Elektronische Chargenprotokolle: Warum papierbasierte Produktionsaufzeichnungen zum regulatorischen Risiko werden

Ein Lebensmittelhersteller erhält an einem Dienstagnachmittag einen Anruf von einem Einzelhändler: Ein Kunde hat eine allergische Reaktion auf ein Produkt mit der Kennzeichnung „nussfrei" gemeldet. Der Einzelhändler muss innerhalb weniger Stunden jede betroffene Chargennummer, jeden Zutatenlieferanten, jede Produktionslinie, auf der das Produkt gelaufen ist, und jeden Kunden kennen, der diese Charge erhalten hat. Der Hersteller verfügt über diese Informationen. Sie befinden sich in drei Ordnern im Qualitätsbüro, und es dauert bei vier Mitarbeitenden zwei Tage, sie zusammenzustellen.

Dieses Szenario ist keine Ausnahme. Es ist die Standarderfahrung mittelständischer Lebensmittelhersteller, die ihre Chargendokumentation auf Papier führen – und die Lücke zwischen dem, was das papierbasierte System leisten kann, und dem, was Aufsichtsbehörden und Einzelhändler heute verlangen, wird jedes Jahr größer.

Was ein Chargenprotokoll ist und warum es wichtig ist

Ein Chargenprotokoll ist die vollständig dokumentierte Historie eines Produktionslaufs: welche Zutaten aus welchen Chargen verwendet wurden, welche Anlagen beteiligt waren, welche Mitarbeitenden welchen Schritt ausgeführt haben, welche Qualitätsprüfungen durchgeführt wurden und mit welchem Ergebnis sowie die endgültige Ausbeute. Für Lebensmittelhersteller, die nach HACCP, der EU-Verordnung 178/2002 oder FDA 21 CFR Part 117 arbeiten, ist das Chargenprotokoll der Nachweis, dass das Lebensmittel sicher und gemäß Rezeptur und Prozessspezifikation hergestellt wurde.

Im Falle einer Reklamation, eines Kontaminationsvorfalls oder eines Rückrufs ist es außerdem das Dokument, das darüber entscheidet, wie schnell und präzise der Hersteller reagieren kann. Ein Chargenprotokoll, das in Minuten abgerufen und interpretiert werden kann, ermöglicht einen gezielten Rückruf. Eines, dessen Zusammenstellung Tage dauert, führt zu einer vorsorglichen Rücknahme eines weit größeren Produktsortiments – was teurer ist, die Beziehungen zu Einzelhändlern stärker belastet und sich reputationsmäßig schwerer wieder gutmachen lässt.

Das Problem der Papierspur

Papierbasierte Chargenprotokolle sind an sich nicht falsch. Die darin erfassten Informationen sind die richtigen Informationen. Die Probleme entstehen dadurch, wie diese Informationen erfasst, gespeichert und abgerufen werden.

Die Erfassung ist der erste Schwachpunkt. Wenn Mitarbeitende Papierformulare erst am Ende einer Schicht ausfüllen – statt zum Zeitpunkt jeder einzelnen Handlung –, entstehen Übertragungsfehler, werden geschätzte statt tatsächliche Werte eingetragen, und unter Produktionsdruck werden mitunter ganze Schritte übersprungen. Es gibt kein System, das erzwingt, dass eine CCP-Prüfung abgezeichnet wurde, bevor der nächste Arbeitsschritt beginnt. Das Formular mag es vorschreiben, doch die Produktionslinie stoppt deshalb nicht, bis es erledigt ist.

Die Aufbewahrung ist der zweite Schwachpunkt. Papierunterlagen werden physisch abgelegt, uneinheitlich digitalisiert und gehen bei Standortverlagerungen, Audits und Personalwechseln häufig verloren oder werden falsch abgelegt. Die Aufbewahrungspflicht nach EU-Recht beträgt in der Regel zwei Jahre über die Haltbarkeit des Produkts hinaus. Bei einem Produkt mit dreijähriger Haltbarkeit bedeutet das fünf Jahre an Papierunterlagen, die nach Chargennummer auffindbar sein müssen – über Produktfamilien hinweg, die möglicherweise mehrfach neu formuliert wurden.

Der Abruf ist der dritte und operativ schädlichste Schwachpunkt. Eine Rückverfolgungsabfrage – zeig mir jede Fertigcharge, in der Zutatencharge X verwendet wurde – erfordert die manuelle Durchsuchung von potenziell Tausenden Unterlagen. Die Vorwärtsverfolgung – zeig mir jeden Kunden, der Ware aus Charge Y erhalten hat – erfordert den Abgleich der Chargenprotokolle mit Versanddaten, die sich möglicherweise in einem separaten System befinden. Keine dieser Aufgaben lässt sich in dem Zwei-Stunden-Fenster bewältigen, das ein ernsthafter Lebensmittelsicherheitsvorfall zulässt.

Was Aufsichtsbehörden und Einzelhändler tatsächlich verlangen

Die EU-Verordnung 178/2002 verlangt eine Rückverfolgbarkeit „einen Schritt zurück, einen Schritt vor". In der Praxis verlangen die Standards großer Einzelhändler – BRCGS, IFS, FSSC 22000 – erheblich mehr: eine vollständige Chargen-Genealogie, CCP-Dokumentation mit unterschriebener Verifizierung und eine nachgewiesene, mindestens jährlich getestete Rückrufkapazität. Zertifizierungsauditoren prüfen nicht nur, ob die Unterlagen existieren, sondern auch, ob sie auf Anfrage bereitgestellt werden können – in einem Format, das Rückverfolgungsabfragen unterstützt, mit dem Nachweis, dass die Daten zum Zeitpunkt der Produktion erfasst und nicht nachträglich rekonstruiert wurden.

Die eigentliche Frage eines Auditors lautet nicht „Haben Sie Chargenprotokolle?". Sie lautet: „Können Sie allein anhand der Unterlagen beweisen, dass diese Charge freigabefähig war – und könnten Sie diese Frage während eines akuten Vorfalls innerhalb von zwei Stunden beantworten?"

Die FDA-Vorschrift FSMA Rule 204, die für die meisten Hersteller 2026 in Kraft trat, geht noch weiter: Sie verlangt für bestimmte Hochrisiko-Lebensmittel elektronische, sortierbare Unterlagen sowie die Fähigkeit, Rückverfolgungsdaten innerhalb von 24 Stunden nach Anfrage einer Behörde bereitzustellen. Papierunterlagen können diese Anforderung – so gut organisiert sie auch sein mögen – nicht erfüllen.

FDA 21 CFR Part 11 und der Standard für elektronische Signaturen

Für Hersteller, die der Aufsicht der FDA unterliegen – einschließlich solcher, die in die USA exportieren – legt 21 CFR Part 11 die Anforderungen fest, unter denen elektronische Unterlagen dieselbe Rechtsverbindlichkeit wie handschriftliche Unterschriften erhalten. Der Standard bedeutet nicht einfach „digitalisieren". Er verlangt, dass elektronische Unterlagen eindeutig der Person zuzuordnen sind, die sie erstellt hat, dass sie nicht ohne einen Audit-Trail der Änderung verändert werden können und dass Signaturen eine definierte Bedeutung tragen – nicht nur einen Namen, sondern auch, was damit bestätigt wurde.

Das ist entscheidend, denn der Wechsel von Papier zu einem einfachen digitalen Formular erfüllt Part 11 nicht automatisch. Ein PDF, das Mitarbeitende auf einem Tablet ausfüllen und lokal speichern, ist nicht konform. Ein unveränderliches, zeitgestempeltes Protokoll mit einer zugeordneten elektronischen Signatur, die festhält, was der Mitarbeitende bestätigt hat – „Ich habe verifiziert, dass die CCP-Temperatur um 14:32 Uhr innerhalb der Spezifikation lag" –, ist es hingegen.

Dieser Unterschied hat praktische Konsequenzen für Hersteller, die nur der Form nach digitalisiert haben. Wird bei einer US-Rückrufuntersuchung die Integrität der Produktionsunterlagen infrage gestellt, lässt sich eine Unterschrift auf einem PDF anfechten. Ein Part-11-konformes Protokoll nicht.

Die Dimension der Allergenkontrolle

Von allen Gründen, warum Chargenprotokolle wichtig sind, ist die Allergenkontrolle derjenige, der sich unmittelbar auf die Sicherheit der Verbraucher auswirkt. Ein Chargenprotokoll, das dokumentiert, welche Allergene in welchen Zutaten enthalten waren, auf welcher Produktionslinie das Produkt gelaufen ist und ob ein Allergen-Reinigungsprotokoll vor dem Produktionslauf abgeschlossen und verifiziert wurde, ist der einzige urkundliche Nachweis, mit dem sich eine Kennzeichnung „nussfrei", „glutenfrei" oder „laktosefrei" auf einem Etikett verteidigen lässt.

Papierbasierte Allergenunterlagen haben eine spezifische Schwachstelle: den Schritt der Reinigungsverifizierung. Wenn das Protokoll vorschreibt, dass ein Mitarbeitender abzeichnet, dass die Linie bis zum allergenfreien Status gereinigt wurde, bevor der nächste allergenunverträgliche Produktionslauf beginnt, hält das Papierformular fest, dass eine Unterschrift geleistet wurde. Es verhindert aber nicht, dass die Unterschrift geleistet wird, bevor die Reinigung tatsächlich abgeschlossen ist. Ein elektronisches System, das den nächsten Produktionsschritt sperrt – und die Charge erst weiterlaufen lässt, wenn die CCP-Prüfung erfasst wurde –, schließt diese Lücke auf Prozessebene und nicht nur auf Dokumentationsebene.

Echtzeiterfassung versus nachträgliche Dokumentation

Der bedeutendste operative Unterschied zwischen Papier- und elektronischen Chargenprotokollen liegt im Zeitpunkt der Datenerfassung. Papierunterlagen sind in der Praxis größtenteils nachträglicher Natur: Mitarbeitende notieren im Nachhinein, was geschehen ist – bei einer natürlichen Produktionspause oder in einer ruhigeren Phase. Elektronische Protokolle hingegen werden, wenn sie in das Produktionssystem integriert sind, zum Zeitpunkt der Handlung erfasst: Der Mitarbeitende scannt die Zutatencharge, erfasst die verwendete Menge, fotografiert eine Qualitätsprüfung und signiert den CCP-Schritt, bevor der nächste Schritt verfügbar wird.

Der Unterschied in der Datenqualität ist erheblich. Nachträglich erfasste Unterlagen tragen die Fehler in sich, die aus der Erinnerung entstehen: gerundete Zahlen, übersehene Abweichungen, die zum damaligen Zeitpunkt geringfügig erschienen, und Schritte, die tatsächlich übersprungen, aber als abgeschlossen erfasst wurden. Am Handlungsort erfasste Protokolle geben wieder, was tatsächlich geschehen ist, mit einem Zeitstempel, der widerspiegelt, wann es geschehen ist.

Für einen Hersteller, der noch nie einen ernsthaften Rückruf erlebt hat, mag dieser Unterschied akademisch erscheinen. Für einen Hersteller, der einen akuten Vorfall bewältigt, ist es der Unterschied, ob er das Chargenprotokoll gegenüber einer Aufsichtsbehörde verteidigen kann oder nicht.

Der Rückruf-Simulationstest

Der Maßstab, an dem die Chargendokumentation gemessen werden sollte, ist der simulierte Rückruf: Wie lange dauert es, ausgehend von einer bestimmten Zutatenchargennummer, jede Fertigproduktcharge zu identifizieren, die diese Zutat enthielt, jeden Kunden zu ermitteln, an den sie versandt wurde, und die im Markt befindliche Gesamtmenge zu bestimmen? BRCGS und IFS verlangen, dass diese Übung dokumentiert wird, und erwarten in der Regel den Abschluss innerhalb eines definierten Zeitfensters – häufig zwei bis vier Stunden.

Die meisten Hersteller, die simulierte Rückrufe mit papierbasierten Systemen durchführen, stellen fest, dass die tatsächliche Dauer dieses Zeitfenster erheblich überschreitet. Die Lücke zwischen Ziel- und Ist-Wert ist das eigentliche Risiko – nicht als Compliance-Kennzahl, sondern als das praktische Zeitfenster, in dem ein kontaminiertes Produkt im Markt verbleibt, während der Umfang des Rückrufs noch ermittelt wird.

Elektronische Chargenprotokolle mit integrierter Genealogie reduzieren dies auf eine einzige Abfrage. Dieselbe Übung, die auf Papier vier Stunden dauert, dauert vier Minuten, wenn die Daten elektronisch erfasst wurden und die Rückverfolgungsverknüpfungen während der gesamten Produktion in einem einzigen System gepflegt wurden.

---