Kurz vor dem Start

Die Dimension von Securpharm ist gigantisch. In Deutschland sind etwa 700 Millionen Arzneimittelpackungen pro Jahr zu erfassen, zu überprüfen und wieder auszubuchen. Das erfordert Milliarden Datenübertragungen zwischen den Nutzern und der zentralen Datenbank. Hinzu kommen die Schnittstellen zu den Systemen der anderen EU-Länder. Bei einem Projekt dieser Größenordnung kann kein Test zuvor alle Unwägbarkeiten des Alltags zeigen.

Zuversicht bei den Verantwortlichen

Es ist daher nicht verwunderlich, dass weiterhin Fragen zu Details offen geblieben sind. Doch knapp zwei Wochen vor dem Stichtag häuften sich die Meldungen zu Problemen. Offenbar haben einige Arzneimittelhersteller noch Umsetzungsschwierigkeiten. Die beteiligten Verbände und Behörden sollen weiterhin in Gesprächen sein, demonstrieren aber Gelassenheit. Die Organisation Securpharm hat am 31. Januar den vorgesehenen Start am 9. Februar bekräftigt. Die Nutzer würden den für die Echtheitsprüfung nötigen Datenaustausch vornehmen können, heißt es in einer Mitteilung. Weiter erklärte Securpharm: „Nach dem Start wird das System kontinuierlich weiterentwickelt und entsprechend der Erkenntnisse aus dem laufenden gesamt-europäischen Betrieb angepasst werden.“ Demnach wird durchaus Bedarf für Anpassungen erwartet. Auch das Bundesgesundheitsministerium (BMG) äußerte sich am 31. Januar zuversichtlich, räumte aber ein, dass es insbesondere in der Anlaufphase zu falsch positiven Meldungen kommen könne – gemeint sind Fehlalarme. Doch Securpharm habe Maßnahmen vorbereitet, um solche Fälle zu untersuchen und technische Fehler von wirklichen Verdachtsfällen zu unterscheiden, heißt es aus dem BMG.

Fehlalarme als Achillesferse

Kritische Betrachter können sich durch diese Formulierungen in einer Einschätzung bestätigt sehen, die bei einer sorgfältigen Analyse des Projekts naheliegt: Offenbar sind Fehlalarme die Achillesferse des Systems. Denn anders als irgendwelche Fragen zur Handhabung von Details berühren Fehlalarme tendenziell die Alltagstauglichkeit des Systems. Nach Informationen über die bisherigen Tests sind solche Fehlalarme noch so häufig, dass dieser Aspekt besondere Aufmerksamkeit verdient. Letztlich führt jede Information, die irgendwo im System falsch verarbeitet wurde, zu einem Fehlalarm, sobald einer der Systempartner die Packung verifiziert. Die möglichen Ursachen reichen also von der Organisation des Herstellers über die Verarbeitung und Zuordnung in der Datenbank bis zum Scannen in der Apotheke. Hinzu kommen mögliche Fehler bei den Datenübertragungen. Wenn auch nur ein Detail falsch läuft, droht am Ende ein Fehlalarm. Dieses Ende wird meist in der Apotheke stattfinden. Denn beim üblichen Versorgungsweg werden die Packungen auf den vorherigen Stufen nur freiwillig geprüft, aber bei der Abgabe ist die Überprüfung Pflicht. Alle möglichen Fehler früherer Stationen realisieren sich damit meist erst in der Apotheke. Dies ist keine politische Entscheidung, sondern liegt im Wesen eines End-to-End-Systems. Es gehört zu den wesentlichen Eigenschaften des Securpharm-Systems, dass der Weg der Packungen nicht im Sinn des „track and trace“ nachverfolgt wird. Vielmehr soll erst bei der Abgabe an den Patienten dokumentiert werden, dass alles richtig ist. Darum wären die Apotheken von Fehlalarmen vorrangig betroffen.

Doch warum sind Fehlalarme so problematisch für das System? – Dies liegt an den rechtlichen Folgen, die ab dem 9. Februar drohen. Denn jeder Systembeteiligte, der eine Fehlermeldung bei einer verifizierungspflichtigen Packung erhält, muss die Packung dann in Quarantäne nehmen. In der Apotheke stellt sich damit die Frage, wie der Patient versorgt wird. Wenn der Fehler auf einer falschen Verarbeitung der ganzen Charge beruht, droht bei weiteren Packungen dieser Charge dasselbe Problem. Damit stellt sich die Frage nach der Versorgungssicherheit. So könnte ein Lieferengpass entstehen, nur weil die Nummern zur Identifizierung der Packungen irgendwo nicht richtig verarbeitet wurden.

Bestandsware bleibt unproblematisch

Allerdings gilt dies alles nur für verifizierungspflichtige Packungen, nicht jedoch für Bestandsware. Als Bestands­packungen werden diejenigen Packungen bezeichnet, die sich am Stichtag im Vertriebssystem befinden – irgendwo nach der Freigabe beim Hersteller, aber vor der Abgabe in der Apotheke. Dazu gehören Packungen, die noch keinen Data-Matrix-Code tragen. Dass diese Packungen nicht verifiziert werden können und müssen, ist offensichtlich. Wenn eine Packung keinen Data-Matrix-Code trägt, kann auch nach dem 9. Februar bedenkenlos der Code 39 gescannt und die Packung abgegeben werden. Doch es gibt auch Bestandspackungen, die einen Data-Matrix-Code tragen, weil mit ihnen das System bisher getestet wurde. Solche Packungen sehen aus wie verifizierungspflichtige Packungen, sind es aber nicht. Schon ein Blick auf das Verfall­datum sollte in vielen Fällen signalisieren, dass die Ware vermutlich nicht verifizierungspflichtig ist. Auch für einige Zeit nach dem 9. Februar wird der weitaus größte Teil der Packungen in den Apotheken noch solche Bestands­ware sein. Da die Hersteller erst am 9. Februar verpflichtet werden, verifizierungsfähige Packungen freizugeben, werden diese Packungen erst nach und nach in die Apotheken gelangen.

Bestandsware erkennen

Bei Bestandspackungen, die nur zu Testzwecken einen Code tragen, sollte nicht unbedingt erwartet werden, dass der packungsindividuelle Code korrekt in der Hersteller­datenbank hinterlegt ist. Darum sollte das System solche Packungen erkennen. Dafür gibt es neuerdings im ABDA-Artikelstamm ein Kennzeichen, das das Verfalldatum der ersten verifizierungspflichtigen Charge eines Arzneimittels angibt. Alle Packungen des Artikels mit einem früheren Verfalldatum sind nicht verifizierungspflichtige Bestandware. Das System muss solche Packungen nicht weiter prüfen. Abhängig vom Softwareanbieter kann es dazu unterschiedliche Rückmeldungen geben. So weist Lauer-Fischer in seinen FAQ auf die Meldung „Seriennummer nicht gefunden“ für Testpackungen hin. Bei einer solchen Meldung kann die Packung problemlos abgegeben werden. Es besteht kein Fälschungsverdacht und keine Quarantänepflicht. Dies lässt sich anhand des Verfalldatums in Verbindung mit der Information über die erste verifizierungspflichtige Charge auch ohne die packungsindividuelle Nummer nachvollziehen. Daneben sind im System weitere Fehlermeldungen vorgesehen, die auf technische Ursachen oder Handhabungsfehler hinweisen. Dies betrifft beispielsweise das versehentliche doppelte Ausbuchen derselben Packung.

Regeln ab dem 9. Februar

Doch trotz dieser Unterscheidungen gab es offenbar bei den jüngsten Tests noch zu viele Fehler, die im System fälschlich als „Alarm“ interpretiert werden. Nachfolgend soll nur noch von solchen Fehlermeldungen die Rede sein, für die das System zumindest zunächst keine Erklärung hat. Was solche (echten oder falschen) Alarme nach dem 9. Februar nach sich ziehen würden, soll hier vertieft werden.

Ab dem 9. Februar müssen in Apotheken alle verifizierungspflichtigen Packungen in doppelter Weise zusätzlich bearbeitet werden. Bei der Abgabe muss die Unversehrtheit des Siegels geprüft werden, und die Packung muss mit ihrer individuellen Nummer aus der zentralen Datenbank ausgebucht werden. Die Ausbuchung muss von der Verifizierung oder Überprüfung unterschieden werden. Eine echte Packung kann beliebig oft überprüft, aber nur einmal ausgebucht werden. Nach einer versehentlichen Ausbuchung kann sie innerhalb von zehn Tagen in derselben Apotheke wieder eingebucht werden.

Überprüfung im Wareneingang

Hier interessiert vorrangig die Verifizierung oder Überprüfung. Eine gefälschte oder im System irrtümlich nicht erfasste oder falsch verbuchte Packung wird bei der Überprüfung als fehlerhaft erkannt. Wer eine Verifizierung einmal in Gang gesetzt und dabei eine Fehlermeldung erhalten hat, muss sich den Konsequenzen stellen, die dann teilweise automatisch ablaufen oder vorgeschrieben sind (siehe unten). Darum kann dieses Problem in Apotheken schon im Wareneingang auftreten. Den Apotheken wird immer wieder geraten, die Packungen schon im Wareneingang zu überprüfen. Dies ist ein zusätzlicher Vorgang und ersetzt nicht die erneute Überprüfung und anschließende Ausbuchung bei der Abgabe, aber es ist sinnvoll. Denn ein etwaiges Problem im Wareneingang zu erkennen, ist auf jeden Fall besser als in Gegenwart des Patienten, der unverzüglich sein Arzneimittel erhalten möchte. Außerdem bietet der neue Data-Matrix-Code einen großen Vorteil im Wareneingang. Er enthält das Verfalldatum und erspart damit die händische Eingabe. Dies alles spricht für das Scannen des neuen Codes im Wareneingang.

Doch die Folgen einer Fehlermeldung im Wareneingang sind nicht grundsätzlich anders als bei einer späteren Überprüfung. Die fragliche Packung muss in der Apotheke in Quarantäne genommen werden (siehe unten). Sie darf also nicht an den Großhandel zurückgesendet werden, wie das bei anderen Warenmängeln üblich und im Handelsrecht vorgesehen ist. Die Verifizierung im Wareneingang ermöglicht der Apotheke damit nicht, das Problem auf den Großhandel abzuwälzen. Doch sie verlängert die verfügbare Zeit, um den Patienten versorgen zu können. Das ist das entscheidende Argument für eine frühe Prüfung.

Packung mit Fehlermeldung muss separiert werden

Abgesehen von der unterschiedlichen Reaktionszeit bis zum Eintreffen des Patienten sind die Folgen einer Fehlermeldung unabhängig davon, bei welcher Gelegenheit die Fehlermeldung entsteht. In jedem Fall gilt die neue Vorschrift in § 21 Abs. 5 Apothekenbetriebsordnung (ApBetrO), die am 9. Februar in Kraft treten wird. Demnach muss die Packung vom sonstigen Warenbestand so getrennt werden, dass die Abgabe an Patienten ausgeschlossen ist und unbefugter Zugriff verhindert wird. „Der Apothekenleiter oder das von ihm beauftragte Personal hat diese Arzneimittel eindeutig als nicht zum Verkauf bestimmte Arzneimittel zu kennzeichnen“, heißt es in der neuen Regelung.

7 Tage Fehlersuche

Wenn der Fehler nicht durch die Handhabung in der Apotheke zu erklären ist, erhält die Securpharm-Organisation eine Fehlermeldung über das System. Falls der Fehler im Erkennungsmerkmal liegt, erhält der betroffene pharmazeutische Unternehmer eine Meldung, damit er dem Problem nachgeht. Eine solche Fehlersuche ist gemäß Artikel 37 Buch­stabe d der Delegierten Verordnung (EU) 2016/162, auf der das Securpharm-System beruht, ausdrücklich vorgesehen. Mittlerweile hat sich Securpharm mit der zuständigen Aufsichtsbehörde darauf verständigt, dass der Hersteller und die Securpharm-Organisation für die Fehlersuche sieben Tage Zeit haben. Auch die ABDA hat ihre Mitgliedsorganisationen dahingehend informiert.

Wenn der pharmazeutische Unternehmer den Fehler findet, besteht kein Fälschungsverdacht mehr, und die Packung kann abgegeben werden. Wenn die Fehlermeldung jedoch innerhalb von sieben Tagen nicht aufzuklären ist, wird daraus ein meldepflichtiger Fälschungsverdacht. Securpharm wird den Fall daher nach sieben Tagen an das Bundesinstitut für Arzneimittel und Medizinprodukte melden. Außerdem sind die Apotheke und der Hersteller dazu verpflichtet, den Fall nach sieben Tagen an ihre jeweils zuständige Aufsichtsbehörde zu melden. Sollte sich der Verdacht auf eine Fälschung schon früher erhärten, muss er auch schon vor Ablauf der Sieben-Tage-Frist gemeldet werden.

Auch diese Meldepflichten sind im neu gefassten § 21 ApBetrO geregelt. Der Verstoß gegen diese Pflichten ist eine Ordnungswidrigkeit. Außerdem ist vorgeschrieben, die in der Apotheke getroffenen Maßnahmen bei einem Verdachtsfall zu dokumentieren.

Apotheke muss Information suchen

Doch wie erfährt die Apotheke, ob der Hersteller den Fehler gefunden hat? – Diese Frage drängt sich auf, weil das System mit seinen zwei getrennten Servern für Apotheken und Hersteller darauf ausgelegt ist, dass der Hersteller nicht erfährt, in welcher Apotheke eine Packung abgegeben wird. In einem Schreiben der ABDA heißt es dazu, die Netzgesellschaft Deutscher Apotheker (NGDA) werde den verifizierenden Stellen zeitnah eine Informationsmöglichkeit zu auffällig gewordenen Packungen zur Verfügung stellen. Auf Nachfrage erklärte die NGDA dazu, man werde eine Web-Anwendung bereitstellen, die den Apotheken unter anderem eine Statusübersicht zu den Klärfällen bietet. Eine direkte Nachricht an die Apotheke ist demnach nicht vorgesehen. Die Apotheke wird sich selbst über den Verlauf der Aufklärung informieren müssen.

Haftung und Patientenversorgung

Das weitere Vorgehen sollte die Apotheke mit ihrer zuständigen Aufsichtsbehörde abstimmen, die sich ihrerseits an § 69 Arzneimittelgesetz orientieren wird. Mit der Behörde wird auch zu klären sein, was mit der Packung geschehen soll. Vermutlich ist es in der Anfangsphase klug, die Packung länger in Quarantäne zu halten, damit sie bei einer späteren Aufklärung des Fehlers wieder für die Versorgung zur Verfügung steht.

Neben den arzneimittelrechtlichen Fragen stellt sich die kaufmännische Frage, wer für den Schaden haftet, wenn die Packung erst verspätet oder gar nicht eingesetzt werden kann. Bei den Recherchen für diesen Beitrag war dies nicht abschließend zu klären. Doch eine Packung, die eine Fehlermeldung auslöst, ist unzweifelhaft mit einem Mangel behaftet. Mit dem Securpharm-System wird die Verifizierungs­fähigkeit zu einem weiteren zwingenden Kriterium für einwandfreie Arzneimittelpackungen. Alle Teilnehmer der Vertriebskette können diese Eigenschaft überprüfen, sind aber nicht dazu verpflichtet. Anders als bei sonstigen Mängeln ist die Apotheke rechtlich gehindert, die Packung zurück­zusenden. Soweit die Fakten – wie Juristen diese bewerten, gehört zu den offenen Fragen.

Eine weitere fundamentale Frage ist, wie der Patient versorgt werden soll, wenn die fragliche Packung nicht mehr zur Verfügung steht. Um nicht wieder vor demselben Problem zu stehen, erscheint es hilfreich, wenn die Apotheke bei der Bestellung weiterer Ware auf den Verdachtsfall hinweist und den Lieferanten bittet, die nächste gelieferte Packung probeweise zu verifizieren. Inwieweit solche Wünsche im Massenbetrieb umsetzbar sein werden, bleibt offen.

Viele Apotheken ohne Tests

Alle diese Betrachtungen zeigen: Einzelne Fehlalarme wären mit Augenmaß und gutem Willen handhabbar. Doch bei einer gewissen Häufigkeit solcher Fälle könnte dies alle Beteiligten unzumutbar belasten. Wenn viele Packungen in Quarantäne genommen würden und vielleicht ganze Chargen nicht richtig erkannt würden, könnte dies sogar die Versorgungssicherheit belasten.

Dass solche Fragen kurz vor dem Stichtag überhaupt aufkommen, liegt insbesondere daran, dass viele Beteiligte ohne Testphase in den Echtbetrieb starten müssen. Es wurde zwar viel getestet, aber nur mit eher wenigen Teilnehmern. Noch vor etwa einem Jahr wurde ein gleitender Übergang von einem Test in allen Apotheken in den Pflichtbetrieb in Aussicht gestellt. Doch dazu kam es nicht, und auch für den größten Teil der in jüngerer Zeit produzierten Arzneimittel wurden offenbar noch keine Testcodes hochgeladen.

Langsamer Einstieg

Darum ist es tröstlich, dass das System am 9. Februar und in der unmittelbar folgenden Zeit keineswegs unter voller Belastung arbeiten muss. Ganz im Gegenteil, am 9. Februar werden noch keine verifizierungspflichtigen Packungen in den Apotheken sein, und diese werden dort auch erst langsam ankommen. Solange nicht gleich riesige Packungsmengen betroffen sind, bestehen damit gute Gelegenheiten, Ungereimtheiten zu erkennen und zu beheben. Allen Beteiligten sollte jetzt bewusst sein, dass das System mit einem Kaltstart beginnt. Insbesondere Fehlalarme sollten nicht verwundern.

Ideen zum Notfallplan

Doch was passiert, wenn es ganz schlimm kommt? – Keiner der Verantwortlichen spricht über einen Plan B. Doch für den Fall, dass Fehlalarme häufiger vorkommen sollten, als das Versorgungssystem dies verträgt, sind mit wenig Fantasie zwei Optionen vorstellbar. Gerade in der ersten Zeit nach dem Start des Systems erscheint es höchst unwahrscheinlich, dass ein Alarm tatsächlich auf einer Fälschung beruht. Die zuständigen Behörden könnten dann die Regeln so auslegen, dass bestimmte Fehlermeldungen für eine Übergangszeit als irrelevant betrachtet und ignoriert werden können oder dass vorläufig der alte Code 39 gescannt wird. Ersteres würde dem Securpharm-System erlauben, aus solchen Fehlern zu lernen, ohne dass jeder einzelne Fall viele Ressourcen bindet. Die Technik selbst würde also auch bei den größtmöglichen Pannen die Versorgung nicht bedrohen, nur die Vorschriften könnten zum Problem werden. Es läge dann an den Behörden, die Aussagekraft von Fehlermeldungen zu relativieren und notfalls dem höherrangigen Versorgungsauftrag Geltung zu verschaffen. |