium hat das BAFA im September 2025 angewiesen, die Berichtsprüfung einzustellen und bei der Sanktionierung zurückhaltend vorzugehen.
Wie sind KMU indirekt betroffen?
Großkunden benötigen für ihre eigenen Sorgfaltsprozesse Informationen aus der Lieferkette. Deshalb erhalten kleine Zulieferer Fragebögen oder Anfragen zu Kontrollen. Auch Vertragsklauseln zur Zusammenarbeit sind möglich. Bleiben berechtigte Fragen unbeantwortet, kann das die Geschäftsbeziehung belasten. Ein Auftragsverlust ist aber weder eine automatische Rechtsfolge noch bei jeder fehlenden Angabe gerechtfertigt.
Nach den behördlichen FAQ zur Zusammenarbeit mit KMU dürfen verpflichtete Unternehmen ihre gesetzlichen Aufgaben nicht pauschal abwälzen. Sie können die eigene Risikoanalyse insbesondere nicht durch eine umfassende Risiko-Freiheitsgarantie des Zulieferers ersetzen. Ein KMU muss auch nicht allein aufgrund seiner Zulieferstellung sämtliche LkSG-Strukturen eines Großunternehmens aufbauen.
Trennen Sie deshalb gesetzliche Anforderungen von vertraglichen Zusagen. Bitten Sie bei zu umfassenden Fragebögen um eine Eingrenzung auf die konkrete Lieferung. Compliance bedeutet auch, nur solche Erklärungen abzugeben, deren Inhalt im eigenen Betrieb tatsächlich geprüft wurde.
Was verlangen große Kunden typischerweise?
Die Angemessenheit einer Anfrage hängt vom Risiko und von Ihrer Rolle in der Lieferkette ab. Für die erste Prüfung hilft folgende Zuordnung.
| Anfrage | Was ein KMU prüfen sollte |
|---|---|
| Code of Conduct unterzeichnen | Welche konkreten Zusagen entstehen, und lassen sie sich erfüllen? |
| Selbstauskunft abgeben | Welche Antworten sind belegt und wo fehlen Informationen? |
| Informationen zu Vorlieferanten liefern | Welche Angaben sind für die konkrete Risikofrage nötig und dürfen weitergegeben werden? |
| Audit ermöglichen | Sind Gegenstand, Umfang und Vertraulichkeit angemessen geregelt? |
| Risikoanalyse zu Vorlieferanten vorlegen | Geht es um vorhandene Informationen oder um eine unverhältnismäßige Übernahme der Kundenpflichten? |
| Beschwerdekanal zugänglich machen | Kann auf das Verfahren des Großkunden hingewiesen werden und wer bearbeitet Meldungen? |
Verhandeln Sie offene Punkte vor einer Unterschrift. Eine sinnvolle Klausel beschreibt die erwartete Mitwirkung und den Umgang mit festgestellten Problemen. Eine unbegrenzte Zusicherung über alle Vorlieferanten ist hingegen etwas anderes. Bestehende Verfahren aus Governance, Risk & Compliance helfen, solche Zusagen intern zu prüfen und nachzuhalten.
Wie lässt sich eine Risikoanalyse vorbereiten?
Für ein nicht unmittelbar verpflichtetes KMU ist eine eigene umfassende LkSG-Risikoanalyse nicht allein wegen der Zulieferbeziehung gesetzlich vorgeschrieben. Eine begrenzte Bestandsaufnahme kann dennoch helfen, konkrete Kundenfragen zu beantworten. Verwechseln Sie diese praktische Vorbereitung nicht mit der Übernahme der gesetzlichen Analysepflicht des Kunden.
Erfassen Sie zuerst die betroffene Leistung und die daran beteiligten Vorlieferanten. Das Supply-Chain-Management liefert dafür häufig bereits Einkaufs- oder Lieferantendaten. Halten Sie unbekannte Produktionsorte als offene Punkte fest. Der Sitz eines Händlers beweist noch nicht, wo eine Ware hergestellt wurde.
Prüfen Sie danach Länderrisiken und typische Branchenrisiken. Eine pauschale Länderbewertung ersetzt keine Untersuchung konkreter Hinweise, hilft aber bei der Priorisierung. Berücksichtigen Sie beim Risikomanagement insbesondere die mögliche Schwere einer Beeinträchtigung und die Wahrscheinlichkeit ihres Eintritts.
Dokumentieren Sie die verwendeten Quellen und die Begründung Ihrer Einschätzung. Wenn beispielsweise bei einer bestimmten Materialgruppe Informationen fehlen, halten Sie fest, wer nachfragt und wann eine Antwort erwartet wird. Eine niedrige Bewertung ohne nachvollziehbare Grundlage hilft dem Großkunden ebenso wenig wie eine unkritisch übernommene Selbstauskunft.
Die interne Dokumentationspflicht nach § 10 Absatz 1 LkSG richtet sich an unmittelbar verpflichtete Unternehmen und verlangt mindestens sieben Jahre Aufbewahrung. Für das nicht erfasste KMU entsteht daraus nicht automatisch dieselbe Frist. Prüfen Sie stattdessen einschlägige eigene Pflichten und vertragliche Anforderungen. Die seit Oktober 2025 eingestellte behördliche Berichtsprüfung hebt die interne Dokumentation der verpflichteten Unternehmen nicht auf.
- Macht Termine, berät, leitet Anrufe weiter
- Nimmt sofort ab, Tag und Nacht
- Nahtlos integrierbar in bestehende Systeme
- Kostenlos testen
Brauchen KMU einen Beschwerdemechanismus?
Nicht erfasste KMU müssen allein wegen ihrer Zulieferstellung kein eigenes Beschwerdeverfahren nach dem LkSG einrichten. Häufig ist es sinnvoll, mit dem Kunden zu vereinbaren, wie dessen Verfahren für betroffene Personen erreichbar wird. Prüfen Sie dabei, ob die Informationen beispielsweise auch Beschäftigte am Produktionsstandort tatsächlich erreichen.
Wenn Sie einen eigenen Kanal aufbauen oder einen bestehenden erweitern, gehören ein klarer Meldeweg und ein geregelter Bearbeitungsprozess dazu. Das LkSG-Verfahren verlangt unter anderem eine öffentlich zugängliche Verfahrensordnung und unparteiische, zur Verschwiegenheit verpflichtete Bearbeitende. Vertraulichkeit und Schutz vor Benachteiligung sind ebenso zu berücksichtigen wie die tatsächliche Zugänglichkeit für mögliche Betroffene.
Ein vorhandenes Verfahren nach dem Hinweisgeberschutzgesetz kann organisatorische Überschneidungen bieten. Es ersetzt das LkSG-Verfahren aber nicht automatisch: Erfasste Meldungen und betroffene Personengruppen sind unterschiedlich. Die interne Meldestelle nach dem HinSchG ist in der Regel ab 50 Beschäftigten vorgeschrieben; für bestimmte Bereiche gelten Ausnahmen unabhängig von dieser Zahl. Prüfen Sie die eigene Pflicht gesondert.
Welche Fehler sollten Zulieferer vermeiden?
Blind ausgefüllte Fragebögen erzeugen Zusagen, die der Betrieb möglicherweise nicht belegen kann. Beantworten Sie unbekannte Punkte entsprechend und beschreiben Sie den nächsten Klärungsschritt. Unterschreiben Sie einen Code of Conduct erst, wenn die betroffenen Bereiche dessen Anforderungen kennen. Eine Erklärung ohne interne Umsetzung schafft Widersprüche zwischen Vertrag und Alltag.
Eine weitere Schwachstelle ist fehlende Dokumentation: Ohne Quelle und Prüfdatum bleibt unklar, wie eine Antwort zustande kam. Halten Sie deshalb auch Änderungen bei Vorlieferanten nach. Die Bestandsaufnahme ergänzt eine verantwortliche Beschaffung im Sinne der Corporate Social Responsibility, ersetzt aber keine konkrete Prüfung eines bekannten Problems.
Wie kann KI LkSG-Compliance unterstützen?
Ein beispielhafter Textilzulieferer erhält einen Kundenfragebogen und einen neuen Lieferantenkodex. Ein auf Rechtsthemen spezialisierter KI-Agent kann beide Dokumente mit freigegebenen internen Unterlagen vergleichen. Als Arbeitsauftrag erhält er etwa: „Markiere Zusagen, die über dokumentierte Verfahren hinausgehen. Nenne die jeweilige Fundstelle und formuliere eine offene Rückfrage. Erstelle keine Bestätigung der Rechtskonformität.“
Die zuständige Person prüft anschließend jede markierte Passage. Eine pauschale Garantie zur gesamten Lieferkette wird vor der Unterschrift rechtlich bewertet. Das System hilft beim Finden und Strukturieren von Prüfpunkten, es entscheidet aber weder über die Angemessenheit einer Klausel noch über die tatsächlichen Arbeitsbedingungen bei einem Vorlieferanten. Vertrauliche Unterlagen dürfen zudem nur in einer dafür geeigneten und freigegebenen Umgebung verarbeitet werden.
Was ändert die europäische CSDDD?
Die europäische Lieferkettenrichtlinie „Corporate Sustainability Due Diligence Directive“ (CSDDD) trat 2024 in Kraft und wurde durch die Richtlinie (EU) 2026/470 wesentlich geändert. Der allgemeine Anwendungsbereich für EU-Unternehmen setzt nun mehr als 5.000 Beschäftigte und mehr als 1,5 Milliarden Euro weltweiten Nettoumsatz voraus. Hinzu kommen besondere Konstellationen, etwa für bestimmte Unternehmensgruppen oder Lizenzmodelle.
KMU werden dadurch nicht allgemein unmittelbar verpflichtet. Mittelbare Auswirkungen über Geschäftsbeziehungen bleiben möglich. Die geänderten Regeln sollen zugleich die Belastung kleinerer Geschäftspartner begrenzen. Die Mitgliedstaaten müssen die CSDDD-Vorgaben bis zum 26. Juli 2028 umsetzen und grundsätzlich sollen die nationalen Regeln ab dem 26. Juli 2029 angewendet werden. Für bestimmte Berichtspflichten gelten gesonderte Zeitvorgaben.
Für KMU lohnt deshalb eine wiederverwendbare, belastbare Informationsgrundlage statt einer vorschnellen Übernahme sämtlicher Großkundenpflichten. Prüfen Sie bei neuen Anfragen jeweils, auf welche geltende oder künftige Regel sich der Kunde bezieht und welche konkrete Mitwirkung er benötigt.
Bitte beachten Sie den rechtlichen Hinweis zu diesem Artikel.
Reviewer
Anne-Laure Wolber
Anne-Laure begleitet den IONOS Digital Guide bereits seit seiner Geburtsstunde im Jahr 2016. Als Expertin für die Startup-Kategorie konzentriert sie sich primär auf die strategische Verzahnung von SEO, GEO und Conversion-Rate-Optimierung. Über die letzten Jahre sammelte sie zudem umfassende Erfahrung in angrenzenden Performance-Disziplinen wie der Lead-Generierung und dem Native Advertising. Als Polyglotte nutzt sie ihren multilingualen Hintergrund gezielt, um Content-Strategien präzise und…