Verbandbuch: Pflicht, Inhalt, Aufbewahrung und Datenschutz

Ein Verbandbuch ist die betriebliche Aufzeichnung jeder geleisteten Ersten Hilfe — vom Pflaster bis zum Rettungswagen. Es hält fest, wer wann und wo verletzt oder erkrankt ist, wie es dazu kam, was getan wurde und wer geholfen hat. Rechtlich ist es kein Buch, sondern eine Dokumentationspflicht: § 24 Absatz 6 der DGUV Vorschrift 1 verlangt die Aufzeichnung, nicht eine bestimmte Form. Genau deshalb ist die digitale Führung zulässig — und in vielen Betrieben die sauberere Lösung. Dieser Beitrag zeigt, was in jeden Eintrag gehört, wie lange Sie aufbewahren müssen, warum der offene Ordner am Verbandkasten das häufigste Datenschutzproblem im Kleinbetrieb ist und ab wann statt eines Eintrags eine Unfallanzeige fällig wird. Wer das Thema als Teil eines größeren Vorhabens angeht, findet den Überblick unter Arbeitsschutz Schritt für Schritt digitalisieren.

Wozu die Aufzeichnung tatsächlich dient

Das Verbandbuch wird in vielen Betrieben als Formalie behandelt: ein Heft, das jemand irgendwann angeschafft hat, in das seit Jahren niemand schreibt, weil „ja nichts passiert“ ist. Diese Sicht verkennt den Zweck. Die Aufzeichnung ist ein Beweismittel — und zwar zugunsten der verletzten Person.

Die Berufsgenossenschaft Verkehr beschreibt den Zweck der Dokumentation in ihrem Medienkatalog zum Meldeblock so: Die Aufzeichnungen dienen als Nachweis dafür, dass die Verletzung oder Erkrankung bei einer versicherten Tätigkeit ein- beziehungsweise aufgetreten ist, und können bei Spätfolgen wichtig werden. Das ist der Kern. Der Handwerker, der sich beim Fliesenschneiden einen kleinen Schnitt zuzieht, geht nicht zum Arzt. Entzündet sich die Wunde vier Wochen später und folgt eine längere Arbeitsunfähigkeit, steht die Frage im Raum, ob der Gesundheitsschaden aus der versicherten Tätigkeit stammt. Ohne Aufzeichnung gibt es dafür nur Erinnerungen. Mit Aufzeichnung gibt es ein Datum, einen Ort, einen Hergang und Zeugen.

Der Fachbereich Erste Hilfe der DGUV formuliert die Reichweite eindeutig: Jedes Ereignis, bei dem Erste Hilfe geleistet wurde, also auch der kleinste Unfall, muss aufgezeichnet werden. Es gibt keine Bagatellgrenze, unterhalb derer Sie den Eintrag weglassen dürfen. Gerade der Eintrag, der im Moment unwichtig wirkt, ist der, auf den es Jahre später ankommt.

§ 24 Absatz 6 DGUV Vorschrift 1 im Wortlaut

Die Rechtsgrundlage ist kurz. § 24 Absatz 6 der DGUV Vorschrift 1 „Grundsätze der Prävention“ lautet: „Der Unternehmer hat dafür zu sorgen, dass jede Erste-Hilfe-Leistung dokumentiert und diese Dokumentation fünf Jahre lang verfügbar gehalten wird. Die Dokumente sind vertraulich zu behandeln.“

Aus diesen zwei Sätzen ergeben sich drei Pflichten und eine bemerkenswerte Nicht-Regelung. Pflicht ist erstens die Dokumentation jeder Erste-Hilfe-Leistung, zweitens die Verfügbarkeit dieser Dokumentation über fünf Jahre und drittens die vertrauliche Behandlung. Nicht geregelt ist die Form. Die Durchführungsanweisung zu Absatz 6 stellt das ausdrücklich klar: Die Form der Erfassung der zu dokumentierenden Daten ist nicht festgelegt. Als Hilfsmittel nennt sie die DGUV Information 204-021 sowie elektronische Erfassungsformen.

Das ist die zentrale Aussage für alle, die sich fragen, ob sie ein gebundenes Buch kaufen müssen: Nein. Weder ein Buch noch ein Block noch eine bestimmte Software ist vorgeschrieben. Der Begriff „Verbandbuch“ ist eine eingebürgerte Bezeichnung, kein Rechtsbegriff aus der Vorschrift. Sie können auf Einzelblättern dokumentieren, mit dem Meldeblock der DGUV arbeiten oder eine Anwendung nutzen — solange die Angaben vollständig sind, fünf Jahre verfügbar bleiben und vertraulich behandelt werden.

Der Fachbereich Erste Hilfe der DGUV führt drei Wege gleichrangig auf: die DGUV Information 204-021 „Meldeblock“, den Dokumentationsbogen für Erste-Hilfe-Leistungen und die elektronische Dokumentation unter geeigneten Bedingungen. Der Meldeblock selbst ist nach Angaben des Medienkatalogs der BG Verkehr ein Formularblock mit perforierten Seiten zum Abreißen; eine ausfüllbare PDF-Version steht kostenlos zum Download bereit. Die Perforierung ist kein Detail, sondern Konzept: Jedes Ereignis bekommt sein eigenes Blatt, das abgetrennt und getrennt abgelegt wird.

Was in jeden Eintrag gehört

Die Durchführungsanweisung zu § 24 Absatz 6 DGUV Vorschrift 1 nennt die Angaben, die die Dokumentation enthalten muss. Die folgende Tabelle listet sie mit dem jeweiligen Grund auf, warum das Feld später zählt. Die letzte Spalte trennt Pflicht von Praxisempfehlung — diese Unterscheidung ist wichtiger, als sie aussieht, weil viele Vorlagen im Umlauf Felder als Pflicht ausgeben, die es nicht sind.

Nicht in den Eintrag gehören Diagnosen, Vermutungen über Vorerkrankungen, Schuldzuweisungen oder Bewertungen des Verhaltens. Der Eintrag ist eine Tatsachenaufzeichnung, keine Stellungnahme. Alles, was darüber hinausgeht, erhöht nur die Menge sensibler Daten, die Sie anschließend schützen müssen.

Gesundheitsdaten: warum der offene Ordner das Problem ist

Ein Eintrag über eine Verletzung ist eine Angabe über den Gesundheitszustand einer bestimmten Person. Damit gilt Artikel 9 DSGVO. Dessen Absatz 1 lautet, verkürzt auf den hier einschlägigen Teil: Die Verarbeitung von Gesundheitsdaten ist untersagt. Das Verbot ist die Grundregel, die Verarbeitung die Ausnahme, die eine Erlaubnis braucht.

Diese Erlaubnis gibt es. Artikel 9 Absatz 2 Buchstabe b DSGVO lässt die Verarbeitung zu, soweit sie erforderlich ist, damit der Verantwortliche oder die betroffene Person die ihm oder ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit erwachsenden Rechte ausüben und Pflichten erfüllen kann, soweit dies nach Unionsrecht oder mitgliedstaatlichem Recht zulässig ist und geeignete Garantien für die Grundrechte bestehen. Ergänzend erlaubt § 26 Absatz 3 BDSG die Verarbeitung besonderer Kategorien personenbezogener Daten für Zwecke des Beschäftigungsverhältnisses, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten erforderlich ist. Die Dokumentationspflicht aus § 24 Absatz 6 DGUV Vorschrift 1 ist eine solche Pflicht. Das Führen des Verbandbuchs ist also erlaubt.

Erlaubt ist damit aber nur die Verarbeitung zu diesem Zweck — und der Zweck endet bei den Personen, die die Angaben zur Erfüllung der Pflicht tatsächlich brauchen. Hier setzt Artikel 32 DSGVO an. Er verlangt geeignete technische und organisatorische Maßnahmen, um ein angemessenes Schutzniveau zu gewährleisten, und nennt dabei ausdrücklich die Pseudonymisierung und Verschlüsselung personenbezogener Daten sowie die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer sicherzustellen. Artikel 32 Absatz 4 DSGVO verpflichtet zusätzlich dazu, sicherzustellen, dass unterstellte Personen mit Zugang zu personenbezogenen Daten diese nur auf Anweisung verarbeiten.

Vor diesem Hintergrund ist der klassische Aufbau — ein Sammelbuch, das offen im Verbandkasten oder im Ordner an der Wand liegt — kaum haltbar. Jeder, der ein Pflaster holt, blättert dabei durch die Verletzungen seiner Kolleginnen und Kollegen der letzten Jahre. Das ist keine Zugriffsbeschränkung, das ist das Gegenteil davon. Die Unfallkasse Nord formuliert es in ihrem Hinweis zur Nutzung von Verbandbüchern deutlich: Verbandbücher dürfen nicht mehr wie früher üblich in jedem Verbandkasten offen vorgehalten werden. Sie empfiehlt, die Dokumentation an zentraler Stelle durch eine befugte Person führen zu lassen und die ausgefüllten Einzelblätter mit laufenden Nummern gekennzeichnet abzulegen. Der Fachbereich Erste Hilfe der DGUV hält allgemein fest, dass es sich in jedem Fall um Daten handelt, die gegen den Zugriff Unbefugter zu sichern sind.

Praktisch folgen daraus zwei Konsequenzen. Erstens: Weg vom Sammelbuch, hin zum Einzelblatt je Ereignis. Zweitens: Der Ablageort ist verschlossen, nicht der Verbandkasten. Wer beides umsetzt, hat den häufigsten Fehler dieses Themas beseitigt, ohne einen Euro auszugeben.

Digitales Verbandbuch: was es können muss

Weil die Form nicht vorgeschrieben ist, ist die digitale Führung zulässig. Sinnvoll ist sie aber nur, wenn die Anwendung genau die Anforderungen abbildet, an denen das Papierbuch scheitert. Fünf Punkte sind dafür maßgeblich.

Zugriffsbeschränkung nach Rolle. Wer einen Eintrag anlegt, muss nicht alle anderen Einträge sehen können. Die Trennung von Schreib- und Leserecht ist der eigentliche Vorteil gegenüber dem Papierbuch und die technische Umsetzung dessen, was Artikel 32 DSGVO unter Vertraulichkeit versteht.

Verschlüsselung. Artikel 32 Absatz 1 Buchstabe a DSGVO nennt die Verschlüsselung personenbezogener Daten ausdrücklich als eine der Maßnahmen, die zu erwägen sind. Bei Gesundheitsdaten ist das die naheliegende Wahl — sowohl auf dem Transportweg als auch bei der Speicherung.

Löschroutine nach Fristablauf. Die Fünfjahresfrist des § 24 Absatz 6 DGUV Vorschrift 1 bestimmt, wie lange die Dokumentation verfügbar sein muss. Danach entfällt der Zweck. Papier landet irgendwann im Aktenvernichter; digitale Daten bleiben ohne aktive Regel für immer liegen. Eine Anwendung sollte deshalb entweder automatisch löschen oder mindestens fällige Datensätze anzeigen.

Export. Sie müssen die Aufzeichnung im Bedarfsfall herausgeben können — an den Unfallversicherungsträger, an die betroffene Person, an eine Aufsichtsbehörde. Ein Export als PDF oder Datei je Ereignis verhindert außerdem, dass Sie bei einem Anbieterwechsel vor dem Nichts stehen.

Auftragsverarbeitung. Sobald ein externer Anbieter die Daten für Sie speichert, liegt eine Verarbeitung im Auftrag vor. Artikel 28 Absatz 1 DSGVO verlangt, dass Sie nur mit Auftragsverarbeitern arbeiten, die hinreichend Garantien für geeignete technische und organisatorische Maßnahmen bieten. Artikel 28 Absatz 3 DSGVO schreibt einen Vertrag vor, der unter anderem die Weisungsbindung, die Vertraulichkeitsverpflichtung der befugten Personen, die Maßnahmen nach Artikel 32 sowie die Löschung oder Rückgabe der Daten nach Ende der Verarbeitung regelt. Ohne diesen Vertrag sollten Sie keine Gesundheitsdaten in eine fremde Anwendung geben. Dieselbe Prüfung gilt für jede andere Arbeitsschutz-Software und für jede Software für Unterweisungen, in der Sie personenbezogene Daten verarbeiten.

Zur Erfassung per QR-Code, mit der mehrere Anbieter werben: Die Verbandbuch App beschreibt auf ihrer Startseite, dass jedem Standort ein Code zugeordnet wird, der in der Nähe der Verbandkästen ausgehängt werden kann, und dass jeder Mitarbeiter den Code scannen und einen Eintrag anlegen kann, ohne die App installiert oder einen Account zu haben. Der Anbieter nennt außerdem ein Rollen- und Rechtesystem, über das verschiedene Ebenen unterschiedliche Daten sehen. Preise stehen öffentlich auf der Seite: 69 Euro pro Jahr für die Organisation und 20 Euro pro Jahr je weiterem Admin-Zugang, jeweils Stand August 2026. Angaben zu Verschlüsselung, Serverstandort, Löschfristen oder Auftragsverarbeitung waren auf der Startseite nicht zu finden. Der Anbieter digitales-verbandbuch.net bewirbt sein Angebot als digitales Verbandbuch mit QR-Code-Funktion, das nach eigener Beschreibung DSGVO-konform und offline-fähig ist; öffentliche Preisangaben ließen sich auf der Startseite nicht feststellen, Stand August 2026.

Sachlich betrachtet löst der QR-Code die Erfassung, nicht den Datenschutz. Ein offener Erfassungsweg ohne Account ist beim Schreiben unkritisch und praktisch, weil er die Hürde senkt, überhaupt einen Eintrag anzulegen. Kritisch ist die Leseseite. Fragen Sie bei jedem Anbieter konkret nach: Wer sieht welche Einträge, wo liegen die Daten, gibt es einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO, und was passiert nach fünf Jahren. Bekommen Sie darauf keine klare Antwort, ist das Einzelblatt im verschlossenen Schrank die bessere Lösung.

Verbandbuch oder Unfallanzeige: die Abgrenzung

Diese beiden Pflichten werden regelmäßig verwechselt, obwohl sie nichts miteinander zu tun haben. Sie stammen aus unterschiedlichen Regelwerken und haben unterschiedliche Auslöser.

Der Verbandbuch-Eintrag folgt aus § 24 Absatz 6 DGUV Vorschrift 1. Er wird bei jeder Erste-Hilfe-Leistung fällig, bleibt im Betrieb und geht an niemanden.

Die Unfallanzeige folgt aus § 193 SGB VII. Nach dessen Absatz 1 haben Unternehmer Unfälle von Versicherten in ihren Unternehmen dem Unfallversicherungsträger anzuzeigen, wenn Versicherte getötet oder so verletzt sind, dass sie mehr als drei Tage arbeitsunfähig werden. Die Frist steht in Absatz 4: Die Anzeige ist binnen drei Tagen zu erstatten, nachdem die Unternehmer von dem Unfall oder von den Anhaltspunkten für eine Berufskrankheit Kenntnis erlangt haben. Nach Absatz 5 ist die Anzeige vom Betriebs- oder Personalrat mit zu unterzeichnen, und der Unternehmer hat die Fachkraft für Arbeitssicherheit sowie den Betriebsarzt über jede Anzeige zu informieren.

Der praktische Unterschied lässt sich in einem Satz zusammenfassen: Dokumentiert wird jedes Ereignis, angezeigt nur das mit mehr als drei Tagen Arbeitsunfähigkeit. Daraus folgt zweierlei. Erstens ist der weit überwiegende Teil der Verbandbuch-Einträge nicht anzeigepflichtig — das ist normal und kein Versäumnis. Zweitens beginnt die Dreitagesfrist für die Anzeige mit der Kenntnis vom Unfall, nicht mit dem Ende der Arbeitsunfähigkeit. Wenn ein Beschäftigter nach einem dokumentierten Vorfall krankgeschrieben wird und sich abzeichnet, dass es länger dauert, sollten Sie die Anzeige nicht liegen lassen. Ein Feld „weiteres Vorgehen“ im Eintrag hilft dabei, diesen Übergang nicht zu verpassen.

Praxis: Wer trägt ein, wo liegt der Block, was gilt auf der Baustelle

Die DGUV Vorschrift 1 benennt keine bestimmte Person für den Eintrag. In der Praxis trägt ein, wer geholfen hat — im Kleinbetrieb also die Ersthelferin oder der Ersthelfer. Damit das funktioniert, muss diese Person wissen, dass es die Pflicht gibt und wo das Formular liegt. Das gehört in die Unterweisung zur Ersten Hilfe und lässt sich mit einer fertigen Vorlage für die Erste-Hilfe-Unterweisung in wenigen Minuten abhandeln. Wer die Themen ohnehin jährlich durchgeht, hängt den Punkt an die reguläre Sicherheitsunterweisung an.

Für die Ablage hat sich ein zweistufiges Vorgehen bewährt: Der leere Formularblock hängt dort, wo die Erste Hilfe stattfindet, also am Verbandkasten. Die ausgefüllten Blätter gehen an eine zentrale, verschlossene Ablage bei einer benannten Person — Inhaber, Büroleitung oder die für den Arbeitsschutz zuständige Person. Leere Formulare enthalten keine Daten und dürfen offen liegen; ausgefüllte enthalten Gesundheitsdaten und dürfen es nicht. Diese Trennung ist der ganze Trick, und sie ist der Grund, warum das Sammelbuch systematisch falsch ist: Es vermischt beides.

Auf Baustellen kommt die räumliche Trennung hinzu. Der Verbandkasten steht im Fahrzeug oder im Container, die zentrale Ablage im Büro. Bewährt hat sich, dass die Kolonnenführung das ausgefüllte Blatt einsammelt und mit den übrigen Unterlagen ins Büro bringt, oder dass der Vorfall am selben Tag digital erfasst wird und das Papierblatt entfällt. Wer mehrere Baustellen parallel betreut, sollte den Erfassungsweg vorher festlegen. Wenn ein Beschäftigter den Betrieb verlässt, bleibt die Aufzeichnung im Übrigen bestehen — die Fünfjahresfrist knüpft an das Ereignis an, nicht an das Arbeitsverhältnis.

Ein letzter Punkt zur Zuständigkeit: Benennen Sie eine Person schriftlich, die die Ablage führt und die Löschung nach fünf Jahren durchführt. Ohne benannte Zuständigkeit passiert beides erfahrungsgemäß nicht. Ein Kalendereintrag einmal im Jahr, bei dem alle Blätter älter als fünf Jahre vernichtet werden, genügt für einen Kleinbetrieb vollständig.

Häufige Fragen zum Verbandbuch

Quellen

• § 24 DGUV Vorschrift 1 „Grundsätze der Prävention“, Allgemeine Pflichten des Unternehmers, mit Durchführungsanweisung: bghm.de/dguv-vorschrift-1/§ 24
• DGUV, Fachbereich Erste Hilfe, Dokumentation von Erste-Hilfe-Leistungen: dguv.de/fb-erstehilfe/dokumentation-von-erste-hilfe-leistungen
• DGUV Information 204-021 „Meldeblock zur Dokumentation von Erste-Hilfe-Leistungen“: publikationen.dguv.de/article/765
• Unfallkasse Nord, Nutzung von Verbandbüchern: lukn.de/presse-medien/artikel/2018/12/Verbandbuch
• Art. 9 DSGVO, Verarbeitung besonderer Kategorien personenbezogener Daten: dejure.org/gesetze/DSGVO/9
• Art. 32 DSGVO, Sicherheit der Verarbeitung: dejure.org/gesetze/DSGVO/32
• Art. 28 DSGVO, Auftragsverarbeiter: dejure.org/gesetze/DSGVO/28
• § 26 BDSG, Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses: dejure.org/gesetze/BDSG/26
• § 193 SGB VII, Anzeige durch Unternehmer: sozialgesetzbuch-sgb.de/sgbvii/193
• Verbandbuch App, Anbieterangaben zur QR-Code-Erfassung und Preise, abgerufen August 2026: verbandbuch.app

Redaktionsstand: August 2026. Der Beitrag bündelt Praxiswissen und ersetzt im Einzelfall keine rechtliche Beratung.