Was die neuen Anforderungen nach CSDDD für Finanzinstitute bedeuten

Keyfacts:

• Nach dem deutschen Lieferkettensorgfaltspflichtengesetz (LkSG) bekommt die Europäische Union einheitliche Regelungen für alle Mitgliedstaaten.
• Die Corporate Sustainability Due Diligence Directive (CSDDD), auch CS3D genannt, weicht in einigen wesentlichen Punkten vom LkSG ab.
• CSDDD gilt für Finanzinstitute EU-weit, während das LkSG nur deutsche Unternehmen ab einer bestimmten Größe betrifft.

Mehr Sorgfalt für Umweltaspekte und Menschenrechte entlang der gesamten Wertschöpfungskette sowie eine transparente Berichterstattung – das sind die Vorgaben aus der europaweiten Lieferkettenrichtlinie. Im März haben die EU-Institutionen dazu einen Kompromiss geschlossen, der nun vom EU-Parlament mit großer Mehrheit gebilligt wurde. 374 Abgeordnete stimmten am 24. April 2024 für das Vorhaben, 235 dagegen.

Die Corporate Sustainability Due Diligence Directive (CSDDD), auch oft mit CS3D abgekürzt, geht in Details deutlich über das seit 2021 vorliegende deutsche Lieferkettensorgfaltspflichtengesetz (LkSG) hinaus, wie dieser Artikel von KPMG Law analysiert. Was die neuen Anforderungen konkret für Finanzinstitute bedeuten, erfahren Sie hier.

Wer ist betroffen und welche Umsetzungsfristen gelten?

Während das deutsche Lieferkettengesetz Unternehmen aller Rechtsformen mit Sitz in Deutschland einbezieht, die seit dem 1. Januar 2024 „in der Regel mindestens 1000 Arbeitnehmer“ beschäftigen, erfasst die EU-Lieferkettenrichtlinie CSDDD Unternehmen bestimmter Rechtsformen und schließt ausdrücklich Kreditinstitute und verschiedene andere Finanzdienstleister mit Sitz in der Europäischen Union ein.

Die Vorgaben der EU-Lieferkettenrichtlinie werden schrittweise für bestimmte Unternehmen gelten (siehe unsere Tabelle).

Hierbei ist zu beachten, dass die Richtlinie binnen zwei Jahren in nationales Recht, vermutlich als Ergänzung zum Lieferkettengesetz umgesetzt werden muss und dann voraussichtlich mit einer weiteren Übergangsfrist von einem Jahr zu versehen sein wird. Nach aktuellem Stand haben potenziell betroffene Institute also mindestens drei Jahre Zeit zur Umsetzung der für sie geltenden neuen Vorgaben.

Was ändert sich durch die CSDDD?

Beide Rechtsakte verfolgen grundsätzlich das gleiche Ziel, unterscheiden sich aber in einigen wesentlichen Punkten. So stellt das deutsche LkSG auf die Verantwortung der betroffenen Unternehmen für ihre unmittelbaren Zulieferer ab. Verantwortlich für Verstöße mittelbarer Zulieferer sind Unternehmen nur dann, wenn sogenannte substantiierte Kenntnisse, also konkrete Hinweise auf Verletzungen von menschenrechts- oder umweltbezogenen Pflichten vorliegen. Dagegen überträgt die Corporate Sustainability Due Diligence Directive (CSDDD) den Unternehmen Verantwortung für alle Teilnehmenden der sogenannten Aktivitätskette.

Zur Aktivitätskette gehören Zulieferer („up-stream“) ebenso wie vom Unternehmen selbst beauftragte Folge-Dienstleister, zum Beispiel für Verpackung und Transport („down-stream“). Der aktuelle Kompromissvorschlag sieht allerdings vor, mittelbare Geschäftspartner im down-stream aus dem Verantwortungsbereich herauszulösen.

Die Vorgaben zu den Sorgfaltspflichten sind in beiden Rechtsgrundlagen ähnlich geregelt und werden jeweils durch eine Verpflichtung zum Einrichten eines Beschwerdeverfahrens ergänzt. Während das EU-Lieferkettengesetz allen „Personen“ die Möglichkeit einräumt, auf Missstände aufmerksam zu machen, benennt die CSDDD ausdrücklich solche natürlichen und juristischen Personen, die tatsächlich betroffen sind oder sich betroffen wähnen. Dazu gehören insbesondere Gewerkschaften und zivilgesellschaftliche Organisationen, die Betroffene vertreten oder im jeweils betroffenen Thema aktiv sind. Das grenzt den Adressatenkreis, wenn auch nur qualitativ, ein.

Umweltschutzpflichten und Berichterstattungsvorgaben

Was den Umweltschutz angeht, ist es bemerkenswert, dass das LkSG im Bereich der sogenannten umweltbezogenen Risiken auf Verschmutzung abzielt, also zum Beispiel falsche Entsorgung von Abfall und Chemikalien. Die CSDDD dagegen fordert einen konkreten Plan dafür ein, wie das betroffene Unternehmen die Pariser Klimaziele erreichen wird.

Über die Einhaltung all dieser Anforderungen ist auf der Internetseite im Rahmen eines Jahresberichts Transparenz zu schaffen. Hierfür haben deutsche Unternehmen  nur vier Monate Zeit nach Ende des Geschäftsjahres, die CS3D erlaubt es EU-Mitgliedstaaten, bis zu 12 Monate einzuräumen. Um europaweit einheitliche Standards zu schaffen, wäre es erstrebenswert, dass Deutschland hier den Spielraum ausnutzt.

Bei Nichteinhalten der Anforderungen droht das LkSG mit Buß- und Zwangsgeldern, wobei Letzteres auf 50.000 Euro beschränkt ist, aber zusätzlich mit einem Ausschluss von öffentlichen Aufträgen einhergehen kann.

Die CSDDD fordert die EU-Mitgliedstaaten auf, nach eigenem Ermessen Sanktionsmaßnahmen zu bestimmen, wobei die Obergrenze finanzieller Strafen mindestens fünf Prozent vom Nettojahresumsatz des Unternehmens beziehungsweise seiner obersten Muttergesellschaft betragen soll.

Was bedeutet das für Finanzdienstleister?

Zu den Verpflichteten gehören nach Artikel 3 der CSDDD ausdrücklich auch Kreditinstitute, Wertpapierfirmen, Asset Manager (AIFM- und OGAW-Verwalter), (Rück-)Versicherer und andere Finanzdienstleister auf EU-Ebene. Obwohl Finanzunternehmen keine Autoteile oder Mode am anderen Ende der Welt produzieren, müssen sie trotzdem ihren Sorgfaltspflichten nach CSDDD nachkommen, Risiken identifizieren, vorbeugende Maßnahmen ergreifen und einen jährlichen Bericht veröffentlichen.

Unternehmen bleiben von jetzt an höchstens drei Jahre Zeit, um zu bestimmen, welche zusätzlichen Informationen sie zur Veröffentlichung in ihrem Lieferkettenbericht benötigen und woher sie diese Daten beziehen können. Auch Anpassungen im Auslagerungsmanagement sollten Finanzinstitute zügig angehen, um Dienstleister up-stream ebenso wie down-stream ausreichend – also richtlinienkonform – zu überwachen und zu steuern.

Wichtige Schritte in diesem Zuge lauten, das interne Rahmenwerk zur Auslagerung an Drittparteien zu verändern und Änderungen in Verträgen mit Dienstleistern auf den Weg zu bringen. Für Daten müssen Reporting-Strecken und einheitliche Erfassungsformulare geschaffen werden, und gegebenenfalls ist der Aufbau von Wissen – zum Beispiel durch neue Stellen – nötig.