Welche Auswirkung hat das Lieferkettengesetz auf den E-Commerce?

Das Gesetz verlangt, ein Risikomanagement mit Zuständigkeiten inklusive Risikoanalyse durchzuführen. Diese Analyse ist für jedes Unternehmen individuell. Sie muss regelmäßig aktualisiert werden. Einmal im Jahr muss ein Bericht für die Entscheidungsträger erstellt werden. Das wird alles ähnlich aufwändig wie die Umsetzung der Datenschutz-Grundverordnung.

Die Sorgfaltspflichten beziehen sich auf internationale Übereinkommen zum Schutz der Menschenrechte. Diese Übereinkommen sind im Anhang des "Gesetzes über die unternehmerischen Sorgfaltspflichten zur Vermeidung von Menschenrechtsverletzungen in Lieferketten" aufgelistet. So lautet übrigens die offizielle Bezeichnung des Lieferkettengesetzes.

Das Gesetz bezieht sich beispielsweise auf Übereinkommen über Zwangsarbeit, über die Vereinigungsfreiheit und den Schutz des Vereinigungsrechtes - Stichwort Gewerkschaften - und über das Verbot und die Beseitigung von Kinderarbeit.

Es geht aber auch um den Schutz vor giftigen Stoffen, zum Beispiel vor Quecksilber, wie ihn die Minamata-Konvention der Vereinten Nationen vorschreibt. Auch auf den Schutz vor persistenten organischen Schadstoffen nimmt das Gesetz Bezug. Es soll also auch den Umweltschutz stärken.

Unterschieden wird in den eigenen Geschäftsbereich, in unmittelbare und mittelbare Zulieferer. Der eigene Geschäftsbereich betrifft das Unternehmen selbst mit seiner gesamten, eigenen Geschäftstätigkeit: Maßgebend ist jede Tätigkeit eines Unternehmens zur Erreichung des Unternehmensziels, also jede Tätigkeit zur Herstellung und Verwertung von Produkten und zur Erbringung von Dienstleistungen, unabhängig davon, ob sie an einem Standort im In- oder Ausland vorgenommen wird.

Unmittelbare Zulieferer sind alle direkten Vertragspartner eines Unternehmens, deren Zulieferungen für die Herstellung des Produktes oder zur Erbringung und Inanspruchnahme der betreffenden Dienstleistung notwendig sind. Es handelt sich um alle Zulieferer, die einem Unternehmen Waren liefern oder die Dienstleistungen erbringen.

Mittelbare Zulieferer sind die sonstigen Unternehmen, die selbst keine unmittelbare Vertragsbeziehung mit dem eigenen Unternehmen haben, aber deren Zulieferungen für die Herstellung des Produktes oder zur Erbringung und Inanspruchnahme der betreffenden Dienstleistung notwendig sind.

Die Unterscheidung ist praktisch wichtig, da es unterschiedliche Stufen gibt, wie die Sorgfaltspflichten innerhalb der Lieferkette umzusetzen sind: Im eigenen Geschäftsbereich und gegenüber unmittelbaren Zulieferern, also bei dem direkten Vertragspartner, besteht grundsätzlich die Pflicht zu einer Risikoanalyse. Außerdem müssen Präventions- und Abhilfemaßnahmen umgesetzt werden.

Wenn ein Unternehmen "substantiierte Kenntnis" über eine Menschenrechtsverletzung bei einem mittelbaren Zulieferer hat, muss es auch dort eine Risikoanalyse sowie Präventions- und Abhilfemaßnahmen durchführen.

Als Lieferkette zählt alles von der Gewinnung von Rohstoffen zur Lieferung des Produktes an den Endkunden. Sie umfasst laut Gesetz "alle Schritte im In- und Ausland, die zur Herstellung der Produkte oder zur Erbringung der Dienstleistungen erforderlich sind". Dazu gehört auch die Inanspruchnahme von notwendigen Dienstleistungen, wie zum Beispiel der Transport oder die Zwischenlagerung von Waren.

Substantiierte Kenntnis bedeutet, das Unternehmen hat tatsächliche Anhaltspunkte, die eine Verletzung einer menschenrechtsbezogenen oder einer umweltbezogenen Pflicht bei mittelbaren Zulieferern möglich erscheinen lassen. Zwei Beispiele: Über das unternehmenseigene Beschwerdesystem geht eine Information zu einem mittelbaren Zulieferer ein. Oder es gibt ernst zu nehmende Informationen über die Ausbeutung von Beschäftigten des mittelbaren Zulieferers in den Medien.

Ab dem 1. Januar 2024 gilt "die volle Härte" des Lieferkettengesetzes auch für mittelständische Unternehmen. Das Gesetz spricht aber von "angemessener" Umsetzung der Sorgfaltspflichten. Unter "Angemessenheit" wird erwogen, wie groß der Umfang der Geschäftstätigkeit ist und wie stark das Unternehmen überhaupt auf den unmittelbaren Verursacher der Menschenrechtsverletzung Einfluss nehmen kann. Damit wird berücksichtigt, dass die Unternehmensaktivitäten und der Grad der Einflussnahme auf die jeweilige Lieferkette unterschiedlich sein können.

Unternehmen müssen einen Risikomanagement-Prozess einrichten, die Zuständigkeiten im Unternehmen regeln und regelmäßig Risikoanalysen durchführen. Zudem müssen sie Präventionsmaßnahmen im eigenen Geschäftsbereich und gegenüber unmittelbaren Zulieferern installieren und gegebenenfalls Abhilfemaßnahmen durchführen. Sie müssen ein Beschwerdeverfahren einrichten, eine Dokumentation einführen und regelmäßig Berichte erstellen. Das Ergebnis der Risikoanalyse für den eigenen Geschäftsbereich und die unmittelbaren Zulieferer muss in Berichtsform an die Entscheidungsträger, zum Beispiel an den Vorstand im Unternehmen, kommuniziert werden.

Als mittelbare Zulieferer von großen Unternehmen müssen sie die Gesetze genauso befolgen, also Risikoanalysen durchführen und gegebenenfalls präventiv tätig werden oder Abhilfe schaffen. Kleine und mittelständische Unternehmen müssen also insgesamt mit den großen Unternehmen, mit denen sie zusammenarbeiten, kooperieren. Auch die KMU müssen daher entsprechende Prozesse einrichten, damit sie überhaupt die erforderlichen Analysen und Informationen parat haben.

Es ist wahrscheinlich, dass kleinere Unternehmen als unmittelbare Zulieferer von großen Unternehmen gezwungen sind, vertragliche Regelungen zur Einhaltung zum Beispiel von Menschenrechten einzuhalten und entsprechende Sorgfaltspflichtenprozesse einzurichten, wenn die Vertragsbeziehung bestehen soll.

Es kommt immer darauf an, womit ein Online-Händler seinen Umsatz macht. Generell gilt: Wenn sein Unternehmen weniger als 1.000 Mitarbeiter hat, ist er nicht dazu verpflichtet, das Lieferkettengesetz einzuhalten. Wenn ein Online-Händler mittelbarer Zulieferer eines großen Unternehmens ist, ist zu erwarten, dass die großen Unternehmen auf die kleinen zukommen und fragen werden: Ihr seid Teil der Lieferkette, wie sieht es bei Euch aus?

Von großen Unternehmen wie Zalando & Co erwartet das Gesetz zwar keine "Garantie", dass alle Risiken und Verletzungen innerhalb der Lieferkette behoben werden. Allerdings müssen diese Unternehmen ihre gesamte Lieferkette in Bezug auf die Risiken tatsächlich genau analysieren und dann geeignet Maßnahmen zur Behebung ergreifen. Im Hinblick auf die Dokumentations- und Berichtspflichten bestehen also weitreichende Vorgaben.

Wie andere Unternehmen auch müssen sie zeigen, dass sie einen Risikomanagement-Prozess aufgebaut haben. Im Unternehmen muss jemand zuständig sein, der Risiken analysiert, Präventionsmaßnahmen ergreift, zum Beispiel Schulungen oder Trainings durchführt, und regelmäßig darüber berichtet.

Ein Beispiel aus dem Online-Handel: Amazon ist für einen angeschlossenen Marktplatz-Händler ein unmittelbarer Zulieferer einer Dienstleistung. Denn Amazon präsentiert auf der Grundlage eines Dienstleistungsvertrags die Angebote des einzelnen Händlers und übernimmt vielleicht weitere Dienstleistungen wie Fulfillment by Amazon. Ein Marktplatzhändler muss also prüfen, ob Amazon die Pflichten einhält und keine Rechte verletzt. Das wird insbesondere dann interessant, wenn Informationen über Amazon, beispielsweise über Arbeitsbedingungen oder ähnliches in den Medien bekannt werden. Andersherum würde ich den Händler wiederum nicht als Zulieferer von Amazon einordnen, solange der Händler keine Waren an Amazon liefert.

Die Agentur für Wirtschaft und Entwicklung hat für Unternehmen eine Informations-Webseite entwickelt. Dort gibt es insbesondere einen "CSR Risiko-Check". Das ist ein Online-Tool zur Einschätzung der lokalen Menschenrechtssituation sowie zu Umwelt-, Sozial- und Governance-Themen. Mit einem "KMU-Kompass" werden kleine und mittlere Unternehmen dabei unterstützt, ihre Prozesse in Bezug auf die Sorgfaltspflichten zu überprüfen. Die Industrie- und Handelskammern oder Rechtsanwälte sind auch Ansprechpartner.

Als öffentlich-rechtliche Behörde kann die BAFA prüfen, ob Unternehmen ihrer Berichtspflicht nachkommen und sie kann Kontrollen durchführen. Zur Durchsetzung von Maßnahmen können Zwangsgelder von bis zu 50.000 Euro drohen.

Bei Sorgfaltspflichtverstößen kann die BAFA Bußgelder verhängen, deren Höhe sich nach dem Umsatz richtet, konkret bis zu 800.000 Euro oder zwei Prozent des Jahresumsatzes bei Unternehmen mit mehr als 400 Millionen Euro Umsatz. Das kann wesentliche höhere Bußgelder zur Folge haben. Darüber hinaus können Unternehmen bei schweren Verstößen für bis zu drei Jahre von öffentlichen Ausschreibungen ausgeschlossen werden.

Das Gesetz ist erst seit Anfang 2023 in Kraft. Bußgeldverfahren sind uns noch nicht bekannt.

Nach dem aktuellen Stand des Regelungsentwurfes sind die Pflichten für Unternehmen ganz ähnlich geregelt. Der Entwurf orientiert sich ebenfalls an den UN-Leitprinzipien für Wirtschaft und Menschenrechte. Ein Anwendungskriterium ist ebenfalls die Anzahl der Mitarbeiter. Die Schwelle ist mit 500 Beschäftigten jedoch geringer angesetzt. Nach dem geplanten EU-Entwurf kommt mit dem Umsatz aber ein weiteres Kriterium hinzu, der mindestens bei 150 Millionen liegen muss.

Wichtig ist: Die EU-Regelungen sind als Richtlinie geplant. EU-Richtlinien gelten nicht unmittelbar. Im Gegensatz zu einer Verordnung, zum Beispiel der Datenschutz-Grundverordnung, müssen die Regelungen dann noch in nationale Gesetze umgesetzt werden. Hier dürfte es daher nochmals zu Anpassungen im deutschen Lieferkettengesetz kommen.

Es wird beim Lieferkettengesetz ähnlich laufen wie bei der Umsetzung der Datenschutz-Grundverordnung: Unternehmen müssen Prozesse einrichten, um den Pflichten gerecht werden können. Sie müssen sich darauf einstellen, dass sie diese Prozesse regelmäßig anpassen müssen. Ähnlich wie bei der DSGVO wird die Berichtspflicht die Unternehmen jetzt ständig begleiten.

Alle betroffenen Unternehmen müssen daher anhand ihrer Lieferketten identifizieren, wo sie selbst Geschäftsbereiche haben oder unmittelbare und mittelbare Zulieferer sind. Daraus ergeben sich dann die konkreten Pflichten zur Umsetzung der jeweiligen Prozesse.