Cloud- und SaaS-Validierung für Pharma, die Grenze richtig ziehen, die Release-Velocity erhalten.
Eine Grenze. Zwei Verantwortungen.Null Findings.
GxP-konforme Cloud-Validierung mit klarer Vendor-Audit-Grenze, einem Release-Regressions-Framework, das hält, und Cross-Stream-Projektleitung wenn IT, Qualität und Business gleichzeitig liefern müssen.
Cloud-Validierung ist die Grauzone zwischen Ihrer Verantwortung und der des SaaS-Anbieters. Wir ziehen die Vendor-Audit-Grenze sauber, sichern Release-Regression und Datenintegrität ab und halten Ihre Freigabe im Multi-Tenant-Kontext audittauglich.
Cloud-Validierung GxP-konform aufzustellen ist mehr als ein technisches Update bestehender CSV-Prozesse. In Pharma, Biotech und MedTech verschiebt der Cloud-Betrieb die Verantwortungs-Grenzen, und damit auch den Validierungs-Scope. Das Shared-Responsibility-Modell trennt drei klar definierte Ebenen:
IaaS (AWS, Azure, Google Cloud) , verantwortet Hardware, Hypervisor und Netzwerk.
Kunde (Sie), verantwortet Konfiguration, Daten, Prozesse und die GxP-Compliance Ihres Anwendungsfalls.
Klassische On-Prem-Validierung lässt sich nicht 1:1 auf SaaS übertragen. Vier Punkte machen den Unterschied:
01
Audit-Trail beim Vendor
Liegt teilweise beim Vendor, Zugriff und Export müssen vertraglich gesichert sein.
02
Backup-Verantwortung wandert
Was passiert bei Vendor-Ausfall? Recovery, Retention und Replay sind nicht trivial.
03
Forensic-Daten auf Abruf
Für Findings-Aufklärung nicht selbstverständlich verfügbar, Klauseln nötig.
04
Datenstandort
Entscheidet über EMA- und DSGVO-Konformität. EU-Region und Transfer-Folgenabschätzung sind Pflicht.
Wer diese Verschiebungen nicht systematisch adressiert, validiert formal, aber nicht audit-sicher.
02 Vendor-Audit-Grenze
Vendor-Audit-Grenze richtig setzen.
Die wichtigste Frage in jeder Cloud-Validierung ist nicht „Wie validieren wir?", sondern „Was müssen wir selbst validieren, was darf der Vendor abdecken?" Genau hier scheitern viele Projekte: Sie überprüfen den Vendor zu wenig oder duplizieren dessen Nachweise unnötig.
A
SOC 2 IIISO 27001ISO 27018SOC 1
Vendor-Zertifikate richtig einordnen
SOC 2 Type II belegt operative Kontrollen über einen Zeitraum. ISO 27001 die Informationssicherheits-Managementsystematik. ISO 27018 ergänzt den Datenschutz für personenbezogene Daten in der Cloud. SOC 1 deckt finanzrelevante Kontrollen ab. Wichtige Bausteine, aber kein Ersatz für ein GxP-spezifisches Lieferanten-Audit nach Annex 11.3. Sie belegen Sicherheits-Reife, nicht die Eignung für validierungspflichtige Prozesse.
BAnnex 11.3 Pflicht
Lieferanten-Audit-Pflicht nach Annex 11.3
Der regulierte Betreiber bleibt verantwortlich. Sie müssen Ihren Cloud-Vendor formal auditieren, entweder im Custom-Audit (eigenes Team vor Ort) oder über ein Pool-Audit wie den Pharmaceutical Cloud Auditing Pool. Pool-Audits reduzieren den Aufwand erheblich, decken aber nicht jedes kundenspezifische Risiko ab.
C
Configuration↔Customizing
Configuration vs. Customizing, die teuerste Linie
Konfiguration (Workflow-Schritte, Felder, Rollen) ist im Standard validierungs-fähig. Customizing (eigener Code, Custom-Objects, API-Erweiterungen) verlässt den validierten Standard-Pfad des Vendors und erfordert eigene OQ/IQ/PQ-Nachweise. Genau hier explodieren Kosten und Risiken.
D
VeevaMasterControlAWS/Azure
Wo die Grenze verläuft, Praxis
Bei Veeva Vault zieht die Grenze entlang der Vault-Configuration-API. MasterControl trennt Standard-Workflows von kundenspezifischen Erweiterungen. AWS- oder Azure-Custom-Lösungen auf IaaS-Basis sind in der Regel komplett im Kundenscope.
Vertiefung · GAMP 5
Wie GAMP 5 die Vendor-Bewertung strukturiert
Risikobasierte Lieferanten-Klassifizierung, Qualifizierungs-Tiefe je Kategorie und wie die Audit-Pflicht in den GAMP-5-Lifecycle einpasst.
Cloud-Validierung trifft auf ein Paradox: Validierung verlangt Stabilität und dokumentierte Reproduzierbarkeit, der Cloud-Vendor liefert in immer kürzeren Zyklen aus. Ohne Framework wird jeder Release zur Neueinführung, der validierte Zustand geht zwischen zwei Audits verloren.
Ohne Framework
Tage
Jeder Release von Grund auf: Workshops, Impact-Analyse, neue Testfälle, Doku-Updates. Blockiert Kapazität, die im eigentlichen Projekt fehlt.
→
Mit dh-Consulting-Framework
4–8 h
Vordefinierte Risiko-Cluster, gepflegte Regressions-Suite, klare Pfade für Re-Validierungs-Tiefe. Gleiche regulatorische Tiefe, Bruchteil des Aufwands.
Das Framework ist kein Tool, sondern ein dokumentierter Prozess. Sie übernehmen ihn nach Projekt-Abschluss in den Eigenbetrieb, und bleiben unabhängig von externer Unterstützung.
04 Hybrid-Stack
On-Prem + Cloud, zusammen validieren.
In Pharma 2026 ist kein Unternehmen „pure Cloud". Selbst Hersteller mit aggressiver Cloud-Strategie betreiben weiter On-Prem-Systeme, produktionsnahe MES-Installationen, etablierte LIMS-Plattformen, ältere ERP-Umgebungen. Validierung muss diese Realität abbilden, nicht ignorieren.
On-Prem
MESLIMSERP
Daten-Fluss + Audit-Trail
Cloud
Cloud-QMSeDMSRIM
Validierung folgt den Daten, nicht dem Deployment-Modell
Ob ein Batch-Record im On-Prem-MES entsteht und ins Cloud-QMS überführt wird oder umgekehrt, regulatorisch zweitrangig. Entscheidend: Bleibt die Daten-Integrität nach ALCOA+ über alle Systemgrenzen erhalten und ist der Audit-Trail durchgängig nachvollziehbar?
Übergabe-Punkte sind das stille Risiko
Jeder Hybrid-Stack hat Übergabe-Punkte, an denen Daten den validierten Pfad verlassen können. Typisch: Batch-Record passiert MES → Middleware → Cloud-QMS und verliert dabei den Audit-Trail-Bezug. Im Tagesbetrieb unsichtbar, im FDA-Audit nicht.
Cross-System-Integrations-Tests
Die kritischen Schnittstellen: MES ↔ Cloud-QMS, LIMS ↔ Cloud-eDMS, ERP ↔ Cloud-Plattform. Jeder erfordert dokumentierte Integrations-Tests mit End-to-End-Daten-Durchgängigkeit, nicht nur isolierte Modul-Tests.
Drei Streams parallel, eine Verantwortung für die Schnittstelle.
Cloud- und SaaS-Projekte scheitern selten an der Technik. Sie scheitern daran, dass Application, Compliance und Business Stream parallel liefern, und niemand die Schnittstelle dazwischen verantwortet. Genau diese Brücke übernehmen wir.
Application Stream
Konfiguration · Vendor-Releases · Schnittstellen
Sandbox- und Produktiv-Setup, technische Schnittstellen, Vendor-Release-Cadence.
Prozess-Design, Anwenderschulung, Adoption, Change-Management im Fachbereich.
dh Consulting verantwortet die Schnittstelle
Jeder Stream hat eigene Tempi, Verantwortliche und Erfolgskriterien. Ohne übergeordnete Steuerung laufen sie nebeneinander, bis kurz vor Go-Live die Lücken sichtbar werden.
Was dh Consulting im Programm-Management übernimmt
Programm-Master-Planmit klaren Phase-Gates
Stream-übergreifendes Risiko-Register
Synchrone Steuerungs-Cadence
Saubere Eskalations-Pfade
Validation Management und Projektleitung greifen zu einer Verantwortung, die E-Säule unserer IVE-Methodik.
Cross-Stream-Synergie-Strategie, der Strategie-Guide.
Auf gut 20 Seiten zeigen wir, wie wir Application, Compliance und Business Stream in einem Programm synchronisieren, mit konkreten Beispielen aus Cloud-Validierungsprojekten in Pharma. Der Guide ergänzt diese Service-Seite und enthält Schablonen, die Sie sofort in Ihrem eigenen Programm anwenden können, unabhängig vom Beratungs-Engagement.
~20 SeitenPDF · DEKostenlos · E-Mail-Gate
07 FAQ
Häufige Fragen zur Cloud- und SaaS-Validierung.
VendorReicht das SOC-2-Audit unseres Cloud-Vendors als Lieferanten-Audit aus?
Nein. SOC 2 Type II belegt operative Sicherheits-Kontrollen, ersetzt aber kein GxP-spezifisches Lieferanten-Audit nach Annex 11.3. Sie können ein SOC-2-Audit als Baustein einbringen, die regulatorische Pflicht zur eigenen Lieferanten-Bewertung bleibt beim regulierten Betreiber.
ReleaseMüssen wir bei jedem Cloud-Vendor-Release komplett re-validieren?
Nein. Mit einem etablierten Release-Regression-Framework reduziert sich der Aufwand auf 4–8 Stunden pro Veeva-Release oder 2–4 Stunden pro MasterControl-Change. Voraussetzung: vordefinierte Risiko-Cluster und gepflegte Regressions-Testsuite.
PricingWas kostet eine Cloud-/SaaS-Erstvalidierung typischerweise?
Der Aufwand richtet sich nach Plattform, Konfigurations-Tiefe und Anzahl der Schnittstellen. Eine isolierte SaaS-Erstvalidierung (Standard-Konfiguration, keine Custom-Erweiterungen) liegt in der Regel zwischen sechs und zwölf Wochen. Festpreise sind möglich, sobald der Scope definiert ist.
SouveränitätWie behandeln Sie Daten-Souveränität bei US-gehosteter Cloud-Plattform unter EMA-Audit?
Über drei Hebel: vertraglich abgesicherten Datenstandort in EU-Regionen, dokumentierte Transfer-Folgenabschätzung nach DSGVO und Audit-Trail-Zugriff aus EU-Jurisdiktion. Bei US-only-Hosting prüfen wir, ob Standardvertragsklauseln und ergänzende Maßnahmen für Ihren GxP-Anwendungsfall ausreichen.
EngagementKönnen wir Projektleitung an dh Consulting outsourcen oder beraten Sie nur?
Beides. Wir übernehmen Programm-Verantwortung als Interim-Lead, oder unterstützen Ihre interne Projektleitung beratend. Die Aufteilung definieren wir in der Erstanalyse.
Wenn Ihre Situation kombiniert
Diese drei Themen tauchen häufig zusammen mit diesem hier auf.
Ihr Projekt verdient eine Validierung, die den Go-Live beschleunigt, nicht blockiert. Profitieren Sie von der Sicherheit aus 60+ erfolgreichen Projekten.
Gemäß § 36 VSBG: Wir sind nicht bereit oder verpflichtet, an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen.
Haftung für Inhalte
Wir sind für eigene Inhalte auf diesen Seiten nach den allgemeinen Gesetzen verantwortlich. Nach den Artikeln 4 bis 8 der Verordnung (EU) 2022/2065 (Digital Services Act, DSA) sind wir als Diensteanbieter jedoch nicht verpflichtet, übermittelte oder gespeicherte fremde Informationen zu überwachen oder nach Umständen zu forschen, die auf eine rechtswidrige Tätigkeit hinweisen.
Hinweis: Die §§ 7–10 des vormaligen Telemediengesetzes (TMG) zur Haftung digitaler Dienste wurden — entgegen einer verbreiteten Übergangsformel — nicht in das Digitale-Dienste-Gesetz (DDG) übernommen. Die Haftung für digitale Dienste richtet sich seit dem 14. Mai 2024 maßgeblich nach der Verordnung (EU) 2022/2065 (DSA), insbesondere nach den Artikeln 4–8 — die wir oben referenzieren. Die §§ 7–10 DDG haben andere Regelungsinhalte (beschränkte Verantwortlichkeit mit Verweis auf DSA Art. 4–8 und WLAN-Zugänge, Sperrungsansprüche bei Urheberrechts-Verletzungen, Listen der Anbieter audiovisueller Mediendienste und Videosharing-Plattformen sowie Auskunftsverlangen der nach Landesrecht zuständigen Behörden).
Urheberrecht
Die durch die Seitenbetreiber erstellten Inhalte und Werke auf diesen Seiten unterliegen dem deutschen Urheberrecht. Die Vervielfältigung, Bearbeitung, Verbreitung und jede Art der Verwertung außerhalb der Grenzen des Urheberrechtes bedürfen der schriftlichen Zustimmung des jeweiligen Autors.
Datenschutzerklärung
1. Datenschutz auf einen Blick
Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.
2. Verantwortlicher
Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die Datenverarbeitung auf dieser Website ist:
Daniel Herrmann Consulting
Daniel Herrmann (Einzelunternehmer)
Enzweilerweg 3a · 66709 Weiskirchen · Deutschland
Telefon: +49 170 7878065
E-Mail: info@daniel-herrmann.io
Ein Datenschutzbeauftragter ist nicht bestellt; Ansprechpartner in allen Datenschutzfragen ist der Verantwortliche.
3. Server-Logs (technisch notwendig)
Beim Besuch dieser Website werden vom Hosting-Anbieter automatisch technische Informationen in Server-Logfiles erfasst: IP-Adresse (nach 7 Tagen anonymisiert), Datum und Uhrzeit, aufgerufene Seite, Referrer, User Agent. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse am technisch fehlerfreien Betrieb. Speicherdauer: 7 Tage, anschließend automatische Löschung. Eine Zusammenführung mit anderen Datenquellen findet nicht statt.
4. Kontaktaufnahme
Wenn Sie uns per Formular, E-Mail oder Telefon kontaktieren, speichern wir Ihre Angaben (Name, E-Mail, Unternehmen, Nachrichteninhalt) zur Bearbeitung der Anfrage und für Anschlussfragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Speicherdauer: Löschung, sobald die Anfrage abschließend bearbeitet ist, spätestens nach 12 Monaten, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Eine Weitergabe an Dritte erfolgt nicht.
5. Lead-Magnets (PDF-Downloads)
Zur Anforderung unserer Praxis-Guides (z. B. Strategie-Guide, Compliance-Gap-Analyse, Execution-Playbook) bitten wir um Ihre E-Mail-Adresse sowie optional um Name und Unternehmen. Die Angaben werden ausschließlich zur Bereitstellung des angeforderten Materials und zur Dokumentation der Einwilligung gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Speicherdauer: bis zu Ihrem Widerruf, maximal 24 Monate. Die Newsletter-Anmeldung wird als separate, opt-in-Checkbox auf dem Lead-Magnet-Formular angeboten (keine Kopplung — Sie können das Material auch ohne Newsletter-Abo anfordern). Ohne gesonderte Einwilligung erfolgt kein Marketing-Versand.
5a. Newsletter (Double-Opt-In)
Verfahren: Wenn Sie unseren Newsletter abonnieren, verwenden wir das Double-Opt-In-Verfahren: Nach Eingabe Ihrer E-Mail-Adresse und Ihres Namens erhalten Sie eine Bestätigungs-Mail mit Verifizierungs-Link. Erst nach Klick auf diesen Link aktivieren wir das Abonnement und dokumentieren Ihre Einwilligung. Daten: E-Mail-Adresse, Name, Zeitstempel der Einwilligung, Confirmation-IP. Zweck: Versand des monatlichen dhc-Newsletters mit Praxis-Insights und Dokumentation des Einwilligungs-Vorgangs gem. Art. 7 Abs. 1 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), § 7 Abs. 2 Nr. 3 UWG. Speicherdauer: für die Dauer Ihres aktiven Abonnements; Einwilligungs-Logs werden zusätzlich 3 Jahre nach Beendigung des Abonnements als Nachweis im Beschwerdefall vorgehalten. Widerruf: Jeder Newsletter enthält im Footer einen Ein-Klick-Abmelde-Link. Alternativ genügt eine kurze E-Mail an info@daniel-herrmann.io. Auftragsverarbeiter: Der Newsletter wird derzeit über die SMTP-Infrastruktur unseres Hosting-Anbieters versendet; wir setzen aktuell kein externes E-Mail-Marketing-Tool ein. Sobald wir auf ein dediziertes Newsletter-Tool (z. B. Brevo) wechseln, aktualisieren wir diesen Abschnitt und schließen einen ergänzenden Auftragsverarbeitungsvertrag.
5c. Link-Click-Tracking in unseren E-Mails
Verfahren: Um zu verstehen, welche Inhalte in unseren Lead-Magnet-Mails und Newsletter-Ausgaben tatsächlich nützlich sind, leiten wir ausgehende Links über einen internen Redirect-Endpunkt (/t/<token>). Jeder Link in jedem Versand erhält einen aggregierten Click-Zähler — wir speichern jedoch KEINE Empfänger-Kennung, KEINE IP-Adresse und KEINEN User-Agent. Die gespeicherten Daten entsprechen anonymen Server-Logs (z. B.: „Link X im Versand Y wurde insgesamt 42 mal geklickt") und lassen keinen Rückschluss zu, wer geklickt hat. Rechtsgrundlage: Da kein Personenbezug besteht (Erwägungsgrund 26 DSGVO — anonyme Daten, keine Verarbeitung personenbezogener Daten i. S. v. Art. 4 Abs. 1 DSGVO), ist keine gesonderte Einwilligung erforderlich. Für den Redirect-Vorgang selbst stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Messung der Inhalts-Relevanz unserer eigenen Kommunikation). Ausnahmen: Rechtlich relevante Links (Impressum, Datenschutz, Abmelde-Link) werden nicht über den Redirect geleitet — der Click auf solche Links wird nie gezählt. Speicherdauer: Die anonymen Counter werden 24 Monate aufbewahrt und danach gelöscht.
5b. Speicherdauer-Übersicht & Begründungen
Konsolidierte Übersicht aller Speicherdauern mit Begründung — das Prinzip: minimale Speicherung, klarer Zweck, dokumentierte Grundlage.
DatenkategorieSpeicherdauerBegründung
Server-Logs7 TageAusreichend für technische Fehleranalyse & Sicherheits-Forensik — Art. 6 Abs. 1 lit. f DSGVO. IP-Anonymisierung greift sofort beim Log-Schluss.
Kontaktanfragen12 MonateB2B-Sales-Zyklen in Pharma laufen typisch 6–9 Monate. 12 Monate deckt Anschluss-Anfragen ohne unnötige Vorhaltung. Gesetzliche Aufbewahrungspflichten (z. B. § 257 HGB) greifen erst bei Vertragsabschluss.
Lead-Magnetsbis zu 24 MonateBis Widerruf der Einwilligung; 24-Monats-Kappung deckt die Dokumentation der Einwilligung (Art. 7 DSGVO) und einen typischen Re-Engagement-Zyklus ab. Widerruf jederzeit, Löschung binnen 7 Tagen ab Eingang.
Newsletter-AboAbo-Dauer + 3 J. Consent-LogE-Mail + Name nur solange das Abo aktiv ist. Consent-Log (Zeitstempel + IP) wird 3 Jahre vorgehalten, um die Verjährungsfrist (§ 195 BGB) für Beschwerden nach § 7 UWG abzudecken.
Cookies (inkl. Analyse)30 Min – 14 MonatePro Tool detailliert in 6.9. GA4 ist auf 14 Monate gekappt (GA4-Minimum, kürzer nur über Property-Reset möglich); alle anderen Tools liegen unterhalb oder auf Branchen-Standard.
Cookiebot-Einwilligung12 MonateMaximum-Fenster, das die EDPB für wiederholte Einwilligungs-Abfragen für angemessen hält. Nach 12 Monaten erscheint das Banner erneut.
6. Cookies, Analyse & Tracking
Auf dieser Website kommen Analyse- und Tracking-Werkzeuge zum Einsatz, die über eine reine Reichweitenmessung hinausgehen und Nutzungsprofile erstellen. Dabei werden personenbezogene Daten (insb. IP-Adresse, Geräte- und Browser-Informationen, Verhaltensdaten) verarbeitet und in Drittländer (u. a. USA) übermittelt. Rechtsgrundlage ist Ihre Einwilligung gemäß § 25 Abs. 1 TTDSG und Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung erteilen Sie beim ersten Besuch über unser Cookie-Banner und können sie jederzeit mit Wirkung für die Zukunft widerrufen — siehe Abschnitt 6.10. Der Widerruf ist so einfach wie die Erteilung der Einwilligung (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung bleibt unberührt.
6.0 Einwilligungsverwaltung (Cookiebot)
Anbieter: Cybot A/S, Havnegade 39, 1058 Kopenhagen, Dänemark (Tochter der Usercentrics-Gruppe) — EU-Anbieter. Zweck: Cookiebot ist die Consent-Management-Plattform (CMP), mit der wir Ihre Einwilligung im Sinne des § 25 TTDSG und Art. 7 DSGVO dokumentieren und Analyse- und Tracking-Tools bis zu Ihrer Zustimmung blockieren. Daten: Cookiebot setzt das Cookie „CookieConsent“ mit Ihrem Zustimmungsstatus (Kategorien, Zeitstempel, anonyme Kennung) sowie ein serverseitiges Consent-Log. Speicherdauer: bis zu 12 Monate ab Erteilung der Einwilligung; danach erneute Abfrage beim nächsten Besuch. Rechtsgrundlage: Die Verarbeitung der Einwilligungsdaten selbst stützt sich auf Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht zur Dokumentation der Einwilligung). Drittlandübermittlung: primäre Verarbeitung in der EU; Unterauftragsverarbeiter können Dienstleister außerhalb des EWR unter EU-Standardvertragsklauseln umfassen. Auftragsverarbeitung: AV-Vertrag mit Cybot A/S geschlossen. Mehr Informationen:Datenschutzerklärung Cookiebot.
6.1 Google Analytics 4
Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Mutterkonzern: Google LLC, USA). Zweck: Tracking-Tool, das über eine reine Reichweitenmessung hinausgeht. Google nutzt die erhobenen Daten für den Betrieb von GA4 sowie teilweise für eigene Zwecke (insoweit keine reine Auftragsverarbeitung). Daten: pseudonyme Kennungen (Client-ID), IP-Adresse (auf EU-Server gekürzt, siehe unten), Seitenaufrufe, Verweildauer, Scroll-Tiefe, Klick-Events, Geräte- und Browser-Informationen, ungefährer Standort (Land / Region aus IP). Speicherdauer: bis zu 14 Monate auf Event-Ebene, danach automatische Löschung. IP-Kürzung: Die IP-Adresse wird auf einem EU-Server gekürzt, bevor sie in die USA weitergeleitet wird (das „_anonymizeIp“-Pendant in GA4 ist standardmäßig aktiv). Drittlandübermittlung: Verarbeitung auf Servern in den USA. Garantien: EU-Standardvertragsklauseln und das EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10. Juli 2023). Hinweis: Aufsichtsbehörden weisen darauf hin, dass die gewonnene Rechtssicherheit nur vorübergehender Natur sein könnte; die Vorgängerregelungen (Safe Harbor, Privacy Shield) wurden vom EuGH für unwirksam erklärt. Auftragsverarbeitung: AV-Vertrag mit Google Ireland Ltd. geschlossen. Mehr Informationen:Datenschutzerklärung Google, Browser-Opt-out.
6.2 Microsoft Clarity
Anbieter: Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland (Mutterkonzern: Microsoft Corporation, USA). Zweck: Sitzungsaufzeichnungen und Heatmaps zur Verbesserung der Nutzerfreundlichkeit. Hinweis: Sitzungsaufzeichnungen sind eine besonders intensive Verarbeitungsform — sie können auch bei standardmäßiger Maskierung von Eingabefeldern sensible Inhalte erfassen. Wir haben die strengste Maskierungsstufe („Strict“) für alle Formularfelder konfiguriert. Daten: Mausbewegungen, Klicks, Scroll-Verhalten, Seitenaufrufe, Geräte- und Browser-Informationen, IP-Adresse (gekürzt), Land. Speicherdauer: bis zu 12 Monate ab der letzten erfassten Sitzung. Drittlandübermittlung: Microsoft ist ein US-Konzern, Daten können auf Servern in den USA verarbeitet werden. Garantien: EU-Standardvertragsklauseln und EU-US Data Privacy Framework. Die oben unter GA4 genannten Vorbehalte gelten sinngemäß. Auftragsverarbeitung: Microsoft Online Services DPA geschlossen. Mehr Informationen:Microsoft Datenschutzerklärung.
6.3 Leadfeeder (Dealfront)
Anbieter: Dealfront Germany GmbH (Leadfeeder), Markgrafenstraße 36, 10117 Berlin — europäischer Anbieter. Zweck: B2B-Identifikation von besuchenden Unternehmen anhand kommerziell lizenzierter IP-Adress-Datenbanken (u. a. RIPE, ARIN, öffentliche Unternehmens-IP-Bereiche) zur Information unserer Vertriebsansprache. Ziel ist die Identifikation des Unternehmens, nicht des einzelnen Nutzers. Wichtiger datenschutzrechtlicher Hinweis: IP-Adressen können personenbezogene Daten darstellen, insbesondere wenn sie mit anderen Daten verknüpft werden. Wir behandeln die Verarbeitung daher als DSGVO-relevant. Daten: IP-Adresse, Seitenaufrufe, Zeitstempel, Verweildauer, Referrer. Datenquellen: Dealfront reichert IP-Daten mit öffentlich zugänglichen Unternehmensinformationen und lizenzierten B2B-Datenbanken an. Speicherdauer: bis zu 12 Monate auf Besuchs-Ebene; aggregierte Reports können länger aufbewahrt werden. Drittlandübermittlung: Dealfront verarbeitet primär auf EU-Infrastruktur; Unterauftragsverarbeiter können US-Dienstleister umfassen, abgesichert über EU-Standardvertragsklauseln. Auftragsverarbeitung: AV-Vertrag mit Dealfront Germany GmbH geschlossen. Mehr Informationen:Datenschutzerklärung Dealfront.
6.4 Google Ads (Conversion-Tracking & Remarketing)
Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Mutterkonzern: Google LLC, USA). Zweck: Wir setzen Google Ads Conversion-Tracking sowie (sofern aktiviert) Remarketing ein, um den Erfolg von Werbekampagnen zu messen und Besucher mit relevanten Anzeigen anzusprechen. Daten: pseudonyme Click-ID (gclid), Conversion-Event, Conversion-Zeitstempel, Geräte- und Browser-Informationen. Eingesetzte Cookies u. a. „_gcl_au“ (Conversion-Linker) und „test_cookie“ (technisches Prüf-Cookie von doubleclick.net). Speicherdauer: „_gcl_au“ bis zu 90 Tage; Conversion-Logs im Google-Ads-Konto gemäß Google-Aufbewahrungseinstellungen. Drittlandübermittlung: Verarbeitung auf Google-Servern auch in den USA. Garantien: EU-Standardvertragsklauseln und EU-US Data Privacy Framework. Auftragsverarbeitung: AV-Vertrag mit Google Ireland Ltd. geschlossen. Mehr Informationen:Datenschutzerklärung Google, Werbe-Einstellungen anpassen.
6.5 LinkedIn Insight Tag
Anbieter: LinkedIn Ireland Unlimited Company, Wilton Plaza, Wilton Place, Dublin 2, Irland (Mutterkonzern: LinkedIn Corporation, USA). Zweck: Der LinkedIn Insight Tag ermöglicht Kampagnen-Messung, Zielgruppen-Analyse und (sofern aktiviert) Retargeting für LinkedIn-Werbekampagnen. Daten: IP-Adresse (gekürzt), Zeitstempel, Seiten-URL, Geräte-Merkmale, LinkedIn-Mitglieds-ID, sofern der Besucher bei LinkedIn eingeloggt war. Eingesetzte Cookies u. a. „bcookie“, „lidc“, „bscookie“. Speicherdauer: bis zu 6 Monate für direkt-personenbezogene Kennungen; aggregierte Kampagnen-Reports können länger aufbewahrt werden. Drittlandübermittlung: Verarbeitung auf LinkedIn-Servern auch in den USA. Garantien: EU-Standardvertragsklauseln und EU-US Data Privacy Framework. Auftragsverarbeitung: AV-Vertrag mit LinkedIn Ireland Unlimited Company geschlossen. Mehr Informationen:LinkedIn Datenschutzerklärung, LinkedIn-Opt-out.
6.5a Meta-Pixel (Facebook-Pixel)
Anbieter: Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irland (Mutterkonzern: Meta Platforms, Inc., 1601 Willow Road, Menlo Park, CA 94025, USA). Zweck: Der Meta-Pixel (auch „Facebook-Pixel“) ermöglicht Reichweitenmessung, Conversion-Tracking und (sofern aktiviert) Retargeting für Werbekampagnen auf Facebook und Instagram. So können wir die Wirksamkeit unserer Anzeigen messen und Besuchern relevante Werbung ausspielen. Daten: pseudonyme Kennungen, IP-Adresse, Geräte- und Browser-Informationen, Referrer-URL, ausgelöste Events (z. B. Seitenaufruf). Eingesetzte Cookies u. a. „_fbp“ (First-Party-Cookie zur Wiedererkennung des Browsers) und „_fbc“ (Klick-Kennung aus dem URL-Parameter „fbclid“). War der Besucher zum Zeitpunkt des Besuchs bei Facebook / Instagram eingeloggt, kann Meta den Besuch dem jeweiligen Konto zuordnen. Gemeinsame Verantwortlichkeit: Für die Erhebung und Übermittlung der Daten an Meta besteht eine gemeinsame Verantwortlichkeit im Sinne des Art. 26 DSGVO zwischen uns und Meta; wir haben hierzu die von Meta bereitgestellte Vereinbarung zur gemeinsamen Verantwortlichkeit geschlossen. Für die anschließende Weiterverarbeitung der Daten durch Meta zu eigenen Zwecken ist Meta allein verantwortlich. Speicherdauer: „_fbp“ bis zu 90 Tage; auf Event-Ebene gemäß den Aufbewahrungseinstellungen im Meta Events Manager. Drittlandübermittlung: Verarbeitung auf Meta-Servern auch in den USA. Garantien: EU-Standardvertragsklauseln und EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10. Juli 2023). Die oben unter GA4 genannten Vorbehalte gelten sinngemäß. Rechtsgrundlage: Ihre Einwilligung gemäß § 25 Abs. 1 TTDSG und Art. 6 Abs. 1 lit. a DSGVO. Der Pixel wird erst nach Ihrer Einwilligung über unser Cookiebot-Banner geladen. Mehr Informationen:Datenschutzrichtlinie von Meta, Meta Werbe-Einstellungen.
6.6 Google Tag Manager
Anbieter: Google Ireland Limited (siehe 6.1). Zweck: Google Tag Manager (GTM) ist ein Tag-Management-System, das auf dieser Website andere Tracking-Tags (z. B. Google Analytics, Google Ads, LinkedIn Insight Tag) lädt. GTM selbst setzt keine Cookies und erhebt keine personenbezogenen Daten im engeren Sinne; es orchestriert lediglich die nach Einwilligung geladenen Tags. Daten: Technische Request-Daten (IP-Adresse, Zeitstempel, User Agent) werden kurzzeitig vom GTM-Loader-Server bei Google verarbeitet. GTM selbst setzt keinen persistenten Identifier. Drittlandübermittlung: Der GTM-Loader wird auf Google-Infrastruktur betrieben, auch in den USA. Garantien wie unter 6.1. Hinweis: Wir haben GTM so konfiguriert, dass kein Messtag ausgelöst wird, bevor Sie über unser Cookiebot-Banner eingewilligt haben. Mehr Informationen:Datenschutzerklärung Google.
6.7 Cloudflare (CDN & Bot-Management)
Anbieter: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, mit EU-Vertreter Cloudflare Germany GmbH, Rosental 7, c/o Mindspace, 80331 München. Zweck: Cloudflare wird von unserem Hosting-Anbieter als Content Delivery Network (CDN) und Security-Layer eingesetzt. Das Cookie „__cf_bm“ wird von Cloudflares Bot-Management gesetzt, um in Echtzeit Menschen von automatisiertem Traffic zu unterscheiden und DDoS-Angriffe sowie Content-Scraping abzuwehren. Warum wir das als technisch erforderlich einordnen: Ohne Bot-Mitigation wäre unsere Website angreifbar für Credential-Stuffing, Scraping und DDoS-Angriffe, die Verfügbarkeit, Integrität und die Sicherheit der von uns verarbeiteten personenbezogenen Daten (z. B. Lead-Magnet-Formulare, Newsletter-Anmeldungen) gefährden würden. Bot-Mitigation ist daher eine technische Sicherheitsmaßnahme im Sinne von Art. 32 DSGVO (Sicherheit der Verarbeitung). Cloudflare selbst klassifiziert „__cf_bm“ als „strictly necessary“ (<a href="https://developers.cloudflare.com/fundamentals/reference/policies-compliances/cloudflare-cookies/" target="_blank" rel="noopener">Cloudflare Cookie-Dokumentation</a>). Ein Verzicht auf Cloudflare-Bot-Mitigation würde das Sicherheits-Niveau der Verarbeitung personenbezogener Daten auf dieser Website schwächen. Daten: IP-Adresse, Request-Header, technischer Fingerprint der Anfrage. Kein persistenter, site-übergreifender Identifier. Speicherdauer: Cookie „__cf_bm“ läuft nach maximal 30 Minuten Inaktivität ab. Aggregierte Security-Logs bei Cloudflare werden gemäß deren Standard-Aufbewahrung kurzzeitig vorgehalten. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TTDSG (technisch erforderlich für den vom Nutzer gewünschten Dienst) sowie Art. 6 Abs. 1 lit. f DSGVO (überwiegendes berechtigtes Interesse an einer sicheren, verfügbaren Website). Drittlandübermittlung: Cloudflare ist ein US-Konzern; Daten können auf Servern in den USA verarbeitet werden. Garantien: EU-Standardvertragsklauseln und EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10. Juli 2023). Hinweis: Die Rechtssicherheit des Frameworks kann eingeschränkt sein; vor dem EuG ist ein Nichtigkeitsverfahren anhängig (Rechtssache T-553/23). Auftragsverarbeitung: Im Rahmen des Hosting-Vertrags geschlossen. Mehr Informationen:Cloudflare Datenschutzerklärung.
6.8 Google Search Console
Anbieter: Google Ireland Limited (siehe 6.1). Zweck: Google Search Console (GSC) ermöglicht es uns, das Verhalten unserer Website in den Google-Suchergebnissen zu überwachen — Indexierungs-Status, Such-Anfragen, die zur Seite führen, Klickraten und technische Crawl-Fehler. Cookies / Besucher-Tracking: GSC selbst setzt keine Cookies auf den Besuchern dieser Website und lädt kein clientseitiges Skript. Die Inhaberschaft der Domain ist über ein statisches HTML-Meta-Tag und / oder einen DNS-TXT-Eintrag verifiziert. Daten: Aggregierte Such-Analytics von Google (Suchanfragen, Impressionen, Klicks) — nicht direkt mit einzelnen Besuchern verknüpft. Uns werden die Daten nur in aggregierter Form bereitgestellt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Überwachung der Such-Sichtbarkeit. Drittlandübermittlung: Die aggregierten Reports werden auf Google-Infrastruktur (auch USA) erzeugt. Garantien wie unter 6.1. Mehr Informationen:Datenschutzerklärung Google.
6.9 Speicherdauer der Cookies
Session-Cookies werden beim Schließen des Browsers gelöscht. Persistente Cookies haben folgende maximale Laufzeiten: Google Analytics 4 — bis zu 14 Monate (Datenaufbewahrung in den GA4-Einstellungen auf 14 Monate verkürzt); Microsoft Clarity — bis zu 12 Monate; Google Ads („_gcl_au“) — bis zu 90 Tage; Meta-Pixel („_fbp“) — bis zu 90 Tage; LinkedIn („bcookie“) — bis zu 6 Monate; Cloudflare („__cf_bm“) — maximal 30 Minuten Inaktivität; Leadfeeder — in der Regel session-basiert, keine clientseitige Speicherung; CookieConsent (Cookiebot) — bis zu 12 Monate ab Erteilung der Einwilligung.
6.10 Widerruf der Einwilligung
So einfach wie die Erteilung — Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen:
1. Cookie-Einstellungen öffnen: Klicken Sie auf den Link „Cookie-Einstellungen“ im Footer, um das Banner erneut zu öffnen und Ihre Auswahl anzupassen (steuert GA4, Clarity, Google Ads, LinkedIn, Meta-Pixel und Leadfeeder gleichermaßen). 2. Per E-Mail: Senden Sie eine kurze Nachricht an info@daniel-herrmann.io — wir blockieren die entsprechenden Tools für Sie. 3. Pro Tool: Für Google Analytics steht das offizielle Browser-Opt-out zur Verfügung; für Google Ads unter Werbe-Einstellungen anpassen; für LinkedIn unter LinkedIn-Opt-out; für den Meta-Pixel unter Meta Werbe-Einstellungen. Microsoft Clarity und Leadfeeder steuern Sie ausschließlich über unser Cookie-Banner.
Die Rechtmäßigkeit der bis zum Widerruf auf Grundlage der Einwilligung erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).
7. Schriftarten
Diese Website lädt Schriftarten von Google Fonts. Hierbei werden Verbindungsdaten (insbesondere die IP-Adresse) an Google übermittelt. Anbieter: Google Ireland Limited (siehe Abschnitt 6.1). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer einheitlichen typografischen Darstellung. Alternativ werden Schriftarten auch in einem lokalen Fallback vorgehalten, sodass das Schriftladen ausfallen kann, ohne das Layout zu brechen.
8. Technische & organisatorische Maßnahmen (TOM)
Zum Schutz Ihrer Daten setzen wir angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um — u. a.: TLS-Verschlüsselung (HTTPS) für die gesamte Seite, verschlüsselte Datenbankverbindungen, Server-Hosting in der EU (Kinsta / GCP Frankfurt), restriktiver Admin-Zugang über individuelle Accounts mit starken Passwörtern und 2FA, regelmäßige automatische Backups, rollenbasierte Zugriffskontrolle, ein dokumentiertes Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO und Datenminimierung auf Anwendungsebene. Wir überprüfen und aktualisieren diese Maßnahmen kontinuierlich.
9. Ihre Rechte als betroffene Person
Ihnen stehen nach der DSGVO folgende Rechte zu:
Recht auf Auskunft (Art. 15 DSGVO) — Auskunft über die zu Ihrer Person verarbeiteten Daten.
Recht auf Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Daten.
Recht auf Löschung (Art. 17 DSGVO) — Löschung Ihrer Daten, soweit die gesetzlichen Voraussetzungen vorliegen.
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO).
Recht auf Datenübertragbarkeit (Art. 20 DSGVO) — Erhalt Ihrer Daten in einem strukturierten, gängigen, maschinenlesbaren Format.
Recht auf Widerspruch (Art. 21 DSGVO) — gegen Verarbeitungen auf Basis berechtigter Interessen, insbesondere gegen Direktwerbung. Siehe hervorgehobener Hinweis unten.
Recht auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) — jederzeit mit Wirkung für die Zukunft, siehe Abschnitt 6.10.
Beschwerderecht (Art. 77 DSGVO) — bei einer Aufsichtsbehörde, insbesondere im EU-Mitgliedstaat Ihres Aufenthalts, Arbeitsplatzes oder Ortes des mutmaßlichen Verstoßes. Für unseren Sitz zuständig: Unabhängiges Datenschutzzentrum Saarland, Fritz-Dobisch-Straße 12, 66111 Saarbrücken.
Anfragen zu diesen Rechten richten Sie bitte an: info@daniel-herrmann.io. Wir antworten innerhalb der gesetzlichen Frist (in der Regel ein Monat).
10. Aktualität dieser Datenschutzerklärung
Stand: 29. Juni 2026. Wir behalten uns vor, diese Erklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht. Die jeweils aktuelle Fassung ist über diese Website abrufbar.
Rückruf
Wann sollen wir Sie zurückrufen?
Sagen Sie uns, wann Sie Zeit haben und worum es geht, wir rufen innerhalb eines Werktags zurück.
Notiert. Wir melden uns.
Sie bekommen gleich eine Bestätigungs-E-Mail. Daniel ruft innerhalb eines Werktags zurück.
Per E-Mail erhalten
Wir schicken es Ihnen zu.
Name und E-Mail genügen, wir schicken Ihnen das Material direkt mit einer kurzen Notiz von Daniel.
Danke, bitte schauen Sie in Ihr Postfach.
Wir haben Ihnen das Material gerade per E-Mail geschickt. Sollte es nicht in den nächsten Minuten ankommen, schauen Sie bitte im Spam-Ordner nach.
Einmal im Monat · CSV aus der Praxis
Validierungs-Insights aus echten Pharma-Projekten.
Was Sie als nächstes lesen: was die GAMP 5 2nd Edition für Ihre CSV bedeutet, wie die FDA CSA Final Guidance Ihre Validierungsstrategie verändert, und der 8-Wochen-Sprint, mit dem wir 60+ Projekte abschließen. Jederzeit mit einem Klick abbestellbar.
Fast geschafft.
Bestätigen Sie Ihre E-Mail über den Link, den wir Ihnen gerade ins Postfach geschickt haben. Direkt nach der Bestätigung senden wir Ihnen die aktuelle Newsletter-Ausgabe.
Wir nutzen Ihre Daten ausschließlich für den Newsletter. Keine Weitergabe an Dritte. Datenschutzhinweis.
