Die Datenschutz-Grundverordnung – kurz DSVGO – hat vieles auf den Kopf gestellt. Seit sie in Kraft getreten ist, dürfen personenbezogene Daten nur rechtmäßig, zweckgebunden, sparsam und nicht länger als nötig verarbeitet werden. Dadurch hat die DSVGO auch auf das Berichtsheft in der Ausbildung maßgeblichen Einfluss genommen und ist ein Stück weit auch zum Reizthema geworden, dem wir uns im heutigen Blogbeitrag mal näher zuwenden wollen.
Ein wichtiger Hinweis vorab, quasi ein Disclaimer: Der vorliegende Blogbeitrag ist keine Rechtsberatung und wir können Dir zum Thema Datenschutz im Ausbildungsnachweis auch deshalb keine verbindlichen Informationen wasserdicht an die Hand geben, weil sich Gesetzeslage, IHK-Vorgaben aber auch Tools jederzeit verändern können.
Was wir dennoch können, ist Dir eine praxisnahe Orientierung zu diesem Thema zu liefern, die allerdings das Gespräch mit Deiner Rechtsabteilung und/oder Deinem Datenschutzbeauftragen nicht ersetzen kann. Klar soweit? Dann lass uns jetzt tiefer in dieses komplexe Thema eintauchen!
DSGVO Berichtsheft: Der rechtliche Rahmen
Wir möchten zwar so gut es geht auf Juristendeutsch verzichten. Dennoch muss bei der Datenschutz-Grundverordnung im Zusammenhang mit dem Berichtsheft einmal kurz der rechtliche Rahmen abgesteckt werden, der eingehalten werden muss.
Allen voran ist dabei die Pflicht zum Führen des Berichtshefts zu nennen. Es gibt zwar schon lange Möglichkeiten, das Berichtsheft online zu führen. Ob mit oder ohne digitale Tools ist es aber eine wichtige Voraussetzung, um zur Abschlussprüfung zugelassen zu werden. In anderen Worten: Ohne ordentlich geführten Nachweis wird es für die Azubis eng. Siehe § 43 Abs. 1 Nr. 2 BbiG/HwO.
Die Verarbeitung im Betrieb stützt sich je nach Kontext typischerweise auf Art. 6 Abs. 1 lit. b (Erfüllung des Ausbildungsvertrags), lit. c (rechtliche Pflicht, z. B. Nachweisführung) oder lit. f (berechtigte Interessen, z. B. Organisation/Qualitätssicherung).
Durch die Datenschutz-Grundverordnung kommen nun noch weitere Aspekte hinzu. Zu nennen sind hierbei Zweckbindung, Datenminimierung, Speicherbegrenzung, Richtigkeit, Integrität / Vertraulichkeit (Art. 5 DSGVO) sowie der Punkt, dass Gesundheitsdaten, Herkunft, Religion, Gewerkschaft etc. als extra sensibel zu bewerten (Art. 9 DSGVO) und im Berichtsheft daher in aller Regel nicht kritisch zu sehen sind.
Für Rollen und Zugriff auf das Berichtsheft ist dabei üblicherweise der Betrieb selbst verantwortlich. Die IHK kann – wo es denn vorgesehen ist – lesenden Zugriff bekommen (beispielsweise zur Prüfungszulassung). Dieser darf dann allerdings auch nur temporärer Natur sein.
DSGVO Berichtsheft: Welche Datenarten sind unkritisch und wo wird es heikel?
Unkritisch sind üblicherweise Ausbildungsinhalte und Tätigkeiten. Also was wo gelernt und geübt wurde sowie welche Maschinen und Tools eingesetzt wurden. Zeiträume und Abteilungen dürfen ebenso benannt werden wie etwaige Feedbacks und Zielvereinbarungen mit Azubis zur fachlichen Entwicklung.
Heikel kann es hingegen immer dann werden, wenn Daten ins Berichtsheft rutschen, die oftmals auch schlicht und ergreifend unnötig, da irrelevant, sind. Dazu gehört beispielsweise:
- Klarnamen Dritter (Kunden, Lieferanten, Kolleginnen/Kollegen, Lehrkräfte). Nutze stattdessen Funktionen („Kundenservice“, „Einkauf“) oder Initialen, sofern überhaupt nötig.
- Kontaktdaten Dritter, Kundennummern, Bestellnummern, interne ID-Listen.
- Bewertungen mit Persönlichkeitsbezug („Herr X ist unfähig“, „Kollegin Y ist krank“).
- Geschäftsgeheimnisse und nicht freigegebene Details (z. B. Preise, Roadmaps).
- Besondere Kategorien nach Art. 9 DSGVO (Gesundheit, Religion, politische Meinung etc.). Wenn solche Informationen wirklich unvermeidbar sind (selten!), vorher unbedingt Datenschutz klären.
Wichtiger Grundsatz: Frage Dich/Dein Team bei jedem Eintrag: Braucht die IHK oder der Betrieb genau diese Information, um den Ausbildungsfortschritt zu belegen? Wenn nein: Weglassen oder neutralisieren!
DSGVO Berichtsheft: Artikel 9 der DSGVO im Praxischeck
Insbesondere die in Artikel 9 DSGVO benannten Kategorien sind bisweilen schwer zu greifen. Schauen wir sie uns daher in einem knappen Praxischeck etwas genauer an.
Brauchen wir ein Gesundheitstagebuch im Berichtsheft? Kurz und knapp: Nein. Krankheitsgründe gehören nicht ins Berichtsheft. Abwesenheiten dokumentierst Du stattdessen neutral („krank“, „Urlaub“, „Schule“ reicht).
Absolut überflüssig sind außerdem alle Bezüge zu Religion, Weltanschauung und politischer Einstellung der Azubis. Beim Thema Gewerkschaft / BR-Arbeit hingegen kommt es tatsächlich darauf an. Persönliche Mitgliedschaften haben nichts im Berichtsheft verloren. Wenn es sich aber um Ausbildungsinhalte handelt wie beispielsweise die Betriebsverfassung in der Theorie, ist das wiederum relevant fürs Berichtsheft.
Vorsicht ist außerdem bei Unfallschilderungen geboten. Wenn sicherheitsrelevante Lerninhalte dokumentiert werden (beispielsweise die Unterweisung nach einem Unfall), dann solltest Du immer die Unterweisung beschreiben und nicht die Diagnose.
Hintergrund: All diese Daten sind rechtlich besonders geschützt. Eine Verarbeitung setzt neben Art. 6 regelmäßig zusätzliche Voraussetzungen aus Art. 9 Abs. 2 voraus, die in der Ausbildungspraxis kaum gegeben sind. Um also etwaigen negativen Konsequenzen aus dem Weg zu gehen, solltest Du diese Aspekte optimalerweise vermeiden.
Do’s & Don’ts für DSGVO-konforme Einträge im Berichtsheft
Do’s:
- Tätigkeiten fachlich beschreiben: „Wareneingang gebucht, Prüfanweisung A angewandt, Abweichungen dokumentiert.“
- Lernziele nennen: „Ziel: Scannerprozess verstehen, Fehlerquote < 1 Prozent.“
- Kontext ohne Personenbezug: „Rücksprache mit Einkauf (Funktion), Klärung Liefertermin.“
- Abkürzungen/Neutrale IDs: Interne Materialnummer statt Kundennamen.
- Feedback knapp & sachlich: „Arbeitsschritt B sicher beherrscht, nächstes Mal Zeitplan prüfen.“
Don’ts
- Klarnamen & Kontaktdaten Dritter („Frau Müller aus Vertrieb + Durchwahl“).
- Bewertungen über Personen („Herr H. unkooperativ“).
- Diagnosen, Religions-/Politikbezüge.
- Geheime Kennzahlen oder vertrauliche Preisabsprachen.
- Bildmaterial/Videos mit identifizierbaren Personen ohne klare Notwendigkeit und Rechtsgrundlage.
Berichtsheft: Aufbewahrung, Löschung & Export – was ist angemessen?
Etwas kritisch ist, dass es – Stand: September 2025 – keine bundesweit einheitliche Regelung, bzw. Frist fürs Berichtsheft gibt, die überall identisch ist. Maßgeblich sind Zweck (Nachweis der Ausbildung/Prüfungszulassung), IHK-Vorgaben und allgemeine DSGVO-Grundsätze der Speicherbegrenzung.
Praktisch heißt das also:
- Während der Ausbildung: Logischerweise aufbewahren. Der Nachweis ist nötig, auch für Zwischenprüfungen.
- Zur Prüfungszulassung: Bereithalten/zugänglich machen, ggf. digital „read only“ für die IHK. Regionale Portale sehen teils temporären Lesezugriff vor.
- Nach der Prüfung: Nur so lange speichern, wie es für Nachweis-/Dokumentationszwecke erforderlich ist. Danach löschen oder an die/den Auszubildenden übergeben (bei Eigenführung). Ein unternehmensweites Löschkonzept hilft, Fristen nachvollziehbar festzulegen.
Konkrete Beispiele fürs DSGVO-konforme Berichtsheft
Im Folgenden haben wir ein paar Beispiele aus verschiedenen Branchen für Dich gesammelt, die Dir zeigen sollen, was nach aktuellem Stand als DSGVO-konform eingestuft wird und was momentan vermieden werden sollte.
Ein Beispiel aus dem Kaufmännischen:
Gut: „Woche 14: Wareneingänge im ERP gebucht (Belegarten WE, WR); Abweichungen gemäß Arbeitsanweisung 3.2 dokumentiert; Abstimmung mit Einkauf zur Lieferpriorisierung.“
Kritisch: „Reklamation Frau M. (Kundin), Tel. 0xxx, E-Mail …; Herr K. aus dem Lager hat die Kartons falsch etikettiert; Frau S. krank.“
Ein Beispiel aus der IT:
Gut: „Ticketverwaltung in System T: 6 Tickets klassifiziert, SLAs geprüft; Schulung zu IT-Sicherheitsrichtlinie (Passwortrichtlinie, MFA).“
Kritisch: „Ticket #4711 von Max Mustermann (E-Mail …@…), Passwort zurückgesetzt.“
Und noch ein Beispiel aus der Gastronomie:
Gut: „Warenkunde: Lagerung Kühlkette, HACCP-Dokumentation geübt; Mise en place für Event (120 P.), Ablaufplan erstellt.“
Kritisch: „VIP-Event bei Firma XY, GF Herr Z. hat glutenfreie Speisen bestellt.“
Deine DSGVO Berichtsheft Checkliste für den Alltag
Vor dem Start:
- Tool auswählen (Papier/digital), AV-Vertrag prüfen (bei SaaS), Rollen & Rechte definieren.
- Prozessnotiz anlegen: Was darf rein, was nicht? Beispiele bereitstellen.
- Team-Briefing: Ausbilder/innen schulen (10–20 Min. Kick-off reicht oft).
Während des Schreibens:
- Inhalte fokussiert, sachlich, ohne Personenbezug Dritter.
- Abwesenheiten neutral.
- Interne Kennzahlen/Geheimnisse nur, wenn für den Nachweis nötig.
Beim Prüfen bestehender Einträge:
- Monatlicher Check durch Ausbilder/in (Fachlichkeit + Datenschutz).
- Auffällige Stellen gemeinsam neutralisieren.
Zur Speicherung:
- Export/Backup planen (insb. vor Portaländerungen).
- Intern festgelegte Löschfristen im Verzeichnis dokumentieren (Speicherbegrenzung).
FAQ: Häufig gestellte Fragen zum Berichtsheft (in Verbindung mit DSGVO)
„Dürfen Fotos ins Berichtsheft?“
→ Nur, wenn wirklich erforderlich und rechtlich abgesichert (Zweck, Rechtsgrundlage, Einwilligungen Dritter, Betriebsvereinbarungen). In der Praxis selten nötig.
„Muss ich Kundennamen nennen, um meine Arbeit zu belegen?“
→ Nein. Beschreibe den Vorgang, nicht die Person. Neutral reicht.
„Darf die IHK alles lesen?“
→ Nein. Wenn vorgesehen, meist lesender, zeitlich begrenzter Zugriff und nur für Prüfungs-/Betreuungszwecke. Regionale Regelungen beachten.
„Wie lange muss ich aufbewahren?“
→ So lange, wie es für Nachweis-/Prüfungszwecke erforderlich ist. Keinesfalls länger! Danach löschen/übergeben. Prüfe IHK-Vorgaben und halte die Frist im Löschkonzept fest.
Und falls doch einmal etwas schiefgeht?
Nobody is perfect und manchmal rutscht eben doch etwas durch, was Person A im Berichtsheft festgehalten hat und was weder Person B noch Person C bemerkt und entsprechend neutralisiert haben. Wichtig ist, dass der Fehler, sobald er bemerkt wird, umgehend korrigiert wird. Mögliche betroffene Personen sollten hierbei intern auch direkt informiert werden.
Ferner geht es darum Ursachenforschung zu betreiben: Warum ist beispielsweise ein Personenbezug hinein geraten? Und müssen etwaige Regeln angepasst werden? Wichtig: Dokumentiere die hieraus gewonnenen Ergebnisse und halte sie als „Lessons Learned“ fest.
Sollten es hingegen echte Datenschutzpannen sein, führt womöglich kein Weg daran vorbei, den DSB einzuschalten. Bzw. solltest Du Dich erst an interne Meldewege halten, aber gleichzeitig auch gesetzliche Meldepflichten prüfen.
Fazit
Wer das Berichtsheft sachlich, zweckgebunden und ohne unnötige Personenbezüge führt, der ist auf dem allerbesten Weg dazu, die DSGVO einzuhalten. Nutze knappe, fachliche Beschreibungen, prüfe regelmäßig, plane Export und Löschung und halte die in Art. 9 DSGVO genannten besonderen Kategorien aus dem Heft heraus. So bleibst Du in puncto Datenschutz üblicherweise sauber.
Du bist noch gar kein Ausbilder und möchtest jetzt den nächsten Schritt gehen? Dann möchten wir Dich abschließend noch auf unseren Online-Vorbereitungskurs auf den Ausbilderschein hinweisen. Wir führen Dich in unserem innovativen Videokurs mit Geschichten zum Ausbilderschein, sodass Du leichter lernst. Das spiegelt sich auch in den Bestehensquoten wider. Von den über 15000 Ausbildern, die unser Programm bereits absolviert haben, haben 94 Prozent direkt im ersten Anlauf bestanden. Du willst dazugehören? Dann informiere Dich jetzt per Klick auf den folgenden Link:
