Dein Pass muss die Insolvenz deines Anbieters überleben

Hier ist eine Frage, die fast niemand einem Anbieter für digitale Produktpässe (DPP) in der Beschaffung stellt, und es ist die, die der Verordnung am wichtigsten ist.

Dein Anbieter geht unter. Geht dein Pass mit ihm aus?

Das Gesetz sagt, das darf nicht sein

Der Pass muss über die Lebensdauer des Produkts verfügbar bleiben, und die Ökodesign-Verordnung legt einen konkreten Mechanismus dahinter. Nach Artikel 10(4) muss der Wirtschaftsakteur eine Sicherungskopie des Passes über einen Dienstleister für digitale Produktpässe verfügbar machen.

Anhang III geht weiter: Der Pass selbst muss die Referenz des Anbieters tragen, der diese Sicherungskopie hostet. Die Kontinuitätsvereinbarung ist kein privates Vertragsdetail. Sie reist innerhalb des Compliance-Datensatzes mit.

Das ist also keine optionale Resilienz, die eine Einkaufsabteilung gegen einen besseren Preis tauschen kann. Es ist eine Anforderung, und das Fehlen einer Vereinbarung ist eine Lücke im Pass selbst.

Warum es diese Anforderung gibt

Weil der Pass fast alles überdauert, was ihn umgibt.

Ein 2029 verkauftes Produkt mit fünfzehn Jahren Lebensdauer braucht einen Pass, der 2044 antwortet. In dieser Zeit wird ein Lieferant ersetzt, ein ERP migriert, ein Hosting-Vertrag neu verhandelt, und es besteht eine reale Wahrscheinlichkeit, dass mindestens ein Anbieter in der Kette übernommen wird, die Richtung wechselt oder scheitert.

Passdaten sollen Recyclern und Reparierenden am Lebensende dienen, also genau in dem Moment, der am weitesten vom Verkauf entfernt ist, und in dem die ursprünglichen Geschäftsbeziehungen am unwahrscheinlichsten noch existieren.

Was man einen Anbieter fragen sollte, uns eingeschlossen

Vier Fragen, und kurze Antworten sind das gute Zeichen.

Wo liegt der Pass, und kann ich ihn heute vollständig exportieren, ohne zu fragen? Wenn der Export ein Support-Ticket, ein Professional-Services-Projekt oder eine Vertragsverhandlung ist, sind die Daten schon jetzt weniger portabel, als sie aussehen.

Wer hält die Sicherungskopie nach Artikel 10(4), und wie wird diese Referenz im Pass geführt? Hier gibt es eine richtige Antwort, und das ist ein Name, keine Beruhigung.

Wie lautet der dokumentierte Prozess, wenn ihr den Betrieb einstellt? Escrow, eine Nachfolgeregelung, ein Export-Auslöser. Etwas Schriftliches.

Können die Daten anderswo neu gehostet werden, ohne die Kennungen neu auszugeben? Wenn ein Anbieterwechsel neue Kennungen bedeutet, wird jeder bereits auf ein physisches Produkt gedruckte Datenträger falsch, und das ist keine Migration, sondern ein Rückruf.

Warum wir diese Seite auf unsere eigene Website stellen

Weil die Frage gegen jeden Anbieter schneidet, uns eingeschlossen, und weil ein Einkäufer, der sie stellt, in zehn Jahren noch konform sein wird. Die Verordnung ist ausdrücklich: Dienstleister dürfen Passdaten nicht verkaufen, weiterverwenden oder über das hinaus verarbeiten, was der Dienst erfordert, es sei denn, der Akteur stimmt ausdrücklich zu. Ein Anbieter, dessen Geschäftsmodell darauf beruht, deine Daten als Geisel zu halten, steht bereits im Widerspruch zum Text.

Quellen

• Verordnung (EU) 2024/1781 (ESPR): Artikel 2(32) zur Definition des DPP-Dienstleisters,
• Artikel 10(4) zur Sicherungskopie, Artikel 11 zu den Pflichten der Dienstleister, Anhang III
• Buchstabe (l) zur Referenz des Sicherungsanbieters.