DIENSTLEISTER-LEITFADEN
DPP-Dienstleister auswählen: Sicherungskopie, Grenzen der Datennutzung, Anbieterwechsel und die kommenden EU-Regeln
Ein digitaler Produktpass lässt sich nicht vollständig intern betreiben. Die ESPR, Verordnung (EU) 2024/1781, verlangt, dass eine Sicherungskopie jedes Passes über einen DPP-Dienstleister zur Verfügung gestellt wird, der ein unabhängiger Dritter ist (Artikel 10 Absatz 4, Erwägungsgrund 38). Sobald ein delegierter Rechtsakt gilt, der für Bekleidung einen Pass vorschreibt, braucht deshalb jede Marke, die Bekleidung in der EU in Verkehr bringt, eine Vereinbarung mit mindestens einem DPP-Dienstleister, unabhängig davon, ob sie den eigentlichen Pass selbst hostet oder alles auslagert. Wer heute einen Pilot- oder Plattformvertrag unterschreibt, tut das, bevor die EU den delegierten Rechtsakt mit den Anforderungen an DPP-Dienstleister erlassen hat (Artikel 11 Unterabsatz 3 ESPR).
Dieser Leitfaden zeigt, was das Recht für diese Beziehung bereits festlegt: das Erfordernis der Unabhängigkeit und die Sicherungskopie, das Verbot für Dienstleister, Passdaten über die Dienstleistung hinaus zu nutzen, was das EU-Register über Dienstleister erfasst, und die Cloud-Wechselregeln der Datenverordnung (Data Act), die wahrscheinlich für Plattformverträge gelten. Danach ordnet er die noch ausstehenden Regeln zeitlich ein, vor allem den delegierten Rechtsakt zu DPP-Dienstleistern, und schließt mit einer Liste von Vertragspunkten. Wer welche Passdaten sehen darf, erklärt unser Leitfaden zu Zugangsrechten; was das eigene Hosting im Vergleich zu einem Dienstleister kostet, unsere Kostenübersicht.
Unabhängiger Dritter
Die Sicherungskopie des Passes muss über einen unabhängigen Digitalproduktpass-Drittdienstleister bereitgestellt werden, der im Auftrag des Wirtschaftsteilnehmers tätig ist (Artikel 2 Nummer 32 und Artikel 10 Absatz 4 ESPR).
Keine Weiterverwendung
Dienstleister dürfen Passdaten nicht verkaufen, wiederverwenden oder über das für die Dienstleistung erforderliche Maß hinaus verarbeiten, es sei denn, dies wurde ausdrücklich mit dem Wirtschaftsteilnehmer vereinbart (Artikel 11 Unterabsatz 2 ESPR).
12. Januar 2027
Ab diesem Datum dürfen Anbieter von Datenverarbeitungsdiensten keine Wechselentgelte mehr erheben (Artikel 29 Absatz 1 Data Act). Ob ein Vertrag über eine DPP-Plattform darunterfällt, hängt vom Dienst ab.
1. Warum jede Marke einen DPP-Dienstleister braucht, auch wenn sie den Pass selbst hostet
Artikel 10 Absatz 4, Verordnung (EU) 2024/1781 (ESPR)
„Der Wirtschaftsteilnehmer stellt beim Inverkehrbringen des Produkts eine Sicherungskopie des digitalen Produktpasses über einen unabhängigen Digitalproduktpass-Drittdienstleister zur Verfügung.“
Die ESPR lässt zwei Hosting-Modelle zu. Der digitale Produktpass „wird von dem für seine Ausstellung verantwortlichen Wirtschaftsteilnehmer oder von unabhängigen Digitalproduktpass-Drittdienstleistern gespeichert“ (Artikel 11 Unterabsatz 1 Buchstabe c). Die Pflicht zur Sicherungskopie besteht gesondert und gilt in beiden Modellen. Wer die Sicherungskopie halten darf, ergibt sich aus Artikel 10 Absatz 4, der einen unabhängigen Drittdienstleister verlangt, und aus der Begriffsbestimmung in Artikel 2 Nummer 32: Ein Digitalproduktpass-Dienstleister ist „eine natürliche oder juristische Person, die ein Dritter ist, die im Auftrag des Wirtschaftsteilnehmers, der das Produkt in Verkehr bringt oder in Betrieb nimmt, die digitalen Produktpassdaten für dieses Produkt verarbeitet, um diese Daten Wirtschaftsteilnehmern und anderen relevanten Akteuren zur Verfügung zu stellen, die nach dieser Verordnung oder anderen Unionsvorschriften ein Recht auf Zugang zu diesen Daten haben“. Erwägungsgrund 38 nennt den Grund: Damit der Pass während des vorgeschriebenen Zeitraums zugänglich bleibt, auch nach einer Insolvenz, einer Liquidation oder der Einstellung der Tätigkeit in der Union, sollte die Sicherungskopie „über einen Digitalproduktpass-Dienstleister, der ein unabhängiger Dritter ist“, zur Verfügung gestellt werden. Eine Marke kann deshalb nicht selbst als Digitalproduktpass-Dienstleister für ihre eigene Sicherungskopie auftreten.
Die Pflicht knüpft an das Inverkehrbringen an. Hersteller müssen beim Inverkehrbringen, Importeure vor dem Inverkehrbringen sicherstellen: „im Einklang mit Artikel 9 und den gemäß Artikel 4 erlassenen delegierten Rechtsakten liegt für die Produkte ein digitaler Produktpass und eine Sicherungskopie seiner aktuellen Fassung vor, die gemäß Artikel 10 Absatz 4 von einem unabhängigen Digitalproduktpass-Drittdienstleister gespeichert wird“ (Artikel 27 Absatz 1 Buchstabe c und Artikel 29 Absatz 2 Buchstabe c). Da die Sicherungskopie bei jedem Inverkehrbringen die aktuelle Fassung abbilden muss, ist sie in der Praxis laufend mit den Aktualisierungen abzugleichen; die erste Fassung allein genügt nicht. Der Pass selbst muss während des Zeitraums verfügbar bleiben, den der delegierte Rechtsakt für das Produkt festlegt, „auch nach einer Insolvenz, einer Liquidation oder der Einstellung der Tätigkeit des Wirtschaftsteilnehmers in der Union, der für die Ausstellung des digitalen Produktpasses verantwortlich ist“ (Artikel 11 Buchstabe e), und dieser Zeitraum muss „mindestens der voraussichtlichen Lebensdauer des betreffenden Produkts entsprechen“ (Artikel 9 Absatz 2 Buchstabe i).
Zwei Punkte sind noch offen. Was einen Dienstleister unabhängig macht, bestimmt die ESPR nicht über den Wortlaut von Artikel 10 Absatz 4 („unabhängigen Digitalproduktpass-Drittdienstleister“) und Artikel 2 Nummer 32 (eine Person, „die ein Dritter ist“) hinaus. Ebenso wenig regelt sie, ob die Sicherungskopie bei einem anderen Dienstleister liegen muss als bei dem, der den Pass selbst hostet. In ihrer Aufforderung zur Stellungnahme zu den Regeln für Dienstleister (November 2024) beschreibt die Kommission, was Dienstleister tun: Sie speichern und verarbeiten Passdaten für Wirtschaftsteilnehmer, die das nicht selbst tun, und sie speichern die vorgeschriebene Sicherungskopie für Wirtschaftsteilnehmer, die den Pass selbst hosten. Der delegierte Rechtsakt zu DPP-Dienstleistern (Abschnitt 5) könnte beide Punkte klären.
Für Bekleidung gilt all das noch nicht. Ein Pass, und mit ihm die Sicherungskopie, ist für Produkte vorgeschrieben, die unter einen gemäß Artikel 4 erlassenen delegierten Rechtsakt fallen (Artikel 9 Absatz 1). Anders ist es, wenn die Kommission die Produktgruppe bei der Festlegung der Anforderungen an den Pass aus einem von zwei Gründen ausnimmt: In Bezug auf die grundlegenden Anforderungen der Artikel 10 und 11 sind keine technischen Spezifikationen des digitalen Produktpasses verfügbar, oder andere Rechtsvorschriften der Union umfassen bereits ein System für die digitale Bereitstellung von Informationen zu dieser Produktgruppe, das nach Auffassung der Kommission die Ziele des Passes erreicht, nämlich dass die Akteure entlang der Wertschöpfungskette auf für sie relevante Produktinformationen umstandslos zugreifen und diese verstehen können und dass die Überprüfung der Produktkonformität durch die zuständigen nationalen Behörden erleichtert wird (Artikel 9 Absatz 4). Der delegierte Rechtsakt für Textilien ist noch nicht erlassen; laut der DPP-Seite der Kommission ist der Erlass für Q3–Q4 2027 vorgesehen. Ein delegierter Rechtsakt gilt frühestens 18 Monate nach seinem Inkrafttreten, außer in hinreichend begründeten Ausnahmefällen (Artikel 4 Absatz 4). Wie sich eigenes Hosting und Auslagerung bei den Kosten unterscheiden, behandelt unsere Kostenübersicht.
2. Was ein Dienstleister mit Ihren Passdaten tun darf
Artikel 11 Unterabsatz 2, ESPR
„Wird der digitale Produktpass gemäß Unterabsatz 1 Buchstabe c von Digitalproduktpass-Drittdienstleistern gespeichert oder anderweitig verarbeitet, dürfen diese unabhängigen Digitalproduktpass-Drittdienstleister die Gesamtheit oder Teile der Daten nicht verkaufen, wiederverwenden oder über das für die Erbringung der betreffenden Speicher- oder Verarbeitungsdienste erforderliche Maß hinaus verarbeiten, es sei denn, dies wurde ausdrücklich mit dem Wirtschaftsteilnehmer vereinbart, der das Produkt in Verkehr bringt oder in Betrieb nimmt.“
Der Grundsatz ist ein Verbot, die Ausnahme liegt in der Hand der Marke. Ein Dienstleister, der den Pass selbst oder die Sicherungskopie hält, darf die Daten nur so weit nutzen, wie es der Speicher- oder Verarbeitungsdienst erfordert. Alles, was darüber hinausgeht, etwa der Verkauf der Daten oder ihre Weiterverwendung für eigene Analysen oder andere Produkte des Dienstleisters, setzt eine Vereinbarung mit der Marke voraus, die nach der Verordnung „ausdrücklich“ getroffen sein muss. Nach unserer Lesart erfüllt eine Klausel, die den Zweck und die betroffenen Daten benennt, diesen Maßstab eindeutiger als eine pauschale Zustimmung, die in allgemeinen Geschäftsbedingungen versteckt ist. Die Vereinbarung muss mit dem Wirtschaftsteilnehmer getroffen werden, der das Produkt in Verkehr bringt oder in Betrieb nimmt; sind Marke und Importeur verschiedene Unternehmen, sollte der Vertrag klarstellen, welches von beiden sie trifft.
Die übrigen grundlegenden Anforderungen des Artikels 11 gelten unabhängig davon, wer den Pass hostet: Das Recht auf Eingabe, Änderung oder Aktualisierung von Daten wird nach Maßgabe der Zugangsrechte im delegierten Rechtsakt eingeschränkt (Buchstabe f); „Die Authentizität, Zuverlässigkeit und Integrität der Daten sind zu gewährleisten“ (Buchstabe g); und digitale Produktpässe sind so zu gestalten und einzusetzen, „dass ein hohes Maß an Sicherheit und Privatsphäre gewährleistet und Betrug vermieden wird“ (Buchstabe h). Nach Artikel 10 Absatz 1 Buchstabe d müssen die Passdaten zudem gegebenenfalls „über ein offenes interoperables Datenaustauschnetz ohne Anbieterbindung übertragen werden können“. Die ESPR spricht damit schon jetzt gegen Formate, die nur ein einziger Anbieter lesen kann; der Data Act ergänzt Regeln für den eigentlichen Wechsel (Abschnitt 4). Wer welche Daten sehen darf, ist eine eigene Frage, die unser Leitfaden zu Zugangsrechten behandelt.
3. Was das EU-Register über Ihren Dienstleister erfasst
Die Durchführungsverordnung (EU) 2026/1778 der Kommission, in Kraft seit dem 6. August 2026, gibt Dienstleistern einen festen Platz im Register. Das Register besteht unter anderem aus „einer Liste der im Register registrierten überprüften Digitalproduktpass-Dienstleister“ (Artikel 3 Buchstabe f). Erwägungsgrund 4 nennt Digitalproduktpass-Dienstleister unter den Akteuren der Wertschöpfungskette, die „im Rahmen eines Überprüfungsverfahrens ermittelt werden“ sollten, und Artikel 5 regelt, wie Akteure der Wertschöpfungskette den Status „überprüft“ erhalten: durch den Nachweis ihrer Identität und gegebenenfalls ihrer Niederlassung.
Wird ein Pass zur Registrierung eingereicht, liest die Kommission ihn aus und bestätigt automatisch unter anderem „gegebenenfalls den Link zu der von einem Digitalproduktpass-Dienstleister gehosteten Sicherungskopie“ (Artikel 8 Absatz 7 Buchstabe e). Außerdem speichert sie als Teil der Registrierungsdaten „gegebenenfalls einen Verweis auf den Digitalproduktpass-Dienstleister“ (Artikel 8 Absatz 9 Buchstabe c). Beide Angaben stehen unter dem Vorbehalt „gegebenenfalls“; ob für Bekleidung ein Link zur Sicherungskopie geprüft wird, hängt daher von den Regeln ab, die für diese Produktgruppe gelten.
Registriert ein Dienstleister Pässe für Sie, muss er selbst überprüft sein: Ermächtigt ein überprüfter Wirtschaftsteilnehmer einen Dritten, in seinem Namen Registrierungshandlungen im Register vorzunehmen, muss dieser Dritte das Überprüfungsverfahren nach Artikel 5 durchlaufen, und der Wirtschaftsteilnehmer „bleibt in vollem Umfang für die Einhaltung der in dieser Verordnung festgelegten Verpflichtungen verantwortlich“ (Artikel 19 Absatz 4). Wer die Registrierung auslagert, lagert die Verantwortung nicht mit aus.
Für den Pass selbst führt Anhang III der ESPR unter Buchstabe l die „Referenz des Digitalproduktpass-Drittdienstleisters, der die Sicherungskopie des digitalen Produktpasses speichert“ auf. Anhang III ist eine Liste, aus der jeder delegierte Rechtsakt auswählt: Die Anforderungen an den Pass „präzisieren, welche der folgenden Daten in den digitalen Produktpass aufgenommen werden müssen oder können“. Buchstabe l wird daher für Bekleidung nur dann zum Pflichtfeld, wenn der delegierte Rechtsakt für Textilien dies vorsieht. Wie die Registrierung Schritt für Schritt abläuft, erklärt unser Leitfaden zum EU-Register.
4. Anbieterwechsel: was der Data Act bereits vorsieht
Unsere Lesart – eine Auslegung, keine gesicherte Rechtslage
Der Data Act, Verordnung (EU) 2023/2854, gilt seit dem 12. September 2025 (Artikel 50). Seine Regeln zum Wechsel (Kapitel VI, Artikel 23 bis 31) erfassen Datenverarbeitungsdienste, die Artikel 2 Nummer 8 definiert als „eine digitale Dienstleistung, die einem Kunden bereitgestellt wird und einen ortsunabhängigen und auf Abruf verfügbaren Netzzugang zu einem gemeinsam genutzten Pool konfigurierbarer, skalierbarer und elastischer Rechenressourcen zentralisierter, verteilter oder hochgradig verteilter Art ermöglicht, die mit minimalem Verwaltungsaufwand oder minimaler Interaktion des Diensteanbieters rasch bereitgestellt und freigegeben werden können“. Erwägungsgrund 81 nennt die Bereitstellungsmodelle „Infrastructure-as-a-Service“ (IaaS), „Platform-as-a-Service“ (PaaS) und „Software-as-a-Service“ (SaaS). Eine DPP-Plattform, die online als Standarddienst angeboten wird, fällt daher wahrscheinlich unter diese Regeln. Ob ein bestimmter Vertrag erfasst ist, hängt davon ab, wie der Dienst aufgebaut ist und angeboten wird; prüfen Sie daher den Vertrag und fragen Sie den Anbieter, ob er seinen Dienst als von Kapitel VI erfasst ansieht.
Wo die Regeln gelten, müssen die Rechte des Kunden und die Pflichten des Anbieters beim Wechsel „eindeutig in einem schriftlichen Vertrag festgelegt“ werden, den der Anbieter dem Kunden vor der Vertragsunterzeichnung bereitstellen muss (Artikel 25 Absatz 1). Artikel 25 Absatz 2 zählt auf, was dieser Vertrag mindestens enthalten muss. Für eine DPP-Plattform sind vor allem diese Elemente wichtig:
| Element (Data Act) | Was der Vertrag vorsehen muss |
|---|---|
| Ankündigungsfrist (Artikel 25 Absatz 2 Buchstabe d) | „eine maximale Ankündigungsfrist für die Einleitung des Wechsels, die zwei Monate nicht überschreiten darf“ |
| Übergangszeitraum (Artikel 25 Absatz 2 Buchstabe a und Artikel 25 Absatz 4) | Wechsel oder Übertragung aller exportierbaren Daten auf Ihre eigene IKT-Infrastruktur, und zwar unverzüglich und „in keinem Fall zu einem späteren Zeitpunkt als nach Ablauf des verbindlichen Übergangszeitraums von höchstens 30 Kalendertagen ab Ablauf der in Buchstabe d genannten maximalen Ankündigungsfrist“, in dem der Vertrag weiterhin gilt und der Anbieter Unterstützung leistet und „mit der gebotenen Sorgfalt handelt, um die Kontinuität des Geschäftsbetriebs aufrechtzuerhalten“. Sind 30 Tage technisch nicht durchführbar, muss der Anbieter dies innerhalb von 14 Arbeitstagen begründen und einen alternativen Übergangszeitraum angeben, „der sieben Monate nicht überschreiten darf“. |
| Erfasste Daten (Artikel 25 Absatz 2 Buchstabe e) | „eine erschöpfende Auflistung aller Kategorien von Daten und digitalen Vermögenswerten, die während des Wechselvollzugs übertragen werden können, einschließlich mindestens aller exportierbaren Daten“ |
| Datenabruf (Artikel 25 Absatz 2 Buchstabe g) | „eine Mindestfrist für den Datenabruf von mindestens 30 Kalendertagen“, die nach Ablauf des Übergangszeitraums beginnt. |
| Löschung (Artikel 25 Absatz 2 Buchstabe h) | Vollständige Löschung der exportierbaren Daten und digitalen Vermögenswerte nach Ablauf des Abrufzeitraums oder zu einem vereinbarten späteren Zeitpunkt, sofern der Wechsel erfolgreich vollzogen ist. |
| Ausstiegsunterstützung (Artikel 25 Absatz 2 Buchstabe b) | Verpflichtung des Anbieters, die Ausstiegsstrategie des Kunden zu unterstützen, unter anderem durch Bereitstellung aller einschlägigen Informationen. |
Bei den Kosten setzt Artikel 29 Absatz 1 ein festes Datum: „Ab dem 12. Januar 2027 dürfen Anbieter von Datenverarbeitungsdiensten für den Vollzug des Anbieterwechsels keine Wechselentgelte mehr erheben.“ Bis dahin sind ermäßigte Wechselentgelte zulässig, die die Kosten im unmittelbaren Zusammenhang mit dem Wechsel nicht übersteigen (Artikel 29 Absätze 2 und 3). Wechselentgelte sind allerdings nicht der einzige Preis für den Ausstieg. Ihre Begriffsbestimmung nimmt „Standarddienstentgelte oder Sanktionen bei vorzeitiger Kündigung“ aus (Artikel 2 Nummer 36), und Erwägungsgrund 89 stellt klar, dass die Verordnung Parteien nicht daran hindert, „im Einklang mit dem Unionsrecht oder dem nationalen Recht Verträge über Datenverarbeitungsdienste mit fester Laufzeit zu vereinbaren, einschließlich verhältnismäßiger Sanktionen für die vorzeitige Kündigung dieser Verträge“. Vor Vertragsschluss muss der Anbieter eindeutig darüber informieren, welche Standarddienstentgelte erhoben und welche Sanktionen bei vorzeitiger Kündigung auferlegt werden können (Artikel 29 Absatz 4). Ab 2027 ist der Wechsel selbst frei von Wechselentgelten, der vorzeitige Ausstieg aus einem befristeten Vertrag kann aber weiterhin Geld kosten.
Zwei Ausnahmen sind für DPP-Projekte wichtig. Für Dienste, „die als nicht produktionsbereite Version zu Test- und Bewertungszwecken und für einen begrenzten Zeitraum bereitgestellt werden“, gilt Kapitel VI insgesamt nicht (Artikel 31 Absatz 2); darunter kann ein befristetes Pilotprojekt fallen. Für Dienste, bei denen die meisten zentralen Funktionen auf die Bedürfnisse eines einzelnen Kunden zugeschnitten oder alle Komponenten für diesen Kunden entwickelt wurden und die nicht im größeren kommerziellen Maßstab über den Dienstleistungskatalog des Anbieters angeboten werden, gelten die Regeln zur Funktionsäquivalenz (Artikel 23 Buchstabe d), zu Wechselentgelten (Artikel 29) und Teile des Artikels 30 nicht (Artikel 31 Absatz 1). Der Anbieter muss vor Vertragsschluss mitteilen, welche Verpflichtungen nicht gelten (Artikel 31 Absatz 3). Ein Pilotvertrag kann Ihnen daher weniger Rechte geben als der anschließende Vertrag für den Produktivbetrieb.
Ausblick – Digital-Omnibus (ein Vorschlag, kein geltendes Recht)
Der Vorschlag der Kommission COM(2025) 837 vom 19. November 2025 (Verfahren 2025/0360(COD)) würde den Data Act ändern. Der vorgeschlagene Artikel 31 Absatz 1b würde es Anbietern von Datenverarbeitungsdiensten, die keine reinen Infrastrukturdienste sind (also nicht die in Artikel 30 Absatz 1 genannten Dienste), erlauben, verhältnismäßige Sanktionen bei vorzeitiger Kündigung in Verträge mit fester Laufzeit aufzunehmen. Dieser Satz enthält keine Begrenzung nach dem Datum des Vertragsschlusses; würde er angenommen, erfasste er also auch neue Verträge über DPP-Plattformen. Die erleichterten Regelungen im vorgeschlagenen Artikel 31 Absatz 1a (an die Bedürfnisse eines Kunden angepasste Dienste) und im übrigen Teil des vorgeschlagenen Artikels 31 Absatz 1b (Anbieter, die KMU oder kleine Unternehmen mittlerer Kapitalisierung sind) betreffen nur Verträge, die am oder vor dem 12. September 2025 geschlossen wurden; Artikel 29 zu Wechselentgelten gilt in beiden Fällen weiter, und Klauseln in solchen Verträgen, die Artikel 29 Absatz 1, 2 oder 3 widersprechen, wären nichtig. Laut der Legislativen Beobachtungsstelle des Europäischen Parlaments wartete das Verfahren am 16. Oktober 2026 auf eine Entscheidung des Ausschusses; ein Berichtsentwurf stammt vom 22. Juni 2026, Änderungsanträge wurden am 27. Juli 2026 eingereicht. Angenommen ist bisher nichts.
5. Die kommenden EU-Regeln für Dienstleister und wann sie zu erwarten sind
Die ESPR ermächtigt die Kommission bereits, Dienstleister zu regulieren. Nach Artikel 11 Unterabsatz 3 kann sie den Artikel durch delegierte Rechtsakte ergänzen, und zwar „durch die Festlegung von Anforderungen, die Digitalproduktpass-Dienstleister erfüllen müssen, damit sie solche Dienstleister werden können, gegebenenfalls einschließlich eines Zertifizierungssystems zur Überprüfung der Einhaltung dieser Anforderungen, und durch die Festlegung von Anforderungen, die diese Diensteanbieter bei der Erbringung von digitalen Produktpass-Diensten erfüllen müssen“. Erwägungsgrund 40 ergänzt, die Kommission könne eine Folgenabschätzung durchführen, „um die Zweckmäßigkeit der Ausarbeitung eines Zertifizierungssystems für Digitalproduktpass-Dienstleister zu prüfen“. Ein Zertifizierungssystem ist also möglich, aber nicht beschlossen.
Die Kommission bereitet diesen Rechtsakt als Initiative 14382 auf ihrem Portal Have your say vor, und zwar als delegierten Rechtsakt (laut dem Eintrag im Portal als delegierter Beschluss geplant). Ihre Aufforderung zur Stellungnahme vom 12. November 2024 fasste die möglichen Anforderungen vorläufig in drei Bereichen zusammen: Informationssicherheit und Dienste für die Passdaten, die Wirtschaftsteilnehmer Dienstleistern anvertrauen; die finanzielle Tragfähigkeit der Dienstleister, um den langfristigen Zugang zu Passinformationen zu gewährleisten; und der Nachweis, dass Dienstleister die Anforderungen einhalten. Als mögliche Wege, die Einhaltung sicherzustellen, nannte sie Selbsterklärung, Durchsetzungsmaßnahmen und ein Ex-ante-Zertifizierungssystem, und sie wies darauf hin, dass Zertifizierungskosten an die Wirtschaftsteilnehmer weitergegeben werden könnten. Zur Aufforderung zur Stellungnahme (12. November bis 10. Dezember 2024) gingen 178 Rückmeldungen ein, zur öffentlichen Konsultation (8. April bis 1. Juli 2025) 275 Antworten. Ein Entwurf des Rechtsakts wurde bisher nicht zur Stellungnahme veröffentlicht.
| Thema | Stand am 16. Oktober 2026 | Bedeutung für einen Dienstleistervertrag |
|---|---|---|
| Delegierter Rechtsakt zu DPP-Dienstleistern (Artikel 11 Unterabsatz 3 ESPR) | Nicht erlassen; kein Entwurf veröffentlicht. Laut dem Eintrag auf Have your say (Initiative 14382, zuletzt geändert am 26. Juni 2026) ist der Erlass für Q4 2026 geplant. Die DPP-Seite der Kommission (aktualisiert am 15. Oktober 2026) führt den Rechtsakt unter Q2 2027 und Q3 2027 in einem Zeitplan, den sie als indikativ bezeichnet. Die Aufforderung zur Stellungnahme vom November 2024 hatte Q1–Q2 2026 genannt. | Kann Anforderungen festlegen, die erfüllt sein müssen, um Dienstleister zu werden und als solcher tätig zu sein, und gegebenenfalls ein Zertifizierungssystem vorsehen. Nach dem Erlass tritt er nur in Kraft, wenn weder das Europäische Parlament noch der Rat innerhalb von zwei Monaten Einwände erhebt, wobei diese Frist um zwei Monate verlängert werden kann, oder wenn beide vorher mitteilen, dass sie keine Einwände erheben werden (Artikel 72 Absatz 6). |
| Delegierter Rechtsakt nach der ESPR für Textilien | Nicht erlassen. Laut der DPP-Seite der Kommission ist der Erlass für Q3–Q4 2027 vorgesehen. | Löst, sofern er Bekleidung nicht von der Passpflicht ausnimmt (Artikel 9 Absatz 4), die Pflichten zu Pass und Sicherungskopie für Bekleidung aus; diese gelten frühestens 18 Monate nach seinem Inkrafttreten, außer in hinreichend begründeten Ausnahmefällen (Artikel 4 Absatz 4). Entscheidet, ob die Referenz des Dienstleisters (Anhang III Buchstabe l) Teil des Passes für Bekleidung wird. |
| Data Act: Ende der Wechselentgelte | Gesetzlich festgelegt: keine Wechselentgelte ab dem 12. Januar 2027 (Artikel 29 Absatz 1). Der Data Act gilt seit dem 12. September 2025. | Relevant für Plattformverträge, die unter Kapitel VI fallen; ausgenommen sind maßgeschneiderte Dienste nach Artikel 31 Absatz 1 (Abschnitt 4). |
| Digital-Omnibus, Vorschlag COM(2025) 837 | Nur ein Vorschlag. Europäisches Parlament: Ausschussentscheidung ausstehend (Berichtsentwurf 22. Juni 2026; Änderungsanträge 27. Juli 2026). | Würde verhältnismäßige Sanktionen bei vorzeitiger Kündigung in Verträgen mit fester Laufzeit ausdrücklich zulassen (vorgeschlagener Artikel 31 Absatz 1b). |
| DPP-Normen EN 18239 und EN 18246 | Fundstellen nicht im Amtsblatt veröffentlicht. Die DPP-Seite der Kommission nennt für einen Durchführungsbeschluss zu den beiden übrigen DPP-Normen den November 2026 (am 13. Oktober 2026 nannte sie den September 2026). | Sie betreffen Zugangsrechte, Informationssicherheit, Geschäftsvertraulichkeit und Datenintegrität, also die Bereiche, die ein Dienstleister in der Praxis abdecken muss. |
Die beiden Quellen der Kommission widersprechen sich beim Zeitplan, und eine offizielle Erklärung dafür haben wir nicht gefunden. Die DPP-Seite wurde später aktualisiert und ist damit der jüngste Anhaltspunkt; sie deutet auf 2027 hin. Der Eintrag auf Have your say wurde seit Juni 2026 nicht geändert. So oder so: Laut dem Eintrag steht der Entwurf des Rechtsakts demnächst zur Stellungnahme an; die Rückmeldephase könnte also jederzeit beginnen.
Auch technische Normen werden den Markt für Dienstleister prägen. Mit dem Durchführungsbeschluss (EU) 2026/1736 wurden die Fundstellen von sechs der acht Europäischen DPP-Normen im Amtsblatt veröffentlicht, darunter EN 18221 „Datenspeicherung, Archivierung und Datenpersistenz“. Bei Pässen, die harmonisierte Normen erfüllen, deren Fundstellen veröffentlicht wurden, wird davon ausgegangen, dass sie die Anforderungen der Artikel 10 und 11 der ESPR erfüllen, soweit diese Anforderungen von den Normen abgedeckt sind (Artikel 41 Absatz 2). Es ist daher eine berechtigte Frage an einen Dienstleister, welche Normen mit veröffentlichter Fundstelle er umsetzt.
6. Was jetzt in den Vertrag gehört
Weder die ESPR noch der Data Act schreiben die folgenden Klauseln in dieser Form vor. Es sind unsere Empfehlungen für einen Dienstleistervertrag, der geschlossen wird, bevor es den delegierten Rechtsakt für Textilien und den delegierten Rechtsakt zu DPP-Dienstleistern gibt; zu jeder Klausel nennen wir die Bestimmung, deren Einhaltung sie Ihnen erleichtert.
| Vertragspunkt | Was Sie verlangen sollten | Rechtliche Grundlage |
|---|---|---|
| Rolle und Unabhängigkeit | Bestätigung, dass der Anbieter als Digitalproduktpass-Dienstleister in Ihrem Auftrag tätig wird und dass das Unternehmen, das Ihre Sicherungskopie hält, ein von Ihrem Unternehmen unabhängiger Dritter ist. | Artikel 2 Nummer 32 und Artikel 10 Absatz 4 ESPR; Erwägungsgrund 38. |
| Sicherungskopie | Eine Sicherungskopie der jeweils aktuellen Fassung jedes Passes, das Aktualisierungsintervall, die Art, wie der Link zur Sicherungskopie für die Registrierung bereitgestellt wird, und ein getestetes Wiederherstellungsverfahren. | Artikel 27 Absatz 1 Buchstabe c und Artikel 29 Absatz 2 Buchstabe c ESPR; Durchführungsverordnung (EU) 2026/1778, Artikel 8 Absatz 7 Buchstabe e. |
| Datennutzung | Eine Klausel, die den Grundsatz wiederholt: kein Verkauf, keine Weiterverwendung und keine Verarbeitung von Passdaten über die Dienstleistung hinaus. Jede Ausnahme wird ausdrücklich benannt, mit ihrem Zweck und den betroffenen Daten. Keine pauschale Zustimmung in allgemeinen Geschäftsbedingungen. | Artikel 11 Unterabsatz 2 ESPR. |
| Verfügbarkeit und Kontinuität | Verfügbarkeit für den gesamten Zeitraum, den der delegierte Rechtsakt festlegen wird und der mindestens der voraussichtlichen Lebensdauer des Produkts entspricht; was geschieht, wenn der Anbieter insolvent wird oder den Markt verlässt (zum Beispiel Übertragung auf einen Nachfolgeanbieter); was geschieht, wenn Ihr Unternehmen seine Tätigkeit einstellt. | Artikel 9 Absatz 2 Buchstabe i und Artikel 11 Buchstabe e ESPR. |
| Ausstieg und Portabilität | Offene, dokumentierte Exportformate; eine Ankündigungsfrist von höchstens zwei Monaten; ein Übergangszeitraum von höchstens 30 Kalendertagen; mindestens 30 Kalendertage für den Datenabruf; anschließende Löschung; Wechselentgelte vor dem 12. Januar 2027 nur im Rahmen von Artikel 29 und ab diesem Datum keine; Offenlegung der Sanktionen bei vorzeitiger Kündigung vor der Unterzeichnung. | Artikel 10 Absatz 1 Buchstabe d ESPR; Artikel 25 und 29 Data Act, soweit Kapitel VI anwendbar ist. |
| Handlungen im Register | Wenn der Anbieter Pässe für Sie registriert: Bestätigung, dass er überprüft ist; Regelung, wer die Zugangsdaten für das Register verwaltet und wie Fehler korrigiert werden. Die Verantwortung bleibt bei Ihnen. | Durchführungsverordnung (EU) 2026/1778, Artikel 19 Absätze 3 und 4. |
| Sicherheit und Normen | Wie der Anbieter Integrität, Sicherheit und Betrugsprävention gewährleistet, welche harmonisierten DPP-Normen mit veröffentlichter Fundstelle er umsetzt und wie er Ihnen Sicherheitsvorfälle meldet. | Artikel 11 Buchstaben g und h und Artikel 41 Absatz 2 ESPR; Durchführungsbeschluss (EU) 2026/1736. |
| Rechtsänderungen | Eine Verpflichtung, den delegierten Rechtsakt zu DPP-Dienstleistern und ein etwaiges Zertifizierungssystem nach deren Erlass einzuhalten, und Ihr Recht, ohne Vertragsstrafe zu kündigen, wenn der Anbieter dazu nicht in der Lage ist. | Artikel 11 Unterabsatz 3 ESPR. |
| Pilotbedingungen | Ist das Pilotprojekt eine befristete Testversion, gelten die Wechselregeln des Data Act möglicherweise nicht; vereinbaren Sie Export und Löschung daher im Pilotvertrag selbst. | Artikel 31 Absatz 2 Data Act. |
DPP-AUDIT
Wissen, was Ihr DPP-Setup abdecken muss, bevor Sie unterschreiben.
Wir prüfen Ihre Produktdaten, Systeme und Lieferantendaten anhand der Passanforderungen der ESPR, damit Sie wissen, was jedes DPP-Setup leisten muss, unabhängig davon, welchen Dienstleister Sie wählen. Unter NDA.
Ihr DPP-Audit startenHäufig gestellte Fragen
Brauchen wir einen DPP-Dienstleister, wenn wir den Pass selbst hosten?
Darf unser DPP-Dienstleister unsere Produktdaten für eigene Zwecke nutzen?
Können wir den DPP-Dienstleister wechseln, und was kostet das?
Wann werden die EU-Regeln für DPP-Dienstleister erlassen?
Müssen DPP-Dienstleister zertifiziert werden?
Quellen
- ESPRVerordnung (EU) 2024/1781 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Schaffung eines Rahmens für die Festlegung von Ökodesign-Anforderungen für nachhaltige Produkte, zur Änderung der Richtlinie (EU) 2020/1828 und der Verordnung (EU) 2023/1542 und zur Aufhebung der Richtlinie 2009/125/EG. Erwägungsgründe 38 und 40; Artikel 2 Nummer 32, Artikel 4 Absatz 4, Artikel 9 Absätze 1, 2 und 4, Artikel 10 Absätze 1 und 4, Artikel 11, Artikel 27 Absatz 1, Artikel 29 Absatz 2, Artikel 41 Absatz 2 und Artikel 72 Absatz 6; Anhang III. Gelesen in der Amtsblatt-Fassung; die Verordnung wurde nicht geändert; Berichtigungen geprüft; keine betrifft die zitierten Passagen. CELEX 32024R1781 ↗
- DPP-RegisterDurchführungsverordnung (EU) 2026/1778 der Kommission vom 16. Juli 2026 zur Festlegung der Durchführungsbestimmungen für das gemäß der Verordnung (EU) 2024/1781 des Europäischen Parlaments und des Rates eingerichtete digitale Produktpassregister. Erwägungsgrund 4; Artikel 3 und 5, Artikel 8 Absätze 7 und 9, Artikel 19 und 24. CELEX 32026R1778 ↗
- Data ActVerordnung (EU) 2023/2854 des Europäischen Parlaments und des Rates vom 13. Dezember 2023 über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung sowie zur Änderung der Verordnung (EU) 2017/2394 und der Richtlinie (EU) 2020/1828 (Datenverordnung). Erwägungsgründe 81 und 89; Artikel 2 Nummern 8 und 36, Artikel 23, 25, 29, 30, 31 und 50. Gelesen in der Amtsblatt-Fassung; die Verordnung wurde nicht geändert. Die sechs bis zum 24.09.2026 veröffentlichten Berichtigungen wurden geprüft: Die Berichtigung vom 9.9.2025 (ABl. L, 2025/90691) ändert den deutschen Wortlaut unter anderem von Artikel 2 Nummer 8, Artikel 25 und Artikel 31 Absatz 2 und ersetzt den Ausdruck Kündigungsfrist durch Ankündigungsfrist; die Passagen werden im berichtigten Wortlaut zitiert. Die übrigen Berichtigungen ändern den deutschen Text der zitierten Passagen nicht. CELEX 32023R2854 ↗
- Harmonisierte DPP-NormenDurchführungsbeschluss (EU) 2026/1736 der Kommission vom 14. Juli 2026 über die zur Unterstützung der Verordnung (EU) 2024/1781 des Europäischen Parlaments und des Rates erstellten harmonisierten Normen für digitale Produktpässe. CELEX 32026D1736 ↗ · CEN und CENELEC, Meldung vom 15.07.2026 mit den acht DPP-Normen (auf Englisch). CEN-CENELEC ↗
- Dienstleister-InitiativeEuropäische Kommission, Have your say, Initiative 14382, Digitaler Produktpass (DPP) – Vorschriften für Dienstleister, einschließlich der Aufforderung zur Stellungnahme für eine Folgenabschätzung, Ref. Ares(2024)8031852 vom 12.11.2024 (Eintrag abgerufen am 16.10.2026). Have your say ↗
- Zeitplan der KommissionEuropäische Kommission, Seite zum Digitalen Produktpass, indikativer DPP-Zeitplan (auf Englisch; aktualisiert am 15.10.2026, abgerufen am 16.10.2026). DPP-Seite der Kommission ↗
- Digital-OmnibusVorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnungen (EU) 2016/679, (EU) 2018/1724, (EU) 2018/1725, (EU) 2023/2854 und der Richtlinien 2002/58/EG, (EU) 2022/2555 und (EU) 2022/2557 hinsichtlich der Vereinfachung des digitalen Rechtsrahmens und zur Aufhebung der Verordnungen (EU) 2018/1807, (EU) 2019/1150, (EU) 2022/868 und der Richtlinie (EU) 2019/1024 (Digital-Omnibus-Verordnung), COM(2025) 837 final vom 19.11.2025; Nummer 15 der vorgeschlagenen Änderungen der Datenverordnung (neuer Artikel 31 Absätze 1a und 1b); ein Vorschlag, kein geltendes Recht. CELEX 52025PC0837 ↗ · Europäisches Parlament, Legislative Beobachtungsstelle, Verfahren 2025/0360(COD) ↗.
Die ESPR, die Durchführungsverordnung (EU) 2026/1778, der Durchführungsbeschluss (EU) 2026/1736 und der Data Act wurden in ihren Amtsblatt-Fassungen gelesen, der Digital-Omnibus-Vorschlag in der Fassung vom 19.11.2025; alle Texte hat das Amt für Veröffentlichungen der Europäischen Union (EUR-Lex) veröffentlicht. Die Zitate folgen den deutschen Sprachfassungen, beim Data Act dem berichtigten Wortlaut. Berichtigungen wurden geprüft. Die Verzeichnisse des Amts für Veröffentlichungen wurden am 16.10.2026 durchsucht und enthielten keinen delegierten Rechtsakt zu DPP-Dienstleistern. Die Seiten der Europäischen Kommission, von Have your say, der Legislativen Beobachtungsstelle und von CEN-CENELEC wurden am 16.10.2026 abgerufen. Dies sind allgemeine Informationen, keine Rechts-, Finanz- oder Anlageberatung.