Keystone
von CloudVoro
Leitfaden · Compliance

One-Up-One-Down‑Rückverfolgbarkeit:
what the law requires, and what it quietly doesn't.

Every food business in the EU is legally required to know where its inputs came from and where its outputs went, one step up, one step down. That sentence hides two traps: the law does not require internal traceability, and one-up-one-down alone will not survive a retailer audit. Here is the full picture, with a worked example.

9 Min. Lesezeit Zuletzt aktualisiert 2026-07-08Vom CloudVoro-Team

What Article 18 of EU food safety regulations says

Article 18 of Regulation (EC) No food safety, the General Food Law, requires food business operators to be able to identify any person from whom they have been supplied with a food, a food-producing animal, or any substance intended to be incorporated into a food (one step back), and to identify the businesses to which their products have been supplied (one step forward). This information must be available to the competent authorities on demand.

Article 19 adds the operational teeth: if you have reason to believe food you placed on the market is not safe, you must immediately withdraw it, inform the competent authorities, and, where product may have reached consumers, effectively and accurately inform them and recall it if necessary. In Ireland the competent authority framework runs through the FSAI and its official agencies.

Notice what Article 18 does not require: it does not mandate internal traceability (linking a specific incoming lot to a specific outgoing batch inside your factory), it does not mandate lot-level granularity, and it does not set a time limit. Those obligations arrive from elsewhere, certification standards and customer contracts.

Ein praktisches Beispiel: ein Laib Blauschimmelkäse

Take a farmhouse dairy making blue cheese. Tuesday's milk arrives from three farms and is pooled into one silo. Wednesday's make-day consumes that silo into batch B-1042, 214 wheels. Over the following weeks, wheels from B-1042 are dispatched to an Irish multiple (under a private-label code), a UK distributor, and a Dublin cheesemonger.

FrageAntwort: jeweils ein Schritt nach oben und ein Schritt nach untenWas ein Vorfall tatsächlich braucht
Ein Hof meldet eine Rückstandsüberschreitung in der Milch vom Dienstag.Wir haben am Dienstag Milch von den Höfen X, Y, Z erhalten.Welche Chargen verwendeten die Dienstagsmilch, welche Laibe, welche Kunden erhielten sie, wie viele sind noch auf Lager?
Die Mehrfachabfragen einer Eigenmarken-SKUWir haben diesen Kunden an den genannten Terminen beliefert.Auf welche interne Charge diese SKU-Linie zurückführt, deren vollständige QC-Aufzeichnung und die Herkunft der Milch
Die FSAI fragt, wer die Charge B-1042 erhalten hat.Liste der DirektkundenSame, plus quantities per customer and dates, ideally within hours

The left column is legal compliance. The right column is what your customers, your certifier and, in a real incident, your own survival require. The gap between the two columns is internal traceability: the documented links between intake, silo, batch and dispatch that Article 18 never mentions.

Was BRCGS, Einzelhändler und Exportmärkte zusätzlich verlangen

BRCGS (clause 3.9)
Full lot-level traceability through processing, both directions, tested annually with mass balance inside 4 hours, internal traceability made mandatory.
Anforderungen für Handelsmarken
Benötigen typischerweise zweimal jährlich Rückrufübungen, Nachverfolgbarkeit auf Kunden-Code-Ebene und Reaktion innerhalb weniger Stunden. Vertraglich vorgeschrieben und durch technische Audits durchgesetzt.
Exportzertifizierungen
Drittland-Anforderungen (US FSMA foreign supplier verification, Middle East conformity schemes) verlangen häufig eine dokumentierte Chargenhistorie vor der Versandfreigabe.
EU-Sektorregeln
Certain sectors carry stricter regimes than food safety, e.g. beef labelling traceability, fishery products (catch area and gear on labels through the SFPA), eggs and sprouts. Check your sector's lex specialis.

Der minimale Datensatz, der sowohl Gesetz als auch Auditanforderungen erfüllt

Wareneingangsregister
Supplier, delivery date, product, supplier lot code, quantity, for every input including packaging. This is your one-step-back evidence.
Produktions-/Chargenaufzeichnungen
Welche Eingangschargen jede Charge verbraucht hat, mit Mengenangaben. Dies ist die interne Verknüpfung, die das Gesetz ausspart und das Audit verlangt.
Versandregister
Customer, date, product, your lot code, quantity per line. One-step-forward evidence. Business customers only, Article 18 does not require tracing to individual consumers.
Aufbewahrung
EU guidance commonly points to 5 years as a default retention for traceability records, shorter for highly perishable goods. Your customers may specify longer, keep the strictest applicable.

Vom gesetzlichen Minimum zur operativen Leistungsfähigkeit

One-up-one-down is a floor, not a system. The producers who suffer in incidents are rarely missing the legal records, they are missing the connections between them, so answering "which customers got Tuesday's milk" means a person manually walking intake books, make sheets and dispatch folders under pressure.

This is the specific problem Keystone models: every supplier delivery, silo run, batch and dispatch line is one connected chain, so the incident question, either direction, is answered in under 30 seconds with a signed PDF for the authority or customer. The legal one-up-one-down evidence falls out of the same records automatically.

Wichtigste Erkenntnisse
  • Article 18 of EU Reg food safety requires one step back and one step forward, available to authorities on demand.
  • Das Gesetz verlangt keine interne Rückverfolgbarkeit oder Chargengranularität; BRCGS und Händlerstandards tun dies jedoch.
  • Artikel 19 schreibt bei unsicherer Nahrung sofortigen Rückzug, Benachrichtigung der Behörden und Rückrufpflichten auf Verbraucherebene vor.
  • Die Lücke, die Produzenten bei Vorfällen wirklich trifft, sind fehlende interne Verknüpfungen zwischen gesetzlich vorgeschriebenen Aufzeichnungen.
  • Bewahren Sie Rückverfolgbarkeitsunterlagen mindestens 5 Jahre auf, sofern nicht eine strengere Kunden- oder Branchenregel gilt.
Kostenloser 5-teiliger E-Mail-Kurs
In fünf kurzen E-Mails auditbereit.
The 18-point checklist PDF, the 30-second traceability test, what BRCGS auditors actually flag, and how Cashel Blue got audit-ready, one email every few days. No spam, one-click unsubscribe.
DSGVO-konform: Wir speichern Ihre E-Mail-Adresse nur für diesen Kurs. Abmeldelink in jeder E-Mail.

Häufig gestellte Fragen

Was bedeutet One-up-/One-down-Rückverfolgbarkeit?
You must be able to identify the immediate supplier of every input (one step back) and every business customer who received your product (one step forward). It comes from Article 18 of EU food safety regulations and applies to all food and feed businesses in the EU.
Erfordert das EU-Recht interne Rückverfolgbarkeit?
No, Article 18 stops at your walls. Linking specific incoming lots to specific outgoing batches (internal traceability) is required instead by certification standards like BRCGS and by most retailer own-label contracts.
Muss ich Verkäufe an Endverbraucher rückverfolgen?
Nein. Ein Schritt vorwärts gilt für die von Ihnen belieferten Unternehmen, nicht für den Endverbraucher. Direktverkäufe an Verbraucher (Hofverkauf, Märkte) werden jedoch für die Versandmengen im Rahmen der Massenbilanz weiterhin mitgezählt.
Wie lange müssen Rückverfolgbarkeitsunterlagen für Lebensmittel aufbewahrt werden?
European Commission guidance on EU food safety regulations commonly points to 5 years as the general default, with shorter periods acceptable for highly perishable products. Retailer contracts and sector rules may require longer, apply the strictest.
Was passiert, wenn ich ein Produkt während eines Vorfalls nicht rückverfolgen kann?
Article 19 obligations do not wait for your records: if you cannot identify which lots are affected, the withdrawal scope widens to everything potentially affected, more product destroyed, more customers notified, more reputational damage. Precision of trace is what limits the blast radius.
Compliance & Vertrauen

Wie wir Ihre
Daten und Audits schützen.

Enterprise-grade controls as standard, encryption, MFA for every user, tenant isolation and immutable audit trails, on EU cloud or your own servers. Privacy queries go to privacy@cloudvoro.com. Liste der Unterauftragsverarbeiter unter /legal/sub-processors. Vollständige Sicherheitsübersicht unter /site/security.

Live
Hosted in EU / Ireland, or on-premise
Kundendaten liegen auf AWS Ireland (eu-west-1) und verlassen die EU niemals. Lokale On‑Premise‑Bereitstellung möglich, wenn es die Richtlinie erfordert.
Live
GDPR · Datenschutz-Ansprechpartner benannt
Der interne Datenschutzverantwortliche bearbeitet Betroffenenanfragen. Die verantwortliche Person ist Mitglied von ADPO Ireland.
Live
MFA für jeden Nutzer
TOTP‑basierte Multi‑Faktor‑Authentifizierung für alle Rollen, mit Begrenzung der Anfragen, Sperre bei Brute‑Force‑Versuchen und reCAPTCHA‑Schutz für öffentliche Formulare.
Live
ISO 27001 · abgestimmte Kontrollen
Security controls mapped to the ISO/IEC 27001:2022 Annex A framework, access management, encryption, logging, incident response.
Live
NIS2 · unterstützende Nachweise
Mandantentrennung, MFA und unveränderliche Prüfprotokolle liefern Kunden, die unter NIS2 fallen, direkte Nachweise für ihre Verpflichtungen.
Live
Verschlüsselung · ruhende und übertragene Daten
TLS 1.3 während der Übertragung, industrieweite symmetrische Chiffren für ruhende Daten, KMS‑verwaltete Schlüssel.