Inhaltsverzeichnis
Das Wichtigste vorab
Welche Unterauftragnehmer müssen wir für unseren GMP-Prozess bewerten?
Erfassen Sie die Stellen, die übertragene GMP-relevante Tätigkeiten oder wichtige IT-Leistungen für Ihren Prozess ausführen, und ordnen Sie Aufgaben, Datenzugriff und Nachweise zu. Für die Weitervergabe übertragener Arbeit unter EU-GMP-Kapitel 7 sind vorherige Bewertung und Genehmigung der Vereinbarungen durch den Auftraggeber vorgesehen. Nicht jeder Komponentenhersteller ist deshalb automatisch ein solcher Unterauftragnehmer. Annex 11 ergänzt die passenden Verantwortlichkeiten für IT-Dienstleistungen.
- Die Tätigkeit bestimmt die Bedeutung einer Vertragspartei, nicht allein deren Firmenname.
- Weitervergabe unter Kapitel 7 und allgemeine technische Zulieferung sind sauber abzugrenzen.
- Änderungen müssen die zuständigen Personen rechtzeitig mit verwertbaren Informationen erreichen.
1. Die ausgelagerte Tätigkeit zuerst benennen
Der konkrete Beispielscope ist Humanarzneimittel-GMP. Kapitel 7 behandelt ausgelagerte Tätigkeiten, die unter den GMP-Leitfaden fallen. Annex 11 adressiert zusätzlich Vereinbarungen mit Dritten, die IT-Leistungen wie Installation, Konfiguration, Wartung, Datenverarbeitung oder Aufbewahrung übernehmen.
Beginnen Sie mit einer Beschreibung der tatsächlich übertragenen Arbeit. Der Einkauf eines Servers ist nicht dasselbe wie der Betrieb Ihrer qualitätsrelevanten Anwendung einschließlich Datensicherung. Pauschale Lieferantenkategorien helfen wenig, wenn dadurch die wesentlichen Aufgaben und Eingriffsmöglichkeiten unsichtbar bleiben.
2. Die Leistungskette nach Aufgaben aufzeichnen
Eine einfache Kette kann bereits mehrere Verantwortungsübergänge enthalten. Der direkte Vertragspartner muss wissen, welche Leistungen weitere Stellen erbringen und welche Informationen daraus zurückfließen. Ihr Unternehmen benötigt die für seine Bewertung und Kontrolle relevanten Informationen, ohne jedes technische Detail ungeprüft selbst zu verwalten.
Die eigene Matrix zeigt ein hypothetisches Betriebsmodell. Sie beschreibt keine tatsächliche Architektur eines Herstellers und unterstellt keine vertraglich garantierte Paketabdeckung.
| Stelle | Angenommene Aufgabe | Benötigte Kontrollinformation | Offene Verantwortungsfrage |
|---|---|---|---|
| Pharmaunternehmen | Vorgesehener Einsatz und Qualitätsentscheidungen | Eigener Scope und benötigte Records | Wer bewertet Änderungen für den Prozess? |
| Anwendungsbetreiber | Betrieb, Konfiguration und Support | Änderungen, Störungen und betroffene Funktionen | Wer koordiniert die nachgelagerten Stellen? |
| Hostingdienst | Technische Infrastruktur | Relevante Betriebs- und Standortänderungen | Welche Auswirkungen meldet der Betreiber weiter? |
| Sicherungsdienst | Vereinbarte Sicherung und Wiederherstellung | Umfang, Wiederherstellbarkeit und Störungen | Wer weist den Restore des benötigten Datenstands nach? |
3. Weitervergabe nicht erst nachträglich entdecken
Kapitel 7.11 sieht bei der Weitervergabe übertragener Arbeit eine vorherige Bewertung und Genehmigung der Vereinbarungen durch den Auftraggeber vor. Dieser Punkt darf nicht zu einer unverbindlichen nachträglichen Information abgeschwächt werden. Zugleich muss zuerst geklärt sein, welche Tätigkeit tatsächlich in diesen Scope fällt.
Bei IT-Leistungen sollten die Vereinbarungen den relevanten Umfang und die Verantwortlichkeiten klar beschreiben. Eine allgemeine Webseite mit wechselnden Anbietern kann Informationen liefern, beantwortet aber nicht automatisch die Frage nach Bewertung, Genehmigung und Auswirkungen auf Ihren Prozess. Entscheidend ist die wirksame vertragliche und organisatorische Umsetzung.
4. Eigener Fall: Neuer Sicherungsdienst, gleiche Produktoberfläche
Illustratives Beispiel: Im fiktiven Betriebsmodell bleibt die Anwendungsoberfläche unverändert, während der Betreiber einen anderen Dienst für Sicherungen einsetzen möchte. Drei entscheidende Fragen werden geprüft: Bleibt der vereinbarte Datenumfang erhalten? Funktioniert die Wiederherstellung? Sind Zuständigkeit und Informationsweg passend vereinbart?
Im konstruierten Arbeitsstand sind Datenumfang und Verantwortlichkeit belegt; der Restore des benötigten Datenstands ist noch offen. Zwei geklärte Fragen machen die dritte nicht unwichtig. Der Fall ist keine Empfehlung, eine Änderung trotz offenem kritischen Nachweis pauschal zu akzeptieren. Die zuständige Entscheidung muss die tatsächliche Bedeutung dieser Lücke berücksichtigen.
| Prüffeld | Arbeitsstand im Beispiel | Benötigter Nachweis | Entscheidungsfolge |
|---|---|---|---|
| Datenumfang | Geklärt | Benötigte Records und Konfiguration umfasst | Als vorhandene Evidenz zuordnen |
| Restore | Offen | Geeignete Wiederherstellung einschließlich fachlicher Verfügbarkeit | Lücke vor Nutzungsentscheidung bewerten |
| Verantwortlichkeit | Geklärt | Betreiber koordiniert Dienst und Störungsmeldung | Praktische Erreichbarkeit prüfen |
| Weitervergabe | Scopebezogen zu entscheiden | Erforderliche vorherige Bewertung und Genehmigung | Nicht nur nachträgliche Kenntnisnahme |
| Gesamt | 2 von 3 fachlichen Kernfragen geklärt | Offener Restore bleibt sichtbar | Keine Freigabequote aus der Anzahl ableiten |
5. Lieferantennachweise nach ihrer Aussage prüfen
Ein Auditbericht, ein Zertifikat, eine technische Beschreibung und ein Testprotokoll beantworten unterschiedliche Fragen. Prüfen Sie, auf welche Stelle, Leistung, Umgebung und Zeit sich der jeweilige Beleg bezieht. Ein geeigneter Bericht kann wertvolle Evidenz liefern, ohne automatisch den gesamten kundenspezifischen Prozess abzudecken.
Der erforderliche Bewertungsumfang richtet sich nach der Bedeutung der Tätigkeit. Daraus folgt kein pauschales Vor-Ort-Vollaudit jedes technischen Zulieferers. Kapitel 7 verlangt jedoch geeignete Kontrolle und vereinbarte Auditmöglichkeiten für ausgelagerte Tätigkeiten; Annex 11 nennt einen risikobezogenen Ansatz für die Beurteilung von Lieferanten und Dienstleistern.
6. Den Informationsweg bis zur richtigen Person schließen
Definieren Sie, wer Änderungen und Störungen empfängt, fachlich bewertet und gegebenenfalls eskaliert. Eine Nachricht an ein selten genutztes Einkaufspostfach beweist keine wirksame Qualitätsbewertung. Der Inhalt muss erkennen lassen, was sich ändert und welche Daten, Funktionen oder Betriebsnachweise betroffen sind.
Sinnvoll sind passende Referenzen auf Dienst, Tätigkeit und betroffene Umgebung. Legen Sie außerdem fest, wie fehlende Informationen nachgefordert und offene Punkte verfolgt werden. Eine allgemeine Reaktionsfrist ist hier keine universelle GMP-Zahl; der vereinbarte Ablauf muss zur Kritikalität und zu den Anforderungen der konkreten Tätigkeit passen.
7. Die Kette während Betrieb und Vertragsende aktuell halten
Die ursprüngliche Bewertung bleibt nur dann hilfreich, wenn relevante Änderungen berücksichtigt werden. Dazu können neue Unterauftragnehmer, veränderte Rollen oder ein anderer Ort der Datenspeicherung gehören. Nicht jede organisatorische Änderung erfordert denselben Prüfumfang; ausschlaggebend ist ihre tatsächliche Auswirkung.
Auch beim Ende einer Leistung muss klar sein, welche Records und Informationen verfügbar bleiben und wer die Übergabe unterstützt. Kapitel 7 betont den Zugang zu relevanten Aufzeichnungen. Ein gekündigter Hauptvertrag darf den benötigten Nachweis nicht unbeabsichtigt bei einer nachgelagerten Stelle unzugänglich werden lassen.
8. Checkliste für die nächste Stufe der Lieferkette
Nutzen Sie die Checkliste für einen konkreten Dienst statt für eine abstrakte Anbietergruppe. So lassen sich wesentliche Lücken im Verantwortungs- oder Informationsweg erkennen. Die Anzahl aufgeführter Unternehmen ist kein Maß für die Qualität der Kontrolle.
Die folgende eigene Arbeitshilfe ersetzt keine Prüfung Ihrer tatsächlichen Verträge. Sie hilft, die fachlichen Anforderungen in geeignete Vereinbarungen und wiederkehrende Betriebsentscheidungen zu übersetzen.
- Übertragene Tätigkeit und GMP-/IT-Scope beschrieben.
- Relevante nachgelagerte Stellen mit konkreten Aufgaben erfasst.
- Vorherige Bewertung und Genehmigung bei einschlägiger Weitervergabe geregelt.
- Passende Lieferantenevidenz auf Leistung und Umgebung bezogen.
- Änderungs- und Störungsinformationen fachlich verwertbar vereinbart.
- Verantwortungen für Daten, Wiederherstellung und Zugriff geklärt.
- Übergabe und Verfügbarkeit erforderlicher Records am Vertragsende berücksichtigt.
Häufige Fragen zu GxP-Unterauftragnehmer
Ist jeder Cloudanbieter automatisch GMP-Unterauftragnehmer?
Das entscheidet sich nicht allein am Begriff Cloud. Bestimmen Sie die übertragene Tätigkeit und die Rolle der Stelle. Kapitel 7 und Annex 11 können relevante Anforderungen tragen, aber ein beliebiger Komponentenhersteller ist nicht ohne Weiteres derselbe Fall wie ein Dienst, der Ihre GMP-Daten verarbeitet.
Reicht eine öffentlich verfügbare Unterauftragnehmerliste?
Darf der Betreiber übertragene GMP-Arbeit beliebig weitergeben?
Kapitel 7.11 sieht dafür vorherige Bewertung und Genehmigung der Vereinbarungen durch den Auftraggeber vor. Prüfen Sie zuerst den konkreten Scope. Ein allgemeiner Hinweis auf wirtschaftliche Flexibilität ersetzt diese fachliche und vertragliche Kontrolle nicht.
Quellen: [1]
Müssen wir jeden Unterauftragnehmer vor Ort auditieren?
Nicht pauschal. Umfang und geeignete Nachweise richten sich nach Tätigkeit und Risiko. Vereinbarte Auditmöglichkeiten und eine belastbare Bewertung bleiben wichtig. Ein risikobezogenes Vorgehen ist weder ein automatischer Voll-Audit-Zwang noch eine Begründung, relevante Informationen ungeprüft zu lassen.
Kann die direkte Vertragspartei alle Informationen für uns bündeln?
Ja, ein klarer koordinierter Informationsweg kann sinnvoll sein. Er muss die für Ihre Entscheidungen erforderlichen Inhalte tatsächlich liefern. Verantwortlichkeiten und Zugriff auf relevante Nachweise dürfen nicht dadurch verloren gehen, dass die nächste Stelle formal außerhalb Ihres direkten Vertrags steht.
Quellen: [1]
Wer bleibt für unseren vorgesehenen GMP-Einsatz verantwortlich?
Die Verantwortung des Auftraggebers für die geeignete Kontrolle ausgelagerter Tätigkeiten verschwindet nicht durch die Kette. Der Auftragnehmer trägt seine vereinbarten Aufgaben. Deshalb sind Zuständigkeiten und Nachweise so festzulegen, dass Ihre konkrete Prozessbewertung möglich bleibt.
Ist ein Sicherheitszertifikat als Nachweis wertlos?
Nein. Es kann für die darin tatsächlich abgedeckten Leistungen und Kontrollen relevant sein. Prüfen Sie Umfang, Zeitraum und Grenzen. Es beantwortet aber nicht automatisch jede Frage zur kundenspezifischen Datenverarbeitung, Wiederherstellung oder fachlichen Verwendung Ihrer Anwendung.
Muss jede Veränderung an der Lieferkette erneut vollständig bewertet werden?
Was tun wir, wenn der Dienstleister keine ausreichenden Angaben liefert?
Benennen Sie die konkrete offene Frage und deren Bedeutung für Ihren Prozess. Fordern Sie geeignete Informationen nach und entscheiden Sie nachvollziehbar über weitere Schritte. Fehlende Auskunft ist kein Beleg für niedrigen Einfluss oder für eine bereits erfüllte Kontrollverantwortung.
Welche Frage sollten KMU zuerst klären?
Quellen & fachlicher Stand
Quellenstand: 7. Oktober 2026. Ausgelagerte Tätigkeiten im konkreten Humanarzneimittel-GMP-Prozess; andere GxP- und Datenschutzregeln separat. Tabellen und Fallbeispiele sind eigene illustrative Arbeitshilfen, keine durchgeführten Kunden- oder Produkttests. Entwurfsfassungen begründen keine geltenden Zusatzpflichten.
- EU-GMP Kapitel 7: Ausgelagerte TätigkeitenRevision 1; anwendbar seit 31. Januar 2013; 7.1–7.8 Auftraggeber und Kontrolle; 7.11–7.12 Weitervergabe/Änderungen; 7.14–7.17 Vertrag, Records und Auditmöglichkeiten
- Europäische Kommission: EU-GMP Annex 11, Computerised SystemsRevision Januar 2011; seit 30.06.2011; 3.1–3.4 Lieferanten/Dienstleister und Vereinbarungen; 7.1–7.2 Daten-/Wiederherstellungsnachweise; 10 Änderungen
- PIC/S: PI 041-1, Data Management and IntegrityPI 041-1, 01.07.2021; 9.1.10 ausgelagerte Systeme und 10.1–10.3 Datenintegrität in der Lieferkette
- EMA/ICH: Q9(R1), Quality Risk ManagementEMA/CHMP/ICH/24235/2006 Corr.2; Veröffentlichung 31.01.2025; Q9(R1) wirksam seit 26.07.2023; 3 Prinzipien; 4.3–4.6 Risikobewertung/Kontrolle/Review; 5.1 angemessene Formalität
Zuletzt fachlich geprüft am 07.10.2026.
Daniel Herrmann Consulting
Verantwortung über die Vertragsgrenze hinaus klären
Wir unterstützen Sie bei der fachlichen Einordnung Ihrer Leistungskette, passenden Lieferantennachweisen und praktikablen Informations- und Änderungswegen.
- IT-GxP-Audit →
Vorhandene Kontrollen und offene Nachweisfragen gezielt prüfen.
- IT-GxP-Compliance-Programm →
Verantwortung, Regelwerk und wiederverwendbare Abläufe im IT-GxP-Compliance Framework verbinden.
- IT-GxP-Coaching →
Ihr Team bei eigenen Bewertungen, Tests und nachvollziehbaren Entscheidungen begleiten.
- IT-GxP-Consulting →
Die konkrete Analyse und Umsetzung im vereinbarten Projektumfang unterstützen.