Qualitätssicherungsvereinbarungen (QSV) mit kritischen Lieferanten

Eine QSV ist keine verlängerte Bestellbedingung. Sie ist die operative Schnittstelle zwischen dem Qualitätsmanagementsystem des Herstellers und dem Qualitätsmanagement des Lieferanten. Je kritischer das Produkt, die Dienstleistung oder der ausgelagerte Prozess, desto genauer müssen Verantwortlichkeiten, Änderungsrechte, Audit- und Zugangsrechte, Dokumentationspflichten, Eskalationswege und Kostenregeln festgelegt werden.

1. Zusammenfassung

Der Hersteller kann Tätigkeiten und Prozesse an Lieferanten oder externe Dienstleister übertragen. Er kann jedoch nicht die regulatorische Gesamtverantwortung für die Konformität des Medizinprodukts, die Wirksamkeit des Qualitätsmanagementsystems oder die Angemessenheit der Risikokontrollen abgeben. Die MDR verlangt ausdrücklich, dass das Qualitätsmanagementsystem die Auswahl und Kontrolle von Lieferanten und Unterauftragnehmern umfasst. Werden Design, Herstellung, Endverifizierung, Prüfung oder Teile davon durch Dritte ausgeführt, muss der Hersteller Art und Umfang seiner Kontrolle über diese Parteien festlegen und nachweisen.

Für kritische Lieferanten und ausgelagerte Prozesse ist deshalb regelmäßig eine QSV erforderlich. Sie muss risikobasiert und lieferantenspezifisch gestaltet werden. Ein universelles Standardformular mit allgemeinen Audit- und Informationspflichten reicht nicht aus, wenn ein Lieferant beispielsweise einen validierten Spezialprozess ausführt, regulatorisch relevante Dokumentation erstellt, Software entwickelt, Prüfungen durchführt oder wesentliche Produktmerkmale beeinflusst.

Leitprinzip: Auslagern darf die Durchführung verändern, nicht die Verantwortlichkeit. Der Lieferant kann Tätigkeiten übernehmen; die Entscheidungshoheit und regulatorische Rechenschaftspflicht des Herstellers bleiben bestehen.

2. Regulatorischer Ausgangspunkt

2.1 Herstellerverantwortung und Lieferantenkontrolle

Nach Artikel 10 Absatz 9 MDR muss das Qualitätsmanagementsystem alle Teile der Herstellerorganisation erfassen, die die Qualität von Prozessen und Produkten beeinflussen. Dazu gehört ausdrücklich die Auswahl und Kontrolle von Lieferanten und Unterauftragnehmern. Die MDR schreibt keine bestimmte Vertragsbezeichnung „QSV" vor, wohl aber eine dokumentierte und wirksame Kontrolle der extern erbrachten Leistung.

Anhang IX MDR konkretisiert dies: Werden Design, Herstellung, Endverifizierung, Prüfung oder Teile davon durch eine andere Partei ausgeführt, muss der Hersteller Typ und Umfang seiner Kontrollen über diese Partei beschreiben. Eine Bestellung allein genügt hierfür regelmäßig nicht, wenn kritische Tätigkeiten, spezialisierte Prozesse oder regulatorisch relevante Nachweise ausgelagert werden.

2.2 Zugriff der Benannten Stelle und zuständiger Behörden

Die Benannte Stelle kann Lieferanten oder Unterauftragnehmer in ihre Auditplanung einbeziehen. Lieferantenaudits sind insbesondere relevant, wenn die Konformität des fertigen Produkts wesentlich durch die Tätigkeit des Lieferanten beeinflusst wird oder der Hersteller seine Kontrolle nicht anderweitig ausreichend nachweisen kann. Die MDR sieht außerdem regelmäßige und, soweit angemessen, unangekündigte Audits bei Lieferanten oder Unterauftragnehmern vor.

Konsequenz für die QSV: Der Lieferant muss vertraglich akzeptieren, dass nicht nur der Hersteller, sondern im regulatorisch erforderlichen Umfang auch dessen Benannte Stelle und zuständige Behörden Zugang zu relevanten Räumen, Prozessen, Aufzeichnungen, Systemen und Personal erhalten können. Eine QSV, die Audits ausschließlich „nach gegenseitiger Terminvereinbarung" zulässt, ist für kritische Lieferanten regelmäßig unzureichend.

2.3 ISO 13485 als QMS-Rahmen

ISO 13485:2016 bildet den zentralen QMS-Rahmen für Medizinprodukte. Für QSVs sind insbesondere die Anforderungen an ausgelagerte Prozesse, risikobasierte Lieferantensteuerung, Beschaffungsinformationen, Verifizierung beschaffter Produkte, Prozessvalidierung, Lenkung von Aufzeichnungen und Behandlung nichtkonformer Ergebnisse relevant. Die QSV übersetzt diese Anforderungen in konkrete, zwischen den Parteien verbindliche Schnittstellen.

3. Risikobasierter Ansatz: Wann ist eine QSV erforderlich?

Nicht jeder Lieferant benötigt eine umfassende QSV. Der Kontrollumfang sollte aus der Kritikalität des gelieferten Produkts, der erbrachten Dienstleistung und des ausgelagerten Prozesses abgeleitet werden. Interne Bezeichnungen wie „kritischer Lieferant", „High-Risk Supplier" oder eine unternehmensspezifische Lieferantenklasse sind Steuerungsinstrumente des Herstellers und nicht in jedem Fall eigenständigen regulierten Begriffe.

Empfohlene interne Regel: Für alle intern als kritisch oder hochriskant eingestuften Lieferanten sowie für alle ausgelagerten Prozesse ist vor Serien- oder Leistungsbeginn eine freigegebene QSV erforderlich. Abweichungen sind zu begründen, risikobasiert zu genehmigen und zeitlich zu befristen.

4. Mindestinhalte einer belastbaren QSV

• Vertragsparteien, Standorte, Produkte, Artikelnummern, Dienstleistungen und ausgelagerte Prozesse im Scope
• Dokumentenhierarchie und Vorrangregel bei Widersprüchen zwischen Liefervertrag, QSV, Spezifikation, Zeichnung, Bestellung und Prüfplan
• Rollen, Verantwortlichkeiten und Genehmigungsbefugnisse
• Geltende regulatorische, normative und kundenspezifische Anforderungen
• Spezifikationen, Prüf- und Freigabekriterien sowie erforderliche Qualitätsnachweise
• Änderungsmanagement einschließlich Kategorisierung, Fristen und Zustimmungserfordernissen
• Abweichungen, Sonderfreigaben, Nichtkonformitäten, Rückverfolgbarkeit und Sperrmaßnahmen
• Beschwerden, Ursachenanalysen, CAPA, Vigilanz- und FSCA-Unterstützung
• Audit- und Zugangsrechte des Herstellers, der Benannten Stelle und zuständiger Behörden
• Kostenregelungen für Audits, Sonderaufwände, Untersuchungen und regulatorische Unterstützung
• Lenkung kritischer Unterlieferanten und Weitergabe der QSV-Pflichten
• Dokumentations-, Aufbewahrungs-, Datenintegritäts- und Herausgabepflichten
• Business Continuity, Notfallmanagement, Beendigung und Übergabe bei Lieferantenwechsel

Dokumentenarchitektur: Die QSV sollte nicht jede technische Einzelanforderung wiederholen. Sinnvoll ist ein stabiler Hauptvertrag mit allgemeinen Qualitätsregeln und lieferantenspezifischen Anlagen, etwa Scope, Verantwortungsmatrix, genehmigte Spezifikationen, Change-Matrix, Audit- und Kostenmatrix sowie Kontakt- und Eskalationswege.

5. Auditrechte: Umfang, Anlass, Vorankündigung und Kosten

5.1 Auditarten getrennt regeln

5.2 Was darf auditiert werden?

Der Scope sollte auf die für das gelieferte Produkt, die Dienstleistung oder den ausgelagerten Prozess relevanten Bereiche begrenzt sein. Dazu können QMS-Prozesse, Produktions- und Prüfeinrichtungen, Validierungsunterlagen, Qualifikationen, Rückverfolgbarkeit, Unterlieferantensteuerung, Abweichungen, CAPA, Änderungsunterlagen und relevante Qualitätsaufzeichnungen gehören. Der Lieferant darf berechtigte Vertraulichkeitsinteressen schützen, aber nicht so, dass die regulatorisch erforderliche Nachweisführung unmöglich wird.

5.3 Kosten und Maximalaufwände

Die MDR regelt nicht, wie Hersteller und Lieferant die kommerziellen Kosten eines Lieferantenaudits untereinander verteilen. Diese Frage gehört deshalb ausdrücklich in die QSV oder den Liefervertrag. Unklare Kostenklauseln führen regelmäßig dazu, dass Auditrechte praktisch blockiert werden oder erst im Eskalationsfall verhandelt werden müssen.

Wichtig: Bei Audits der Benannten Stelle oder zuständiger Behörden darf die QSV keine Vorabzahlung, Bestellung, Kostenfreigabe, maximale Auditorenzahl oder maximale Auditdauer als Zugangsvoraussetzung vorsehen. Kommerzielle Fragen dürfen nachgelagert geklärt werden; regulatorisch notwendiger Zugang muss möglich bleiben.

6. Änderungsmanagement: Mitteilung ist nicht gleich Zustimmung

Die Formulierung „Der Lieferant informiert den Hersteller über alle Änderungen" ist zu unbestimmt. Sie erzeugt weder eine klare Prüfpflicht noch ein verlässliches Umsetzungsverbot. Eine QSV sollte Änderungen nach ihrem möglichen Einfluss kategorisieren und für jede Kategorie festlegen, ob eine nachträgliche Mitteilung, eine vorherige Mitteilung oder eine ausdrückliche schriftliche Zustimmung erforderlich ist.

Achtung: „Formale Änderung" ist keine automatisch sichere Niedrigrisikokategorie. Änderungen von Firmenname, Rechtsform, Herstellstandort, Zertifikat, Eigentümerstruktur oder kritischem Personal können regulatorisch oder qualitätsbezogen erheblich sein und gehören regelmäßig mindestens in eine Vorab-Mitteilungs- oder Zustimmungskategorie.

6.1 Mindestinhalt einer Change Notification

• Beschreibung und Begründung der Änderung
• Betroffene Produkte, Artikelnummern, Prozesse, Standorte, Unterlieferanten und Dokumente
• Geplantes Implementierungsdatum und erste betroffene Charge oder Version
• Technische, regulatorische und risikobezogene Auswirkungsbewertung
• Bewertung von Spezifikation, Validierungsstatus, Prüfmethoden, Biokompatibilität, Sterilität, Software, Haltbarkeit und Rückverfolgbarkeit, soweit relevant
• Erforderliche Verifizierung, Validierung, Muster, Vergleichsdaten oder Requalifizierung
• Übergangsregel, Restbestände, Dual-Sourcing und Kennzeichnung betroffener Lieferungen

7. Verantwortlichkeiten: Was kann ausgelagert werden und was bleibt beim Hersteller?

Eine QSV muss zwischen der Durchführung einer Tätigkeit und der regulatorischen Verantwortung unterscheiden. Viele operative Tätigkeiten können durch einen Lieferanten ausgeführt werden. Entscheidungshoheit, Überwachung und Verantwortung für die Konformität bleiben jedoch beim legalen Hersteller.

Nicht auslagerbar im praktischen Sinn: Der Hersteller darf Beratung, Erstellung und operative Durchführung einkaufen. Er muss jedoch selbst in der Lage bleiben, die Angemessenheit der Ergebnisse zu beurteilen, Entscheidungen zu genehmigen, regulatorische Verpflichtungen zu erfüllen und gegenüber Benannter Stelle und Behörden Rechenschaft abzulegen. Eine QSV darf daher keine „Black Box" schaffen.

8. Spezifikationen, Dokumente und Datenhoheit

8.1 Spezifikationsverantwortung

Die QSV sollte festlegen, welche Spezifikation den verbindlichen Sollzustand beschreibt, wer sie erstellt, wer sie prüft und wer Änderungen genehmigt. Der Hersteller sollte die produkt- und regulatorisch relevanten Anforderungen kontrollieren. Der Lieferant bleibt für die technische Beherrschung seines Prozesses und für die Übereinstimmung seiner internen Arbeitsunterlagen mit der freigegebenen Spezifikation verantwortlich.

8.2 Aufbewahrung und Zugriff

• Aufbewahrungsfristen müssen zu Produktlebenszyklus und regulatorischer Frist passen; „nach internen Regeln des Lieferanten" ist nicht ausreichend.
• Der Hersteller benötigt ein Recht auf zeitnahe Herausgabe lesbarer Kopien, auch nach Vertragsende, Standortschließung oder Insolvenz.
• Elektronische Aufzeichnungen müssen Integrität, Version, Freigabestatus, Änderungsverlauf und Wiederauffindbarkeit sichern.
• Der Lieferant darf regulatorisch relevante Originaldaten nicht ohne Zustimmung vernichten, migrieren oder unlesbar archivieren.
• Vertraulichkeit und IP-Schutz sind zu regeln, dürfen aber den regulatorischen Zugriff nicht verhindern.

9. Nichtkonformitäten, Beschwerden, CAPA und Marktmaßnahmen

Bei kritischen Lieferungen muss klar geregelt sein, wann der Lieferant den Hersteller informiert und welche Entscheidungen er nicht eigenständig treffen darf. Besonders problematisch sind pauschale Lieferantenrechte zur Nacharbeit, zum Austausch von Material oder zur Verwendung „gleichwertiger" Komponenten ohne vorherige Zustimmung.

• Keine Verwendung, Nacharbeit, Reparatur oder Sonderfreigabe nichtkonformer kritischer Ware ohne dokumentierte Zustimmung des Herstellers.
• Pflicht zur Identifikation aller potenziell betroffenen Chargen, Seriennummern, Versionen und Lieferzeiträume.
• Vereinbarte Fristen für Ursachenanalyse, Korrektur, CAPA-Plan und Wirksamkeitsnachweis.
• Unterstützung bei Behördenanfragen, Vigilanzmeldungen, FSCA, Rückrufen und Kundenkommunikation.
• Recht des Herstellers, bei unzureichender Untersuchung eigene Prüfungen durchführen zu lassen und angemessene Kosten nach vereinbarter Regel weiterzugeben.

10. Unterlieferanten und Business Continuity

10.1 Kritische Unterlieferanten

Der direkte Lieferant darf kritische Tätigkeiten nicht in eine für den Hersteller unsichtbare Lieferkette verlagern. Die QSV sollte deshalb definieren, welche Unterlieferanten vorher genehmigt werden müssen, welche Änderungen anzuzeigen sind und wie Audit- und Zugangsrechte weitergegeben werden.

• Vorherige Zustimmung für neue oder geänderte kritische Unterlieferanten
• Weitergabe relevanter Qualitäts-, Änderungs-, Dokumentations- und Auditpflichten
• Transparenz über Herstell- und Prüfstandorte sowie ausgelagerte Spezialprozesse
• Rückverfolgbarkeit bis zum kritischen Unterlieferanten
• Recht des Herstellers oder der Benannten Stelle auf direkten oder vermittelten Zugang

10.2 Versorgungssicherheit und Beendigung

• Notfall- und Wiederanlaufplanung für kritische Prozesse, Anlagen, IT-Systeme und Standorte
• Meldepflicht bei Brand, Cyberangriff, Naturereignis, Zertifikatsverlust, Insolvenzrisiko oder behördlicher Maßnahme
• Mindestbestände, Sicherheitsbestände oder abgestimmte Last-Time-Buy-Regeln, soweit erforderlich
• Übergabe von Werkzeugen, Daten, Validierungsunterlagen und Qualitätsaufzeichnungen bei Vertragsende
• Fortgeltung von Vertraulichkeits-, Aufbewahrungs-, Complaint- und Behördenunterstützungspflichten nach Vertragsende

11. Empfohlenes modulares QSV-Modell

Statt für jeden Lieferanten eine vollständig neue Vereinbarung zu schreiben, empfiehlt sich ein modularer Ansatz. Der allgemeine QSV-Hauptteil enthält stabile Grundregeln. Lieferantenspezifische und produktbezogene Inhalte werden in Anlagen gepflegt. Dadurch bleibt die Vereinbarung handhabbar, ohne kritische Details zu verwässern.

12. Typische Schwachstellen bestehender QSVs

13. Konkrete nächste Schritte

• Lieferantenklassifizierung und Kriterien für kritische oder hochriskante Lieferanten prüfen und verbindlich dokumentieren.
• Liste aller kritischen Lieferanten und ausgelagerten Prozesse erstellen; vorhandene QSVs auf Abdeckung und Aktualität prüfen.
• Verbindliche QSV-Pflicht für kritische Lieferanten und ausgelagerte Prozesse im Einkaufs- bzw. Lieferantenmanagementprozess verankern.
• Standard-QSV in einen Hauptteil und lieferantenspezifische Anlagen umstrukturieren.
• Audit- und Kostenmatrix sowie risikobasierte Change-Matrix als Pflichtanlagen einführen.
• Für jeden kritischen Lieferanten eine Verantwortungsmatrix erstellen und mit Spezifikation, Prüfplan und Risikomanagement abgleichen.
• Bestehende Lieferverträge auf Widersprüche zu Audit-, Kosten-, Haftungs-, IP- und Kündigungsregelungen prüfen.
• QSVs regelmäßig und anlassbezogen überprüfen, insbesondere bei Scope-, Standort-, Zertifikats-, Prozess- oder Unterlieferantenänderungen.

Eine gute QSV ist detailliert, aber nicht unnötig lang. Ihre Qualität zeigt sich daran, ob sie in einer konkreten Situation eine eindeutige Antwort gibt: Darf der Lieferant ändern? Muss er vorher fragen? Wer entscheidet über eine Abweichung? Wer zahlt ein Anlass- oder NB-Audit? Welche Dokumente müssen vorliegen? Wer unterstützt bei Complaint, CAPA oder FSCA? Bleiben diese Fragen offen, ist die Vereinbarung formal vorhanden, operativ aber nicht belastbar.

14. Regulatorische Referenzen

• Regulation (EU) 2017/745 (MDR), insbesondere Artikel 10 Absatz 9 sowie Anhang IX, Abschnitte 2.2, 2.3, 3.2, 3.3 und 3.4.
• Regulation (EU) 2017/745, Anhang VII, Abschnitt 4.5.2 zur Auditplanung und zur möglichen Prüfung von Lieferanten und Unterauftragnehmern.
• European Commission Notice 2021/C 8/01 zur Anwendung von Lieferanten- und Unterauftragnehmeraudits im Rahmen der QMS-Bewertung.
• ISO 13485:2016, Medical devices, quality management systems, requirements for regulatory purposes.
• Hinweis zu Normzitaten: Die konkrete Klauselzuordnung und Formulierung sollte gegen die lizenzierte Fassung der jeweils anwendbaren Normen und gegen das Zertifizierungs- und Vertragsmodell des Herstellers geprüft werden.