Wer darf welche Daten aus dem Produktpass einsehen?

Was Sie konkret tun müssen

Was von Ihnen erwartet wird

Das Produktpass ist nicht ein Block von Daten, den jeder in derselben Form zu sehen bekommt. Die ESPR unterscheidet danach, wer welche Schicht der Informationen einsehen kann, und genau diese Unterscheidung ist es, an der Unternehmen in der Praxis scheitern. Artikel 10 der ESPR (Verordnung (EU) 2024/1781) legt fest, welche Daten zugänglich sein müssen und für wen, und Artikel 11 der ESPR (Verordnung (EU) 2024/1781) regelt, wie dieser Zugang technisch über den Datenträger und das zugrunde liegende Registrierungssystem eingerichtet wird.

Unterscheidung zwischen öffentlichem und eingeschränktem Zugang

Ein Teil der Daten im Pass ist für jeden vorgesehen, der den QR-Code scannt: den Endnutzer, die Werkstatt, den Privatkäufer. Ein anderer Teil ist für Parteien mit einer spezifischen Rolle in der Kette vorgesehen, wie Marktüberwachungsbehörden oder Zollstellen. Für einen Reifenimporteur oder Großhändler bedeutet dies, dass nicht automatisch alles, was angeliefert wird, auch öffentlich sichtbar ist. Welche Kategorie genau zu welchem Publikum gehört, hängt von der delegierten Handlung für Reifen ab, die die Produktgruppe spezifisch ausfüllen muss. Ein Unternehmen mit 10 bis 100 Mitarbeitern tut gut daran, bei der Datenlieferung an einen Passdienst festzuhalten, welche Felder als öffentlich und welche als eingeschränkt gedacht sind, statt das nachträglich klären zu lassen.

Sicherstellen, dass die richtige Partei die richtige Schicht erreicht

Artikel 11 der ESPR (Verordnung (EU) 2024/1781) beschreibt, dass das technische Design des Passes einen gestuften Zugang ermöglichen muss: Der QR-Code auf dem Reifen führt zu einem Basisstufe, während Überwachungsbehörden und andere befugte Parteien über einen anderen Zugangsweg zu detaillierteren Daten gelangen können. Für einen Importeur bedeutet dies, dass die Wahl eines Passdiensts auch eine Wahl dafür ist, wie dieser gestufte Zugang technisch eingerichtet wird. Ein Dienst, der alle Daten flach hinter einem QR-Code ablegt, entspricht nicht dem, was Artikel 11 bezweckt, und dieses Risiko liegt letztendlich bei der Partei, die für den Pass verantwortlich ist, nicht nur beim Dienstleister.

Geschäftssensible Informationen abschirmen, ohne die Verpflichtung zu umgehen

Ein Teil der Daten, die ein Hersteller oder Importeur liefert, kann wettbewerbssensibel sein: Zusammensetzungen, Testmethoden, Lieferantenbeziehungen. Artikel 10 der ESPR (Verordnung (EU) 2024/1781) anerkennt, dass nicht alle zugrunde liegenden Informationen öffentlich sein müssen, aber das entbindet ein Unternehmen nicht von der Verpflichtung, die Daten, die tatsächlich für die Öffentlichkeit oder die Überwachungsbehörde vorgesehen sind, korrekt zu liefern. Was als geschäftssensibel behandelt werden kann und was nicht, und wie sich das zur Verpflichtung zur Datenweitergabe verhält, wird ausführlicher auf der Seite über oder ob geschäftssensible Reifendaten offen gelegt werden müssen.

Zugang so gestalten, dass er dem tatsächlich im Pass Enthaltenen entspricht

Die Frage, wer welche Daten sehen darf, hängt zwangsläufig mit der Frage zusammen, welche Daten überhaupt im Pass stehen. Ein Unternehmen, das noch bestimmen muss, welche Felder für Reifen verpflichtend sind, tut gut daran, sich diesen Überblick zunächst über die Seite zu verschaffen über welche Daten im Produktpass für Reifen enthalten sind, bevor es eine Zugangsstruktur einrichtet, die nicht darauf abgestimmt ist.

Wo es in der Praxis schiefgeht

Ein Großhändler lässt einen Passdienst alle angelieferten Daten standardmäßig als öffentlich einstellen, einschließlich interner Testergebnisse, die nicht für den Endnutzer vorgesehen waren, weil vorher niemand angegeben hatte, welche Felder eingeschränkt bleiben sollten.

Ein Importeur geht davon aus, dass die Marktüberwachung über denselben QR-Code Zugang bekommt wie der Verbraucher, und richtet daher keinen separaten Zugangsweg ein — mit der Folge, dass eine Kontrolle verzögert wird, weil die Überwachungsbehörde nicht auf die zugrunde liegende technische Dokumentation zugreifen kann.

Ein Unternehmen verwechselt den Unterschied zwischen "wer den Pass lesen darf" und "wer den Pass ändern darf" und gewährt einer externen Partei Leserechte, die versehentlich auch Schreibrechte umfassen, mit dem Risiko unbefugter Änderungen.

Ein Wagenparkmanager erhält von einem Lieferanten nur einen allgemeinen Link zum Produktpaspoport, ohne dass klar ist, welcher Teil der Informationen spezifisch für den Reifennutzer bestimmt ist und welcher Teil für die Aufsicht — mit Verwirrung darüber, was für Wartung und Austausch relevant ist.

Ein Hersteller behandelt die Gummimischung als vollständig öffentlich, weil diese ohnehin im Produktpaspoport eingetragen ist, ohne zu prüfen, ob dieses spezifische Feld unter eine Zugriffskategorie mit Beschränkung fallen kann; wer das klären möchte, findet weitere Hintergrundinformationen auf der Seite über welche Angaben über die Gummimischung erfasst werden müssen.

Was Sie dokumentieren können

• Eine Übersicht, welche Felder im Produktpaspoport öffentlich zugänglich sind und welche unter beschränktem Zugriff stehen, abgestimmt mit dem Produktpassoportunternehmen bei der Datenlieferung.
• Eine interne Vereinbarung darüber, wer innerhalb des Unternehmens welche Rechte hat: Lesen, Liefern oder Ändern von Daten im Produktpaspoport.
• Dokumentation darüber, wie der gestaffelte Zugriff technisch durch das gewählte Produktpassoportunternehmen eingerichtet ist, damit dies bei einer Überprüfung nachgewiesen werden kann.
• Eine Übersicht, welche Daten als betrieblich sensibel gekennzeichnet sind und auf Grundlage welcher Überlegung dies geschehen ist.
• Eine festgelegte Verfahrensweise für den Fall, dass Daten nach der Veröffentlichung angepasst werden müssen, einschließlich wer dafür Zugriff hat — weitere Informationen hierzu finden Sie auf der Seite über ob Daten angepasst werden können, nachdem das Produktpassoport bereits veröffentlicht wurde.
• Ein Ansprechpartner im Unternehmen, der Fragen von Aufsichtsbehörden über den Zugriff auf spezifische Datenschichten beantworten kann.

Sobald die Delegierte Handlung für Reifen veröffentlicht ist, wird darin wahrscheinlich präziser festgelegt, welche Datenkategorien öffentlich sind und welche beschränkt, und welche Parteien genau zur Gruppe mit erweiterten Zugriff gehören. Bis dahin ist die Dokumentation der eigenen Entscheidungen und deren Begründung das Konkreteste, das ein Unternehmen tun kann.