technology

Wer darf einen DPP betreiben? EU-Regeln für Dienstleister

Was die EU für DPP-Dienstleister vorbereitet: Zertifizierung, Interoperabilität, Sicherungskopien und Plattformsteuerung.

29.3.2026 · 9 Min. Lesezeit · InfoDPP

Redaktionelle Aktualisierung, 20. Juli 2026: Produktivregister, Testumgebung und der erste öffentliche Benutzerleitfaden sind nun verfügbar; der Leitfaden richtet sich jedoch ausdrücklich an Wirtschaftsakteure. Er enthält weder ein Registrierungsverfahren für Dienstleister noch ein Zertifizierungsverfahren, eine öffentliche Dienstleisterliste oder eine vollständige API-Spezifikation. Die Verordnung (EU) 2026/1778 verlangt weiterhin eine Liste verifizierter Dienstleister und ein semantisches Repositorium. „Verifiziert“ bedeutet aber Identitäts- und Zugriffsprüfung im Register, nicht Zertifizierung nach dem künftigen delegierten ESPR-Rechtsakt.

Warum dieses Thema jetzt wichtig ist

Die Europäische Kommission diskutiert den Digitalen Produktpass nicht mehr nur als produktbezogenes Compliance-Werkzeug. Sie bereitet auch Regeln für die Unternehmen vor, die die Infrastruktur rund um den DPP betreiben werden.

Das ist bedeutsam, denn ein DPP-Dienstleister ist kein gewöhnlicher Softwareanbieter. In der Praxis kann er Produktdaten speichern und bereitstellen, Zugriffsrechte verwalten, Sicherungskopien pflegen, Interoperabilität unterstützen, APIs bereitstellen und die dauerhafte Verfügbarkeit der Passdaten gewährleisten.

Für Unternehmen, die eine DPP-Plattform auswählen, verschiebt sich damit die Frage von „Kann dieser Anbieter einen QR-Code generieren?” zu „Wird diese Architektur wahrscheinlich funktionsfähig bleiben, wenn die EU-Regeln zur Systemsteuerung konkreter werden?”

Was die Kommission tatsächlich vorbereitet

Die Europäische Kommission hat eine eigene Initiative zu Regeln für DPP-Dienstleister im Rahmen der ESPR gestartet. Die Initiative stellt klar, dass die Kommission beabsichtigt, einen delegierten Rechtsakt über den Betrieb von DPP-Dienstleistern als wesentlichen Bestandteil der DPP-Steuerung zu erlassen.

Der Prozess hat bereits einen sichtbaren Zeitplan:

Evidenzaufruf: 12. November bis 10. Dezember 2024
Öffentliche Konsultation: 8. April bis 1. Juli 2025
Entwurf des Rechtsakts: in Vorbereitung
Annahme durch die Kommission: derzeit für 2027 signalisiert. Der neue DPP-Zeitplan der Kommission enthält doppelte Einträge für Q2 und Q3 2027; ein genauer Quartalstermin darf daher erst als geklärt gelten, wenn die Seite korrigiert oder der Entwurf veröffentlicht wird.

Der endgültige Rechtsrahmen ist noch nicht veröffentlicht, aber die Richtung ist nicht mehr abstrakt. Die Kommission hat dem Markt bereits spezifische Fragen zur Datenspeicherung, zum Datenmanagement und zum möglichen Bedarf eines Zertifizierungssystems für Dienstleister gestellt.

Was der künftige Rechtsakt enthalten darf

Artikel 11 Absatz 2 ESPR gibt der Kommission ein engeres und verlässlicheres Mandat als die Konsultationsdebatte. Der delegierte Rechtsakt kann festlegen:

Zugangsvoraussetzungen, die ein DPP-Dienstleister erfüllen muss, um als solcher tätig zu werden;
ein optionales Zertifizierungssystem, sofern die Kommission es für angemessen hält, um diese Zugangsvoraussetzungen zu prüfen; und
laufende Anforderungen, die Dienstleister während der Erbringung von DPP-Diensten erfüllen müssen.

Diese drei Elemente bilden den gesicherten rechtlichen Rahmen. Erwägungsgrund 40 liefert einen zusätzlichen Auslegungshinweis: Er erwartet klarere Rollen und Verantwortlichkeiten für Akteure wie Ausgabestellen und Dienstleister bei Erstellung, Authentifizierung, Verarbeitung und Speicherung von DPP-Daten und möglicherweise beim Rückzug wichtiger DPP-Elemente wie Kennungen und Datenträger. Ein Erwägungsgrund erläutert die Zielrichtung; er ist keine eigenständige abschließende Pflichtenliste.

Die veröffentlichte Ermächtigung nennt noch keine Kapitalschwellen, verpflichtenden ISO-Zertifikate, Lizenzbehörde, bestimmte Cloud-Architektur oder einen einzigen Zertifizierungsweg. Portabilität, Kontinuität, Cybersicherheit, Rollentrennung und Interoperabilität sind plausible Themen, weil sie in bestehenden ESPR-Pflichten und Konsultationsunterlagen vorkommen, bleiben aber erwartete Gestaltungsthemen und keine endgültigen Rechtsanforderungen, solange kein Entwurf oder angenommener Rechtsakt dies festlegt.

Einige Dienstleisterregeln bestehen bereits im ESPR und dürfen nicht als bloße Zukunftsannahmen dargestellt werden: DPP-Daten dürfen vom Wirtschaftsakteur oder einem Dienstleister gespeichert werden; das System muss hohe Sicherheit und Privatsphäre gewährleisten; Dienstleister dürfen DPP-Daten nicht über das für den Dienst erforderliche Maß hinaus verkaufen, wiederverwenden oder verarbeiten, sofern der Wirtschaftsakteur nicht ausdrücklich zustimmt; und Artikel 10 Absatz 4 verpflichtet den Wirtschaftsakteur, eine Sicherungskopie über einen DPP-Dienstleister bereitzustellen. Erwägungsgrund 38 beschreibt den Anbieter dieser Sicherungskopie als unabhängigen Dritten. Der künftige Rechtsakt kann die praktische Umsetzung dieser Grundlage präzisieren, schafft sie aber nicht neu.

Was die angenommene Registerverordnung ändert

Die Verordnung 2026/1778 ist nicht der angekündigte delegierte Rechtsakt für Dienstleister, macht deren Infrastrukturrolle aber konkreter.

Das Register muss eine Liste verifizierter DPP-Dienstleister führen. Dies ist weder Gütesiegel noch Akkreditierung oder Nachweis einer Zertifizierung nach künftigen Dienstleisterregeln.
Handelt ein Dienstleister als berechtigter Akteur der Wertschöpfungskette, muss er verifiziert sein, bevor er Registereinträge erstellen oder ändern kann. Die Registrierungsprüfung prüft außerdem den Verweis auf den Anbieter der Sicherungskopie, soweit dieser relevant ist.
Die Kommission muss ein maschinenlesbares semantisches Repositorium mit dokumentierten APIs und gemeinsamen Formaten betreiben. Das schafft eine horizontale Interoperabilitätskomponente, schreibt aber weder eine kommerzielle Plattformarchitektur vor noch veröffentlicht es eine vollständige Integrationsspezifikation.
Der Wirtschaftsakteur bleibt für die Richtigkeit seiner DPP- und Registrierungsdaten verantwortlich. Ein verifizierter Dienstleister kann technische Funktionen übernehmen, doch die Registerverifizierung überträgt keine produktrechtliche Verantwortung.

Der separate delegierte Rechtsakt bleibt maßgeblich für Betriebsanforderungen an Dienstleister, ein mögliches Zertifizierungssystem und umfassendere Regeln für Sicherungskopien und Kontinuität.

Hinweis zu Batterien: Diese ESPR-Initiative sollte nicht so gelesen werden, als hätte sie die Batterieverordnung bereits umgeschrieben. In ihrer Antwort an das Parlament vom Mai 2026 stellte die Kommission klar, dass die Verordnung (EU) 2023/1542 auf bevollmächtigte Betreiber verweist, die im Namen des verantwortlichen Wirtschaftsakteurs handeln, nicht auf ESPR-definierte DPP-Dienstleister. Praktisch bleibt der verantwortliche Wirtschaftsakteur für den Batteriepass verantwortlich. Er kann einen Betreiber bevollmächtigen, technische oder organisatorische Aufgaben in seinem Namen zu übernehmen, doch dadurch wird die Verantwortung nicht übertragen und nicht jede SaaS-Plattform automatisch zu einem künftigen ESPR-„DPP-Dienstleister“.

Was bereits klar ist: und was nur aus Rückmeldungen stammt

Noch vor der Veröffentlichung des endgültigen delegierten Rechtsakts sind mehrere Punkte hinreichend deutlich.

1. DPP-Dienstleister werden als eigenständige Steuerungsrolle behandelt

Die Kommission betrachtet die DPP-Infrastruktur nicht als unsichtbares internes Detail. Sie sieht darin eine Funktion, die eigene Regeln erfordern kann, da Dienstleister an der Schnittstelle zwischen Wirtschaftsteilnehmern, Regulierungsbehörden, Verbrauchern, Zollsystemen und Marktüberwachungsbehörden stehen.

2. Die Debatte dreht sich nicht darum, ob Regeln zur Systemsteuerung notwendig sind

Die Debatte dreht sich darum, wie diese Regeln aussehen sollen. Das ist ein wichtiger Unterschied. Die grundlegende Regelwerk steht bereits zur Diskussion. Offene Fragen betreffen Zertifizierung, Rollentrennung, Dateneigentum und technische Erwartungen.

3. Interoperabilität steht im Zentrum der Rückmeldungen

Im gesamten Konsultationsprotokoll taucht ein Thema immer wieder auf: DPP-Dienstleister sollen Unternehmen nicht an proprietäre Systeme binden. Offene Normen, übertragbare Identifikatoren und die Möglichkeit zum Anbieterwechsel gehören zu den am häufigsten genannten Forderungen.

4. Sicherungskopien und Kontinuität werden wichtig sein

Der ESPR-Rahmen enthält bereits die Vorgabe, dass DPP-Daten auch dann verfügbar bleiben müssen, wenn der ursprüngliche Betreiber oder Wirtschaftsakteur verschwindet. In der Dienstleisterdebatte geht es nun um die praktische Umsetzung: Wer speichert Sicherungskopien, wann werden sie freigegeben und sollte die Sicherung eine eigenständige Rolle sein?

Was das Konsultationsprotokoll zeigt

Der Evidenzaufruf zog 178 Stellungnahmen an, von Plattformanbietern, Herstellern, Normungsakteuren, Branchenverbänden, Datenraum-Initiativen und Konformitätsbewertungsstellen. Das ergibt keine endgültige Rechtsantwort, zeigt aber, wo der stärkste Konsens liegt.

Interoperabilität und Vermeidung von Anbieterbindung sind der stärkste gemeinsame Nenner

Dies ist die deutlichste Erkenntnis aus allen Rückmeldungen. Befragte aus sehr unterschiedlichen Branchen argumentieren, dass DPP-Dienstleister auf offenen, international anerkannten Normen aufbauen und Architekturen vermeiden sollten, die einen Anbieterwechsel unnötig erschweren.

Warum das in der Praxis wichtig ist:

In der Praxis bedeutet das:

Unternehmen sollten ihre Produktdaten in nutzbarer Form exportieren können
Identifikatoren und Links sollten bei einem Anbieterwechsel nicht brechen
Anbieter sollten nicht auf geschlossene Protokolle setzen, die Ausstiegsbarrieren schaffen
Ein DPP sollte zwischen Plattformen und Systemen portabel bleiben

Dezentrale Steuerung findet breite Unterstützung

Ein weiterer wiederkehrender Punkt: DPP-Daten sollten nicht automatisch in einem zentralen proprietären Repositorium eines externen Betreibers konzentriert werden. Eine breite Gruppe von Befragten sprach sich für ein dezentraleres Modell aus, bei dem der Wirtschaftsteilnehmer die Kontrolle über seine Daten behält.

Das bedeutet nicht, dass jedes Unternehmen die Daten selbst bereitstellen wird. Das Steuerungsmodell sollte vielmehr Raum lassen für:

klare Datenhoheit beim Wirtschaftsteilnehmer
Betrieb der Plattform ohne implizite Übertragung der Kontrolle
übertragbare Datensätze und exportierbare Strukturen
begrenzte und klar definierte Rollen für Sicherungskopien

Zertifizierung ist auf dem Tisch, aber noch ungeklärt

Die Konsultation zeigt deutlich, dass einige Interessenträger ein formales Ex-ante-Zertifizierungsmodell bevorzugen, während andere leichtere oder flexiblere Aufsicht unterstützen. Verweise auf Informationssicherheitsreife (z. B. ISO 27001) als praktische Mindesterwartung sind erkennbar.

einige Akteure plädieren für eine formale unabhängige Zertifizierung, bevor ein Anbieter tätig werden darf
andere unterstützen freiwillige Zertifizierung oder Mindestanforderungen an die Sicherheit statt schwerer Zugangshürden
mehrere Stellungnahmen verweisen auf Informationssicherheitsmanagement auf dem Niveau von ISO 27001 als praktische Basiserwartung

Entscheidend ist: Nachweisbare Steuerung und Zuverlässigkeit sind wichtige politische Themen, doch der delegierte Rechtsakt hat weder den Rechtsmechanismus ausgewählt noch entschieden, ob eine Zertifizierung verpflichtend sein wird.

Sicherungskopien sind kein triviales Speicherthema

Die Debatte über Sicherungskopien ist konkreter, als sie zunächst klingt. Interessenträger fragen:

Ob die Sicherung vom selben Anbieter oder einem separaten Dienstleister betrieben werden sollte
Ob sie laufend aktualisiert werden oder nur den letzten gültigen Stand enthalten sollte
Wer darauf zugreifen kann und unter welchen Bedingungen
Wie Kontinuität funktionieren soll, wenn der Wirtschaftsakteur oder Dienstleister aufhört zu existieren

Das ist wichtig, weil ein Anbieter, dessen System nur für die Anzeige in einer Benutzeroberfläche ausgelegt ist, später Schwierigkeiten mit stärker strukturierten Regeln für Kontinuität und Datenfreigabe haben könnte.

Was offen bleibt

In mehreren wichtigen Fragen ist Vorsicht angebracht.

1. Das endgültige Zertifizierungsmodell ist nicht veröffentlicht

Ob der delegierte Rechtsakt eine vollständige Ex-ante-Zertifizierung, eine leichtere Konformitätsbewertung, eine freiwillige Zertifizierung oder ein Hybridmodell erfordern wird, ist noch nicht bekannt.

2. Die Grenze zwischen primärer Speicherung und Sicherungskopie ist fließend

Die rechtliche und betriebliche Unterscheidung zwischen einer Plattform, die einen DPP aktiv bedient, und einem Anbieter, der nur eine Kontinuitätskopie vorhält, befindet sich noch in der Diskussion.

3. Die endgültigen technischen Anforderungen sind noch nicht kodifiziert

Die politische Richtung spricht eindeutig für Interoperabilität, aber der delegierte Rechtsakt hat das genaue Normenpaket, die Systempflichten und die Verifizierungsmechanismen für Dienstleister noch nicht festgelegt.

4. Finanzielle und organisatorische Hürden sind ungeklärt

Einige Befragte warnten, dass übermäßig strenge Anforderungen kleinere europäische Softwareunternehmen ausschließen könnten. Das Anliegen ist in den Konsultationen sichtbar, aber die endgültige Abwägung der Kommission ist noch nicht bekannt.

Was Unternehmen jetzt sicher tun können

Dass der endgültige delegierte Rechtsakt noch nicht veröffentlicht ist, bedeutet nicht, dass Unternehmen passiv warten müssen. Es bedeutet, dass sie sich auf Entscheidungen konzentrieren sollten, die auch bei sich ändernden Details wertvoll bleiben.

1. Offene und übertragbare Produktdaten bevorzugen

Bauen Sie Ihren Arbeitsablauf nicht um eine Plattform auf, die Exporte erschwert, Identifikatoren verschleiert oder Migration kompliziert macht. Auch ohne den endgültigen Rechtsakt ist Portabilität eine der sichersten Annahmen.

2. Fragen Sie Anbieter nach Dateneigentum und Exit-Logik

Ein seriöser DPP-Dienstleister sollte bereits jetzt Fragen beantworten können wie:

Wem gehören die Produktdaten?
Wie können sie exportiert werden?
Was geschieht bei Beendigung des Dienstes?
Wie werden Sicherungskopien und Kontinuität gehandhabt?

Wenn diese Antworten heute unklar sind, werden sie nach der Annahme des delegierten Rechtsakts kaum einfacher werden.

3. Steuerung als Teil der Anbieterauswahl behandeln

Bewerten Sie Dienstleister nicht nur nach Funktionen der Benutzeroberfläche. Bewerten Sie ihr Verständnis von Zugriffsrechten, nachvollziehbaren Änderungen, Rollentrennung, strukturierten Daten und langfristiger Wartbarkeit.

4. Architekturen vermeiden, die sich später schwer anpassen lassen

Die sicherste Vorbereitung besteht nicht darin, die endgültige Regelung zu erraten. Sie besteht darin, nicht auf Annahmen zu bauen, die im Konsultationsverfahren bereits unter Druck stehen, insbesondere proprietäre Bindung und schwache Portabilität.

Warum dies für OriginPass-Käufer relevant ist

Für Hersteller, Importeure und Markeninhaber lautet die zentrale Erkenntnis nicht, dass sie Experten für delegierte Rechtsakte werden müssen. Die zentrale Erkenntnis lautet: Die Wahl des Dienstleisters wird zu einer compliance-relevanten Architekturentscheidung.

Das stärkste Signal aus dem laufenden Prozess deutet darauf hin, dass das erfolgreiche DPP-Modell wahrscheinlich nicht sein wird:

geschlossen
intransparent
schwer exportierbar
nachlässig bei Sicherungskopien und Zugriffsregeln

Die wahrscheinlichere Richtung ist ein Modell, das auf Folgendem aufbaut:

strukturierte Datensätze
übertragbare Identifikatoren
klare Eigentumsgrenzen
Interoperabilität
Steuerung, die erklärt und geprüft werden kann

Weiterlesen

Offizielle Quellen

Die Wahl einer DPP-Plattform ist nicht mehr nur eine Softwareentscheidung. Arbeiten Sie mit einem Betreiber, der Anforderungen an Dienstleister, Interoperabilität und Systemsteuerung bereits berücksichtigt, während die EU-Regeln noch ausgearbeitet werden. Bei OriginPass stehen strukturierte Produktdatensätze und übertragbare DPP-Arbeitsabläufe im Mittelpunkt.

← Zurück zum Blog