Die letzten zwei DPP-Normen kommen: Wer darf welche Daten sehen?

Der Normenrahmen für den Digitalen Produktpass ist mit diesem Monat komplett. Sechs horizontale Normen wurden am 15. Juli 2026 mit dem Durchführungsbeschluss (EU) 2026/1736 im Amtsblatt zitiert: Datenaustauschprotokolle, eindeutige Identifikatoren, Datenträger, Speicherung, Schnittstellen und Interoperabilität. Wer sie einhält, gilt bei den Anforderungen aus Artikel 10 und 11 der Ökodesign-Verordnung als konform.

Die beiden verbleibenden Normen aus dem CEN-CENELEC-Komitee JTC 24 wurden im August ratifiziert, die endgültigen Texte sind für Mitte September angekündigt. EN 18239 regelt Zugriffsrechte, Informationssicherheit und Geschäftsgeheimnisse. EN 18246 regelt Datenauthentizität, Verlässlichkeit und Integrität.

Damit verschiebt sich die Diskussion. Bis jetzt ging es in den meisten Projekten um Datenträger und Identifikatoren, also um die Frage, wie der Pass technisch erreichbar wird. Ab jetzt geht es um die schwierigere Hälfte: um Vertraulichkeit und um Nachweisbarkeit.

Die häufigste Sorge in Gesprächen mit Herstellern lautet sinngemäß: Wenn wir Materialzusammensetzung und Lieferanten offenlegen, geben wir unser Know-how preis. Diese Sorge ist berechtigt, aber sie trifft eine Annahme, die die Norm nicht teilt.

EN 18239 beschreibt gestufte Zugriffsebenen. Ein Teil der Daten ist öffentlich und für jeden lesbar, der den Datenträger scannt. Ein zweiter Teil ist auf Rollen mit berechtigtem Interesse beschränkt, etwa Reparaturbetriebe und Recycler. Ein dritter Teil steht nur Marktüberwachungsbehörden und Zollbehörden offen. Vertrauliche Angaben wie exakte Rezepturen oder Lieferantennamen bleiben in der obersten Stufe geschützt.

Praktisch heißt das: Die Frage ist nicht, ob ein Datenfeld in den Pass gehört, sondern auf welcher Stufe es liegt. Wer diese Zuordnung früh trifft, spart sich später eine Neumodellierung der Datenhaltung. Wer sie vertagt, landet erfahrungsgemäß bei zwei getrennten Datenbeständen, einem öffentlichen und einem internen, die dann auseinanderlaufen.

Die Norm verlangt außerdem, dass die Durchsetzung dokumentiert wird. Eine Rollenzuordnung, die nur in der Anwendungslogik existiert und nirgends niedergeschrieben ist, hält einer Prüfung nicht stand.

EN 18246 beantwortet eine Frage, die im Alltag schnell praktisch wird: Woher weiß ein Recycler, ein Zollbeamter oder ein Kunde, dass der Pass tatsächlich vom angegebenen Hersteller stammt und seither niemand etwas verändert hat?

Die Antwort sind elektronisch signierte Datenkonstrukte. Die Passdaten werden signiert, und jeder Empfänger kann die Signatur gegen den Schlüssel des Wirtschaftsakteurs prüfen. Verändert jemand ein Feld, bricht die Prüfung.

Zwei Punkte werden dabei regelmäßig unterschätzt. Erstens muss ein Prüfendpunkt wirklich prüfen. Eine Schnittstelle, die ein Feld mit dem Wert gültig zurückgibt, ohne die Signatur zu rechnen, ist kein Nachweis, sondern eine Behauptung. Das klingt selbstverständlich, ist es in der Umsetzung aber nicht.

Zweitens hat die Norm eine Nebenwirkung, die viele Webteams überrascht: Ein Passabruf darf keine externen Analysedienste einbinden. Wer eine Produktpassseite mit dem üblichen Tracking-Stack ausliefert, verletzt die Anforderung, unabhängig davon, wie sauber die Signatur berechnet wurde. Die Passseite ist ein Nachweisdokument, kein Marketingkanal.

Der Normenrahmen selbst löst keine Pflicht aus. Verbindlich wird der Pass immer erst über den delegierten Rechtsakt der jeweiligen Produktgruppe. Drei Termine strukturieren die nächsten Monate.

1. 18. Februar 2027. Der Batteriepass für Antriebsbatterien, Industriebatterien über 2 kWh und Batterien leichter Verkehrsmittel. Das ist der einzige harte Stichtag, der bereits in einer geltenden Verordnung steht, und er ist keine 18 Monate mehr entfernt.

2. Eisen und Stahl. Der erste delegierte Rechtsakt unter der Ökodesign-Verordnung wird für Ende 2026 erwartet, mit anschließender Übergangsfrist. Stahl ist damit die Produktgruppe, an der sich zeigt, wie der Rahmen in der Praxis funktioniert.

3. Textilien. Die öffentliche Konsultation läuft in diesem Quartal, der delegierte Rechtsakt wird für Ende 2027 erwartet, die tatsächliche Pflicht damit realistisch ab 2029. Wer in dieser Branche arbeitet, hat noch Zeit, aber die Konsultation ist die Gelegenheit, Anforderungen mitzugestalten, statt sie später zu erfüllen.

Aus den beiden neuen Normen ergeben sich drei Aufgaben, die unabhängig von der Produktgruppe sinnvoll sind.

1. Datenfelder auf Zugriffsstufen legen. Nehmen Sie die Felder, die Sie ohnehin für Ihre Produkte pflegen, und ordnen Sie jedem eine Stufe zu: öffentlich, berechtigtes Interesse, nur Behörde, vertraulich. Das ist eine Tabellenübung von wenigen Stunden und beantwortet die Know-how-Frage konkret statt grundsätzlich.

2. Signaturfähigkeit klären. Prüfen Sie, ob Ihr Unternehmen bereits ein qualifiziertes elektronisches Siegel besitzt. Für die Registrierung als verifizierter Wirtschaftsakteur brauchen Sie ohnehin einen eIDAS-Vertrauensdienst. Dieselbe Infrastruktur trägt die Signatur der Passdaten.

3. Eine Produktgruppe pilotieren. Ein einzelnes Produkt vollständig durchzuspielen bringt mehr als eine Konzeptstudie über das gesamte Sortiment. In unseren Pilotprojekten zeigt sich der eigentliche Aufwand fast nie in der Technik, sondern in den fehlenden Werten aus der Lieferkette.

Wer die Batteriefrist im Blick hat, sollte jetzt beginnen. Wer sie nicht hat, gewinnt trotzdem, weil die horizontalen Anforderungen für alle Produktgruppen dieselben bleiben.