kann ich von meinem Lieferanten eine Geheimhaltungserklärung über Passdaten verlangen

Ja, das ist möglich und gängige Praxis

Eine Geheimhaltungserklärung — oft als NDA bezeichnet — kann ohne Probleme von einem Zulieferer verlangt werden, der Daten für das digitale Produktpass bereitstellt. Die ESPR (Verordnung (EU) 2024/1781) verpflichtet Zulieferer und andere Akteure in der Lieferkette, bestimmte Daten weiterzugeben, aber die Verordnung sagt nichts über die Form der Vereinbarungen dazu aus. Eine Geheimhaltungserklärung ist eine Ergänzung dazu, kein Ersatz: die Daten müssen in jedem Fall bereitgestellt werden, und die Erklärung regelt nur, was danach mit diesen Informationen außerhalb des Passes geschieht.

Für sensitive Produktinformationen, nicht für die Passdaten selbst

Der Unterschied, der hier zählt: Daten, die in den Pass gelangen, sind per Definition dazu bestimmt, für jeden, der den Pass einsieht, sichtbar zu sein — das ist nun mal der Zweck des QR-Datenträgers. Eine Geheimhaltungserklärung kann also nicht verwendet werden, um zu verhindern, dass erforderliche Passdaten letztendlich im Pass landen. Wofür eine NDA sinnvoll ist: die zugrunde liegenden technischen Spezifikationen, Rezepturen, Zusammensetzungsdetails oder Produktionsprozesse, die ein Zulieferer mitteilt, um die korrekten Passdaten zusammenstellen zu können, aber die selbst nicht im Pass stehen müssen. Ein Zulieferer teilt beispielsweise eine vollständige Materialzusammensetzung mit, um zu einem Aggregationswert zu gelangen, während nur dieser Wert im Pass erscheint. Für solche zugrundeliegenden Informationen ist eine Geheimhaltungserklärung ein normales und praktizierbares Instrument, genau wie bei anderen Zuliefererinformationen, die nicht für den Pass bestimmt sind.

Kein festes Datum, aber ein feststehendes Zeitpunkt: vor der ersten Datenabfrage

Es gibt keine gesetzliche Frist für die Ausarbeitung einer Geheimhaltungserklärung — das ist eine geschäftliche Vereinbarung zwischen Parteien, keine Verpflichtung aus der ESPR. Was feststeht: Je früher diese Vereinbarung getroffen wird, desto weniger Diskussion entsteht in dem Moment, in dem der Zulieferer tatsächlich Daten liefern muss. Unternehmen, die jetzt schon Vorbereitungen für Produktgruppen treffen, für die der Pass gelten wird, sind gut beraten, die Geheimhaltungsvereinbarung zeitgleich mit den anderen Vereinbarungen über die Datenlieferung zu regeln, anstatt dieses Thema später separat zu besprechen.

So gehen Hersteller oder Importeure praktisch vor

Als erster Schritt ist es sinnvoll, genau zu bestimmen, welche Informationen vom Zulieferer verlangt werden und welcher Teil davon rein dazu dient, die Passdaten zu erstellen, ohne selbst im Pass zu erscheinen — welche Daten muss ich bei meinem Lieferanten von Produkten anfordern bietet dafür einen Ansatzpunkt. Danach ist es praktisch, die Geheimhaltungserklärung nicht isoliert stehen zu lassen, sondern in die umfassenderen Vereinbarungen über die Datenlieferung einzubeziehen: wer liefert was, in welcher Form, und was geschieht damit. Das sollte am besten gleich ordnungsgemäß im Einkaufsvertrag festgehalten werden, damit die Geheimhaltungserklärung und die Lieferverpflichtung sich nicht widersprechen — siehe wie halte ich die Bereitstellung von Passdaten in meinem Einkaufsvertrag fest. Ein dritter Punkt ist zu beachten: Eine Geheimhaltungserklärung regelt den Umgang mit Informationen, sagt aber nichts darüber aus, ob die bereitgestellten Daten auch korrekt sind. Das bleibt ein separater Aspekt, siehe wie überprüfe ich, ob die daten meines lieferanten korrekt sind. Schließlich ist es ratsam, in der Erklärung klar zu machen, dass diese der Verpflichtung nicht im Wege steht, Passdaten tatsächlich bereitzustellen — ein Zulieferer, der sich hinter Geheimhaltung versteckt, um nicht zu liefern, ändert nichts an der Verpflichtung, die sich aus Artikel 38 der ESPR ergibt.

Die rechtliche Grundlage: Artikel 38, 29 und 10 der ESPR

Artikel 38 der ESPR (Verordnung (EU) 2024/1781) beschreibt die Anforderungen an Akteure in der Lieferkette: Sie müssen bestimmte Informationen bereitstellen, die erforderlich sind, um das digitale Produktpass zusammenzustellen. Diese Verpflichtung steht unabhängig von etwaigen Vertraulichkeitsvereinbarungen zwischen den Parteien — die Verordnung regelt, welche Daten geliefert werden müssen, nicht wie Lieferant und Abnehmer dies untereinander bezüglich der Vertraulichkeit des Übrigen absprechen. Artikel 29 beschreibt auf vergleichbare Weise die Verpflichtungen von Importeuren, die ebenfalls von einer korrekten Datenbereitstellung durch Parteien außerhalb der EU abhängen — relevant für diejenigen, die Produkte von außerhalb der Union einführen, wie näher beschrieben in was bedeutet der Produktpass, wenn ich Produkte von außerhalb der EU importiereArtikel 10 der ESPR beschreibt die Anforderungen an das digitale Produktpass selbst, einschließlich welche Daten darin für alle zugänglich sein müssen — und genau das ist die Grenze, die eine Vertraulichkeitserklärung nicht verschieben kann: Was verpflichtend im Pass stehen muss, bleibt sichtbar, unabhängig von etwaigen Vereinbarungen dazu.

Wer diese Absprache festhalten möchte, lässt die Vertraulichkeitserklärung am besten als Teil der umfassenden Einkaufsvereinbarungen mit dem Lieferanten aufstellen, damit Vertraulichkeit und Lieferverpflichtung in einem Dokument aufeinander abgestimmt sind, statt unabhängig voneinander zu bestehen.

Worauf dies basiert

Die Verordnung selbst steht auf EUR-Lex. Wir verweisen pro Aussage; Sie müssen uns nicht glauben.

Was Sie konkret tun müssen

Was von Ihnen erwartet wird

Eine Vertraulichkeitserklärung vom Lieferanten zu verlangen ist möglich, und in der Praxis geschieht dies auch regelmäßig, sobald Passdaten das Unternehmen in Richtung einer Plattform wie unserer oder zu einer anderen Partei in der Kette verlassen. Die ESPR (Verordnung (EU) 2024/1781) regelt, welche Daten im digitalen Produktpass stehen müssen und wer sie bereitstellen muss, aber die Verordnung enthält keine Bestimmung, die eine Vertraulichkeitserklärung vorschreibt oder verbietet. Dies ist also eine geschäftliche Vereinbarung zwischen Ihnen und Ihrem Lieferanten, unabhängig von der Pass-Verpflichtung selbst.

Datenbereitstellung durch den Lieferanten

Artikel 38 der ESPR beschreibt, was von Akteuren in der Lieferkette erwartet wird, wenn es um die Bereitstellung von Informationen für das Produktpass geht. Für ein Unternehmen mit 10 bis 100 Mitarbeitern bedeutet dies in der Praxis, dass ein Lieferant Daten über Materialien, Zusammensetzung, Herkunft oder andere Merkmale bereitstellt, die erforderlich sind, um das Pass vollständig zu machen. Diese Daten können wettbewerbssensitiv sein: ein Rezept, eine spezifische Legierung, ein Lieferant eines kritischen Teils. Das Verlangen einer Vertraulichkeitserklärung beeinträchtigt also nicht die Verpflichtung zur Lieferung, sondern die Art und Weise, wie diese erfolgt.

Zusammenstellung des digitalen Produktpass

Artikel 10 der ESPR beschreibt die Anforderungen, die das digitale Produktpass erfüllen muss, einschließlich der Zugänglichkeit von Daten für verschiedene Parteien wie Behörden, Verbraucher oder Recycler. Dies bedeutet, dass ein Teil der Daten, die ein Lieferant bereitstellt, letztendlich über das Pass für Dritte sichtbar wird. Für ein Unternehmen, das das Pass zusammenstellen lässt, ist es daher sinnvoll, vorher mit dem Lieferanten zu besprechen, welche Daten im Pass landen und welche Daten nur intern erforderlich sind, um das Pass korrekt ausfüllen zu können. Eine Vertraulichkeitserklärung befasst sich typischerweise mit dieser zweiten Kategorie: den zugrundeliegenden Daten, die nicht im Pass selbst erscheinen, aber erforderlich sind, um zu einer korrekten Zusammenstellung zu gelangen.

Verpflichtungen bei der Einfuhr

Artikel 29 der ESPR beschreibt die Verpflichtungen von Importeuren, einschließlich der Überprüfung, ob das Pass vorhanden und korrekt ist, bevor ein Produkt auf den EU-Markt kommt. Für Unternehmen, die mit Teilen von außerhalb der EU produzieren oder montieren, spielt dies eine Rolle: Der Importeur benötigt üblicherweise mehr Daten von einem ausländischen Lieferanten als nur das, was im Pass enthalten ist, um diese Überprüfung durchführen zu können. Wer hier mehr erfahren möchte, findet Hintergrundinformationen unter was das Produktpasseport bei der Einfuhr von außerhalb der Europäischen Union bedeutet. Auch in dieser Beziehung ist eine Vertraulichkeitserklärung ein übliches Instrument, um vertrauliche technische oder kommerzielle Informationen zu schützen, ohne die Datenbereitstellung selbst zu behindern.

Wo es in der Praxis schiefgeht

Ein Lieferant weigert sich, Daten bereitzustellen, mit dem Argument, dass die Informationen vertraulich sind, während nie eine Vertraulichkeitserklärung angefordert wurde. Das Gespräch dreht sich dann um "liefern oder nicht liefern", während die eigentliche Frage "unter welchen Bedingungen" ist. Siehe auch, was zu tun ist, wenn ein Lieferant die Daten nicht bereitstellt.

Eine Vertraulichkeitserklärung wird erst nach Abschluss der Kaufvereinbarung angesprochen, wenn der Lieferant bereits Daten geteilt hat. Das wirkt sich kontraproduktiv aus: Die Erklärung hat dann keine Kontrolle mehr über das, was bereits ausgetauscht wurde.

Ein Unternehmen fordert eine allgemeine Vertraulichkeitserklärung an, ohne festzulegen, um welche Daten es genau geht. Der Lieferant unterzeichnet etwas Vagueres als nötig oder etwas, das die eigenen Möglichkeiten zur Zusammenstellung des Produktpasses einschränkt.

Es wird kein Unterschied gemacht zwischen Daten, die im Produktpass selbst erscheinen — und daher per Definition für Dritte einsehbar sind — und Daten, die nur intern verwendet werden. Eine Vertraulichkeitserklärung, die besagt, dass "alle Daten" vertraulich sind, steht dann im Widerspruch zu dem, was der Produktpass gemäß Artikel 10 der ESPR offenlegen muss.

Bei einem Lieferanten, der Komponenten für mehrere Produktgruppen gleichzeitig liefert, wird eine Vertraulichkeitserklärung für alle Datenströme verwendet, während sich die Sensibilität und die geltenden Produktpassanforderungen pro Produktgruppe unterscheiden können. Wer mit solch einem Lieferanten zusammenarbeitet, liest weiter unter ein Lieferant, der Komponenten für verschiedene Produktgruppen liefert.

Was Sie dokumentieren können

Eine Vertraulichkeitserklärung (NDA), die spezifisch benennt, welche Datenkategorien unter die Geheimhaltung fallen, und welche Daten tatsächlich dazu bestimmt sind, im Produktpass zu erscheinen und daher nicht vertraulich sind.
Eine Bestimmung im Kaufvertrag über die Bereitstellung von Produktpassdaten, einschließlich eines Verweises auf die Vertraulichkeitserklärung als separates Dokument. Ein ausgearbeitetes Beispiel finden Sie unter Vereinbarungen über die Lieferung von Passdaten im Einkaufsvertrag.
Ein Überblick über die genauen Daten, die der Lieferant bereitstellen muss, damit die Vertraulichkeitserklärung nicht breiter wird als nötig. Siehe welche Daten beim Lieferanten angefordert werden.
Eine Vereinbarung darüber, was mit der Vertraulichkeitserklärung beim Wechsel des Lieferanten geschieht, damit alte Erklärungen nicht auf eine Weise weiterlaufen, die nicht mehr zur neuen Situation passt. Relevant bei dem Wechsel des Lieferanten während der Nutzung.
Eine Verfahrensweise zur Überprüfung bereitgestellter Daten auf Richtigkeit, bevor sie in den Produktpass eingehen, damit eine Vertraulichkeitserklärung einer ordnungsgemäßen Überprüfung nicht im Wege steht. Weitere Informationen hierzu unter die Überprüfung der Daten auf Richtigkeit.
Bei Verwendung mehrerer Lieferanten für dieselbe Komponente: eine Vereinbarung pro Lieferant, anstelle eines Dokuments, das für alle auf die gleiche Weise gilt. Hintergrund hierzu finden Sie unter mehrere Lieferanten für dieselbe Komponente.

Dies ist keine Rechtsberatung. Diese Seite enthält allgemeine Informationen über die Rechtsvorschriften, auf die sich diese Plattform bezieht. Wir kennen Ihre Situation nicht. Im Zweifelsfall über Ihre eigene Situation konsultieren Sie einen Rechtsanwalt oder die zuständige Aufsichtsbehörde.

Mit KI verfasst basierend auf den obigen Quellen, von einem Menschen am 2026-09-05 überprüft. Stimmt etwas nicht? Lassen Sie es uns wissen — Korrektionen haben Vorrang.