Wer darf welche Daten aus dem Produktpass einsehen?

Was Sie konkret tun müssen

Was von Ihnen erwartet wird

Das Produktpass ist kein Dokument mit einer einzigen Zugangsebene. Die ESPR geht von abgestuftem Zugang aus: einige Daten sind über den QR-Code auf dem Produkt für alle sichtbar, andere nur für Parteien mit einer spezifischen Rolle in der Lieferkette, und wieder andere nur für Behörden. Artikel 10 der ESPR (Verordnung (EU) 2024/1781) nennt diesen Unterschied als Anforderung für den Pass, und Artikel 11 regelt, wie dieser technisch und organisatorisch umgesetzt wird. Für ein Unternehmen, das Stahl verarbeitet oder weiterverkauft, bedeutet dies, dass überlegt werden muss, wer zu welchem Zeitpunkt welchen Teil der Daten zu sehen bekommt.

Zwischen öffentlichen und eingeschränkten Daten unterscheiden

Ein Teil der Passdaten ist für jeden, der den QR-Code scannt, zugänglich: ein Endnutzer, ein Einkäufer bei einem Bauunternehmen, eine Behörde vor Ort. Ein anderer Teil ist nur für Parteien mit berechtigtem Interesse bestimmt, wie Recyclingunternehmen, die Materialzusammensetzung benötigen, oder Zertifizierungsstellen. Für ein mittleres Metallunternehmen bedeutet dies, dass die Frage "wer darf was sehen und wer nicht" bereits bei der Erstellung des Passes beantwortet sein muss, nicht im Nachhinein. Dies betrifft unmittelbar die Frage ob geschäftssensible Daten über Stahl veröffentlicht werden müssen: nicht alles, das im Pass enthalten ist, muss für jeden sichtbar sein.

Zugang an die Rolle in der Lieferkette koppeln

Artikel 11 beschreibt, dass das Zugangsrecht von der Rolle der Partei abhängen kann, die die Daten anfordert: Hersteller, Importeur, Vertreiber, Endnutzer, Marktüberwachungsbehörde oder Abfallwirtschaft. Für einen Stahlhandel, der Halbfabrikate einkauft und weiterverkauft, bedeutet dies, dass die eigene Rolle in der Lieferkette bestimmt, welche Daten sichtbar sind und welche nicht. Ein Händler, der Material an ein Bauunternehmen weiterverkauft, gibt damit auch ein Stück Verantwortung weiter: der Käufer muss Zugang zu den Daten haben, die für Anwendung und Verarbeitung relevant sind, wie Stahlsorte und Zusammensetzung.

Sicherstellen, dass Behörden immer Zugang haben

Neben dem abgestuften Zugang für Marktakteure ist es erforderlich, dass Aufsichtsbehörden (Marktüberwachungsbehörden und Zollbehörden) Zugang zum gesamten Pass haben, auch zu den Teilen, die nicht öffentlich sind. Für ein Unternehmen mit 10 bis 100 Mitarbeitern bedeutet dies, dass keine Daten im Pass enthalten sein dürfen, die "verborgen" bleiben für die Kontrolle, auch nicht, wenn sie kommerziell vertraulich sind. Dieser Unterschied zwischen nicht-öffentlich und nicht-kontrollierbar ist wesentlich: Daten können vom Publikum abgeschirmt sein, aber niemals von den Behörden, die überprüfen müssen, ob der Pass korrekt ist.

Sicherstellen, dass die Zugangsstruktur technisch funktioniert

Artikel 11 stellt Anforderungen an die technische Ausgestaltung: der Pass muss so aufgebaut sein, dass verschiedene Zugangsebenen tatsächlich angewendet werden können, nicht nur in der Theorie. Für ein Unternehmen, das keine eigene IT-Abteilung hat, die dies aufbauen kann, ist die Wahl eines Hosting-Partners relevant: die Technik muss sicherstellen, dass ein Endnutzer nicht versehentlich auf Daten zugreift, die nur für einen Recycler bestimmt sind, und umgekehrt.

Wo es in der Praxis schiefgeht

Einige Situationen, die in der Praxis oft für Unklarheiten sorgen:

Ein Händler denkt, dass der Pass vollständig öffentlich sein muss, und veröffentlicht daher auch Daten, die nur für die nächste Partei in der Lieferkette bestimmt waren, wie interne Prozessparameter. Dies geschieht oft aus Vorsicht ("besser zu viel als zu wenig teilen"), aber ohne Unterschied zwischen Zugangsebenen gelangen Informationen an Parteien, die nichts damit anfangen können oder dürfen.

Ein anderes Szenario: ein Unternehmen geht davon aus, dass alles, das nicht ausdrücklich "verpflichtend öffentlich" ist, für jeden abgeschirmt werden darf, einschließlich der Behörden. Dieser Unterschied zwischen öffentlich und nicht-kontrollierbar wird dann verwechselt, mit dem Ergebnis, dass eine Kontrolle ins Stocken gerät, weil der Inspekteur nicht auf die zugrunde liegenden Daten zugreifen kann.

Es gibt auch Situationen, in denen ein Hersteller das Passierschein von einem Dritten erstellen lässt, ohne festzulegen, wer welche Zugriffsrechte erhält. Wenn später ein Streit darüber entsteht, wer welche Daten geliefert oder geändert hat, gibt es dann keine Aufzeichnung darüber, wer wann Zugriff hatte.

Weiterhin kommt es vor, dass ein Unternehmen die Zugriffsstruktur des Passierscheins der eines Inspektionszertifikats 3.1 gleichsetzt, obwohl es sich um ein anderes Dokument mit einer anderen Funktion und einem anderen Publikum handelt. Dies führt zu Verwirrung darüber, was genau mit wem geteilt wird; wie sich ein Inspektionszertifikat 3.1 zum Produktpass verhält ist daher auch eine Frage, die oft daneben gestellt wird.

Abschließend: ein Unternehmen stellt die Daten zusammen, ohne zwischen technisch sensiblen (Zusammensetzung, Norm) und kommerziell sensiblen (Lieferantenpreise, interne Spezifikationen) Informationen zu unterscheiden, wodurch sich nachträglich herausstellt, dass wettbewerbssensitive Informationen für jedermann sichtbar waren.

Was Sie festhalten können

• Ein Überblick darüber, welche Passierscheindaten öffentlich zugänglich sind und welche begrenzt, abgestimmt auf welche Daten im Produktpass für Stahl enthalten sein müssen.
• Eine interne Entscheidung darüber, welche Daten als geschäftssensitiv gekennzeichnet werden, mit einer Begründung, warum, damit dies später nachvollziehbar ist.
• Absprachen mit dem Hosting-Partner darüber, welche Zugriffsrollen unterstützt werden (Endbenutzer, Kettenpartner, Aufsichtsbehörde) und wie diese technisch voneinander getrennt werden.
• Eine Aufzeichnung darüber, wer innerhalb des eigenen Unternehmens für die Vergabe und Verwaltung von Zugriffsrechten zum Passierschein verantwortlich ist.
• Ein Überblick darüber, welche Parteien in der Kette (Lieferant, Abnehmer, Recycler) welche Daten benötigen, gekoppelt an Themen wie der Schrottanteil in der Schmelze oder die Legierungselemente, die gemeldet werden müssen, damit klar ist, welche Daten für welche Rolle relevant sind.
• Ein Änderungs- und Zugriffsprotokoller, damit bei einer Kontrolle nachgewiesen werden kann, dass Aufsichtsbehörden immer Zugriff auf den vollständigen Datensatz hatten.