Inhaltsverzeichnis
Das Wichtigste vorab
Was muss bei Ausfall der Safety-Datenbank weiter funktionieren?
Sie brauchen einen geregelten Weg zur Annahme und Sicherung neuer Informationen, zur fachlichen Fristenbewertung sowie zur Bearbeitung und notwendigen Übermittlung. Der Ersatzablauf muss zwischen eigenem Systemausfall und bestätigten Störungen bei EudraVigilance unterscheiden. Nach Wiederanlauf sind offene Vorgänge und Übermittlungsstatus abzugleichen. Eine wieder erreichbare Anwendung oder ein Versandprotokoll beweist allein noch keinen vollständig aufgearbeiteten Rückstau.
- Annahme, Bewertung, Nachrichtenerstellung und Übertragung können getrennt ausfallen.
- Ein eigener Ausfall setzt Meldefristen nicht automatisch aus.
- Wiederanlauf ist erst mit kontrollierter Nachbearbeitung und Statusabgleich abgeschlossen.
Den betroffenen PV-Prozess bestimmen
Dieser Leitfaden betrifft die Pharmakovigilanz zugelassener Humanarzneimittel und die einschlägigen EU-Übermittlungswege. Er behandelt keinen allgemeinen IT-Notfallplan und überträgt keine GMP-Anforderung ungeprüft auf GVP. GVP Modul I ordnet kritische PV-Prozesse und deren Kontinuität ein; der EU ICSR Implementation Guide unterscheidet konkrete technische Störungen bei der Übermittlung.
Ermitteln Sie zuerst, was tatsächlich betroffen ist. Können Mitarbeiter Meldungen noch empfangen, aber keine Fälle öffnen? Ist nur die XML-Erzeugung gestört? Ist die eigene Nachricht versandt, aber die Verarbeitung beim Empfänger noch unklar? Diese Unterschiede bestimmen, welche Informationen verfügbar bleiben und welche Ersatzhandlung überhaupt sinnvoll ist.
Vier Störungsbilder mit unterschiedlichen Folgeschritten
Die eigene Arbeitsmatrix verbindet das Störungsbild mit einer offenen fachlichen Frage. Sie ersetzt keine aktuelle technische Verfahrensanweisung von EMA oder Ihrem Dienstleister. Prüfen Sie insbesondere vor der Nutzung alternativer Kanäle, ob diese für die konkrete Situation vorgesehen und verfügbar sind.
| Störung | Fachliche Frage | Geeigneter Nachweis |
|---|---|---|
| Safety-Datenbank nicht zugänglich | Welche Eingänge und Nachträge bleiben außerhalb des Systems? | Geschütztes Ersatzregister mit Zuordnung und Eingang |
| Nachrichtenerstellung gestört | Welche bewerteten Fälle können noch nicht versandt werden? | Offene Übermittlungsliste mit Priorisierung |
| Transport gestört | Welche Nachrichten haben den vorgesehenen Empfänger erreicht? | Transportstatus und dokumentierte Klärung |
| EMA-Verarbeitung oder Rückmeldung ungeklärt | Welche Fälle sind angenommen, abgelehnt oder noch offen? | Zugeordnete Acknowledgements und aktueller Störungsbezug |
Neue Informationen im Ersatzbetrieb sichern
Ein vorbereitetes Ersatzregister sollte Fallbezug, Informationsquelle, Eingangszeit und zuständige Bearbeitung sichtbar halten. Welche weiteren Angaben benötigt werden, hängt vom konkreten Prozess ab. Zugangsschutz und geeignete Sicherung gelten auch für befristete Hilfsmittel; ein frei zugängliches Tabellenblatt wird nicht durch die Bezeichnung Notfallregister geeignet.
Bewahren Sie Anhänge mit ihrer Zuordnung und dem tatsächlichen Eingang auf. Bereits bekannte Fallnummern erleichtern die spätere Übernahme, doch fehlender Datenbankzugriff kann die Zuordnung zunächst offenlassen. Kennzeichnen Sie diese Unsicherheit ausdrücklich. Ein vorläufiger Eintrag darf nicht als abgeschlossene Fallbewertung oder bereits erfolgte Behördenmeldung erscheinen.
Fristen während der Störung fachlich bewerten
Ein unternehmenseigener Ausfall schafft keine allgemeine Fristverlängerung. Der EU ICSR Implementation Guide beschreibt für verschiedene bestätigte EMA-Störungen besondere Abläufe; diese sind nicht auf jede lokale Störung übertragbar. Dokumentieren Sie, welche Störung vorliegt, seit wann sie bekannt ist und welche betroffenen Meldungen fachlich priorisiert werden.
Ein technischer Zeitstempel beantwortet nicht, wann ein gültiger Fall oder relevante neue Information bekannt wurde. Halten Sie daher den ursprünglichen Eingang und die spätere Erfassung auseinander. Können fristgerechte Übermittlungen gefährdet sein, müssen die zuständigen PV-Stellen den vorgesehenen Klärungs- und Kommunikationsweg nutzen. Ein Supportticket allein ist keine Entscheidung über Meldepflicht oder Frist.
Sollfall: fünf Übermittlungen mit drei unterschiedlichen Status
Illustratives Beispiel: Nach einem Ausfall sind fünf erwartete Fallübermittlungen aufzuarbeiten. Zwei sind mit einem passenden positiven Fall-Acknowledgement bestätigt. Eine ist abgelehnt; zwei weitere sind noch ungeklärt. Alle fünf sind in der Versandliste sichtbar, aber nur zwei erfüllen den hier definierten Abschlusszustand einer bestätigten Annahme.
Die Rechnung lautet 2 bestätigt + 1 abgelehnt + 2 ungeklärt = 5 erwartete Übermittlungen. Das ergibt zunächst drei offene Klärungs- oder Bearbeitungsaufträge. Es sind keine drei neuen Sicherheitsfälle. Die abgelehnte Meldung benötigt Fehlerklärung und gegebenenfalls eine korrigierte Übermittlung; bei den ungeklärten Meldungen wird zunächst der tatsächliche Empfangs- und Verarbeitungsstatus festgestellt.
Würde das Team alle fünf Nachrichten ungeprüft erneut versenden, könnten zusätzliche Unklarheiten entstehen. Der Sollablauf prüft deshalb vorhandene Rückmeldungen, Nachrichtenzuordnung und aktuelle Empfängerinformationen. Wann eine erneute Übermittlung richtig ist, hängt vom jeweiligen Fehler- und Empfangsstatus ab; die Tabelle behauptet keine universelle Wiederholungsregel.
| Vorgänge | Status | Anzahl | Nächster Schritt |
|---|---|---|---|
| A und B | Positive Fallannahme zugeordnet | 2 | Bestätigten Stand sichern; keine unbegründete Neusendung |
| C | Fall abgelehnt | 1 | Fehler und erforderliche Korrektur klären |
| D und E | Verarbeitung ungeklärt | 2 | Status ermitteln; nächsten Schritt begründen |
| Gesamt | Fünf erwartete Übermittlungen | 5 | Drei offene Aufträge gezielt schließen |
Datenübernahme und Rückstau getrennt abschließen
Nach technischer Wiederherstellung müssen die während der Störung gesicherten Informationen in den vorgesehenen Arbeitsablauf übergehen. Prüfen Sie die Zuordnung zu bestehenden Fällen, Anhänge, Eingangszeiten und bereits erfolgte Aktionen. Sonst können manuell bearbeitete Nachträge als neue Fälle erscheinen oder schon übermittelte Stände nochmals als unerledigt verarbeitet werden.
Der technische Wiederanlauf und die fachliche Rückstandsbereinigung brauchen jeweils einen erkennbaren Status. Ein Restore kann die Anwendung wieder verfügbar machen, ohne nach dem Sicherungszeitpunkt eingegangene Informationen zu enthalten. Vergleichen Sie deshalb die im Ersatzbetrieb geführten Vorgänge mit dem wiederhergestellten Bestand und den Übermittlungsrückmeldungen. Der erforderliche Umfang ergibt sich aus dem tatsächlichen Datenweg und Ausfall.
Checkliste für einen nutzbaren Ausfallablauf
Für kleine Teams ist ein kurzer, zugänglicher Ablauf mit erreichbaren Vertretern oft hilfreicher als ein umfangreiches Dokument, auf das während des Ausfalls niemand zugreifen kann. Prüfen Sie den Ersatzweg anhand realistischer Vorgänge, einschließlich eines bereits bekannten Falls mit neuem Nachtrag.
Die Checkliste ist eine eigene Planungshilfe. Sie nennt keine feste allgemeine Wiederherstellungszeit und verlangt keinen vollständigen Wiederholungstest aller Funktionen nach jedem Vorfall.
- Ist die Störung fachlich und technisch eingegrenzt?
- Bleiben Eingang, Quelle und Anhänge geschützt verfügbar?
- Sind Verantwortlicher und Vertretung erreichbar?
- Wer beurteilt Fristwirkung und notwendige Kommunikation?
- Sind zulässige Ersatzwege bekannt und zugänglich?
- Werden Annahme, Ablehnung und ungeklärter Status getrennt?
- Sind Ersatzregister, Datenbank und Rückmeldungen nach Wiederanlauf abgeglichen?
- Sind Auswirkungen und erforderliche Maßnahmen nachvollziehbar bewertet?
Aus dem Vorfall gezielt Maßnahmen ableiten
Bewerten Sie nach der Aufarbeitung, ob Informationen verloren gingen, falsch zugeordnet wurden oder verspätet bearbeitet beziehungsweise gemeldet wurden. Unterscheiden Sie bestätigte Auswirkungen von noch offenen Fragen. Eine verzögerte technische Antwort bedeutet nicht automatisch, dass die Meldung nicht eingegangen ist; umgekehrt belegt ein erfolgreicher Versand keine fachliche Annahme.
Leiten Sie Maßnahmen an der tatsächlichen Ursache aus: fehlender Zugang zum Ersatzregister, unklare Vertretung, missverstandene Rückmeldung oder unvollständiger Wiederabgleich. Entscheidend ist, ob die korrigierte Arbeitsweise beim nächsten entsprechenden Störungsbild funktioniert. Der Aufwand hängt stärker von Datenwegen und offenen Zuständigkeiten ab als von der Zahl der Seiten im Notfallplan.
Häufige Fragen zu Ausfall der Safety-Datenbank
Reicht das tägliche Backup als PV-Ausfallkonzept?
Nein. Ein Backup unterstützt die Wiederherstellung, beantwortet aber nicht, wie während der Störung neue Informationen angenommen, Fristen bewertet und notwendige Meldungen bearbeitet werden. Ebenso bleibt zu klären, wie zwischenzeitliche Informationen nach Wiederanlauf übernommen werden. Diese Aufgaben benötigen einen zum konkreten PV-Prozess passenden Kontinuitätsablauf.
Quellen: [1]
Verlängert ein Ausfall unserer Safety-Datenbank die Meldefrist?
Nicht automatisch. Der eigene Ausfall ist von bestätigten EMA-Störungen zu unterscheiden, für die der Implementation Guide besondere Abläufe beschreibt. Prüfen Sie die betroffenen Vorgänge und den zutreffenden Kommunikationsweg. Ein interner Vorfallbericht oder eine Hersteller-Störungsmeldung allein verändert die geltende Meldefrist nicht.
Ist eine Message Disposition Notification schon die Fallannahme?
Nein. Der Guide unterscheidet die technische Empfangsbestätigung auf Transportebene von der weiteren Verarbeitung und den Acknowledgements. Ordnen Sie die jeweilige Rückmeldung der richtigen Nachricht und dem richtigen Fall zu. Ein positiver Transportstatus darf nicht als pauschaler Beleg für eine akzeptierte Fallübermittlung behandelt werden.
Quellen: [3]
Was bedeutet eine fehlende Rückmeldung?
Zunächst einen ungeklärten Status. Die Nachricht kann noch in Verarbeitung sein, die Rückmeldung kann fehlen oder ein technisches Problem kann vorliegen. Prüfen Sie die verfügbaren Statusinformationen und den vorgesehenen Klärungsweg, bevor Sie über eine erneute Übermittlung entscheiden. Fehlende Rückmeldung und bestätigte Ablehnung sind unterschiedliche Sachverhalte.
Quellen: [3]
Dürfen wir bei einer Störung einfach einen anderen Versandweg wählen?
Nutzen Sie nur einen für die konkrete Situation vorgesehenen und aktuell geeigneten Weg. Historische Hinweise auf Ersatzmedien sind keine allgemeine Freigabe beliebiger Kanäle. Format, Schutz, Zuständigkeit und Empfang müssen passen. Der aktuelle EMA-Ablauf und Ihre vorbereitete Verfahrensanweisung sind deshalb vor einer improvisierten Übermittlung zu prüfen.
Welche Angaben braucht ein vorläufiges Ausfallregister?
Als eigene Arbeitshilfe sollten mindestens die für Zuordnung und Weiterbearbeitung erforderlichen Informationen erkennbar sein: Quelle, Eingang, bekannter Fallbezug, neue Inhalte, Verantwortlicher und offener Status. Der konkrete Umfang folgt aus Ihrem Datenweg. Zugangsschutz und Nachvollziehbarkeit dürfen durch den befristeten Einsatz nicht verloren gehen.
Müssen alle Nachrichten nach Wiederanlauf erneut gesendet werden?
Nein, nicht ungeprüft. Bereits bestätigte Annahmen, echte Ablehnungen und ungeklärte Status erfordern unterschiedliche Schritte. Klären Sie zuerst Nachrichtenzuordnung und vorhandene Rückmeldungen. Eine Wiederholung soll den konkreten Fehler beheben und darf nicht durch einen pauschalen Neustart zusätzliche Dubletten oder widersprüchliche Bearbeitungsstände erzeugen.
Quellen: [3]
Wann ist der Ausfall fachlich abgeschlossen?
Wenn die betroffenen Informationen und Vorgänge kontrolliert weiterbearbeitet, offene Übermittlungsstatus geklärt und mögliche Auswirkungen bewertet sind. Die Anwendung kann vorher technisch wieder verfügbar sein. Für den Abschluss sollten verbleibende Aufgaben und Verantwortlichkeiten erkennbar sein; ein grüner Verfügbarkeitsmonitor ersetzt diese Bewertung nicht.
Muss nach jedem Ausfall die gesamte Software erneut validiert werden?
Eine solche pauschale Vorgabe ergibt sich aus den hier verwendeten Quellen nicht. Untersuchen Sie Ursache, Änderungen und tatsächliche Auswirkungen und bestimmen Sie daraus geeignete Nachweise. Ein unveränderter Wiederanlauf, eine korrigierte Konfiguration und eine neue Softwareversion sind unterschiedliche Situationen. Der fortgesetzte sichere PV-Betrieb muss jeweils begründet werden.
Quellen: [1]
Wie kann ein kleines Team den Ersatzablauf sinnvoll erproben?
Verwenden Sie wenige aussagekräftige Sollfälle: einen neuen Eingang, ein Follow-up zu einem bestehenden Fall und eine ungeklärte Übermittlung. Prüfen Sie Zuständigkeit, Informationssicherung und Wiederabgleich. Das ist eine eigene Testempfehlung; Umfang und Häufigkeit richten sich nach Ihrem Prozess und Risiko, nicht nach einer universellen Anzahl von Übungen.
Quellen & fachlicher Stand
Quellenstand: 7. Oktober 2026. Der EU ICSR Implementation Guide liegt als Revision 2 von März 2021 zugrunde. Konkrete aktuelle Ersatzkanäle und technische Betriebsinformationen sind situationsbezogen zu prüfen. Das Zahlenbeispiel ist eine eigene Arbeitshilfe.
- EMA: GVP Modul I – Pharmakovigilanzsysteme und QualitätssystemeEMA/541760/2011; anwendbar seit 02.07.2012; I.B.10–11.3, S. 9–12
- EMA: GVP Modul VI – Sammlung, Bearbeitung und Übermittlung von VerdachtsfällenRev. 2, 28.07.2017; anwendbar seit 22.11.2017; VI.B.2–B.5 und B.7, S. 14–18 und 21–22
- EMA: EU ICSR Implementation GuideEMA/51938/2013 Rev. 2, März 2021; I.C.2.1.6–.8, S. 17–21; Unterschiede von MDN, Nachrichten- und Fall-Acknowledgements
Zuletzt fachlich geprüft am 07.10.2026.
Daniel Herrmann Consulting
Den PV-Ersatzbetrieb praktisch vorbereiten
Wir helfen Ihnen, Ausfallszenarien in konkrete Zuständigkeiten, geeignete Hilfsmittel und überprüfbare Wiederanlaufkriterien zu übersetzen. Dabei verbinden wir fachliche PV-Abläufe mit den tatsächlichen IT-Abhängigkeiten.
- IT-GxP-Audit →
Kontrollen und Nachweise im abgegrenzten Pharmakovigilanzprozess auf konkrete Lücken prüfen.
- IT-GxP-Compliance-Programm →
Verantwortung, Nachweisführung und laufende Verbesserung im IT-GxP-Compliance Framework verbinden.
- IT-GxP-Coaching →
Ihr Team bei der eigenen Bewertung und nachvollziehbaren Umsetzung begleiten.
- IT-GxP-Consulting →
Datenwege, Anforderungen und geeignete Prüffälle gemeinsam ausarbeiten.