Wenn Datenintegrität auf das Recht auf Vergessenwerden trifft: Lösung des Konflikts zwischen 21 CFR Part 11 und GDPR

Ein umfassender Leitfaden für Führungskräfte im Bereich Life Sciences zur Navigation der strukturellen Compliance-Spannung zwischen den elektronischen Aufzeichnungsanforderungen der FDA und den europäischen Datenschutzrechten.

Datenintegrität oder Datenschutz? Warum die Pharmaindustrie nicht leicht wählen kann

Stellen Sie sich Folgendes vor: Ein leitender Validierungswissenschaftler kündigt in Ihrer in der EU ansässigen pharmazeutischen Produktionsstätte. Drei Monate später trifft eine formelle Anfrage von seinem Rechtsvertreter ein. Nach dem Datenschutz-Grundverordnung (DSGVO) setzen sie ihr Recht auf Löschung gemäß Artikel 17 durch. Sie verlangen, dass jede Aufzeichnung mit ihrem Namen, ihrer Unterschrift und ihrer beruflichen Historie aus Ihren Systemen gelöscht wird.

Ihr Rechts­team stuft die Anfrage als berechtigt ein. Ihr Qualitäts­sicherungs­team meldet ein anderes Problem. Nach 21 CFR Part 11 verlangt die US FDA, dass elektronische Aufzeichnungen für die vollständige gesetzliche Aufbewahrungsfrist korrekt, vollständig, abrufbar und unverändert bleiben. Die Chargenunterlagen, die dieser Wissenschaftler unterschrieben hat, könnten sich noch in ihrer Aufbewahrungsfrist befinden. Die Audit-Trail-Einträge mit ihren elektronische Signaturen können nicht einfach gelöscht werden, ohne die Datenintegrität.

Dies ist kein hypothetischer Randfall. Es handelt sich um eine strukturelle Compliance-Spannung, zu der jedes in der EU ansässige Life-Sciences-Unternehmen mit Export in die USA eine dokumentierte Stellungnahme haben muss. Dennoch hat weniger als ein Drittel der Organisationen einen formellen Datenaufbewahrungsplan, der dieses Problem behandelt.

Der Konflikt liegt am Schnittpunkt zweier gleichermaßen legitimer regulatorischer Ziele. 21 CFR Part 11-Konformität dient dem Schutz der Integrität und Rückverfolgbarkeit von Aufzeichnungen, die die Produktqualität und Patientensicherheit untermauern. DSGVO-Datenschutz dient dem Schutz von Personen davor, dass ihre personenbezogenen Daten länger als erforderlich aufbewahrt werden. Beide sind verbindlich. Keines ist optional.

Was gilt als personenbezogene Daten innerhalb eines Pharma-QMS?

Bevor der Konflikt gelöst werden kann, müssen Führungskräfte dessen Umfang verstehen. Die Definition von personenbezogene Daten nach der GDPR ist bewusst weit gefasst. Alle Daten, die mit einer identifizierbaren lebenden Person in Verbindung stehen, fallen darunter. Innerhalb eines typischen pharmazeutischen Qualitätsmanagementsystem (QMS) umfasst dies weit mehr als Mitarbeiter­namen und Kontakt­daten.

Das Verständnis dieser Matrix ist der erste Schritt zur Risikostratifizierung. Die schärfsten Konflikte entstehen dort, wo dasselbe Datenelement gleichzeitig für regulatorische Rückverfolgbarkeit und einem berechtigten Löschersuchen nach DSGVO Artikel 17.

Verpflichtungen zur Datenintegrität enden nicht bei elektronischen Unterschriften und Audit-Trails.

Digitale EM-Systeme, LIMS und eQMS-Plattformen haben jeweils ihre eigene 21 CFR Part 11 Compliance-Folgenabschätzung.

→ Lesen: Digitales EM: Die Reinräume der Pharmaindustrie transformieren

Aufbewahrung von Aufzeichnungen nach 21 CFR Part 11: Was die Vorschrift tatsächlich verlangt

Die Aufbewahrungspflichten gemäß 21 CFR Part 11 stehen nicht isoliert. Sie leiten ihre Rechtsgrundlage aus den vom FDA sogenannten „predicate rules“ ab – den zugrunde liegenden Vorschriften, die überhaupt erst die Erstellung des Datensatzes verlangen. Part 11 legt anschließend Anforderungen fest, wie diese Aufzeichnungen in elektronischer Form zu führen sind.

Die für die Herstellung am relevantesten predicate rule ist 21 CFR 211.180, die festlegt, dass Aufbewahrung von Chargenaufzeichnungen bis ein Jahr nach dem Verfallsdatum der Charge oder drei Jahre nach der Distribution der letzten Losnummer der zutreffenden OTC-Arzneimittelprodukte läuft. Für Produkte in aktiven regulatorischen Dossiers kann die Aufbewahrung von Aufzeichnungen deutlich länger andauern.

Die Position der FDA ist unmissverständlich: Wo immer eine predicate rule eine Aufzeichnung verlangt, muss diese Aufzeichnung mit derselben Integrität geführt werden, unabhängig davon, ob der Mitarbeiter, der sie erstellt hat, noch beschäftigt ist. Die Aufzeichnung gehört nicht der Person. Sie gehört zur regulatorischen Historie des Produkts.

„Starke Datenintegrität ist die Grundlage regulatorischen Vertrauens. Kontinuierliche, Echtzeit-Überwachung der Compliance ermöglicht es Organisationen, auditbereite elektronische Aufzeichnungen zu führen und gleichzeitig das betriebliche Risiko zu reduzieren.“

— Instem Compliance Research, 2026

Das Recht auf Löschung der DSGVO: Einschränkungen stärker als angenommen

Das Recht auf Vergessenwerden unter DSGVO Artikel 17 ist eine der am häufigsten zitierten Bestimmungen der Verordnung. Es ist zugleich eine der am meisten missverstandenen. Das Recht ist bedingt und enthält ausdrückliche Ausnahmen, die direkt für die Aufbewahrungspflichten in der Pharmaindustrie relevant sind.

Dies ist eine strukturelle Anerkennung, dass Datenschutz mit anderen legitimen gesellschaftlichen Interessen koexistieren muss, einschließlich regulatorischer Compliance und Patientensicherheit. Die Europäischer Datenschutzausschuss (EDPB) hat wiederholt klargestellt, dass, wo eine gesetzliche Verpflichtung die Aufbewahrung verlangt, Löschanträge während des aktiven Aufbewahrungszeitraums abgelehnt werden können.

Wichtig ist, dass die DSGVO klinische Studiendaten von der vollen Wirkung des Rechts auf Löschung ausnimmt, wenn die Löschung die Erreichung der Forschungsziele „unmöglich machen oder ernsthaft beeinträchtigen“ würde. Das ICO (UK Information Commissioner’s Office) hat bestätigt, dass eine Ablehnung gerechtfertigt ist, wenn die Löschung die Integrität eines Studiendatensatzes untergraben würde.

Die Ausnahme ist jedoch zeitlich begrenzt und zweckgebunden. Sobald die gesetzliche Aufbewahrungspflicht erlischt, entfällt die Ausnahme. Organisationen können regulatorische Anforderungen nicht unbegrenzt als Grundlage anführen, personenbezogene Daten länger aufzubewahren, als diese Anforderungen tatsächlich verlangen.

Drei Konfliktszenarien und wie man sie navigiert

Branchenexperten identifizieren konsistent drei unterschiedliche Szenariotypen, in denen die 21 CFR Part 11 und DSGVO Spannungen operational werden. Jeder erfordert einen differenzierten Ansatz.

Ein risikobasierter Rahmen für doppelte Compliance

Der Weg zur nachhaltigen 21 CFR Part 11 und DSGVO Doppel-Compliance führt über Policy-Architektur, nicht über Einzelfallfeuerwehrarbeit. Organisationen, die diesen Konflikt erfolgreich gelöst haben, behandeln ihn als ein Daten-Governance Problem, das systemische Lösungen erfordert.

Schritt 1: Erstellen Sie ein Daten- und Akteninventar

Kartieren Sie jede Kategorie elektronischer Aufzeichnungen in Ihrem eQMS, LIMS und verwandten Systemen. Für jede Kategorie dokumentieren Sie die maßgebliche Vorschrift, die sie verlangt, die anwendbare Aufbewahrungsfrist und ob sie personenbezogene Daten enthält. Das Inventar sollte erfassen: den Zweck der Erhebung, die Erhebungsmethode, die anwendbare Aufbewahrungsfrist, Sicherheits- und Zugriffskontrollen, ob die Daten mit Dritten geteilt werden und die rechtliche Grundlage der Aufbewahrung.

Schritt 2: Etablieren Sie eine Doppelzweck-Aufbewahrungsrichtlinie

Eine einheitliche Aufbewahrungsrichtlinie, die sowohl die Anforderungen der 21 CFR Datenintegrität als auch die Grundsätze der DSGVO Datenminimierung abdeckt, ist erreichbar, erfordert jedoch bewusstes Formulieren. Die Richtlinie muss zwischen Aufzeichnungen unterscheiden, die zu regulatorischen Zwecken aufbewahrt werden (wo die DSGVO-Ausnahme gilt), und personenbezogenen Daten, die aus betrieblichen Gründen aufbewahrt werden (wo sie nicht gilt). Die regulatorische Aufbewahrung ist die Untergrenze, jedoch keine pauschale Erlaubnis, alles unbegrenzt zu behalten.

Schritt 3: Definieren Sie die technische Reaktion auf Löschersuchen

Wenn ein Löschersuchen eingeht, benötigt die Organisation einen dokumentierten Workflow: Erstbewertung anhand des Dateninventars, Feststellung, ob eine Aufbewahrungsausnahme greift, ein definierter Eskalationspfad falls rechtliche Stellungnahme erforderlich ist, eine standardisierte Antwort an die betroffene Person und ein Audit-Trail-Eintrag, der die Entscheidung und deren regulatorische Grundlage dokumentiert, unabhängig davon, ob dem Antrag stattgegeben oder er abgelehnt wird.

Schritt 4: Implementieren Sie Pseudonymisierung, wo technisch machbar

In einigen Aufzeichnungskategorien kann es technisch möglich sein, dem Geist eines DSGVO-Löschersuchens gerecht zu werden, ohne die regulatorische Aufzeichnung zu löschen. Pseudonymisierung ersetzt direkte Identifikatoren durch einen Code, der ohne separat gehaltener Schlüssel nicht umkehrbar ist, und verringert so das Risiko der Verarbeitung personenbezogener Daten, während die Integrität der zugrundeliegenden Aufzeichnung erhalten bleibt. Dieser Ansatz sollte für jede Aufzeichnungskategorie bewertet werden und ist nicht universell auf alle Audit-Trail- oder elektronische Signatur-Kontexte anwendbar.

Ein Rahmen für doppelte Compliance erfordert mehr als Richtlinien; er verlangt ein Qualitätssystem, in dem die Fähigkeiten den Verpflichtungen entsprechen.

Warum Pharmas Qualitätssysteme scheitern, wenn Menschen Verfahren verstehen, aber nicht die dahinterstehenden Prinzipien.

→ Lesen: Warum pharmazeutische Qualitätssysteme ohne Kompetenzaufbau scheitern

Häufig gestellte Fragen

Kann ein ehemaliger Mitarbeiter rechtlich die Löschung seiner elektronischen Signaturen aus Chargenprotokollen erzwingen?

Nicht während der aktiven gesetzlich vorgeschriebenen Aufbewahrungsfrist. In Chargenprotokollen eingebettete elektronische Signaturen sind gemäß 21 CFR Part 11 und der anwendbaren zugrunde liegenden Vorschrift (z. B. 21 CFR 211.180) für die Dauer des Aufbewahrungszeitraums dieses Protokolls geschützt. Das Recht auf Löschung nach der DSGVO hebt keine gesetzliche Aufbewahrungspflicht auf. Nach Ablauf der Aufbewahrungsfrist sollten die Daten auf die Löschung personenbezogener Identifikatoren überprüft werden, die keinen regulatorischen Zweck mehr erfüllen.

Deckt die Forschungsfreistellung der DSGVO alle pharmazeutischen Daten ab, einschließlich Herstellungsunterlagen?

Nein. Die Forschungsfreistellung der DSGVO (Artikel 17(3)(d)) gilt am deutlichsten für klinische Studiendaten, bei denen eine Löschung die Forschungsziele ernsthaft beeinträchtigen würde. Herstellungs-, QA- und kommerzielle Chargenunterlagen stützen ihren Aufbewahrungsschutz auf die Ausnahme wegen gesetzlicher Verpflichtungen nach Artikel 17(3)(b). Die Unterscheidung ist wichtig, da die rechtliche Grundlage korrekt in Ihrem Datenverzeichnis und in jeder Antwort auf eine Betroffenenanfrage dokumentiert sein muss.

Wie sollte ein Audit-Trail-Eintrag aussehen, wenn wir eine DSGVO-Löschanfrage ablehnen?

Beste Praxis ist es, die Ablehnung im Audit-Trail mit einem ausdrücklichen Verweis auf die rechtliche Grundlage zu protokollieren. Zum Beispiel: 'Löschanfrage des Betroffenen erhalten [Datum]. Aufbewahrung erforderlich gemäß 21 CFR 211.180 als zugrunde liegende Vorschrift; regulatorische Aufbewahrungsfrist endet [Datum]. DSGVO Artikel 17(3)(b)-Ausnahme angewendet. Anfrage abgelehnt. Antwort an Betroffenen gesendet [Datum].' Dieser Audit-Trail-Eintrag schafft eine Compliance-Dokumentation, die sowohl bei FDA- als auch bei DSGVO-Aufsichtsbehörden überprüfbar ist.

Ist Pseudonymisierung eine akzeptable Alternative zur Löschung gemäß DSGVO?

Pseudonymisierung verringert das Risiko für personenbezogene Daten und kann in einigen Dokumentenkategorien die praktische Absicht einer Löschanfrage erfüllen. Sie stellt jedoch keine Löschung im Sinne der DSGVO dar. Der Ansatz ist am besten begründbar, wenn er mit einer dokumentierten Aufbewahrungsrechtfertigung kombiniert wird und die Re-Identifizierung durch aufbewahrte Schlüssel­daten technisch kontrolliert ist. Holen Sie immer eine rechtliche Stellungnahme ein, bevor Sie Pseudonymisierung als Ersatz für eine formale Löschentscheidung behandeln.

Welches Risiko besteht aus Sicht der behördlichen Durchsetzung, wenn wir Fehler machen?

Die Durchsetzungsrisiken laufen in beide Richtungen. Das Löschen von Aufzeichnungen zur Erfüllung einer DSGVO-Anfrage, obwohl eine Part-11-Aufbewahrungspflicht gilt, setzt die Organisation dem Risiko von FDA-Warnschreiben aus. Die FDA hat allein im Geschäftsjahr 2024 über 47 Warnschreiben an Geräteunternehmen herausgegeben, von denen viele Datenintegritätsmängel nannten, die mit unsachgemäßer Aktenänderung übereinstimmen. Umgekehrt setzt die Ablehnung einer berechtigten DSGVO-Löschanfrage ohne dokumentierte rechtliche Rechtfertigung die Organisation der Durchsetzung durch die DSGVO-Aufsichtsbehörde aus, die Bußgelder von bis zu EUR 20 Millionen oder 4% des weltweiten Jahresumsatzes gemäß DSGVO Artikel 83 verhängen kann.

Quellen und Zitate

1. U.S. Food and Drug Administration. 21 CFR Part 11: Electronic Records; Electronic Signatures - Geltungsbereich und Anwendung. FDA Guidance. Updated January 2024. https://www.fda.gov

2. European Parliament and Council. General Data Protection Regulation (GDPR) - Regulation (EU) 2016/679. Articles 17, 83; Recitals 65, 66. https://gdpr-info.eu

3. U.S. Code of Federal Regulations. 21 CFR § 211.180: Records and Reports - Allgemeine Anforderungen. https://www.accessdata.fda.gov

4. U.S. Code of Federal Regulations. 21 CFR § 211.25: Personnel Qualifications. Electronic Code of Federal Regulations.

5. IntuitionLabs AI. 21 CFR Part 11 Compliance: Anforderungen und Datenintegrität. 2026. https://intuitionlabs.ai

6. Instem Life Science Software. Wie man Datenintegrität stärkt und die Einhaltung von 21 CFR Part 11 sicherstellt. January 2026. https://www.instem.com

7. Qualityze. Was ist FDA 21 CFR Part 11? Ein vollständiger Leitfaden. April 2026. https://www.qualityze.com

8. SimplerQMS. FDA 21 CFR Part 11 Audit Trails: Definition, Anforderungen und Compliance. March 2026. https://simplerqms.com

9. GDPR Info. Artikel 17 GDPR - Recht auf Löschung (Recht, vergessen zu werden). https://gdpr-info.eu/art-17-gdpr/

10. Information Commissioner's Office (ICO). Research Exemptions under UK GDPR - Right to Erasure. https://ico.org.uk

11. Vivenics. Können Teilnehmer an klinischen Studien die Löschung ihrer personenbezogenen Daten verlangen? December 2023. https://vivenics.com

12. Norton Rose Fulbright. Die Auswirkungen der DSGVO auf die klinische Forschung. https://www.nortonrosefulbright.com

13. PharmaTimes. Auf einer Need-to-Know-Basis: DSGVO und klinische Studien. März 2019. https://pharmatimes.com

14. NCBI Bookshelf. Die Datenschutz-Grundverordnung (DSGVO) der EU im Forschungskontext. 2018. https://www.ncbi.nlm.nih.gov/books/NBK543521/

15. SOCRA. Überblick über die DSGVO für Organisationen der klinischen Forschung. 2020. https://www.socra.org

16. Scilife. Umgang mit Konflikten zwischen 21 CFR Part 11 und DSGVO (Expert consultation: Yves Dene, Neeru Bakshi). Aktualisiert Februar 2026. https://www.scilife.io/blog/conflict-between-21-cfr-part-11-gdpr

17. GDPR Info EU. GDPR Artikel 17 erklärt: Verständnis des Rechts auf Löschung. Dezember 2025. https://gdprinfo.eu

DISCLAIMER: Dieser Artikel dient ausschließlich Bildungs- und Informationszwecken. Er stellt keine Rechtsberatung dar. Organisationen sollten vor Compliance-Entscheidungen qualifizierten rechtlichen Rat einholen.