Lieferantenmanagement-Agent

HR-Lieferantenmanagement im LkSG-Kontext

Dieser Agent folgt dem Decision Layer-Prinzip: jede Entscheidung ist entweder regelbasiert, KI-assistiert oder explizit einem Menschen zugeordnet. Nach EU AI Act 2024/1689 ist er kein Hochrisiko-System, weil er keine Menschen bewertet. Seine Anforderungen kommen aus dem Lieferketten-, Datenschutz-, Vergabe- und ESG-Recht - vom Lieferkettengesetz über die Auftragsverarbeitungs-Verträge nach DSGVO Art. 28 bis zur CSRD-Berichterstattung und der GoBD.

Die Verwaltung eines HR-Dienstleisters durchläuft mehrere Verifikations-Schritte: Onboarding mit AVV-Generierung und Schrems-II-Prüfung, die LkSG-Risikoanalyse, eine diskriminierungsfeste Auswahl, bei Ausschreibungen die Vergaberechts-Prüfung, den Mitbestimmungs-Workflow, die Vertragsverhandlung, die Performance-Auswertung sowie den jährlichen BAFA-Bericht und die ESG-Berichterstattung.

Das Problem liegt nicht im Volumen. Es liegt in der auditierbaren Kette: Verfahrensdokumentation, AVV-Pflicht-Inhalte, Drittstaaten-Prüfung, ein belastbarer Audit-Trail für die Auswahl, die Vergaberechts-Schwellen, der BAFA-Bericht und die sechsjährige Aufbewahrung der Verträge. Genau diese Kette stellt der Agent durchgängig her.

Lieferkettengesetz und BAFA-Berichtspflicht

Das Lieferkettengesetz (LkSG) vom 16. Juli 2021 gilt seit 2023 für Unternehmen ab 3.000 Beschäftigten und seit 2024 ab 1.000 Beschäftigten. Es verpflichtet zu einer Risikoanalyse (§5), zu Präventions- und Abhilfemaßnahmen (§6, §7), zu einem Beschwerdeverfahren (§8) sowie zur Dokumentation und zum jährlichen Bericht an die BAFA bis zum 1. Juni (§10).

Die Sanktionen sind erheblich: Nach §24 drohen Bußgelder bis zu 8 Millionen Euro oder 2 Prozent des Konzernumsatzes, nach §22 eine Vergabe-Sperre von bis zu drei Jahren. Ab 2027 verschärft die EU-Lieferketten-Richtlinie CSDDD diese Pflichten, mit nationaler Umsetzung bis Mitte 2026.

Aufsichtsbehörde ist die BAFA (Bundesamt für Wirtschaft und Ausfuhrkontrolle); sie nimmt die Berichte entgegen und kann Prüfungs- und Mahnungsverfahren bis hin zur Vor-Ort-Prüfung einleiten.

Auftragsverarbeitung nach DSGVO Art. 28 mit Schrems II

DSGVO Art. 28 verlangt für jeden Dienstleister, der personenbezogene Daten verarbeitet, einen Auftragsverarbeitungs-Vertrag mit den Pflicht-Inhalten nach Abs. 3. Bei Beschäftigtendaten greifen zusätzlich Art. 88 und BDSG §26; für Drittstaaten kommen Standardvertragsklauseln hinzu.

Das Schrems-II-Urteil des EuGH (C-311/18 vom 16. Juli 2020) verlangt bei Drittstaaten ohne Angemessenheits-Beschluss zusätzliche Maßnahmen wie Verschlüsselung, Pseudonymisierung und ergänzende technische und organisatorische Maßnahmen. Verstöße ahndet Art. 83 mit bis zu 4 Prozent des Konzernumsatzes.

Für welche Staaten ein Angemessenheits-Beschluss der EU-Kommission vorliegt - etwa die Schweiz, das Vereinigte Königreich, Japan oder Kanada -, prüft der Agent gegen die jeweils gültige Liste; die EDPB-Leitlinien zur grenzüberschreitenden Datenübermittlung sind dabei maßgeblich.

Vergaberecht bei HR-Ausschreibungen

Bei öffentlichen Aufträgen oder konzerninternen Ausschreibungen greift das Vergaberecht aus Vergabeverordnung (VgV) und GWB, ergänzt um das Gesetz gegen den unlauteren Wettbewerb und die EU-Vergaberichtlinien. Maßgeblich sind die EU-Schwellenwerte - rund 215.000 Euro für Liefer- und Dienstleistungen, rund 5,4 Millionen Euro für Bauaufträge.

Über die Einhaltung wachen die Vergabekammern von Bund und Ländern, die Vergabesenate der Oberlandesgerichte und das Bundeskartellamt.

Bei der Auswahl von HR-Dienstleistern - besonders Recruiting-Plattformen und Background-Check-Anbietern - greift zudem das AGG: Nach §22 kehrt sich bei Indizien für eine Benachteiligung die Beweislast um. Die US-Sammelklage Mobley gegen Workday (2023) zeigt, dass KI-Bias in HR-Software dabei zum Präzedenzfall werden kann.

Zusammenspiel mit Payroll-Processing, Compensation-Benchmarking und HR-Document-Management

Der Lieferantenmanagement-Agent ist eingebettet in eine Pipeline aus spezialisierten HR-Agenten: Der Payroll-Processing-Agent erhält die Payroll-Vendor-Konfiguration, der Compensation-Benchmarking-Agent die Daten der Vergütungs-Dienstleister wie Mercer und Korn Ferry. Der Pre-Hire-Due-Diligence-Agent bezieht die Daten der Background-Check-Anbieter, der HR-Document-Management-Agent archiviert die Vendor-Verträge revisionssicher über sechs Jahre. Der Audit-Compliance-Agent prüft die GoBD-, LkSG- und DSGVO-Konformität, der Travel-Expense-Agent erhält die Daten der Reise-Dienstleister, und der Sick-Leave-Processing-Agent die der Krankenkassen.

Auf einen Blick

• Klassifikation: Compliance-Support, kein EU-AI-Act-Hochrisiko (Beschaffungsverwaltung, keine Bewertung von Menschen)
• Compliance-Anker: Lieferkettengesetz ab 1.000 Beschäftigten, Auftragsverarbeitung nach DSGVO Art. 28 mit Schrems II, Vergaberecht, ESG-Berichterstattung nach CSRD (ESRS S2), AGG §22 und Mitbestimmung nach BetrVG §87 Abs. 1 Nr. 6; ab 2027 zusätzlich die EU-Richtlinie CSDDD
• Aufbewahrung: sechs Jahre für Vendor-Verträge, zehn Jahre für Lohnkonten (HGB §257, AO §147)
• Mitbestimmung: BetrVG §87 Abs. 1 Nr. 6 zwingend für das Vendor-Management-System
• Sanktionen: bis zu 8 Millionen Euro oder 2 Prozent Konzernumsatz und drei Jahre Vergabe-Sperre nach LkSG, bis zu 4 Prozent Konzernumsatz nach DSGVO, bis zu drei Bruttomonatsgehälter nach AGG §15
• Entscheidungslogik: überwiegend regelbasiert, KI nur als Indikator, menschliche Entscheidung bei Vendor-Verhandlung und Aufsichtsrats-Bericht

Entscheider-Verteilung Lieferantenmanagement-Agent