Was dir ein Passdienstleister nach der Verordnung schuldet

Wenn du Infrastruktur für den digitalen Produktpass (DPP) kaufst, statt sie zu bauen, kaufst du aus einer Kategorie, die die Verordnung definiert und begrenzt. Zu wissen, was der Text sagt, ist etwas Nützliches für ein Anbietergespräch, unseres eingeschlossen.

Die Rolle existiert im Gesetz

Die Ökodesign-Verordnung definiert den Dienstleister für digitale Produktpässe als unabhängigen Dritten, der vom Wirtschaftsakteur, der das Produkt bereitstellt, beauftragt ist und Passdaten verarbeitet, um sie denjenigen mit Zugriffsrechten verfügbar zu machen.

Die Kommission selbst hält fest, dass die Nutzung eines solchen Dienstleisters für viele Unternehmen ein direkter Weg zur Compliance sein wird, da der Dienstleister die technischen Anforderungen übernimmt, einschließlich der gesetzlich vorgeschriebenen Sicherungskopien.

Daraus folgen zwei Pflichten, die du von einem Anbieter einfordern kannst.

Was der Anbieter tun muss

Die Sicherungskopie halten. Der Akteur muss eine Sicherungskopie des Passes über einen Dienstleister verfügbar machen, und der Pass selbst muss eine Referenz auf den Anbieter tragen, der sie hostet. Diese Referenz reist innerhalb deines Compliance-Datensatzes mit, deine Kontinuitätsvereinbarung ist also im Pass sichtbar statt in einem Vertrag vergraben. Mehr dazu, warum das zählt, in Datenkontinuität.

Im Dienst bleiben. Dienstleister dürfen Passdaten nicht verkaufen, weiterverwenden oder über das hinaus verarbeiten, was der Dienst erfordert, es sei denn, der Akteur stimmt ausdrücklich zu.

Diesen zweiten Punkt sollte man zweimal lesen, wenn man je einen SaaS-Vertrag mit weiten Datennutzungsklauseln unterschrieben hat. In dieser Kategorie wird die Voreinstellung von der Verordnung gesetzt und nicht von dem, was der Vertrag sagt, und ein Anbieter, der weite Rechte an deinen Produktdaten sucht, bittet dich, auf einen Schutz zu verzichten, den dir das Gesetz gibt.

Was später kommen kann

Die Kommission ist ermächtigt, Anforderungen an Dienstleister festzulegen und gegebenenfalls ein Zertifizierungsschema zur Konformitätsprüfung.

Noch existiert nichts. Aber es lohnt sich aus einem kaufmännischen Grund zu verfolgen: Wenn ein Zertifizierungsschema kommt, wird es zu einer Hürde, die Anbieter begünstigt, die bereits an den Anforderungen ausgerichtet sind, und zu einer Frage, die deine Prüfer zu deinem Anbieter stellen werden.

Fünf Fragen an jeden Anbieter

Seid ihr der Sicherungsanbieter nach Artikel 10(4), und wie wird diese Referenz im Pass geführt? Ein Name, keine Beruhigung.

Wie lauten eure Datennutzungsklauseln, und wie stehen sie zur Beschränkung aus Artikel 11? Die Antwort sollte enger sein als ein Standard-SaaS-Vertrag, nicht weiter.

Können wir den vollständigen Datensatz heute exportieren, ohne die Kennungen neu auszugeben? Portabilität ist eine Eigenschaft der Daten, nicht des Vertrags.

Was passiert, wenn ihr den Betrieb einstellt? Etwas Schriftliches.

Welche Kennungsschemata führt ihr, und verlangt ihr ein eigenes? Behandelt in Kennungen erklärt.

Wir beantworten alle fünf schriftlich, und wir halten es für richtig, dass eine Käuferin, die sie jedem Anbieter stellt, ein besseres Ergebnis bekommt, unabhängig davon, wen sie wählt. Die Anforderung überdauert die Anbieterbeziehung, und genau deshalb hat die Verordnung diese Kategorie geschaffen.

Quellen

• Verordnung (EU) 2024/1781 (ESPR): Artikel 2(32) zur Definition des Dienstleisters, Artikel 10(4) zur
• Sicherungskopie, Artikel 11 zu den Pflichten der Dienstleister und zum möglichen
• Zertifizierungsschema, Anhang III Buchstabe (l).
• Europäische Kommission, *Digital Product Passport: FAQ*, Aktualisierung Januar 2026, Frage 8.