Inhaltsverzeichnis
Das Wichtigste vorab
Was muss ein Lieferantenvertrag für GMP-relevante IT-Leistungen konkret regeln?
Annex 11 § 3.1 verlangt formale Vereinbarungen mit klaren Verantwortlichkeiten für die betroffenen Fremdleistungen. Chapter 7 konkretisiert ausgelagerte GMP-Tätigkeiten, Zuständigkeiten, Informationswege und Nachweiszugang. Beschreiben Sie deshalb Leistung, Grenze, Ergebnis, benötigte Evidenz und eigene Mitwirkung. Prüfen Sie, ob Vertrag, technische Anlage und tatsächlicher Betrieb zusammenpassen. Ein Anbieterzertifikat oder ein allgemeines Serviceversprechen ersetzt diese Zuordnung nicht; es kann aber im belegten Umfang zur Bewertung beitragen.
- Vereinbaren Sie konkrete Tätigkeiten und Ergebnisse statt nur Rollenüberschriften.
- Datenzugang, Änderungsinformation und Nachweise müssen praktisch nutzbar sein.
- Lieferantenbewertung, Vertrag und laufende Leistungsüberwachung erfüllen verschiedene Zwecke.
1. Den ausgelagerten GMP-Beitrag benennen
Annex 11 § 3.1 nennt unter anderem Bereitstellung, Installation, Konfiguration, Integration, Validierung, Wartung, Änderungen, Aufbewahrung und Datenverarbeitung durch Dritte. Chapter 7 behandelt ausgelagerte GMP-Tätigkeiten. Der Bezug entsteht aus der konkreten Leistung im Qualitätsprozess, nicht allein aus dem Etikett „Cloud“.
Die hier verwendeten Quellen sind die am 7. Oktober 2026 in EudraLex gelisteten Fassungen für Humanarzneimittel-GMP. Beschreiben Sie zuerst, welche Tätigkeiten wirklich übergeben werden. Ein Lizenzkauf ohne weitere Dienste stellt andere Fragen als ein Paket aus Hosting, Administration und Datenaufbewahrung. Auslagerung lässt die eigene Kontrolle des betreffenden Prozesses nicht einfach entfallen.
2. Leistung und eigene Mitwirkung konkret abgrenzen
Zerlegen Sie den vorgesehenen Dienst in verständliche Arbeitsschritte. Wer führt die Sicherung aus, wer prüft Rückmeldungen, wer beauftragt Wiederherstellung und wer beurteilt anschließend die fachliche Nutzbarkeit? Eine einzige Zeile „Backup: Anbieter“ kann diese Übergaben verdecken.
Formulieren Sie zu jeder relevanten Leistung ein erwartetes Ergebnis und die Voraussetzungen dafür. Wenn der Dienstleister eine Störung nur anhand vollständiger Referenzen untersuchen kann, müssen Sie diese Informationen liefern können. Umgekehrt sollte klar sein, welche technische Auskunft und welcher Tätigkeitsnachweis zurückkommen. So entsteht ein prüfbarer Leistungszusammenhang statt einer Sammlung unverbindlicher Schlagwörter.
3. Vertragsfragen mit einem Nachweiszweck verbinden
Die folgende eigene Matrix ist ein fachlicher Arbeitskatalog, kein fertiger juristischer Mustervertrag. Prüfen Sie bestehende Hauptverträge, Leistungsbeschreibungen und Qualitätsvereinbarungen gemeinsam. Widersprüchliche Begriffe oder unklare Vorrangregeln können dazu führen, dass beide Seiten dieselbe Leistung unterschiedlich verstehen.
Beschreiben Sie besonders die Information, die Sie für eigene Entscheidungen benötigen. Ein Bericht muss nicht pauschal sämtliche vertraulichen Anbieterunterlagen enthalten. Er muss aber für den vereinbarten Zweck verwertbar sein. Welche Details und Zugänge erforderlich sind, hängt von der Tätigkeit, ihrem Risiko und den übrigen Nachweisen ab.
| Thema | Konkrete Frage | Wofür die Antwort gebraucht wird |
|---|---|---|
| Leistungsgrenze | Welche Instanz, Umgebung und Tätigkeit sind umfasst? | Zuordnung zum tatsächlich genutzten System |
| Änderungen | Welche relevanten Änderungen werden wie angekündigt? | Eigene Auswirkungsbewertung vorbereiten |
| Vorfälle | Welche Informationen und Eskalationswege sind vereinbart? | Folgen beurteilen und Maßnahmen abstimmen |
| Daten und Nachweise | Welche Inhalte, Formate und Zugriffswege sind verfügbar? | Untersuchung, Review und Aufbewahrung ermöglichen |
| Weitere Dienstleister | Wie werden Unteraufträge bewertet und vereinbart? | Verantwortungskette nachvollziehen |
| Beendigung | Wie bleiben erforderliche Daten nutzbar? | Kontrollierten Übergang statt unerreichbarem Altbestand sichern |
4. Illustratives Leistungspaket: Wiederherstellung eines Dokumentendiensts
Angenommen, ein Dienstleister betreibt eine Dokumentenanwendung. Der Betrieb steuert SOP-Inhalte, Rollenfreigaben und fachliche Verwendung. Im konstruierten Beispiel umfasst das Paket technische Sicherung und Wiederherstellung, aber keine eigenständige Entscheidung des Dienstleisters, welche SOP für einen Herstellschritt gültig ist.
Das eigene Sollmodell beschreibt die Übergaben bei einer Wiederherstellung. Keine der Angaben behauptet einen realen Vertrag oder eine Herstellerfunktion. Gerade diese Abgrenzung macht den Arbeitskatalog nützlich: Sie können prüfen, ob Ihr tatsächliches Paket die benötigten Schritte abdeckt oder ob eine verantwortliche Stelle fehlt.
| Schritt | Vereinbarte Zuständigkeit im Beispiel | Erwartetes Ergebnis |
|---|---|---|
| Störung eingrenzen | Betrieb meldet betroffene Instanz und Beobachtung | Eindeutiger Auftrag statt unbestimmter Fehlermeldung |
| Wiederherstellung vorbereiten | Dienstleister nennt verfügbaren Stand und Folgen | Betrieb kann möglichen Datenverlust bewerten |
| Technisch durchführen | Dienstleister nach beauftragtem Umfang | Ausgeführte Tätigkeit und Ergebnis nachvollziehbar |
| Fachlich abgleichen | Betrieb prüft relevante Dokument- und Statusstände | Kein ungeprüfter Wechsel auf veraltete SOP |
| Fortsetzung entscheiden | Benannte betriebliche Verantwortung | Begründete Nutzung mit bewerteten offenen Punkten |
5. Anbieterunterlagen nach ihrem wirklichen Umfang nutzen
Bewerten Sie, was ein Auditbericht, Zertifikat oder Validierungspaket tatsächlich zeigt. Ein auf die konkrete Dienstleistung bezogener Nachweis kann relevant sein; eine allgemeine Aussage über das Unternehmen lässt möglicherweise entscheidende Betriebsfragen offen. Weder „belegt alles“ noch „belegt nur Standardfunktionen“ ist ohne Lektüre eine tragfähige Schlussfolgerung.
Vereinbaren Sie den benötigten Zugang so, dass eigene Bewertungen und gegebenenfalls behördliche Einsicht praktisch möglich sind. Annex 11 § 3.4 betrifft Qualitäts- und Auditinformationen zu Lieferanten; Chapter 7 behandelt unter anderem Aufzeichnungen und Auditmöglichkeiten ausgelagerter Tätigkeiten. Vertraulichkeit muss dabei berücksichtigt werden, darf aber benötigte Evidenz nicht durch eine bloße Behauptung ersetzen.
6. Änderungen und Unterauftragnehmer nicht im Kleingedruckten verlieren
Prüfen Sie, welche Veränderungen Ihre Qualitätsentscheidung beeinflussen können: Betriebsort, Datenhaltung, Zugriff, Schnittstellen, Softwarestand oder weitere Dienstleister. Vereinbaren Sie, welche Informationen wann und über welchen Weg bereitgestellt werden, damit Sie angemessen reagieren können. Eine pauschale Frist aus dem Regelwerk lässt sich dafür nicht ableiten.
Chapter 7 behandelt die vorherige Bewertung und Genehmigung von Unterauftragsvereinbarungen. Setzen Sie dies auf die tatsächlich ausgelagerte Tätigkeit um. Eine aktuelle Liste mit Firmennamen allein erklärt noch nicht, was diese Unternehmen tun und welche Daten sie beeinflussen. Änderungen brauchen einen verständlichen fachlichen Bezug und einen nachvollziehbaren Entscheidungsweg.
7. Datenzugang und Ende der Leistung vorab prüfen
Definieren Sie, wie benötigte Daten und ihre relevanten Zusammenhänge bei Vertragsende verfügbar bleiben. Prüfen Sie Format, Vollständigkeit, Lesbarkeit und gegebenenfalls weitere Softwareabhängigkeiten. Ein angebotener Export kann wertvoll sein, muss aber zu Ihren Aufzeichnungen und späteren Verwendungszwecken passen.
Die Vereinbarung sollte auch den Übergang zwischen altem und neuem Betrieb verständlich machen. Wer stellt Unterlagen bereit, wer prüft die Übernahme und welche Unterstützung ist umfasst? Ein vorhandener Exit-Absatz ist kein Nachweis für einen erfolgreichen Datenübergang. Technische und fachliche Eignung müssen im passenden Umfang überprüft werden.
8. Vertrag und gelebten Betrieb zusammen prüfen
Nutzen Sie einen konkreten Vorgang, etwa eine Störung oder geplante Änderung, um die vereinbarten Übergaben durchzugehen. Sind Ansprechpartner erreichbar, Inhalte verständlich und benötigte Nachweise verfügbar? Solche Fragen zeigen Lücken, die in einer rein textlichen Prüfung leicht unentdeckt bleiben.
Für die Bearbeitung benötigen Sie Prozessverantwortung, IT, QA und je nach Fragestellung Einkauf sowie rechtliche Unterstützung. Die fachliche Arbeitshilfe hier ersetzt keine Vertragsrechtsberatung. Ihr Nutzen liegt darin, den eigenen Bedarf so konkret zu formulieren, dass Leistungen vereinbart, bewertet und im Betrieb nachvollzogen werden können.
- Ausgelagerte Tätigkeit und betroffene Systemumgebung eindeutig benannt.
- Leistung, eigene Mitwirkung und Ergebnis pro Schritt geklärt.
- Zugriff auf benötigte Daten, Berichte und Auditinformationen vereinbart.
- Änderungs- und Vorfallkommunikation praktisch durchgesprochen.
- Unteraufträge und Beendigung der Leistung berücksichtigt.
- Offene Leistungs- oder Nachweislücken sichtbar entschieden.
Häufige Fragen zu Lieferantenvertrag
Brauchen wir immer eine separate Qualitätsvereinbarung als eigene Datei?
Die Quellen verlangen geeignete schriftliche beziehungsweise formale Vereinbarungen und klare Verantwortlichkeiten. Daraus folgt nicht zwingend eine bestimmte Dateiaufteilung. Hauptvertrag und Anlagen können zusammenwirken, sofern Inhalt, Geltung und Aktualität eindeutig sind und keine entscheidenden Widersprüche bestehen.
Gilt Annex 11 § 3.1 nur für Cloud-Anbieter?
Nein. Die Passage nennt verschiedene Leistungen Dritter, darunter Installation, Konfiguration, Integration, Wartung und Datenverarbeitung. Entscheidend ist die konkrete Unterstützung des relevanten Systems. Auch interne IT-Abteilungen sind nach der Passage analog zu betrachten; die passende organisatorische Vereinbarung ist zu bestimmen.
Quellen: [1]
Ersetzt eine Lieferantenbewertung den Vertrag?
Nein. Die Bewertung untersucht Eignung und Zuverlässigkeit; die Vereinbarung beschreibt Leistungen und Verantwortung. Die laufende Überwachung betrachtet wiederum die tatsächliche Ausführung. Diese Aufgaben sollten zusammenpassen, können sich aber nicht allein durch denselben abgelegten Bericht gegenseitig ersetzen.
Sind Anbieterzertifikate für den Nachweis wertlos?
Nein. Ihr Nutzen hängt von Gegenstand, Umfang, Aktualität und Bezug zur eingesetzten Leistung ab. Bewerten Sie die tatsächliche Abdeckung. Ein passender Nachweis kann eigene Entscheidungen stützen, während ein unpassender Geltungsbereich wichtige Fragen offenlässt. Pauschale Vollabdeckung wäre ebenso falsch wie pauschale Wirkungslosigkeit.
Welche Meldefrist muss der Vertrag für Störungen enthalten?
Die zitierten Passagen nennen keine allgemeine Stundenfrist für jede IT-Störung. Bestimmen Sie benötigte Information und Reaktionsweg anhand möglicher Folgen und Ihres Prozesses. Vereinbarte Fristen müssen praktisch tragfähig sein und dürfen nicht mit einer erfundenen universellen GMP-Frist begründet werden.
Müssen wir alle Rohunterlagen des Anbieters erhalten?
Definieren Sie, welche Aufzeichnungen und Informationen Sie für Kontrolle, Untersuchung und behördliche Anforderungen benötigen. Nicht jede interne Unterlage ist automatisch relevant. Umfang und Zugangsform müssen jedoch den tatsächlichen Nachweisbedarf tragen; eine Zusammenfassung kann entscheidende Details offenlassen.
Was muss bei Unterauftragnehmern geklärt werden?
Welche Tätigkeit weitergegeben wird, welche Auswirkungen möglich sind und wie Bewertung, Genehmigung und Informationsweitergabe erfolgen. Chapter 7 behandelt diese Verantwortungskette ausdrücklich. Eine Liste von Firmen ohne Leistungsbezug erklärt noch nicht, wer welche Daten und Betriebsaufgaben beeinflusst.
Quellen: [2]
Kann der Anbieter nach Wiederherstellung den GMP-Betrieb freigeben?
Das hängt von der tatsächlich vereinbarten Aufgabe und qualifizierten Verantwortung ab. Eine technische Erfolgsmeldung bestätigt nicht automatisch die fachliche Nutzbarkeit Ihrer Aufzeichnungen. Legen Sie fest, wer Datenstände und Auswirkungen beurteilt und worauf sich die Entscheidung zur Fortsetzung stützt.
Genügt ein Datenexport bei Vertragsende?
Wie beginnen wir bei einem vorhandenen Standardvertrag?
Wählen Sie eine kritische Leistung und verfolgen Sie ihre Übergaben vom Auftrag bis zum nutzbaren Ergebnis. Stellen Sie konkrete offene Fragen zu Verantwortung und Evidenz zusammen. Danach lässt sich gezielt entscheiden, welche Ergänzungen, betrieblichen Kontrollen oder andere Leistungsmodelle erforderlich sind.
Quellen & fachlicher Stand
Quellenstand 07.10.2026. Maßgeblich ist hier der Humanarzneimittel-GMP-Bereich. EudraLex führt Annex 11 und Chapter 4 in der Fassung Januar 2011; der konsultierte Entwurf von 2025 wird nicht als geltende Vorgabe verwendet. Die ausgefüllten Beispiele und Tabellen sind eigene Arbeitshilfen, keine behördlichen Mustervorlagen.
- EU-GMP Annex 11: Computerised SystemsRevision Januar 2011; Anwendungsdatum 30.06.2011; Abruf 07.10.2026. Fundstellen: §§3.1–3.4, 7, 10–13, 16–17
- EU-GMP Chapter 7: Outsourced ActivitiesRevision 1, in Anwendung seit 31.01.2013; Abruf 07.10.2026. Fundstellen: Principle; §§7.1–7.8, 7.11–7.17
- EU-GMP Chapter 4: DocumentationRevision Januar 2011; Anwendungsdatum 30.06.2011; Abruf 07.10.2026. Fundstellen: §§4.1, 4.10–4.12
- PIC/S PI 041-1: Good Practices for Data Management and IntegrityPI 041-1, 01.07.2021; Abruf 07.10.2026. Fundstellen: §9.1.10; §10.3, insbesondere 10.3.5–10.3.6
- Europäische Kommission: EudraLex Volume 4Status am 07.10.2026: Humanarzneimittelabschnitt führt Annex 11 Januar 2011 und Chapter 4 Januar 2011; Abruf 07.10.2026. Fundstellen: Human medicines / Chapter 7 / Annex 11
- Europäische Kommission: Konsultation 2025 zu Chapter 4, Annex 11 und Annex 22Status am 07.10.2026: geschlossen; 07.07.–07.10.2025. Fundstellen: Details; Revision of Annex 11; Links ausdrücklich Draft guidelines. Dient allein der Statusabgrenzung, nicht als geltende Anforderungsquelle.
Zuletzt fachlich geprüft am 07.10.2026.
Daniel Herrmann Consulting
Den konkreten Kontroll- und Nachweisbedarf bearbeiten
Daniel Herrmann Consulting unterstützt Sie dabei, diesen Ablauf auf Ihren Systembestand zu übertragen, Lücken zu bewerten und passende Nachweise vorzubereiten. Umfang und Mitwirkung richten sich nach Ihrem tatsächlichen Prozess.
- IT-GxP-Audit →
Anforderungen, vorhandene Nachweise und relevante Lücken beurteilen.
- IT-GxP-Consulting →
Vereinbarte Bewertungs-, Dokumentations- und Testarbeit im Projekt bearbeiten.
- IT-GxP-Coaching →
Ihr Team bei konkreten Entscheidungen und der Anwendung eigener Verfahren begleiten.
- IT-GxP-Compliance-Programm →
Passende interne Verfahren, Vorlagen und Schulung aufbauen.