Wenn Ihr DPP-Anbieter morgen insolvent wird: Was wird aus Ihren Pässen?

Wer eine Plattform für digitale Produktpässe auswählt, fragt meist nach Preis, Integrationen und Zeitplan. Selten fragt jemand das, was in fünf Jahren am meisten zählen wird: Was passiert mit den Pässen meiner Produkte, wenn es Sie nicht mehr gibt?

Die Frage ist nicht theoretisch. Ein Pass muss noch Jahre nach dem Verlassen der Fabrik verfügbar sein, und auf dem Markt für DPP-Plattformen tummeln sich derzeit viele Unternehmen, die vor weniger als drei Jahren gegründet wurden.

Was die Verordnung tatsächlich verlangt

Die Verordnung (EU) 2024/1781 regelt das an zwei Stellen, und die beiden sind nicht dasselbe.

Art. 10 Abs. 4 ist kurz und eindeutig: Der Wirtschaftsteilnehmer muss beim Inverkehrbringen des Produkts über einen Digitalproduktpass-Dienstleister eine Sicherungskopie des Passes zur Verfügung stellen. Das ist eine Pflicht und keine bloße Empfehlung.

Art. 2 Nr. 32 legt fest, wer ein solcher Dienstleister sein kann: ein unabhängiger Dritter, den der Wirtschaftsteilnehmer beauftragt und der die Daten des Passes verarbeitet, um sie den Zugangsberechtigten zur Verfügung zu stellen.

Die Sicherungskopie darf also weder bei Ihnen liegen noch beim selben Anbieter. Sie liegt bei einem unabhängigen Dritten. Das ist der Mechanismus, der Sie schützen soll.

⚠ Das Detail, das in den meisten Erklärungen fehlt

Nach Art. 11 Buchst. e muss der Pass für den in den delegierten Rechtsakten festgelegten Zeitraum verfügbar bleiben, und zwar auch nach einer Insolvenz, einer Liquidation oder der Einstellung der Tätigkeit in der Union des Wirtschaftsteilnehmers, der für die Erstellung des Passes verantwortlich ist.

Lesen Sie den letzten Teil genau. Der Schutz richtet sich gegen den Ausfall des Herstellers, also desjenigen, der den Pass erstellt. Den Ausfall der Plattform, auf der der Pass liegt, nennt er nicht.

Verschwindet Ihr Softwareanbieter, beschreibt die Verordnung diesen Fall nicht ausdrücklich. Er ist nur mittelbar abgedeckt: durch die Pflicht aus Art. 10 Abs. 4, die Sicherungskopie bei einem unabhängigen Dritten zu hinterlegen, und durch die europäische Norm EN 18221. Sie regelt Speicherung, Archivierung und Datenpersistenz, einschließlich der Replikation zwischen Wirtschaftsteilnehmern und Dienstleistern für die Sicherungskopie. EN 18221 ist eine der sechs Normen, die am 15. Juli 2026 im Amtsblatt der EU veröffentlicht wurden.

Dieser Unterschied hat praktische Folgen. Die Antwort auf „Was ist, wenn es Sie nicht mehr gibt?“ sollte kein Versprechen in einer E-Mail sein, sondern der Name eines Dritten und die Norm, nach der er arbeitet.

Eine Akkreditierung für DPP-Anbieter gibt es noch nicht

Darüber schreibt fast niemand. Art. 11 ermächtigt die Kommission, in delegierten Rechtsakten festzulegen, welche Anforderungen Digitalproduktpass-Dienstleister erfüllen müssen, um solche Dienstleister werden zu können, gegebenenfalls einschließlich eines Zertifizierungssystems, mit dem die Einhaltung überprüft wird.

Die Ermächtigung gibt es, den Rechtsakt nicht. Heute kann sich also jeder DPP-Dienstleister nennen. Es gibt kein Register, keine Akkreditierung, keine Prüfung.

Die praktische Folge: Für die Wahl des Anbieters sind heute allein Sie verantwortlich. Keine Behörde hat das für Sie schon geprüft.

Wie lange muss der Pass verfügbar bleiben?

Das weiß derzeit noch niemand. Art. 11 verweist auf den „in delegierten Rechtsakten festgelegten Zeitraum“, und den delegierten Rechtsakt für Ihre Produktgruppe gibt es wahrscheinlich noch nicht.

Nennt Ihnen ein Anbieter heute eine konkrete Zahl für Ihre Kategorie, fragen Sie, woher sie stammt. In der Verordnung steht keine.

Sechs Fragen vor der Unterschrift

1. Wer ist Ihr Anbieter für die Sicherungskopie, und inwiefern ist er von Ihnen unabhängig? Die Antwort ist ein Name, nicht das Wort „ja“.

2. Wo liegt die primäre Kopie? Nach Art. 11 Buchst. c kann sie entweder beim Wirtschaftsteilnehmer oder beim Dienstleister liegen. Klären Sie, was in Ihrem Fall gilt.

3. Setzen Sie EN 18221 um, insbesondere die Replikation an einen Dienstleister für die Sicherungskopie und die Regeln zur Lebensdauer der Daten?

4. In welchem Format erhalte ich meine Daten, wenn ich den Vertrag kündige? Art. 10 Abs. 1 Buchst. d verlangt, dass die Daten auf offenen Standards beruhen und über ein offenes, interoperables Austauschnetz übertragbar sind, ausdrücklich ohne Anbieterbindung.

5. Was machen Sie mit meinen Daten außer dem Speichern? Art. 11 verbietet Dienstleistern, die Daten zu verkaufen, weiterzuverwenden oder über das für den Dienst Erforderliche hinaus zu verarbeiten, sofern nichts anderes ausdrücklich mit dem Wirtschaftsteilnehmer vereinbart ist.

6. Wie wird die Echtheit der Daten nachgewiesen? Art. 11 Buchst. g verlangt Authentifizierung, Zuverlässigkeit und Integrität. Beachten Sie, dass die beiden Sicherheitsnormen zu Zugangsrechten und zur Authentifizierung der Daten noch nicht im Amtsblatt veröffentlicht sind.

Warum das auch für uns ein Test ist

Wir veröffentlichen diese Fragen, weil sie auch für uns gelten. Bekommen Sie eine Antwort mit Namen, Artikeln und Normen, sprechen Sie mit einem seriösen Anbieter. Bekommen Sie nur beschwichtigende Worte, wissen Sie, was fehlt.

Der Pass muss das Produkt überdauern. Das Produkt überdauert oft seinen Hersteller. Und auf diesem Markt manchmal auch die Plattform.