DATENZUGANGS-LEITFADEN

Wer sieht Ihre DPP-Daten? Zugangsrechte, Vertraulichkeit und Sicherheit nach der ESPR

Veröffentlicht 13.10.2026 · Aktualisiert 20.10.2026 · Lesezeit ~8 Min · von Lior Gabriel Graetz · LG Fashion Labs

Die häufigste Sorge, die wir von Modemarken zum Digitalen Produktpass hören, betrifft die Offenlegung: Sehen Wettbewerber die Lieferantenliste, sieht die Öffentlichkeit Zusammensetzungs- und Chemikaliendaten, darf der DPP-Dienstleister die Daten weiterverwenden? Die ESPR, Verordnung (EU) 2024/1781, beantwortet diese Fragen nicht Produkt für Produkt. Sie setzt grundsätzlicher an: Sie macht den Zugang zu Passdaten von Zugangsrechten abhängig, die der delegierte Rechtsakt für die jeweilige Produktgruppe festlegen soll. Zugleich legt sie grundlegende Anforderungen an Schreibrechte, Integrität und Sicherheit fest, die schon heute für jeden Pass gelten.

Dieser Leitfaden unterscheidet zwischen dem, was die Verordnung bereits festlegt, und dem, was für Bekleidung noch offen ist: der delegierte Rechtsakt für Textilien, die beiden harmonisierten Normen zu Zugangsrechten und Datenintegrität, deren Fundstellen noch nicht im Amtsblatt veröffentlicht sind, der delegierte Rechtsakt zu DPP-Dienstleistern und die Durchführungsrechtsakte zu digitalen Zertifikaten, die die ESPR zulässt, die aber noch nicht vorgeschlagen wurden. Wo die Daten physisch liegen und was auf das Etikett kommt, erklärt unser Leitfaden zu Datenträgern und zum EU-Register.

Je Produktgruppe

Der Zugang zu Passdaten richtet sich nach den spezifischen Zugangsrechten auf Ebene der Produktgruppen, die der anwendbare delegierte Rechtsakt festlegt (Artikel 10 Absatz 1 Buchstabe g ESPR).

6 von 8

DPP-Normen, deren Fundstellen mit dem Durchführungsbeschluss (EU) 2026/1736 im Amtsblatt veröffentlicht wurden; EN 18239 (Zugangsrechte) und EN 18246 (Integrität) sind noch nicht darunter.

Kein Weiterverkauf

DPP-Dienstleister dürfen Passdaten nicht verkaufen, wiederverwenden oder über die Dienstleistung hinaus verarbeiten, es sei denn, dies wurde ausdrücklich mit dem Wirtschaftsteilnehmer vereinbart (Artikel 11 ESPR).

1. Was die Verordnung zum Zugang bereits regelt

Artikel 10 Absatz 1 Buchstabe g, Verordnung (EU) 2024/1781 (ESPR)

„Der Zugang zu den im digitalen Produktpass enthaltenen Informationen wird im Einklang mit den in diesem Artikel und in Artikel 11 festgelegten grundlegenden Anforderungen und mit den spezifischen Zugangsrechten auf Ebene der Produktgruppen gemäß den nach Artikel 4 erlassenen anwendbaren delegierten Rechtsakten geregelt“

Für den Zugang gibt es also keine einheitliche Regel für alle Produkte. Jeder delegierte Rechtsakt muss je nach erfasster Produktgruppe Folgendes festlegen: „die Akteure, die Zugang zu Daten im digitalen Produktpass haben sollen, sowie die Art der ihnen jeweils zugänglich zu machenden Informationen“ und „die Akteure, die einen digitalen Produktpass erstellen oder die Daten in einem digitalen Produktpass aktualisieren sollen, und welche Daten sie einführen oder aktualisieren können“ (Artikel 9 Absatz 2 Buchstaben f und g). Solange es den delegierten Rechtsakt für Bekleidungstextilien nicht gibt, lässt das Recht offen, welche einzelnen Bekleidungsdaten öffentlich und welche nur eingeschränkt zugänglich sein werden.

Festgelegt sind dagegen der Kreis der Akteure und der Grundsatz. Nach Artikel 11 Buchstabe b haben Kunden, Hersteller, Importeure, Vertreiber, Händler, fachlich kompetente Reparateure, unabhängige Wirtschaftsteilnehmer, Instandsetzungsbetriebe, Wiederaufbereitungsunternehmen, Recyclingunternehmen, Marktüberwachungs- und Zollbehörden, zivilgesellschaftliche Organisationen, Gewerkschaften und andere maßgebliche Akteure kostenlosen und einfachen Zugang zum digitalen Produktpass, und zwar „auf der Grundlage ihrer jeweiligen Zugangsrechte, die in dem gemäß Artikel 4 erlassenen anwendbaren delegierten Rechtsakt festgelegt sind“. Erwägungsgrund 33 nennt das Gestaltungsziel: Um den Zugang zu den Daten zu optimieren und zugleich die Rechte des geistigen Eigentums zu schützen, „muss der digitale Produktpass so gestaltet und umgesetzt werden, dass je nach Art der Informationen und Typologie der Interessenträger ein differenzierter Zugang zu den Daten im digitalen Produktpass möglich ist“.

Drei Bestimmungen prägen den Zugang, bevor auch nur ein einziges Datenfeld für Bekleidung definiert ist. Der delegierte Rechtsakt muss je nach erfasster Produktgruppe festlegen, wie der Pass den Kunden, auch im Fernabsatz, zugänglich zu machen ist, bevor sie durch einen Kauf-, Miet- oder Ratenkaufvertrag gebunden sind (Artikel 9 Absatz 2 Buchstabe e). Der Wirtschaftsteilnehmer, der das Produkt in Verkehr bringt, muss Händlern und Anbietern von Online-Marktplätzen eine digitale Kopie des Datenträgers oder die eindeutige Produktkennung bereitstellen, damit Kunden, die keinen physischen Zugang zum Produkt haben, den Pass aufrufen können (Artikel 10 Absatz 3). Und der Wirtschaftsteilnehmer „stellt beim Inverkehrbringen des Produkts eine Sicherungskopie des digitalen Produktpasses über einen unabhängigen Digitalproduktpass-Drittdienstleister zur Verfügung“ (Artikel 10 Absatz 4). Die Regeln für Dienstleister in Abschnitt 2 betreffen daher jede Marke, nicht nur solche, die das Hosting auslagern.

Zwei weitere Punkte stehen bereits fest. Im EU-Register nach Artikel 13 werden „auf sichere Weise mindestens die eindeutigen Produktkennungen gespeichert“, bei Produkten, die in das Zollverfahren der Überlassung zum zollrechtlich freien Verkehr übergeführt werden sollen, außerdem der Warencode (Artikel 13 Absatz 1). Die Durchführungsverordnung (EU) 2026/1778 fügt Registrierungsdaten hinzu, etwa einen Verweis auf den Digitalproduktpass-Dienstleister (Artikel 8 Absatz 9). Weitere Passdaten werden dort nur gespeichert, wenn ein delegierter Rechtsakt dies festlegt (Artikel 13 Absatz 2). Das Register ist nicht öffentlich: Die Kommission, die zuständigen nationalen Behörden und die Zollbehörden haben Zugang, um ihre Aufgaben wahrzunehmen (Artikel 13 Absatz 6); Wirtschaftsteilnehmer erhalten nach ihrer Überprüfung Zugang, um ihre Pässe zu registrieren (Artikel 4 Absatz 3 der Durchführungsverordnung (EU) 2026/1778), andere Akteure der Wertschöpfungskette wie Reparateure oder Recyclingunternehmen erst, nachdem sie überprüft wurden (Artikel 5 Absatz 3). Anders das öffentlich zugängliche Webportal, das die Kommission nach Artikel 14 betreiben muss: Über dieses Portal müssen Interessenträger Passdaten suchen und vergleichen können, und zwar „im Einklang mit ihren jeweiligen Zugriffsrechten“.

2. Wie vertrauliche Geschäftsinformationen und personenbezogene Daten geschützt werden

Die ESPR enthält mehrere Schutzmechanismen, die bereits gelten, bevor es überhaupt einen Rechtsakt für Bekleidung gibt:

Bestimmung (ESPR)Was sie besagtWas das für eine Marke bedeutet
Artikel 5 Absatz 10 Buchstabe dDie Kommission „berücksichtigt den Schutz vertraulicher Geschäftsinformationen“, wenn sie Ökodesign-Anforderungen ausarbeitet.Vertraulichkeit ist keine Nebensache, sondern ein Faktor, den die Kommission bei der Festlegung der Anforderungen für Bekleidung abwägen muss.
Artikel 7 Absatz 6 Buchstabe bEin delegierter Rechtsakt, der Informationsanforderungen festlegt, muss gegebenenfalls hinreichend begründete Ausnahmen von den Informationsanforderungen zu besorgniserregenden Stoffen vorsehen, unter anderem auf Grundlage „der Notwendigkeit des Schutzes vertraulicher Geschäftsinformationen“; besorgniserregende Stoffe im Sinne des Artikels 2 Nummer 27 Buchstabe a, die in einer Konzentration von mehr als 0,1 Massenprozent enthalten sind, dürfen nicht ausgenommen werden.Es gibt einen rechtlichen Weg, bestimmte Stoffinformationen aus dem Pass herauszuhalten, aber nicht für Stoffe der Kandidatenliste (Artikel 2 Nummer 27 Buchstabe a) oberhalb dieses Schwellenwerts.
Erwägungsgrund 33Differenzierter Zugang „je nach Art der Informationen und Typologie der Interessenträger“, um den Zugang zu den Daten zu optimieren und zugleich die Rechte des geistigen Eigentums zu schützen.Der Gesetzgeber geht davon aus, dass nicht jeder Akteur jedes Feld sieht.
Artikel 10 Absatz 1 Buchstabe e„Personenbezogene Daten, die sich auf die Kunden beziehen, dürfen nicht ohne deren ausdrückliche Einwilligung im Einklang mit Artikel 6 der Verordnung (EU) 2016/679 im digitalen Produktpass gespeichert werden“.Kundendaten, etwa aus einem Wiederverkaufs- oder Reparaturservice, gehören grundsätzlich nicht in den Pass.
Artikel 11 Unterabsatz 2Speichern oder verarbeiten DPP-Dienstleister den Pass, „dürfen diese unabhängigen Digitalproduktpass-Drittdienstleister die Gesamtheit oder Teile der Daten nicht verkaufen, wiederverwenden oder über das für die Erbringung der betreffenden Speicher- oder Verarbeitungsdienste erforderliche Maß hinaus verarbeiten, es sei denn, dies wurde ausdrücklich mit dem Wirtschaftsteilnehmer vereinbart, der das Produkt in Verkehr bringt oder in Betrieb nimmt“.Was ein Dienstleister mit Ihren Passdaten über die Dienstleistung hinaus tun darf, hängt davon ab, was Sie im Vertrag vereinbaren.

Dem Wortlaut nach garantiert keine dieser Bestimmungen, dass ein bestimmtes Datenfeld für Bekleidung vertraulich bleibt. Sie sind die Maßstäbe, an denen der delegierte Rechtsakt für Bekleidung seine Zugangsstufen ausrichten wird. Unser Leitfaden zu besorgniserregenden Stoffen erklärt den Schwellenwert von 0,1 % im Detail.

3. Wer Daten ändern darf und welche Sicherheitsanforderungen gelten

Lesen und Schreiben von Daten werden getrennt behandelt. Artikel 11 Buchstabe f bestimmt: „Das Recht auf die Eingabe, Änderung oder Aktualisierung von Daten im Produktpass wird auf der Grundlage der Zugangsrechte eingeschränkt, die in gemäß Artikel 4 erlassenen delegierten Rechtsakten festgelegt sind.“ In der Praxis dürfte der delegierte Rechtsakt festlegen, welcher Akteur, etwa eine Marke, ein Lieferant oder ein Reparaturbetrieb, welche Informationen hinzufügen oder aktualisieren darf (Artikel 9 Absatz 2 Buchstabe g).

Zwei grundlegende Anforderungen gelten für jeden Pass, unabhängig von der Produktgruppe: „Die Authentizität, Zuverlässigkeit und Integrität der Daten sind zu gewährleisten“ (Artikel 11 Buchstabe g), und digitale Produktpässe „sind so zu gestalten und einzusetzen, dass ein hohes Maß an Sicherheit und Privatsphäre gewährleistet und Betrug vermieden wird“ (Artikel 11 Buchstabe h).

Nach Artikel 11 letzter Unterabsatz kann die Kommission Durchführungsrechtsakte erlassen, „in denen Verfahren für die Ausstellung und Überprüfung der digitalen Zertifikate von Wirtschaftsteilnehmern und anderen relevanten Akteuren festgelegt werden, die Zugangsrechte zu den im digitalen Produktpass enthaltenen Daten haben“. Am 13. Oktober 2026 fanden wir in den Verzeichnissen des Amts für Veröffentlichungen keinen solchen Durchführungsrechtsakt und auf dem Kommissionsportal Have your say keine entsprechende Initiative.

4. Die beiden Normen zu Zugangsrechten und Integrität

Für den DPP wurden acht Europäische Normen erarbeitet. Laut CEN und CENELEC (15. Juli 2026) gehören dazu EN 18239 „Digital Product Passport - Access rights management, information system security, and business confidentiality“ (Verwaltung von Zugangsrechten, Sicherheit von Informationssystemen und Geschäftsvertraulichkeit) und EN 18246 „Digital product passport - Data authentication, reliability and integrity“ (Authentifizierung, Zuverlässigkeit und Integrität von Daten). Mit dem Durchführungsbeschluss (EU) 2026/1736 vom 14. Juli 2026 wurden die Fundstellen von sechs der acht Normen im Amtsblatt veröffentlicht; EN 18239 und EN 18246 sind nicht darunter.

Das ist wegen Artikel 41 Absatz 2 der ESPR von Bedeutung: Bei einem Pass, der harmonisierte Normen erfüllt, deren Fundstellen im Amtsblatt veröffentlicht wurden, wird davon ausgegangen, dass er die Anforderungen der Artikel 10 und 11 erfüllt, soweit diese Anforderungen von den betreffenden Normen abgedeckt sind. Die beiden Normen zu Zugangsrechten, Sicherheit, Vertraulichkeit und Integrität, EN 18239 und EN 18246, begründen noch keine Konformitätsvermutung. Die DPP-Seite der Kommission hatte den Beschluss über die verbleibenden zwei Normen für September 2026 aufgeführt (ihr Zeitplan ist indikativ); am 13. Oktober 2026 fanden wir in den Verzeichnissen des Amts für Veröffentlichungen keinen solchen Beschluss, und am 17. Oktober 2026 führte die Seite den Beschluss stattdessen für November 2026 auf.

5. Was noch aussteht und was jeweils entschieden wird

VorhabenStand am 20. Oktober 2026Was damit geregelt wird
Delegierter Rechtsakt nach der ESPR für Textilien (Bekleidung)Noch nicht erlassen. Die DPP-Seite der Kommission nennt für den Erlass der delegierten Rechtsakte für Textilien, Aluminium und Reifen Q3–Q4 2027.Welche Akteure welche Bekleidungsdaten sehen und wer welche Daten eingeben oder aktualisieren darf (Artikel 9 Absatz 2 Buchstaben f und g).
Harmonisierte Normen EN 18239 und EN 18246Fundstellen noch nicht im Amtsblatt veröffentlicht; die DPP-Seite der Kommission nannte am 13. Oktober 2026 für den Beschluss noch September 2026; mit Stand 17. Oktober 2026 nennt sie November 2026 (indikativ).Konformitätsvermutung für Zugangsrechte, Sicherheit, Vertraulichkeit und Integrität (Artikel 41 Absatz 2).
Durchführungsverordnung zu Zugangsrechten zu Teilen des BatteriepassesFür Q4 2026 geplant (Have your say, Initiative 16473); Artikel 77 Absatz 9 der Verordnung (EU) 2023/1542 sah eine Frist bis zum 18. August 2026 vor; die Kommission hat den Entwurf am 19. Oktober 2026 veröffentlicht, Rückmeldungen sind bis zum 16. November 2026 möglich.Betrifft nur Batterien, nicht Bekleidung. Die Verordnung (EU) 2023/1542 unterscheidet im Batteriepass bereits zwischen öffentlich zugänglichen Informationen, Informationen nur für notifizierte Stellen, Marktaufsichtsbehörden und die Kommission sowie Informationen nur für Personen mit berechtigtem Interesse (Artikel 77 Absatz 2, Anhang XIII). Die geplante Durchführungsverordnung wird festlegen, wer als Person mit berechtigtem Interesse gilt und in welchem Umfang diese Personen die Informationen herunterladen, teilen, veröffentlichen und wiederverwenden dürfen.
Delegierter Rechtsakt zu DPP-DienstleisternFür Q4 2026 geplant (Have your say, Initiative 14382); die DPP-Seite der Kommission nennt 2027.Anforderungen, die ein Unternehmen erfüllen muss, um DPP-Dienstleister zu werden und als solcher tätig zu sein, gegebenenfalls einschließlich eines Zertifizierungssystems (Artikel 11 Unterabsatz 3).
Durchführungsrechtsakte zu digitalen ZertifikatenKeine Initiative gefunden.Wie Inhaber von Zugangsrechten identifiziert und überprüft werden (Artikel 11 letzter Unterabsatz).

Ausblick — Europäische Unternehmensbrieftaschen

Der Vorschlag der Kommission für eine Verordnung über die Einrichtung europäischer Unternehmensbrieftaschen (European Business Wallets), COM(2025) 838 vom 19. November 2025, ist bislang nicht angenommen; am 7. Oktober 2026 bestätigte das Europäische Parlament sein Mandat für die Aufnahme interinstitutioneller Verhandlungen (Verfahren 2025/0358(COD)). Die Begründung des Vorschlags erwähnt digitale Produktpässe, die vorgeschlagenen Artikel nehmen jedoch nicht auf die ESPR Bezug. Ob Unternehmensbrieftaschen zum Nachweis von DPP-Zugangsrechten genutzt werden, ist daher eine offene politische Frage, kein geltendes Recht.

6. Was eine Marke jetzt tun kann

Keiner der folgenden Schritte ist nach der ESPR heute vorgeschrieben. Wir empfehlen sie aber zur Vorbereitung, solange die Regeln für Bekleidung noch offen sind:

SchrittWarum
Klassifizieren Sie Ihre Produktdaten nach Sensibilität: öffentlich, nur für Partner, nur für Behörden, intern.Erwägungsgrund 33 und Artikel 9 Absatz 2 Buchstabe f deuten auf einen differenzierten Zugang hin. Wenn Sie Ihre Daten schon jetzt klassifizieren, können Sie sie später schnell den Stufen zuordnen, die der delegierte Rechtsakt festlegt.
Prüfen Sie die Datennutzungsklausel in jedem Vertrag über ein DPP-Pilotprojekt oder mit einem DPP-Dienstleister.Nach Artikel 11 Unterabsatz 2 setzt eine Weiterverwendung über die Dienstleistung hinaus eine ausdrückliche Vereinbarung mit Ihnen voraus. Vermeiden Sie pauschale Zustimmungsklauseln.
Legen Sie fest, wer welche Daten eingeben oder ändern darf, insbesondere bei Lieferanten.Artikel 11 Buchstabe f beschränkt Schreibrechte nach Maßgabe der Zugangsrechte. Rollenbasierte Berechtigungen schon in Pilotprojekten ersparen später Nacharbeit.
Halten Sie personenbezogene Kundendaten aus dem Pass heraus.Artikel 10 Absatz 1 Buchstabe e verlangt eine ausdrückliche Einwilligung nach der DSGVO.
Fragen Sie Dienstleister, wie sie EN 18239 und EN 18246 erfüllen werden, sobald deren Fundstellen veröffentlicht sind.Bis dahin gelten die Artikel 10 und 11 für diese Aspekte ohne Konformitätsvermutung.

DPP-AUDIT

Klarheit darüber, welche Ihrer Produktdaten öffentlich sein können und welche es nicht sein dürfen.

Wir gleichen Ihre Produktdaten mit den DPP-Anforderungen und den offenen Fragen zu Zugangsrechten ab, damit Ihre Lieferantendaten, Verträge und Ihr Zugangsmodell bereitstehen, wenn der Rechtsakt für Textilien kommt. Unter NDA.

Ihr DPP-Audit starten

Häufig gestellte Fragen

Wird meine Lieferanten- und Fabrikliste im DPP öffentlich sein? +
Das ist rechtlich noch nicht entschieden. Andere eindeutige Kennungen des Wirtschaftsteilnehmers als die des Herstellers sowie eindeutige Kennungen der Einrichtung gehören zu den Elementen, die ein delegierter Rechtsakt im Pass vorschreiben kann (Anhang III Absatz 1 Buchstaben h und i). Die ESPR überlässt es aber dem delegierten Rechtsakt für die jeweilige Produktgruppe, festzulegen, welche Akteure Zugang zu welchen Daten haben (Artikel 9 Absatz 2 Buchstabe f und Artikel 10 Absatz 1 Buchstabe g), und Erwägungsgrund 33 verlangt einen differenzierten Zugang, um den Zugang zu den Daten zu optimieren und zugleich die Rechte des geistigen Eigentums zu schützen. Der delegierte Rechtsakt für Bekleidungstextilien ist noch nicht erlassen; die DPP-Seite der Kommission nennt für den Erlass Q3–Q4 2027.
Darf mein DPP-Dienstleister meine Produktdaten nutzen? +
Nur für die Dienstleistung, es sei denn, Sie vereinbaren etwas anderes. Nach Artikel 11 Unterabsatz 2 der ESPR dürfen DPP-Dienstleister die Gesamtheit oder Teile der Daten nicht verkaufen, wiederverwenden oder über das für die Speicher- oder Verarbeitungsdienste erforderliche Maß hinaus verarbeiten, es sei denn, dies wurde ausdrücklich mit dem Wirtschaftsteilnehmer vereinbart, der das Produkt in Verkehr bringt oder in Betrieb nimmt.
Wer darf die Daten in meinem Pass ändern? +
Nur Akteure mit den entsprechenden Rechten. Artikel 11 Buchstabe f schränkt das Recht auf Eingabe, Änderung oder Aktualisierung von Daten nach Maßgabe der Zugangsrechte ein, die der delegierte Rechtsakt festlegt. Artikel 9 Absatz 2 Buchstabe g verlangt, dass dieser Rechtsakt je nach erfasster Produktgruppe festlegt, welche Akteure einen Pass erstellen oder aktualisieren dürfen und welche Daten sie eingeben oder aktualisieren können.
Gibt es eine Norm für DPP-Zugangsrechte, an der wir uns jetzt orientieren können? +
EN 18239 behandelt die Verwaltung von Zugangsrechten, die Sicherheit von Informationssystemen und die Geschäftsvertraulichkeit, EN 18246 die Authentifizierung, Zuverlässigkeit und Integrität von Daten. Am 13. Oktober 2026 war für keine der beiden die Fundstelle im Amtsblatt veröffentlicht; mit dem Durchführungsbeschluss (EU) 2026/1736 wurden die Fundstellen von sechs der acht DPP-Normen veröffentlicht. Die Konformitätsvermutung nach Artikel 41 Absatz 2 der ESPR gilt erst, wenn die Fundstellen veröffentlicht sind.
Dürfen Kundendaten im Pass gespeichert werden? +
Grundsätzlich nicht. Nach Artikel 10 Absatz 1 Buchstabe e der ESPR dürfen personenbezogene Daten, die sich auf die Kunden beziehen, nicht ohne deren ausdrückliche Einwilligung im Einklang mit Artikel 6 der Datenschutz-Grundverordnung im digitalen Produktpass gespeichert werden.

Quellen

Die ESPR, der Durchführungsbeschluss (EU) 2026/1736 und die Durchführungsverordnung (EU) 2026/1778 wurden in den Amtsblatt-Fassungen gelesen, die Verordnung (EU) 2023/1542 in ihrer konsolidierten Fassung, alle veröffentlicht vom Amt für Veröffentlichungen der Europäischen Union (EUR-Lex); die Zitate folgen den deutschen Sprachfassungen. Konsolidierte Fassungen sind Dokumentationsinstrumente ohne Rechtswirkung; verbindlich ist der im Amtsblatt veröffentlichte Text. Die Verzeichnisse des Amts für Veröffentlichungen wurden am 13.10.2026 durchsucht; die Seiten der Europäischen Kommission, von Have your say, der Legislativen Beobachtungsstelle und von CEN-CENELEC wurden am 13.10.2026 abgerufen; der Have-your-say-Eintrag zur Initiative 16473 wurde am 20.10.2026 erneut abgerufen. Dies sind allgemeine Informationen, keine Rechts-, Finanz- oder Anlageberatung.