LkSG für KMU: Ab welcher Mitarbeiterzahl was wirklich gilt

Wer fällt direkt unter das LkSG?

Direkt verpflichtet sind seit Januar 2024 alle Unternehmen mit mindestens 1.000 Beschäftigten im Inland, die ihre Hauptverwaltung, Hauptniederlassung, ihren Verwaltungssitz oder satzungsmäßigen Sitz in Deutschland haben (§ 1 Abs. 1 LkSG). Die Rechtsform spielt keine Rolle — GmbH, AG, GmbH & Co. KG und Personengesellschaften sind gleichermaßen erfasst.

Bei der Mitarbeiterzählung gelten konkrete Regeln: Maßgeblich ist der Durchschnittswert der letzten drei Geschäftsjahre, nicht allein das aktuelle Jahr. Leiharbeitnehmer zählen mit, wenn ihre Einsatzdauer sechs Monate übersteigt. Bei Konzernstrukturen sind die Mitarbeitenden sämtlicher Konzernunternehmen zusammenzurechnen. Wer die Schwelle überschreitet, muss ab dem folgenden Geschäftsjahr sämtliche Sorgfaltspflichten erfüllen.

Für KMU mit deutlich weniger als 1.000 Mitarbeitenden besteht keine direkte gesetzliche Bindung. Das ändert sich jedoch schlagartig, sobald das Unternehmen als direkter Zulieferer eines verpflichteten Unternehmens fungiert: In diesem Fall verlangen Großkunden regelmäßig Selbstauskunftsbögen, Verhaltenskodex-Unterzeichnungen und Audit-Rechte. Wer diese Anforderungen nicht erfüllt, riskiert den Verlust des Lieferantenstatus.

Ein Praxis-Beispiel: Ein mittelständischer Automobilzulieferer aus dem Raum Stuttgart mit 280 Mitarbeitenden erhielt von seinem Tier-1-Kunden eine Anfrage nach einer vollständigen LkSG-konformen Lieferantenselbstauskunft samt Nachweis über ein Beschwerdeverfahren. Ohne eigenes Compliance-Fundament konnte das Unternehmen die Anfrage nicht fristgerecht beantworten — der Rahmenvertrag stand auf der Kippe. Nach vier Wochen strukturierter Dokumentationsarbeit und Einführung eines einfachen Melde-Kanals war die Anforderung erfüllt.

Welche Pflichten gelten konkret für verpflichtete Unternehmen?

Das LkSG begründet keine Erfolgspflicht, sondern eine Bemühenspflicht: Unternehmen müssen in angemessenem Umfang Vorkehrungen treffen, um menschenrechtliche und umweltbezogene Risiken zu erkennen, zu vermeiden und zu minimieren (§ 3 LkSG). Ein Null-Risiko-Versprechen wird nicht verlangt — entscheidend sind nachweisbare Prozesse.

Die gesetzlich geforderten Kernelemente umfassen erstens die Einrichtung eines Risikomanagements sowie regelmäßige und anlassbezogene Risikoanalysen im eigenen Geschäftsbereich und bei direkten Zulieferern. Zweitens ist eine Grundsatzerklärung zur unternehmerischen Menschenrechtsstrategie zu verabschieden und intern bekannt zu machen. Drittens müssen Präventionsmaßnahmen gegenüber direkten Vertragspartnern in Form von Vertragspflichten, Schulungen oder Audits etabliert werden.

Viertens verlangt § 8 LkSG die Einrichtung eines zugänglichen Beschwerdeverfahrens, über das Personen aus der Lieferkette — Arbeitnehmer bei Lieferanten, betroffene Gemeinden — Hinweise auf Verstöße einreichen können. Fünftens ist die Umsetzung aller Maßnahmen lückenlos zu dokumentieren (§ 10 Abs. 1 LkSG). Diese Dokumentationspflicht bleibt auch nach der Aussetzung der Berichtspflicht bestehen.

Die Pflichten sind nach Einflussmöglichkeiten abgestuft: Im eigenen Geschäftsbereich und bei direkten Zulieferern gelten sie uneingeschränkt. Bei mittelbaren Zulieferern — also Lieferanten der Lieferanten — greifen die Sorgfaltspflichten nur anlassbezogen, wenn ein konkreter Hinweis auf einen möglichen Verstoß vorliegt. Das BAFA als zuständige Aufsichtsbehörde kann Geschäftsräume betreten, Auskünfte verlangen und bei Verstößen Zwangsgelder sowie Bußgelder verhängen.

Unternehmen, die einen Bußgeldbescheid ab einer bestimmten Mindesthöhe erhalten, können zudem für bis zu drei Jahre von der Vergabe öffentlicher Aufträge ausgeschlossen werden (§ 22 LkSG in Verbindung mit § 124 GWB). Für Unternehmen, die im öffentlichen Beschaffungsmarkt aktiv sind, ist das ein erhebliches Reputations- und Umsatzrisiko.

Was müssen KMU unter 1.000 Mitarbeitenden jetzt tun?

KMU unter der Schwelle von 1.000 Mitarbeitenden sind nicht direkt durch das LkSG verpflichtet — aber faktisch erheblich betroffen. Denn verpflichtete Unternehmen müssen ihre eigenen Sorgfaltspflichten auch gegenüber direkten Zulieferern durchsetzen und geben diese Anforderungen vertraglich weiter. Dieser sogenannte Trickle-Down-Effekt trifft jeden KMU-Lieferanten eines großen deutschen Unternehmens.

In der Praxis bedeutet das: Großkunden verlangen Selbstauskunftsbögen zu Arbeitsbedingungen, Umweltstandards und Beschwerdemechanismen. Manche fordern die Unterzeichnung eines Supplier Code of Conduct, der die Kernelemente des LkSG auf den Lieferanten überträgt. Wer diese Anfragen nicht beantworten kann oder will, riskiert die Listenstreichung als qualifizierter Lieferant — unabhängig davon, wie gut die Produktqualität ist.

Sinnvolle Mindest-Maßnahmen für KMU unter 1.000 Mitarbeitenden: Erstellen Sie eine interne Übersicht Ihrer wichtigsten Lieferanten nach Herkunftsländern und Risikoeinschätzung. Formulieren Sie eine kurze schriftliche Grundsatzposition zu Menschenrechten und Umweltstandards in Ihrer Lieferkette. Benennen Sie eine interne Ansprechperson für Lieferanten-Compliance-Anfragen. Richten Sie einen einfachen, dokumentierten Meldekanal ein — das kann zunächst eine dedizierte E-Mail-Adresse sein.

Relevant ist auch § 2 Abs. 7 LkSG: Er definiert, was unter 'direktem Zulieferer' zu verstehen ist — nämlich Vertragspartner, deren Lieferkette unmittelbar zur Herstellung des Produkts oder der Dienstleistung beiträgt. Wenn Ihr Unternehmen in dieser Rolle steht, sollten Sie die Anforderungen Ihrer Großkunden frühzeitig schriftlich aufnehmen, damit Sie Ihrerseits dokumentieren können, welche Maßnahmen Sie ergriffen haben.

Investieren Sie jetzt in eine schlanke Dokumentationsstruktur: Ein strukturiertes Lieferantenregister, ein zweiseitiger Mustervertrag mit Verhaltenskodex und eine interne Risikoklassifikation nach Lieferantenland und Warengruppe reichen für die meisten KMU-Lieferketten als Einstieg aus. Das schützt Ihre Großkundenverträge und legt die Basis für spätere CSDDD-Anforderungen.

Was bringt die EU-Lieferkettenrichtlinie CSDDD?

Das LkSG wird langfristig durch ein nationales Umsetzungsgesetz zur EU-Richtlinie CSDDD (Corporate Sustainability Due Diligence Directive, Richtlinie (EU) 2Kontaktmöglichkeit) ersetzt. Der deutsche Gesetzgeber hat laut aktueller Rechtslage bis zum 26. Juli 2028 Zeit zur Umsetzung. Für die Übergangszeit bleibt das LkSG in seiner angepassten Form in Kraft.

Die Trilog-Einigung zur CSDDD vom Dezember 2025 sieht signifikante Entschärfungen gegenüber dem ursprünglichen Kommissionsvorschlag vor: Der Schwellenwert liegt nach der vorläufigen Einigung bei 5.000 Beschäftigten und einem Nettoumsatz von 1,5 Mrd. Euro — deutlich höher als die aktuellen LkSG-Schwellen. Für den deutschen Mittelstand bedeutet das: Die Direktbetroffenheit sinkt zunächst, bevor die CSDDD in nationales Recht gegossen wird.

Inhaltlich orientiert sich die CSDDD stark am LkSG, enthält aber wichtige Unterschiede: Sie umfasst die gesamte Aktivitätskette (nicht nur die Lieferkette rückwärts, sondern auch den Vertrieb), sieht eine zivilrechtliche Haftung der Unternehmen vor und verlangt einen Klimatransformationsplan. Letzterer Punkt ist im Omnibus-Verfahren noch strittig. Klar ist: Wer jetzt LkSG-konforme Prozesse aufbaut, ist für die CSDDD gut gerüstet.

Für strategisch denkende Geschäftsführer empfiehlt sich eine Zwei-Stufen-Vorbereitung: Kurzfristig (heute bis 2027) die LkSG-Mindeststandarderfüllung sichern und dokumentieren — denn auch in der Übergangszeit prüft das BAFA weiterhin. Mittelfristig (ab 2027) die eigenen Compliance-Strukturen auf die CSDDD-Standards hochrüsten, insbesondere Lieferantenaudits ausweiten und einen internen Aktionsplan für die gesamte Wertschöpfungskette entwickeln. Die frühe Investition zahlt sich aus, weil regulatorische Aufholarbeit unter Zeitdruck teurer ist.

Fazit

Das LkSG ist kein Papier-Tiger, auch wenn die Berichtspflicht gerade ausgesetzt ist. Die materiellen Sorgfaltspflichten — Risikoanalyse, Präventionsmaßnahmen, Beschwerdeverfahren und Dokumentation — bleiben vollständig in Kraft und werden vom BAFA weiterhin überwacht. Wer als Zulieferer eines Großunternehmens tätig ist, sollte jetzt handeln: Lieferantenregister strukturieren, eine interne Ansprechperson benennen und vertragliche Anforderungen schriftlich aufnehmen. Wer ab 1.000 Mitarbeitenden direkt verpflichtet ist, sollte die aktuelle Reformphase nutzen, um schlankere, aber tragfähige Compliance-Prozesse zu etablieren, die auch die kommende CSDDD abdecken.