CSDDD: Was das EU-Lieferkettengesetz für Zulieferer bedeutet

Freitagnachmittag. Der Einkaufsleiter deines wichtigsten Kunden leitet ein PDF weiter: „Verhaltenskodex, bitte bis Montag unterschreiben.“ Du wolltest eigentlich nur Bauteile liefern.

Bei der CSDDD lohnt sich deshalb neben dem Blick auf Beschäftigtenzahlen und Umsatzgrenzen eine weitere Frage: Was soll dein Unternehmen dem Kunden vertraglich zusagen? Hier findest du den aktuellen Stand und einen Ablauf, mit dem du solche Anforderungen prüfen, verhandeln und nachhalten kannst.

Was ist die CSDDD?

Die CSDDD ist die europäische Richtlinie über unternehmerische Sorgfaltspflichten für Menschenrechte und Umwelt, häufig EU-Lieferkettengesetz genannt.

Die Abkürzung steht für Corporate Sustainability Due Diligence Directive. Die Richtlinie (EU) 2024/1760 verlangt von verpflichteten Unternehmen, Risiken zu erkennen, ihnen vorzubeugen und bei Verstößen zu handeln. Sie müssen also prüfen, unter welchen Bedingungen ihre Produkte entstehen und ihre Geschäftspartner arbeiten. Ein unterschriebenes Grundsatzpapier allein erledigt diese Arbeit nicht.

Die Richtlinie ist seit dem 25. Juli 2024 in Kraft. In Kraft heißt hier noch nicht: gilt schon für dein Unternehmen. Die Anwendung beginnt erst 2029.

Wie ist der aktuelle Stand der CSDDD?

Stand 3. November 2026 erfasst die CSDDD durch Omnibus I weniger Unternehmen und greift später, wie die Bundesregierung erläutert.

Die Änderung steht in der Richtlinie (EU) 2026/470, veröffentlicht am 26. Februar 2026. EU-Unternehmen müssen beide Schwellen überschreiten:

Für Unternehmen außerhalb der EU zählt ein Nettoumsatz von mehr als 1,5 Milliarden Euro innerhalb der EU. Die Mitgliedstaaten müssen die Richtlinie bis zum 26. Juli 2028 in nationales Recht umsetzen. Für erfasste Unternehmen beginnt die Anwendung am 26. Juli 2029.

Omnibus I streicht außerdem die einheitliche EU-Regel zur zivilrechtlichen Haftung und die Pflicht zum Klimatransitionsplan. Vorgesehen sind ein risikobasierter Ansatz und eine Bußgeldobergrenze von 3 % des weltweiten Nettoumsatzes.

Für deine Vertragsprüfung heißt das: Frag nach, auf welche geltende oder künftige Anforderung sich dein Kunde bezieht. „Wegen der CSDDD“ erklärt noch nicht jede Klausel im Anhang.

Ist das Lieferkettengesetz noch aktuell?

Ja, das deutsche Lieferkettensorgfaltspflichtengesetz, kurz LkSG, gilt weiterhin. Seit 2024 erfasst es Unternehmen mit mindestens 1.000 Beschäftigten in Deutschland, wie § 1 LkSG festlegt.

Beim aktuellen Stand des LkSG laufen zwei Dinge nebeneinander: Der Bundestag berät über Änderungen, das BAFA hat seine Berichtspraxis schon angepasst.

Der Änderungsentwurf, BT-Drucksache 21/2474, soll die Berichtspflicht streichen und Bußgelder auf schwere Verstöße begrenzen. Er wurde am 16. Januar 2026 an die Ausschüsse überwiesen und ist noch nicht verabschiedet. Der Bundestag führt den Beratungsstand weiterhin als „Überwiesen“.

Die IHK Nord Westfalen fasst die Praxis und die weiteren Pläne zusammen: Seit Herbst 2025 prüft das BAFA keine LkSG-Berichte mehr. Die Sorgfaltspflichten selbst bleiben bestehen. Die Koalition will das LkSG durch ein Gesetz zur Umsetzung der CSDDD ersetzen. Bis daraus ein geltendes Gesetz wird, gilt das LkSG weiter.

Österreich hat kein eigenes nationales Lieferkettengesetz; österreichische Unternehmen begegnen den Anforderungen über deutsche oder andere EU-Kunden sowie künftig über die nationale Umsetzung der CSDDD.

Lass einen bestehenden Kundenvertrag deshalb prüfen, bevor du vereinbarte Nachweise oder Termine wegen einer politischen Ankündigung einfach streichst.

Was ist der Unterschied zwischen CSRD und CSDDD?

Die CSRD verlangt Nachhaltigkeitsberichte, die CSDDD verlangt Sorgfalt bei Menschenrechten und Umwelt in der Lieferkette. Wenn ein Unternehmen unter beide fällt, knüpft die CSDDD-Berichterstattung an die CSRD an. Beim Kundenfragebogen ist deshalb die erste Frage: Braucht dein Kunde Daten für seinen Bericht oder für die Prüfung eines konkreten Risikos?

Warum betrifft die CSDDD auch den Mittelstand?

Die CSDDD kann den Mittelstand über Kundenanforderungen erreichen, obwohl KMU selbst nicht unter die Richtlinie fallen.

Dieser Weg ist beim deutschen Lieferkettengesetz bereits sichtbar: In den Ergebnissen der IHK Region Stuttgart von 2025 entfallen 33 % auf indirekt betroffene KMU, 12 % auf direkt verpflichtete Unternehmen und 55 % auf nicht betroffene Unternehmen.

Der Kunde muss seine Lieferbeziehungen prüfen und braucht dafür deine Mitarbeit. Das LkSG sieht bei unmittelbaren Zulieferern ausdrücklich eine vertragliche Zusicherung zur Einhaltung menschenrechts- und umweltbezogener Erwartungen sowie angemessene vertragliche Kontrollmechanismen vor, geregelt in § 6 Absatz 4 LkSG.

Auch die CSDDD verlangt, dass verpflichtete Unternehmen entsprechende Zusicherungen zur Einhaltung ihres Verhaltenskodex von direkten Geschäftspartnern einholen. Leitlinien zu freiwilligen Mustervertragsklauseln muss die Kommission bis zum 26. Juli 2027 annehmen, nach der geänderten Richtlinie.

Wie viel Arbeit daraus werden kann, zeigt das IfM Bonn: Bei einem Maschinenbauer waren für Informationen zu Lieferketten und Nachhaltigkeit inzwischen rund 90 Seiten pro Kunde auszufüllen. Die Fragen waren zwar ähnlich, aber nicht standardisiert. Jeder Kunde wollte seine eigene Fassung, was den Aufwand zusätzlich erhöhte. Stell dir diesen Fragebogen am Freitagnachmittag vor.

Die Bundesregierung nennt allerdings auch eine Grenze für Informationsanfragen nach der CSDDD: Von Geschäftspartnern mit weniger als 5.000 Beschäftigten dürfen verpflichtete Unternehmen grundsätzlich nur Informationen verlangen, die sie nicht mit zumutbarem Aufwand anderswo beschaffen können.

Welche Klauseln landen in deinen Kundenverträgen?

Prüfen solltest du vor allem Verhaltenskodizes, Zusicherungen, Auskunftspflichten, Kontrollrechte und die Folgen eines Verstoßes; diese Formen der Zusammenarbeit beschreibt die BAFA-Handreichung, zusammengefasst von der IHK Köln.

Lies die Unterlagen mit diesen Fragen im Kopf:

• Verhaltenskodex für Lieferanten: Welche Anforderungen sollst du einhalten, und welche Fassung wird Vertragsbestandteil? Prüfe auch, ob spätere Änderungen automatisch für dich gelten sollen.
• Vertragliche Zusicherung: Was versprichst du für deinen Betrieb, und welche Anforderungen sollst du an eigene Lieferanten weitergeben? Achte auf pauschale Garantien für Vorgänge, die du weder prüfen noch beeinflussen kannst.
• Auskunfts- und Fragebogenpflichten: Welche Informationen musst du wann liefern? Kläre den Zweck der Anfrage, realistische Antwortfristen und den Umgang mit vertraulichen Angaben.
• Audit- und Kontrollrechte: Wer darf welche Unterlagen oder Standorte prüfen? Begrenze unbeschränkte Zugriffsrechte und kläre Ankündigung, Vertraulichkeit, Häufigkeit und Kosten.
• Schulungen: Wer aus deinem Team soll teilnehmen, und welcher Nachweis wird erwartet? Halte fest, wer organisiert, bezahlt und die Arbeitszeit einplant.
• Abhilfe und Sanktionen: Welche Schritte folgen auf einen festgestellten Verstoß, bis hin zur Aussetzung oder Kündigung? Prüfe Fristen zur Behebung, Haftungsregeln und mögliche Vertragsstrafen besonders sorgfältig.

Ein eigener Blick gilt Formulierungen wie „alle Kosten trägt der Lieferant“, falls sie im Entwurf stehen. Kläre, welche Kosten damit überhaupt gemeint sind.

Dabei gibt es eine wichtige Grenze: Verpflichtete Unternehmen dürfen ihre gesetzlichen Sorgfaltspflichten nicht pauschal auf Zulieferer abwälzen. Maßnahmen, die ein KMU offenkundig überfordern, sind laut der Handreichung unangemessen. Ein großes Kundenlogo macht eine pauschale Forderung nicht automatisch angemessen.

Wie gehst du als Zulieferer mit LkSG- und CSDDD-Anforderungen um?

Als Zulieferer solltest du Kundenanforderungen sammeln, eigene Grenzen festlegen, Abweichungen verhandeln und vereinbarte Pflichten mit Zuständigkeiten und Fristen versehen.

Schritt 1: Sammle Kundenverträge, Kodizes und Fragebögen

Lege Rahmenverträge, Nachträge, unterschriebene Kodizes und beantwortete Fragebögen gemeinsam ab. Ordne jede Unterlage dem Kunden zu und kennzeichne die aktuelle Fassung. Beginne mit dem Bestand, bevor du den nächsten Kodex unterschreibst.

Die Dokumentenablage von fynk bietet dafür einen zentralen Ort. Mit der KI-Suche durchsuchst du auch Hunderte Verträge in natürlicher Sprache nach Erwähnungen von Verhaltenskodizes, Audits oder Menschenrechten. So musst du nicht jedes PDF einzeln öffnen.

Schritt 2: Lege deine roten Linien fest

Bestimme, was dein Unternehmen akzeptieren kann: angekündigte Audits, abgegrenzte Informationspflichten, eine vereinbarte Kostenaufteilung und passende Haftungsgrenzen. Halte auch fest, wer Ausnahmen freigeben darf. „Kommt auf den Kunden an“ ist als einzige Prüfregel etwas dünn.

In Vertrags-Playbooks werden daraus wiederverwendbare Regeln. Die KI-Prüfung von fynk prüft eingehende Kundenverträge anhand dieser Regeln und markiert Abweichungen mit Erklärungen und Verweisen auf die Textstellen. So kannst du offene Punkte vorbereiten, bevor die Rechtsabteilung den Vertrag bekommt.

Schritt 3: Verhandle statt blind zu unterschreiben

Bitte bei weitreichenden Forderungen um eine Begründung und schlage begrenzte, erfüllbare Formulierungen vor. Kläre etwa, welche Standorte ein Audit betrifft, welche Nachweise benötigt werden und wie vertrauliche Informationen geschützt bleiben.

Orientiere den Umfang am konkreten Risiko und an deinen Möglichkeiten. Die BAFA-Handreichung betont, dass die Leistungsfähigkeit des Zulieferers berücksichtigt werden muss. Besprich Informationsanfragen deshalb anhand ihres Zwecks, statt jede Frage vorsorglich zu beantworten.

Mit Redlining in fynk arbeiten dein Team und die Gegenseite an einer gemeinsamen Vertragsfassung. Änderungsvorschläge und Kommentare bleiben bei der betreffenden Klausel. Das spart die Suche nach der Datei, in der die Kostenregel zuletzt geändert wurde.

Schritt 4: Gib Anforderungen sinnvoll an eigene Lieferanten weiter

Prüfe, welche Weitergabe du dem Kunden zugesagt hast. Leite daraus Anforderungen für deine eigenen Lieferanten ab, die zu deren Leistung und Einflussmöglichkeiten passen. Verwende einen abgestimmten Lieferantenkodex, statt sämtliche Kunden-PDFs ungeprüft weiterzuschicken.

Wenn du Lieferantenverträge verwaltest, sollten Kundenzusage und Lieferantenvereinbarung zusammenpassen. Gerade in Industrie und Fertigung lohnt sich die konkrete Frage: Welche Anforderung betrifft welches Material, welchen Arbeitsschritt oder welchen Lieferanten?

Mit den Dokumentenvorlagen in fynk verwendest du freigegebene Lieferantenklauseln wieder. Dein Team beginnt beim nächsten Vertrag mit den abgestimmten Bedingungen.

Schritt 5: Halte Nachweise und Fristen im Blick

Bewahre Zertifikate, beantwortete Fragebögen und Schulungsnachweise beim zugehörigen Vertrag auf. Erfasse für jede vereinbarte Folgeaufgabe eine verantwortliche Person und einen Termin. Plane Vorlauf ein, wenn du für eine Antwort erst Informationen aus der Produktion brauchst.

Verknüpfte Dateien halten diese Unterlagen in fynk beim Vertrag zusammen. Über Aufgaben & Erinnerungen bekommt die zuständige Person rechtzeitig Bescheid, bevor eine Selbstauskunft oder ein Audit fällig wird.

Schritt 6: Kläre die internen Freigaben vor der Unterschrift

Lass den Vertrieb die Kundenzusage abstimmen und den Einkauf prüfen, welche Anforderungen deine Lieferanten erfüllen können. Die Rechtsabteilung bewertet strittige Formulierungen; die Geschäftsführung entscheidet über Ausnahmen mit erheblichen Kosten oder Haftungsfolgen. Ohne eigene Rechtsabteilung benennst du eine zuständige Person und holst bei Bedarf externe Unterstützung.

Die Genehmigungsworkflows in fynk verlangen die vorgesehenen Freigaben vor der Unterzeichnung. Die weitergeleitete E-Mail mit „bitte bis Montag“ ersetzt damit keine interne Prüfung.

Reicht dafür eine Excel-Liste?

Eine Excel-Liste kann dir einen ersten Überblick geben; sobald du Vertragsfassungen, Klauselprüfungen, Nachweise und Freigaben verbinden musst, entsteht zusätzliche Handarbeit.

Ein Wechsel lohnt sich, wenn das Suchen und Nachfassen mehr Zeit braucht als die eigentliche Prüfung der Kundenanforderung.

Welche Fragen zur CSDDD stellen Zulieferer häufig?

Zulieferer wollen vor allem wissen, wann die CSDDD anwendbar wird, ob das LkSG weitergilt und was sie einem Kunden zusagen müssen.

• Für was steht CSDDD?

  CSDDD steht für Corporate Sustainability Due Diligence Directive. Die EU-Lieferkettenrichtlinie regelt unternehmerische Sorgfaltspflichten zum Schutz von Menschenrechten und Umwelt.

• Ab wann gilt die CSDDD?

  Die Richtlinie ist seit dem 25. Juli 2024 in Kraft. Nach Omnibus I müssen die Mitgliedstaaten sie bis zum 26. Juli 2028 umsetzen; die Anwendung für erfasste Unternehmen beginnt am 26. Juli 2029.

• Gilt das Lieferkettengesetz noch?

  Ja, das deutsche LkSG gilt weiterhin. Der Änderungsentwurf ist laut Bundestag noch nicht verabschiedet. Das BAFA prüft zwar keine LkSG-Berichte mehr, die Sorgfaltspflichten bleiben aber bestehen, erläutert die IHK Nord Westfalen.

• Muss ich als KMU einen Verhaltenskodex meines Kunden unterschreiben?

  Aus dem LkSG folgt keine pauschale Pflicht für KMU, jeden vorgelegten Kodex zu unterschreiben; verpflichtete Kunden dürfen ihre Pflichten nicht einfach weiterreichen, erklärt die IHK Köln zur BAFA-Handreichung. Prüfe den Kodex zusammen mit deinen bestehenden Vereinbarungen und kläre strittige Zusagen vor der Unterschrift. Das ist keine Rechtsberatung.

• Welche Unternehmen sind von der CSDDD betroffen?

  Nach Omnibus I erfasst die CSDDD EU-Unternehmen mit mehr als 5.000 Beschäftigten und mehr als 1,5 Milliarden Euro weltweitem Nettoumsatz sowie Unternehmen außerhalb der EU mit mehr als 1,5 Milliarden Euro Nettoumsatz in der EU. KMU können über ihre Kunden mit Anforderungen in Berührung kommen, so die Bundesregierung.