wie werden meine Produktdaten im Pass vor Missbrauch geschützt

Zugriffsrechte und technische Anforderungen bestimmen die Sicherheit

Die Sicherheit von Daten im digitalen Produktpass ergibt sich aus einer Kombination von Zugriffsrechten und technischen Anforderungen, die die ESPR an den Pass stellt. Nicht alle Daten im Pass sind für jeden sichtbar: die Verordnung unterscheidet zwischen Informationen, die für Verbraucher und andere Parteien öffentlich zugänglich sind, und Informationen, die nur für bestimmte Gruppen wie Überwachungsbehörden, Marktteilnehmer in der Lieferkette oder Reparaturbetriebe bestimmt sind. Darüber hinaus stellt Artikel 11 der ESPR (Verordnung (EU) 2024/1781) Anforderungen an die technische Gestaltung des Passes, einschließlich Anforderungen zur Zuverlässigkeit und zum Ursprung der Daten. Wer den Pass tatsächlich hostet und technisch einrichtet, muss diese Anforderungen in konkrete Maßnahmen umsetzen: Authentifizierung, Verschlüsselung und Beschränkung, wer welche Daten einsehen oder ändern darf.

Dies betrifft den Datenschutz, nicht die Betrugsprävention

Die Frage "wie werden meine Produktdaten vor Missbrauch geschützt" hat zwei Seiten, und die ESPR regelt vor allem eine davon. Die Verordnung stellt Anforderungen an das System: wer Zugriff auf welche Daten erhält, wie die Herkunft von Daten zu überprüfen ist, und welche technischen Standards für die Speicherung und den Austausch von Daten gelten. Das berührt Missbrauch im Sinne von unbefugtem Zugriff oder Datenmanipulation. Was die ESPR nicht regelt, ist der Schutz vor unlauterem Wettbewerb, der dennoch Zugriff auf geschäftssensible Informationen erhält, weil diese Informationen verpflichtend öffentlich sein müssen — das ist eine Entscheidung, die in der delegierten Verordnung pro Produktgruppe getroffen wird, nicht etwas, das eine technische Sicherheitsmaßnahme ändern kann. Es ist also notwendig, zwei Dinge auseinanderzuhalten: welche Daten verpflichtend öffentlich sind (das folgt aus den produktgruppenspezifischen Regeln) und wie die Daten, die nicht öffentlich sind, abgeschirmt werden (das folgt aus Artikel 10 und 11 der ESPR). Wer besorgt ist, dass Konkurrenten genaue Rezepturen, Lieferantennamen oder interne Testergebnisse aus dem Pass entnehmen können, sollte sich also die produktgruppenspezifischen Regeln anschauen, um zu sehen, was als Pflichtfeld vorgesehen ist, anstatt sich auf die Sicherheit der Plattform zu verlassen.

Noch kein fester Stichtag für die technische Umsetzung

Ein genaues Datum, an dem die technischen und organisatorischen Sicherheitsanforderungen für digitale Produktpässe in Kraft treten, ist im Kern der ESPR selbst nicht festgelegt. Die Verordnung legt in Artikel 10 und 11 die Rahmenbedingungen fest, innerhalb derer die Europäische Kommission durch delegierte Rechtsakte und Durchführungsrechtsakte pro Produktgruppe weiter vorgibt, wie Zugriff, Authentifizierung und Datensicherheit technisch ausgestaltet werden. Bis diese Durchführungsrechtsakte vorliegen, gelten die allgemeinen Bestimmungen der ESPR als Ausgangspunkt, aber die konkrete technische Spezifikation — beispielsweise welches Protokoll für die Authentifizierung verwendet wird oder wie die Rechteverwaltung genau funktioniert — folgt pro Produktgruppe zu dem Zeitpunkt, an dem der delegierte Rechtsakt angenommen wird. Wer hierüber Sicherheit für eine bestimmte Produktgruppe haben möchte, tut gut daran, den Status des delegierten Rechtsakts über die offiziellen Quellen zu verfolgen, anstatt auf ein allgemeines Datum zu warten, das es nicht gibt.

Was ein Hersteller oder Importeur hieraus entnehmen kann

Für einen Hersteller oder Importeur, der ein Passierbuch zusammenstellen lässt, ist die praktische Reihenfolge wie folgt. Zunächst ist relevant, welche Daten die produktgruppenspezifischen Vorschriften als öffentlich verpflichtend kennzeichnen, und welche Daten mit beschränktem Zugang versehen bleiben dürfen — das bestimmt, was überhaupt an Sichtbarkeit gegeben ist, unabhängig von der Technik. Anschließend ist relevant, wie die Partei, die das Passierbuch hostet, den Zugang zu nicht-öffentlichen Daten technisch schützt: mit welcher Authentifizierung, und ob Unterschiede zwischen Rollen wie Aufsichtsbehörde, Recycler oder Reparateur gemacht werden. Danach ist die Frage, wie die Identifizierung des Produkts selbst eingerichtet ist, denn ein Passierbuch ist nur so zuverlässig wie die Verknüpfung zwischen Produkt und Daten: siehe auch, wie du jedes Produkt einen eindeutigen Identifikationscode liefert, damit Daten nicht versehentlich oder absichtlich mit dem falschen Produkt verknüpft werden. Schließlich ist da noch die Frage zum physischen Zugang: der QR-Code auf dem Produkt selbst bildet den Zugang zum Passierbuch, und wer sich fragt, was passiert, wenn dieser Code beschädigt oder unleserlich wird, muss wissen, dass dies ein anderes Risiko ist als Datenlecks — es geht dann um Verfügbarkeit, nicht um Missbrauch von Daten. Für Daten, die aus einem eigenen ERP-System bereitgestellt werden, ist es zudem sinnvoll zu wissen, wie diese Verknüpfung funktioniert, siehe mit einem eigenen System verknüpfen, da die Sicherung dieser Verknüpfung genauso Teil der Kette ist.

Rechtsgrundlage: Artikel 10, 11 und 38 der ESPR

Diese Erklärung folgt aus drei Artikeln der ESPR (Verordnung (EU) 2024/1781). Artikel 10 beschreibt die Anforderungen für das digitale Produktpass im Allgemeinen, einschließlich der Unterscheidung zwischen öffentlichen und beschränkt zugänglichen Daten. Artikel 11 regelt das technische Design und die Funktionsweise des Passes, mit Anforderungen, die sich auf die Zuverlässigkeit, Herkunft und Sicherheit von Daten auswirken, und darauf, wer welche Daten abrufen oder ändern darf. Artikel 38 stellt Anforderungen an Akteure in der Lieferkette, was relevant ist, weil mehrere Parteien — Hersteller, Importeur, Distributor — Daten bereitstellen oder abrufen, und ihre Rolle daher eine Rolle bei der Regelung des Zugangs spielt.

Wer derzeit ein Passierbuch vorbereitet, sollte am besten zunächst überprüfen, welche Daten für die eigene Produktgruppe öffentlich offengelegt werden müssen, und dies getrennt halten von der Frage, wie die Hostingpartei den Zugang zu übrigen Daten technisch schützt — die offiziellen Texte der Artikel 10 und 11 bilden dafür den Ausgangspunkt, ergänzt durch die produktgruppenspezifische Durchführungsmaßnahme, sobald diese verfügbar ist.