GxP-Integrität, 21 CFR Part 11 und DSGVO: was passiert, wenn drei Regulierungsregime kollidieren

Es geht um das, was Praktiker die „regulatorische Kollision“ nennen: den Moment, in dem GxP-Anforderungen an die Datenintegrität, die Regeln für elektronische Aufzeichnungen nach 21 CFR Part 11 und das Recht auf Löschung nach DSGVO unvereinbare Dinge vom selben Datensatz verlangen. Das ist kein Compliance-Sonderfall. Für jedes Pharmaunternehmen, das klinische Studien in der EU unter Aufsicht der US-FDA durchführt, ist es eine strukturelle Bedingung des Tagesgeschäfts.

Die Verwirrung entsteht, wenn man diese drei Frameworks als parallele Spalten in einer Checkliste behandelt. Sie sind nicht parallel. Sie widersprechen sich auf konkrete, vorhersehbare Weise, und der CDO, der diese Widersprüche nicht kartiert hat, entdeckt sie während einer Inspektion statt in einer Gap-Analyse.

Warum das gerade für diese Rolle zählt

Ein CDO im Consumer Retail oder in Financial Services hat mit Datenschutzrecht und vielleicht einigen branchenspezifischen Datenregeln zu tun. Der Pharma-CDO hat es mit etwas kategorisch anderem zu tun: Datensätze, die gleichzeitig dem Recht zur wissenschaftlichen Integrität, der Regulierung elektronischer Systeme und dem Grundrechtsschutz unterliegen, teils für dieselbe Zeile in derselben Datenbank.

GxP, die Familie der Good-Practice-Leitlinien für Herstellung (GMP), Labore (GLP), klinische Studien (GCP) und Vertrieb (GDP), verlangt, dass Daten zuordenbar, lesbar, zeitnah, original und korrekt sind. Das Akronym lautet ALCOA, und jede größere Aufsichtsbehörde von der FDA bis zu EMA und MHRA behandelt es als Grundlinie der Datenintegrität. ALCOA bedeutet: Sie kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen keinen Datensatz löschen, ohne eine Spur zu hinterlassen. Jede Änderung muss zeigen, wer sie vorgenommen hat, wann und warum.

21 CFR Part 11, die FDA-Regel für elektronische Aufzeichnungen und elektronische Signaturen, operationalisiert die GxP-Integrität für digitale Systeme. Sie schreibt Audit Trails vor, die Datum und Uhrzeit von Bedienereingaben, computergenerierte Zeitstempel und Aufzeichnungen aller Änderungen an Datensätzen erfassen. Der Datensatz muss so lange aufbewahrt werden, wie es die jeweilige Predicate Rule verlangt, was bei klinischen Daten Jahrzehnte bedeuten kann.

Die DSGVO, konkret Artikel 17, gibt EU-Betroffenen das Recht auf Löschung ihrer personenbezogenen Daten. Artikel 5(1)(e) verlangt, dass personenbezogene Daten nicht länger als nötig gespeichert werden. Beide Vorschriften sind von nationalen Datenschutzbehörden durchsetzbar, die keine Zuständigkeit für die Integrität klinischer Daten haben und kein besonderes Bewusstsein dafür, was eine Predicate Rule ist.

Die Kollision ist nicht theoretisch. Ein Studienteilnehmer, der in Deutschland in eine Phase-III-Studie eingeschlossen wird, hat DSGVO-Rechte an seinen personenbezogenen Daten. Dieselben Daten, verknüpft mit Wirksamkeits- und Sicherheitsaufzeichnungen, können von der FDA als Teil des NDA-Dossiers (New Drug Application) für 15 Jahre nach der Zulassung verlangt werden. Ein Löschverlangen in seiner konventionellen Form zu erfüllen, würde den Audit Trail beschädigen und könnte die Studiendaten für die FDA unbrauchbar machen.

Wie es tatsächlich funktioniert: die Mechanik

Die Rechtsgrundlage, die den größten Teil dieser Spannung auflöst, ist DSGVO Artikel 17(3)(b), der eine Aufbewahrung „zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten“ erlaubt. Klinische Studiendaten, die nach der EU-Verordnung über klinische Prüfungen Nr. 536/2014 und den ICH E6(R2) GCP-Leitlinien aufbewahrt werden, fallen darunter. Das Recht auf Löschung ist für diese Daten ausgesetzt, nicht vollständig aufgehoben.

Die praktische Architektur, die daraus folgt, hat drei Komponenten.

Erstens trennen Sie Identität und klinischen Datensatz schon bei der Datenerfassung. Der Sponsor hält die Zuordnung von Code zu Teilnehmer; das Studienzentrum hält den identifizierbaren Datensatz. Die Studiendatenbank hält pseudonymisierte Daten, verknüpft über den Code. Das ist Standardpraxis, aber hier zählt sie, weil sie eine Datenarchitektur schafft, in der eine DSGVO-Löschung teilweise erfüllt werden kann (durch Zerstörung des Verknüpfungsschlüssels), ohne den wissenschaftlichen Datensatz anzutasten.

Zweitens bauen Sie Consent- und Zweckregister, die rechtlich getrennt von der Studienaufzeichnung selbst sind. Die Einwilligungserklärung, das Teilnehmer-Identifikationslog und der Audit Trail der Einwilligungswiderrufe sind personenbezogene Daten nach DSGVO und unterliegen anderen Aufbewahrungsfristen als die Wirksamkeits- oder Sicherheitsdaten, auf die sie sich beziehen. Sie in einer einzigen Tabelle zu vermischen, ist ein Designfehler mit echten regulatorischen Folgen. Für eine ausführliche Behandlung der Frage, wie Consent-Architektur mit den Grenzen der De-Identifizierung klinischer Daten zusammenspielt, lohnt es sich,die Mechanik von Consent und De-Identifizierung sorgfältig durchzuarbeiten.

Drittens dokumentieren Sie jede Aufbewahrungsentscheidung mit ausdrücklicher Nennung der Rechtsgrundlage. Wenn die CNIL, der deutsche BfDI oder das ICO fragt, warum Sie die Daten eines namentlich benannten Patienten halten, ist „weil die FDA das sagt“ keine Antwort. Die Antwort ist eine kartierte Kette: Predicate Rule, Aufbewahrungsfrist, Rechtsgrundlage nach DSGVO Artikel 6(1)(c) oder (b) für Studienteilnehmer und die Ausnahme nach Artikel 17(3)(b), angewandt speziell auf den GxP-Datensatz.

Ein konkretes Beispiel: Die globalen Clinical-Data-Management-Teams von Roche führen, wie die meisten großen Sponsoren, getrennte Datendomänen für Teilnehmerkennungen und Studienbeobachtungen, verknüpft über Randomisierungscodes in validierten Systemen unter 21 CFR Part 11-Kontrollen. Der Audit Trail dieser Systeme ist unveränderlich. Das Consent-Register liegt außerhalb der Studiendatenbank und hat seine eigene, an der DSGVO ausgerichtete Aufbewahrungsfrist. Löschverlangen werden gegen das Consent-Register bearbeitet; der klinische Datensatz selbst ist nach der oben genannten Ausnahme rechtlich vor Löschung geschützt.

Wann dieses Framework funktioniert und wann nicht

Diese Architektur bewältigt den Standardfall gut: ein Teilnehmer, der seine Einwilligung nach Abschluss der Teilnahme widerruft. Der klinische Datensatz wird aufbewahrt; die Einwilligungsunterlagen folgen ihrer eigenen Frist; die Zuordnung von Code zu Teilnehmer kann zerstört werden, wenn die Studie abgeschlossen ist und eine Re-Identifizierung operativ nicht mehr erforderlich ist.

Sie bewältigt nicht jeden Fall. Ein Teilnehmer, der während einer laufenden Studie eine Löschung verlangt, erzeugt ein Datenqualitätsproblem, das keine Architektur vollständig löst. Die FDA erwartet vollständige Datensätze. Einen Teilnehmer mitten aus einer laufenden Studie zu entfernen, beeinflusst die statistische Integrität und muss ohnehin im klinischen Studienbericht berichtet werden.Zu verstehen, was GxP auf Systemebene tatsächlich verlangt, macht deutlich, warum eine teilweise Löschung fast nie ein zulässiges Ergebnis ist, sobald Daten in ein validiertes System eingegangen sind.

Das Framework tut sich auch mit Legacy-Systemen schwer. Viele Pharmaunternehmen halten klinische Daten noch in Systemen, die vor Existenz der DSGVO entworfen wurden und deren Audit-Trail-Architektur rein um 21 CFR Part 11 herum gebaut war. Einem CTMS oder EDC, das Teilnehmerkennungen und Beobachtungen im selben SchemaSchemaA schema is the formal blueprint that defines how data is structured, named, typed, and related within a database, file, or message.Vollständige Definition ansehen → speichert, nachträglich eine DSGVO-Consent-Schicht aufzusetzen, ist teuer und erfordert manchmal eine vollständige Datenmigration, validiert nach GAMP 5. Diese Validierung selbst erzeugt Aufzeichnungen, die Part 11 unterliegen.

Der CDO, der diese Kollisionspunkte versteht, kann echte Architekturentscheidungen treffen, bevor Systeme gebaut werden, und nicht erst nachdem die Inspektoren eingetroffen sind. Trennung von Identität und Beobachtung auf Schemaebene, explizite Zuordnung der Rechtsgrundlage für jede Aufbewahrungsklasse und validierte Audit Trails, die sowohl die Dokumentationsanforderungen der FDA als auch die der DSGVO erfüllen, sind keine konkurrierenden Optionen. Sie sind dasselbe Governance-Problem, von verschiedenen Seiten angegangen, und die Aufgabe ist, ein einziges Datenmodell zu entwerfen, das alle drei zugleich beantwortet.

Der komplette Kurs zu dieser Branche:Daten in der Pharmaindustrie.