Systemvalidierung für Pharma, audit-sicher auf den Systemen, auf denen Ihre Produktion läuft.
Die Systeme, auf denen Ihre Produktion läuft, LIMS, MES (PAS-X), Veeva Vault, SAP S/4HANA, MasterControl, eQMS, GxP-konform validiert, audit-sicher, im Budget.
Systemvalidierung sichert die Plattformen ab, auf denen Ihre Batch-Akten und Qualitätsentscheidungen laufen. Klassische IT-Validierung reicht nicht. Der Datenfluss zwischen MES, SAP und LIMS ist meist der Punkt, an dem Auditoren länger stehen bleiben.
Die Systeme, die Ihre Pharma-Operations tragen, müssen im Audit halten.
LIMS, MES, Veeva Vault und eQMS sind keine generischen Enterprise-Tools, sie sind das digitale Rückgrat von GxP-regulierter Produktion, Labor-Analytik und Dokumenten-Steuerung. Jede Batch-Akte, jede Qualitätsentscheidung, jeder Audit-Trail läuft durch eines dieser Systeme. Wenn die Validierung kippt, kippt die Operation mit.
Pharma-Operations-Software-Validierung unterscheidet sich deutlich von klassischer IT-Validierung. Datenintegrität nach ALCOA+, Batch-Record-Review-by-Exception, Multi-Tenant-Cloud-Audits, Cross-System-Datenfluss MES ↔ SAP ↔ LIMS, diese Spezifika entscheiden, ob die nächste FDA- oder EMA-Inspektion ein Stempel oder ein Finding wird.
dh Consulting validiert genau diese Systeme seit 17+ Jahren, in globalen Pharma-Konzernen, Biotech-Start-ups und MedTech-Herstellern. 60+ Systeme, 100 % Audit-Pass, 0 Findings auf den von uns verantworteten Systemen.
02 System für System
Sechs Kern-Spezialisierungen, plus alles, was im GxP-Stack läuft.
Gleiches risikobasiertes GAMP-5-Gerüst, aber jede Plattform bringt eigene Audit-Fallstricke mit. So gehen wir die sechs Schwerpunkte an, und am Ende eine kompakte Übersicht aller Plattformen, die wir abdecken.
System 01 · LIMS
LIMS-Validierung, Labor-IT GxP-konform.
Ein LIMS speichert nicht nur Probendaten, es steuert die analytischen Workflows, auf denen Ihre QC-Freigabeentscheidungen aufbauen. Die Validierung muss Methoden, User-Acceptance-Flow und jede Schnittstelle zu Laborgeräten abdecken. Eine Lücke, und der Audit-Trail bricht.
01
LIMS
Labor-Informations-Management
· Methoden-Validierung
· ALCOA+ Datenintegrität
· Geräte-Schnittstellen
Was wir abdecken
Methoden-Validierung, analytische Methoden mit der richtigen Präzisions-, Genauigkeits- und Robustheits-Signatur.
Datenintegrität nach ALCOA+, attributable, legible, contemporaneous, original, accurate (plus complete, consistent, enduring, available).
Geräte-Schnittstellen, HPLC, GC, Dissolution-Bäder, Waagen. Jede Verbindung ist ein eigener Qualifizierungs-Scope.
Methoden-Migration, vom Alt-LIMS auf eine neue Plattform, ohne von Null neu zu validieren.
Plattform-neutraler Ansatz: gleiches GAMP-5-Gerüst, egal welches LIMS in Ihrem Labor läuft, wir validieren die Plattform, die bei Ihnen produktiv ist, nicht einen bestimmten Hersteller.
System 02 · MES
MES und PAS-X, Produktion validieren, nicht Papier.
PAS-X (Körber/Werum) ist in der Pharma-Produktion der De-facto-MES-Standard. Die Validierungs-Herausforderung sitzt nicht in PAS-X selbst, sondern an den Schnittstellen: SAP für den Material-Flow, LIMS für die analytische Freigabe, ERP für die Batch-Genealogie. Wir decken den ganzen Kreis ab.
Review-by-Exception, nur Abweichungen werden reviewed, nicht jede Batch-Akte. Spart 30–50 % QC-Zeit.
Cross-System-Validierung MES ↔ SAP ↔ LIMS, Material-Bewegungen, Freigabe-Entscheidungen, Batch-Genealogie über Systemgrenzen hinweg.
Echtzeit-Datenfluss + Audit-Trail, jeder Produktionsschritt rückverfolgbar zu Operator, Equipment und Parameter.
PAS-X (heute Teil von Körber) ist die häufigste Plattform, die wir validieren, der Ansatz gilt aber genauso für Emerson Syncade, Rockwell PharmaSuite oder Eigenbau-MES. Gleiches GAMP-5-Gerüst.
Cloud heißt nicht „der Anbieter validiert das schon". Der Anbieter verantwortet die Plattform, den validierten Zustand Ihrer Konfiguration, Ihrer Daten und Ihrer Prozesse halten weiterhin Sie. Die Grenze zwischen Supplier-Audit und Kunden-Validierung ist gerade das teuerste Missverständnis in der Pharma-IT. Für cloud- und SaaS-basierte Systeme greift unsere Cloud-Validierung für Pharma.
03
Veeva Vault
Cloud-eQMS & eDMS
· Cloud-Audit-Logik
· Config vs. Customizing
· Release-Validierung
Was wir abdecken
Vendor-Audit-Grenze, was Veeva zentral validiert, was Sie pro Tenant validieren müssen.
Configuration vs. Customizing, Standard-Objekte brauchen leichtere Validierung als Custom-Logik. Die Grenze richtig zu ziehen, spart 40 % Aufwand.
Modul-Scope, Vault QMS, Vault QualityDocs, Vault PromoMats, Vault Submissions. Jedes hat sein eigenes Validierungs-Muster.
Release-Validierung, Veeva liefert drei Releases pro Jahr. Wir bauen ein Regressions-Framework, damit Sie validiert bleiben, ohne die OQ jedes Mal neu zu fahren.
Drei Veeva-Releases pro Jahr brechen schlecht-validierte Stacks lautlos. Ein 4–8 h Regressions-Zyklus ist der Unterschied zwischen audit-bereit bleiben und einer mehrmonatigen Re-Validierungs-Panik.
System 04 · SAP
SAP S/4HANA und EWM, ERP-Backbone unter GxP.
SAP ist kein MES, aber in der Pharma-Produktion trägt es die Material- und Batch-Genealogie, auf die jedes GxP-Audit am Ende referenziert. Die Validierung sitzt dort, wo SAP auf den Rest des Stacks trifft, und dort, wo Rollen und Berechtigungen entscheiden, wer im Audit-Mode eine Charge ändern darf.
04
SAP S/4HANA
+ EWM, MM, PP-PI
· Rollen & Berechtigungen
· Batch-Genealogie
· Audit-Trail im ERP-Core
Was wir abdecken
Material- und Batch-Genealogie, jede Bewegung, jeder Status-Wechsel, rückverfolgbar auf Operator und Zeitstempel.
Rollen & Berechtigungen, Trennung der Verantwortlichkeiten, Quality-Release-Gate, Vier-Augen-Prinzip. Die am häufigsten gefundene Audit-Lücke wenn SAP nicht end-to-end validiert ist.
EWM-Lagerflows, Lagerort-Management, Einlagerung & Kommissionierung unter GMP-Lagerbedingungen, Deviation-Handling am Wareneingang.
S/4HANA-Migration validieren, ECC-Ausstieg ohne Verlust des validierten Zustands. Risikobasierte Gap-Analyse, fokussierte Regression, Parallel-Run-Abnahme.
Wir haben S/4HANA on-prem und auf RISE-with-SAP-Cloud validiert, gleiches risikobasiertes GAMP-5-Gerüst, andere Vendor-Audit-Grenze.
System 05 · MasterControl & Cloud
MasterControl und Cloud-native QMS, Validierung unter Release-Druck.
MasterControl, Vault QMS, AWS- und Azure-gehostete GxP-Systeme, alle pushen regelmäßige Hersteller-Releases, die den validierten Zustand still untergraben können. Die Antwort ist nicht „mehr validieren". Die Antwort ist klüger validieren: ein Regressions-Framework, das über Releases hinweg hält, und eine klare Vendor-Audit-Grenze, die den Hersteller nicht aus der Verantwortung lässt.
05
MasterControl · Cloud
QMS · AWS · Azure · Hybrid
· Vendor-Audit-Grenze
· Release-Regression
· Shared-Responsibility
Was wir abdecken
MasterControl-Validierung, Documents, Training, CAPA, Audit-Module. Configuration-as-Validation: Wir behandeln Config-Drift als Regressions-Kandidat, nicht als „kleine Änderung“.
Cloud-Shared-Responsibility, was AWS/Azure am IaaS-Layer trägt, was der SaaS-Vendor an der Plattform trägt, was Sie auf Konfigurations- und Daten-Ebene weiterhin selbst verantworten.
Release-Regressions-Framework, einmaliges Scaffold, dann 4–8 Stunden pro Release statt kompletter Re-Validierung. Kritisch für Veeva (3 Releases/Jahr) und MasterControl (kontinuierlich).
Hybrid-Stack-Validierung, On-Prem-MES + Cloud-QMS + Cloud-Archiv. Die Validierung folgt den Daten, nicht dem Deployment-Modell.
Wenn Ihr Stack On-Prem und Cloud mischt, sitzt dort der größte Teil der aktuellen Audit-Findings. Risiko mappen wir pro Datenfluss, nicht pro System.
System 06 · eQMS, eDMS & weitere
eQMS, eDMS und was sonst noch im GxP-Stack läuft.
Die vier Blöcke decken 80 % dessen ab, was bei uns ankommt. Die anderen 20 %: LMS (Trainings), CTMS (Clinical Trials), hausgebaute Lab-Tools, regulierte SaaS in Clinical oder Pharmakovigilanz. Gleiches Validierungs-Gerüst, andere Audit-Linse.
04
eQMS · eDMS
LMS · CTMS · Spezial-Systeme
· Plattform-neutral
· IVE-Standardansatz
· Hersteller-unabhängig
Wir wenden unsere IVE-Methodik (Integrated Validation Execution) konsequent über Plattformgrenzen hinweg an. Der System-Katalog ist nicht das Limit, die Regulatorik ist es. Wenn Ihr System GxP-relevant ist, validieren wir es.
Was auch immer in Ihrem GxP-Stack läuft, sprechen Sie mit uns. Wenn wir nicht der richtige Partner sind, sagen wir Ihnen das ehrlich und vermitteln gerne weiter.
Ihre Plattform nicht dabei? Sprechen Sie mit uns, die IVE-Methodik ist plattform-neutral.
03 Cross-System-Datenfluss
Das echte Risiko sitzt nicht innerhalb eines Systems, sondern zwischen ihnen.
Die meisten Audit-Findings, die wir heute sehen, kommen aus System-Grenzen. Eine Batch-Nummer, die zwischen MES und SAP driftet. Eine Sample-ID, die beim Übergang zu LIMS ihren Audit-Trail verliert. Eine Veeva-Dokumentversion, die nicht mehr zur GMP-Akte passt. Daten fließen in beide Richtungen, und mit ihnen das Risiko.
SAP
Material · Genealogie
Batch-Nr.
MES
Batch-Record · eMBR
Sample-ID · Audit-Trail
LIMS
Analytik · QC-Release
Dokument-Version
Veeva
eDMS · Freigabe
Wir validieren die Grenzen mit demselben Ansatz wie die Systeme selbst: anforderungsgetrieben, risikobasiert, audit-trail-verankert. Jede Schnittstelle bekommt einen eigenen Qualifizierungs-Scope, mit gemappten Datenfeldern, gemappter Fehlerbehandlung und einem dokumentierten Test, was passiert, wenn eine Seite ausfällt. Genau dieser letzte Punkt, der Fehler-Test, ist der, den die meisten Validierungs-Programme überspringen und den die meisten Auditoren als Erstes finden.
04 Track Record
17+ Jahre Validierung genau dieser Systeme.
Über vier Plattformen, drei Regulatoren, ein nachweisbarer Track Record.
60+
Systeme validiert
LIMS · MES · Veeva · eQMS · weitere
17+
Jahre Praxis
Pharma · Biotech · MedTech
100%
Audit-Bestehensquote
FDA · EMA · BfArM
0
Kritische Findings
Auf den von uns verantworteten Systemen
05 FAQ
Häufige Fragen zur System-Validierung.
Können Sie eine teilvalidierte LIMS-Migration übernehmen?
Ja, und das ist ein wiederkehrendes Szenario. Wir kommen rein, machen eine Gap-Analyse gegen den aktuellen Validierungs-Stand und das regulatorische Ziel, und übernehmen die Migration ohne Re-Validierung von Null. Typischer Einstiegspunkt: Validierungs-Rückstand vom vorigen Berater oder Inhouse-Team, das Kapazität verloren hat.
Wie geht man mit Veeva-Releases um, drei pro Jahr?
Wir bauen einmalig ein Regressions-Framework mit einem definierten Test-Set gegen den Konfigurations-Scope. Bei jedem Veeva-Release läuft das Framework durch, typisch ein halber Tag Aufwand, keine komplette Re-Validierung. Kritische Änderungen (neue Module, Schema-Änderungen) bekommen eine Delta-Validierung. Routine-Releases bleiben Routine.
Validieren Sie auch Schnittstellen zwischen MES und SAP?
Ja, das ist einer der wirkungsstärksten Validierungs-Scopes, die wir bedienen. Die MES↔SAP-Schnittstelle steuert Material-Bewegungen, Batch-Genealogie und Freigabe. Ein Finding hier kaskadiert über einen ganzen Standort. Wir validieren feldweise, mit expliziten Failure-Mode-Tests.
Übernehmen Sie auch die Methoden-Migration im LIMS?
Ja. Methoden-Migration ist mehr Analytik als IT, aber die Validierung läuft über die LIMS-Ebene. Wir arbeiten Seite an Seite mit Ihren analytischen SMEs (typischerweise mit den Methoden-Experten Ihres QC-Teams) und fahren die Cross-Validierung, das Äquivalenz-Testing und die Dokumentation.
Was ist mit Plattformen, die nicht auf Ihrer Liste stehen?
Die vier Blöcke decken ab, was wir am häufigsten sehen. Die IVE-Methodik ist plattform-neutral, gleiches risikobasiertes GAMP-5-Gerüst, angewendet auf das System, das in Ihrem GxP-Stack läuft. CTMS, LMS, regulierte SaaS, Eigenbau-Tools: sprechen Sie mit uns, wir sagen Ihnen ehrlich, ob wir der richtige Partner sind.
Wenn Ihre Situation kombiniert
Diese drei Themen tauchen häufig zusammen mit diesem hier auf.
Ihr Projekt verdient eine Validierung, die den Go-Live beschleunigt, nicht blockiert. Profitieren Sie von der Sicherheit aus 60+ erfolgreichen Projekten.
Gemäß § 36 VSBG: Wir sind nicht bereit oder verpflichtet, an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen.
Haftung für Inhalte
Wir sind für eigene Inhalte auf diesen Seiten nach den allgemeinen Gesetzen verantwortlich. Nach den Artikeln 4 bis 8 der Verordnung (EU) 2022/2065 (Digital Services Act, DSA) sind wir als Diensteanbieter jedoch nicht verpflichtet, übermittelte oder gespeicherte fremde Informationen zu überwachen oder nach Umständen zu forschen, die auf eine rechtswidrige Tätigkeit hinweisen.
Hinweis: Die §§ 7–10 des vormaligen Telemediengesetzes (TMG) zur Haftung digitaler Dienste wurden — entgegen einer verbreiteten Übergangsformel — nicht in das Digitale-Dienste-Gesetz (DDG) übernommen. Die Haftung für digitale Dienste richtet sich seit dem 14. Mai 2024 maßgeblich nach der Verordnung (EU) 2022/2065 (DSA), insbesondere nach den Artikeln 4–8 — die wir oben referenzieren. Die §§ 7–10 DDG haben andere Regelungsinhalte (beschränkte Verantwortlichkeit mit Verweis auf DSA Art. 4–8 und WLAN-Zugänge, Sperrungsansprüche bei Urheberrechts-Verletzungen, Listen der Anbieter audiovisueller Mediendienste und Videosharing-Plattformen sowie Auskunftsverlangen der nach Landesrecht zuständigen Behörden).
Urheberrecht
Die durch die Seitenbetreiber erstellten Inhalte und Werke auf diesen Seiten unterliegen dem deutschen Urheberrecht. Die Vervielfältigung, Bearbeitung, Verbreitung und jede Art der Verwertung außerhalb der Grenzen des Urheberrechtes bedürfen der schriftlichen Zustimmung des jeweiligen Autors.
Datenschutzerklärung
1. Datenschutz auf einen Blick
Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.
2. Verantwortlicher
Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die Datenverarbeitung auf dieser Website ist:
Daniel Herrmann Consulting
Daniel Herrmann (Einzelunternehmer)
Enzweilerweg 3a · 66709 Weiskirchen · Deutschland
Telefon: +49 170 7878065
E-Mail: info@daniel-herrmann.io
Ein Datenschutzbeauftragter ist nicht bestellt; Ansprechpartner in allen Datenschutzfragen ist der Verantwortliche.
3. Server-Logs (technisch notwendig)
Beim Besuch dieser Website werden vom Hosting-Anbieter automatisch technische Informationen in Server-Logfiles erfasst: IP-Adresse (nach 7 Tagen anonymisiert), Datum und Uhrzeit, aufgerufene Seite, Referrer, User Agent. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse am technisch fehlerfreien Betrieb. Speicherdauer: 7 Tage, anschließend automatische Löschung. Eine Zusammenführung mit anderen Datenquellen findet nicht statt.
4. Kontaktaufnahme
Wenn Sie uns per Formular, E-Mail oder Telefon kontaktieren, speichern wir Ihre Angaben (Name, E-Mail, Unternehmen, Nachrichteninhalt) zur Bearbeitung der Anfrage und für Anschlussfragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Speicherdauer: Löschung, sobald die Anfrage abschließend bearbeitet ist, spätestens nach 12 Monaten, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Eine Weitergabe an Dritte erfolgt nicht.
5. Lead-Magnets (PDF-Downloads)
Zur Anforderung unserer Praxis-Guides (z. B. Strategie-Guide, Compliance-Gap-Analyse, Execution-Playbook) bitten wir um Ihre E-Mail-Adresse sowie optional um Name und Unternehmen. Die Angaben werden ausschließlich zur Bereitstellung des angeforderten Materials und zur Dokumentation der Einwilligung gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Speicherdauer: bis zu Ihrem Widerruf, maximal 24 Monate. Die Newsletter-Anmeldung wird als separate, opt-in-Checkbox auf dem Lead-Magnet-Formular angeboten (keine Kopplung — Sie können das Material auch ohne Newsletter-Abo anfordern). Ohne gesonderte Einwilligung erfolgt kein Marketing-Versand.
5a. Newsletter (Double-Opt-In)
Verfahren: Wenn Sie unseren Newsletter abonnieren, verwenden wir das Double-Opt-In-Verfahren: Nach Eingabe Ihrer E-Mail-Adresse und Ihres Namens erhalten Sie eine Bestätigungs-Mail mit Verifizierungs-Link. Erst nach Klick auf diesen Link aktivieren wir das Abonnement und dokumentieren Ihre Einwilligung. Daten: E-Mail-Adresse, Name, Zeitstempel der Einwilligung, Confirmation-IP. Zweck: Versand des monatlichen dhc-Newsletters mit Praxis-Insights und Dokumentation des Einwilligungs-Vorgangs gem. Art. 7 Abs. 1 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), § 7 Abs. 2 Nr. 3 UWG. Speicherdauer: für die Dauer Ihres aktiven Abonnements; Einwilligungs-Logs werden zusätzlich 3 Jahre nach Beendigung des Abonnements als Nachweis im Beschwerdefall vorgehalten. Widerruf: Jeder Newsletter enthält im Footer einen Ein-Klick-Abmelde-Link. Alternativ genügt eine kurze E-Mail an info@daniel-herrmann.io. Auftragsverarbeiter: Der Newsletter wird derzeit über die SMTP-Infrastruktur unseres Hosting-Anbieters versendet; wir setzen aktuell kein externes E-Mail-Marketing-Tool ein. Sobald wir auf ein dediziertes Newsletter-Tool (z. B. Brevo) wechseln, aktualisieren wir diesen Abschnitt und schließen einen ergänzenden Auftragsverarbeitungsvertrag.
5c. Link-Click-Tracking in unseren E-Mails
Verfahren: Um zu verstehen, welche Inhalte in unseren Lead-Magnet-Mails und Newsletter-Ausgaben tatsächlich nützlich sind, leiten wir ausgehende Links über einen internen Redirect-Endpunkt (/t/<token>). Jeder Link in jedem Versand erhält einen aggregierten Click-Zähler — wir speichern jedoch KEINE Empfänger-Kennung, KEINE IP-Adresse und KEINEN User-Agent. Die gespeicherten Daten entsprechen anonymen Server-Logs (z. B.: „Link X im Versand Y wurde insgesamt 42 mal geklickt") und lassen keinen Rückschluss zu, wer geklickt hat. Rechtsgrundlage: Da kein Personenbezug besteht (Erwägungsgrund 26 DSGVO — anonyme Daten, keine Verarbeitung personenbezogener Daten i. S. v. Art. 4 Abs. 1 DSGVO), ist keine gesonderte Einwilligung erforderlich. Für den Redirect-Vorgang selbst stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Messung der Inhalts-Relevanz unserer eigenen Kommunikation). Ausnahmen: Rechtlich relevante Links (Impressum, Datenschutz, Abmelde-Link) werden nicht über den Redirect geleitet — der Click auf solche Links wird nie gezählt. Speicherdauer: Die anonymen Counter werden 24 Monate aufbewahrt und danach gelöscht.
5b. Speicherdauer-Übersicht & Begründungen
Konsolidierte Übersicht aller Speicherdauern mit Begründung — das Prinzip: minimale Speicherung, klarer Zweck, dokumentierte Grundlage.
DatenkategorieSpeicherdauerBegründung
Server-Logs7 TageAusreichend für technische Fehleranalyse & Sicherheits-Forensik — Art. 6 Abs. 1 lit. f DSGVO. IP-Anonymisierung greift sofort beim Log-Schluss.
Kontaktanfragen12 MonateB2B-Sales-Zyklen in Pharma laufen typisch 6–9 Monate. 12 Monate deckt Anschluss-Anfragen ohne unnötige Vorhaltung. Gesetzliche Aufbewahrungspflichten (z. B. § 257 HGB) greifen erst bei Vertragsabschluss.
Lead-Magnetsbis zu 24 MonateBis Widerruf der Einwilligung; 24-Monats-Kappung deckt die Dokumentation der Einwilligung (Art. 7 DSGVO) und einen typischen Re-Engagement-Zyklus ab. Widerruf jederzeit, Löschung binnen 7 Tagen ab Eingang.
Newsletter-AboAbo-Dauer + 3 J. Consent-LogE-Mail + Name nur solange das Abo aktiv ist. Consent-Log (Zeitstempel + IP) wird 3 Jahre vorgehalten, um die Verjährungsfrist (§ 195 BGB) für Beschwerden nach § 7 UWG abzudecken.
Cookies (inkl. Analyse)30 Min – 14 MonatePro Tool detailliert in 6.9. GA4 ist auf 14 Monate gekappt (GA4-Minimum, kürzer nur über Property-Reset möglich); alle anderen Tools liegen unterhalb oder auf Branchen-Standard.
Cookiebot-Einwilligung12 MonateMaximum-Fenster, das die EDPB für wiederholte Einwilligungs-Abfragen für angemessen hält. Nach 12 Monaten erscheint das Banner erneut.
6. Cookies, Analyse & Tracking
Auf dieser Website kommen Analyse- und Tracking-Werkzeuge zum Einsatz, die über eine reine Reichweitenmessung hinausgehen und Nutzungsprofile erstellen. Dabei werden personenbezogene Daten (insb. IP-Adresse, Geräte- und Browser-Informationen, Verhaltensdaten) verarbeitet und in Drittländer (u. a. USA) übermittelt. Rechtsgrundlage ist Ihre Einwilligung gemäß § 25 Abs. 1 TTDSG und Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung erteilen Sie beim ersten Besuch über unser Cookie-Banner und können sie jederzeit mit Wirkung für die Zukunft widerrufen — siehe Abschnitt 6.10. Der Widerruf ist so einfach wie die Erteilung der Einwilligung (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung bleibt unberührt.
6.0 Einwilligungsverwaltung (Cookiebot)
Anbieter: Cybot A/S, Havnegade 39, 1058 Kopenhagen, Dänemark (Tochter der Usercentrics-Gruppe) — EU-Anbieter. Zweck: Cookiebot ist die Consent-Management-Plattform (CMP), mit der wir Ihre Einwilligung im Sinne des § 25 TTDSG und Art. 7 DSGVO dokumentieren und Analyse- und Tracking-Tools bis zu Ihrer Zustimmung blockieren. Daten: Cookiebot setzt das Cookie „CookieConsent“ mit Ihrem Zustimmungsstatus (Kategorien, Zeitstempel, anonyme Kennung) sowie ein serverseitiges Consent-Log. Speicherdauer: bis zu 12 Monate ab Erteilung der Einwilligung; danach erneute Abfrage beim nächsten Besuch. Rechtsgrundlage: Die Verarbeitung der Einwilligungsdaten selbst stützt sich auf Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht zur Dokumentation der Einwilligung). Drittlandübermittlung: primäre Verarbeitung in der EU; Unterauftragsverarbeiter können Dienstleister außerhalb des EWR unter EU-Standardvertragsklauseln umfassen. Auftragsverarbeitung: AV-Vertrag mit Cybot A/S geschlossen. Mehr Informationen:Datenschutzerklärung Cookiebot.
6.1 Google Analytics 4
Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Mutterkonzern: Google LLC, USA). Zweck: Tracking-Tool, das über eine reine Reichweitenmessung hinausgeht. Google nutzt die erhobenen Daten für den Betrieb von GA4 sowie teilweise für eigene Zwecke (insoweit keine reine Auftragsverarbeitung). Daten: pseudonyme Kennungen (Client-ID), IP-Adresse (auf EU-Server gekürzt, siehe unten), Seitenaufrufe, Verweildauer, Scroll-Tiefe, Klick-Events, Geräte- und Browser-Informationen, ungefährer Standort (Land / Region aus IP). Speicherdauer: bis zu 14 Monate auf Event-Ebene, danach automatische Löschung. IP-Kürzung: Die IP-Adresse wird auf einem EU-Server gekürzt, bevor sie in die USA weitergeleitet wird (das „_anonymizeIp“-Pendant in GA4 ist standardmäßig aktiv). Drittlandübermittlung: Verarbeitung auf Servern in den USA. Garantien: EU-Standardvertragsklauseln und das EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10. Juli 2023). Hinweis: Aufsichtsbehörden weisen darauf hin, dass die gewonnene Rechtssicherheit nur vorübergehender Natur sein könnte; die Vorgängerregelungen (Safe Harbor, Privacy Shield) wurden vom EuGH für unwirksam erklärt. Auftragsverarbeitung: AV-Vertrag mit Google Ireland Ltd. geschlossen. Mehr Informationen:Datenschutzerklärung Google, Browser-Opt-out.
6.2 Microsoft Clarity
Anbieter: Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland (Mutterkonzern: Microsoft Corporation, USA). Zweck: Sitzungsaufzeichnungen und Heatmaps zur Verbesserung der Nutzerfreundlichkeit. Hinweis: Sitzungsaufzeichnungen sind eine besonders intensive Verarbeitungsform — sie können auch bei standardmäßiger Maskierung von Eingabefeldern sensible Inhalte erfassen. Wir haben die strengste Maskierungsstufe („Strict“) für alle Formularfelder konfiguriert. Daten: Mausbewegungen, Klicks, Scroll-Verhalten, Seitenaufrufe, Geräte- und Browser-Informationen, IP-Adresse (gekürzt), Land. Speicherdauer: bis zu 12 Monate ab der letzten erfassten Sitzung. Drittlandübermittlung: Microsoft ist ein US-Konzern, Daten können auf Servern in den USA verarbeitet werden. Garantien: EU-Standardvertragsklauseln und EU-US Data Privacy Framework. Die oben unter GA4 genannten Vorbehalte gelten sinngemäß. Auftragsverarbeitung: Microsoft Online Services DPA geschlossen. Mehr Informationen:Microsoft Datenschutzerklärung.
6.3 Leadfeeder (Dealfront)
Anbieter: Dealfront Germany GmbH (Leadfeeder), Markgrafenstraße 36, 10117 Berlin — europäischer Anbieter. Zweck: B2B-Identifikation von besuchenden Unternehmen anhand kommerziell lizenzierter IP-Adress-Datenbanken (u. a. RIPE, ARIN, öffentliche Unternehmens-IP-Bereiche) zur Information unserer Vertriebsansprache. Ziel ist die Identifikation des Unternehmens, nicht des einzelnen Nutzers. Wichtiger datenschutzrechtlicher Hinweis: IP-Adressen können personenbezogene Daten darstellen, insbesondere wenn sie mit anderen Daten verknüpft werden. Wir behandeln die Verarbeitung daher als DSGVO-relevant. Daten: IP-Adresse, Seitenaufrufe, Zeitstempel, Verweildauer, Referrer. Datenquellen: Dealfront reichert IP-Daten mit öffentlich zugänglichen Unternehmensinformationen und lizenzierten B2B-Datenbanken an. Speicherdauer: bis zu 12 Monate auf Besuchs-Ebene; aggregierte Reports können länger aufbewahrt werden. Drittlandübermittlung: Dealfront verarbeitet primär auf EU-Infrastruktur; Unterauftragsverarbeiter können US-Dienstleister umfassen, abgesichert über EU-Standardvertragsklauseln. Auftragsverarbeitung: AV-Vertrag mit Dealfront Germany GmbH geschlossen. Mehr Informationen:Datenschutzerklärung Dealfront.
6.4 Google Ads (Conversion-Tracking & Remarketing)
Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Mutterkonzern: Google LLC, USA). Zweck: Wir setzen Google Ads Conversion-Tracking sowie (sofern aktiviert) Remarketing ein, um den Erfolg von Werbekampagnen zu messen und Besucher mit relevanten Anzeigen anzusprechen. Daten: pseudonyme Click-ID (gclid), Conversion-Event, Conversion-Zeitstempel, Geräte- und Browser-Informationen. Eingesetzte Cookies u. a. „_gcl_au“ (Conversion-Linker) und „test_cookie“ (technisches Prüf-Cookie von doubleclick.net). Speicherdauer: „_gcl_au“ bis zu 90 Tage; Conversion-Logs im Google-Ads-Konto gemäß Google-Aufbewahrungseinstellungen. Drittlandübermittlung: Verarbeitung auf Google-Servern auch in den USA. Garantien: EU-Standardvertragsklauseln und EU-US Data Privacy Framework. Auftragsverarbeitung: AV-Vertrag mit Google Ireland Ltd. geschlossen. Mehr Informationen:Datenschutzerklärung Google, Werbe-Einstellungen anpassen.
6.5 LinkedIn Insight Tag
Anbieter: LinkedIn Ireland Unlimited Company, Wilton Plaza, Wilton Place, Dublin 2, Irland (Mutterkonzern: LinkedIn Corporation, USA). Zweck: Der LinkedIn Insight Tag ermöglicht Kampagnen-Messung, Zielgruppen-Analyse und (sofern aktiviert) Retargeting für LinkedIn-Werbekampagnen. Daten: IP-Adresse (gekürzt), Zeitstempel, Seiten-URL, Geräte-Merkmale, LinkedIn-Mitglieds-ID, sofern der Besucher bei LinkedIn eingeloggt war. Eingesetzte Cookies u. a. „bcookie“, „lidc“, „bscookie“. Speicherdauer: bis zu 6 Monate für direkt-personenbezogene Kennungen; aggregierte Kampagnen-Reports können länger aufbewahrt werden. Drittlandübermittlung: Verarbeitung auf LinkedIn-Servern auch in den USA. Garantien: EU-Standardvertragsklauseln und EU-US Data Privacy Framework. Auftragsverarbeitung: AV-Vertrag mit LinkedIn Ireland Unlimited Company geschlossen. Mehr Informationen:LinkedIn Datenschutzerklärung, LinkedIn-Opt-out.
6.5a Meta-Pixel (Facebook-Pixel)
Anbieter: Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irland (Mutterkonzern: Meta Platforms, Inc., 1601 Willow Road, Menlo Park, CA 94025, USA). Zweck: Der Meta-Pixel (auch „Facebook-Pixel“) ermöglicht Reichweitenmessung, Conversion-Tracking und (sofern aktiviert) Retargeting für Werbekampagnen auf Facebook und Instagram. So können wir die Wirksamkeit unserer Anzeigen messen und Besuchern relevante Werbung ausspielen. Daten: pseudonyme Kennungen, IP-Adresse, Geräte- und Browser-Informationen, Referrer-URL, ausgelöste Events (z. B. Seitenaufruf). Eingesetzte Cookies u. a. „_fbp“ (First-Party-Cookie zur Wiedererkennung des Browsers) und „_fbc“ (Klick-Kennung aus dem URL-Parameter „fbclid“). War der Besucher zum Zeitpunkt des Besuchs bei Facebook / Instagram eingeloggt, kann Meta den Besuch dem jeweiligen Konto zuordnen. Gemeinsame Verantwortlichkeit: Für die Erhebung und Übermittlung der Daten an Meta besteht eine gemeinsame Verantwortlichkeit im Sinne des Art. 26 DSGVO zwischen uns und Meta; wir haben hierzu die von Meta bereitgestellte Vereinbarung zur gemeinsamen Verantwortlichkeit geschlossen. Für die anschließende Weiterverarbeitung der Daten durch Meta zu eigenen Zwecken ist Meta allein verantwortlich. Speicherdauer: „_fbp“ bis zu 90 Tage; auf Event-Ebene gemäß den Aufbewahrungseinstellungen im Meta Events Manager. Drittlandübermittlung: Verarbeitung auf Meta-Servern auch in den USA. Garantien: EU-Standardvertragsklauseln und EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10. Juli 2023). Die oben unter GA4 genannten Vorbehalte gelten sinngemäß. Rechtsgrundlage: Ihre Einwilligung gemäß § 25 Abs. 1 TTDSG und Art. 6 Abs. 1 lit. a DSGVO. Der Pixel wird erst nach Ihrer Einwilligung über unser Cookiebot-Banner geladen. Mehr Informationen:Datenschutzrichtlinie von Meta, Meta Werbe-Einstellungen.
6.6 Google Tag Manager
Anbieter: Google Ireland Limited (siehe 6.1). Zweck: Google Tag Manager (GTM) ist ein Tag-Management-System, das auf dieser Website andere Tracking-Tags (z. B. Google Analytics, Google Ads, LinkedIn Insight Tag) lädt. GTM selbst setzt keine Cookies und erhebt keine personenbezogenen Daten im engeren Sinne; es orchestriert lediglich die nach Einwilligung geladenen Tags. Daten: Technische Request-Daten (IP-Adresse, Zeitstempel, User Agent) werden kurzzeitig vom GTM-Loader-Server bei Google verarbeitet. GTM selbst setzt keinen persistenten Identifier. Drittlandübermittlung: Der GTM-Loader wird auf Google-Infrastruktur betrieben, auch in den USA. Garantien wie unter 6.1. Hinweis: Wir haben GTM so konfiguriert, dass kein Messtag ausgelöst wird, bevor Sie über unser Cookiebot-Banner eingewilligt haben. Mehr Informationen:Datenschutzerklärung Google.
6.7 Cloudflare (CDN & Bot-Management)
Anbieter: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, mit EU-Vertreter Cloudflare Germany GmbH, Rosental 7, c/o Mindspace, 80331 München. Zweck: Cloudflare wird von unserem Hosting-Anbieter als Content Delivery Network (CDN) und Security-Layer eingesetzt. Das Cookie „__cf_bm“ wird von Cloudflares Bot-Management gesetzt, um in Echtzeit Menschen von automatisiertem Traffic zu unterscheiden und DDoS-Angriffe sowie Content-Scraping abzuwehren. Warum wir das als technisch erforderlich einordnen: Ohne Bot-Mitigation wäre unsere Website angreifbar für Credential-Stuffing, Scraping und DDoS-Angriffe, die Verfügbarkeit, Integrität und die Sicherheit der von uns verarbeiteten personenbezogenen Daten (z. B. Lead-Magnet-Formulare, Newsletter-Anmeldungen) gefährden würden. Bot-Mitigation ist daher eine technische Sicherheitsmaßnahme im Sinne von Art. 32 DSGVO (Sicherheit der Verarbeitung). Cloudflare selbst klassifiziert „__cf_bm“ als „strictly necessary“ (<a href="https://developers.cloudflare.com/fundamentals/reference/policies-compliances/cloudflare-cookies/" target="_blank" rel="noopener">Cloudflare Cookie-Dokumentation</a>). Ein Verzicht auf Cloudflare-Bot-Mitigation würde das Sicherheits-Niveau der Verarbeitung personenbezogener Daten auf dieser Website schwächen. Daten: IP-Adresse, Request-Header, technischer Fingerprint der Anfrage. Kein persistenter, site-übergreifender Identifier. Speicherdauer: Cookie „__cf_bm“ läuft nach maximal 30 Minuten Inaktivität ab. Aggregierte Security-Logs bei Cloudflare werden gemäß deren Standard-Aufbewahrung kurzzeitig vorgehalten. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TTDSG (technisch erforderlich für den vom Nutzer gewünschten Dienst) sowie Art. 6 Abs. 1 lit. f DSGVO (überwiegendes berechtigtes Interesse an einer sicheren, verfügbaren Website). Drittlandübermittlung: Cloudflare ist ein US-Konzern; Daten können auf Servern in den USA verarbeitet werden. Garantien: EU-Standardvertragsklauseln und EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10. Juli 2023). Hinweis: Die Rechtssicherheit des Frameworks kann eingeschränkt sein; vor dem EuG ist ein Nichtigkeitsverfahren anhängig (Rechtssache T-553/23). Auftragsverarbeitung: Im Rahmen des Hosting-Vertrags geschlossen. Mehr Informationen:Cloudflare Datenschutzerklärung.
6.8 Google Search Console
Anbieter: Google Ireland Limited (siehe 6.1). Zweck: Google Search Console (GSC) ermöglicht es uns, das Verhalten unserer Website in den Google-Suchergebnissen zu überwachen — Indexierungs-Status, Such-Anfragen, die zur Seite führen, Klickraten und technische Crawl-Fehler. Cookies / Besucher-Tracking: GSC selbst setzt keine Cookies auf den Besuchern dieser Website und lädt kein clientseitiges Skript. Die Inhaberschaft der Domain ist über ein statisches HTML-Meta-Tag und / oder einen DNS-TXT-Eintrag verifiziert. Daten: Aggregierte Such-Analytics von Google (Suchanfragen, Impressionen, Klicks) — nicht direkt mit einzelnen Besuchern verknüpft. Uns werden die Daten nur in aggregierter Form bereitgestellt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Überwachung der Such-Sichtbarkeit. Drittlandübermittlung: Die aggregierten Reports werden auf Google-Infrastruktur (auch USA) erzeugt. Garantien wie unter 6.1. Mehr Informationen:Datenschutzerklärung Google.
6.9 Speicherdauer der Cookies
Session-Cookies werden beim Schließen des Browsers gelöscht. Persistente Cookies haben folgende maximale Laufzeiten: Google Analytics 4 — bis zu 14 Monate (Datenaufbewahrung in den GA4-Einstellungen auf 14 Monate verkürzt); Microsoft Clarity — bis zu 12 Monate; Google Ads („_gcl_au“) — bis zu 90 Tage; Meta-Pixel („_fbp“) — bis zu 90 Tage; LinkedIn („bcookie“) — bis zu 6 Monate; Cloudflare („__cf_bm“) — maximal 30 Minuten Inaktivität; Leadfeeder — in der Regel session-basiert, keine clientseitige Speicherung; CookieConsent (Cookiebot) — bis zu 12 Monate ab Erteilung der Einwilligung.
6.10 Widerruf der Einwilligung
So einfach wie die Erteilung — Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen:
1. Cookie-Einstellungen öffnen: Klicken Sie auf den Link „Cookie-Einstellungen“ im Footer, um das Banner erneut zu öffnen und Ihre Auswahl anzupassen (steuert GA4, Clarity, Google Ads, LinkedIn, Meta-Pixel und Leadfeeder gleichermaßen). 2. Per E-Mail: Senden Sie eine kurze Nachricht an info@daniel-herrmann.io — wir blockieren die entsprechenden Tools für Sie. 3. Pro Tool: Für Google Analytics steht das offizielle Browser-Opt-out zur Verfügung; für Google Ads unter Werbe-Einstellungen anpassen; für LinkedIn unter LinkedIn-Opt-out; für den Meta-Pixel unter Meta Werbe-Einstellungen. Microsoft Clarity und Leadfeeder steuern Sie ausschließlich über unser Cookie-Banner.
Die Rechtmäßigkeit der bis zum Widerruf auf Grundlage der Einwilligung erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).
7. Schriftarten
Diese Website lädt Schriftarten von Google Fonts. Hierbei werden Verbindungsdaten (insbesondere die IP-Adresse) an Google übermittelt. Anbieter: Google Ireland Limited (siehe Abschnitt 6.1). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer einheitlichen typografischen Darstellung. Alternativ werden Schriftarten auch in einem lokalen Fallback vorgehalten, sodass das Schriftladen ausfallen kann, ohne das Layout zu brechen.
8. Technische & organisatorische Maßnahmen (TOM)
Zum Schutz Ihrer Daten setzen wir angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um — u. a.: TLS-Verschlüsselung (HTTPS) für die gesamte Seite, verschlüsselte Datenbankverbindungen, Server-Hosting in der EU (Kinsta / GCP Frankfurt), restriktiver Admin-Zugang über individuelle Accounts mit starken Passwörtern und 2FA, regelmäßige automatische Backups, rollenbasierte Zugriffskontrolle, ein dokumentiertes Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO und Datenminimierung auf Anwendungsebene. Wir überprüfen und aktualisieren diese Maßnahmen kontinuierlich.
9. Ihre Rechte als betroffene Person
Ihnen stehen nach der DSGVO folgende Rechte zu:
Recht auf Auskunft (Art. 15 DSGVO) — Auskunft über die zu Ihrer Person verarbeiteten Daten.
Recht auf Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Daten.
Recht auf Löschung (Art. 17 DSGVO) — Löschung Ihrer Daten, soweit die gesetzlichen Voraussetzungen vorliegen.
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO).
Recht auf Datenübertragbarkeit (Art. 20 DSGVO) — Erhalt Ihrer Daten in einem strukturierten, gängigen, maschinenlesbaren Format.
Recht auf Widerspruch (Art. 21 DSGVO) — gegen Verarbeitungen auf Basis berechtigter Interessen, insbesondere gegen Direktwerbung. Siehe hervorgehobener Hinweis unten.
Recht auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) — jederzeit mit Wirkung für die Zukunft, siehe Abschnitt 6.10.
Beschwerderecht (Art. 77 DSGVO) — bei einer Aufsichtsbehörde, insbesondere im EU-Mitgliedstaat Ihres Aufenthalts, Arbeitsplatzes oder Ortes des mutmaßlichen Verstoßes. Für unseren Sitz zuständig: Unabhängiges Datenschutzzentrum Saarland, Fritz-Dobisch-Straße 12, 66111 Saarbrücken.
Anfragen zu diesen Rechten richten Sie bitte an: info@daniel-herrmann.io. Wir antworten innerhalb der gesetzlichen Frist (in der Regel ein Monat).
10. Aktualität dieser Datenschutzerklärung
Stand: 29. Juni 2026. Wir behalten uns vor, diese Erklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht. Die jeweils aktuelle Fassung ist über diese Website abrufbar.
Rückruf
Wann sollen wir Sie zurückrufen?
Sagen Sie uns, wann Sie Zeit haben und worum es geht, wir rufen innerhalb eines Werktags zurück.
Notiert. Wir melden uns.
Sie bekommen gleich eine Bestätigungs-E-Mail. Daniel ruft innerhalb eines Werktags zurück.
Per E-Mail erhalten
Wir schicken es Ihnen zu.
Name und E-Mail genügen, wir schicken Ihnen das Material direkt mit einer kurzen Notiz von Daniel.
Danke, bitte schauen Sie in Ihr Postfach.
Wir haben Ihnen das Material gerade per E-Mail geschickt. Sollte es nicht in den nächsten Minuten ankommen, schauen Sie bitte im Spam-Ordner nach.
Einmal im Monat · CSV aus der Praxis
Validierungs-Insights aus echten Pharma-Projekten.
Was Sie als nächstes lesen: was die GAMP 5 2nd Edition für Ihre CSV bedeutet, wie die FDA CSA Final Guidance Ihre Validierungsstrategie verändert, und der 8-Wochen-Sprint, mit dem wir 60+ Projekte abschließen. Jederzeit mit einem Klick abbestellbar.
Fast geschafft.
Bestätigen Sie Ihre E-Mail über den Link, den wir Ihnen gerade ins Postfach geschickt haben. Direkt nach der Bestätigung senden wir Ihnen die aktuelle Newsletter-Ausgabe.
Wir nutzen Ihre Daten ausschließlich für den Newsletter. Keine Weitergabe an Dritte. Datenschutzhinweis.
