woran muss das Hosting meines Produktpasses genügen

Das Hosting muss Daten dauerhaft verfügbar und zugänglich halten

Das Hosting eines digitalen Produktpasses muss sicherstellen, dass die darin enthaltenen Daten bestehen bleiben, aktuell gehalten werden und von denjenigen abgerufen werden können, die nach den Vorschriften das Recht dazu haben — Verbraucher, Marktteilnehmer und Behörden mit Überwachungsaufgaben. Artikel 10 der ESPR (Verordnung (EU) 2024/1781) legt fest, dass der Pass über den Datenträger auf dem Produkt zugänglich sein muss (normalerweise ein QR-Code), dass die darin enthaltenen Daten korrekt sind und aktualisiert werden können, und dass die Speicherung so ausgelegt ist, dass der Pass den vorgeschriebenen Zeitraum überdauert. Darüber hinaus schreibt Artikel 13 vor, dass ein Verweis auf jeden Pass in ein zentrales europäisches Register aufgenommen wird, und Artikel 14 regelt, dass die Kommission ein Webportal einrichtet, über das diese registrierten Daten abrufbar sind. Hosting ist daher nicht nur "eine Seite, die sich beim Scannen öffnet" — es ist eine technische und organisatorische Verantwortung, die für die gesamte Dauer besteht, in der der Pass existieren soll.

Für wen dies gilt und für wen nicht

Diese Anforderungen gelten für denjenigen, der den digitalen Produktpass anbietet: in der Praxis der Hersteller, Importeur oder Bevollmächtigte, der für das Inverkehrbringen des Produkts verantwortlich ist, oder ein Unternehmen, das diese Aufgabe in ihrem Namen erfüllt. Es geht um das Hosting des Passes selbst — den Ort, an dem die Produktdaten gespeichert sind, die über den Datenträger abgerufen werden. Es geht nicht um den Datenträger als solchen: wie der QR-Code auf das Produkt kommt und welche technische Form dieser annimmt, ist eine andere Frage, die auf der Seite über wie der QR-Code auf das Produkt kommtausgearbeitet wird. Es geht auch nicht um die Frage, welche Daten im Pass enthalten sein müssen oder in welchem Dateiformat diese bereitgestellt werden — das wird pro Produktkategorie separat festgelegt und ist auf der Seite über die Bereitstellung von Produktpassdatenbeschrieben. Hosting ist speziell die Infrastruktur: wo die Daten gespeichert sind, wie lange, und wie diese erreichbar bleiben.

Die genauen Anforderungen folgen pro Produktkategorie ab einem Datum, das noch nicht feststeht

Die ESPR selbst beschreibt die Grundzüge — Zugänglichkeit, Aktualität, Verknüpfung mit dem Register — aber die detaillierten technischen und betrieblichen Anforderungen an das Hosting werden pro Produktkategorie in delegierten Rechtsakten festgelegt. Für Elektro- und IKT-Geräte ist noch nicht veröffentlicht worden, wann diese Verpflichtung genau wirksam wird. Der ESPR-Arbeitsplan 2025–2030 nennt diese Kategorien, und delegierte Rechtsakte werden darin ab 2027 erwartet, aber ein festes Datum für Elektro- und IKT-Geräte gibt es noch nicht. Bis ein delegierter Rechtsakt für eine bestimmte Produktgruppe veröffentlicht wird, gibt es für diese Gruppe noch keine konkrete Hostingverpflichtung aus der ESPR. Sobald der Rechtsakt für Elektro- und IKT-Geräte veröffentlicht wird, wird das Datum hier eingetragen.

Was dies für die Ausgestaltung des Hostings bedeutet

Wer jetzt schon über das Hosting eines Produktpasses nachdenkt, tut gut daran, mit der Dauer zu beginnen: der Pass muss für einen Zeitraum verfügbar bleiben, der pro Produktkategorie festgelegt wird, und diese Anforderung wirkt sich direkt auf die Wahl des Hosting-Partners und der -Infrastruktur aus — dies wird auf der Seite über wie lange ein Produktpass verfügbar bleiben mussweiter erläutert. Ein zweiter Schwerpunkt ist Kontinuität: Das Hosting muss weiterhin funktionieren, auch wenn sich etwas am Unternehmen ändert, das den Pass anbietet, was bei Geschäftsaufgabe oder Übernahme relevant wird — siehe die Seite über was mit dem Pass geschieht, wenn ein Unternehmen seine Tätigkeit beendet. Ein dritter Punkt ist die Verknüpfung mit dem europäischen Register: die Hosting-Umgebung muss so ausgestaltet sein, dass der Verweis auf den Pass korrekt und aktuell im Register eingetragen ist, was auf der Seite über das Register für digitale Produktpässe. Wer Produktdaten bereits in einem ERP- oder Bestandsverwaltungssystem verwaltet, kann zudem vorausschauen, wie diese Kopplung praktisch eingerichtet wird. Darüber hinaus ist es ratsam, bei der Wahl eines Hosting-Partners darauf zu achten, was bei einer Störung, einer Übernahme des Hosting-Partners selbst oder dem Ablauf eines Vertrags geschieht — Punkte, die nicht wörtlich in der ESPR stehen, aber in der Praxis darüber entscheiden, ob die zugrunde liegende Anforderung der Dauererreichbarkeit erfüllt wird.

Auf dem dies basiert: Artikel 10, 13 und 14 der ESPR

Artikel 10 der ESPR (Verordnung (EU) 2024/1781) beschreibt die allgemeinen Anforderungen für das digitale Produktpasswort, einschließlich Zugänglichkeit und Aktualität der Daten. Artikel 13 regelt das zentrale Register, in das ein Verweis auf jedes Passwort aufgenommen wird, und Artikel 14 regelt das Webportal, über das die Kommission diese Registerdaten bereitstellt. Zusammen bilden diese Artikel den Rahmen, in dem ein Produktpasswort funktionieren muss; die produktkategoriespezifischen Details folgen in späteren delegierten Rechtsakten.

Wer jetzt bereits ein Produktpasswort vorbereitet, sollte am besten damit beginnen, die eigene Produktkategorie und den Status der entsprechenden delegierten Rechtsakts zu ermitteln, und von dort aus die Anforderungen an Aufbewahrungsdauer und Registerkopplung in die Wahl einer Hosting-Lösung einbeziehen.

Worauf dies basiert

Die Verordnung selbst ist auf EUR-Lex verfügbar. Wir verweisen pro Aussage; Sie müssen uns nicht glauben.

Was Sie konkret tun müssen

Was von Ihnen erwartet wird

Die ESPR schreibt nicht vor, bei welchem Hosting-Partner ein Produktpasswort stehen muss, sondern wohl, welchen Eigenschaften die Speicherung und Bereitstellung der Daten genügen müssen. Artikel 10 der ESPR (Verordnung (EU) 2024/1781) benennt die Anforderungen für das digitale Produktpasswort selbst; Artikel 13 befasst sich mit dem Register, in dem Passwörter angemeldet werden; Artikel 14 regelt das Webportal, über das Aufsichtsbehörden und andere Parteien auf die Daten zugreifen können. Für ein Unternehmen mit 10 bis 100 Mitarbeitern läuft das auf eine Reihe einzelner, konkreter Verpflichtungen hinaus.

Das Passwort muss über den Datenträger auf dem Produkt erreichbar bleiben

Das Passwort wird über einen Datenträger — in der Praxis ein QR-Code — bereitgestellt, der auf oder bei dem Produkt angebracht wird. Artikel 10 der ESPR stellt Anforderungen an diese Kopplung zwischen Träger und Passwort: Der Link muss funktionieren, auch wenn Jahre vergehen. Für ein mittelständisches Unternehmen bedeutet dies, dass die Wahl eines Hosting-Partners nicht unabhängig von der Wahl des Datenträgers ist: Beide müssen aufeinander abgestimmt sein und das langfristig bleiben. Wie diese Kopplung in der Praxis hergestellt wird, ist beschrieben unter wie kommt der QR-Code für den Produktpass auf meine Elektronik.

Die Daten müssen von den richtigen Parteien einsehbar sein, ohne dass jeder alles sieht

Artikel 10 unterscheidet zwischen Daten, die für jedermann sichtbar sind — beispielsweise für einen Verbraucher, der den QR-Code scannt — und Daten, die nur für Aufsichtsbehörden oder andere Marktteilnehmer bestimmt sind. Eine Hosting-Umgebung muss diesen Unterschied technisch umsetzen können. Für ein Unternehmen bedeutet dies, dass die gewählte Lösung nicht einfach "alles öffentlich" oder "alles hinter einem Login" sein kann: Es muss ein gestaffelter Zugriff möglich sein, der darauf abgestimmt ist, wer welchen Teil der Informationen benötigt.

Das Passwort muss im Europäischen Register angemeldet werden

Artikel 13 der ESPR verpflichtet zur Registrierung des Passworts in einem zentralen Europäischen Register, mit darin einer Basisgruppe von Daten über das Produkt und den Ort des Passworts. Die Hosting des Passworts selbst und die Registrierung in diesem Register sind zwei getrennte Dinge: Das Passwort kann bei einem eigenen oder externen Hosting-Partner stehen, während das Register nur den Verweis und Kerndaten enthält. Was darin aufgenommen werden muss und wie diese Anmeldung funktioniert, ist dargelegt unter was ist das Register der digitalen Produktpässe und was muss ich darin eintragen.

Die Daten müssen sich an das Webportal für die Überwachung anpassen

Artikel 14 der ESPR führt ein Webportal ein, über das Marktüberwachungsbehörden und Zolldienste Daten aus digitalen Produktpässen abfragen können. Für den Hosting-Anbieter bedeutet dies, dass die Speicherung von Passdaten nicht isoliert sein kann: es muss eine technische Anbindung an dieses Portal möglich sein, in einer Form, die von der Kommission bestimmt wird. Ein Unternehmen, das selbst hostet oder einen Hosting-Anbieter in Anspruch nimmt, sollte nachfragen, ob dieser Anbieter mit dieser Anschlusspflicht vertraut ist und wie diese umgesetzt wird.

Die Daten müssen in einem erkennbaren und übertragbaren Format vorliegen

Hosting ist nicht nur eine Frage von "wo steht es", sondern auch "in welcher Form". Artikel 10 stellt Anforderungen an die Interoperabilität: die Daten müssen maschinenlesbar und übertragbar sein, damit sie nicht in einem System eines einzigen Lieferanten steckenbleiben. Für ein Unternehmen mit begrenztem Umfang ist dies oft der Punkt, an dem die Wahl eines Hosting-Anbieters am stärksten wiegt: ein geschlossenes System, das schwer zu exportieren ist, steht im Widerspruch zu dieser Anforderung. Das Dateiformat, in dem Daten bereitgestellt werden, ist ausgearbeitet bei in welchem Format muss ich die Produktpassdaten liefern.

Wo es in der Praxis schiefgeht

Eine häufige Situation ist, dass ein Unternehmen einen Hosting-Anbieter wählt, ohne zu fragen, ob dieser Anbieter eine technische Anbindung an das Webportal des Artikels 14 gewährleisten kann. In dem Moment, in dem eine Überwachungsbehörde Daten abfragen möchte, stellt sich heraus, dass die Schnittstelle nicht vorhanden ist.

Eine andere Situation entsteht, wenn die Unterscheidung zwischen öffentlichen und nicht-öffentlichen Daten nicht richtig eingerichtet ist: alle Informationen stehen hinter dem gleichen Zugang, oder alles ist völlig offen, während bestimmte Daten nur für Markteilnehmer oder Überwachung bestimmt sind.

Es kommt auch vor, dass ein Unternehmen das Hosting des Passes mit der Registrierung im Europäischen Register verwechselt: man denkt, dass der Pass "registriert" ist, weil er online steht, während die Anmeldung bei dem Register ein separater Schritt ist, der nicht automatisch stattfindet.

Eine vierte Situation ist ein Hosting-Anbieter, der nach einiger Zeit den Dienst einstellt oder übernommen wird, während die Daten nicht in einem übertragbaren Format verfügbar sind. Das Unternehmen sitzt dann in einem System fest, das nicht mehr erreichbar ist, während der QR-Code auf dem Produkt bereits im Umlauf ist.

Ein fünfter, häufiger gemachter Fehler ist, dass die Verbindung zwischen dem Datenträger auf dem Produkt und dem Hosting-Standort technisch voneinander unabhängig organisiert wird — zum Beispiel, weil ein Verpackungslieferant den QR-Code erstellt, ohne mit der Partei abzustimmen, die die Daten hostet. Bei einem Wechsel des Hosting-Anbieters funktioniert der Code dann nicht mehr.

Was Sie dokumentieren können

Eine Übersicht, welche Daten im Pass öffentlich sind und welche nur für Überwachung oder Markteilnehmer bestimmt sind, damit der Hosting-Anbieter diese Unterscheidung technisch einrichten kann.
Eine schriftliche Vereinbarung mit dem Hosting-Anbieter über die Anbindung an das Webportal des Artikels 14, einschließlich wer verantwortlich ist, wenn sich diese Anbindung ändert.
Ein festgelegtes Verfahren für die Anmeldung im Europäischen Register, getrennt von den Hosting-Vereinbarungen — siehe auch die Erläuterung bei was ist das Register der digitalen Produktpässe und was muss ich darin eintragen.
Eine Exportmöglichkeit oder vertragliche Garantie, dass Daten in einem übertragbaren Format bei Beendigung des Hosting-Vertrags angefordert werden können.
Dokumentation der Verbindung zwischen Datenträger und Hosting-Standort, einschließlich was bei einem Wechsel des Hosting-Anbieters oder des Systems geschieht — relevant ist auch, wie dies mit kann ich den Produktpass mit meinem ERP- oder Bestandsverwaltungssystem koppeln.
Eine Vereinbarung über die Dauer der Hosting-Verpflichtung, abgestimmt auf das, was über wie lange muss ein Produktpass verfügbar bleiben.

Dies ist keine Rechtsberatung. Diese Seite enthält allgemeine Informationen über die Regelungen, auf die sich diese Plattform bezieht. Wir kennen Ihre Situation nicht. Im Zweifelsfall über Ihre eigene Situation konsultieren Sie einen Juristen oder die zuständige Aufsichtsbehörde.

Mit KI verfasst auf Basis der obigen Quellen, überprüft durch eine Person am 2026-09-05. Stimmt da etwas nicht? Teilen Sie es mit — Korrektionen haben Vorrang.