eDMS-Anforderungen für Biotechs und CROs: Was ein GxP-konformes Dokumentenmanagement leisten muss (2026)

Welche regulatorischen Anforderungen muss ein GxP-eDMS erfüllen?

Ein GxP-eDMS muss für die USA 21 CFR Part 11, für EU-GMP den Annex 11 und für klinische Prüfungen ICH E6(R3) sowie die EMA-Guideline zu computerisierten Systemen erfüllen. Gemeinsamer Nenner aller Regelwerke ist die Datenintegrität nach ALCOA+: Records müssen zuordenbar, unveränderbar nachvollziehbar und dauerhaft verfügbar sein. Welche Regeln konkret greifen, hängt davon ab, welche Dokumente das System verwaltet und in welchen Märkten das Unternehmen tätig ist.

21 CFR Part 11: Wann ist ein Dokument ein „electronic record“?

21 CFR Part 11 gilt nach §11.1(b) für elektronische Records, die aufgrund einer FDA-Vorschrift (Predicate Rule) erstellt, geändert, gepflegt, archiviert oder übermittelt werden, sowie für Records, die der FDA elektronisch eingereicht werden. Eine SOP, ein Prüfplan oder ein Monitoringbericht, der im eDMS statt auf Papier geführt wird, fällt damit in den Geltungsbereich. Die Kernanforderungen stehen in §11.10: Validierung (a), vollständige und lesbare Kopien (b), Schutz der Records über die Aufbewahrungsfrist (c), Zugriffsbeschränkung (d), computergenerierter, zeitgestempelter Audit Trail (e), Betriebs-, Berechtigungs- und Gerätechecks (f bis h), Schulung (i), Verantwortlichkeitsregeln (j) und Kontrolle der Systemdokumentation (k).

Für Signaturen verlangt §11.50 eine Manifestation mit gedrucktem Namen, Datum und Uhrzeit sowie Bedeutung (z. B. Review, Freigabe); §11.70 fordert, dass Signaturen so mit dem Record verknüpft sind, dass sie nicht entfernt, kopiert oder übertragen werden können. §11.100 bis §11.300 regeln Eindeutigkeit der Signatur, die schriftliche Zertifizierung gegenüber der FDA, zwei Identifikationskomponenten (z. B. Benutzer-ID und Passwort) und Passwortkontrollen. Die FDA-Guidance „Scope and Application“ von 2003 kündigte Durchsetzungsermessen für Validierung, Audit Trail, Kopien, Aufbewahrung und Altsysteme an, nicht aber für Zugriffskontrollen und Signaturen; Predicate Rules bleiben ohnehin voll anwendbar.

Die finale FDA-Guidance „Electronic Systems, Electronic Records, and Electronic Signatures in Clinical Investigations: Questions and Answers“ (Oktober 2024, Revision 1) präzisiert dies für klinische Prüfungen: Records dürfen in Cloud-Diensten aufbewahrt werden, sofern Authentizität, Integrität und Metadaten gesichert sind (Q5); Validierung erfolgt risikobasiert, wobei die Dokumentation eines IT-Dienstleisters geprüft werden kann (Q7); Sponsoren sollen ein Datenflussdiagramm vorhalten (Q8); die FDA prüft Systeme nicht vorab, sondern erst bei der Inspektion (Q16). Für verantwortliche Organisationen bleibt die Pflicht, Part-11-Konformität auch bei ausgelagerten IT-Diensten sicherzustellen. Einen vertieften Leitfaden zu 21 CFR Part 11 und elektronischen Signaturen gibt es separat.

EU GMP Annex 11: gültige Fassung und Revisionsentwurf

Gültig ist weiterhin der Annex 11 von 2011 mit Risikomanagement, Lieferantenvereinbarungen, Validierung, Audit Trail, elektronischer Signatur, Datenspeicherung, Backup, Archivierung und Business Continuity. Am 7. Juli 2025 veröffentlichten EU-Kommission und PIC/S einen Revisionsentwurf (19 Seiten, 17 Kapitel) zusammen mit einem überarbeiteten Kapitel 4 und einem neuen Annex 22 zu KI; die Konsultation endete am 7. Oktober 2025. Stand Oktober 2026 ist keine finale Fassung veröffentlicht; laut GuideGxP (Stand September 2026) wird der Abschluss für Annex 11, Annex 22 und Kapitel 4 zwischen Ende 2026 und 2027 erwartet, wobei die Anwendungsdaten in den finalen Texten festgelegt werden, typischerweise mit einer Übergangsfrist von 6 bis 12 Monaten.

Für Dokumentenmanagement relevant sind vor allem: persönliche Konten ohne Shared Accounts (11.1), Multifaktor-Authentifizierung für Fernzugriff auf kritische Systeme (11.6), Trennung von GMP-Nutzern und Administratoren (11.10), dokumentierte und unabhängige Audit-Trail-Reviews (12.5, 12.6), vollständige, durchsuchbare elektronische Kopien inklusive Audit Trail (12.9), Verträge mit Dienstleistern, die eine Exit-Strategie und Tests neuer Versionen vor Release regeln (7.5), sowie schreibgeschützte Archivierung mit Integritätsprüfung (17.1, 17.2). Wer heute ein eDMS auswählt, sollte gegen den Entwurf prüfen, weil Inspektoren dessen Erwartungen bereits als Stand der Technik lesen.

ICH E6(R3): Was ändert sich für Sponsoren und CROs?

ICH E6(R3) erreichte am 6. Januar 2025 Step 4; Principles und Annex 1 gelten in der EU seit 23. Juli 2025. Annex 2 (dezentrale und pragmatische Elemente, Real-World-Daten) wurde laut ICH am 3. Juni 2026 verabschiedet und tritt in der EU am 15. Januar 2027 in Kraft. Neu gegenüber E6(R2) ist ein eigener Abschnitt 4 zu Data Governance mit Anforderungen an den Datenlebenszyklus, Metadaten und Audit Trails (4.2) sowie computerisierte Systeme (4.3). Sponsoren sollen ein Verzeichnis wichtiger Systeme mit Validierungsstatus und Verantwortlichkeiten führen und sicherstellen, dass Validierung, Audit Trail, Benutzerverwaltung, Backup und Disaster Recovery angemessen umgesetzt sind. Aus den „Essential Documents“ wurden technologieneutrale „Essential Records“ (Appendix C), was dem elektronischen TMF und eDMS ausdrücklich Raum gibt.

ALCOA+ und Datenintegrität: Was bedeutet das technisch?

ALCOA steht für Attributable, Legible, Contemporaneous, Original und Accurate; ALCOA+ ergänzt Complete, Consistent, Enduring und Available. Maßgebliche Leitlinien sind die MHRA „GXP Data Integrity Guidance and Definitions“ (2018), die FDA-Q&A „Data Integrity and Compliance With Drug CGMP“ (2018), PIC/S PI 041-1 (in Kraft seit 1. Juli 2021) und WHO TRS 1033 Annex 4 (2021). Die EMA-Guideline zu computerisierten Systemen in klinischen Prüfungen (verabschiedet März 2023, gültig seit 10. September 2023) verwendet den Begriff ALCOA++ und betont zusätzlich die Rückverfolgbarkeit.

• Attributable: persönliche Konten, keine Sammelzugänge, Signatur und Audit-Trail-Eintrag mit Benutzer-ID.
• Legible: Dokumente und Metadaten in lesbaren, offenen Formaten über die gesamte Frist.
• Contemporaneous: systemseitige, synchronisierte Zeitstempel mit Zeitzone.
• Original: eindeutige Master-Version; Kopien nur als zertifizierte Kopien mit Metadaten.
• Accurate: Pflichtfelder, Plausibilitätsprüfungen, kontrollierte Vorlagen.
• Complete: keine Löschung ohne Spur; ersetzte Versionen bleiben erhalten.
• Consistent: definierte Status und Workflows für alle Dokumentarten.
• Enduring: Backup, Restore-Tests, Archivierung mit Integritätsprüfung.
• Available: Suche, Export und Lesezugriff für Inspektoren jederzeit.

Wie schwer Defizite wiegen, zeigen die GCP-Inspektionsmetriken der MHRA für 2018/19: Bei 4 von 8 inspizierten kommerziellen Sponsoren gab es mindestens ein kritisches Finding, insgesamt 7 kritische Findings, davon 2 direkt zum Trial Master File. Neuere amtliche Gesamtauswertungen mit vergleichbarer Aufschlüsselung lagen bei Redaktionsschluss nicht vor.

Was muss ein Audit Trail in einem GxP-eDMS erfassen?

Ein GxP-Audit-Trail muss automatisch und unveränderbar festhalten, wer (Benutzer und Rolle) was (Dokument, alter und neuer Wert) wann (Datum, Uhrzeit, Zeitzone) und warum geändert hat. Er darf von keinem Nutzer editiert oder deaktiviert werden, muss so lange aufbewahrt werden wie der Record selbst und regelmäßig risikobasiert überprüft werden. Ein reines Zugriffsprotokoll auf Dateiebene erfüllt diese Anforderungen nicht.

Die Regelwerke setzen unterschiedliche Schwerpunkte. Part 11 §11.10(e) verlangt einen computergenerierten, zeitgestempelten Audit Trail, der vorherige Informationen nicht überschreibt; die FDA-Q&A 2024 (Q12) nennt als Pflichtbestandteile Datum und Uhrzeit, die handelnde Person mit Benutzer-ID und Rolle sowie alten und neuen Wert, den Änderungsgrund „falls zutreffend“, und empfiehlt ein durchsuchbares, sortierbares Format. Annex 11 (2011) fordert den Audit Trail risikobasiert und eine regelmäßige Überprüfung. Die EMA-Guideline 2023 verlangt einen sicheren, im System gespeicherten Audit Trail und Verfahren für risikobasierte, studienspezifische Reviews. Der Annex-11-Entwurf ist am strengsten: Das System soll bei jeder Wertänderung den Grund automatisch abfragen (12.2), Reviews sollen nach dokumentiertem Verfahren durch nicht beteiligte Personen erfolgen (12.5, 12.6), und flache, gesperrte Exportdateien gelten als nicht ausreichend (12.9).

Welche elektronische Signatur braucht ein GxP-eDMS?

Für GxP reicht in geschlossenen Systemen eine validierte elektronische Signatur mit eindeutiger Authentifizierung, Zeitstempel, Bedeutung und untrennbarer Verknüpfung zum Dokument; eine qualifizierte elektronische Signatur nach eIDAS ist dafür nicht vorgeschrieben. Die EMA-Guideline 2023 (Abschnitt 4.8) stellt klar, dass die eIDAS-Verordnung (EU) 910/2014 nach ihrem Art. 2 Abs. 2 für geschlossene Systeme nicht gilt; dort muss die Signaturfunktion in der Validierung nachgewiesen werden. Nur in offenen Systemen, in denen Unterzeichner nicht vorab bekannt sind, sollen Signaturen an EU-Standorten eIDAS erfüllen.

eIDAS und die Novelle eIDAS 2.0 ((EU) 2024/1183) unterscheiden einfache, fortgeschrittene und qualifizierte Signaturen; nur die qualifizierte Signatur ist der handschriftlichen rechtlich gleichgestellt. Diese Stufen beantworten eine zivilrechtliche Frage, nicht die GxP-Frage. Der Annex-11-Entwurf verlangt Re-Authentifizierung bei jeder Signatur (13.3), Abfrage der Bedeutung (13.5), eine Manifestation mit vollem Namen, Benutzername, Rolle, Bedeutung, Datum und Uhrzeit (13.6) und verweist nur für offene Systeme oder bei anderweitiger gesetzlicher Pflicht auf vertrauenswürdige Dienste (13.2). Nationale Vorgaben, etwa für die elektronische Einwilligung von Studienteilnehmern oder Behördeneinreichungen, können eine höhere Signaturstufe verlangen und sind gesondert zu prüfen.

Wie funktionieren Versionierung, Freigabe und Aufbewahrung in einem GxP-eDMS?

Ein GxP-eDMS bildet den vollständigen Dokumentenlebenszyklus ab: Entwurf, Review, Freigabe, gültig ab Effective Date, periodische Überprüfung, ersetzt und archiviert. Nur die gültige Version darf in Gebrauch sein, obsolete Versionen bleiben unveränderbar erhalten, und jede Freigabe wird elektronisch signiert. Lesebestätigungen und Schulungsnachweise verknüpfen neue SOP-Versionen mit den betroffenen Mitarbeitern.

Grundlage im GMP-Bereich ist EU GMP Teil I Kapitel 4 (Dokumentation), das genehmigte, datierte und versionsgesteuerte Dokumente sowie den Schutz vor unbeabsichtigter Verwendung überholter Fassungen verlangt; in den USA entsprechen dem für Arzneimittel 21 CFR 211.100 und 211.186. Für Medizinprodukte gilt seit 2. Februar 2026 die Quality Management System Regulation (21 CFR 820), die ISO 13485:2016 mit ihren Anforderungen an Dokumentenlenkung per Verweis übernimmt. ICH Q10 verankert Dokumentenlenkung im pharmazeutischen Qualitätssystem, und ICH E6(R3) erwartet von Sponsoren und CROs SOP-gestützte Prozesse. Kontrollierte Ausdrucke sollten als solche gekennzeichnet und nachverfolgbar sein.

Die Aufbewahrungsfristen bestimmen die Architektur. Nach Art. 58 der EU-Verordnung 536/2014 ist der Inhalt des Trial Master File mindestens 25 Jahre nach Studienende zu archivieren, auf Medien, die Vollständigkeit und Lesbarkeit sichern, und jede Änderung muss nachvollziehbar sein. Die Richtlinie (EU) 2017/1572 (Art. 9) verlangt die Aufbewahrung der Chargendokumentation mindestens ein Jahr nach Verfall oder fünf Jahre nach Zertifizierung durch die sachkundige Person, je nachdem, was länger ist; für Prüfpräparate nennt Kapitel 4 fünf Jahre nach Abschluss der letzten Studie. Praktisch bedeutet das: Export in offene, langzeitstabile Formate (z. B. PDF/A) mit Metadaten und Audit Trail, dokumentierte Migrationen und ein Archivkonzept, das den Wechsel des Anbieters übersteht.

CSV oder CSA: Wie wird ein eDMS validiert?

Ein eDMS wird heute risikobasiert validiert: Der Testaufwand richtet sich nach dem Einfluss einer Funktion auf Produktqualität, Patientensicherheit und Datenintegrität, nicht nach einem einheitlichen IQ/OQ/PQ-Schema. Klassische Computer System Validation und Computer Software Assurance schließen sich nicht aus; CSA ist eine Ausprägung desselben risikobasierten Denkens mit stärkerem Fokus auf kritisches Denken und weniger Dokumentationsballast.

Die FDA veröffentlichte die finale Guidance „Computer Software Assurance for Production and Quality System Software“ am 24. September 2025 (Entwurf September 2022). Sie gilt formal für Produktions- und Qualitätssystemsoftware von Medizinprodukteherstellern und ersetzt Abschnitt 6 der „General Principles of Software Validation“. Ihre Kernideen (bestimmungsgemäßer Gebrauch, Risikoeinstufung, Einsatz ungeskripteter und explorativer Tests bei geringem Risiko, Nutzung von Lieferantennachweisen) sind auf Pharma und Biotech übertragbar, aber dort nicht bindend. Zu beachten ist eine Spannung: Der Annex-11-Entwurf erwartet ausgeführte Testskripte, wo relevant mit Screenshots (9.4), und eine Rückverfolgbarkeit jedes Tests zu einer Anforderung (9.5).

Den methodischen Rahmen liefert ISPE GAMP 5 Second Edition (Juli 2022). Sie betont kritisches Denken, die Nutzung von Lieferantendokumentation und Lieferantenaudits, den Umgang mit SaaS und Cloud sowie agile Entwicklungsmodelle. Ein konfigurierbares eDMS ist typischerweise Softwarekategorie 4; Kategorie 5 betrifft individuell entwickelte Anpassungen, die deutlich mehr Testaufwand erfordern.

Was bedeutet vorvalidiert bei einem eDMS?

„Vorvalidiert“ bedeutet, dass der Anbieter die Standardfunktionen seines Systems unter einem eigenen Qualitätsmanagementsystem getestet hat und diese Nachweise als Validierungspaket bereitstellt. Es bedeutet nicht, dass das System für den Einsatz beim Kunden validiert ist. Die Validierung für den eigenen Verwendungszweck und die Freigabe bleiben Pflicht des regulierten Unternehmens.

Ein Anbieter kann typischerweise liefern: Anforderungs- und Funktionsspezifikationen, ausgeführte Testprotokolle, Traceability Matrix, Release Notes mit Risikobewertung, Nachweise zum Lieferanten-QMS sowie Unterstützung bei Audits und Inspektionen. Beim Kunden verbleiben: eigene User Requirements, eine dokumentierte Risikobewertung, Prüfung und Freigabe der Lieferantendokumentation, PQ bzw. User Acceptance Testing für die eigenen Prozesse und Konfigurationen, SOPs, Schulung und die Freigabe zur Nutzung.

Die Regelwerke sind eindeutig. Der Annex-11-Entwurf stellt fest, dass der regulierte Anwender voll verantwortlich bleibt, wenn er sich auf Qualifizierung oder Betrieb durch Anbieter stützt (7.1), und dass er Lieferantendokumentation sorgfältig prüfen und autorisieren muss (9.9); bereits Annex 11 (2011) verlangt in Abschnitt 3, mitgelieferte Dokumentation gegen die User Requirements zu prüfen. Die EMA-Guideline 2023 erlaubt in Annex 2 (A2.1), sich auf Validierungsunterlagen des Anbieters zu stützen, wenn diese geprüft und als angemessen bewertet wurden; die letztliche Verantwortung bleibt beim verantwortlichen Sponsor oder Prüfer, und Inspektoren erhalten Zugang zur vollständigen Dokumentation einschließlich der eigenen Lieferantenbewertung. Dienstleister, die keinen Zugang zu Dokumentation oder Inspektionen gewähren, sollen nach dieser Guideline nicht eingesetzt werden. Die FDA-Q&A 2024 (Q7) sieht ebenfalls vor, dass Validierungsdokumentation auch des IT-Dienstleisters bei Inspektionen verfügbar sein muss.

Fair betrachtet reicht Lieferantendokumentation weitgehend für unveränderte Standardfunktionen eines Anbieters mit auditiertem QMS. Zu Findings führt dagegen, wenn Unternehmen ein Zertifikat oder Validierungspaket ungeprüft übernehmen, keine eigenen Anforderungen definieren, Konfigurationen nicht testen oder SaaS-Updates ohne Bewertung übernehmen. Für kontinuierliche Releases sollten Verträge Vorankündigung, Release Notes mit Auswirkungsanalyse und eine Testumgebung vor dem Produktiv-Rollout vorsehen, wie es Annex-11-Entwurf 7.5 und die EMA-Guideline (6.7) beschreiben; intern gehört jedes Release in die Change Control mit dokumentierter Bewertung.

Was ist der Unterschied zwischen eDMS, eQMS und eTMF?

Ein eDMS verwaltet kontrollierte Dokumente wie SOPs, Richtlinien und Formulare über ihren Lebenszyklus; ein eQMS ergänzt die Qualitätsprozesse CAPA, Abweichungen, Change Control, Audits, Schulung und Lieferantenmanagement; ein eTMF verwaltet die Essential Records einer klinischen Studie. Die Systeme überlappen bei SOPs, Schulungsnachweisen und Dokumenten-Change-Control. Welches System nötig ist, hängt vom Umfang eigener GxP-Aktivitäten ab, nicht von der Unternehmensgröße allein.

Ein eTMF strukturiert Studiendokumente meist nach dem TMF Reference Model, dessen Version 3.3.1 (August 2023) nach Angaben von Just In Time GCP, Mitglied des Steering Committee, eine Branchenverbreitung von über 90 % hat und laut Kivo die Basis der meisten produktiven eTMF-Systeme bildet; auf der CDISC + TMF US Interchange in Nashville im Oktober 2025 gab das TMF-Projektteam bekannt, dass die geplante Version 4 zu Version 1 eines formalen, digitalen und maschinenlesbaren CDISC TMF Standard weiterentwickelt wird, dessen Veröffentlichung laut Just In Time GCP für 2027 vorgesehen ist. Inhaltliche Erwartungen formuliert die EMA-„Guideline on the content, management and archiving of the clinical trial master file“ (EMA/INS/GCP/856758/2018), unter anderem zu Vollständigkeit, Inspection Readiness und direktem Lesezugriff für Inspektoren.