Internationale Lieferketten

KMU-Praxisleitfaden: Lieferketterisiken erkennen und steuern

von Tim Hagemann

Seit Einführung des deutschen Lieferkettensorgfaltspflichtengesetzes (LkSG) werden KMU zunehmend mit menschenrechtlichen und umweltbezogenen Anforderungen ihrer Kunden konfrontiert. Mit der europäischen Lieferkettenrichtlinie (CSDDD) dürfte diese Entwicklung weiter zunehmen. Der Leitfaden zeigt, wie KMU die dafür erforderlichen Informationen strukturiert erfassen, konkrete Risiken von allgemeinen Risikohinweisen unterscheiden und mit vertretbarem Aufwand geeignete Maßnahmen festlegen können.

1. Einleitung

Menschenrechtliche und umweltbezogene Sorgfaltspflichten treffen KMU häufig nicht unmittelbar. Das LkSG gilt grundsätzlich erst für Unternehmen mit mindestens 1.000 Beschäftigten im Inland. Die europäische Lieferkettenrichtlinie (CSDDD) setzt nach ihrer Änderung im Jahr 2026 noch deutlich höhere Schwellenwerte an.
In der Praxis müssen sich dennoch auch KMU zunehmend mit entsprechenden Anforderungen auseinandersetzen. Das gilt vor allem dann, wenn sie größere Unternehmen beliefern, die selbst gesetzlichen Sorgfaltspflichten unterliegen. Um diese Pflichten zu erfüllen, fragen Kunden bei ihren Zulieferern regelmäßig Nachhaltigkeitsinformationen ab, nutzen dafür Beschaffungsplattformen oder standardisierte Fragebögen, verlangen Lieferantenkodizes oder ergänzen ihre Verträge um menschenrechtliche und umweltbezogene Vorgaben. Auch Unternehmen, die selbst nicht unter ein Lieferkettengesetz fallen, müssen deshalb häufig Angaben zu Produktionsstandorten, Arbeitsbedingungen, Rohstoffherkünften oder eigenen Zulieferunternehmen bereitstellen.
Hinweis: Siehe zur indirekten Betroffenheit von KMU durch das LkSG auch die Auswertung unserer großen IHK-Umfrage zu LkSG und CSDDD von 2025.
Rechtlich ist diese Weitergabe von Anforderungen nicht grenzenlos. Nach Auffassung des BAFA dürfen Pflichten aus dem LkSG insbesondere nicht pauschal auf Zulieferunternehmen abgewälzt werden. In der Praxis sind weitreichende Abfragen, umfassende Nachhaltigkeitsklauseln und Verpflichtungen zur Weitergabe entsprechender Anforderungen entlang der Lieferkette dennoch weiterhin verbreitet.
Wichtig: Für KMU muss daraus kein aufwendiges Compliance-System entstehen. In vielen Fällen genügt zunächst eine einfache Lieferantenübersicht, ergänzt um Herkunfts- und Risikoinformationen zu besonders relevanten Beschaffungen. Erst wenn sich daraus erhöhte Risiken oder konkrete Hinweise ergeben, werden zusätzliche Informationen eingeholt oder Maßnahmen gegenüber dem betreffenden Zulieferunternehmen geprüft. Eigene IT-Systeme, umfangreiche Standardfragebögen oder regelmäßige Audits sind dafür nicht erforderlich.
EIne wichtige Praxishilfe stellt der KMU-Kompass des Helpdesk Wirtschaft & Menschenrechte dar. Dieser unterstützt KMU schrittweise beim Aufbau eines risikobasierten Lieferkettenmanagements. Neben Erläuterungen stehen dort unter anderem ein Risikoanalyse-Tool, Checklisten und weitere Vorlagen kostenfrei zur Verfügung.

2. Lieferkette und Beschaffungsstruktur erfassen

Bevor einzelne Risiken bewertet werden können, müssen Unternehmen zunächst wissen, was wo und von wem bezogen wird. Dafür ist kein vollständiges digitales Abbild der gesamten Lieferkette erforderlich. Gerade für kleinere Unternehmen reicht es zunächst aus, die wesentlichen Beschaffungen strukturiert zu erfassen.
Hinweis: Für den Einstieg kann dafür eine einfache Tabelle ausreichen. Eine besondere Software oder ein eigenes Nachhaltigkeitsmanagementsystem ist nicht erforderlich. Entscheidend ist, dass die vorhandenen Informationen an einer Stelle zusammengeführt und bei Bedarf ergänzt werden können
Für wichtige Produktgruppen, Rohstoffe und Dienstleistungen sollten mindestens folgende Informationen vorliegen:
Information Leitfrage
Produkt oder Dienstleistung Was wird beschafft?
Unmittelbares Zulieferunternehmen Mit welchem Unternehmen besteht die Vertragsbeziehung?
Produktionsstandort Wo wird tatsächlich hergestellt oder gearbeitet?
Wesentliche Rohstoffe und Vorprodukte Welche Bestandteile können besondere Risiken aufweisen?
Herkunft Wo werden diese Rohstoffe oder Vorprodukte gewonnen beziehungsweise hergestellt?
Weitere beteiligte Unternehmen Werden Unterauftragnehmer, Personaldienstleister oder Vermittlungsagenturen eingesetzt?
Vorhandene Informationen Liegen bereits Fragebögen, Auditberichte, Zertifikate, Beschwerden oder behördliche Informationen vor?
Die dafür benötigten Informationen müssen häufig nicht neu erhoben werden. Ein Teil liegt bereits im Einkauf oder (sofern vorhanden) im Qualitäts- oder Umweltmanagement, in der Rechtsabteilung oder in bestehenden Lieferantenbewertungen vor. Gerade bei KMU ist es sinnvoll, diese Informationen zusammenzuführen, statt parallel ein neues Nachhaltigkeitssystem aufzubauen.
Wichtig ist außerdem die Unterscheidung zwischen dem Vertragspartner und dem tatsächlichen Produktionsort. Für die Risikobewertung ist nicht die Rechnungsadresse, sondern der Ort maßgeblich, an dem tatsächlich produziert, verarbeitet oder ein relevanter Rohstoff gewonnen wird.
Dabei muss die Lieferkette nicht von Beginn an bis zum letzten Vorlieferunternehmen bekannt sein. Ist beispielsweise die Herkunft eines Vorprodukts zunächst unklar, kann diese Informationslücke dokumentiert werden. Ob weitere Nachforschungen erforderlich sind, hängt davon ab, wie risikobehaftet das Produkt, die Branche oder das vermutete Herkunftsland ist.

3. Länder-, Branchen- und Produktrisiken ermitteln

Im nächsten Schritt geht es noch nicht darum, einen konkreten Verstoß bei einem bestimmten Zulieferunternehmen festzustellen. Zunächst wird geprüft, ob eine Beschaffung aufgrund ihres Landes, der Branche, des Produkts oder der Produktionsbedingungen grundsätzlich genauer betrachtet werden sollte.
Beispiel: Ein Metallbauteil aus Schweden wird anders eingeordnet als ein handwerklich gefertigtes Natursteinprodukt aus einem Land, in dem Kinderarbeit in diesem Sektor dokumentiert ist. Ebenso kann Baumwolle aus einer Region mit bekannten Zwangsarbeitsrisiken eine genauere Prüfung rechtfertigen, auch wenn der unmittelbare Textillieferant seinen Sitz in der Europäischen Union hat.
Für eine erste Einordnung können vier Fragen helfen:
  • Welche Risiken bestehen im Produktionsland?
    Relevant sind beispielsweise Defizite beim Arbeitsschutz, Kinder- oder Zwangsarbeit, Einschränkungen von Arbeitnehmerrechten oder eine schwache Durchsetzung von Umweltvorschriften.
  • Welche Risiken sind für die Branche typisch?
    In der Textilproduktion stellen sich andere Fragen als im Bergbau, in der Landwirtschaft oder bei der Herstellung elektronischer Bauteile.
  • Gibt es besondere Produkt- oder Rohstoffrisiken?
    Bestimmte Rohstoffe sind etwa mit Konfliktfinanzierung, Zwangsarbeit, Kinderarbeit oder erheblichen Umweltbelastungen verbunden.
  • Gibt es Besonderheiten des Produktionsmodells?
    Ein hoher Anteil migrantischer Arbeitskräfte, der Einsatz von Vermittlungsagenturen, Saisonarbeit oder zahlreiche Unterauftragnehmer können zusätzliche Risiken begründen.
Ein guter Ausgangspunkt ist die vom BAFA veröffentlichte Quellenübersicht ihrer internen Risikodatenbank. Das BAFA legt dort offen, welche öffentlich zugänglichen Quellen es für die Bewertung von Länder-, Branchen- und Rohstoffrisiken heranzieht. Die Datenbank selbst ist zwar nicht öffentlich, die Quellenübersicht soll Unternehmen aber gerade eine Orientierung für die eigene Recherche geben. Für einzelne Risiken stehen weitere amtliche Quellen zur Verfügung. Das US-Arbeitsministerium führt beispielsweise eine nach Produkten und Herkunftsländern gegliederte List of Goods Produced by Child Labor or Forced Labor. Die Liste ist ausdrücklich auch als Informationsquelle für Risikoanalysen in Lieferketten gedacht. Der Universal Human Rights Index des UN-Hochkommissariats für Menschenrechte ermöglicht daneben eine länder- und themenbezogene Recherche in den Feststellungen und Empfehlungen der UN-Menschenrechtsorgane. Bei Zinn, Tantal, Wolfram und Gold können außerdem die Informationen der Europäischen Kommission zur EU-Konfliktmineralienverordnung herangezogen werden. Die Kommission stellt dort auch Hinweise zur Identifizierung von Konflikt- und Hochrisikogebieten bereit.
Wichtig ist die richtige Einordnung solcher Quellen. Steht beispielsweise Baumwolle aus einem bestimmten Staat auf einer Risikoliste, folgt daraus nicht, dass der konkrete Baumwollzulieferer Zwangsarbeit einsetzt. Die Information zeigt zunächst nur, dass die Herkunft bei der weiteren Prüfung berücksichtigt werden sollte.
Hinweis: Wer die Ergebnisse nicht in einem eigenen Schema zusammenführen möchte, kann hierfür auch das Risikoanalyse-Tool des KMU-Kompasses nutzen. Es unterstützt dabei, Risiken entlang der Wertschöpfungskette zu erfassen, mit einer einfachen dreistufigen Skala zu bewerten und anschließend zu priorisieren.“

4. Risiken bei Zulieferern ermitteln

Ergibt die erste Prüfung erhöhte Risiken, fehlen wesentliche Informationen oder liegen bereits konkrete Hinweise auf Probleme vor, sollte die jeweilige Lieferbeziehung genauer betrachtet werden.
Hinweis: Je konkreter die Frage, desto besser ist in der Regel auch die Antwort. Allgemeine Selbstauskünfte wie „Unser Unternehmen beachtet die Menschenrechte“ helfen bei der Bewertung eines konkreten Risikos kaum weiter.
Bestehen beispielsweise Hinweise auf mögliche Zwangsarbeit, können folgende Fragen sinnvoll sein:
  • Werden Arbeitskräfte über Vermittlungsagenturen angeworben?
  • Müssen Beschäftigte für Vermittlung, Einstellung oder Anreise Gebühren zahlen?
  • Können Beschäftigte jederzeit über ihre Ausweis- und Reisedokumente verfügen?
  • Werden Löhne vollständig und regelmäßig ausgezahlt?
  • Können Beschäftigte das Arbeitsverhältnis tatsächlich beenden?
  • Bestehen Schulden gegenüber dem Unternehmen oder einer Vermittlungsagentur?
  • Können Beschäftigte außerhalb der Arbeitszeit Betriebsgelände und Unterkünfte verlassen?
Bei einem erhöhten Arbeitsschutzrisiko sind dagegen andere Informationen sinnvoll. Das Unternehmen sollte dann beispielsweise nach der letzten Gefährdungsbeurteilung, nach der Zahl meldepflichtiger Arbeitsunfälle, nach vorhandener persönlicher Schutzausrüstung oder nach behördlichen Beanstandungen befragt werden.
Geht es um ein mögliches Umweltproblem, können Genehmigungen für bestimmte Anlagen, behördliche Messberichte, Angaben über gefährliche Stoffe, Abfallentsorgung oder dokumentierte Grenzwertüberschreitungen aussagekräftiger sein als ein allgemeines Umweltzertifikat.

a) Entgegenstehendes ausländisches Recht

Wer Informationen bei ausländischen Zulieferern erhebt, muss außerdem prüfen, ob diese Daten überhaupt erhoben und nach Deutschland übermittelt werden dürfen. Relevant können vor allem Datenschutzrecht, Vorschriften über Geschäftsgeheimnisse, Datensicherheitsrecht oder besondere Regelungen für einzelne Branchen sein.
Aktuell zeigt sich dies besonders deutlich bei China. Seit April 2026 regelt das chinesische Dekret Nr. 834 zur Sicherheit von Industrie- und Lieferketten ausdrücklich auch rechtswidrige Informationserhebungen im Zusammenhang mit Lieferketten. Daraus folgt allerdings kein generelles Verbot von Lieferantenbefragungen oder Audits. Art. 13 knüpft vielmehr daran an, dass die Informationserhebung gegen andere chinesische Rechtsvorschriften verstößt. Überwiegend wird die Ansicht vertreten, dass gewöhnliche Lieferkettenprüfungen nicht allein aufgrund ihres Zwecks unzulässig werden.
In der Praxis kommt es deshalb darauf an, welche Daten tatsächlich erhoben werden. Bei personenbezogenen Daten, bestimmten als „wichtig“ eingestuften Daten oder sektorspezifisch geschützten Informationen können zusätzliche Anforderungen gelten. Chinesische Behörden haben zugleich klargestellt, dass Daten, die von den zuständigen Behörden weder als wichtige Daten mitgeteilt noch entsprechend veröffentlicht wurden, für die Datenausfuhr nicht allein vorsorglich als solche behandelt werden müssen.
Für KMU folgt daraus vor allem ein praktischer Grundsatz: Es sollten nur solche Informationen angefordert werden, die für die konkrete Risikobewertung tatsächlich benötigt werden.

b) Was tun, wenn Informationen fehlen?

Gerade KMU stoßen bei der Informationsbeschaffung schnell an Grenzen. Ein Zulieferunternehmen kennt möglicherweise selbst nicht die gesamte vorgelagerte Lieferkette, möchte Angaben zu Vorlieferanten nicht offenlegen oder reagiert auf Nachfragen überhaupt nicht. Bei kleinen Bestellvolumen fehlt zudem häufig die wirtschaftliche Stellung, um zusätzliche Auskünfte oder Auditrechte durchzusetzen.
In diesem Fall sollte zunächst geklärt werden, welche Informationen für die Risikobewertung tatsächlich fehlen. Statt beispielsweise die vollständige Lieferkette offenzulegen, kann es ausreichen, den Produktionsstandort, das Herkunftsland eines bestimmten Rohstoffs oder den Einsatz von Vermittlungsagenturen zu bestätigen. Lassen sich sensible Informationen nicht unmittelbar herausgeben, kommen je nach Fragestellung auch anonymisierte Angaben, vorhandene Auditberichte, Zertifikate oder andere geeignete Nachweise in Betracht.
Bleibt ein Zulieferunternehmen trotz konkreter Nachfrage untätig, sollte dies dokumentiert werden. Die fehlende Auskunft ist dabei nicht automatisch ein Beweis für einen Menschenrechts- oder Umweltverstoß. Sie bedeutet aber, dass ein zuvor erkanntes Risiko nicht abschließend geklärt werden konnte. Für die weitere Bewertung können dann öffentliche Länder-, Branchen- und Produktrisiken, bereits vorhandene Unterlagen und sonstige Erkenntnisse herangezogen werden.
Ein KMU muss eine Informationslücke deshalb nicht um jeden Preis schließen. Entscheidend ist, wie schwer das Risiko wiegt und welche anderen Informationen verfügbar sind. Je geringer das zugrunde liegende Risiko, desto eher kann es ausreichen, die fehlende Auskunft zu dokumentieren und das Thema bei einer späteren Überprüfung erneut aufzugreifen. Geht es dagegen beispielsweise um mögliche Zwangsarbeit oder schwere Arbeitsschutzmängel, sollte stärker nachgefasst werden. Möglich sind ein Gespräch mit der Geschäftsleitung des Zulieferers, die Einschaltung des eigenen direkten Vertragspartners oder – sofern wirtschaftlich realistisch – die Suche nach einem alternativen Lieferunternehmen.
Praxisbeispiel:
Ein KMU bezieht elektronische Bauteile von einem großen asiatischen Hersteller und möchte wissen, aus welcher Region ein bestimmter Rohstoff stammt. Der Hersteller verweigert Angaben zu seinen Vorlieferanten.

Das KMU muss deshalb nicht versuchen, die gesamte Lieferkette selbst zu rekonstruieren. Es kann zunächst nach dem Herkunftsland oder einer Bestätigung fragen, dass der Rohstoff nicht aus einer konkret identifizierten Risikoregion stammt. Bleibt auch diese Information aus, wird die Informationslücke dokumentiert und das Risiko anhand verfügbarer externer Quellen bewertet.

Bei einem hohen menschenrechtlichen Risiko kann anschließend geprüft werden, ob über den Händler, andere Abnehmer oder eine Brancheninitiative weitere Informationen erhältlich sind oder mittelfristig eine alternative Bezugsquelle aufgebaut werden kann.

5. Risiken bewerten und Schwerpunkte setzen

Nach der Informationssammlung stellt sich die Frage, welche Risiken zuerst bearbeitet werden sollten. Ein komplexes Scoring-Modell ist dafür nicht zwingend erforderlich. Stattdessen sollten zunächst Schwere und Wahrscheinlichkeit der möglichen Beeinträchtigung im Mittelpunkt stehen.
Bei der Schwere ist insbesondere zu berücksichtigen,
  • wie gravierend die mögliche Beeinträchtigung wäre,
  • wie viele Personen oder welches Gebiet betroffen sein könnten,
  • ob ein eingetretener Schaden rückgängig gemacht oder ausgeglichen werden kann.
Bei der Wahrscheinlichkeit werden die abstrakten Länder-, Branchen- und Produktrisiken mit den konkreten Erkenntnissen über den Produktionsstandort zusammengeführt. Ein konkreter Bericht über schwere Arbeitsunfälle oder ein wiederholt gemeldeter Verstoß wiegt deshalb anders als ein lediglich allgemein erhöhtes Branchenrisiko.
Hinweis: Für KMU reicht häufig eine Einteilung in hohes, mittleres und geringes Risiko. Wichtig ist vor allem, kurz festzuhalten, warum ein Risiko entsprechend eingeordnet wurde.
Das Einkaufsvolumen sollte dabei nicht den Ausschlag geben. Ein Rohstoff kann nur einen geringen Anteil der Beschaffungskosten ausmachen und dennoch mit erheblichen Risiken für Beschäftigte oder Umwelt verbunden sein.
Das LkSG verlangt bei den unmittelbar verpflichteten Unternehmen ebenfalls eine Gewichtung und Priorisierung der ermittelten Risiken. Zu den gesetzlichen Angemessenheitskriterien gehören neben Wahrscheinlichkeit und Schwere auch das Einflussvermögen und die Art des eigenen Verursachungsbeitrags, vgl. §§ 3 und 5 LkSG.
Für die praktische Maßnahmenplanung sind gerade die letzten beiden Punkte wichtig: Wer selbst zu einem Risiko beiträgt, muss anders reagieren als ein Unternehmen, das lediglich über mehrere Lieferstufen mit einem Problem verbunden ist. Ebenso unterscheiden sich die Handlungsmöglichkeiten je nachdem, ob ein KMU für ein Lieferunternehmen ein wichtiger Kunde oder nur einer von vielen kleinen Abnehmern ist.

6. Geeignete Präventionsmaßnahmen festlegen

Wird ein relevantes Risiko festgestellt, muss anschließend festgelegt werden, was konkret dagegen getan werden kann.

a) Prüfung der eigenen Einkaufspraktiken

Probleme in der Lieferkette entstehen nicht immer ausschließlich beim Lieferunternehmen. Auch das Verhalten des Abnehmers kann dazu beitragen. Sehr kurzfristige Bestellungen, unrealistische Lieferfristen oder wiederholte Änderungen können beispielsweise zu übermäßigen Arbeitszeiten führen. Dauerhafter Preisdruck kann wiederum Anreize schaffen, beim Arbeitsschutz oder bei der Beschäftigung von Arbeitskräften Kosten einzusparen.
Deshalb sollten auch die eigenen Einkaufspraktiken auf den Prüfstand gestellt werden. Durch angemessene Lieferfristen, verlässliche Zahlungsbedingungen, eine frühzeitige Abstimmung größerer Änderungen und die Berücksichtigung von Sozial- und Umweltaspekten bei der Auswahl und Bewertung von Lieferunternehmen können selbst gesetzte Risiken verhindert werden.

b) Formulierung konkreter Anforderungen

Welche Maßnahme sinnvoll ist, hängt vom zuvor erkannten Risiko ab:
  • Besteht beispielsweise das Risiko, dass Beschäftigte Vermittlungsgebühren zahlen müssen, kann vom Zulieferunternehmen verlangt werden, solche Gebühren künftig nicht mehr auf Beschäftigte abzuwälzen und bereits gezahlte Beträge zu erstatten.
  • Bei Arbeitsschutzmängeln kann vereinbart werden, fehlende Schutzausrüstung bereitzustellen oder technische Sicherheitsmängel innerhalb einer bestimmten Frist zu beheben.
  • Bei einem konkreten Umweltproblem kann es etwa darum gehen, eine fehlende Genehmigung einzuholen, eine beanstandete Entsorgungspraxis zu ändern oder eine festgestellte Grenzwertüberschreitung abzustellen.
Bei Zweifeln, ob die vereinbarte Maßnahme tatsächlich umgesetzt wurde, können anschließend passende Nachweise oder eine gezielte Kontrolle verlangt werden. Das können je nach Fall etwa Zahlungsnachweise über erstattete Vermittlungsgebühren, Fotos einer nachgerüsteten Schutzeinrichtung, behördliche Unterlagen oder ein erneuter Prüfbericht sein. Auch Schulungen sind vor allem dann sinnvoll, wenn sie auf das konkrete Problem zugeschnitten sind.
Ein allgemeiner Lieferantenkodex kann dazu dienen, die eigenen Erwartungen festzuhalten. Er beseitigt aber noch keinen festgestellten Mangel im Arbeitsschutz. Ein Audit kann Informationen liefern. Es erstattet jedoch keine unzulässigen Vermittlungsgebühren und korrigiert keine fehlerhaften Lohnabrechnungen.
Maßnahmen sollten deshalb möglichst an dem Problem ansetzen, das zuvor tatsächlich festgestellt wurde. Das entspricht auch der Systematik des LkSG. Stellt ein verpflichtetes Unternehmen ein relevantes Risiko fest, sind angemessene Präventionsmaßnahmen zu ergreifen.

7. Beschwerden und Hinweise einbeziehen

Allgemeine Länder- und Brancheninformationen zeigen, wo Probleme auftreten können. Konkrete Beschwerden liefern dagegen Hinweise darauf, was an einem konkreten Standort tatsächlich geschieht. KMU müssen nicht allein deshalb ein eigenes Beschwerdeverfahren nach dem LkSG einrichten, weil sie ein verpflichtetes Unternehmen beliefern. Bestehende Meldewege (Meldeportal, Kontaktadresse, Compliance-E-Mail-Adresse etc.) können aber durchaus genutzt werden, um relevante Hinweise aus der Lieferkette aufzunehmen.
Entscheidend ist dabei die tatsächliche Zugänglichkeit. Ein Beschwerdekanal hilft wenig, wenn Beschäftigte am Produktionsstandort weder von seiner Existenz wissen noch verstehen, wie er genutzt werden kann.
Hinweis: Ein eigener zusätzlicher Meldekanal ist für KMU nicht erforderlich. Die folgenden Punkte sind vor allem dann relevant, wenn ein bestehender Kanal auch Beschäftigten oder anderen Personen in der Lieferkette offenstehen soll.
Bei besonders relevanten Lieferunternehmen kann geprüft werden,
  • ob ein Meldeweg vorhanden ist,
  • ob Beschäftigte ihn kennen,
  • ob er in einer verständlichen Sprache erreichbar ist,
  • wie Hinweise geprüft werden,
  • ob hinweisgebende Personen vor Benachteiligung geschützt sind,
  • was nach einer berechtigten Beschwerde tatsächlich geschieht.
Für unmittelbar verpflichtete Unternehmen enthält § 8 LkSG hierzu konkrete Vorgaben. Die BAFA-Handreichung zum Beschwerdeverfahren kann auch für freiwillig eingerichtete Verfahren als Orientierung dienen.

8. Audits und Vor-Ort-Prüfungen gezielt einsetzen

KMU müssen nicht bei jeder erhöhten Risikoeinstufung sofort ein Audit durchführen. Eine Vor-Ort-Prüfung kommt vor allem dann in Betracht, wenn ein schwerwiegendes Risiko mit Dokumenten und Rückfragen nicht ausreichend geklärt werden kann oder konkrete Hinweise auf einen Verstoß vorliegen.
Vorab sollte jedoch festgelegt werden, was genau geprüft werden soll. Geht es beispielsweise um Arbeitszeiten, können Zeiterfassungen, Lohnunterlagen und Produktionspläne miteinander verglichen werden. Bei Zwangsarbeitsrisiken sollten hingegen zusätzlich Verträge mit Vermittlungsagenturen und vertrauliche Gespräche mit Beschäftigten relevant sein. Bei Arbeitsschutzproblemen können Maschinen, Schutzausrüstung und tatsächliche Arbeitsabläufe vor Ort betrachtet werden.
Beschäftigteninterviews sollten ohne Vorgesetzte stattfinden und nicht nur abstrakt abfragen, ob „alles in Ordnung“ ist. Bei vermuteten Zwangsarbeitsrisiken bei der Beschäftigung von Mitarbeitenden sind beispielsweise konkrete Fragen nach Vermittlungsgebühren, Schulden, abgenommenen Reisepässen oder eigenen Kündigungsmöglichkeiten aussagekräftiger.

9. Bei festgestellten Verstößen Abhilfe schaffen

Stellt sich bei der Prüfung heraus, dass eine menschenrechtliche oder umweltbezogene Beeinträchtigung tatsächlich eingetreten ist, sollte gemeinsam mit dem verantwortlichen Zulieferer geklärt werden, wie das Problem beendet oder zumindest verringert werden kann.
Welche Maßnahme dafür erforderlich ist, hängt vom konkreten Problem ab:
  • Fehlt notwendige persönliche Schutzausrüstung, muss sie bereitgestellt und ihre Nutzung sichergestellt werden.
  • Wurden Löhne nicht vollständig gezahlt, sind die ausstehenden Beträge nachzuzahlen.
  • Mussten Beschäftigte unzulässige Vermittlungsgebühren tragen, sollte geklärt werden, wer die Erstattung übernimmt und wie diese nachgewiesen wird.
  • Wurden Reisepässe einbehalten, müssen Beschäftigte wieder selbst darüber verfügen können.
  • Besteht eine konkrete Umweltbelastung, kann die Abhilfe beispielsweise in einer technischen Nachrüstung, einer geänderten Entsorgung oder der Einhaltung behördlich vorgegebener Grenzwerte bestehen.
Kann ein Problem nicht sofort behoben werden, sollte ein Maßnahmenplan erstellt werden. Dieser sollte nicht nur allgemein „Verbesserungen“ verlangen, sondern beispielsweise festhalten:
„Bis 30. Juni sind alle Beschäftigten zu erfassen, die Vermittlungsgebühren gezahlt haben. Bis 31. August werden die nachgewiesenen Beträge erstattet. Das Zulieferunternehmen übermittelt anschließend anonymisierte Zahlungsnachweise.“
Damit lässt sich später tatsächlich kontrollieren, ob eine Abhilfe erfolgt ist.
Die sofortige Beendigung einer Geschäftsbeziehung ist nicht immer die sinnvollste Reaktion. Bei einer realistischen Aussicht auf Verbesserung können konkrete Abhilfemaßnahmen wirksamer und günstiger sein. Vor einer Beendigung sollte deshalb geprüft werden, wie schwer der Verstoß ist, ob das Zulieferunternehmen zur Abhilfe bereit ist, ob die vereinbarten Maßnahmen tatsächlich umgesetzt werden und welche Folgen ein sofortiger Rückzug für betroffene Beschäftigte hätte.

10. Wirksamkeit überprüfen und Risikoanalyse aktualisieren

Eine Maßnahme ist nicht bereits deshalb erfolgreich, weil sie durchgeführt wurde. Hat ein Zulieferer beispielsweise seine Beschäftigten zum Arbeitsschutz geschult, sollte anschließend geprüft werden, ob die festgestellten Gefahren tatsächlich beseitigt wurden.
Mögliche Indikatoren sind unter anderem:
  • Zahl schwerer Arbeitsunfälle vor und nach einer Maßnahme
  • tatsächliche Arbeitszeiten
  • Zahl der Beschäftigten, denen Vermittlungsgebühren erstattet wurden
  • Umsetzung vereinbarter technischer Arbeitsschutzmaßnahmen
  • Zahl und Art eingegangener Beschwerden
  • Bearbeitungsdauer berechtigter Beschwerden
  • Umsetzung behördlich angeordneter Umweltmaßnahmen
  • Ergebnisse eines erneuten Audits oder einer Stichprobenkontrolle
Hinweis: Für die Dokumentation genügt bei KMU in der Regel eine kurze Übersicht, in der das festgestellte Risiko, die vereinbarte Maßnahme, verantwortliche Personen, die Frist und das Ergebnis der Nachkontrolle festgehalten werden. Ein umfangreiches Berichtssystem ist dafür nicht zwingend erforderlich. Die Analyse sollte außerdem angepasst werden, wenn sich relevante Umstände ändern.

11. Checkliste und Praxishilfen

a) Kompakte Checkliste für die Praxis

  1. Zuständigkeit klären:
    Wer bündelt im Unternehmen die Informationen zur Lieferkette und koordiniert Rückfragen?
  2. Vorhandene Informationen zusammenführen:
    Lieferantenstammdaten, Produktionsstandorte, Zertifikate, Auditberichte, Kundenfragebögen und bekannte Beschwerden an einer Stelle erfassen.
  3. Wesentliche Beschaffungen priorisieren:
    Identifikation von Produkten, Rohstoffen, Dienstleistungen und Beschaffungsländern mit erhöhtem Risiko.
  4. Produktionsort und Herkunft klären:
    Soweit für die Bewertung erforderlich feststellen, wo tatsächlich produziert wird und woher besonders risikobehaftete Rohstoffe oder Vorprodukte stammen.
  5. Länder-, Branchen- und Produktrisiken prüfen:
    Belastbare amtliche oder zwischenstaatliche Quellen nutzen und dokumentieren, warum eine Beschaffung näher betrachtet wird.
  6. Bei erhöhtem Risiko gezielt nachfragen:
    Keine pauschalen Standardfragebögen verschicken, sondern konkrete Informationen zum erkannten Risiko anfordern, etwa zu Arbeitszeiten, Vermittlungsgebühren, Arbeitsschutz oder Umweltgenehmigungen.
  7. Fehlende Informationen dokumentieren:
    Reagiert ein Zulieferunternehmen nicht oder kann eine Information nicht beschafft werden, festhalten, was fehlt und welche Versuche zur Klärung unternommen wurden. Fehlende Angaben sind kein Beweis für einen Verstoß, können aber eine abschließende Bewertung verhindern.
  8. Alternativen zur direkten Auskunft prüfen:
    Vorhandene Auditberichte, Zertifikate, anonymisierte Angaben, Informationen des direkten Vertragspartners oder andere belastbare Quellen nutzen, wenn vollständige Lieferantendaten nicht erhältlich sind.
  9. Risiken nachvollziehbar priorisieren:
    Schwere und Wahrscheinlichkeit bewerten und kurz begründen, welche Risiken zuerst bearbeitet werden sollen.
  10. Eigene Einkaufspraktiken mitprüfen:
    Kontrollieren, ob etwa sehr kurze Lieferfristen, häufige Bestelländerungen oder starker Preisdruck zu den erkannten Problemen beitragen können.
  11. Maßnahmen konkret festlegen:
    Nicht nur „Menschenrechte einhalten“ verlangen, sondern beispielsweise fehlende Schutzausrüstung bereitstellen lassen oder eine konkrete Umweltbeanstandung innerhalb einer Frist beheben lassen.
  12. Verantwortung, Frist und Nachweis bestimmen:
    Bei jeder wichtigen Maßnahme festlegen, wer sie umsetzt, bis wann dies geschehen soll und wie die Umsetzung nachgewiesen wird.
  13. Beschwerden und andere Hinweise einbeziehen:
    Bestehende Meldekanäle darauf prüfen, ob auch Hinweise aus der Lieferkette aufgenommen und intern an die richtige Stelle weitergeleitet werden können.
  14. Audits gezielt einsetzen:
    Vor-Ort-Prüfungen nur dort vorsehen, wo Dokumente und Rückfragen ein relevantes Risiko nicht ausreichend klären oder konkrete Hinweise vorliegen.
  15. Lokales Recht beachten:
    Vor umfangreichen Datenerhebungen oder Audits im Ausland prüfen, ob personenbezogene, technische oder sonstige sensible Informationen erhoben und nach Deutschland übermittelt werden dürfen.
  16. Bei festgestellten Verstößen Abhilfe vereinbaren:
    Konkrete Schritte zur Beseitigung des Problems festlegen und nicht bei einer allgemeinen Aufforderung zur „Verbesserung“ stehen bleiben.
  17. Wirksamkeit kontrollieren:
    Nachhalten, ob sich die tatsächlichen Bedingungen verbessert haben und nicht nur ein Dokument, eine Schulung oder ein Audit abgeschlossen wurde.
  18. Bewertung aktualisieren:
    Bei neuen Lieferanten, Produktionsstandorten, Beschaffungsländern, Beschwerden oder anderen wesentlichen Veränderungen erneut prüfen, ob sich die Risikolage geändert hat.

b) Weiterführende Praxishilfen