Der europäische Rechtsrahmen beschränkt sich nicht auf die allgemeine Datenschutzverordnung. Unternehmen, die auf dem Binnenmarkt tätig sind, sehen sich einer Normenflut gegenüber, in der sektorspezifische Richtlinien, unmittelbar anwendbare Verordnungen und nationale Umsetzungen koexistieren, manchmal mit zeitlich versetzten Fristen von mehreren Jahren zwischen den Mitgliedstaaten.
Due Diligence CSDDD: Ein Zeitplan in drei Wellen, den die meisten Leitfäden auslassen
Die Richtlinie (EU) 2024/1760 über die Due Diligence im Hinblick auf Nachhaltigkeit (CSDDD, auch CS3D genannt), die am 13. Juni 2024 angenommen wurde, strukturiert ihre Verpflichtungen in drei aufeinanderfolgende Stufen. Wir empfehlen den Rechtsabteilungen, ihre Position in diesem Zeitplan jetzt zu kartieren.
- Im Jahr 2027 fallen Unternehmen der EU mit mehr als 5.000 Mitarbeitern und einem weltweiten Nettoumsatz von 1,5 Milliarden Euro in den Anwendungsbereich.
- Im Jahr 2028 sinkt die Schwelle auf 3.000 Mitarbeiter und 900 Millionen Euro Umsatz.
- Im Jahr 2029 sind alle Unternehmen mit mehr als 1.000 Mitarbeitern und 450 Millionen Euro betroffen, einschließlich bestimmter Unternehmen aus Drittländern, die diesen Betrag in der EU erzielen.
Der Anwendungsbereich wurde durch Änderungen nach der ursprünglichen Annahme eingeengt. Die Verpflichtungen betreffen die gesamte Wertschöpfungskette, was ein Audit der zweiten und weiteren Lieferanten impliziert. Die Mitgliedstaaten müssen die Richtlinie zwischen 2026 und 2027 gemäß den konsolidierten Fassungen umsetzen.
In der Praxis kann ein Unternehmen unterhalb der Schwelle von 2027 im Jahr 2028 nach einer Akquisition in den Anwendungsbereich fallen. Die Überwachung der Schwellenwerte muss kontinuierlich und nicht punktuell erfolgen. Die auf der Website Europe Entreprises für rechtliche Fragen verfügbaren Ressourcen ermöglichen es, die Entwicklung der laufenden nationalen Umsetzungen zu verfolgen.
Europäisches Gesellschaftsrecht: Niederlassungsfreiheit und grenzüberschreitende Rechtsformen
Artikel 49 und Artikel 54 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) bilden die Grundlage für die Niederlassungsfreiheit von Unternehmen im Binnenmarkt. Diese Grundlage wird von KMU weiterhin unzureichend genutzt, die weiterhin klassische nationale Tochtergesellschaften gründen, ohne die einheitlichen Rechtsformen zu prüfen.
Die Societas Europaea (SE) ermöglicht die Gründung eines Unternehmens nach europäischem Recht, das in mehreren Mitgliedstaaten unter einem einheitlichen Status tätig ist. Die in den letzten Jahren überarbeitete Richtlinie über grenzüberschreitende Fusionen erleichtert die Umstrukturierungen zwischen in verschiedenen EU-Ländern ansässigen Einheiten.
Die Europäische Kommission treibt die Digitalisierung der Verfahren zur Unternehmensgründung voran. Die über das BRIS-System (Business Registers Interconnection System) miteinander verbundenen Handelsregister bieten einen zentralen Zugang zu Informationen über in den Mitgliedstaaten registrierte Unternehmen. Diese Interkonnektivität verkürzt die Überprüfungszeiten bei grenzüberschreitenden Transaktionen.
Richtlinie über die Rechte der Aktionäre und Unternehmensführung
Die Richtlinie über die Rechte der Aktionäre (SRD II) verpflichtet börsennotierte Unternehmen zu Transparenzpflichten hinsichtlich der Vergütungspolitik der Führungskräfte und der Transaktionen mit nahestehenden Personen. Institutionelle Investoren müssen ihre Aktionärsengagementpolitik veröffentlichen.
Wir beobachten, dass nicht börsennotierte Unternehmen diese Governance-Standards oft vernachlässigen, während ein Erwerber oder ein Fonds bei einer Due Diligence ein Compliance-Audit basierend auf denselben Anforderungen durchführen wird.
Regulatorische Cybersicherheit: NIS 2 und Cyber Resilience Act
Der Bereich Cybersicherheit im europäischen Wirtschaftsrecht hat sich erheblich verstärkt. Die Richtlinie NIS 2 erweitert den Anwendungsbereich der Entitäten, die Verpflichtungen zur Meldung von Vorfällen und Risikomanagement unterliegen. Der Cyber Resilience Act schreibt Sicherheitsanforderungen bereits in der Entwurfsphase für Produkte vor, die digitale Elemente auf dem europäischen Markt enthalten.
Für ein Unternehmen, das vernetzte Geräte oder Software vertreibt, bedeutet die Ignorierung des Cyber Resilience Act, das Risiko eines Marktrückzugs einzugehen. Die von NIS 2 vorgesehenen Sanktionen können je nach Kategorie der Entität (groß oder bedeutend) einen signifikanten Prozentsatz des weltweiten Umsatzes erreichen.
Verknüpfung zwischen sektoralen Vorschriften und allgemeinem Recht
Die Überlagerung zwischen der DSGVO, NIS 2 und dem Cyber Resilience Act schafft Überlappungsbereiche. Ein Datenleck löst gleichzeitig eine DSGVO-Meldung (72 Stunden) und, falls die Entität unter NIS 2 fällt, eine ergänzende Meldung an die zuständige Cybersicherheitsbehörde aus.
Die Zentralisierung des Vorfallmanagements in einer einzigen Einheit vermeidet Doppelarbeit und inkonsistente Meldedauern zwischen den beiden Regimen. Das Verzeichnis der Verarbeitungstätigkeiten gemäß DSGVO und die Kartierung der Informationssysteme gemäß NIS 2 sollten auf einem gemeinsamen Referenzrahmen basieren.
Multijurisdiktionale Compliance: Die rechtliche Überwachung im Unternehmen strukturieren
Das europäische Recht legt die Mindestanforderungen fest. Die nationalen Umsetzungen fügen spezifische, manchmal widersprüchliche Schichten zwischen den Mitgliedstaaten während der Übergangszeiten hinzu. Frankreich, Deutschland und die Niederlande setzen selten im gleichen Tempo oder mit denselben regulatorischen Optionen um.
Wir empfehlen, eine Übersicht nach Richtlinie zu führen, die den Stand der Umsetzung in jeder Jurisdiktion, in der die Gruppe tätig ist, abgleicht. Diese Übersicht sollte mindestens vierteljährlich aktualisiert werden und auch laufende Gesetzesentwürfe einbeziehen, nicht nur die verabschiedeten Texte.
- Identifizieren Sie die verpflichtend umzusetzenden Richtlinien, die die Tätigkeit betreffen (CSDDD, NIS 2, SRD II, Richtlinie über grenzüberschreitende Fusionen).
- Kartieren Sie die nationalen Optionen, die von jedem betroffenen Mitgliedstaat gewählt wurden.
- Antizipieren Sie die zeitlichen Abweichungen zwischen den Ländern, die asymmetrische Verpflichtungen innerhalb derselben Gruppe schaffen können.
Die regulatorische Komplexität in Europa wird nicht abnehmen. Unternehmen, die ihre rechtliche Überwachung proaktiv strukturieren, absorbieren die neuen Verpflichtungen ohne operative Unterbrechungen, während diejenigen, die nach der Veröffentlichung der Texte reagieren, deutlich höhere Compliance-Kosten erleiden.
