LkSG, CSRD und CSDDD: Sorgfaltspflichten im Überblick / 5 Sorgfaltspflichten nach der CSDDD

Das EU-Parlament hat im Frühjahr 2024 nach langen kontroversen Verhandlungen mit dem Rat und der Kommission die CSDDD endgültig verabschiedet, sodass die Richtlinie am 5.7.2024 im EU-Amtsblatt veröffentlicht werden konnte. Gegenüber dem Entwurf der Kommission ist es dabei vor allem zu einer massiven Einschränkung des unmittelbaren Anwendungsbereichs der neuen Vorgaben gekommen. In diesen fallen zukünftig nur die folgenden Unternehmen:^[1]

• Unternehmen mit Sitz in der EU, die auf konsolidierter Basis mehr als 1000 Mitarbeiter beschäftigen und mehr als EUR 450 Mio. weltweiten Umsatz generieren.
• Unternehmen mit Sitz in einem Drittstaat, sofern mehr als EUR 450 Mio. Umsatz in der EU erwirtschaftet wird.
• Unternehmen, die Franchise- oder Lizenzvereinbarungen in der Union geschlossen haben oder die obersten Muttergesellschaften einer Gruppe, die Franchising- oder Lizenzvereinbarungen in der EU gegen Lizenzgebühren mit unabhängigen Drittunternehmen geschlossen haben, sofern gewisse Bedingungen erfüllt sind und sich diese Lizenzgebühren in der EU auf mehr als 22,5 Mio. EUR sowie der Konzernumsatz auf mehr als 80 Mio. EUR belaufen.

Ersten Schätzungen zufolge werden so 5.421 Unternehmen von der CSDDD direkt adressiert; dies ist nur ein Bruchteil der Unternehmen in der EU (rd. 0,05 %) und auch eine bedeutend geringere Zahl als noch vom Kompromisstext im Dezember 2023 vorgesehen (damals noch 16.389 Unternehmen).^[2] Sonderregelungen für Unternehmen aus sog. "Hochrisiko-Sektoren" (z. B. Textil, Landwirtschaft) wurden in der Endfassung wieder gestrichen. Auch können nicht-operative Holdinggesellschaften die sie treffende Verpflichtung an eines ihrer Tochterunternehmen übertragen. Dies erscheint im Hinblick auf die viel mehr Unternehmen treffenden, bislang erfolgten Regulierungen als wenig stringent. Allerdings sind mit der CSDDD erheblich Sanktionen verbunden, die somit nun vielen Unternehmen erspart bleiben bzw. diese werden nur durch die Ausstrahlungswirkung der wenigen betroffenen Unternehmen einbezogen. Dies darf aber nicht darüber hinwegtäuschen, dass die generelle Sicherstellung der Sorgfaltspflichten auch dann notwendig ist, wenn Unternehmen nicht von dem LkSG oder der CSDDD betroffen sind.

Die CSDDD ist binnen zweier Jahre nach der Bekanntmachung im EU-Amtsblatt in das Recht der Mitgliedstaaten zu überführen, d. h. bis zum 6.7.2026. Der Zeitpunkt für die erstmalige Anwendung der CSDDD ist dabei nach Größenklassen gestaffelt:^[3]

1. Nach einem Jahr: Unternehmen bzw. Gruppen mit 5.000 Beschäftigten und 1.500 Mio. EUR Umsatz (erwartet Geschäftsjahr 2028).
2. Nach zwei Jahren: Unternehmen bzw. Gruppen mit 3.000 Beschäftigten und 900 Mio. EUR Umsatz (erwartet Geschäftsjahr 2029).
3. Nach drei Jahren: Unternehmen bzw. Gruppen mit 1.000 Beschäftigten und 450 Mio. EUR Umsatz (erwartet Geschäftsjahr 2030).

Die Unternehmen im Anwendungsbereich der CSDDD werden verpflichtet, konkret umrissene Sorgfaltspflichten in Unternehmensrichtlinien und Risikomanagementsysteme zu implementieren – und damit Due-Diligence-Policies zu verabschieden und entsprechende (Kontroll-)Prozesse zu implementieren.^[4] Diese orientieren sich an den o. g. etablierten internationalen Instrumenten, konkret an den United Nations Guiding Principles on Business and Human Rights und an den OECD Guidelines for Multinational Enterprises. Dafür müssen insbesondere auch die Stakeholder der adressierten Unternehmen mit in die etablierten Due-Diligence-Prozesse eingebunden werden.

Den genannten internationalen Instrumenten folgend, haben die einzurichtenden Prozesse bestimmte Phasen zu durchlaufen, die eine laufende Befassung mit den Interessen der Stakeholder sowie v.a. die Vermeidung, Verminderung bzw. Wiedergutmachung von negativen Auswirkungen auf diese Stakeholder zum Gegenstand haben. Entsprechend ist ein vorausschauendes Risikomanagement in Nachhaltigkeitsbelangen einzurichten. Dabei sind die von der CSDDD adressierten Unternehmen nicht nur für die eigene Geschäftstätigkeit verantwortlich, sondern auch für jene ihrer Geschäftspartner in der sog. "Aktivitätenkette". Dies ist ein Ausschnitt der Wertschöpfungskette, d. h. vorgelagert der Lieferanten und nachgelagert der Kunden – wobei die direkten wie z. T. die indirekten Geschäftsbeziehungen (z. B. Sub-Lieferanten) mit umfasst sind. Die nunmehr vorliegende Endfassung der CSDDD spezifiziert diese Ausschnitte weiter und schränkt sie v.a. hinsichtlich der nachgelagerten Wertschöpfungskette auf wenige Aktivitäten ein (Transport, Distribution und Lagerung von Produkten); der Finanzsektor wird darüber hinaus – zumindest vorerst – weitgehend davon befreit, seine kundenseitige Wertschöpfungskette in die Betrachtung aufzunehmen.

Die von der CSDDD adressierten Unternehmen haben die sie treffenden Verpflichtungen entlang der relevanten Aktivitätenkette weiterzureichen – z. B. durch entsprechende vertragliche Zusicherungen. Dass diese Zusicherungen in Folge von den Geschäftspartnern eingehalten werden, ist durch externe Stellen zu verifiz...