Wie teilt man Nachweise in einer Fernbegutachtung zur Akkreditierung sicher?

IAF MD 4 ist das verbindliche IAF-Dokument zur Nutzung von Informations- und Kommunikationstechnik (IKT) bei der Konformitätsbewertung; die aktuelle Ausgabe, MD 4:2025, gilt seit dem 30. Januar 2026. Es wurde für Zertifizierung, Validierung und Verifizierung geschrieben, gilt auch für Akkreditierungsstellen und hält fest, dass es zusammen mit anderen Normen der Konformitätsbewertung herangezogen werden kann. Die Bestimmungen, die für ein Labor beim Teilen von Nachweisen zählen:

TÜRKAK veröffentlichte ihren Leitfaden zum Fernaudit am 8. Mai 2020, während der COVID-19-Pandemie, damit Überwachungs- und Wiederholungsbegutachtungen aus der Ferne weiterlaufen konnten. Die wichtigsten Anforderungen an akkreditierte Stellen:

• Die aus der Ferne zu auditierende Stelle unterzeichnet das Formular F705-001 (Informationserklärung und Verpflichtung zum Fernaudit) und lädt es in das e-Portal der TÜRKAK hoch; der Ablauf folgt der Verfahrensanweisung P705 für Fernaudits.
• Aufzeichnungen werden elektronisch und teilbar bereitgehalten; vom Auditteam angeforderte Aufzeichnungen werden im e-Portal unter der Überschrift „Aufzeichnungen zum Fernaudit“ des jeweiligen Audits hochgeladen.
• Die Liste der Aufzeichnungen für Laboratorien umfasst Aufzeichnungen, die zeigen, dass das Laborinformationsmanagementsystem im Einklang mit der Norm und den gesetzlichen Anforderungen konfiguriert und validiert ist, sowie Aufzeichnungen zu Vertraulichkeitsmaßnahmen.
• Spätestens einen Tag vor dem Audit findet eine Testverbindung mit dem Verfahrensbetreuer der TÜRKAK statt; Witnessing erfolgt per Live-Video, Videoaufzeichnung, Gespräch oder Dokumentenprüfung.
• Die Entscheidung, das Audit in Ton und Bild aufzuzeichnen, liegt bei TÜRKAK, unter den Vertraulichkeitsanforderungen; Bildschirmfotos, die das Auditteam für seinen Bericht anfertigt, werden nach Abschluss des Verfahrens gelöscht.

Der Leitfaden stammt von 2020. Stimmen Sie Methode, Werkzeug und die Art des Teilens von Nachweisen vor der Begutachtung mit Ihrem Verfahrensbetreuer bei TÜRKAK ab.

Welche Nachweise Sie teilen, folgt aus den Abschnitten in Ihrem Akkreditierungsumfang. Die Liste der Aufzeichnungen, die der Leitfaden der TÜRKAK für Laboratorien nennt, lässt sich so der ISO/IEC 17025 zuordnen:

Der Begutachter kann einen der Beispielberichte auswählen und die Aufzeichnungen dahinter zurückverfolgen; diese Technik heißt vertikales Audit. Halten Sie Beispielberichte zusammen mit den zugehörigen Aufzeichnungen zu Autorisierung, Kalibrierung und Kontrollen abrufbar.

Minimale Rechte heißt: Der Begutachter sieht nur die Nachweise im Umfang der Begutachtung, und nur für den Zeitraum, den sie abdeckt. Artikel 4 des KVKK verlangt, dass personenbezogene Daten für ihren Zweck relevant, begrenzt und verhältnismäßig sind; ISO/IEC 17025 §4.2 behandelt Kundeninformationen als vertraulich. In der Praxis:

• Legen Sie nur die Nachweise für Abschnitte im Umfang in den geteilten Bereich.
• Wählen Sie den Zeitraum der Aufzeichnungen passend zur Begutachtung, zum Beispiel die Zeit seit der letzten Begutachtung.
• Öffnen Sie in einem Labor mit mehreren Standorten nur den begutachteten Standort.
• Öffnen Sie Kundennamen und Datei-Downloads nur, wenn die Begutachtung sie braucht.
• Geben Sie dem Begutachter einen persönlichen, zeitlich begrenzten Zugang statt eines gemeinsamen Laborkontos; nur dann ist jeder Aufruf einer Person zugeordnet.

Laufen Link und Passwort über verschiedene Wege, muss man beide Kanäle abfangen, um den Zugang zu öffnen. Eine einzelne E-Mail an die falsche Person enthält dann nur die Hälfte dessen, was nötig ist.

• Senden Sie den Link per E-Mail und das Passwort per Telefon oder persönlich.
• Halten Sie das Passwort aus dem E-Mail-Verlauf heraus; ein weitergeleiteter Verlauf trägt alles mit, was in ihm steht.
• Fügen Sie, wenn möglich, einen dritten Schritt hinzu: Ein Einmalcode an die E-Mail-Adresse des Begutachters bindet den Zugang an dessen Postfach.
• Nutzen Sie einen Weg, bei dem Link und Passwort nur im Moment ihrer Erstellung angezeigt werden; ein Passwort, das sich später erneut anzeigen lässt, ist zugleich eine Kopie im Labor.

Der Zugang umfasst die Tage der Begutachtung und schließt, wenn die Begutachtung endet. Wird die Frist vorab festgelegt, hängt das Schließen des Zugangs nie davon ab, dass jemand daran denkt.

• Gewähren Sie den Zugang mit Beginn und Ende; ein ohne Enddatum geteilter Ordner bleibt nach der Begutachtung offen.
• Begrenzen Sie auch Sitzungen zeitlich: Eine Sitzung, die bei Inaktivität schließt, begrenzt, was ein unbeaufsichtigter Computer zeigen kann.
• Dauert die Begutachtung länger, verlängern Sie den Zugang; endet sie, schließen Sie ihn und halten Sie das fest.
• Werden nach dem Abschlussgespräch weitere Nachweise angefordert, öffnen Sie einen neuen Zugang mit engem Umfang.

Mit einem Aufrufprotokoll kann das Labor zeigen, welche Informationen wem und wann geöffnet wurden. Artikel 12 des KVKK verpflichtet den Verantwortlichen, die technischen und organisatorischen Maßnahmen zu treffen, die nötig sind, um einen unrechtmäßigen Zugriff auf personenbezogene Daten zu verhindern; ISO/IEC 17025 §7.11.3 verlangt, dass das Laborinformationsmanagementsystem vor unbefugtem Zugriff, Manipulation und Verlust geschützt ist.

Liegen jede vom Begutachter geöffnete Aufzeichnung, jede heruntergeladene Datei und jeder abgewiesene Anmeldeversuch in einem datierten Protokoll, haben die Fragen „Wessen Personalakte wurde geöffnet?“ und „Wem wurden die Proben dieses Kunden gezeigt?“ nach der Begutachtung bereits eine Antwort. Bewahren Sie das Protokoll bei der Begutachtungsakte auf.

Das Labor ist der Verantwortliche, der die personenbezogenen Daten seines Personals für die Begutachtung mit der Akkreditierungsstelle teilt. Geteilt werden vor allem Namen, Funktionen, Autorisierungen sowie Schulungs- und Kompetenzüberwachungsaufzeichnungen des Personals; Probendatensätze zeigen außerdem die Namen der Personen, die die Arbeit ausgeführt, freigegeben und unterschrieben haben.

• Gesundheitsdaten sind eine besondere Kategorie personenbezogener Daten (KVKK Artikel 6). Halten Sie die Gesundheitsberichte in Personalakten aus dem geteilten Bereich heraus.
• Begrenzen Sie das Teilen auf seinen Zweck (Artikel 4): nur die nötigen Bereiche, Standorte und der nötige Zeitraum der Aufzeichnungen.
• Prüfen Sie Ihre Informationspflicht (Artikel 10): Deckt die Datenschutzinformation für Ihr Personal das Teilen für Akkreditierungsbegutachtungen ab?
• Schützen Sie auch Kundeninformationen (§4.2): Kundennamen in Proben- und Beschwerdeaufzeichnungen erscheinen nur, wo sie nötig sind.
• Schließen Sie den Zugang, wenn die Begutachtung endet.

Verträge und Datenschutzinformationen liegen beim Labor; erstellen Sie sie mit Ihrer Rechtsberatung.

Die Vorbereitung beginnt mit der Auswahl der Nachweise und endet mit dem Schließen des Zugangs. Ein Beispielablauf:

In PureField LIMS öffnet die Laborleitung oder das Qualitätsmanagement ausgewählte Nachweise für den Begutachter, nur lesend und zeitlich begrenzt, unter Kalite → Akreditasyon → Değerlendirici erişimi (Qualität → Akkreditierung → Zugang für Begutachter) mit Yeni erişim (Neuer Zugang). Die Regeln oben finden sich so in der Ansicht wieder:

Oben auf jeder Seite sieht der Begutachter seinen eigenen Namen, dass die Ansicht nur lesend ist und wann Sitzung und Zugang enden. Der Bereich Überblick zeigt das Labor, seine Standorte, die Zeilen des Akkreditierungsumfangs, Nachweisnotizen zu den Abschnitten und, für die Abschnitte im Umfang, die ISO/IEC-17025-Konformitätsübersicht. Die Übersicht zeigt, welche Ansichten jeden Abschnitt unterstützen; die Konformitätsentscheidung trifft der Begutachter.