--- title: Die Pflicht zur Sicherungskopie — eine echte ESPR-Pflicht ohne Anbieter, der sie erfüllen kann description: ESPR Artikel 10(4) verlangt eine Sicherungskopie jedes DPP bei einem Dienstleister. Der Rechtsakt für diese Rolle ist nicht erlassen. Was jetzt zu tun ist. canonical: "https://www.tracepass.eu/de/regulatory/backup-copy-obligation" locale: de source: "https://www.tracepass.eu/de/regulatory/backup-copy-obligation" --- # Die Pflicht zur Sicherungskopie — eine echte ESPR-Pflicht ohne Anbieter, der sie erfüllen kann > ESPR Artikel 10(4) verlangt eine Sicherungskopie jedes DPP bei einem Dienstleister. Der Rechtsakt für diese Rolle ist nicht erlassen. Was jetzt zu tun ist. ESPR Artikel 10(4) verlangt vom Wirtschaftsakteur, eine Sicherungskopie des digitalen Produktpasses bei einem Dienstleister für digitale Produktpässe zu hinterlegen. Der delegierte Rechtsakt, der diese Rolle definiert und regelt, ist nicht erlassen. Hier steht, was die Pflicht tatsächlich sagt und was Sie tun können, bevor sie erfüllbar ist. Die Verordnung (EU) 2024/1781 — ESPR — enthält eine Pflicht, die die meisten Passdebatten nie erreichen. Artikel 10(4) lautet: „Der Wirtschaftsakteur stellt beim Inverkehrbringen des Produkts eine Sicherungskopie des digitalen Produktpasses über einen Dienstleister für digitale Produktpässe bereit.“ Ein Satz, der Form nach unbedingt — und keine Pflicht, die ein Akteur allein erfüllen kann. Der Grund, warum sie zählt, ist Artikel 11(e). Der Pass „bleibt für den in den nach Artikel 4 erlassenen delegierten Rechtsakten festgelegten Zeitraum verfügbar, auch nach einer Insolvenz, einer Liquidation oder einer Einstellung der Tätigkeit in der Union des für die Erstellung des digitalen Produktpasses verantwortlichen Wirtschaftsakteurs.“ Zusammen gelesen ist die Absicht klar: Ein Pass soll das Unternehmen überleben, das ihn erstellt hat. Die Sicherungskopie ist der Mechanismus, der das möglich macht. Das Problem: Ein „Dienstleister für digitale Produktpässe“ ist eine definierte Rolle, nicht eine Beschreibung irgendeines Anbieters, der Ihre Daten hält. Es ist ein unabhängiger Dritter, vom Wirtschaftsakteur beauftragt, der Passdaten verarbeitet, um sie den zugangsberechtigten Akteuren verfügbar zu machen. Die Regeln für diese Rolle — wer sie ausüben darf, was er garantieren muss, wie er beaufsichtigt wird — stammen aus dem delegierten Rechtsakt zu DPP-Dienstleistern. Dieser Rechtsakt ist nicht erlassen. Die ehrliche Lage ist daher: Es gibt eine echte Pflicht, ihre Gegenpartei existiert noch nicht, und kein Anbieter — wir eingeschlossen — kann heute qualifizierter Sicherungsanbieter sein, weil die Qualifikation nicht geschaffen wurde. Das ist keine Lücke in einem Produkt. Es ist eine Lücke im Feld. Diese Seite legt dar, was der Text sagt, warum er noch nicht erfüllbar ist, und was sich in der Zwischenzeit lohnt — und auch dann noch lohnt, wenn er es ist. ## Was die Verordnung tatsächlich sagt Vier Bestimmungen tragen die Sache. Drei sind aus dem konsolidierten ESPR-Text zitiert oder wiedergegeben; die vierte ist die Anwendungsregel, die bestimmt, wann eine davon überhaupt greift. Lesen Sie den Punkt zum Anwendungsbereich zuerst, wenn Sie klären wollen, ob dies heute für Ihr Produkt gilt. | Was die Verordnung tatsächlich sagt | | | --- | --- | | Artikel 10(4) — die Sicherungskopie selbst | Die Bestimmung ist ein Satz: „Der Wirtschaftsakteur stellt beim Inverkehrbringen des Produkts eine Sicherungskopie des digitalen Produktpasses über einen Dienstleister für digitale Produktpässe bereit.“ Drei Dinge sind bemerkenswert. Auslöser ist das Inverkehrbringen, nicht ein späterer Zeitpunkt. Die Pflicht trifft den Wirtschaftsakteur, sie lässt sich also nicht vertraglich wegdelegieren. Und die Kopie muss über einen Dienstleister bereitgestellt werden — eine Sicherung, die Sie selbst halten, so robust sie sei, ist nicht die Form, die der Artikel beschreibt. Genau dieses dritte Element ist derzeit nicht erfüllbar, und es ist keine unverbindliche Formulierung. | | Artikel 11(e) — Fortbestand über das Unternehmen hinaus | Der Pass „bleibt für den in den nach Artikel 4 erlassenen delegierten Rechtsakten festgelegten Zeitraum verfügbar, auch nach einer Insolvenz, einer Liquidation oder einer Einstellung der Tätigkeit in der Union des für die Erstellung des digitalen Produktpasses verantwortlichen Wirtschaftsakteurs.“ Das ist der Grund für Artikel 10(4). Ein nur beim Hersteller gehosteter Pass verschwindet mit dem Hersteller — die Produkte, die er beschreibt, nicht: Sie sind weiter in Gebrauch, werden weiterverkauft, landen bei einem Recycler, der die Daten braucht. Beachten Sie außerdem, dass die Verfügbarkeitsdauer selbst vom delegierten Rechtsakt nach Artikel 4 bestimmt wird — „wie lange“ ist also eine Frage je Produktgruppe, keine einzelne Zahl. | | Artikel 11(c) — was ein Verarbeiter mit den Daten nicht darf | Wer Passdaten speichert oder verarbeitet, „darf diese Daten weder ganz noch teilweise verkaufen, weiterverwenden oder über das für die Erbringung der betreffenden Speicher- oder Verarbeitungsdienste erforderliche Maß hinaus verarbeiten“. Eine schon jetzt nützliche Klausel, denn sie ist der Maßstab, an dem eine Sicherungsvereinbarung später gemessen wird. Sie schließt aus, die anvertrauten Daten als eigenständigen kommerziellen Vermögenswert zu behandeln — sie zu aggregieren, zu monetarisieren oder ein fremdes Produkt darauf zu bauen. Eine berechtigte Frage an jeden Anbieter, der heute Ihre Passdaten hält, delegierter Rechtsakt hin oder her. | | Anwendungsbereich — Artikel 10 greift, wo überhaupt ein Pass verlangt wird | Diese Feinheit entscheidet, ob die Pflicht schon Ihre ist. Artikel 10 legt wesentliche Anforderungen an einen digitalen Produktpass fest. Sie gelten dort, wo Artikel 9(1) überhaupt einen Pass verlangt — also sobald der produktspezifische delegierte Rechtsakt nach Artikel 4 auf das Produkt anwendbar ist. Die Sicherungspflicht ist daher keine eigenständige Pflicht für jedes heute auf dem Markt befindliche Produkt; sie knüpft dort an, wo ein Pass verpflichtend ist. Das einzige erlassene Mandat betrifft Batterien, nach Artikel 77 der Verordnung (EU) 2023/1542, ab dem 18. Februar 2027. Das ist das erste Datum, an dem dies für irgendjemanden real wird. | ## Warum das heute niemand erfüllen kann Das Hindernis ist nicht technisch. Einen Pass an eine zweite Organisation zu kopieren ist ein gelöstes Ingenieurproblem, und mehrere Anbieter könnten es heute Nachmittag tun. Das Hindernis ist, dass Artikel 10(4) keine Kopie bei einem anderen Unternehmen verlangt — er verlangt eine über einen Dienstleister für digitale Produktpässe bereitgestellte Kopie, also über eine Rolle, die die Verordnung definiert und die der delegierte Rechtsakt zu DPP-Dienstleistern regeln soll. Dieser Rechtsakt ist nicht erlassen. Öffentliche Quellen verorten ihn mal im ersten, mal im zweiten bis dritten Quartal 2027; keines davon ist ein Rechtsdatum, weshalb man ihn sinnvollerweise als zu beobachtenden Auslöser behandelt und nicht als Frist, gegen die man plant. Weil der Rechtsakt fehlt, gibt es keine Qualifikation, die man halten könnte. DIGITALEUROPE hat ein gemeinsames, EU-weites Zertifizierungssystem für Sicherungsdienste von DPP-Anbietern als Weg zur Erfüllung von Artikel 10(4) empfohlen — doch eine Empfehlung ist kein System, und keine Stelle zertifiziert derzeit jemanden danach. Jeder Anbieter, der heute behauptet, qualifizierter oder zertifizierter Sicherungsanbieter zu sein, behauptet einen Status, den es nicht gibt. Wir sind keiner, wir behaupten nicht, Artikel 10(4) zu erfüllen, und derselbe Test sollte für jeden gelten, der etwas anderes sagt: Nennen Sie das System, nennen Sie die Stelle, die es erteilt hat. Offen ist außerdem, was die Rolle separat überhaupt wert sein wird. DIGITALEUROPE hat vorgeschlagen, dass ein Wirtschaftsakteur einen einzigen Anbieter für Primär- und Sicherungsdienste beauftragen darf und dass Akteure, die Pässe selbst bereitstellen, ganz von der Zertifizierung ausgenommen werden. Wird einer der Vorschläge übernommen, wird ein eigenständiger Sicherungsanbieter zu einem weit engeren Produkt, als es heute aussieht. Nichts davon ist entschieden — das ist der Punkt. Geld oder Architektur auf einen noch nicht definierten Markt zu verpflichten, ist die teuerste Reaktion auf diesen Artikel. ## Was Sie sinnvoll tun können, bevor der Rechtsakt kommt Nichts davon erfüllt Artikel 10(4), und nichts davon sollte Ihnen so verkauft werden. Es versetzt Sie in die Lage, dass die spätere Erfüllung ein kleiner Schritt ist statt einer Migration — und jeder Punkt lohnt sich für sich, selbst wenn der delegierte Rechtsakt nie in der erwarteten Form kommt. | Was Sie sinnvoll tun können, bevor der Rechtsakt kommt | | | --- | --- | | Halten Sie einen vollständigen, standardgeformten Export bereit, den Sie mitnehmen können | Das ist die ehrliche Zwischenantwort auf eine Sicherungspflicht, die Sie noch nicht erfüllen können: ein vollständiger Export des Passes, in einem dokumentierten Format, den ein anderes System ohne Mitwirkung Ihres jetzigen Anbieters einlesen könnte. Ziehen Sie ihn nach Plan, bewahren Sie ihn dort auf, wo Sie die Kontrolle haben, und bestätigen Sie mindestens einmal, dass er anderswo tatsächlich lädt — ein Export, den nie jemand zurückgespielt hat, ist eine Hypothese, keine Sicherung. Seien Sie sich im Klaren, was er ist: Kontinuitätsversicherung und Portabilität. Er ist keine über einen Dienstleister für digitale Produktpässe bereitgestellte Kopie und sollte nie als Erfüllung von Artikel 10(4) beschrieben werden. | | Fragen Sie, wo die Daten lägen, wenn Ihr Anbieter morgen den Betrieb einstellt | Fragen Sie es direkt und lassen Sie sich die Antwort schriftlich geben, nicht im Vertriebsgespräch. Was geschieht mit gehosteten Pässen bei Insolvenz oder Abwicklung? Gibt es eine Escrow-Regelung, eine Kündigungsfrist, ein definiertes Exportfenster — oder gar nichts? Wer hält die Daten, in welcher Rechtsordnung, und mit welcher Zusage, sie nicht weiterzuverwenden — der Maßstab aus Artikel 11(c) lässt sich früh gut ausleihen. Ein Anbieter, dessen ehrliche Antwort „noch nichts Formelles“ lautet, ist nützlicher als einer, der mit einer Zertifizierung antwortet, die niemand vergibt. | | Bevorzugen Sie Formate und Kennungen, die einen Anbieterwechsel überstehen | Was eine Sicherung übertragbar macht, ist nicht die Kopie, sondern die Form der Daten darin. Eine auflösbare Kennung, die Sie kontrollieren, statt einer, die von der Domain eines Anbieters vergeben und an sie gebunden ist, bedeutet, dass ein Pass seine Adresse behält, wenn der Host wechselt. Standardgeformte, selbstbeschreibende Daten bedeuten, dass das empfangende System sie ohne maßgeschneidertes Mapping lesen kann. Proprietäre Speicher und anbietergebundene Kennungen sind die beiden Dinge, die eine spätere Migration teuer machen — und sie zu vermeiden ist billig, solange man sie erstmals auswählt. | | Beobachten Sie den delegierten Rechtsakt zu DPP-Dienstleistern, nicht die ESPR-Schlagzeilen | Das ist der Auslöser, der aus einer Gestaltungsfrage eine Compliance-Frage macht. Bis er erlassen ist, gibt es keine Rolle, mit der man kontrahieren kann, und kein System, nach dem man zertifiziert würde; die richtige Haltung ist Bereitschaft, nicht Beschaffung. Wenn er kommt, zählt: was ein Dienstleister garantieren muss, ob ein Anbieter Primär- und Sicherungsrolle zugleich ausfüllen darf, und ob selbst hostende Akteure ausgenommen sind. Diese Antworten bestimmen, ob Sie überhaupt etwas kaufen müssen. Bis dahin behandeln Sie jede genannte Frist als Schätzung, denn nichts ist erlassen. |