M&A-Due-Diligence bei Medizinprodukten: MDR-Compliance-Risiken

Bei Fusionen und Übernahmen im Medizintechniksektor ist regulatorische Compliance weit mehr als eine reine operative Formalität. Sie bestimmt unmittelbar die Transaktionsstruktur, Bewertungsmultiplikatoren sowie Go- oder No-Go-Investitionsentscheidungen. Der regulatorische Status des Portfolios eines Zielunternehmens steuert den legalen Marktzugang in zentralen Rechtsordnungen. Gültige CE-Kennzeichnungszertifikate und behördliche Freigaben schaffen hohe Markteintrittsbarrieren, die Marktanteile und Preissetzungsmacht absichern. Dagegen stellen regulatorische Non-Compliance, abgelaufene Zertifikate oder ungelöste Übergangsengpässe unter der europäischen Medizinprodukteverordnung unmittelbare Verbindlichkeiten dar, die den kommerziellen Vertrieb von heute auf morgen stoppen können.

Das Inkrafttreten der Verordnung (EU) 2017/745 (EU-MDR) hat den europäischen Markt grundlegend verändert, indem sie die alten Richtlinien 90/385/EWG und 93/42/EWG durch strenge Anforderungen an klinische Nachweise, technische Dokumentation und Lebenszyklus-Rückverfolgbarkeit abgelöst hat.[1] Für Private-Equity-Fonds und strategische Erwerber birgt das Versäumnis, das zugrunde liegende regulatorische Dossier des Zielunternehmens fundiert zu prüfen, ein katastrophales Abwärtsrisiko. Stützt sich ein Zielunternehmen auf ungültige CE-Zertifikate oder fehlt ein belastbarer Pfad zur Durchführung von Konformitätsbewertungen durch Benannte Stellen, drohen dem Käufer sofortige Umsatzausfälle, Bestandsabschreibungen, erhebliche Sanierungskosten und potenzielle behördliche Sanktionen.

Transaktionsbewertung und Umsatzverteidigung: Regulatorische Freigaben untermauern direkt wiederkehrende Umsätze; jedes Risiko einer Zertifikatsaussetzung oder eines -entzugs schmälert das prognostizierte EBITDA.

Sanierungsbezogene Investitionsausgaben (CapEx): Die Überführung bestehender technischer Dokumentationen und die Durchführung erforderlicher klinischer Nachbeobachtungen nach dem Inverkehrbringen (PMCF-Studien) können erhebliches, nicht budgetiertes Kapital erfordern.

Transaktionsstrukturierung und Freistellungen: Ungelöste Nichtkonformitäten aus Audits Benannter Stellen erfordern häufig spezielle Treuhandkonten (Escrows), spezifische Freistellungen oder Mechanismen für aufgeschobene Kaufpreiszahlungen.

Integrationsgeschwindigkeit: Nicht harmonisierte Qualitätsmanagementsysteme oder nicht rechtskonforme Wirtschaftsakteursnetzwerke verzögern die Realisierung kommerzieller Post-Merger-Synergien.

Folglich muss eine gründliche Due Diligence der regulatorischen Compliance auf Produktebene den genauen regulatorischen Status jeder SKU ermitteln, die Gültigkeit bestehender Konformitätsbewertungen bewerten und den operativen Zeitplan für die fortlaufende Compliance in europäischen und internationalen Zielmärkten einem Stresstest unterziehen.

Ein umfassender regulatorischer Due-Diligence-Rahmen für Medizinprodukte erfordert eine systematische Bewertung der Produktklassifizierung, der Konformitätsbewertungswege und der Vollständigkeit der technischen Dokumentation gemäß EU-MDR 2017/745. Anhang I (grundlegende Sicherheits- und Leistungsanforderungen), Anhang II (technische Dokumentation) und Anhang III (technische Dokumentation über die Überwachung nach dem Inverkehrbringen) gelten für jedes Produkt unabhängig von der Risikoklasse, während das anwendbare Konformitätsbewertungsverfahren in den Anhängen IX bis XI von der Klasse abhängt.[2] Der Rahmen schafft eine objektive, evidenzbasierte Grundlage für jedes Produkt im Zielportfolio, indem dokumentierte Angaben mit gesetzlichen Einstufungen und Unterlagen Benannter Stellen abgeglichen werden.

Gemäß MDR-Artikel 51 werden Produkte entsprechend ihrer Zweckbestimmung und den inhärenten Risiken in die Klassen I, IIa, IIb und III eingeteilt, wobei die Klassifizierung nach den Klassifizierungsregeln in Anhang VIII erfolgt; Klasse I wird weiter unterteilt in Is (steril), Im (Messfunktion) und Ir (wiederverwendbare chirurgische Instrumente).[2] Diese Regeln kombinieren Kriterien wie Kontaktdauer, Grad der Invasivität, lokale versus systemische Wirkung, potenzielle Toxizität, den betroffenen Körperteil und die Frage, ob das Produkt von einer Energiequelle abhängt; finden mehrere Regeln Anwendung, gilt die strengste Regel, die zur höchsten Klasse führt.[2] Diligence-Teams müssen die angegebene Zweckbestimmung des Zielunternehmens sorgfältig prüfen, um unzulässige Herabstufungen zu erkennen, insbesondere bei Software, implantierbaren Produkten und stofflichen Medizinprodukten.

Kernsäulen der regulatorischen Due Diligence gemäß EU-MDR 2017/745 über Klassifizierung, Konformitätsbewertung und Post-Market-Compliance hinweg. · KI-generiert

Unter dem MDR-Rahmen weitet sich das Erfordernis einer Überwachung durch externe Benannte Stellen im Vergleich zu den früheren Richtlinien deutlich aus: Die Konformitätsbewertung für Produkte der Klasse I erfolgt grundsätzlich in alleiniger Verantwortung des Herstellers, während für Produkte der Klassen IIa, IIb und III eine angemessene Einbindung einer Benannten Stelle zwingend vorgeschrieben ist, die mit der Risikoklasse zunimmt.[2] Deal-Teams müssen daher ermitteln, ob die Produktklassifizierungen des Zielunternehmens die Einschaltung einer Benannten Stelle erfordern, und überprüfen, ob das Zielunternehmen eine benannte Stelle mit den entsprechenden Geltungsbereichscodes (Scope Codes) mandatiert hat.

Übergangsbestimmungen gemäß Verordnung (EU) 2023/607

Die Verordnung (EU) 2023/607 änderte die Übergangsbestimmungen von Artikel 120 der EU-MDR und verlängerte die Gültigkeit von Zertifikaten für qualifizierende Altgeräte (Legacy Devices), sofern strenge Bedingungen erfüllt sind.[3] Produkte mit höherem Risiko (Klasse III und nicht bewährte implantierbare Produkte der Klasse IIb) profitieren von einer Verlängerung bis zum 31.[3] Dezember 2027, während Produkte mit mittlerem und geringerem Risiko (sonstige Produkte der Klasse IIb, Klasse IIa sowie hochgestufte Produkte der Klasse I) bis zum 31. Dezember 2028 verlängert werden.

Keine wesentlichen Änderungen der Auslegung oder Zweckbestimmung: Das Produkt darf gemäß MDCG-Leitlinien keinen wesentlichen Modifikationen unterliegen, die sein Sicherheits- oder klinisches Profil verändern.

Einhaltung des Qualitätsmanagementsystems: Der Hersteller musste spätestens bis zum 26. Mai 2024 ein MDR-konformes QMS eingerichtet haben.

Formeller Antrag eingereicht: Ein formeller Antrag auf MDR-Konformitätsbewertung musste bis zum 26. Mai 2024 bei einer Benannten Stelle eingereicht worden sein.

Schriftliche Vereinbarung unterzeichnet: Eine formelle schriftliche Vereinbarung zwischen dem Hersteller und der Benannten Stelle musste bis zum 26. September 2024 unterzeichnet worden sein.

Im Rahmen der Due Diligence müssen Teams überprüfen, ob das Zielunternehmen jeden dieser gesetzlichen Meilensteine eingehalten hat, um zu bestätigen, dass dessen Altgeräte rechtlich von den verlängerten Übergangsfristen profitieren. Die Verordnung (EU) 2023/607 knüpft die Verlängerung an die Bedingungen, dass die Produkte weiterhin der Richtlinie 90/385/EWG oder 93/42/EWG entsprechen, dass keine wesentlichen Änderungen an der Auslegung und der Zweckbestimmung vorgenommen werden, dass spätestens bis zum 26.[4] Mai 2024 ein MDR-konformes Qualitätsmanagementsystem gemäß Artikel 10 Absatz 9 eingerichtet wurde und dass die Benannte Stelle und der Hersteller spätestens bis zum 26. September 2024 eine schriftliche Vereinbarung unterzeichnet haben.

Bei der Evaluierung eines Medizintechnik-Übernahmeziels müssen Investmentteams und ihre beratenden Partner spezifische regulatorische Arbeitsstränge anhand von Primärbelegen im Datenraum prüfen. Die Due Diligence darf sich nicht allein auf Aussagen des Managements stützen; sie erfordert die genaue Prüfung technischer Dokumentationen, klinischer Datensätze und kommerzieller Wirtschaftsakteursnetzwerke.

Technische Dokumentation und klinische Bewertung

Due-Diligence-Teams müssen technische Dokumentationen anhand der detaillierten Anforderungen von Anhang II und Anhang III der EU-MDR prüfen, die beide für Produkte jeder Risikoklasse gelten.[2] Eine vollständige technische Dokumentation muss Designverifizierung und -validierung, umfassende Risikomanagementakten nach ISO 14971 sowie die Validierung von Herstellungsprozessen umfassen. Insbesondere klinische Bewertungsberichte (Clinical Evaluation Reports, CER) erfordern eine eingehende Prüfung. Eine klinische Bewertung ist gemäß MDR Artikel 5 Absatz 3, Artikel 61 und Anhang XIV für jedes Produkt vorgeschrieben, und für implantierbare Produkte sowie Produkte der Klasse III ist eine klinische Prüfung vor dem Inverkehrbringen obligatorisch, sofern keine enge Ausnahme greift, wie etwa die nachgewiesene Äquivalenz zu einem CE-gekennzeichneten Produkt mit ausreichenden vorhandenen klinischen Daten.[2]

Post-Market Surveillance und Vigilanzsysteme

Ein konformes Qualitätssystem muss eine aktive, kontinuierliche Überwachung nach dem Inverkehrbringen nachweisen. Due-Diligence-Teams müssen Pläne zur Überwachung nach dem Inverkehrbringen (PMS-Pläne), regelmäßige Sicherheitsaktualisierungsberichte (Periodic Safety Update Reports, PSURs) sowie PMCF-Pläne (Post-Market Clinical Follow-up) und entsprechende Bewertungsberichte prüfen. Für Produkte der Klassen IIa, IIb und III muss der Hersteller für jedes Produkt einen PSUR erstellen, der für Produkte der Klassen IIb und III mindestens jährlich und für Produkte der Klasse IIa mindestens alle zwei Jahre aktualisiert wird, während Hersteller von Produkten der Klasse I stattdessen einen Bericht über die Überwachung nach dem Inverkehrbringen gemäß Artikel 85 führen müssen.[2] Darüber hinaus müssen Vorkommnismeldeprotokolle und Vigilanzakten überprüft werden, um sicherzustellen, dass schwerwiegende Vorkommnisse und Sicherheitskorrekturmaßnahmen im Feld (Field Safety Corrective Actions, FSCAs) den zuständigen Behörden innerhalb der gesetzlichen Fristen gemeldet wurden.

Software als Medizinprodukt (SaMD) und KI-Qualifizierung

Bei Zielunternehmen aus dem Bereich Digital Health und softwaregetriebene Medizintechnik muss die Due Diligence die Software-Qualifizierung gemäß MDR Anhang VIII Regel 11 und dem MDCG-2019-11-Leitfaden eingehend prüfen.[5] Nach Regel 11 fällt Software, die dazu bestimmt ist, Informationen bereitzustellen, die zu Entscheidungen für diagnostische oder therapeutische Zwecke herangezogen werden, unter die Klasse IIa; dies steigt auf Klasse IIb, wenn die Entscheidung eine schwerwiegende Verschlechterung des Gesundheitszustands oder einen chirurgischen Eingriff zur Folge haben kann, und auf Klasse III, wenn sie den Tod oder eine irreversible Verschlechterung verursachen kann, sodass nur eine schmale Restkategorie selbstzertifizierter Klasse-I-Software verbleibt.[2] Bei der Medtech-Due-Diligence ist die Überprüfung von Software-Versionskontrollen, Cybersicherheitsdokumentation und klinischer Validierung unerlässlich.

Pflichten der Wirtschaftsakteure gemäß den Artikeln 13 und 14

Die EU-MDR erlegt der gesamten Vertriebskette direkte gesetzliche Pflichten auf – von Herstellern und Bevollmächtigten bis hin zu Importeuren und Händlern, wie in Kapitel II der Verordnung dargelegt.[1] Transaktionsteams müssen überprüfen, ob das Zielunternehmen und seine Vertriebspartner alle diese Pflichten für Wirtschaftsakteure erfüllen.

Prüfpflichten des Importeurs (Artikel 13): Importeure müssen die CE-Kennzeichnung, die EU-Konformitätserklärung, die ordnungsgemäße Kennzeichnung, die Zuweisung einer UDI und die Einhaltung der Lagerungsbedingungen überprüfen.

Prüfpflichten des Händlers (Artikel 14): Händler müssen sicherstellen, dass das Produkt das CE-Zeichen trägt, dass die erforderlichen Informationen beiliegen und dass nicht konforme Produkte gesperrt werden.

Für die Einhaltung der Regulierungsvorschriften verantwortliche Person (PRRC): Hersteller müssen die Benennung einer qualifizierten PRRC gemäß Artikel 15 dokumentieren, die die gesetzlichen Anforderungen an Ausbildung und Erfahrung erfüllt.

Mandate für Bevollmächtigte: Hersteller mit Sitz außerhalb der EU müssen ein gültiges schriftliches Mandat mit einem EU-Bevollmächtigten (EC REP) gemäß Artikel 11 vorweisen.

Um eine strukturierte Entscheidungsfindung und die Automatisierung von Risikoregistern zu erleichtern, sollten Feststellungen nach Schweregrad, Auswirkungen auf die Transaktion und erforderlichen Abhilfemaßnahmen kategorisiert werden. Die folgende Tabelle bietet eine standardisierte Taxonomie für regulatorische Risiken bei Medizinprodukten im Rahmen einer M&A-Due-Diligence.

Schwerwiegende Feststellungen erfordern häufig Anpassungen des Kaufpreises, Freistellungsklauseln im Kaufvertrag oder aufschiebende Bedingungen vor dem Closing, die das Management des Zielunternehmens verpflichten, festgestellte Mängel vor der Auszahlung der Mittel zu beheben.

Ein strukturierter Due-Diligence-Prozess erfordert die Anforderung und Prüfung spezifischer regulatorischer Dokumente. Käufer sollten ihre Datenraumanforderungen so gestalten, dass sie primäre Nachweise anstelle von zusammenfassenden Memoranden erhalten.

Gültige CE-Zertifikate und Erklärungen: Aktuelle CE-Zertifikate von benannten Stellen zusammen mit den unterzeichneten EU-Konformitätserklärungen des Zielunternehmens gemäß MDR 2017/745.

Nachweise über die Übergangsberechtigung: Formelle Anträge, die vor dem 26. Mai 2024 bei Benannten Stellen eingereicht wurden, sowie vor dem 26. September 2024 unterzeichnete schriftliche Vereinbarungen gemäß Verordnung (EU) 2023/607.

Zertifizierungen des Qualitätsmanagementsystems: ISO 13485:2016-Zertifikate, Auditberichte Benannter Stellen der letzten 36 Monate und Übersichten offener Korrektur- und Vorbeugemaßnahmen (CAPA).

Technische Dokumentation und Risikomanagement: Vollständige technische Dokumentation nach Anhang II, Risikomanagementakten gemäß ISO 14971 und Gebrauchstauglichkeitsakten.

Klinische Bewertungsdokumentation: Aktuelle klinische Bewertungsberichte (CER), Pläne für die klinische Bewertung sowie PMCF-Pläne und PMCF-Evaluierungsberichte.

Protokolle zur Überwachung nach dem Inverkehrbringen und Vigilanz: Pläne zur Überwachung nach dem Inverkehrbringen, regelmäßige Sicherheitsberichte (PSURs), Trendberichte und historische Meldeprotokolle an zuständige Behörden.

Regulatorische Governance und Registrierungen: Nachweis der einmaligen Registrierungsnummer (SRN) in EUDAMED, Dokumentation zur einmaligen Produktkennung (UDI) und formelle PRRC-Ernennungsschreiben gemäß MDR Artikel 15.

Der Abgleich dieser angeforderten Dokumente mit den tatsächlich vertriebenen SKUs stellt sicher, dass in der Umsatzbasis des Zielunternehmens keine unzertifizierten Produktvarianten oder nicht genehmigten Indikationserweiterungen enthalten sind.

Die Durchführung einer regulatorischen Produkt- und Marktfähigkeits-Due-Diligence erfordert klare rechtliche Grenzen und strikte operative Protokolle. Transaktionsteams, Unternehmenskäufer und Investmentexperten müssen die folgenden strukturellen Grundsätze beachten:

Keine Rechtsberatung: Due-Diligence-Software, analytische Workflows und strukturierte Evidenzmatrizen stellen keine formelle Rechtsberatung oder gesetzliche regulatorische Beratung dar und dürfen nicht als solche ausgelegt werden.

Keine Konformitätszertifizierung: Plattform-Ergebnisse, Risikobewertungen und automatisierte Dokumentationslückenanalysen stellen keine formelle regulatorische Freigabe, Konformitätsbewertung oder offizielle Konformitätszertifizierung dar.

Bestätigung durch qualifizierte Berater erforderlich: Alle Feststellungen, identifizierten Red Flags, Lückenanalysen in der Dokumentation und Risikoklassifizierungen, die während des Diligence-Prozesses generiert werden, müssen vor dem Abschluss verbindlicher Transaktionsvereinbarungen von qualifizierten externen Rechtsberatern und spezialisierten Regulatory-Affairs-Beratern überprüft und bestätigt werden.

Evidenzstrukturierung und Risiko-Intelligence: Due-Diligence-Technologie dient ausschließlich der Unterstützung der Evidenzstrukturierung, der Problemidentifikation, der Quellenfundierung und der Erstellung von Risikoregistern über Datenraumarchive hinweg.

Durch die Einhaltung dieser Grenzen stellen Transaktionsteams sicher, dass Diligence-Ergebnisse methodisch durch zugelassene Regulierungsexperten validiert werden, während gleichzeitig die anfängliche Identifizierung kritischer Risikofaktoren beschleunigt wird.

Moderne Transaktionszeitpläne lassen wenig Raum für eine manuelle, tabellenbasierte Dokumentenprüfung über Tausende von Seiten technischer Dokumentationen für Medizinprodukte hinweg. Die Implementierung eines KI-gestützten Diligence-Workflows ermöglicht es Investmentteams und Beratern, regulatorische Evidenz mit Transaktionsgeschwindigkeit systematisch zu erfassen, abzugleichen und zu bewerten.

Plausity optimiert die regulatorische Produkt-Due-Diligence durch eine speziell entwickelte Suite von Deal-Intelligence-Funktionen. Durch den Einsatz von Data Room Ingestion können Transaktionsteams direkt Verbindungen zu virtuellen Datenräumen herstellen und komplexe technische Dokumentationen, Auditberichte und Qualitätszertifikate automatisch verarbeiten. Die AI-Analysis Engine gleicht anschließend die Angaben zur Zweckbestimmung des Produkts mit den Klassifizierungsvorschriften nach Anhang VIII und aktiven Zertifikaten Benannter Stellen ab und identifiziert zügig unbegründete Angaben oder fehlende Übergangsdokumentationen.

Identifizierte Anomalien und Compliance-Lücken werden im Risk Radar automatisch kategorisiert, der die Feststellungen nach Schweregrad, Transaktionsauswirkung und erforderlicher Fehlerbehebung einordnet. Transaktionsteams können sich anschließend im Collaboration Hub nahtlos abstimmen, um Feststellungen mit externen Regulierungsexperten abzugleichen, und den Report Builder nutzen, um prüfungsbereite regulatorische Risikoregister und Evidenzpakete für das Investment Committee mit vollständiger Quellenrückverfolgbarkeit bis hin zu den primären Datenraumunterlagen zu erstellen.

Plausity ist eine KI-native Due-Diligence- und Deal-Intelligence-Plattform, die M&A-Beratungen, VC- und PE-Fonds, Corporate-Development-Teams und Family-Office-Investmentteams dabei unterstützt, Nachweise, Findings und Fragen entlang eines Datenraums zu strukturieren. Plausity liefert keine Rechtsberatung, stellt keine Compliance-Zertifizierung aus und ersetzt keine qualifizierten juristischen oder regulatorischen Berater — die Plattform unterstützt die Strukturierung von Nachweisen, das Erkennen von Issues, die Quellenverankerung und die Vorbereitung von Risikoregistern. Alle Findings sollten durch qualifizierte juristische oder regulatorische Berater bestätigt werden.

Weitere Details zu den Kernbausteinen finden Sie beim Plausity AI Analysis Engine und in der Findings & Risk Intelligence-Übersicht. Für team-spezifische Workflows sehen Sie, wie VC- und PE-Fonds und M&A-Beratungen Plausity in laufenden Deals einsetzen.

1. [1] eur-lex.europa.eu — https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32017R0745
2. [2] health.ec.europa.eu — https://health.ec.europa.eu/system/files/2021-10/mdcg_2021-24_en_0.pdf
3. [3] eur-lex.europa.eu — https://eur-lex.europa.eu/eli/reg/2023/607/oj/eng
4. [4] eur-lex.europa.eu — https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32023R0607
5. [5] health.ec.europa.eu — https://health.ec.europa.eu/system/files/2025-06/mdcg_2019_11_en.pdf
6. [6] health.ec.europa.eu — https://health.ec.europa.eu/medical-devices-sector/new-regulations/guidance-mdcg-endorsed-documents-and-other-guidance_en
7. [7] eur-lex.europa.eu — https://eur-lex.europa.eu/eli/reg/2017/745/oj/eng