004TEXTILHANDEL, OSAKA · 2026
3
URTEILE JE PRÜFUNG
GOTS-Zertifizierung: ein Tracker, der dem Auditor standhält
Ein Textilhändler in Osaka bereitete sein erstes GOTS-Audit nach Version 7.0 vor. Ein Werkzeug dafür gab es nicht. Kuroko Labs baute den Tracker: Er liest die registrierten SharePoint-Bibliotheken täglich, rechnet die Massenbilanz je Stufe, kennt drei Urteile und hält jede Änderung mit Bearbeiterkennung und Zeitstempel fest.
4
Reiter
Dashboard bis Protokoll
3
Urteile
konform, Verstoß, nicht feststellbar
13
Bearbeiter
ohne weitere Rechte
07:50
Quellen-Check
täglich, Japan-Zeit
11.700+
Belege gelesen
jede Zelle mit Quelldatei
01 · AUSGANGSLAGE
Was ein GOTS-Audit verlangt
GOTS, der Global Organic Textile Standard, ist keine Prüfung, die man einmal besteht. Es ist eine Behauptung: Dieser Stoff ist Bio-Baumwolle, und hier ist die lückenlose Verwahrungskette, im Standard Chain of Custody genannt. Sie beginnt bei der ersten Verarbeitungsstufe, der Spinnerei, nicht auf dem Feld. Jede Firma in der Kette hält ein Scope Certificate (SC) für ihre Materialien und Prozesse, jede Lieferung zertifizierter Ware ein Transaction Certificate (TC). Die Behauptung muss standhalten, wenn jemand von der Zertifizierungsstelle am Tisch sitzt, Belege zieht und Mitarbeiter befragt.
Für ein Textilunternehmen mit Handelsgesellschaft in Osaka und zwei Werken in Thailand stand der Termin fest: September 2026, Audit nach GOTS Version 7.0, Geltungsbereich Händler. Ein Händler weist nach, dass er zertifizierte Ware getrennt gehalten, korrekt gekennzeichnet und mit TC weitergegeben hat. Er muss nicht belegen, wie der Stoff gemacht wurde.
Für diese Vorbereitung gab es kein Werkzeug. Die Belege lagen dort, wo sie im Alltag entstehen: Zertifikate als PDF, Rückverfolgbarkeitstabellen und Lieferrechnungen auf SharePoint. Gebraucht wurde eine Stelle, die jederzeit eine Frage beantwortet: Wenn der Auditor heute fragt, was können wir zeigen, und was nicht?
SC
Scope Certificate
jeder Firma in der Kette
TC
Transaction Certificate
je Lieferung zertifizierter Ware
7.0
GOTS-Version
Geltungsbereich Händler
?
Was zeigen wir
wenn der Auditor heute fragt
02 · LÖSUNG
Wie bereitet man ein GOTS-Audit vor, ohne sich etwas vorzumachen?
Der Tracker speichert die Nachweise nicht. Er liest sie dort, wo sie liegen, und beantwortet die Frage nach dem Audit so ehrlich, wie die Daten es hergeben. Vier Reiter, in der Reihenfolge, in der man sie am Audittag braucht: Dashboard, Lieferkette und Zertifikate, Rückverfolgbarkeit, Belege und Protokoll.
01
SCOPE-ZERTIFIKATE
Sammeln, Kette klären
Woche 1
02
PROTOTYP
Für Manager freigeschaltet
Woche 2
03
QUELLEN
Bibliotheken registriert, Korrekturen
Woche 3 und 4
04
VIER REITER
Geltungsbereich geklärt, Reiter fertig
Woche 6
Zuerst kamen die Scope-Zertifikate aller Firmen in der Kette zusammen, mit Gültigkeit und zertifizierten Materialien. Damit lag der Beginn der Kette fest: die Spinnerei. Ein Farmzertifikat gibt es unter GOTS nicht, der Tracker fragt deshalb auch nicht danach.
Dann sahen die Manager einen Prototyp im Dashboard und legten fest, welche Tabellen automatisch mitlaufen. Genau diese SharePoint-Bibliotheken wurden registriert. Der Tracker fragt sie über Microsoft Graph per Delta-Abfrage ab, also nur nach Änderungen statt mit einem Vollscan. Die Feinheiten kamen aus dem ersten echten Gebrauch.
Zuletzt wurde der Geltungsbereich mit der Zertifizierungsstelle geklärt. Auditiert wird die Stoffroute über die Handelsgesellschaft. Die Produktroute über das Nähwerk läuft vorerst ohne GOTS-Anspruch und gehört damit nicht auf den kritischen Pfad dieses Audits. Am Ende standen vier Reiter, in der Reihenfolge des Audittags.
03 · MASSENBILANZ · BEISPIELWERTE
Die Zahl, an der das Audit hängt
Man darf nicht mehr zertifizierte Ware versenden, als man erhalten hat. Der Tracker liest jede Zeile aus den Quelldateien, zählt jede Stufe einmal und legt beide Seiten auf die Waage. Die Werte hier sind Beispiele, keine Kundendaten.
| Los | Stufe | Eingang kg | Ausgang kg | Beleg | Datum |
|---|---|---|---|---|---|
| L-2607-01 | Spinnerei | 312,5 | · | TC 61-0412 | 04.08. |
| L-2607-02 | Weberei | · | 188,0 | DN 4471 | 06.08. |
| L-2607-03 | Spinnerei | 240,0 | · | TC 61-0418 | 08.08. |
| L-2607-04 | Händler | · | 142,5 | INV 26-118 | 12.08. |
| L-2607-05 | Spinnerei | 415,0 | · | TC 61-0431 | 15.08. |
| L-2607-06 | Weberei | · | 260,0 | DN 4498 | 19.08. |
| L-2607-07 | Händler | · | 199,5 | INV 26-127 | 22.08. |
| L-2607-08 | Spinnerei | 532,5 | · | TC 61-0447 | 26.08. |
| L-2607-09 | Weberei | · | 330,0 | DN 4512 | 02.09. |
| L-2607-10 | Spinnerei | 500,0 | 120,0 | TC 61-0455 | 09.09. |
| Summe | 2.000,0 | 1.240,0 | |||
Ergebnis: innerhalb. Ausgang 1.240 kg bei 2.000 kg Eingang. Fehlt ein Gewicht oder ist es unlesbar, kippt die Waage nicht auf Grün, sie zeigt „nicht feststellbar“.
04 · ARCHITEKTUR
Drei Regeln für jede Zahl
01DASHBOARD
Offene Probleme, gerankt
Kennzahlen, die Audit-Termine, dann jedes offene Problem in Reihenfolge. Ein Alarm lässt sich abhaken, die Entscheidung ist rückgängig und trägt die Bearbeiterkennung. Ist die Ursache inzwischen behoben, sagt der Alarm das, statt zu verschwinden.
1
Rangliste
02LIEFERKETTE
Scope-Zertifikate mit Verlauf
Jede Firma der Chain of Custody in Reihenfolge, mit Status ihres Scope Certificate, zertifizierten Materialien und Ablaufdatum. Eine Verlängerung wird als zweite Zeile angelegt, die alte bleibt als Verlauf. Ein neues SC kommt als PDF, das System liest einen Entwurf, ein Mensch bestätigt ihn gegen das PDF.
2
Zeilen je Verlängerung
03RÜCKVERFOLGBARKEIT
Massenbilanz je Stufe
Zertifizierter Ausgang darf zertifizierten Eingang nicht übersteigen. Je Abnehmer eine laufende Aufzeichnung, jede Zelle führt zur Quelldatei. Die Übersicht aller Abnehmer zählt jede Stufe an ihrer eigenen Kennung einmal und urteilt: konform, prüfen, nicht feststellbar.
3
Urteile
04BELEGE UND PROTOKOLL
Was fehlt, und warum
Kritische Dokumente mit Frist neben der Audit-Checkliste, darunter die Approved-Vendor-Liste und der Jahresabschluss der Massenbilanz. Jede Belegquelle auf SharePoint mit dem Vermerk, ob sie erreichbar ist. Dokumente, die kein Parser lesen konnte, stehen mit Grund da. Und der Audit-Trail.
84.000
Dateien durchsucht
05RECHTE
Bearbeiten ohne Vollzugriff
Zwei Rollen nur für den Tracker, Leser und Bearbeiter. Keine davon schaltet Einstellungen, Datenexport oder andere Bereiche frei. 13 Personen bearbeiten den Tracker und halten sonst kein Recht, jede Änderung trägt ihre Kennung.
13
Bearbeiter
Die Massenbilanz ist die Rechnung, an der das Audit hängt: Der zertifizierte Ausgang einer Stufe darf den zertifizierten Eingang nicht übersteigen, Verschnitt und Ausschuss eingerechnet. Sie steht auf dem Reiter Rückverfolgbarkeit, je Abnehmer als laufende Aufzeichnung, jede Zelle mit der Datei, aus der sie stammt. Damit diese Zahl vor einem Auditor hält, gelten für jeden Parser drei Regeln.
Erstens: drei Urteile. Konform, Verstoß, nicht feststellbar. Eine leere Liste gilt als nicht feststellbar, denn keine Zeilen heißt nicht, dass alles stimmt. Zweitens: Spalten werden über ihre Überschrift gefunden, nie über die Position. Zwei Fassungen derselben Rückverfolgbarkeitstabelle unterscheiden sich schnell um eine eingefügte Spalte, und nach Position gelesen würde die Garnnummer als Kilogramm gezählt.
Drittens: Eine Menge, die sich nicht eindeutig lesen lässt, wird abgelehnt statt geraten. In „980,5“ kann das Komma Dezimal- oder Tausendertrennzeichen sein, Faktor zehn. Deshalb gibt es im Code genau eine Definition dessen, was ein lesbares Gewicht ist, mit Tests je Dokumenttyp. Beispielwerte aus einem Prototyp zählen nie mit.
05 · ERGEBNISSE
Was der Tracker allein tut, und was nicht
7 s
Übersicht aller Abnehmer
11.700+
Belegdateien gelesen
3
Urteile je Prüfung
0
Daten an Dritte
ANFORDERUNGNACHWEISIM TRACKER
Chain of CustodyGültiges Scope Certificate jeder FirmaReiter Lieferkette, Ablauf überwacht
Transaction CertificateJe Lieferung zertifizierter WareMeldung, sobald eine Lieferung TC-reif ist
MassenbilanzAusgang nie über Eingang, je StufeRückverfolgbarkeit, drei Urteile
BelegführungJede Zahl mit ihrer QuelleJede Zelle führt zur Quelldatei
NachvollziehbarkeitWer hat was wann geändertAudit-Trail im CSV-Paket
Jeden Morgen um 07:50 japanischer Zeit prüft er, ob jede registrierte Belegquelle auf SharePoint erreichbar ist. Werktags stündlich berechnet er die Alarme neu. Die Rückverfolgbarkeitstabelle und die Master-Arbeitsmappe mit Schulungen, internen Audits und Freigaben liest er täglich ein. Jeder Lauf ist idempotent, ein erneuter Lauf ändert nichts, was schon stimmt. Eine Datei, die sich nicht öffnen lässt, färbt ihre Quelle rot, und ein Import mit null Zeilen gilt nicht als Erfolg.
Alles andere macht ein Mensch: Fakten eintragen und korrigieren, ein Dokument für vollständig erklären, einen Alarm abhaken, und alles, was an die Zertifizierungsstelle geht. Der Tracker sendet nichts irgendwohin. Jede dieser Handlungen landet im Audit-Trail, einer Tabelle mit Bearbeiterkennung und Zeitstempel. Der Trail ist Teil des CSV-Pakets für den Auditor.
Personenbezogene Daten verarbeitet der Tracker nur an dieser einen Stelle: die Kennung des Bearbeiters und die Zeit einer Änderung, gestützt auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO an einer nachvollziehbaren Zertifizierung, aufbewahrt über den Zertifizierungszyklus. Der Zugriff läuft über den Microsoft-365-Mandanten des Kunden, die App-Berechtigung für Microsoft Graph ist auf das Lesen der registrierten Bibliotheken beschränkt. Der Tracker läuft auf einem Server des Kunden und gibt keine Daten an Dritte weiter. Das Sprachmodell, das einen Zertifikats-Entwurf aus einem PDF liest, ist per Schalter aus und schreibt nie ohne Freigabe durch einen Menschen. Das ersetzt keine Rechtsberatung, es macht die Prüfung durch den Datenschutzbeauftragten kurz.
Die Übersicht aller Abnehmer steht in sieben Sekunden. Rund 11.700 Belegdateien sind je Abnehmer gelesen: Versandbelege, Exportdokumente, Lieferscheine, Bestätigungen, Verträge, Losblätter. Und etwa 84.000 Dateien auf SharePoint wurden durchsucht, um eine Frage für das Audit zu klären: Ein Jahresabschluss der Massenbilanz liegt dort nicht vor. Er steht deshalb als offener Punkt mit Frist im Tracker.
“
Quelldateien werden täglich geprüft und das Register wird automatisch aus der Master-Tabelle neu gelesen. Den Inhalt pflegen namentlich bekannte Personen, und jede Änderung steht mit Bearbeiterkennung und Zeit im Protokoll.SO STEHT ES IM HANDBUCH DES TRACKERS, FÜR DEN AUDITOR
TECH STACK
Node.js
Backend
Express
API
SQLite
WAL-Modus, eine Datei, eine Sicherung
Microsoft Graph
SharePoint, Delta-Abfragen, nur lesend
PM2
Cluster, Cron nur auf Worker 0
Vanilla JS
Frontend
CSV
Audit-Paket mit Trail
AUSBLICK
Offen bleibt, was keine Software erledigt: die Wahl von Farm und Spinnerei, die beim Abnehmer liegt, und Unterschriften unter internen Dokumenten. Der Tracker führt diese Punkte mit Frist. Abhaken muss sie die Organisation.
NÄCHSTER SCHRITT
Ähnliches Projekt?
KONTAKTIEREN SIE UNS KI-AGENTUR MÜNCHENALLE CASE STUDIESHäufig gestellte Fragen, GOTS-Tracker Case Study
Wofür braucht die Vorbereitung auf ein GOTS-Audit einen Tracker?+
Die Belege entstehen im Alltag an verschiedenen Stellen, als PDF, Tabelle oder Rechnung. Der Tracker liest sie jeden Tag von SharePoint, rechnet die Massenbilanz und sagt bei jeder Zahl, aus welcher Datei und welcher Spalte sie stammt. Wird eine Quelle unlesbar, meldet er das mit Datum.
Was unterscheidet Scope Certificate und Transaction Certificate?+
Das Scope Certificate (SC) bescheinigt einer Firma befristet, dass sie bestimmte Materialien und Prozesse nach GOTS handhaben darf. Das Transaction Certificate (TC) bescheinigt eine einzelne Lieferung zertifizierter Ware zwischen zwei Firmen. Die Verwahrungskette braucht beides: gültige SC aller Beteiligten und ein TC je Lieferung. Der Tracker überwacht die SC-Laufzeiten und meldet, wann eine Lieferung TC-reif ist.
Wie funktioniert die Massenbilanz, und warum drei Urteile?+
Je Stufe darf die zertifizierte Ausgangsmenge die zertifizierte Eingangsmenge nicht übersteigen. Der Tracker zählt jede Stufe einmal an ihrer eigenen Kennung und vergleicht. Fehlt ein Gewicht oder ist es mehrdeutig, lautet das Urteil „nicht feststellbar“ statt grün. Das ist die Antwort, die ein Auditor respektieren kann, und sie zeigt, wo jemand hinsehen muss.
Welche personenbezogenen Daten verarbeitet der Tracker?+
Nur die Bearbeiterkennung und den Zeitstempel im Audit-Trail, gestützt auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO an einer nachvollziehbaren Zertifizierung. Belege sind Geschäftsdokumente. Der Zugriff läuft über den Microsoft-365-Mandanten des Kunden mit nur lesender App-Berechtigung auf die registrierten Bibliotheken, die Daten bleiben auf dem Server des Kunden, nichts geht an Dritte. Das ersetzt keine Rechtsberatung.
Wie liest der Tracker die Belege technisch ein?+
Über Microsoft Graph mit Delta-Abfragen auf die registrierten SharePoint-Bibliotheken. Ein Parser je Dokumenttyp findet Spalten über ihre Überschrift, eine gemeinsame Funktion entscheidet, ob ein Gewicht lesbar ist. Ergebnisse landen in einer SQLite-Datenbank im WAL-Modus, die Cron-Jobs laufen im PM2-Cluster nur auf einem Worker, jeder Lauf ist idempotent. Die Regeln stehen in deterministischem Code mit Tests, nicht im Sprachmodell.
Lässt sich das auf andere Zertifizierungen übertragen?+
Die Bausteine hängen nicht an GOTS: registrierte Quellen täglich lesen, Spalten über Überschriften finden, unlesbare Werte ablehnen, drei Urteile, ein Protokoll mit Bearbeiterkennung und Zeit. Wer eine andere Kette nachweisen muss, braucht andere Regeln, kein anderes Werkzeug. Erstgespräch und Potenzialanalyse sind kostenfrei.
Eingesetzte Technik
Der Tracker läuft auf SQLite mit einem eigenen Node.js-Backend und liest SharePoint über Microsoft Graph. Standardbausteine, damit die Arbeit auch von anderen fortgeführt werden kann.
Die Verweise führen auf die Dokumentation der jeweiligen Bestandteile.