Wie lange muss ein Produktpass verfügbar bleiben?

Was Sie konkret tun müssen

Wer Stahl oder ein Halbzeug davon auf den Markt bringt, will wissen, wie lange die zugehörigen digitalen Daten irgendwo verfügbar sein müssen. Das ist nicht nur eine IT-Frage ("wie viele Jahre mieten wir Speicherplatz") sondern auch eine organisatorische: Jemand muss dafür einstehen, dass diese Daten erreichbar bleiben, auch wenn sich intern vieles ändert. Artikel 10 der ESPR (Verordnung (EU) 2024/1781) legt die Anforderung fest, dass das Produktpass verfügbar sein muss, solange dies für das betreffende Produkt relevant ist — der genaue Zeitraum wird pro Produktkategorie in einem Delegierten Rechtsakt ausgearbeitet. Für Stahl und eiserne Halbzeuge gibt es diesen Rechtsakt noch nicht, daher ist eine konkrete Anzahl von Jahren derzeit nicht anzugeben.

Dass die Dauer noch nicht feststeht, bedeutet nicht, dass es nichts zu tun gibt. Die Verpflichtung, im Voraus zu regeln wer verantwortlich ist für diese Verfügbarkeit, und wie dies geregelt ist, liegt bereits vor.

Was von Ihnen erwartet wird

Verfügbarkeit für die Lebensdauer des Produkts regeln

Artikel 10 der ESPR koppelt die Aufbewahrungsfrist an das Produkt, nicht an das Unternehmen. Praktisch bedeutet dies, dass ein Stahlhandel oder Metallverarbeiter mit zehn bis hundert Mitarbeitern nicht damit auskommen kann, dass "wir das Produktpass hosten, solange wir Kunde bei unserem Softwareleveranten sind". Die Daten müssen für denjenigen erreichbar bleiben, der das Produkt später verwendet, verarbeitet oder demontiert — auch wenn das Jahre nach dem ersten Verkauf ist. Für Halbzeuge, die wieder in anderen Produkten verschwinden, kann das ein langer Zeitraum sein. Wer dies an einen Hosting-Partner auslagert, tut gut daran, dies vertraglich daran auszurichten, was später im Delegierten Rechtsakt festgelegt wird, anstatt an eine feste Vertragsdauer, die zufällig drei oder fünf Jahre beträgt.

Zugänglichkeit über das Register aufrechterhalten

Artikel 13 der ESPR verpflichtet zur Registrierung des Produktpass in einem zentralen Register. Dieses Register enthält unter anderem einen Verweis darauf, wo sich das Produktpass tatsächlich befindet. Für ein Unternehmen bedeutet dies, dass eine Registrierung keine einmalige Maßnahme ist: Wenn das Produktpass den Hosting-Partner wechselt, das Format ändert oder das Unternehmen selbst die Infrastruktur wechselt, muss dieser Verweis korrekt bleiben, solange das Produktpass existieren muss. Was das Register für digitale Produktpässe genau festlegt und wer es führt, ist daher direkt mit der Frage verbunden, wie lange alles erreichbar sein muss: Ein Produktpass, das technisch noch existiert, aber dessen Registereintrag auf einen nicht mehr existierenden Ort verweist, erfüllt faktisch nicht die Anforderungen.

Fortlaufende Erreichbarkeit auch bei Unternehmensänderungen

Die Verpflichtung endet nicht bei einer Fusionierung, Übernahme, Insolvenz oder Stilllegung des Unternehmens, das das Produktpass erstellen ließ. Für ein MKB-Unternehmen ist dies eine der weniger naheliegenden Folgen: Die Aufbewahrungspflicht ist nicht an den Fortbestand des Unternehmens gekoppelt, sondern an das Produkt, das sich noch im Umlauf befindet. Dies wirft sofort die Frage auf was mit dem Produktpass geschieht, wenn ein Unternehmen seine Tätigkeit beendet — eine Frage, die aufgrund der Art dieser Verpflichtung nicht theoretisch ist, besonders nicht in einem Sektor mit vielen kleineren, spezialisierten Zulieferern.

Wo es in der Praxis schiefgeht

Eine erste Situation: Ein Hosting-Vertrag mit einem IT-Anbieter läuft nach ein paar Jahren ab, und niemand hat vorher vereinbart, was mit den Daten nach Ablauf des Vertrags passiert. Das Produktpass verschwindet faktisch, während das Produkt noch Jahre lang verwendet wird.

Eine zweite: Bei einer Übernahme wird die Produktdokumentation übertragen, aber der Zugriff auf das zugrunde liegende System, in dem die Produktpässe gespeichert waren, nicht. Der Käufer hat den Stahl, aber nicht den Schlüssel zu den zugehörigen Daten.

Eine dritte: Ein Unternehmen registriert das Produktpass ordnungsgemäß bei der Erstellung, vergisst aber, den Registereintrag anzupassen, wenn es später zu einem anderen System wechselt, um die Daten mit dem eigenen ERP- oder Lagersystem zu verknüpfenverknüpfen. Der QR-Code auf dem Produkt verweist dann auf eine Adresse, die nicht mehr aktiv gepflegt wird.

Eine vierte Situation entsteht bei der Chargenkennzeichnung: Eine Stahlcharge, die als Charge registriert wird, wird später aufgeteilt und in kleineren Teilen weiterverkauft. Wenn nicht im Voraus festgelegt ist, wie Chargenkennzeichnung versus Einzelstückkennzeichnung sich zur Aufbewahrungspflicht pro Teillieferung verhält, ist nachträglich unklar, wer für welchen Teil der Charge noch für die Verfügbarkeit der Daten verantwortlich ist.

Ein fünfter: Ein Unternehmen geht davon aus, dass eine Aufbewahrungsfrist von fünf oder zehn Jahren (wie in anderen Rechtsvorschriften üblich) auch hier automatisch gilt, und richtet die Lagerung danach aus. Da die tatsächliche Frist für Stahl noch durch eine delegierte Handlung festgelegt werden muss, ist diese Annahme derzeit nicht zu unterstützen — und kann der tatsächliche Zeitraum sowohl kürzer als auch länger ausfallen.

Was Sie festhalten können

• Eine Hosting-Vereinbarung, die nicht am Ende einer Vertragslaufzeit endet, sondern ausdrücklich eine Übertragung oder Verlängerung vorsieht, sobald die Aufbewahrungsfrist aus der delegierten Handlung bekannt ist.
• Eine interne Anweisung, wer verantwortlich ist für die Aktualisierung des Registereintrags, einschließlich der Maßnahmen, die bei einem Systemwechsel erforderlich sind.
• Ein Verfahren für Geschäftsänderungen (Übernahme, Fusion, Beendigung), in dem festgelegt ist, wie der Zugang zu Passdaten übertragen wird, nicht nur die Daten selbst.
• Ein Übersicht über die Identifikationscodes, die zu welcher Charge oder welchem Produkt gehören, besonders bei Aufspaltung von Chargen — dies entspricht der Art und Weise, wie jedes Produkt einen eindeutigen Identifikationscode erhält.
• Eine Datei pro Produktkategorie mit dem Registrierungsdatum, dem verwendeten Hosting-Dienst und eventuellen Änderungen darin, sodass bei einer Kontrolle leicht nachgewiesen werden kann, dass die Verfügbarkeit immer geregelt war.
• Eine standardmäßige Überprüfung bei jeder Änderung des Datensatzes der für das Paspoort geliefert wird, sodass sofort deutlich ist, ob eine Änderung im Datensatz auch eine Änderung der Aufbewahrungsfrist mit sich bringt.

Sobald die delegierte Handlung für Eisen und Stahl eine konkrete Aufbewahrungsfrist festlegt, wird dies hier ergänzt. Bis dahin geht es vor allem darum, die Verantwortung für die Verfügbarkeit selbst angemessen zu regeln — dieser Teil der Verpflichtung ist nämlich bereits festgelegt.