Heute: niemand mit Sicherheit. Die Ökodesign-Verordnung zählt dreizehn zugangsberechtigte Rollen auf — von Reparateuren über Recycler bis zu Gewerkschaften. Welche Daten jede davon sieht, ist nicht bestimmt. Und die überall zitierten „drei Zugangsstufen" stehen nicht in der ESPR, sondern in der Batterieverordnung.
Die Ökodesign-Verordnung kennt keine drei Zugangsstufen — der Begriff „berechtigtes Interesse" kommt in ihrem Text kein einziges Mal vor.
Die ESPR ordnet tatsächlich an, dass der Zugang zu den Daten eines Produktpasses nach Rollen abgestuft wird. Sie sagt nur nicht, wie. Die Zuweisung „welche Rolle sieht welche Datenkategorie" hat der Gesetzgeber vollständig an die delegierten Rechtsakte abgegeben — und es ist keiner erlassen. Was im Markt als „die drei Zugangsstufen des DPP" kursiert, ist deshalb kein Zitat aus der ESPR, sondern aus der Batterieverordnung.
So lesen Sie diese Seite
Beim Zugriff ist die Trennung entscheidend: Wer zugangsberechtigt ist, steht wörtlich im Gesetz. Was er zu sehen bekommt, steht nirgends. Wir kennzeichnen an jeder Zeile, worauf sich unsere Aussage stützt — der Beleg-Grad gilt dabei immer der Aussage über die Rolle, nie einem Zugangsumfang.
Gesichert
Steht so im Normtext oder in einer abgerufenen amtlichen Quelle.
Wahrscheinlich
Begründete Auslegung. Das Gegenargument ist bekannt und wird genannt — bestätigt ist sie nicht.
Unklar
Offen. Wir nennen die Frage, statt sie zu beantworten.
Der Anti-Claim
Woher stammen die drei Zugangsstufen, die überall zitiert werden?
Aus einer anderen Verordnung. Das Modell ist echt und es gilt — nur eben für Batterien. Auf den ESPR-Produktpass übertragen ist es eine Erfindung.
Was in der Ökodesign-Verordnung steht
Ein „öffentlicher Teil" des Passes wird an genau zwei Stellen erwähnt, und beide betreffen Kontaktdaten: Der Hersteller gibt seinen Kontakt dort an, der Importeur ebenso. Das ist alles. Es gibt keine dritte Stelle, keine Stufenbezeichnung und keine Liste, welche Rolle welche Daten sieht.
Der Begriff „berechtigtes Interesse" — in der englischen Fassung „legitimate interest" — kommt im gesamten Verordnungstext nicht vor.
Aus Art. 77 Abs. 2 der Batterieverordnung. Dort gibt es die Stufen tatsächlich, dort heißt eine davon „Personen mit berechtigtem Interesse", und dort ist im Anhang XIII auch aufgeschrieben, welche Angaben in welche Stufe gehören. Die Batterieverordnung ist in Kraft — sie ist aber ein eigener Rechtsakt und gilt für Batterien.
Wer dieses Modell als „die Zugangsstufen des Digitalen Produktpasses" beschreibt, überträgt eine geltende Regelung auf einen Anwendungsbereich, für den sie nicht geschrieben ist. Es ist der am weitesten verbreitete Fehler zum DPP im deutschen Netz.
Was von den Zugangsrechten gilt heute schon — und was nicht?
Die Trennung geht mitten durch eine einzige Vorschrift hindurch. Ein Teil wirkt unmittelbar, sobald ein Pass existiert. Der andere hängt vollständig an Rechtsakten, die es noch nicht gibt.
Gilt unmittelbar
Dass es abgestufte Rechte gibt — und dass der Zugang nichts kostet
Art. 11 lit. b verlangt, dass die im Pass enthaltenen Informationen den dort genannten Akteuren zugänglich sind, und zwar kostenlos und einfach. Diese beiden Eigenschaften hängen an keinem weiteren Rechtsakt. Sobald für ein Produkt ein Pass existiert, kann sich ein Recycler oder Reparateur darauf berufen — der Hersteller kann für den Zugang weder eine Gebühr noch eine Hürde vorsehen.
Ebenfalls unmittelbar: Wer als Reparateur zugangsberechtigt ist, hängt nicht am Wohlwollen des Herstellers. Die Legaldefinition erfasst ausdrücklich auch, wer außerhalb seines Vertriebsnetzes arbeitet — und der Begriff „unabhängiger Wirtschaftsteilnehmer" schließt Abfallbewirtschafter mit ein.
Art. 9 Abs. 2 lit. f bestimmt, dass der delegierte Rechtsakt „die Akteure … sowie die Art der ihnen jeweils zugänglich zu machenden Informationen" festlegt. Genau das ist die Zugangsmatrix — und weil kein delegierter Rechtsakt erlassen ist, ist sie unter der Ökodesign-Verordnung heute leer.
Derselbe Artikel 11 sieht in seinem letzten Unterabsatz außerdem Durchführungsrechtsakte zu digitalen Zertifikaten der zugangsberechtigten Akteure vor. Auch sie sind nicht erlassen. Wer später als Reparateur oder Verwerter an geschützte Daten will, wird sich also ausweisen müssen — nur ist heute weder bestimmt, womit, noch wofür.
Warum das keine Schwäche der Norm ist: Die Ökodesign-Verordnung ist ein Rahmen. Sie legt fest, dass es Zugangsrechte gibt und unter welchen Bedingungen — die Zuordnung zu Datenkategorien überlässt sie bewusst der jeweiligen Produktgruppe, weil eine Waschmaschine andere Reparaturdaten braucht als ein Reinigungsmittel. Falsch ist nicht die Delegation. Falsch ist, sie zu verschweigen und eine Matrix zu zeigen, die es nicht gibt.
Die Zugangsmatrix
Wer ist zugangsberechtigt — und was bekommt er zu sehen?
Die linke Hälfte dieser Frage beantwortet der Normtext wörtlich. Die rechte beantwortet er für keine einzige Rolle. Genau so steht es hier: die Spalte bleibt sichtbar leer, statt gefüllt zu werden.
Was die Verordnung selbst als öffentlich benennt
Genau zwei Stellen — mehr sind es nicht. An beiden geht es um Kontaktdaten, nicht um Produktdaten: Der Hersteller muss seinen Kontakt im öffentlichen Teil des Passes angeben, der Importeur ebenso. Das ist der gesamte Bestand dessen, was die Ökodesign-Verordnung an einem Pass ausdrücklich als öffentlich bezeichnet.
Die Zuweisung ist vollständig an den delegierten Rechtsakt abgegeben.
Akteur (Art. 11 lit. b)
Was die Norm über diese Rolle sagt
Welche Daten sie sieht
Kunden
Wahrscheinlich
Steht als erste Rolle im Normtext. „Kunde" ist dabei nicht dasselbe wie „Öffentlichkeit": Einen öffentlichen Teil des Passes erwähnt die Verordnung nur für die Kontaktdaten von Hersteller und Importeur. Ob darüber hinaus etwas öffentlich ist, entscheidet der delegierte Rechtsakt.
Der Beleg-Grad je Zeile bezieht sich auf die Aussage der Verordnung über diese Rolle — niemals auf einen Zugangsumfang. Ein Zugangsumfang ist unter der Ökodesign-Verordnung für keine einzige dieser Rollen bestimmt.
Das Gegenbeispiel
Wie sieht eine Zugangsmatrix aus, die tatsächlich in Kraft ist?
So. Dieselbe Tabellenform wie oben, nur gefüllt — beim Batteriepass ist die Abstufung geregelt, und im Anhang XIII steht auch, welche Angaben in welche Stufe gehören.
Personen mit berechtigtem Interesse und die Kommission
Gesichert
Die Verordnung bindet den Zweck ausdrücklich an Reparateure, Wiederaufarbeiter, Second-Life-Betreiber und Recycler.
Nummer 2 — Teilenummern, Kontaktdaten für Ersatzteilquellen und Demontageinformationen bis hin zum benötigten Werkzeug. Dazu Nummer 4, einzelstückbezogen: Gesundheitszustand, Status, Lade- und Entladezyklen, negative Ereignisse.
Die Stufe „Personen mit berechtigtem Interesse" existiert — wer darunter fällt, bestimmt aber erst ein Durchführungsrechtsakt nach Art. 77 Abs. 9 der Batterieverordnung. Dass er erlassen wäre, konnten wir nicht belegen. Die Zweckbindung des Absatzes 2 nennt immerhin ausdrücklich Reparateure, Wiederaufarbeiter, Second-Life-Betreiber und Recycler — die Richtung steht also fest, die Abgrenzung nicht.
Der Batteriepass erlischt, sobald die Batterie recycelt ist. Der Zugang endet also nicht mit einem Vertrag oder einer Abmeldung, sondern mit dem Produkt selbst. Für die Ökodesign-Verordnung gilt die umgekehrte Logik: Dort muss der Pass sogar über Insolvenz, Liquidation oder Einstellung der Tätigkeit hinaus verfügbar bleiben.
Welche Grenzen gelten für die Daten im Pass — unabhängig von jedem Rechtsakt?
Zwei. Beide stehen unmittelbar im Verordnungstext, beide hängen an keinem delegierten Rechtsakt, und beide tauchen in Ausschreibungen praktisch nie auf.
Personenbezogene Kundendaten nur mit ausdrücklicher Einwilligung
Kundenbezogene personenbezogene Daten gehören nicht ohne ausdrückliche Einwilligung im Sinne des Art. 6 DSGVO in einen Produktpass. Praktisch heißt das: Registrierungsdaten, Kaufhistorien und Servicevorgänge einer identifizierbaren Person haben dort nichts verloren, solange keine Einwilligung vorliegt.
Die naheliegendste Konsequenz ist zugleich die einfachste: Der Pass beschreibt ein Produkt, nicht seinen Besitzer. Wer ihn so baut, braucht die Einwilligungsfrage gar nicht erst zu stellen.
Ihr Dienstleister darf die Passdaten nicht verkaufen
Wer den Pass im Auftrag speichert oder anderweitig verarbeitet, darf die Daten weder verkaufen noch wiederverwenden noch über den vereinbarten Speicherzweck hinaus verarbeiten — auch nicht teilweise.
Zusammen mit der Pflicht, den Pass über Insolvenz und Betriebsaufgabe hinaus verfügbar zu halten, ergeben sich daraus zwei Fragen, die in jede Anbieterprüfung gehören: Wem gehören die Daten — und was passiert mit ihnen, wenn der Vertrag endet?
Zwei Datenbestände, zwei Normen, zwei Antworten. Die Frage „wer darf das sehen?" hat je nachdem einen völlig anderen Ausgang.
Das EU-Register
Geregelt — und bewusst eng
Wer den Registereintrag einsehen darf, steht fest: die Kommission, die zuständigen nationalen Behörden und die Zollbehörden, jeweils zur Wahrnehmung ihrer Aufgaben. Das Register ist kein öffentliches Verzeichnis — und es enthält ohnehin im Wesentlichen nur Kennungen, nicht Ihre Produktdaten.
Der Pass liegt beim Wirtschaftsteilnehmer, nicht bei der EU. Wer welche seiner Daten sieht, ist für dreizehn Rollen aufgezählt und für keine davon bestimmt. Wer die Antwort aus Art. 13 Abs. 6 hierher überträgt, beantwortet die falsche Frage: Aus dem engen Registerzugang folgt nichts über den Passzugang.
Diese fünf Sätze stehen so oder ähnlich auf fast jeder deutschen DPP-Seite. Keiner von ihnen lässt sich aus der Ökodesign-Verordnung belegen.
Kursierende Behauptung
Was die Norm sagt
Falsch
„Der Digitale Produktpass hat drei Zugangsstufen."
Nicht nach der Ökodesign-Verordnung. Sie staffelt den Zugang zwar nach Rollen, aber sie bildet keine drei Stufen und benennt auch keine. Das Drei-Stufen-Modell stammt aus der Batterieverordnung und gilt dort für den Batteriepass — nicht für den Produktpass allgemein.
„Wer ein berechtigtes Interesse nachweist, darf die geschützten Daten sehen."
Der Begriff „berechtigtes Interesse" kommt im Text der Ökodesign-Verordnung kein einziges Mal vor. Er ist ein Begriff der Batterieverordnung. Wer ihn auf den ESPR-Produktpass anwendet, zitiert eine Norm, die es dort nicht gibt.
„Ein Teil des Passes ist immer öffentlich einsehbar."
Einen „öffentlichen Teil" erwähnt die Verordnung an genau zwei Stellen, und beide betreffen Kontaktdaten: die des Herstellers und die des Importeurs. Ob darüber hinaus etwas öffentlich ist, bestimmt der delegierte Rechtsakt für die jeweilige Produktgruppe.
„Nur Vertragswerkstätten des Herstellers bekommen Zugang zu Reparaturdaten."
Das Gegenteil steht im Gesetz. Die Legaldefinition des „fachlich kompetenten Reparateurs" gilt ausdrücklich unabhängig davon, ob jemand im Vertriebsnetz des Herstellers oder unabhängig tätig ist. Welche Daten am Ende fließen, ist offen — wer sie beanspruchen kann, ist es nicht.
„Für den Zugang zu geschützten Passdaten darf der Hersteller eine Gebühr verlangen."
Nein. Dass der Zugang kostenlos und einfach ist, steht unmittelbar in Art. 11 lit. b und hängt an keinem delegierten Rechtsakt. Offen ist nur, welche Daten es betrifft — nicht, ob sie etwas kosten dürfen.
Keine Rechtsberatung. Wir legen den Normtext und unsere Lesart offen, samt Beleg-Grad und Gegenargument. Eine verbindliche Auskunft ist das nicht — für den Einzelfall, insbesondere bei vertraglichen Zusagen zu Zugriffsrechten, gehört eine Fachanwältin oder ein Fachanwalt hinzugezogen.
Sie können die Zugangsmatrix heute nicht abschließend bauen — aber Sie können sie vorbereiten. Trennen Sie Ihre Passdaten von Anfang an nach Zweck (Identität, Material, Reparatur, Verwertung), statt nach Systemherkunft. Zwei Dinge gelten schon jetzt: Der Zugang ist kostenlos und einfach, und Ihr Dienstleister darf die Daten nicht weiterverwenden.
Als Wirtschaftsakteur im Vertrieb sind Sie doppelt betroffen: Der Vertreiber prüft vor der Bereitstellung, ob ein Pass verknüpft ist, der Händler macht ihn Kunden leicht zugänglich — ausdrücklich auch im Fernabsatz. Das sind zwei verschiedene Pflichten, die regelmäßig verwechselt werden.
Sie stehen wörtlich in der Liste der Zugangsberechtigten, und der Zugang muss kostenlos und einfach sein. Ein konkretes Datenfeld schuldet Ihnen die Ökodesign-Verordnung heute trotzdem nicht — der Kanal dafür steht unter „gegebenenfalls". Belastbar ist derzeit nur die Rückverfolgung besorgniserregender Stoffe. Beim Batteriepass sieht es anders aus: Dort ist im Anhang XIII aufgeschrieben, was Sie bekommen.
Die wichtigste Nachricht für Sie steht in einer Legaldefinition: „Fachlich kompetenter Reparateur" gilt ausdrücklich unabhängig davon, ob Sie im Vertriebsnetz des Herstellers oder unabhängig arbeiten. Der Hersteller kann den Kreis also nicht auf seine Vertragswerkstätten verengen. Welche Daten Sie bekommen, ist offen — dass Sie dazugehören, nicht.
Kunden stehen als erste Rolle in der Liste. Was Sie beim Scannen tatsächlich zu sehen bekommen, legt aber der Rechtsakt für die jeweilige Produktgruppe fest. Fest steht heute nur, dass Kontaktdaten von Hersteller und Importeur zum öffentlichen Teil gehören — und dass personenbezogene Daten über Sie nur mit Ihrer ausdrücklichen Einwilligung im Pass stehen dürfen.
Häufige Fragen zu Zugriffsrechten im Produktpass
Hat der Digitale Produktpass drei Zugangsstufen?
Nicht nach der Ökodesign-Verordnung. Sie ordnet an, dass der Zugang zu den Daten des Passes nach Rollen abgestuft wird, benennt aber keine Stufen und weist keiner Rolle eine Datenkategorie zu. Das überall zitierte Modell „öffentlich / berechtigtes Interesse / Behörden" stammt aus der Batterieverordnung und gilt dort für den Batteriepass. Wer es auf den ESPR-Produktpass überträgt, beschreibt eine Regelung, die es dort nicht gibt. Was die Ökodesign-Verordnung selbst als öffentlich benennt, sind genau zwei Angaben: die Kontaktdaten des Herstellers und die des Importeurs.
Kommt „berechtigtes Interesse" in der Ökodesign-Verordnung überhaupt vor?
Nein — im gesamten Verordnungstext kein einziges Mal, weder als „berechtigtes Interesse" noch als „legitimate interest" in der englischen Fassung. Der Begriff stammt aus Art. 77 Abs. 2 der Batterieverordnung, wo er tatsächlich eine Zugangsstufe bezeichnet. Dass er trotzdem in fast jeder deutschen Darstellung des Produktpasses auftaucht, ist eine Übertragung, die niemand am Normtext geprüft hat. Für die Praxis heißt das: Ein Reparaturbetrieb kann sich heute nicht darauf berufen, ein berechtigtes Interesse am Produktpass zu haben — diese Kategorie existiert dort nicht.
Wer darf welche Daten aus meinem Produktpass sehen?
Quellen
2
Alle Rechtsangaben dieser Seite mit ihren Fundstellen. Verbindlich ist allein der jeweilige Rechtsakt in seiner geltenden Fassung.
1
VO (EU) 2024/1781
Ökodesign-Verordnung (ESPR) — der Rahmen des Digitalen Produktpasses
Stand: Juli 2026 — Alle Angaben sind eine redaktionelle Orientierung, keine Rechtsberatung. Fristen und Anwendungsbereiche werden durch delegierte Rechtsakte konkretisiert und können sich ändern; verbindlich ist allein der jeweilige Rechtsakt in seiner geltenden Fassung.
Die Matrix ist leer. Ihre Datenstruktur muss sie trotzdem tragen können.
Wenn der erste Rechtsakt bestimmt, wer was sieht, entscheidet sich das an Ihrer Datenstruktur — nicht an Ihrer Software. Wer seine Passdaten nach Zweck trennt, kann eine Abstufung später setzen; wer sie in einem Block führt, muss neu aufbauen. In CERTISCAN sind abgestufte Zugänge als Schnittstelle angelegt; eine eigene Oberfläche für externe Rollen wie Reparatur oder Verwertung gibt es nicht — sie ist in Entwicklung. Das DPP-Modul befindet sich im Aufbau, als Pilot gestalten Sie mit.
Welche Daten diese Rolle sieht, legt der delegierte Rechtsakt fest — und es ist keiner erlassen.
Hersteller
Gesichert
Erstellt den Pass und schuldet, dass er richtig und aktuell ist; zusammen mit dem Pass muss eine Sicherungskopie vorliegen. Seine eigenen Kontaktdaten gehören in den öffentlichen Teil.
Welche Daten diese Rolle sieht, legt der delegierte Rechtsakt fest — und es ist keiner erlassen.
Importeure
Gesichert
Muss vor dem Inverkehrbringen sicherstellen, dass Pass und Sicherungskopie vorliegen. Auch sein Kontakt gehört in den öffentlichen Teil — die zweite und letzte Erwähnung eines öffentlichen Teils im gesamten Verordnungstext.
Welche Daten diese Rolle sieht, legt der delegierte Rechtsakt fest — und es ist keiner erlassen.
Vertreiber
Gesichert
Prüft vor der Bereitstellung, ob das Produkt über einen Pass verfügt. Eine Prüfpflicht, keine Erstellungspflicht — und ausdrücklich nicht dasselbe wie der Händler eine Zeile weiter.
Welche Daten diese Rolle sieht, legt der delegierte Rechtsakt fest — und es ist keiner erlassen.
Händler
Gesichert
Macht den Pass für Kunden und potenzielle Kunden leicht zugänglich — ausdrücklich auch im Fernabsatz. Wer Vertreiber und Händler gleichsetzt, verwechselt Prüf- mit Bereitstellungspflicht.
Welche Daten diese Rolle sieht, legt der delegierte Rechtsakt fest — und es ist keiner erlassen.
Fachlich kompetente Reparateure
Gesichert
Die Legaldefinition gilt ausdrücklich unabhängig davon, ob jemand im Vertriebsnetz des Herstellers oder unabhängig tätig ist. Das ist die Norm gegen den Werkstatt-Lock-in: Der Hersteller kann den Kreis nicht auf seine Vertragswerkstätten verengen.
Welche Daten diese Rolle sieht, legt der delegierte Rechtsakt fest — und es ist keiner erlassen.
Instandsetzungsbetriebe
Unklar
Wird in der Aufzählung genannt, aber — anders als der fachlich kompetente Reparateur — nicht legaldefiniert. Wo die Grenze zu den benachbarten Rollen verläuft, lässt der Verordnungstext offen.
Welche Daten diese Rolle sieht, legt der delegierte Rechtsakt fest — und es ist keiner erlassen.
Wiederaufbereitungsunternehmen
Unklar
Ebenfalls genannt und ebenfalls nicht legaldefiniert. Der Kanal für die Angaben, die diese Rolle bräuchte, steht in Art. 7 Abs. 2 lit. b — beide einschlägigen Ziffern jedoch unter „gegebenenfalls".
Welche Daten diese Rolle sieht, legt der delegierte Rechtsakt fest — und es ist keiner erlassen.
Recyclingunternehmen
Gesichert
Der Kanal für Demontage-, Wiederverwendungs- und Recyclingangaben ist angelegt, steht aber unter „gegebenenfalls" und wirkt erst über den delegierten Rechtsakt. Die einzige harte Mindestvorgabe daneben betrifft besorgniserregende Stoffe: Name, Ort im Produkt, Konzentration und Angaben zur umweltgerechten Behandlung.
Welche Daten diese Rolle sieht, legt der delegierte Rechtsakt fest — und es ist keiner erlassen.
Marktüberwachungs- und Zollbehörden
Gesichert
Die einzige Rolle, deren Zugang heute schon bestimmt ist — allerdings zum REGISTER, nicht zum Pass. Art. 13 Abs. 6 nennt Kommission, zuständige nationale Behörden und Zollbehörden. Für den Pass selbst gilt auch hier: je delegiertem Rechtsakt.
Welche Daten diese Rolle sieht, legt der delegierte Rechtsakt fest — und es ist keiner erlassen.
Zivilgesellschaftliche Organisationen
Gesichert
Steht wörtlich im Normtext und wird im Markt durchgehend übersehen. Wer die Zugangsberechtigten auf „Kunden, Behörden und die Kette" verkürzt, lässt eine Rolle weg, die der Gesetzgeber ausdrücklich aufgenommen hat.
Für keine Rolle ist das heute bestimmt. Die Verordnung zählt in Art. 11 lit. b dreizehn Akteure auf — von Kunden, Herstellern, Importeuren, Vertreibern und Händlern über fachlich kompetente Reparateure, unabhängige Wirtschaftsteilnehmer, Instandsetzungs-, Wiederaufbereitungs- und Recyclingunternehmen bis zu Marktüberwachungs- und Zollbehörden, zivilgesellschaftlichen Organisationen und Gewerkschaften. Welche Datenkategorie jeder von ihnen sieht, legt aber erst der delegierte Rechtsakt für die jeweilige Produktgruppe fest (Art. 9 Abs. 2 lit. f) — und es ist keiner erlassen. Nicht zu verwechseln mit dem EU-Register: Wer den Registereintrag einsehen darf, ist in Art. 13 Abs. 6 geregelt und betrifft einen anderen Datenbestand.
Was kann ich als Reparaturbetrieb heute schon aus einem Produktpass verlangen?
Zwei Dinge unmittelbar, ein drittes nicht. Unmittelbar gilt, dass der Zugang überhaupt abgestuft eingeräumt wird und dass er kostenlos und einfach ist — beides steht in Art. 11 lit. b und hängt an keinem weiteren Rechtsakt. Ebenfalls unmittelbar gilt, dass Sie dafür nicht im Vertriebsnetz des Herstellers sein müssen: Die Legaldefinition des fachlich kompetenten Reparateurs erfasst ausdrücklich auch unabhängige Betriebe. Nicht verlangen können Sie dagegen bestimmte Inhalte. Welche Reparatur- und Demontageangaben in den Pass gehören, steht in Art. 7 Abs. 2 lit. b unter „gegebenenfalls" und wirkt erst über den delegierten Rechtsakt. Aus der Ökodesign-Verordnung schuldet Ihnen ein Hersteller heute konkret kein einziges Datenfeld.
Darf mein Passdienstleister die Daten aus dem Produktpass verkaufen?
Nein. Die Verordnung verbietet Dritten, die den Pass im Auftrag des Wirtschaftsteilnehmers speichern oder anderweitig verarbeiten, die Daten zu verkaufen, wiederzuverwenden oder über den vereinbarten Speicherzweck hinaus zu verarbeiten — auch nicht teilweise. Das ist eine Vorgabe, die in Ausschreibungen und Verträgen praktisch nie auftaucht, obwohl sie unmittelbar gilt. Zusammen mit der Pflicht, den Pass auch nach Insolvenz oder Einstellung der Tätigkeit verfügbar zu halten, ergibt sie zwei harte Prüffragen an jeden Anbieter: Wem gehören die Daten, und was passiert mit ihnen, wenn der Vertrag endet?
Dürfen personenbezogene Daten meiner Kunden in den Produktpass?
Nur mit ausdrücklicher Einwilligung. Die Verordnung stellt in Art. 10 Abs. 1 lit. e klar, dass kundenbezogene personenbezogene Daten nicht ohne ausdrückliche Einwilligung im Sinne von Art. 6 DSGVO in den Produktpass gehören. Praktisch heißt das: Registrierungsdaten, Kaufhistorien oder Servicevorgänge einer identifizierbaren Person gehören nicht in den Pass, solange keine Einwilligung vorliegt — und die Datensparsamkeit spricht ohnehin dagegen, sie überhaupt dort zu führen. Der Pass beschreibt ein Produkt, nicht seinen Besitzer.
Können Gewerkschaften und Umweltverbände wirklich in einen Produktpass schauen?
Sie stehen ausdrücklich in der Aufzählung der Zugangsberechtigten — „zivilgesellschaftliche Organisationen" und „Gewerkschaften" sind wörtlicher Gesetzestext in Art. 11 lit. b. Das wird im Markt fast durchgehend übersehen. Was das praktisch bedeutet, ist damit allerdings noch nicht gesagt: Welche Datenkategorie diese beiden Rollen tatsächlich sehen, bestimmt wie bei allen anderen erst der delegierte Rechtsakt. Als Hersteller sollten Sie beim Aufbau Ihrer Passdaten trotzdem damit rechnen, dass der Kreis der Einsichtsberechtigten deutlich weiter gezogen ist als die eigene Lieferkette.