Datenschutz für Pharma– GxP, klinische Studienund NIS2 in einer Hand.
Externer Datenschutzbeauftragter für Pharma, Biotech und Medizintechnik — DSGVO trifft GCP, Pharmakovigilanz und Audit-Trails. Bundesweit, ab 79 €/Monat.
200+ Mandate seit 2013 betreut, mehrere mit Pharma-/Life-Sciences-Bezug
Lieber direkt sprechen? 15-Min-Termin buchen
Pharma-Datenschutz: Wo es bei Herstellern und Biotechs wirklich knirscht
Gesundheitsdaten sind besondere Kategorien
Probanden-, Patienten- und Pharmakovigilanz-Daten fallen unter Art. 9 DSGVO. Verarbeitung ist grundsätzlich verboten — mit engen Ausnahmen (Einwilligung, Forschungsklausel, Berufsgeheimnis). Wer das verwechselt, riskiert Bußgelder bis zu 4 % des Konzernumsatzes.
GMP-Audit-Trails kollidieren mit Löschpflicht
GMP/GCP verlangen Aufbewahrung von 10–25 Jahren (klinische Studien sogar bis 25 J. nach EU-VO 536/2014). DSGVO sagt: nur so lange wie nötig. Diesen Konflikt müssen Sie dokumentiert auflösen — oder Sie haften doppelt.
Pharma-Hersteller sind kritische Einrichtungen
Das deutsche NIS2-Umsetzungsgesetz stuft Hersteller von Arzneimitteln, In-vitro-Diagnostika und Medizinprodukten als kritisch ein. Pflichtenkatalog: Risikomanagement, Incident-Meldung an das BSI innerhalb von 24 h, Lieferketten-Security.
Persönliche Beratung + digitale Plattform
Sie sprechen direkt mit Nils — TÜV-zertifizierter Datenschutzbeauftragter. Die digitale Plattform übernimmt Verzeichnis, AVVs, Schulungen und Doku, damit Sie nicht in Word-Dokumenten ertrinken.
Warum Unternehmen in Bundesweit sich für frag.hugo entscheiden
GCP + DSGVO integriert
Wir schreiben Patienteneinwilligungen, die GCP-Erfordernisse und DSGVO-Anforderungen gleichzeitig erfüllen — ohne dass eine Seite leer ausgeht.
Pharmakovigilanz-fähig
Meldewege an BfArM und EMA datenschutzkonform dokumentiert. Pseudonymisierung der Spontanmeldungen ab Tag 1.
GxP-Audit-Trails dokumentiert
Wir liefern das Lösch- und Aufbewahrungskonzept, das GMP/GCP-Pflichten mit DSGVO-Speicherbegrenzung in Einklang bringt — auditfest.
Schrems II für US-Mütter
Datenflüsse zur US-Konzernmutter (Pfizer, MSD, Lilly, J&J) prüfen wir auf Schrems-II-Konformität — inklusive Transfer Impact Assessment.
Bundesweit + digital
Plattform-Beratung digital, Vor-Ort-Audits in den Pharma-Clustern Rhein-Main, Berlin-Brandenburg, Rhein-Neckar, Hamburg/Lübeck.
AKG-/FSA-konform
Dokumentation von Spenden, Honoraren und HCP-Veranstaltungen DSGVO-konform — kompatibel mit AKG- und FSA-Transparenz-Kodex.
So starten Sie mit Ihrem externen DSB für Pharma
Branchen-Erstgespräch
Kostenlos, 30 Minuten. Wir klären: Welche Studien laufen? Welche Vigilance-Pflichten? Pharma-Hersteller, CRO, Biotech oder MedTech? US-Mutterkonzern?
Pharma-Gap-Analyse
Wir bewerten Ihren IST-Zustand gegen DSGVO, GCP, AMG, MPDG, AKG/FSA und NIS2. Sie bekommen eine priorisierte Roadmap mit Kosten- und Aufwandsschätzung.
Onboarding + Benennung
Plattform-Zugang, Pharma-spezifische VVT-Vorlagen (Studien, Pharmakovigilanz, HCP-Daten, Außendienst), AVV-Pakete für CROs. Offizielle Benennung bei der Aufsichtsbehörde.
Laufende Betreuung
Studienbegleitung, DSFA bei jeder neuen Studie, NIS2-Reporting, Schulungen für Studienpersonal und Außendienst. 4h-SLA im Premium-Tarif.
Pharma-Generalist vs. spezialisierter externer DSB
| Interner DSB / IT-Abteilung | Empfohlen Externer DSB (frag.hugo Pharma) | |
|---|---|---|
| GxP-Kenntnis | Lückenhaft, oft nur IT-Sicht | GMP, GCP, GLP, GVP integriert |
| DSGVO + GCP-Mapping | Selbst erarbeiten | Vorlagen für jede Studienphase |
| Pharmakovigilanz | Meist nicht abgedeckt | BfArM- und EMA-konform |
| NIS2-Reporting | Erstmals 2024 relevant geworden | Etabliert seit BSI-Konsultation |
| Schrems-II-TIA | Erfordert externe Anwälte | Inhouse-Kompetenz |
| Kosten/Jahr | ~30.000 € + externe Berater | Ab 948 € (79 €/Monat) |
Klare Preise. Monatlich kündbar.
Keine Setup-Gebühr, kein Kleingedrucktes. Onboarding macht Nils oder Jens persönlich.
Lite
- Bis 15 Mitarbeiter — Self-Service
- VVT, AVV, Datenpannen, DSAR, TOMs
- Löschkonzept Basic + 3 Online-Schulungs-Module
- 50.000 € Berufshaftpflicht
- 24 Monate Mindestlaufzeit
Standard
- Bis 25 Mitarbeiter
- 12 h DSB-Beratung/Jahr mit Nils Oehmichen
- 425 VVT-Vorlagen + 50+ AVV-Vorlagen (inkl. CRO/Studien)
- Hugo Check Pro · 10 Domains
- 100.000 € Berufshaftpflicht
Pro
- Bis 100 Mitarbeiter
- 24 h DSB-Beratung/Jahr · 8h-SLA
- Alle Module: DSFA, NIS2, AI Act, Studien-VVT Datenschutz-Folgenabschätzung – erforderlich bei Verarbeitungen mit hohem Risiko für Betroffene (z. B. Videoüberwachung, Profiling, Gesundheitsdaten).
- KI-Schulungen + Phishing-Simulation
- Hugo Check Pro · 50 Domains
- 250.000 € Berufshaftpflicht
Premium
- Bis 250 Mitarbeiter
- 48 h DSB-Beratung/Jahr + Kick-Off-Workshop
- AskHugo 24/7 · M365-Sync · 4h-SLA
- Vor-Ort-Termine bundesweit (Pharma-Cluster) Persönliche Besuche in Ihrem Unternehmen für Schulungen, Audits oder Workshops – direkt vor Ort in der Metropolregion Hamburg.
- Hugo Check Agentur unbegrenzt White-Label Professioneller PDF-Bericht mit allen Ergebnissen, Handlungsempfehlungen und Risikobewertung – perfekt zur Dokumentation oder Vorlage bei der Geschäftsführung.
- 500.000 € Berufshaftpflicht
Studien-Begleitung als Festpreis-Projekt
Sie planen eine multizentrische Studie und brauchen punktuelle DSB-Unterstützung statt laufender Betreuung? Wir liefern Studien-Pakete zum Festpreis — DSFA, Probanden-Informationen, AVV mit der CRO, Pseudonymisierungs-Konzept.
- Einzelstunden: 159 €/h (netto) — exakt nach Aufwand abgerechnet
- Stundenpaket z. B. 10h: 139 €/h (1.390 €) — gültig 12 Monate
- Festpreis-Studie: DSFA + Einwilligungs-Texte + Pseudonymisierungs-Konzept ab 2.490 €
- Ad-hoc-Einsätze — bei Datenpannen, BfArM-Anfragen oder Inspektionen sofort verfügbar
Das sagen unsere Mandanten
„Wir entwickeln einen Wirkstoff in einer Phase-II-Studie an drei Kliniken. Die DSFA hatten wir auf Excel-Niveau. Nils hat uns innerhalb von zwei Wochen ein auditfestes Konzept geliefert — inklusive Probanden-Information und AVV mit der CRO. Die zuständige Ethikkommission hat ohne Nachfrage zugestimmt.“
„Unsere US-Mutter wollte einen monatlichen Datenexport der Außendienst-CRM-Daten. Wir hatten Schrems II nicht auf dem Schirm. Nils hat das Transfer Impact Assessment gemacht, die Standardvertragsklauseln angepasst und eine technische Pseudonymisierung in die Schnittstelle gebaut. Mutter happy, DSB happy.“
„Bei einer Inspektion durch die Landesaufsicht wollte der Prüfer das Lösch- und Aufbewahrungskonzept sehen — speziell die Auflösung des GMP/DSGVO-Konflikts. Wir hatten es dank frag.hugo dokumentiert. Der Prüfer nickte und ging zum nächsten Punkt.“
„Ein Spontanbericht über eine schwere Nebenwirkung kam per E-Mail an unsere Pharmakovigilanz. Klartext-Patientendaten in der Betreffzeile. Nils hat die Datenpanne in 24 Stunden gemeldet, den Meldeweg umgestellt und alle Mitarbeiter geschult. BfArM-Inspektion drei Monate später: keine Beanstandung.“
„NIS2 hat uns kalt erwischt. Wir wussten nicht einmal, dass wir als IVD-Hersteller direkt betroffen sind. frag.hugo hat uns durch die Betroffenheitsanalyse, Risikomanagement und das BSI-Reporting-Setup geführt. Heute haben wir ein Incident-Response-Playbook, das auch unsere Auditoren überzeugt.“
„Unser CRO-Vertrag hatte eine AVV-Klausel, die bei genauerem Hinsehen rechtswidrig war — der CRO durfte Daten in einem Drittland verarbeiten ohne TIA. Nils hat das aufgedeckt, neu verhandelt und uns 11.000 € Beratungskosten gespart, die wir sonst extern gezahlt hätten.“
„Für jeden ist Datenschutz wichtig. Und für uns ist es wichtig, eine pragmatische Lösung zu finden, wie Unternehmen ihren Datenschutz umsetzen — ohne dabei den Geschäftsbetrieb einzustellen.“
Nils Oehmichen — Geschäftsführer & Datenschutzberater, frag.hugo
Externer Datenschutzbeauftragter für Pharma & Life Sciences — was übernimmt der DSB konkret?
Die Pharma-Branche ist eines der datenschutzrechtlich anspruchsvollsten Felder überhaupt. Sie verarbeiten besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, kombinieren das mit strengen GxP-Anforderungen und stehen zusätzlich im Fokus der NIS2-Umsetzung. Ein externer Datenschutzbeauftragter für Pharma muss in allen drei Welten zuhause sein — DSGVO/BDSG, GxP (GMP, GCP, GLP, GVP) und Informationssicherheit nach NIS2/BSI-Vorgaben.
Bei frag.hugo übernehmen wir die komplette DSB-Rolle nach Art. 39 DSGVO — branchenspezifisch zugeschnitten auf Pharma-Hersteller, Biotech-Unternehmen, Generika-Anbieter, Medizintechnik und CROs (Clinical Research Organisations). Konkret bedeutet das:
- Überwachung der DSGVO-Konformität in allen pharma-spezifischen Verarbeitungstätigkeiten — von klinischen Studien über Pharmakovigilanz bis zum HCP-Außendienst
- DSFA-Begleitung vor jeder neuen Studie, jedem KI-gestützten Pharmakovigilanz-Signal und jeder Health-Tech-App
- Schulung des Studienpersonals, der Außendienstmitarbeiter, der Pharmakovigilanz und der IT zu pharma-spezifischen Datenschutz-Themen
- AVV-Verwaltung mit CROs, Labordienstleistern, Cloud-eCRF-Anbietern, Pharmacovigilance-Systemen
- Behördenkoordination mit Landes-Datenschutzaufsichten, BfArM, EMA, Regierungspräsidien und BSI
- Lösch- und Aufbewahrungskonzepte, die GMP/GCP-Aufbewahrungspflichten und DSGVO-Speicherbegrenzung sauber auflösen
Unsere Datenschutzexperten beraten Pharma-Mittelständler ebenso wie Biotechs der Pre-IPO-Phase und Tochterunternehmen internationaler Konzerne. Wir kennen die Aufsichtsbehörden in den deutschen Pharma-Clustern, sprechen die Sprache der Stufenplanbeauftragten und der Studienleiterinnen und wissen, wo die DSGVO an die jeweilige Branchenregulatorik anschließt — und wo sie sie überschreibt.
Klinische Studien und DSGVO — das größte Compliance-Risiko in der Pharma-Welt
Klinische Studien sind der Königsweg jeder neuen Arzneimittel-Zulassung — und gleichzeitig das datenschutzrechtlich riskanteste Feld. Sie verarbeiten Gesundheitsdaten, oft in mehreren EU-Ländern parallel, mit zahlreichen Auftragsverarbeitern (CROs, Labore, Statistiker), unter teilweise widersprüchlichen Aufbewahrungspflichten. Eine Studie, die DSGVO-rechtlich auf Sand gebaut ist, gefährdet die spätere Zulassung — denn fehlerhafte Einwilligungen können dazu führen, dass Daten nicht ausgewertet werden dürfen.
Die rechtliche Grundlage: drei Wege zur Verarbeitung
Die DSGVO bietet für klinische Studien drei mögliche Rechtsgrundlagen:
- Ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO — der klassische Weg. Erfordert eine informierte, freiwillige, granulare Einwilligung der Probanden, die jederzeit widerrufbar ist.
- Forschungsklausel nach Art. 9 Abs. 2 lit. j DSGVO i. V. m. § 27 BDSG — möglich, wenn das berechtigte Interesse der Forschung das Interesse der betroffenen Person überwiegt und geeignete Schutzmaßnahmen getroffen werden.
- Öffentliches Interesse im Bereich der öffentlichen Gesundheit nach Art. 9 Abs. 2 lit. i DSGVO — für epidemiologische Studien und Pharmakovigilanz.
In der Praxis arbeiten kommerzielle Studien fast immer mit ausdrücklicher Einwilligung — sie ist die rechtssicherste Grundlage und Voraussetzung für jede Folgenutzung der Daten. Wir prüfen Ihre Probanden-Informationen und Einwilligungs-Texte auf vollständige Erfüllung der DSGVO-Pflichten (Art. 13, 14 DSGVO) und gleichzeitige Erfüllung der GCP-Anforderungen.
Pseudonymisierung: das technische Rückgrat
Korrekte Pseudonymisierung ist nicht optional, sondern die Voraussetzung dafür, dass klinische Studiendaten überhaupt verarbeitet werden dürfen. Praktisch heißt das: Probandendaten bekommen einen Code (P-001 bis P-150), der Zuordnungsschlüssel liegt physisch und organisatorisch getrennt — die Studienleitung kennt den Schlüssel, die Statistiker und das Monitoring nicht. Wir liefern Ihnen das Pseudonymisierungs-Konzept als Annex zum Studien-VVT, definieren die Rollen, prüfen die technische Umsetzung in Ihrer eCRF-Lösung (REDCap, Castor EDC, Medidata Rave) und schulen das Studienpersonal.
Multizentrische Studien: gemeinsame Verantwortung sauber regeln
Sobald mehrere Kliniken, ein Sponsor und eine CRO an einer Studie beteiligt sind, entstehen zahlreiche Verantwortlichkeits-Konstellationen — gemeinsame Verantwortliche (Art. 26 DSGVO), Auftragsverarbeiter (Art. 28 DSGVO) und reine Empfänger. Wir liefern Ihnen die schriftliche Vereinbarung nach Art. 26 DSGVO, die festlegt, wer im Datenpannenfall an wen meldet, wer den Betroffenen-Anfragen nachkommt und wer die Aufsichtsbehörde informiert. Ohne diese Vereinbarung ist die Studie formell rechtswidrig — auch wenn inhaltlich alles korrekt läuft.
GxP-DSGVO-Schnittmenge: wo die zwei Welten kollidieren
Pharma-Compliance besteht aus zwei großen Säulen: GxP (Qualität und Sicherheit der Arzneimittel) und DSGVO (Schutz personenbezogener Daten). Beide haben ihre eigene Sprache, ihre eigenen Auditoren, ihre eigenen Inspektionsregime. An vielen Stellen passen sie zusammen — an einigen Stellen kollidieren sie diametral.
Audit-Trails: 25 Jahre vs. „so kurz wie möglich”
Ein GMP-Audit-Trail nach EU-GMP-Leitfaden Annex 11 enthält Zeitstempel, Benutzernamen, Aktion und Vorher/Nachher-Zustand jeder Daten-Manipulation in einem GxP-relevanten System. Diese Audit-Trails sind so lange aufzubewahren wie die zugehörigen Chargenunterlagen oder Studiendokumente — bei klinischen Studien nach EU-Verordnung 536/2014 satte 25 Jahre nach Studienende.
DSGVO Art. 5 Abs. 1 lit. e fordert das Gegenteil: Speicherbegrenzung. Personenbezogene Daten dürfen „nicht länger als für die Zwecke der Verarbeitung erforderlich” gespeichert werden. Wer hier nicht aufpasst, hat zwei sich widersprechende Pflichten — und ein DSGVO-Bußgeld droht ebenso wie eine GMP-Inspektionsbeanstandung.
Die Lösung: Ein dokumentiertes Lösch- und Aufbewahrungskonzept, das die GxP-Aufbewahrungspflicht als gesetzliche Rechtsgrundlage nach Art. 6 Abs. 1 lit. c DSGVO einordnet. Nach Ablauf der GxP-Frist greift automatisches Löschen oder Anonymisierung. Audit-Trails, die auch nach 25 Jahren noch personenbeziehbare Daten enthalten, müssen pseudonymisiert oder anonymisiert werden — bevor die GMP-Pflicht abläuft und die DSGVO-Pflicht zur Löschung greift. Wir liefern diese Lösch-Matrix als auditfestes Dokument.
Elektronische Signaturen und Identitätsprüfung
GMP Annex 11 verlangt sichere elektronische Signaturen mit eindeutiger Personenzuordnung — DSGVO verlangt Datenminimierung. Wer signiert, hinterlässt einen personenbezogenen Datensatz. Wir konfigurieren Ihre Signatur-Lösungen (Adobe Sign, DocuSign, Veeva Vault) so, dass beide Welten erfüllt sind: rechtskonforme Identifikation für GMP, gleichzeitig DSGVO-konforme Speicherung der Signatur-Audit-Trails.
Datenintegrität (ALCOA+) und Betroffenenrechte
Der GMP-Grundsatz ALCOA+ verlangt: keine nachträglichen Änderungen ohne Audit-Trail, keine Löschungen, keine Manipulationen. DSGVO Art. 16 (Recht auf Berichtigung) und Art. 17 (Recht auf Löschung) verlangen: Korrekturen und Löschungen auf Antrag. Wir lösen das mit einer dokumentierten Rangfolge: GMP-Daten werden korrigiert per Audit-Trail-Eintrag, niemals gelöscht — bei DSGVO-Löschanträgen erfolgt eine Sperrung statt Löschung, dokumentiert mit Rechtsgrundlage Art. 17 Abs. 3 lit. b DSGVO (Erfüllung rechtlicher Pflichten).
Pharma und NIS2 — warum die Branche direkt betroffen ist
Das deutsche NIS2-Umsetzungsgesetz setzt die EU-Richtlinie 2022/2555 um. Anhang I des Gesetzes listet das „Gesundheitswesen” als kritisch wichtigen Sektor, darunter explizit die „Herstellung von Arzneimitteln, In-vitro-Diagnostika und Medizinprodukten”. Damit sind Pharma-Hersteller, IVD-Anbieter und Medizintechnik-Unternehmen ab definierten Größenschwellen direkt verpflichtet.
Die konkreten NIS2-Pflichten
- Risikomanagement-System nach Art. 21 NIS2-Richtlinie — Sie brauchen ein dokumentiertes ISMS mit Risikoanalyse, technischen und organisatorischen Schutzmaßnahmen, Lieferketten-Sicherheit, Krypto-Konzept, Zugriffskontrolle, Multi-Faktor-Authentifizierung.
- Incident-Meldung an das BSI: Frühwarnung innerhalb von 24 Stunden, vollständige Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats.
- Lieferketten-Risikomanagement — Sie müssen die Cyber-Sicherheit Ihrer Zulieferer prüfen, vertraglich absichern und regelmäßig auditieren. Für Pharma besonders relevant: API-Lieferanten, Lohnhersteller, eCRF-Anbieter, Cloud-Dienstleister.
- Geschäftsführer-Haftung: Die Geschäftsleitung haftet persönlich für die NIS2-Umsetzung. Verstöße können mit Bußgeldern bis 10 Mio. € oder 2 % des Weltumsatzes geahndet werden.
Wo NIS2 und DSGVO zusammenwirken
Eine NIS2-relevante Datenpanne ist fast immer auch eine DSGVO-Datenpanne. Sie müssen parallel an zwei Behörden melden (BSI + Datenschutzaufsicht), in unterschiedlichen Formaten, mit unterschiedlichen Fristen (24 h vs. 72 h). Wir liefern Ihnen ein integriertes Incident-Response-Playbook, das beide Meldewege synchron bedient — inklusive vorformulierter Meldetexte und einer 24/7-Eskalations-Hotline im Premium-Tarif.
Branchen-Sub-Cluster: wo welche Pflichten greifen
Die deutsche Pharma-Landschaft ist heterogen — und die NIS2-Betroffenheit hängt vom Geschäftsmodell ab:
- Big Pharma (Wuppertal, Ingelheim, Darmstadt): direkt betroffen, oft als „besonders wichtige Einrichtungen” mit den höchsten Pflichten
- Generika und Biosimilars: direkt betroffen ab Größenschwelle, oft mit hohem internationalen Datenfluss
- Biotech und kleine Wirkstoffentwickler: Betroffenheit hängt von Mitarbeiterzahl und Umsatz ab — viele unterschätzen die Pflicht
- Medizintechnik und IVD-Hersteller (Lübeck, Erlangen, München): zusätzlich MDR/IVDR-Pflichten, die mit NIS2 verzahnt sind
- CROs und Studienlabore: meist als Auftragsverarbeiter, aber selbst auch NIS2-relevant ab Größenschwelle
- Apothekenketten und Großhändler: separater Eintrag im NIS2-Anhang, andere Schwellenwerte
Wir machen Ihre Betroffenheitsanalyse, ordnen Sie in „wichtig” oder „besonders wichtig” ein und liefern den Pflichtenkatalog passgenau.
Pharmakovigilanz und DSGVO: das vergessene Compliance-Feld
Pharmakovigilanz ist die kontinuierliche Überwachung der Sicherheit eines Arzneimittels nach Zulassung — sie verarbeitet Daten über unerwünschte Arzneimittelwirkungen (UAW), oft mit identifizierenden Patientenmerkmalen. Rechtlich greift die EU-Verordnung 726/2004 in Verbindung mit Modul VI der GVP-Leitlinie der EMA — DSGVO kommt obendrauf. In der Praxis tauchen drei wiederkehrende Probleme auf:
- Spontanmeldungen über unsichere Kanäle: Patienten und Heilberufler melden UAWs per E-Mail, Telefon oder über Apotheken. In der Betreffzeile steht oft der volle Patientenname. Das ist eine Datenpanne im Wartestand. Wir konfigurieren PV-Meldewege mit Pseudonymisierung ab dem ersten Kontaktpunkt — Web-Formulare mit Validierung, sichere E-Mail-Eingangsverarbeitung, Schulung der Apotheken-Hotline.
- Datenexport an Konzern-PV-Systeme: Globale Pharma-Konzerne betreiben Eudravigilance- und FDA-FAERS-Anbindungen über zentrale PV-Datenbanken (oft in den USA, der Schweiz oder Irland). Diese Datenflüsse sind Drittland-Transfers — ohne Standardvertragsklauseln, ohne Transfer Impact Assessment, ohne Pseudonymisierung sind sie rechtswidrig. Wir prüfen Ihren Datenfluss, schreiben das TIA und richten die technischen Schutzmaßnahmen ein.
- Audit-Trails und Rückverfolgbarkeit: PV-Daten müssen nach EU-Recht teilweise lebenslang aufbewahrt werden. Das kollidiert mit dem DSGVO-Löschanspruch. Wir liefern die Rechtsgrundlagen-Matrix, die jede PV-Speicherung als gesetzliche Pflicht (Art. 6 Abs. 1 lit. c, Art. 9 Abs. 2 lit. i DSGVO) dokumentiert — auditfest vor BfArM und Datenschutzaufsicht.
Pharma-Außendienst, HCP-Daten und AKG/FSA-Compliance
Der Pharma-Außendienst ist datenschutzrechtlich ein Minenfeld. Sie verarbeiten Daten von Ärzten und Apothekern (Heilberufler, HCP) — Verschreibungsverhalten, Besuchsfrequenz, Veranstaltungs-Teilnahme, gezahlte Honorare, Kongress-Einladungen. Drei Spannungsfelder:
- Verschreibungsverhalten und Profiling: Wer aggregierte Verschreibungsdaten kauft (IQVIA, INSIGHT Health) und auf einzelne Praxen herunterbricht, betreibt Profiling im Sinne von Art. 22 DSGVO. Wir prüfen, ob Ihre CRM-Daten die DSGVO-Schwelle überschreiten und welche Einwilligungen oder berechtigten Interessen tragen.
- AKG-/FSA-Transparenzkodex: Der AKG-Kodex und der FSA-Transparenzkodex verlangen jährliche Veröffentlichung von Zuwendungen an HCPs. Das ist Veröffentlichung personenbezogener Daten. DSGVO-Lösung: Einwilligungs-Modell mit Opt-out auf aggregierte Anzeige, klare Widerrufs-Prozesse, Archivierungs-Konzept nach Widerruf. Wir liefern die Einwilligungs-Texte und den Prozess.
- Außendienst-Tracking: Wenn der Außendienst per CRM-App seine Besuchsfrequenz, GPS-Daten und Performance-Kennzahlen erfasst, ist das Beschäftigtendatenschutz nach § 26 BDSG. Wir liefern die Betriebsvereinbarung mit dem Betriebsrat, dokumentieren die Verhältnismäßigkeit und schulen die Vertriebsleitung.
Hugo Learn Pharma-Paket — Schulungen für Studienpersonal und Außendienst
Datenschutz lebt von geschulten Mitarbeitenden — und Pharma hat besonders heterogene Zielgruppen: Studienärzte, Studienkoordinatoren, Pharmakovigilanz, Außendienst, Labor, IT, Marketing, Marktforschung. Jede Gruppe braucht ein anderes Curriculum.
Im Hugo Learn Pharma-Paket liefern wir:
- Modul „Klinische Studien und Datenschutz” — Probanden-Rechte, Pseudonymisierung, AVV mit der CRO, DSFA-Pflichten. 45 Minuten, Quiz-basiert, zertifiziert.
- Modul „Pharmakovigilanz und DSGVO” — Spontanmeldungen, BfArM-Meldewege, EU-Eudravigilance, Patienten-Identifikation. Speziell für Stufenplanbeauftragte und PV-Mitarbeitende.
- Modul „Außendienst und HCP-Datenschutz” — CRM-Daten, Verschreibungsverhalten, Veranstaltungs-Einladungen, AKG/FSA-Spenden. Praktisch, mit Fallbeispielen aus dem Pharma-Vertrieb.
- Modul „NIS2 für Geschäftsführer und Bereichsleiter” — persönliche Haftung, Risikomanagement, Incident-Response. 30 Minuten, kompakt, anschlussfähig an die nächste GxP-Inspektion.
- Phishing-Simulation — pharma-spezifische Köder (gefälschte BfArM-Mails, Fake-CRO-Anfragen, vermeintliche Inspektionsankündigungen). Misst Klickraten und identifiziert Schulungsbedarf.
Alle Schulungen sind in unserer Plattform integriert, jederzeit verfügbar, dokumentieren die Teilnahme automatisch (Audit-fest) und können auch als SCORM-Modul in Ihr bestehendes LMS exportiert werden.
Was kostet ein externer Datenschutzbeauftragter für die Pharma-Branche?
Bei frag.hugo starten unsere Pharma-Pakete bei 79 € pro Monat im Lite-Tarif (Self-Service, bis 15 Mitarbeiter, ideal für kleine Biotechs in der Frühphase). Der Standard-Tarif (149 €) mit 12 Stunden persönlicher DSB-Beratung pro Jahr passt für etablierte Mittelständler bis 25 Mitarbeitende. Pro (299 €) ist die typische Wahl für Pharma-Hersteller bis 100 Mitarbeitende mit aktiven Studien, NIS2-Betroffenheit und AI-Act-Themen. Premium (499 €) für Hersteller bis 250 Mitarbeitende mit Vor-Ort-Anspruch, multizentrischen Studienprogrammen und internationalen Datenflüssen.
Ein interner DSB für Pharma kostet erfahrungsgemäß 35.000 € bis 60.000 € pro Jahr — wenn man Gehalt, Pharma-spezifische Fortbildungen (GCP-Auffrischung, Pharmakovigilanz-Updates) und die regelmäßig hinzugezogenen externen Anwälte für Schrems-II-TIA und EU-Studienverordnung einrechnet. Sie sparen mit frag.hugo zwischen 80 und 95 %, bekommen aber gleichzeitig branchenspezifische Expertise, die ein einzelner interner DSB selten aufbauen kann.
Sie brauchen nur punktuelle Unterstützung für eine konkrete Studie, eine BfArM-Anfrage oder eine Schrems-II-Bewertung? Wir bieten Festpreis-Projekte ab 2.490 € (Studien-DSFA komplett), Einzelstunden zu 159 €/h und Stundenpakete ab 139 €/h. So bekommen Sie Pharma-DSB-Kompetenz auf Abruf, ohne laufenden Vertrag.
Alle Features und Preise von Hugo DSB ansehen →
Tieferer Marktvergleich: Was ein externer DSB jenseits unserer Pakete branchentypisch kostet — und wie sich Monatspauschale, Stundensatz und interne Lösung wirklich rechnen — haben wir im Detail-Artikel Externer Datenschutzbeauftragter Kosten durchgerechnet.
So starten Sie mit Ihrem externen Pharma-DSB
- Branchen-Erstgespräch (30 min, kostenlos): Wir klären, welche Studien laufen oder geplant sind, ob Pharmakovigilanz-Pflichten greifen, welcher Sub-Cluster (Big Pharma, Biotech, Generika, MedTech, CRO) Ihr Unternehmen ist und ob US-Mutterkonzern oder internationale Datenflüsse Schrems-II-Fragen aufwerfen.
- Pharma-Gap-Analyse: Innerhalb von zwei Wochen liefern wir Ihnen eine schriftliche Bewertung Ihres IST-Zustands — DSGVO, GCP-DSGVO-Mapping, AKG/FSA-Konformität, NIS2-Betroffenheit. Mit priorisierter Roadmap und Aufwandsschätzung.
- Onboarding und offizielle Benennung: Plattform-Zugang, pharma-spezifische VVT-Vorlagen, AVV-Pakete für CROs und Labore, Lösch- und Aufbewahrungskonzept. Wir benennen uns offiziell bei Ihrer zuständigen Aufsichtsbehörde als Ihr DSB.
- Laufende Betreuung: Studienbegleitung, DSFA bei jeder neuen Studie, NIS2-Reporting, Schulungen für Studienpersonal, Außendienst und Pharmakovigilanz. Im Premium-Tarif zusätzlich 48 Stunden persönliche Beratung und Vor-Ort-Termine in den deutschen Pharma-Clustern — etwa für Bayer-naher Pharma-Mittelstand im Bergischen Land über unseren DSB für Wuppertal (Bayer-Werk Elberfeld), für das Rhein-Neckar-Cluster rund um BASF Pharma und Roche Diagnostics über den externen Datenschutzbeauftragten für Mannheim und für das Drägerwerk-/MedTech-Umfeld an der Ostsee über unseren Datenschutzbeauftragten für Lübeck.
Sie sind unsicher, ob Sie überhaupt einen DSB brauchen oder ob Ihr aktuelles Setup pharma-tauglich ist? Buchen Sie ein 15-Minuten-Gespräch — wir geben Ihnen eine ehrliche Einschätzung, auch wenn das Ergebnis lautet: „Sie sind gut aufgestellt, brauchen uns aktuell nicht.”
Fazit: Pharma braucht einen DSB, der drei Sprachen spricht
DSGVO. GxP. NIS2. Wer in der Pharma-Branche Datenschutz nur aus einer Perspektive denkt, übersieht die anderen beiden — und produziert Compliance-Lücken, die in der nächsten Inspektion oder beim nächsten Behörden-Audit auffliegen. Ein externer Datenschutzbeauftragter für Pharma muss alle drei Welten beherrschen, die Sprachen der Studienleitung, der Stufenplanbeauftragten und der IT-Sicherheit sprechen und gleichzeitig die Geschäftsführung in NIS2-Haftungsfragen verständlich beraten.
Genau dafür ist frag.hugo aufgestellt: TÜV-zertifiziert, mit DSGVO-Expertise (Nils Oehmichen, Datenschutzberater) und Cybersecurity-Hintergrund (Jens Hagel, 21 Jahre IT-Unternehmer), branchenspezifischer Plattform, klaren Tarifen und bundesweiter Verfügbarkeit. Testen Sie zuerst Ihren IST-Zustand: Mit dem Hugo Check prüfen Sie Ihre Studien-Webseiten, HCP-Portale und Marketing-Sites in 60 Sekunden auf 29 DSGVO-Punkte — kostenlos und unverbindlich.
In 60 Sekunden zum passenden Tarif
Vier Fragen, vier Tarife, transparente Add-Ons. Kein Sales-Call.
- 1 Profil
- 2 Tarif
- 3 Add-Ons
- 4 Buchen
Hugo DSB vs. heyData vs. Cortina vs. DPMS
15 Vergleichspunkte. Alle Daten aus öffentlich zugänglichen Quellen vom 10. Mai 2026. Wo Daten nicht öffentlich sind, ist das transparent markiert.
| Vergleichspunkt Feature | Unsere Wahl Hugo DSB ab 79 €/Mo | heyData ab 59 €/Mo | Cortina Consult ab 125 €/Mo | DPMS / audatis auf Anfrage |
|---|---|---|---|---|
| Einstiegspreis (öffentlich) Der niedrigste öffentlich kommunizierte Preis. Bei heyData und Cortina sind das „ab"-Preise mit individueller Skalierung im Sales-Call. | 79 €/Mo Lite, ohne Verhandlung | ab 59 €/Mo Starter, individuell | 125 €/Mo DSB Starter (ohne Software) | auf Anfrage nicht öffentlich |
| Beratungsstunden transparent Wird die Anzahl inkludierter DSB-Stunden öffentlich kommuniziert? | 0/12/24/48 h/Jahr klar pro Tarif | nein nur SLA-Reaktionszeit | nur Custom-Tarif 6/12/18 h/Jahr Add-On | nicht öffentlich |
| TÜV-Zertifizierung des DSB Ist der bestellte Datenschutzbeauftragte TÜV-zertifiziert? Quellenpflicht. | Ja — Nils Oehmichen TÜV-zertifiziert, namentlich | nicht kommuniziert DSB nicht namentlich genannt | Ja — TÜV Rheinland + Nord allgemein, nicht personenbezogen | unklar nicht öffentlich |
| Berufshaftpflicht Versicherungssumme der Berufshaftpflicht. Höher = besserer Schutz im Schadensfall. | 50/100/250/500 k€ gestaffelt nach Tarif | 50/100/unbegrenzt 50k Starter, ∞ Enterprise | nicht öffentlich | nicht öffentlich |
| Self-Service-Checkout Können Sie das Produkt komplett online ohne Sales-Call buchen? | Ja Stripe in 5 Klicks | Nein Sales-Call obligatorisch | Nein Konfigurator + Sales-Call | Nein Angebot nach Kontakt |
| Sales-Call vor Buchung nötig | Nein | Ja | Ja | Ja |
| Mindestlaufzeit Wie lange sind Sie an den Vertrag gebunden? | 24 Monate für alle Tarife | 24 Monate jährliche Abrechnung | monatlich Software; DSB ~12 Mo | 12-24 Monate üblich, individuell |
| Carry-Over Stunden Können nicht verbrauchte Beratungsstunden ins nächste Jahr mitgenommen werden? | bis 25 % Vorjahres-Pool quartalsweise | nicht kommuniziert | nicht öffentlich vermutlich nein | nicht öffentlich |
| Add-Ons öffentlich gepreist Sind alle Zusatz-Services mit transparenten Festpreisen kommuniziert — oder nur „auf Anfrage"? | 17 Add-Ons mit Preis alle online | teilweise HinSchG/Schulungen ja, Rest nein | teilweise im Konfigurator | auf Anfrage |
| Onboarding-Pauschale transparent Wird der initiale Setup-Aufwand transparent als Festpreis ausgewiesen? | 490/990/1.890 € S/M/XL Festpreise | im Monatspreis versteckt wirkt günstig | 0/900/1.350/2.700 € Reifegrad-Pauschale | unklar vermutlich Stundensatz |
| Vor-Ort-Termine möglich Können DSB-Termine bei Ihnen vor Ort stattfinden — ohne reine Remote-Bindung? | Ja, Hamburg + 200 km 1.490 € Vor-Ort-Tag | Nein rein digital | Nein Teams-Call only | Ja (regional) je nach Standort |
| Hamburg-basiert Wo sitzt das Unternehmen — räumliche Nähe und HmbBfDI-Erfahrung? | Ja Spaldingstr., Hamburg | Nein Berlin | Nein Münster (30+ Standorte bundesweit) | Nein audatis: Bielefeld |
| Reifegrad-Wizard (Self-Service) Können Sie online vorab Ihren Reifegrad einschätzen, bevor Sie kaufen? | Ja, im Konfigurator 4 Stufen + Empfehlung | Nein | nur Dropdown 4 Stufen, ohne Wizard | Nein |
| Live-Konfigurator vorhanden Können Sie sich Ihren Tarif inkl. Add-Ons live zusammenklicken? | Ja 4-Step-Konfigurator | Nein 3 statische Tarife | Ja sehr ausführlich | Nein |
| Software inklusive im Tarif Bekommen Sie eine SaaS-Plattform mit VVT/AVV/DSAR/etc. inkludiert — oder kostet die Software extra? | Ja, ab Lite volle Plattform | Ja, ab Starter volle Plattform | Nein, +45 €/Mo Compliance Hub separat | Ja audatis Manager |
Quellen & Methodik anzeigen
Methodik: Alle Wettbewerbs-Daten wurden am 10. Mai 2026 direkt von den Hersteller-Websites extrahiert (WebFetch + interaktiver Konfigurator-Crawl bei Cortina). Wo Informationen nicht öffentlich verfügbar sind, ist das ausdrücklich markiert — keine Spekulation.
heyData: heydata.eu/preise, heydata.eu/datenschutz-management, heydata.eu/hinweisgebersystem (Stand 2026-05-10).
Cortina Consult: cortina-consult.com/externer-datenschutzbeauftragter/kosten, software/preise, Live-Konfigurator interaktiv durchgeklickt (Stand 2026-05-10).
DPMS / audatis: Pricing nicht öffentlich; Bewertung basiert auf veröffentlichten Produkt-Beschreibungen und Branchen-Erfahrung. „Nicht öffentlich" / „auf Anfrage" wird konsequent so kommuniziert.
Vollständiger Audit-Bericht: WETTBEWERB-HEYDATA-CORTINA-2026-05-10.md (interne Dokumentation, auf Anfrage einsehbar).
Einziger Anbieter mit TÜV-zertifiziertem DSB namentlich, Self-Service-Checkout, Hamburg-Standort und 17 Add-Ons mit transparenten Festpreisen.
Wer am Telefon sitzt, wenn Sie anrufen.
Nils Oehmichen
Datenschutzberater & Geschäftsführer
Bei frag.hugo telefonieren Sie direkt mit Nils — kein Account-Manager, keine Hotline. Er ist seit über 13 Jahren TÜV-zertifizierter Datenschutzberater für Mittelständler und kennt Datenschutz, DSGVO, NIS2 und den EU AI Act aus über 200 Mandaten.
Häufige Fragen zum externen DSB für Pharma & Life Sciences
Klinische Studien verarbeiten besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (Gesundheitsdaten). Sie benötigen eine ausdrückliche, informierte Einwilligung der Probanden, eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO und ein Verzeichnis der Verarbeitungstätigkeiten (VVT) je Studie. Zusätzlich greifen die GCP-Vorgaben (Good Clinical Practice) und die EU-Verordnung 536/2014. Wir liefern Ihnen die kompletten Templates — Probanden-Information, Einwilligungsformular, DSFA, AVV mit der CRO — in einer rechtssicheren Sprache.
DSGVO und GCP überlappen sich, sind aber nicht deckungsgleich. GCP-Audits prüfen die Integrität der Daten, die Nachvollziehbarkeit der Studie und das Probanden-Schutz-Niveau. DSGVO prüft die Rechtmäßigkeit der Verarbeitung, die Rechte der betroffenen Personen und die Sicherheit der Verarbeitung. Praktisch lösen wir das mit einer integrierten Probanden-Information, einem GCP-konformen Audit-Trail-Konzept, das gleichzeitig die DSGVO-Speicherbegrenzung respektiert, und einer DSFA, die beide Welten abdeckt. Sie haben dann nicht zwei parallele Compliance-Stränge, sondern einen.
Ja, in den allermeisten Fällen. Klinische Studien verarbeiten besondere Kategorien personenbezogener Daten (Gesundheitsdaten) in größerem Umfang — beide Kriterien lösen nach Art. 35 DSGVO eine DSFA-Pflicht aus. Die Datenschutzkonferenz (DSK) hat klinische Studien explizit auf die Positiv-Liste DSFA-pflichtiger Verarbeitungen gesetzt. Eine Pauschal-DSFA für eine ganze Studienreihe reicht nicht — pro Studie eine eigene, weil sich Probandenzahl, Indikation, Pseudonymisierungs-Konzept und CRO-Beteiligung unterscheiden.
Korrekte Pseudonymisierung nach Art. 4 Nr. 5 DSGVO bedeutet: Sie ersetzen direkt identifizierende Merkmale (Name, Geburtsdatum, Adresse) durch einen Probanden-Code (z. B. P-001 bis P-150) und bewahren den Zuordnungsschlüssel räumlich, organisatorisch und technisch getrennt auf. Wer Zugriff auf die Studiendaten hat, darf keinen Zugriff auf den Schlüssel haben — und umgekehrt. Wir liefern Ihnen das Pseudonymisierungs-Konzept als Annex zum VVT, definieren die Rollen (Studienleitung, Monitor, Statistiker, CRO) und prüfen, ob Ihre eCRF-Lösung das technisch sauber umsetzt.
Das deutsche NIS2-Umsetzungsgesetz stuft die Herstellung von Arzneimitteln, In-vitro-Diagnostika und Medizinprodukten als „kritisch wichtigen Sektor“ ein (Anhang I, Gesundheitswesen). Konkret heißt das: Sie brauchen ein Risikomanagement-System für IT-Sicherheit (Art. 21 NIS2-Richtlinie), müssen erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden ans BSI melden (Frühwarnung), Lieferketten-Risiken managen und die Geschäftsführung haftet persönlich für die Umsetzung. Wir liefern Betroffenheitsanalyse, Risikomanagement-Roadmap, BSI-Reporting-Setup und Geschäftsführer-Schulung — typischerweise in 8–12 Wochen.
Datentransfers in die USA sind nach dem EuGH-Urteil Schrems II nur unter strengen Voraussetzungen zulässig. Seit Juli 2023 gilt das EU-US Data Privacy Framework (DPF) — wenn Ihr Mutterkonzern DPF-zertifiziert ist, ist der Transfer auf dieser Basis möglich. Ist die Mutter nicht zertifiziert, brauchen Sie Standardvertragsklauseln (SCC) plus ein Transfer Impact Assessment (TIA), das die US-Überwachungsgesetze (FISA 702, Executive Order 12333) bewertet und zusätzliche technische Maßnahmen (Verschlüsselung, Pseudonymisierung, Split-Key) dokumentiert. Wir prüfen den DPF-Status, schreiben das TIA und konfigurieren die technischen Maßnahmen in Ihren Schnittstellen mit.
Der AKG-Kodex (Arzneimittel und Kooperation im Gesundheitswesen) und der FSA-Transparenz-Kodex verlangen die Veröffentlichung von Zuwendungen an Heilberufler (HCP) und Patientenorganisationen. Das kollidiert mit DSGVO-Pflichten — Sie veröffentlichen personenbezogene Daten. Lösung: Einwilligung der HCP einholen (mit Widerrufsrecht), ohne Einwilligung nur aggregierte Zahlen veröffentlichen. Wir liefern Einwilligungs-Texte, die AKG/FSA-konform und DSGVO-konform gleichzeitig sind, sowie einen Prozess für den Umgang mit Widerrufen — inklusive Löschpflichten und Archivierungs-Konzept für die Steuer-Aufbewahrungsfrist.
GMP-Audit-Trails sind nach EU-GMP-Leitfaden Annex 11 grundsätzlich so lange aufzubewahren wie die zugehörigen Chargenunterlagen — typisch 5 bis 11 Jahre nach Inverkehrbringen. Bei klinischen Studien fordert die EU-Verordnung 536/2014 sogar 25 Jahre. DSGVO Art. 5 Abs. 1 lit. e fordert dagegen Speicherbegrenzung („so kurz wie möglich“). Den Konflikt lösen wir mit einem Lösch- und Aufbewahrungskonzept, das die GxP-Pflicht als gesetzliche Rechtsgrundlage (Art. 6 Abs. 1 lit. c DSGVO) dokumentiert und nach Ablauf der GxP-Frist ein automatisiertes Löschen vorsieht. Das ist auditfest und gleichzeitig DSGVO-konform.
Wenn die Datenpanne ein voraussichtliches Risiko für die Rechte der betroffenen Personen darstellt, müssen Sie sie innerhalb von 72 Stunden an die Aufsichtsbehörde melden (Art. 33 DSGVO) — bei hohem Risiko zusätzlich an die Probanden (Art. 34 DSGVO). Im multizentrischen Verbund komplex, weil mehrere Verantwortliche, CROs und Klinik-Kooperationspartner beteiligt sind. Wir empfehlen vorab eine schriftliche Vereinbarung nach Art. 26 DSGVO (gemeinsame Verantwortliche), die festlegt, wer im Pannenfall an wen meldet. Bei akuten Vorfällen begleiten wir die Meldung, formulieren den Behördentext und beraten zur Betroffenen-Information.
Die Clinical Research Organisation (CRO) ist klassischer Auftragsverarbeiter nach Art. 28 DSGVO. Sie brauchen einen Auftragsverarbeitungsvertrag, der mindestens enthält: Gegenstand und Dauer, Art der Verarbeitung, Pflichten der CRO (Vertraulichkeit, TOMs nach Art. 32 DSGVO, Unterstützung bei Betroffenenrechten, Mitteilung bei Datenpannen innerhalb von 24 h), Audit-Rechte, Sub-Processor-Liste, Rückgabe oder Löschung nach Vertragsende. Wir liefern Ihnen einen Pharma-spezifischen AVV-Mustervertrag, der zusätzlich Studien-Spezifika wie eCRF-Zugriff, Datenexport und Pseudonymisierungs-Pflichten regelt — verhandelbar mit jeder gängigen CRO.
Die zuständige Aufsichtsbehörde richtet sich nach Ihrem Hauptsitz: in Berlin die BlnBDI, in Hessen der HBDI (für Frankfurt/Darmstadt), in Baden-Württemberg der LfDI BW (für Heidelberg/Mannheim), in Nordrhein-Westfalen die LDI NRW (für Düsseldorf/Wuppertal/Köln), in Hamburg der HmbBfDI. Bei grenzüberschreitender Verarbeitung greift der One-Stop-Shop-Mechanismus mit federführender Behörde. Für die Pharmazeutische Aufsicht sind parallel die Landes-Behörden (z. B. Regierungspräsidien) und das BfArM zuständig. Wir koordinieren beide Welten und sind Ihr einheitlicher Ansprechpartner gegenüber jeder Behörde.
Sie buchen direkt einen 15-Minuten-Termin über https://meet.brevo.com/fraghugo/intro — wir klären in der ersten Viertelstunde, welche Tarif-Stufe und welche Studien-/Branchen-Spezifika für Sie relevant sind. Alternativ erreichen Sie uns telefonisch unter 040 57308220-0 oder per E-Mail an info@fraghugo.de. Das Erstgespräch ist immer kostenlos und unverbindlich.
DSGVO besondere Kategorien
Bußgelder bei unseren Mandanten
Reaktionszeit bei Datenpannen
Die Aufsichtsbehörden ziehen bei Pharma die Zügel an: Probanden-Daten, US-Transfers nach Schrems II und NIS2-Meldungen stehen oben auf der Prüfliste. Wer jetzt keinen branchenkundigen DSB hat, riskiert Bußgelder, Studienabbruch und Reputationsverlust.
Jetzt absichern — Angebot anfordernOder 15-Min-Termin buchen
Informationssicherheit & Datenschutz in Hamburg
Logistik, Hafen, Medien, E-Commerce, Finanzdienstleister — jede Hamburger Branche hat ihre eigene Datenschutz-Baustelle. Wir kennen sie aus über 200 Mandaten.
Wir sitzen selbst in Hamburg und arbeiten regelmäßig mit der Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI) zusammen. Wir wissen, was die Behörde bei Prüfungen sehen will und was nicht.
Unser Büro in der Spaldingstraße 64-68, 20097 Hamburg ist gut mit dem ÖPNV erreichbar — Sie können vorbeikommen, statt nur zu telefonieren.
Persönlich vor Ort in Pharma
Wir betreuen Pharma von Hamburg aus persönlich. Erstgespräche, Audits und Schulungen finden bei Ihnen vor Ort statt — Sie wissen, mit wem Sie sprechen.
- Vor-Ort-Termine in Pharma und Umgebung
- Kurze Reaktionszeiten durch regionale Präsenz
- Kenntnis der zuständigen Landesdatenschutzbehörde
Passend dazu
Nils Oehmichen & Jens Hagel — Ihre Ansprechpartner
Jetzt Pharma-Erstgespräch vereinbaren
Oder: Lassen Sie Ihre Studien-Webseiten und HCP-Portale kostenlos prüfen — in 60 Sekunden wissen Sie, wo Sie stehen.
Unverbindlich, persönlich, ohne versteckte Kosten.
100 % Datenverarbeitung in Deutschland · Hetzner · ISO 27001
Lieber erstmal schreiben? Kontaktformular
