Wer darf welche Daten aus dem Produktpass einsehen?

Was Sie konkret tun müssen

Das digitale Produktpass ist kein offenes Buch für jeden, der Zugang dazu hat. Die ESPR unterscheidet zwischen Daten, die für jeden sichtbar sind, sobald jemand den QR-Code scannt, und Daten, die nur bestimmte Parteien zu sehen bekommen — denken Sie an eine Überwachungsbehörde, einen Recycler oder das nächste Glied in der Kette. Für einen Hersteller oder Importeur von Aluminium-Halbzeugen ist dieser Unterschied relevant, denn nicht alles, was Sie liefern, ist automatisch öffentlich.

Was von Ihnen erwartet wird

Unterscheidung zwischen öffentlichem Zugang und beschränktem Zugang

Artikel 10 der ESPR (Verordnung (EU) 2024/1781) beschreibt, dass das Produktpass verschiedene Arten von Informationen enthält, und dass nicht alle Informationen für dieselbe Zielgruppe bestimmt sind. Für ein Unternehmen mit 10 bis 100 Mitarbeitern bedeutet dies, dass die Zusammensetzung des Passes im Voraus eingeteilt werden muss: Welche Daten sind für den Endnutzer oder einen beliebigen Scanner des QR-Codes bestimmt, und welche Daten sind für eine bestimmte Partei wie eine Marktüberwachungsbehörde, eine Zollbehörde oder ein Recyclingbetrieb weiter hinten in der Kette bestimmt. Diese Einteilung ist nicht etwas, das nachträglich hinzugefügt wird — sie ist bereits in der Konzeption des Passes enthalten.

Zugriffsrechte technisch einrichten

Artikel 11 der ESPR (Verordnung (EU) 2024/1781) befasst sich mit der technischen Gestaltung und dem Betrieb des Passes, und daraus folgt, dass der Zugriff auf bestimmte Daten an die Rolle des Benutzers gekoppelt werden kann. Für eine Gießerei oder einen Profilhersteller bedeutet dies, dass die Plattform, mit der der Pass zusammengestellt und gehostet wird, eine Rollenstruktur unterstützen muss: Ein Verbraucher, der scannt, sieht etwas anderes als eine Marktüberwachungsbehörde, die sich mit Befugnissen anmeldet, und diese wiederum etwas anderes als der Recycler, der am Ende der Lebensdauer Daten über die Materialzusammensetzung benötigt. Dies ist einer der Gründe, warum es praktisch ist, dies an eine Plattform auszulagern, anstatt ein eigenes PDF mit QR-Code zu erstellen: Die Rechtestruktur muss sich danach richten, wer scannt.

Bestimmen Sie, welche Daten Sie als Geschäftsgeheimnis einstufen

Ein Teil der Daten, die in einen Pass fließen, betrifft Produktionswissen, Legierungsrezepturen oder Lieferantenbeziehungen. Artikel 10 bietet Raum für eine Unterscheidung zwischen dem, was öffentlich gemacht wird, und dem, was beschränkt zugänglich bleibt, aber diese Unterscheidung entsteht nicht automatisch — ein Unternehmen muss selbst festlegen, welche Daten es als vertraulich einstuft und warum. Diese Abwägung wird ausführlicher unter der Frage beschrieben muss ich geschäftssensitive Daten über mein Aluminium öffentlich machen, und ist eng mit der Frage verbunden, welche Daten überhaupt in den Pass gehören.

Wissen Sie, wer welche Daten benötigt und warum

Für ein Unternehmen dieser Größe ist es praktisch, im Voraus zu wissen, welche Parteien in der Praxis um Zugang ersuchen werden: ein Kunde, der selbst wieder einen Produktpass für ein verarbeitetes Produkt zusammenstellt, ein Prüfer, ein Recycler oder eine Überwachungsbehörde bei einer Kontrolle. Dies erfordert eine Übersicht, welche Daten in welche Schicht des Passes fließen — öffentlich, beschränkt oder ausschließlich für die Überwachung — und diese Übersicht ist etwas anderes als die Frage, welche Daten inhaltlich in den Pass gehören, wie unter beschrieben welke gegevens komen er in het productpaspoort van aluminium.

Wo es in der Praxis schiefgeht

Alles wird standardmäßig veröffentlicht. Ein Unternehmen liefert alle Daten ohne Unterscheidung zwischen dem, was öffentlich sein muss, und dem, was beschränkt sein kann, mit dem Ergebnis, dass vertrauliche Zusammensetzungsdaten einer Legierung für jeden, der scannt, sichtbar sind.

Die Rolle des Recyclers wird nicht berücksichtigt. Am Ende der Lebensdauer benötigt ein Recycler andere Daten als ein Verbraucher am Anfang — beispielsweise detaillierte Informationen über die Legierungszusammensetzung nach der EN-AW-Bezeichnung. Wenn diese Informationen nur in einer öffentlichen, vereinfachten Form verfügbar sind, fehlen dem Recycler die Daten, die er benötigt.

Zugriffsrechte werden bei der Wahl einer Plattform nicht berücksichtigt. Ein Unternehmen wählt eine Lösung, die nur einen statischen QR-Code mit einer einzigen festen Datei anbietet, ohne die Möglichkeit, zwischen Zielgruppen zu unterscheiden. Sobald sich herausstellt, dass bestimmte Daten nur begrenzt zugänglich sein müssen, ist dies technisch nicht mehr einzurichten.

Es wird kein Unterschied zwischen dem technischen Dossier und dem Produktpass gemacht. Daten, die für die interne Verwendung oder für eine Aufsichtsbehörde bestimmt sind, werden mit dem verwechselt, was im öffentlichen Produktpass stehen muss. Der Unterschied zwischen diesen beiden Dokumenten wird erläutert unter was ist der Unterschied zwischen meinem technischen Dossier und dem digitalen Produktpass.

Niemand ist dafür verantwortlich, die Zugriffsrechte aktuell zu halten. Ein Mitarbeiter, der früher Zugriff auf begrenzte Daten hatte, verlässt das Unternehmen, oder eine neue Partei in der Kette erhält keinen Zugriff zugewiesen, wodurch Daten nicht bei denjenigen ankommen, die sie benötigen. Dies hängt zusammen mit der Frage wie oft muss ich die Daten im Produktpass aktualisieren, denn Zugriff und Aktualität gehen oft Hand in Hand.

Was Sie bereits festhalten können

• Ein Überblick darüber, welche Daten im Produktpass öffentlich sichtbar sind und welche nur begrenzt zugänglich sind, mit einer kurzen Begründung pro Kategorie.
• Eine Liste der Parteien, die den Zugriff auf begrenzte Daten voraussichtlich benötigen — wie Aufsichtsbehörden, Kunden weiter unten in der Kette und Recycler — und welche Daten für jede von ihnen relevant sind.
• Eine interne Vereinbarung darüber, wer innerhalb des Unternehmens für die Zuweisung und den Widerruf von Zugriffsrechten verantwortlich ist, und wie oft dies überprüft wird.
• Eine Begründung der Entscheidung, bestimmte Daten als geschäftsvertraulich einzustufen, einschließlich der Unterscheidung, die dabei zwischen dem, was veröffentlicht und was nicht veröffentlicht wird, getroffen wird.
• Eine kurze Beschreibung, wie die gewählte Plattform technisch den Zugriff regelt — über Rollen, über Anmeldung oder über separate Datenschichten — damit dies bei einer Überprüfung nachgewiesen werden kann.