Lieferanten- und Kundenqualifikation nach GDP: Die zwölf Elemente eines belastbaren Lieferanten-Dossiers

„Von wem kaufen Sie ein?" sieht in einer GDP-Inspektion nach einer harmlosen Einstiegsfrage aus. Sie ist es nicht. Sie öffnet einen der am häufigsten beanstandeten Pflichtenkreise der guten Vertriebspraxis überhaupt — die Qualifizierung der Lieferanten und Kunden. Und sie scheitert selten daran, dass gar nicht geprüft wird.

Sie scheitert daran, dass die Prüfung als einmaliger Akt verstanden wird: Ein Fragebogen wird ausgefüllt, abgeheftet — und danach nie wieder berührt. Eine Qualifizierung, die nicht lebt, ist im Audit wertlos. Dieser Artikel zeigt, was die Vertriebspraxis konkret verlangt, welche zwölf Elemente ein belastbares Lieferanten-Dossier enthält, wann ein Vor-Ort-Audit wirklich nötig ist — und wie das Ganze ohne Über-Engineering im Mittelstand funktioniert.

Was die gute Vertriebspraxis verlangt

Bei der Lieferantenqualifizierung stehen zwei Pflichten nebeneinander. Die erste ist die Erlaubnis-Prüfung: Ein Großhändler darf Arzneimittel nur von Personen beziehen, die selbst eine Großhandelserlaubnis besitzen oder eine Herstellungserlaubnis, die die betreffende Tätigkeit einschließt. Das klingt trivial, ist es im Tagesgeschäft aber nicht. Immer wieder tauchen Anbieter auf, die keine eigene Erlaubnis halten und Ware über Vermittler beziehen. Wer bei einem solchen Anbieter kauft, ist im Verstoß — auch dann, wenn der Vermittler selbst eine Erlaubnis hat.

Die zweite Pflicht ist die Eignungs-Prüfung: Vor dem Bezug muss die Zuverlässigkeit des Lieferanten überprüft werden, und hier geht es um mehr als das Papier. Die Leitlinie nennt ausdrücklich den Ruf des Lieferanten, sein Qualitätssicherungssystem, Hinweise auf gefälschte Arzneimittel in der Vergangenheit sowie ungewöhnliche Angebote — auffällig niedrige Preise oder ungewöhnlich große Liefermengen gelten als klassische Warnzeichen für eine zweifelhafte Quelle.

Und beides hat eine Kehrseite, die gern vergessen wird: die Kundenqualifizierung. Bevor Arzneimittel an einen Empfänger gehen, muss geprüft sein, dass dieser überhaupt zum Bezug berechtigt ist. Wer qualifiziert einkauft, aber unqualifiziert verkauft, hat nur die Hälfte der Pflicht erfüllt.

Das Lieferanten-Dossier: die zwölf Elemente

Ein belastbares Dossier lässt sich auf zwölf Elemente herunterbrechen. Nicht jedes ist in jedem Fall gleich schwer gewichtet — im Mittelstand muss kein Dossier ein Lehrbuch sein. Aber jeder Punkt sollte adressiert sein, notfalls durch eine begründete Notiz „nicht zutreffend, weil …".

1.) Die Erlaubnis des Lieferanten. Eine aktuelle Kopie der Großhandels- oder Herstellungserlaubnis — mit Gültigkeit, abgedeckten Tätigkeiten und Standorten. Eine Erlaubnis ohne erkennbare aktuelle Gültigkeit ist kein Nachweis.

2.) Die Eintragung in EudraGMDP. In der europäischen Datenbank veröffentlichen die Behörden die gültigen Großhandelserlaubnisse und GDP-Zertifikate. Ein dort geführter Lieferant hat eine starke Validitäts-Vermutung; ein Lieferant, der fehlt oder einen Non-Compliance-Report trägt, verlangt eine genauere Prüfung.

3.) Eine Vereinbarung über die Verantwortlichkeiten. Wo Tätigkeiten ausgelagert oder Aufgaben an der Schnittstelle geteilt werden, gehört schriftlich geregelt, wer wofür einsteht — Aufzeichnungen, Reklamationen, Mitwirkung im Rückruf. Das ist kein Kaufvertrag, sondern die regulatorische Verankerung des Verhältnisses.

4.) Die GDP-Selbstauskunft des Lieferanten. Eine schriftliche Bestätigung, dass er die gute Vertriebspraxis einhält — inklusive Mitwirkung an Rückrufen, Umgang mit Fälschungsverdacht und Aufrechterhaltung der Lagerbedingungen.

5.) Der Fälschungsschutz-Nachweis. Bei verschreibungspflichtigen Humanarzneimitteln muss bestätigt sein, dass die Sicherheitsmerkmale vorhanden sind und korrekt funktionieren.

6.) Der Lieferanten-Fragebogen. Eine ausgefüllte Erhebung zu Qualitätsmanagement, Lagerbedingungen, Temperaturüberwachung, Schulung und Aufzeichnungspraxis. Der Reifegrad zeigt sich hier weniger in der Vollständigkeit als in der Detailtiefe der Antworten.

7.) Ein Audit-Nachweis — je nach Risikoklasse ein eigenes Vor-Ort-Audit oder ein anerkannter Bericht einer dritten Partei. Bei geringem Risiko kann eine dokumentierte Prüfung aus der Ferne genügen.

8.) Die Risikobewertung des konkreten Lieferanten. Welche Risikoklasse wurde vergeben, und auf welcher Grundlage — Sortiment, geografische Herkunft, Historie, Volumen?

9.) Die Liste der bezogenen Produkte mit Datum der Erstbelieferung. So lässt sich im Rückrufsfall rekonstruieren, ab wann von diesem Lieferanten welche Ware kam.

10.) Gegebenenfalls die Subkontraktoren — dritte Parteien, die der Lieferant für Logistik oder Lagerung nutzt. Auch sie müssen unter Vertrag und unter Aufsicht stehen.

11.) Die Versions- und Revisionshistorie. Wann wurde das Dossier zuletzt aktualisiert, welche Änderungen gab es, wer hat freigegeben?

12.) Die Dokumentation der regelmäßigen Wiederbewertung. Die Qualifizierung wird in einem risikobasierten Turnus erneut geprüft, mit festgehaltenen Erkenntnissen seit der letzten Bewertung. Genau dieses Element fehlt in der Praxis am häufigsten.

Wann ein Vor-Ort-Audit wirklich nötig ist

Hier sitzt das größte Missverständnis. Die Vertriebspraxis verlangt nicht, dass jeder Lieferant vor Ort auditiert wird — sie verlangt eine Qualifizierung, die dem Risiko angemessen ist. Daraus ergibt sich eine pragmatische Staffelung.

Geringes Risiko — etwa bekannte Hersteller aus Deutschland oder dem EU-Raum mit gültiger EudraGMDP-Eintragung und kontinuierlicher Aufsichtspräsenz: Fragebogen, Erlaubnis-Kopie und Datenbank-Eintrag reichen, ein Vor-Ort-Audit ist nicht erforderlich.

Mittleres Risiko — kleinere Anbieter, neue Lieferanten ohne Historie, Lieferanten mit Auffälligkeiten in der Vergangenheit: zusätzlich die Vereinbarung über die Verantwortlichkeiten und eine dokumentierte Prüfung aus der Ferne; bei besonderen Anzeichen ein Vor-Ort-Audit.

Hohes Risiko — Lieferanten aus Drittländern, aus versorgungskritischen Sortimenten oder mit Non-Compliance-Historie: Hier ist das Vor-Ort-Audit die Erwartung. Ein anerkannter Bericht eines etablierten Audit-Programms — etwa gemeinschaftlich getragene Prüfprogramme der Branche oder von anerkannten Auditoren — kann das eigene Audit ersetzen. Wer auf ein Vor-Ort-Audit verzichtet, sollte die Begründung mit Bezug auf die Risikoklasse und die ergänzenden Maßnahmen dokumentiert haben.

Die andere Seite: das Kunden-Dossier

Die Kehrseite der Lieferantenprüfung wird oft stiefmütterlich behandelt, dabei verlangt die Vertriebspraxis sie mit gleicher Klarheit: Ein Großhändler darf nur an Empfänger liefern, die selbst eine Großhandelserlaubnis besitzen oder die berechtigt sind, Arzneimittel an die Öffentlichkeit abzugeben — Apotheken etwa. Das Kunden-Dossier ist schlanker als das des Lieferanten, weil die Empfänger-Erlaubnisse in Deutschland gut dokumentiert sind. Trivial ist es deshalb nicht. Sechs Elemente gehören hinein.

1.) Der Nachweis der Bezugsberechtigung. Eine Kopie der einschlägigen Erlaubnis — Apotheken-Betriebserlaubnis, Großhandelserlaubnis, Krankenhausapotheken-Erlaubnis — und bei Ärzten die Klärung, ob und in welchem eng begrenzten Rahmen eine Belieferung überhaupt zulässig ist.

2.) Die Verifikation gegen eine offizielle Quelle. Die Berechtigung wird nicht auf Zuruf geglaubt, sondern gegen ein behördliches Verzeichnis oder die Bestätigung der zuständigen Stelle abgeglichen. Eine Selbstauskunft des Kunden allein reicht nicht.

3.) Der Abgleich von Sortiment und Berechtigung. Die Erlaubnis entscheidet nicht nur, ob, sondern auch was geliefert werden darf. Besonders regulierte Sortimente wie Betäubungsmittel oder Medizinalcannabis dürfen jeweils nur an Empfänger gehen, deren Berechtigung genau dieses Sortiment abdeckt — bei Medizinalcannabis muss die Erlaubnis des Kunden sogar die konkrete Cannabis-Art umfassen. Der Abgleich gehört an die Empfänger-Stammdaten, nicht in den Kopf des Vertriebs.

4.) Die Überwachung des Bestellverhaltens. Die Vertriebspraxis verlangt, die Verkäufe auf Auffälligkeiten zu beobachten, die auf eine Zweckentfremdung oder einen Missbrauch hindeuten — ungewöhnliche Mengen oder Frequenzen, gerade bei missbrauchsgefährdeten Stoffen. Verdachtsfälle sind zu prüfen und, wo geboten, der Behörde zu melden.

5.) Die regelmäßige Aktualitätsprüfung. Auch Kunden werden erneut bewertet, denn eine Erlaubnis kann widerrufen werden oder auslaufen. Wie oft, ergibt sich risikobasiert; eine feste Frist gibt die Leitlinie nicht vor. Ein Empfänger, dessen Berechtigung längst erloschen ist, der aber reibungslos weiterbeliefert wird, ist im Audit ein schwerwiegendes Finding — und einer, den ohne systematische Prüfung niemand bemerkt.

6.) Die dokumentierte Historie im System. Wann die Berechtigung geprüft, bestätigt oder erneuert wurde, steht mit Nutzer und Zeitstempel fest — damit die Kundenqualifizierung im Audit ebenso nachweisbar ist wie die des Lieferanten und nicht als mündliche Gewissheit endet.

Was Inspektoren typischerweise prüfen

Aus der Aufsichtspraxis wiederholen sich vier Zugriffe. Erstens: Der Inspektor zieht eine Stichprobe von Lieferanten und fragt nach dem Dossier. Fehlt es, oder liegt die letzte Wiederbewertung erkennbar zu lange zurück, ist das Finding bereits geschrieben.

Zweitens: Er gleicht die Liste der qualifizierten Lieferanten mit den tatsächlichen Eingangsbuchungen ab. Taucht in den Buchungen ein Lieferant auf, der nicht im qualifizierten Pool steht, beginnt die unangenehme Diskussion. Drittens: Er prüft die Verbindung zwischen Lieferant und Bestand — welche Chargen kamen von wem? Diese Frage muss aus dem System beantwortbar sein, ohne dass mehrere Datenbanken zusammengeführt werden. Viertens dieselbe Prüfung für die Kundenseite, meist über eine Stichprobe der letzten Lieferscheine: gültige Erlaubnis, hinterlegte Bestätigung, erfolgte Wiederbewertung. Welche Muster GDP-Inspektionen sonst noch folgen, zeigt der Leitfaden zur Behördeninspektion.

Wo die Warenwirtschaft trägt

Ob eine Qualifizierung im Audit standhält, entscheidet sich seltener an der Sorgfalt der einzelnen Prüfung als daran, ob sie im operativen System verankert ist statt in einer separaten Excel-Landschaft daneben. Drei Punkte machen den Unterschied.

Der Lieferant ist ein geführtes Stammdatum, keine Randnotiz. Erlaubnis, Datenbank-Eintrag, Risikoklasse und das Datum der letzten Bewertung liegen am Lieferanten selbst — abfragbar, nicht in einem Ordner verstreut. So ist die Frage „Wann haben wir Lieferant X zuletzt bewertet?" mit wenigen Klicks beantwortet statt mit einer Suche über mehrere Ablagen.

Lieferant, Charge, Bestand, Kunde und Auftrag hängen in einem Datenmodell zusammen. Kommt die Frage „Welche Chargen kamen von Lieferant X — und an welche Kunden gingen sie?", ist die Antwort einen Bericht entfernt, nicht eine Datenbank-Konsolidierung. Genau diese durchgehende Spur ist es, die eine Inspektion sehen will, und sie ist derselbe Maßstab, den der Leitfaden zur GDP-Warenwirtschaft an das gesamte System anlegt.

Jede Änderung am Lieferanten- oder Kundenstatus steht im Audit-Trail. Wer eine Risikoklasse geändert, eine Qualifizierung erneuert oder eine Freigabe erteilt hat, ist mit Nutzer und Zeitstempel nachvollziehbar — im selben Audit-Trail wie der übrige Warenfluss. Damit wird die Qualifizierung von einer Momentaufnahme zu einer belegbaren Historie.

Was das System dabei bewusst nicht ersetzt: die fachliche Bewertung selbst. Ob ein Lieferant vertrauenswürdig ist, ob ein Audit-Bericht ausreicht, ob eine Risikoklasse noch stimmt — das bleibt die Entscheidung der verantwortlichen Person. Die Warenwirtschaft sorgt dafür, dass diese Entscheidung dokumentiert, auffindbar und mit dem realen Warenfluss verbunden ist. Sie trifft sie nicht.

Fazit

Lieferantenqualifikation ist die Stelle, an der GDP-Compliance entweder zu einer gelebten Praxis wird — oder zu einem Aktenordner, der einmal im Jahr abgestaubt wird. Die Vertriebspraxis verlangt nicht, dass jedes Dossier perfekt ist. Sie verlangt, dass es angemessen, aktuell und im Audit nachweisbar ist. Wer die zwölf Elemente adressiert, das Risiko ehrlich staffelt und die Qualifizierung im operativen System statt in einer Nebenablage führt, gewinnt zweierlei: eine ruhigere Inspektion und Lieferanten-Entscheidungen, die auf Fakten beruhen statt auf einer veralteten Liste. Welche weiteren Themen GDP-Inspektionen am häufigsten beanstanden, zeigt der Beitrag zu den häufigsten GDP-Findings.