Wer darf welche Daten aus dem Produktpass einsehen?

Was Sie konkret tun müssen

Was von Ihnen erwartet wird

Das digitale Produktpass ist kein Dokument mit einer einzigen Zugriffsebene. Die ESPR geht von gestuftem Zugriff aus: Einige Daten sind für jeden, der den QR-Code scannt, andere Daten sind nur für spezifische Parteien wie Marktteilnehmer, Behörden oder Reparateure bestimmt. Dieser Unterschied muss sich in der technischen Ausgestaltung des Passes widerspiegeln.

Unterscheidung zwischen öffentlichen und eingeschränkten Daten

Artikel 10 der ESPR (Verordnung (EU) 2024/1781) nennt, welche Datenkategorien in ein Produktpass gehören, aber nicht jede Kategorie ist für jeden Besucher sichtbar. Für ein Unternehmen mit 10 bis 100 Mitarbeitern bedeutet dies, dass bei der Erstellung des Passes eine Auswahl getroffen wird: Welche Daten sind für den Verbraucher an der Ladentheke geeignet, und welche Daten sind tatsächlich für einen Monteur, einen Recycler oder einen Marktinspekteur bestimmt. Dieser Unterschied ist unabhängig von der Frage welche Daten im Produktpass von Produkten enthalten sind — diese Frage betrifft den Inhalt, jene Frage betrifft, wer welchen Teil dieses Inhalts zu sehen bekommt.

Zugriff an die Rolle des Benutzers knüpfen

Artikel 11 der ESPR (Verordnung (EU) 2024/1781) beschreibt die technische Ausgestaltung und Funktionsweise des digitalen Produktpasses, und darin wird verdeutlicht, dass der Zugriff auf Daten je nach Benutzerkategorie gestaffelt sein kann. Für ein Unternehmen bedeutet dies in der Praxis, dass die Plattform, auf der der Pass gehostet wird, zwischen einem Verbraucher, der allgemeine Produktinformationen sucht, einem Marktteilnehmer, der weitere Kettendaten benötigt, und einer Aufsichtsbehörde, die über einen umfassenderen Datensatz verfügt, unterscheiden muss. Wer dies selbst technisch einrichten muss, steht vor einer erheblichen Aufgabe; wer den Pass von einer Plattform hosten lässt, die diesen gestuften Zugriff bereits unterstützt, muss diesen Teil nicht selbst aufbauen.

Geschäftssensible Informationen abschirmen, ohne die Verpflichtung zu unterlaufen

Nicht alle Daten, die in einen Pass gehören, sind für vollständige Öffentlichkeit geeignet. Die ESPR bietet Raum, um bestimmte Daten auf spezifische Benutzergruppen zu beschränken, aber das ist keine Freikarte, um sensible Informationen ganz wegzulassen. Was darin möglich ist und was nicht, wird ausführlicher beschrieben unter Muss ich sensible Geschäftsdaten über meine Produkte öffentlich machenFür die Frage, wer was sehen darf, ist der relevante Punkt, dass die Abschirmung eine Frage der Zugriffsstufe ist, nicht des Löschens von Daten aus dem Pass.

Sicherstellen, dass die richtige Partei auf die richtigen Daten zugreifen kann

Ein drittes Element ist praktischer Natur: Der Pass muss so gestaltet sein, dass eine Behörde, ein Marktteilnehmer weiter unten in der Lieferkette oder ein Reparaturbetrieb tatsächlich auf die Daten zugreifen können, die für sie relevant sind, ohne dass sie dafür davon abhängig sind, dass der Hersteller etwas nachschlagen und weitergeben muss. Das bezieht sich auch auf die Frage muss ich Informationen über Reparatur und Ersatzteile in das Produktpass eintragen — Reparaturinformationen haben nur dann einen Wert, wenn die Partei, die die Reparatur durchführt, auch wirklich erreichbar ist, zu dem Zeitpunkt, zu dem dies erforderlich ist.

Wo es in der Praxis schiefgeht

Eine Reihe von Situationen tritt in der Praxis regelmäßig auf.

Ein Unternehmen stellt alle Daten auf einer öffentlich zugänglichen Ebene bereit, einschließlich Informationen, die eigentlich nur für Behörden bestimmt sind. Dies löst die technische Aufgabe des gestuften Zugangs, indem es sie schlicht vermeidet, setzt aber dadurch auch geschäftssensible oder anderweitig sensible Daten in die Auslage.

Ein anderes Unternehmen handelt gegenteilig: Aus Vorsicht wird möglichst viel hinter eine Anmeldung oder einen eingeschränkten Zugang gestellt, auch Daten, die eigentlich für den Verbraucher bestimmt sind. Das Ergebnis ist ein Paspoort, das beim Scannen des QR-Codes kaum mehr anzeigt als einen Vermerk "bitte kontaktieren Sie uns", während die Absicht war, dass Basisinformationen direkt sichtbar sind.

Eine dritte Situation entsteht, wenn ein Unternehmen mit mehreren Produktgruppen arbeitet und für jede Gruppe eine andere Plattform oder einen anderen Ansatz nutzt. Zugriffsebenen, die für ein Produktpass eingerichtet sind, gelten dann nicht automatisch für das andere, und Behörden oder Geschäftspartner, die verschiedene Produkte desselben Unternehmens einsehen, treffen auf inkonsistenten Zugriff.

Eine vierte Situation: Ein Unternehmen geht davon aus, dass der Zugriff auf den Produktpass eine einmalige Einstellung ist, während sich Daten und die damit verbundenen Nutzer im Laufe der Zeit verändern. Das führt zu der Frage wie oft muss ich die Daten im Produktpass aktualisieren — eine geänderte Stückliste oder ein neues Recyclingverfahren hat wenig Wert, wenn die Partei, die diese Informationen benötigt, keinen Zugriff auf die aktualisierte Version erhält.

Eine fünfte Situation tritt bei Unternehmen auf, die innerhalb der EU exportieren und denken, dass Zugriffsebenen je Sprache oder je Mitgliedstaat unterschiedlich sind. Der Zugriff ist an die Rolle des Nutzers gekoppelt, nicht an die Sprache, in der die Daten angezeigt werden — ein Unterschied, der auch bei der Frage relevant ist muss ich das Produktpass in mehreren Sprachen anbieten.

Was Sie dokumentieren können

• Ein Überblick über welche Datenkategorien im Produktpass öffentlich zugänglich sind und welche auf spezifische Nutzergruppen beschränkt sind, einschließlich des Grundes für diese Entscheidung.
• Eine Beschreibung, welche Rollen Zugriff auf welche Ebene erhalten: Verbraucher, Marktteilnehmer, Behörden, Reparaturbetrieb oder Recycler.
• Vereinbarungen mit der Hosting-Plattform darüber, wie Zugriffsebenen technisch durchgesetzt werden, und wer verantwortlich ist, wenn dieser Zugriff angepasst werden muss.
• Ein festgelegtes Verfahren zur Aktualisierung der Zugriffsrechte, wenn sich Daten ändern oder wenn neue Nutzergruppen relevant werden.
• Dokumentation darüber, welche Daten als unternehmensvertraulich gekennzeichnet sind und auf welcher Zugriffsebene diese platziert sind.
• Ein interner Ansprechpartner für Fragen von Behörden oder Geschäftspartnern zum Zugriff auf spezifische Daten im Produktpass.

Für Unternehmen, die mit mehreren Produktgruppen arbeiten, wird empfohlen, diese Vereinbarungen einmalig zentral festzulegen, damit nicht für jeden Produktpass erneut die gleichen Entscheidungen getroffen werden müssen. Wer unsicher ist, ob eine bestimmte Produktgruppe bereits unter diese Verpflichtungen fällt, findet einen ersten Anknüpfungspunkt bei gilt das digitale Produktpaspoort für meine Produkte.