Der Pass speichert keine Kundendaten

Ein Einwand kommt in fast jeder internen Prüfung eines Projekts zum digitalen Produktpass (DPP), meist aus der Rechtsabteilung oder vom Datenschutzbeauftragten, und er beruht auf einem Missverständnis, das man schnell ausräumen sollte, weil es Projekte grundlos blockiert.

Der Pass ist keine Kundendatenbank.

Was die Verordnung sagt

Die Ökodesign-Verordnung enthält mehrere Schutzmechanismen, im Einklang mit der DSGVO.

Datenschutz durch Technikgestaltung und durch Voreinstellung ist ein Kernprinzip: Der allgemeine Zugang zu Produktinformationen ist anonym, ohne Identifikation der zugreifenden Person. Wer im Laden einen Code scannt, identifiziert sich nicht, um den Pass zu sehen.

Keine personenbezogenen Daten als Standard. Die Verordnung stellt ausdrücklich fest, dass personenbezogene Kundendaten nicht im Pass gespeichert werden sollen.

Einwilligung als einzige Ausnahme. Personenbezogene Daten könnten nur dann mit einem Pass verknüpft werden, wenn eine Person eine ausdrückliche, informierte Einwilligung für einen bestimmten, klar genannten Zweck erteilt, in vollem Einklang mit der DSGVO.

Der Pass beschreibt das Produkt, nicht die Person, die es hält.

Warum die Verwirrung entsteht

Die Verwirrung ist nachvollziehbar, und sie kommt aus zwei Richtungen.

Der erste ist der QR-Code. Scannbare Codes auf Produkten sind stark mit Marketingkampagnen assoziiert, bei denen es genau darum geht, die scannende Person zu identifizieren und zu verfolgen. Ein Compliance-Mechanismus, der dieselbe Oberfläche nutzt, sieht auf den ersten Blick nach demselben aus.

Der zweite ist, dass manche Anbieter tatsächlich Consumer-Engagement-Funktionen auf der Passinfrastruktur bauen, und diese Funktionen können personenbezogene Daten mit Einwilligung umfassen. Das ist eine eigene Produktentscheidung, gestapelt über dem Compliance-Datensatz, und sie sollte als solche geprüft werden, getrennt und für sich.

Was die Rechtsabteilung wirklich prüfen sollte

Die Prüfung umlenken statt beenden, denn hier gibt es echte Fragen.

Zugriffsrechte. Der Pass zeigt verschiedenen Parteien verschiedene Daten. Wer sieht die eingeschränkte Ebene, auf welcher Grundlage, und wie wird das durchgesetzt? Das ist eine echte Designfrage mit Datenschutzbezug, auch wenn keine personenbezogenen Daten beteiligt sind.

Scan-Analytik. Wenn Scan-Ereignisse protokolliert werden: Was wird protokolliert, wie lange, und kann davon etwas eine Person identifizieren? Aggregierte Geografie ist kein personenbezogenes Datum; ein Geräte-Fingerabdruck mit Ort und Zeitstempel verdient einen Blick.

Jede verbrauchergerichtete Ebene. Konten, Eigentumsregistrierung, Garantieregistrierung und Second-Hand-Übertragung betreffen alle Personen. Wenn du sie anbietest, brauchen sie eine eigene Rechtsgrundlage und eine eigene Information, getrennt vom Pass.

Kaufmännisch sensible Produktdaten. Die interessantere Vertraulichkeitsfrage betrifft meist gar keine personenbezogenen Daten. Sie betrifft Lieferantenidentität und kostenverratende Zusammensetzungsdaten, und wer sie sehen darf.

Der praktische Punkt

Wenn ein DPP-Projekt aufgehalten wird, weil jemand glaubt, es gefährde Kundendaten, ist die Antwort ein Absatz Verordnungstext, und das Projekt kann weiterlaufen. Danach kommt das schwierigere Gespräch über Zugriffsrechte und kaufmännische Vertraulichkeit.

Quellen

• Europäische Kommission, *Digital Product Passport: Frequently Asked Questions*, Aktualisierung
• Januar 2026, Frage 16 zu Datenschutzaspekten.
• Verordnung (EU) 2016/679 (DSGVO), Verordnung (EU) 2024/1781 (ESPR).