technology

Wer darf einen DPP betreiben? EU-Regeln für Dienstleister

Was die EU für DPP-Dienstleister vorbereitet: Zertifizierung, Interoperabilität, Sicherungskopien und Verantwortlichkeiten auf Plattformen.

29.3.2026 · 9 Min. Lesezeit · InfoDPP

Redaktionelle Aktualisierung, 22. Juli 2026: Produktivregister, Testumgebung, API-Zugang und erste Umsetzungsunterlagen sind verfügbar. Der veröffentlichte Benutzerleitfaden richtet sich jedoch ausdrücklich an Wirtschaftsakteure und enthält weder ein Anbindungsverfahren für Dienstleister noch ein Zertifizierungsverfahren oder eine öffentliche Zertifizierungsliste. Die Verordnung (EU) 2026/1778 verlangt weiterhin eine Liste verifizierter Dienstleister und ein semantisches Repositorium. „Verifiziert“ bedeutet aber Identitäts- und Zugriffsprüfung im Register, nicht Zertifizierung nach dem künftigen delegierten ESPR-Rechtsakt.

Warum dieses Thema jetzt wichtig ist

Die Europäische Kommission betrachtet den Digitalen Produktpass nicht mehr nur als produktbezogenes Instrument zur Erfüllung regulatorischer Pflichten. Sie bereitet auch Regeln für die Unternehmen vor, die die Infrastruktur rund um den DPP betreiben werden.

Die Aufgaben eines DPP-Dienstleisters können über die bloße Bereitstellung einer Software hinausgehen. In der Praxis kann er Produktdaten speichern und bereitstellen, Zugriffsrechte verwalten, Sicherungskopien pflegen, Interoperabilität unterstützen, APIs bereitstellen und die dauerhafte Verfügbarkeit der Passdaten gewährleisten.

Für Unternehmen, die eine DPP-Plattform auswählen, verschiebt sich damit die Frage von „Kann dieser Anbieter einen QR-Code erzeugen?“ zu „Kann der Dienst auch künftige Anforderungen an Datenverwaltung und Betrieb erfüllen?“

Was die Kommission tatsächlich vorbereitet

Die Europäische Kommission hat eine eigene Initiative zu Regeln für DPP-Dienstleister im Rahmen der ESPR gestartet. Die Initiative stellt klar, dass die Kommission beabsichtigt, einen delegierten Rechtsakt über den Betrieb von DPP-Dienstleistern als wesentlichen Bestandteil der DPP-Steuerung zu erlassen.

Der bisherige Ablauf und die Planung:

Aufforderung zur Stellungnahme: 12. November bis 10. Dezember 2024
Öffentliche Konsultation: 8. April bis 1. Juli 2025
Entwurf des Rechtsakts: in Vorbereitung
Annahme durch die Kommission: derzeit für 2027 signalisiert. Der neue DPP-Zeitplan der Kommission enthält doppelte Einträge für Q2 und Q3 2027; ein genauer Quartalstermin darf daher erst als geklärt gelten, wenn die Seite korrigiert oder der Entwurf veröffentlicht wird.

Der endgültige Rechtsrahmen ist noch nicht veröffentlicht, aber die Richtung ist nicht mehr abstrakt. Die Kommission hat dem Markt bereits spezifische Fragen zur Datenspeicherung, zum Datenmanagement und zum möglichen Bedarf eines Zertifizierungssystems für Dienstleister gestellt.

Was der künftige Rechtsakt enthalten darf

Artikel 11 ESPR legt die Befugnisse der Kommission genauer fest als die Konsultationsunterlagen. Der delegierte Rechtsakt kann festlegen:

Zugangsvoraussetzungen, die ein DPP-Dienstleister erfüllen muss, um als solcher tätig zu werden;
gegebenenfalls ein Zertifizierungssystem, sofern die Kommission ein solches einführt; daraus folgt nicht, dass die Teilnahme freiwillig wäre; und
laufende Anforderungen, die Dienstleister während der Erbringung von DPP-Diensten erfüllen müssen.

Artikel 11 legt den Umfang der Befugnis der Kommission zum Erlass eines delegierten Rechtsakts fest. Erwägungsgrund 40 erläutert die vorgesehene Rollenverteilung bei Erstellung, Authentifizierung, Verarbeitung und Speicherung von DPP-Daten sowie gegebenenfalls beim Zurückziehen von Kennungen oder Datenträgern. Er begründet keine eigenständige Liste verbindlicher Anbieterpflichten.

Die veröffentlichte Ermächtigung nennt noch keine Kapitalschwellen, verpflichtenden ISO-Zertifikate, Lizenzbehörde, bestimmte Cloud-Architektur oder einen einzigen Zertifizierungsweg. Portabilität, Kontinuität, Cybersicherheit, Rollentrennung und Interoperabilität sind plausible Themen, weil sie in bestehenden ESPR-Pflichten und Konsultationsunterlagen vorkommen, bleiben aber erwartete Gestaltungsthemen und keine endgültigen Rechtsanforderungen, solange kein Entwurf oder angenommener Rechtsakt dies festlegt.

Einige Anforderungen gelten bereits nach der ESPR: DPP-Daten dürfen vom Wirtschaftsakteur oder einem Dienstleister gespeichert werden; das System muss hohe Sicherheit und Privatsphäre gewährleisten; Dienstleister dürfen DPP-Daten nicht über das für den Dienst erforderliche Maß hinaus verkaufen, wiederverwenden oder verarbeiten, sofern der Wirtschaftsakteur nicht ausdrücklich zustimmt; und Artikel 10 Absatz 4 verpflichtet den Wirtschaftsakteur, eine Sicherungskopie über einen DPP-Dienstleister bereitzustellen. Erwägungsgrund 38 beschreibt den Anbieter dieser Sicherungskopie als unabhängigen Dritten. Der künftige Rechtsakt kann die praktische Umsetzung dieser Grundlage präzisieren, schafft sie aber nicht neu.

Was die angenommene Registerverordnung ändert

Die Verordnung 2026/1778 ist nicht der angekündigte delegierte Rechtsakt für Dienstleister, macht deren Infrastrukturrolle aber konkreter.

Das Register muss eine Liste verifizierter DPP-Dienstleister führen. Dies ist weder Gütesiegel noch Akkreditierung oder Nachweis einer Zertifizierung nach künftigen Dienstleisterregeln.
Handelt ein Dienstleister als berechtigter Akteur der Wertschöpfungskette, muss er verifiziert sein, bevor er Registereinträge erstellen oder ändern kann. Bei der Registrierung wird außerdem geprüft, ob der Verweis auf den Anbieter der Sicherungskopie vorliegt, soweit dieser relevant ist.
Die Kommission muss ein maschinenlesbares semantisches Repositorium mit dokumentierten APIs und gemeinsamen Formaten betreiben. Das schafft eine horizontale Interoperabilitätskomponente, schreibt aber weder eine kommerzielle Plattformarchitektur vor noch veröffentlicht es eine vollständige Integrationsspezifikation.
Der Wirtschaftsakteur bleibt für die Richtigkeit seiner DPP- und Registrierungsdaten verantwortlich. Ein verifizierter Dienstleister kann technische Funktionen übernehmen, doch die Registerverifizierung überträgt keine produktrechtliche Verantwortung.

Der separate delegierte Rechtsakt bleibt maßgeblich für Betriebsanforderungen an Dienstleister, ein mögliches Zertifizierungssystem und umfassendere Regeln für Sicherungskopien und Kontinuität.

Hinweis zu Batterien: Diese ESPR-Initiative sollte nicht so gelesen werden, als hätte sie die Batterieverordnung bereits umgeschrieben. In ihrer Antwort an das Parlament vom Mai 2026 stellte die Kommission klar, dass die Verordnung (EU) 2023/1542 auf bevollmächtigte Betreiber verweist, die im Namen des verantwortlichen Wirtschaftsakteurs handeln, nicht auf ESPR-definierte DPP-Dienstleister. Praktisch bleibt der verantwortliche Wirtschaftsakteur für den Batteriepass verantwortlich. Er kann einen Betreiber bevollmächtigen, technische oder organisatorische Aufgaben in seinem Namen zu übernehmen, doch dadurch wird die Verantwortung nicht übertragen und nicht jede SaaS-Plattform automatisch zu einem künftigen ESPR-„DPP-Dienstleister“.

Was bereits feststeht und was aus Konsultationsbeiträgen stammt

Noch vor der Veröffentlichung des endgültigen delegierten Rechtsakts sind mehrere Punkte hinreichend deutlich.

1. DPP-Dienstleister übernehmen eine eigene Rolle

Die Kommission betrachtet die DPP-Infrastruktur nicht als unsichtbares internes Detail. Sie sieht darin eine Funktion, die eigene Regeln erfordern kann, da Dienstleister an der Schnittstelle zwischen Wirtschaftsteilnehmern, Regulierungsbehörden, Verbrauchern, Zollsystemen und Marktüberwachungsbehörden stehen.

2. Die Debatte dreht sich nicht darum, ob Regeln zur Systemsteuerung notwendig sind

Die Debatte dreht sich darum, wie diese Regeln aussehen sollen. Das ist ein wichtiger Unterschied. Zur Diskussion steht die konkrete Ausgestaltung des Regelwerks. Offene Fragen betreffen Zertifizierung, Rollentrennung, Dateneigentum und technische Erwartungen.

3. Interoperabilität hat bereits eine Rechtsgrundlage

Die ESPR-Artikel 10 und 11 behandeln bereits offene Standards, Interoperabilität und die Vermeidung einer Anbieterbindung. Für die Beschaffung sind diese geltenden Vorgaben belastbarer als Prognosen darüber, welche Konsultationsbeiträge den künftigen Rechtsakt prägen werden.

4. Sicherungskopien und Kontinuität werden wichtig sein

Der ESPR-Rahmen enthält bereits die Vorgabe, dass DPP-Daten auch dann verfügbar bleiben müssen, wenn der ursprüngliche Betreiber oder Wirtschaftsakteur verschwindet. In der Dienstleisterdebatte geht es nun um die praktische Umsetzung: Wer speichert Sicherungskopien, wann werden sie freigegeben und sollte die Sicherung eine eigenständige Rolle sein?

Was der Konsultationsbericht der Kommission zeigt

Der Sachbericht der Kommission umfasst 275 gültige Antworten aus der öffentlichen Konsultation vom 8. April bis 1. Juli 2025. Er fasst die Ansichten der Teilnehmenden zusammen. Die Antworten sind weder repräsentativ für die EU-Bevölkerung noch geben sie die endgültige Position der Kommission wieder. Die Konsultation ist von der Aufforderung zur Stellungnahme im November und Dezember 2024 zu unterscheiden.

Zertifizierung: Zustimmung zum Prinzip, unterschiedliche Modelle

64 von 81 Wirtschaftsakteuren, 71 von 89 weiteren Akteuren der Wertschöpfungskette und 70 von 92 potenziellen Dienstleistern bewerteten die Zertifizierung als eher oder äußerst wichtig.

Zu den bevorzugten Modellen gehörten:

eine Kombination aus Selbsterklärung und akkreditierter Zertifizierung: 76 von 275 Befragten (27,6 %)
von der Kommission akkreditierte Konformitätsbewertungsstellen: 62 von 275 (22,5 %)
über nationale Akkreditierungsstellen akkreditierte Konformitätsbewertungsstellen: 53 von 275 (19,3 %)

Kein Modell erhielt eine Mehrheit. Dies sind Präferenzen, kein verabschiedetes Zertifizierungssystem.

Regulierungsfragen bei der Anbieterwahl berücksichtigen

Bitten Sie mögliche Anbieter, Folgendes vorzuführen:

einen strukturierten Export, den ein anderes System lesen kann
die Wiederherstellung einer Sicherungskopie und vertragliche Regeln zur Dienstkontinuität
die Trennung öffentlicher und zugriffsbeschränkter Daten
Kosten und Ablauf eines Anbieterwechsels

Diese Prüfungen helfen bei der Bewertung eines heutigen Angebots; sie nehmen nicht sämtliche künftigen Rechtsanforderungen vorweg.

Was offen bleibt

Die konkreten Anbieteranforderungen, Bewertungsverfahren und Anwendungstermine stehen noch aus.

1. Das endgültige Zertifizierungsmodell ist nicht veröffentlicht

Ob der delegierte Rechtsakt eine vollständige Ex-ante-Zertifizierung, eine leichtere Konformitätsbewertung, eine freiwillige Zertifizierung oder ein Hybridmodell erfordern wird, ist noch nicht bekannt.

2. Die Grenze zwischen primärer Speicherung und Sicherungskopie ist fließend

Die rechtliche und betriebliche Unterscheidung zwischen einer Plattform, die einen DPP aktiv bedient, und einem Anbieter, der nur eine Sicherungskopie für die weitere Verfügbarkeit vorhält, befindet sich noch in der Diskussion.

3. Die endgültigen technischen Anforderungen sind noch nicht kodifiziert

Die politische Richtung spricht eindeutig für Interoperabilität, aber der delegierte Rechtsakt hat das genaue Normenpaket, die Systempflichten und die Verifizierungsmechanismen für Dienstleister noch nicht festgelegt.

4. Finanzielle und organisatorische Hürden sind ungeklärt

Bitten Sie Anbieter, Hosting, Sicherungskopien, Migration und eine mögliche künftige Zertifizierung getrennt zu kalkulieren. Konsultationspräferenzen legen weder endgültige Gebühren noch Ausnahmen fest.

Was Unternehmen jetzt sicher tun können

Dass der endgültige delegierte Rechtsakt noch nicht veröffentlicht ist, bedeutet nicht, dass Unternehmen passiv warten müssen. Es bedeutet, dass sie sich auf Entscheidungen konzentrieren sollten, die auch bei sich ändernden Details wertvoll bleiben.

1. Offene und übertragbare Produktdaten bevorzugen

Bauen Sie Ihren Arbeitsablauf nicht um eine Plattform auf, die Exporte erschwert, Identifikatoren verschleiert oder Migration kompliziert macht. Übertragbare Daten erleichtern einen späteren Anbieterwechsel, auch wenn die endgültigen Anforderungen noch offen sind.

2. Fragen Sie Anbieter nach Dateneigentum und Anbieterwechsel

Ein seriöser DPP-Dienstleister sollte bereits jetzt Fragen beantworten können wie:

Wem gehören die Produktdaten?
Wie können sie exportiert werden?
Was geschieht bei Beendigung des Dienstes?
Wie werden Sicherungskopien und Kontinuität gehandhabt?

Wenn diese Antworten heute unklar sind, werden sie nach der Annahme des delegierten Rechtsakts kaum einfacher werden.

3. Steuerung als Teil der Anbieterauswahl behandeln

Bewerten Sie Dienstleister nicht nur nach Funktionen der Benutzeroberfläche. Bewerten Sie ihr Verständnis von Zugriffsrechten, nachvollziehbaren Änderungen, Rollentrennung, strukturierten Daten und langfristiger Wartbarkeit.

4. Architekturen vermeiden, die sich später schwer anpassen lassen

Vergleichen Sie vor Vertragsabschluss Exportformate, Migrationsbedingungen und Änderungsverfahren. So lassen sich Wechselkosten begrenzen, ohne eine bestimmte künftig vorgeschriebene Architektur anzunehmen.

Praktische Kriterien für die Anbieterwahl

Stützen Sie Ihre Entscheidung auf bereits geltende ESPR-Vorgaben und Nachweise zur Funktionsweise des Dienstes. Die Einzelheiten einer künftigen Zertifizierung bleiben offen. Regeln Sie Datenzugang, Export, Sicherungskopien, Kontinuität und Anbieterwechsel vertraglich.

Weiterlesen

Offizielle Quellen

Beginnen Sie mit einem Produkt: Erstellen Sie seinen digitalen Produktpass auf OriginPass.eu.

← Zurück zum Blog