Die Verantwortlichkeiten der PRRC nach Artikel 15 der MDR – und des QMB?

 

… und ab wann kommt der QMB ins Spiel? Die Einführung der verpflichtenden Rolle der für die Einhaltung der Regulierungsvorschriften verantwortlichen Person (Person Responsible for Regulatory Compliance – kurz PRRC) war nur eine von vielen Neuerungen mit denen Wirtschaftsakteure, insbesondere Hersteller und Bevollmächtigte, ab dem Geltungsbeginn der MDR und IVDR stark beschäftigt waren.

Doch wie sieht die Realität heute aus? Was hat diese neue Rolle bei den betroffenen Wirtschaftsakteuren bewegt? Hat die PRRC mittlerweile ihr Zuhause in den neuen durch MDR/IVDR transformierten Unternehmensstrukturen gefunden? Ist es gelungen, eine klare Abgrenzung zur Rolle des Qualitätsmanagementbeauftragten (QMB) zu schaffen oder haben sich interdisziplinäre Synergien zwischen beiden Funktionen entwickelt?

Wurde die PRRC in funktionale Prozesse integriert – oder existiert sie isoliert, ohne nachhaltige Verzahnung mit Qualitätsmanagement und Regulatory Affairs?

Steckbrief: Verantwortliche Person nach Artikel 15 MDR/IVDR

Hersteller von Medizinprodukten und Bevollmächtigte müssen laut Artikel 15 Abs. 1 und Abs. 6 MDR sowie IVDR mindestens eine verantwortliche Person für die Einhaltung der Regulierungsvorschriften benennen. Somit wird also für diese Wirtschaftsakteure eine fachlich qualifizierte Person, die für die regulatorische Compliance der Produkte verantwortlich ist, gesetzlich verankert.

Der Pflichtenkreis der verantwortlichen Person beinhaltet Aufgaben in Bezug auf:

• Sicherstellung, dass die Konformität der Produkte vor ihrer Freigabe gemäß dem Qualitätsmanagementsystem des Herstellers angemessen geprüft wird
• Aufrechterhaltung der technischen Dokumentation und der EU-Konformitätserklärung
• Erfüllung der Verpflichtungen zur Ãœberwachung nach dem Inverkehrbringen (PMS)
• Erfüllung der Berichtspflichten im Rahmen der Vigilanz
• Abgabe von Erklärungen zu Prüfprodukten im Rahmen klinischer Prüfungen (MDR) oder Leistungsstudien (IVDR).

Weder MDR noch IVDR geben klare Empfehlungen zur organisatorischen Einbindung der PRRC: Der Fokus liegt eher auf Qualifikationen, Aufgabenkreis sowie Verfügbarkeit. Die Einbindung der PRRC in die Unternehmensstruktur hängt stark von Größe, Struktur und Organisationskultur des Unternehmens ab. Nicht selten ist eine gezielte Anpassung der Organisationsstruktur erforderlich, um den Anforderungen des Artikels 15 MDR/IVDR gerecht zu werden.

Die PRRC ist aufgrund der regulatorisch geforderten Qualifikationen häufig im Bereich Regulatory Affairs (RA) oder Qualitätsmanagement (QM) angesiedelt, und stellt so meist auch eine wirksame Umsetzung der regulatorischen Vorgaben sicher. In größeren Unternehmen mit meist klar definierten Rollenprofilen, Zuständigkeiten und Eskalationspfaden ist die PRRC fachlich dem RA-Bereich zugeordnet und berichtet direkt an die Geschäftsführung oder an die Leitung des Qualitätsmanagements.

In kleinen und mittelständischen Unternehmen (KMUs), in denen Funktionen häufig überlappen, wird die Funktion des QMBs bzw. der Beauftragten der obersten Leitung nach EN ISO 13485 (bestens bekannt als „QMB“) oft mit anderen Aufgaben zusammengelegt. Umso wichtiger ist eine klare Abgrenzung der Aufgaben und Verantwortlichkeiten gegenüber RA, QM oder sogar Geschäftsführung, damit die PRRC ihre Pflichten unabhängig und regelkonform erfüllen kann. Nicht selten ist die PRRC direkt der obersten Leitung unterstellt.

Weiterhin sollte eine Stellvertreterregelung gefunden werden, damit vor allem die eng geregelten Berichtspflichten im im Falls von Vorkommnissen eingehalten werden können.

Wo beginnt die Verantwortung des QMB und wo endet die Verantwortung der PRRC?

Da Artikel 10 MDR/IVDR explizit die Einrichtung und Aufrechterhaltung eines Qualitätsmanagementsystems (QMS) durch die Hersteller verlangen, bleibt der QMB bzw. Beauftragter der obersten Leitung im Sinne der EN ISO 13485 eine zentrale Funktion im QMS von Herstellern von Medizinprodukten und In-vitro-Diagnostika. Weil sich die Aufgabenbereiche von PRRC und QMB teilweise überschneiden, stellt sich oft die Frage: Wo verlaufen die Grenzen zwischen regulatorischer Verantwortung der PRRC und qualitätsbezogener Systemverantwortung des QMB?

Der Beauftragte der obersten Leitung gemäß EN ISO 13485 ist für folgende Verantwortungsbereiche zuständig

• Aufrechterhaltung der Wirksamkeit des QMS durch Dokumentation erforderlicher Prozesse
• Berichterstattung an die Geschäftsführung und Unterbreitung von Vorschlägen zur kontinuierlichen Verbesserung des QMS
• Förderung des Qualitäts- und des regulatorischen Bewusstseins im Unternehmen.

Daraus ergeben sich auch wesentliche Unterschiede zwischen beiden Rollen:

• Rechtlicher Rahmen: Die Rolle der PRRC ist gesetzlich vorgeschrieben und in Artikel 15 MDR/IVDR verankert. Im Gegensatz dazu ist die Rolle des QMB mitsamt Verantwortung und Befugnis „lediglich“ normativ in der EN ISO 13485, Kapitel 5.5.2 definiert.
• Aufgabenfokus: Die PRRC konzentriert sich auf die Sicherstellung der regulatorischen Compliance (z.B. technische Dokumentation, Konformitätsbewertung, Vigilanz, Marktüberwachung und produktbezogene Freigaben gemäß MDR/IVDR), während der QMB primär für die Implementierung und Aufrechterhaltung des Qualitätssystems und der Prozessumsetzung verantwortlich ist.
• Zusammenarbeit im Alltag: Die PRRC überwacht die Einhaltung der regulatorischen Vorgaben risikobasiert z.B. durch stichprobenartige Prüfungen der Chargenfreigabe, der QMB hingegen ist für die operative Qualitätssicherung und die Prozesskontrolle verantwortlich.

Die PRRC prüft, was regulatorisch vorgeschrieben ist – der QMB sorgt dafür, wie es im Unternehmen umgesetzt wird. So ist die PRRC u.a. für die Post-Market Surveillance (PMS) und Aufrechterhaltung der Technischen Dokumentation zuständig, aber die Konformität der relevanten Prozesse und deren Integration in das QMS fällt in den Zuständigkeitsbereich des QMB. Dieser stellt sicher, dass die internen Prozesse/Abläufe den regulatorischen und normativen Anforderungen entsprechen.

Im PMS-Bereich bedeutet dies beispielsweise, dass geeignete Systeme und Verfahren zur proaktiven Erfassung und Bewertung von Erfahrungswerten mit den auf dem Markt befindlichen Produkten implementiert werden müssen. Der QMB unterstützt diese Prozesse durch die Implementierung und Aufrechterhaltung des Qualitätsmanagements, das die Durchführung der PMS überhaupt erst ermöglicht.

Was hat sich für den QMB mit der Einführung der PRRC-Rolle geändert? In vielen Organisationen kaum etwas. Der QMB übt seine Pflichten weiterhin aus, während die PRRC einen Teil seiner eigenen Pflichten an den QMB weiterdelegiert, aber dabei vollumfänglich die Verantwortung behält.

Die Verantwortung der PRRC endet dort, wo es nicht mehr um die Sicherstellung der regulatorischen Anforderungen gemäß MDR/IVDR geht, sondern um die operative Umsetzung und Überwachung des QMS – dort beginnt die Zuständigkeit des QMB. Somit geht die Verantwortung der PRRC weit über die des QMB hinaus, insbesondere im Bereich der Überwachung nach dem Inverkehrbringen (PMS) und Berichterstattung.

Dementsprechend sind die Haftungsrisiken bei der Ausübung der PRRC-Rolle hoch.

Wie gefährlich lebt die PRRC?

Angesichts der umfangreichen Verantwortlichkeiten der PRRC – insbesondere im Bereich der Produktkonformität, Überwachung nach dem Inverkehrbringen (PMS) und Vigilanz – stellt sich bei Pflichtverletzungen die Frage nach einer persönlichen Haftung, etwa bei Körper- und/oder Gesundheitsschäden bei den Patienten/Anwendern.

Um die Unabhängigkeit der Entscheidungen im Sinne der Produktsicherheit und Patientenschutzes auch bei möglichen Interessenskonflikten zu sichern, führt Artikel 15 Abs. 5 MDR/IVDR ein Benachteiligungsverbot ein: PRRCs, sowohl interne als auch externe, dürfen nicht benachteiligt werden, wenn sie ihre Pflichten ordnungsgemäß erfüllen, selbst wenn ihre Entscheidungen dem Unternehmen finanziell schaden. Damit soll sichergestellt werden, dass die PRRC ihre Aufgaben weisungsunabhängig erfüllen können, ohne negative Konsequenzen fürchten zu müssen.

Diese Haftungsfragen gewinnen besonders im grenzüberschreitenden Kontext an Bedeutung. Zwar ist die Rolle der PRRC eindeutig in den europäischen Verordnungen verankert, doch Fragen zur persönlichen Haftung werden dort nicht geregelt. Diese ergeben sich aus dem jeweiligen nationalen Recht – vgl. Artikel 113 MDR/Artikel 106 IVDR. Welches Recht Anwendung findet, hängt meist vom Sitzstaat des Herstellers oder Bevollmächtigten ab. Eine Einzelfallprüfung bleibt unerlässlich, da das nationale Haftungsrecht entscheidend für Art und Umfang des persönlichen Risikos ist. Die Unterschiede bei den Sanktionen werden in den nationalen Rechtsvorschriften konkretisiert und reichen von erheblichen verwaltungsrechtlichen Bußgeldern bis hin zu strafrechtlichen Sanktionen wie Freiheitsstrafen.

Das regulatorische Kaleidoskop Europas wird besonders anschaulich am Beispiel von Deutschland, Österreich und Frankreich:

• Deutschland: Das MPDG verhängt im Falls von Nichterfüllung der Pflichten nach Artikel 15 Abs. 3 keine unmittelbaren Bußgelder gegen PRRCs – die Verantwortung bleibt beim betroffenen Wirtschaftsakteuer. Allerdings kann die PRRC strafrechtlich haftbar gemacht werden, wenn sie schuldhaft Pflichten verletzt (z.B. Vigilanz unterlässt) und dadurch ein Patientenschaden entsteht.

• Österreich: Die nationale Durchführungsvorschrift zur MDR/IVDR in Österreich, §80 des Medizinproduktegesetzes (MPG 2021), behandelt die Verstöße gegen MDR-/IVDR-Vorschriften wie z.B. Nichterfüllung der Verpflichtungen der PRRC, Versäumnisse bei Vigilanz- und Marktüberwachungspflichten, usw. als Verwaltungsübertretungen. Diese können mit Geldstrafen von bis zu 25.000 Euro und im Wiederholungsfall sogar bis zu 50.000 Euro geahndet werden.

• Frankreich: In Frankreich sind u.a. die Bestimmungen des Code de la santé publique zu berücksichtigen. Das Versäumnis des Herstellers bzw. des Bevollmächtigten, ein schwerwiegendes Vorkommnis gemäß Artikel 87 MDR, ein schwerwiegendes Risiko durch ein in Frankreich bereitgestelltes Produkt gemäß Artikel 10 Abs. 12 MDR oder eine sicherheitsrelevante Korrekturmaßnahme gemäß Artikel 87 Abs. 8 MDR, an die zuständige Behörde zu melden, kann mit bis zu zwei Jahren Freiheitsstrafe und einer Geldstrafe von bis zu 150.000 Euro bestraft werden.

Ein weiteres Risiko betrifft die Pflichten der PRRC im Zusammenhang mit der Chargenfreigabe. Obwohl die PRRC regulatorisch gesehen nicht selbst die operative Chargenfreigabe durchführen muss, trägt sie eine entscheidende Verantwortung im Hintergrund. Gemäß MDR und in Anlehnung an EN ISO 13485 muss sie sicherstellen, dass eine Freigabe nur dann erfolgt, wenn die Produktkonformität mit den regulatorischen Anforderungen und dem Qualitätsmanagementsystem (QMS) gewährleistet ist. Ein besonderer Fokus liegt dabei auf der fortlaufenden Dokumentation: Die PRRC ist dafür zuständig, dass alle Freigabeentscheidungen vollständig und nachvollziehbar dokumentiert sind.

So übernimmt die PRRC eine Verantwortung mit unmittelbarem Produktbezug, was gewisse Haftungsrisiken bei Pflichtverletzung mit sich bringt. Kommt es nach der Freigabe zu Problemen und stellt sich heraus, dass diese trotz Mängeln oder unvollständiger Prüfung erfolgte, dann stelllt dies eine Pflichtverletzung der PRRC dar – mit arbeits-, zivil- oder strafrechtlichen Konsequenzen, je nach nationalem Recht und Art der Anstellung.

Die Pflicht zur namentlichen Registrierung der PRRC, z.B. im Actor Registration Module von EUDAMED, kann auch zusätzliche persönliche Haftungsrisiken für die verantwortliche Person mit sich bringen. Erfolgt ein Wechsel der PRRC, verpflichtet Artikel 31 Abs. 4 der MDR Hersteller und Bevollmächtigte die zeitnahe Aktualisierung der Daten innerhalb einer Woche vorzunehmen. Ist dies im Rahmen der internen Prozesse berücksichtigt und (was noch wichtiger ist!) auch tatsächlich umgesetzt, lassen sich Compliance-Verstöße und persönliche Haftungsrisiken wirksam vermeiden. Die ausscheidende PRRC sollte eigenverantwortlich prüfen, ob ihre personenbezogenen Daten aus dem System gelöscht wurden, um auszuschließen, dass sie weiterhin als verantwortlich geführt wird, obwohl sie die Funktion nicht mehr ausübt.

Können zivil- und strafrechtliche Haftungsrisiken im Alltag einer PRRC minimiert werden? Das Minimum ist die kontinuierliche Verbesserung der Qualitätsmanagementprozesse, sorgfältige Überwachung und lückenlose Dokumentation, um die Nachvollziehbarkeit von getroffenen Entscheidungen belegen oder mögliches Fehlverhalten der Organisation nachweise zu können.

Für wen ist eine PRRC regulatorisch verpflichtend?

Gemäß Artikel 15 der MDR/IVDR sind Hersteller (ansässige in und außerhalb der Union) und EU-Bevollmächtigte eines Nicht-EU-Herstellers verpflichtet, eine verantwortliche Person zu benennen.

Zu beachten ist ebenfalls, dass auch für andere Wirtschaftsakteure, einschließlich Importeure, Händler und andere Personen eine PRRC-Pflicht gilt, wenn diese Aufgaben im Sinne des Artikels 16 Abs. 1 MDR/IVDR übernehmen und somit als Hersteller gelten.

Darüber hinaus übernehmen natürliche und juristische Personen, die Systeme und Behandlungseinheiten gemäß Artikel 22 Abs. 4 MDR als eigenständiges Medizinprodukt in Verkehr bringen, die Pflichten, die den Herstellern obliegen, und sind verpflichtet eine PRRC zu benennen.

Anstellen oder Outsourcen?

Hersteller nach MDR / IVDR müssen „in ihrer Organisation“ über mindestens eine verantwortliche Person verfügen. MDCG 2019-7 stellt klar, dass „in ihrer Organisation“ grundsätzlich bedeutet, dass eine PRRC beim Hersteller angestellt sein muss.

Allerdings sieht der Gesetzgeber für Hersteller, die als Kleinst- und Kleinunternehmen nach Größe und Umsatz im Sinne der Empfehlung 2003/361 (EU) gelten, die Möglichkeit vor, die Funktion der PRRC auch an einen externen Dienstleister vollständig auszulagern, unter der Prämisse, dass sie „dauerhaft und ständig“ auf eine PRRC „zurückgreifen können“ (Artikel 15 Abs. 2 MDR/IVDR), solange andere Voraussetzungen erfüllt sind. Als Kleinstunternehmen gelten Unternehmen mit weniger als 10 Beschäftigten und einem Jahresumsatz und/oder einer Jahresbilanzsumme von höchstens 2 Mio. Euro. Zu kleinen Unternehmen zählen solche, die weniger als 50 Personen beschäftigen und deren Jahresumsatz und/oder Jahresbilanzsumme 10 Mio. Euro nicht übersteigt.

Ähnlich wie bei Kleinst- und Kleinunternehmen genügt es auch für EU-Bevollmächtigte, einen externen Dienstleister als PRRC zu benennen, sofern sie auf diese Person „dauerhaft und ständig […] zurückgreifen können.“ Die Verantwortlichkeiten der PRRC beziehen sich in diesem Fall auf jene Pflichten, die dem Bevollmächtigten im Rahmen des mit dem Hersteller geschlossenen Mandats gemäß Artikel 11 Abs. 3 MDR übertragen wurden.

Klare vertragliche Regelungen sind unerlässlich, wenn die PRRC-Pflichten extern in Auftrag gegeben werden. Dabei sollten die betroffenen Wirtschaftsakteure mit besonderer Sorgfalt die Verantwortlichkeiten, Verfügbarkeiten („dauerhaft und ständig“) und Befugnisse der externen PRRC präzisieren, um mögliche Haftungslücken zu vermeiden.

Nur eine oder mehrere PRRCs? Und wo sollte sie angesiedelt sein?

Die Entscheidung, mehrere PRRCs zur Erfüllung des breiten PRRC-Aufgabenspektrums zu benennen, wird nicht durch Artikel 15 MDR/IVDR eingeschränkt. Eine derartige Aufteilung sollte jedoch unter Berücksichtigung des Produktportfolios, der Unternehmensstandorte, den Schwerpunkten der fachlichen Qualifikationen, usw. sinnvoll vorgenommen werden. Nicht zu vergessen: Wird mehr als eine Person als PRRC benannt, verlangt Artikel 15 Abs. 4 eine schriftliche Festlegung der jeweiligen Verantwortungsbereiche. Dabei muss sichergestellt werden, dass alle Zuständigkeiten klar abgegrenzt sind und das ohne Überschneidungen oder Lücken, um eine vollständige regulatorische Abdeckung zu gewährleisten. Und auch hier, Stellvertreterregelung nicht vergessen!

Unternehmen, die verpflichtet sind, die Position der PRRC intern zu besetzen, dürfen einzelne Aufgaben auch an eine externe PRRC übertragen, vorausgesetzt, dass das „Splitting“ der Verantwortungsbereiche klar dokumentiert ist. Sollte unter dem Dach einer Unternehmensgruppe mehrere Hersteller im Sinne von Artikel 2 (30) MDR/Artikel 2 (23) IVDR angesiedelt sein, benötigt jeder Hersteller eine eigene PRRC.

Zur ordnungsgemäßen Erfüllung ihrer Funktion ist eine effektive Einbindung der PRRC in die unternehmensinternen Prozesse des Herstellers erforderlich. Nach Auffassung der MDCG 2019-7 ist es im Sinne einer verlässlichen Aufgabenwahrnehmung grundsätzlich empfehlenswert, dass auch eine externe PRRC bei einem in der EU ansässigen Hersteller oder Bevollmächtigten ihren Sitz innerhalb der EU haben sollte, um eine hinreichende organisatorische Einbindung in den Betrieb zu gewährleisten. Bei Herstellern mit Sitz außerhalb der Union sollte sich auch die PRRC außerhalb der Union befinden – idealerweise in geografischer Nähe zu den Produktionsstandorten.

Klarheit in Sicht? Wie gut sind Wirtschaftsakteure auf die regulatorischen Erfordernisse eingestellt?

Die Implementierung der Rolle der verantwortlichen Person für die Einhaltung der Regulierungsvorschriften (PRRC) gemäß Artikel 15 MDR/IVDR ist unter Wirtschaftsakteuren unterschiedlich weit fortgeschritten. Die größeren Marktakteure haben die Anforderungen an die PRRC-Rolle weitestgehend umgesetzt, die Feinjustierung ist jedoch noch im Gange. Insbesondere kleinere Unternehmen (KMUs) stehen oft vor Herausforderungen in der Umsetzung der MDR/IVDR-Anforderungen – auch im Hinblick auf die Aufgabenbereiche der PRRC und Einbindung innerhalb des Unternehmens aufgrund fehlender qualifizierter Fachkräfte oder begrenzter Ressourcen. Viele greifen daher auf externe PRRC-Dienstleister zurück, um regulatorische Anforderungen zu erfüllen und Haftungsrisiken zu vermeiden.  

Die Integration der PRRC-Rolle in bestehende Prozesse und QM-Systeme gestaltet sich schwierig, nicht zuletzt wegen fehlendem Willen zum Umdenken von bewährten Strukturen und mangelnder Akzeptanz der neuen regulatorischen Anforderungen.

Weitere Einzelheiten zur praktischen Umsetzung der PRRC-Rolle, einschließlich Sonderanfertigungen, Registrierungspflichten in EUDAMED, etc. sind der überarbeiteten Leitlinie MDCG 2019-7 Rev. 1 (2023) „Guidance on Article 15 of the Medical Device Regulation (MDR) and in vitro Diagnostic Device Regulation (IVDR) on a ‘person responsible for regulatory compliance‘ (PRRC) zu entnehmen.

Die Ernennung einer kompetenten PRRC ist weit mehr als nur eine gesetzliche Pflicht – richtig umgesetzt, wird die PRRC zur treibenden Kraft für Produktqualität, Sicherheit, Struktur und Vertrauen. Unternehmen, welche die PRRC-Rolle klar definieren, sie sinnvoll in die Unternehmensstruktur integrieren, die Unabhängigkeit von PRRC-Entscheidungen akzeptieren, schaffen nicht nur regulatorische Sicherheit, sondern legen ein starkes Fundament für Produktsicherheit und fördern eine gelebte Kultur des Compliance-Bewusstseins.

Haben Sie Fragen zur regelkonformen Umsetzung der PRRC-Pflichten? Benötigen Sie eine kompetente externe PRRC? Lassen sie uns gemeinsam Klarheit schaffen.

Bitte beachten Sie, dass alle Angaben und Auflistungen nicht den Anspruch der Vollständigkeit haben, ohne Gewähr sind und der reinen Information dienen.