Ab 2027 gilt der Deckel: Welche Daten dein Kunde von dir verlangen darf

Ein Kunde schickt einen umfangreichen ESG-Fragebogen, der nächste will dieselben Daten in seinem eigenen Lieferantenportal, der dritte fragt nach Kennzahlen, die bislang gar nicht erhoben werden. Für viele Mittelständler ist genau das zur stillen Mehrarbeit geworden – ausgelöst durch die Berichtspflichten ihrer großen Kunden.

Die EU hat darauf reagiert. Seit dem 24. September 2026 gibt es einen rechtlich verankerten „Deckel“ für solche Abfragen: Ab dem Geschäftsjahr 2027 dürfen berichtspflichtige Unternehmen von kleineren Partnern in ihrer Wertschöpfungskette für ihren Nachhaltigkeitsbericht nur noch einen fest definierten Datensatz verlangen.

Dieser Artikel zeigt, wer geschützt ist, welche Daten dein Kunde weiterhin anfragen darf – und warum der Deckel weniger Anfragen verhindert, als viele hoffen.

Wer überhaupt noch berichten muss

Mit dem Omnibus-I-Paket hat die EU die CSRD im Februar 2026 deutlich verkleinert. Die Änderungsrichtlinie (EU) 2026/470 wurde am 26. Februar 2026 im Amtsblatt veröffentlicht. Berichtspflichtig sind danach nur noch Unternehmen mit durchschnittlich mehr als 1.000 Beschäftigten und mehr als 450 Mio. Euro Nettoumsatz.

Viele Mittelständler sind damit aus der direkten Pflicht heraus. Ihre großen Kunden aber nicht: Wer berichtet, muss auch über seine Wertschöpfungskette berichten. Und dafür fragt er bei seinen Lieferanten nach.

In Deutschland ist die CSRD übrigens noch nicht in nationales Recht umgesetzt. Ende August 2026 nannte die Bundesregierung keinen Termin für das Umsetzungsgesetz, Ende September war es weiterhin nicht verabschiedet. Die EU-Frist für die Umsetzung der Omnibus-Änderungen läuft bis zum 19. März 2027.

Der Deckel: Wer geschützt ist und ab wann

Die rechtliche Grundlage ist die Delegierte Verordnung (EU) 2026/1560. Die EU-Kommission hat sie am 3. Juli 2026 angenommen. Am 21. September 2026 wurde sie im Amtsblatt veröffentlicht, seit dem 24. September 2026 ist sie in Kraft. Sie führt den „Voluntary Standard“ (VS) ein, den Nachfolger des bekannten VSME.

Der Standard hat zwei Aufgaben. Für nicht berichtspflichtige Unternehmen ist er ein freiwilliger, einheitlicher Berichtsrahmen. Und er ist zugleich die Obergrenze: Mehr als die in Anhang II der Verordnung aufgeführten Angaben darf ein CSRD-pflichtiges Unternehmen von kleineren Partnern für seinen Nachhaltigkeitsbericht nicht verlangen.

Das Wichtigste auf einen Blick:

• Geschützt ist, wer im vorangegangenen Geschäftsjahr durchschnittlich höchstens 1.000 Beschäftigte hatte.
• Ab wann: Die Obergrenze gilt für Geschäftsjahre, die am oder nach dem 1. Januar 2027 beginnen.
• Dein Recht: Du darfst Angaben verweigern, die über den Deckel hinausgehen.
• Pflicht deines Kunden: Fragt er trotzdem mehr ab, muss er dir sagen, welche Angaben das sind und dass du sie ablehnen darfst.
• Weniger ist erwünscht: Kunden sollen nur abfragen, was sie wirklich brauchen – also gern auch weniger als der Standard vorsieht.

Ein Detail für Deutschland: Der Standard selbst gilt als EU-Verordnung unmittelbar. Das Verweigerungsrecht und die Hinweispflicht deines Kunden stammen dagegen aus der geänderten CSRD-Richtlinie, und der Deckel greift laut Verordnung nur für Abfragen zur Berichterstattung nach nationalem CSRD-Recht. Wie genau der deutsche Gesetzgeber das umsetzt, zeigt sich mit dem Umsetzungsgesetz.

Welche Daten dein Kunde verlangen darf

Welche Angaben genau unter den Deckel fallen, regelt Anhang II der Verordnung. Er unterscheidet zwischen Unternehmen mit mehr als 10 Beschäftigten und Kleinstunternehmen mit bis zu 10 Beschäftigten. Für die Kleinsten fallen gar keine Umweltangaben unter den Deckel.

Was beim Klima drin ist – und was nicht

Für CO₂-Daten ist die Liste überraschend schlank. Ab 11 Beschäftigten darf dein Kunde zwei Klimakennzahlen verlangen: deinen Energieverbrauch in MWh und deine Scope-1- und Scope-2-Emissionen in Tonnen CO₂e. Gefordert sind geschätzte Bruttoemissionen nach den Grundsätzen des GHG Protocol Corporate Standard, Scope 2 standortbasiert.

Nicht unter dem Deckel liegen:

• Scope-3-Emissionen. Der Standard erwähnt sie nur als freiwillige Zusatzangabe. Er weist aber darauf hin, dass sie etwa in Fertigung, Agrar- und Lebensmittelwirtschaft, Bau und Verpackung oft relevant sind.
• Marktbasiertes Scope 2, also die Rechnung mit deinem tatsächlichen Stromvertrag.
• Reduktionsziele und Klimarisiken (C3 und C4) aus dem Zusatzmodul.
• Produkt-CO₂-Fußabdrücke (PCF). Sie kommen im Standard gar nicht vor.

Auf gut Deutsch: Für seinen CSRD-Bericht darf dein Kunde dich nach Scope 1 und 2 fragen. Eine Pflicht, ihm Scope 3 oder einen PCF zu liefern, lässt sich daraus nicht ableiten.

Wo der Deckel nicht greift

So hilfreich der Deckel ist: Er schützt dich vor genau einem Anfragekanal. Die Verordnung sagt ausdrücklich, dass er nur für Daten gilt, die für die Nachhaltigkeitsberichterstattung nach der CSRD erhoben werden. Viele Anfragen haben aber einen anderen Zweck.

• Banken und Investoren sind nicht gebunden. Die Verordnung ermutigt sie lediglich, sich an den Inhalten des Standards zu orientieren.
• Andere Gesetze bleiben unberührt. Braucht dein Kunde Angaben für Pflichten aus anderem EU- oder nationalem Recht, etwa für seine Sorgfaltspflichten in der Lieferkette, gilt der Deckel dafür nicht.
• Freiwillige Programme deines Kunden sind kein CSRD-Zweck. Fragt er für CDP, für seine SBTi-Lieferantenziele oder für ein EcoVadis-Rating, schützt dich der Deckel nach dem Wortlaut der Verordnung nicht.
• Kunden ohne CSRD-Pflicht sind gar nicht erfasst. Der Deckel bindet nur berichtspflichtige Unternehmen.
• Branchenübliche Informationen darfst du weiterhin freiwillig teilen. Das ist ausdrücklich erlaubt.

Und dann ist da noch die kaufmännische Realität. Rechtlich darfst du überzählige Fragen ablehnen. Mit wem dein Kunde künftig zusammenarbeitet, entscheidet er trotzdem selbst. Der Deckel ist ein Schutz vor Wildwuchs, kein Argument gegen Transparenz.

Was du jetzt konkret tun kannst

Bis zum Geschäftsjahr 2027 bleibt etwas Zeit. Die lässt sich gut nutzen.

1. Kläre deinen Status. Der Deckel greift nur, wenn dein Unternehmen im Vorjahr durchschnittlich höchstens 1.000 Beschäftigte hatte und der anfragende Kunde selbst CSRD-pflichtig ist.
2. Bring Scope 1 und 2 in Ordnung. Das ist der Klimakern, den jeder CSRD-Kunde fragen darf. Ermittle deine Emissionen nach GHG Protocol und deinen Energieverbrauch in MWh, am besten mit Aktivitätsdaten statt Schätzungen aus Euro-Beträgen.
3. Antworte mit einem Datensatz statt mit zehn Fragebögen. Wer seine Angaben einmal nach dem Basismodul des Voluntary Standard aufbereitet, kann sie jedem Kunden in derselben Form schicken. Genau dafür ist der Standard gedacht.
4. Frag nach dem Zweck. Kommt eine Anfrage, die über den Deckel hinausgeht, kläre, wofür die Daten gebraucht werden. Danach entscheidest du bewusst, was du lieferst.
5. Denk Scope 3 trotzdem mit. Kunden mit eigenen Klimazielen brauchen Lieferantendaten, ob mit oder ohne Deckel. Wer Scope 3 oder Produktdaten liefern kann, hebt sich ab. Freiwillig, aber oft ein echtes Verkaufsargument.

Wenn du dabei Unterstützung möchtest: Bei today.green bauen wir mit dir deine CO₂-Bilanz nach GHG Protocol auf, mit Software und persönlicher Begleitung durch unsere Expert:innen. So hast du die Zahlen parat, bevor die nächste Anfrage kommt.

Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung.