Wenn die Partei, die Ihren Matratzenpass technisch hostet, damit aufhört – durch eine Übernahme, ein Insolvenzverfahren oder einfach durch die Einstellung eines Service – entfällt die Verpflichtung, einen funktionierenden Pass zu haben, nicht. Der QR-Code auf Ihrer Matratze bleibt dort, aber wenn der Server hinter diesem Code abgeschaltet wird, führt der Code nirgendwohin mehr. Für den Hersteller, Importeur oder Markeninhaber, der das Modell auf den Markt gebracht hat, kann das bedeuten, dass eine Matratze ohne erreichbaren Pass in den Regalen oder beim Kunden steht, auch wenn diese Partei selbst nichts daran geändert hat.
Die Verordnung legt die Verantwortung für einen verfügbaren Pass beim Wirtschaftsakteur, nicht bei der Softwarepartei, die ihn technisch bereitstellt. Dieser Unterschied ist wichtig: Wer den Pass erstellen ließ, bleibt verantwortlich, wenn er nicht mehr funktioniert, auch wenn die Ursache bei einem externen Lieferanten liegt. Ob und wie eine Aufsichtsbehörde in einem konkreten Fall darauf reagiert, ist nicht vorherzusagen und hängt von den Umständen ab; dafür ist der offizielle Text der Verordnung oder die zuständige Aufsichtsbehörde die richtige Quelle, nicht dieser Artikel.
Warum dieses Risiko oft unterschätzt wird
Bei den meisten Produktpässen denkt man vor allem an den Lieferzeitpunkt: Die Daten sind erfasst, der QR-Code ist gedruckt, die Matratze geht aus der Tür. Was danach mit der zugrunde liegenden Infrastruktur geschieht, bekommt weniger Aufmerksamkeit, während der Pass gerade über Jahre hinweg funktionieren muss – bei Matratzen geht es um ein Produkt, das oft lange in Gebrauch bleibt, zum Beispiel in Hotels oder bei der Vermietung. Ein Lieferant, der nach ein paar Jahren aufhört, seinen Namen ändert oder den Service abbaut, ist kein hypothetisches Szenario, sondern etwas, das in der Softwarewelt regelmäßig vorkommt.
Wer verantwortlich bleibt
Die Verordnung unterscheidet zwischen der Rolle des Herstellers, Importeurs oder Vertreibers einerseits und dem technischen Dienstleister andererseits. Letzterer ist in der Regel keine Partei, die die Verordnung selbst anspricht; die Verantwortung für einen funktionierenden Pass liegt bei demjenigen, der das Produkt auf den Markt gebracht hat. Das bedeutet, dass die Einstellung einer Hosting-Partei die Verpflichtungen Ihres Unternehmens nicht automatisch aufhebt. Wer genau welche Rolle erfüllt und welche Pflichten damit verbunden sind, wird erläutert in der Erläuterung pro Rolle in der Lieferkette.
Was Sie im Voraus festlegen können
Da die Verantwortung bei Ihrem Unternehmen bleibt, ist es sinnvoll, bei Abschluss einer Vereinbarung mit einem Softwarelieferanten Vereinbarungen zur Kontinuität zu treffen: Können Sie die Daten exportieren, bleibt der QR-Code bei einem Wechsel erreichbar, und was passiert mit dem Hosting, wenn der Lieferant aufhört oder übernommen wird. Dies sind Fragen, die ins Einkaufsgespräch gehören, nicht erst dann, wenn sich tatsächlich etwas ändert. Mit ein paar Fragen, die zeigen, wo Sie derzeit stehen erhalten Sie einen ersten Hinweis darauf, was für Ihre Situation relevant ist, ohne dass dies eine rechtliche Beratung ersetzt.
Wie dies in der Praxis aufgefangen wird
Einige Anbieter eines digitalen Produktpasses legen eine Hosting-Frist fest, die unabhängig von ihrer eigenen Geschäftstätigkeit ist, um dieses Risiko zu begrenzen. Matrapas.eu hostet den Pass beispielsweise für einen festgelegten Zeitraum von zehn Jahren und liefert den QR-Datenträger selbst, so dass die Kontinuität nicht von separaten späteren Vereinbarungen abhängt. Wie diese Arbeitsweise genau aussieht und woher die zugrunde liegenden Daten stammen, ist beschrieben auf der Seite darüber, wie der Pass zusammengestellt und gehostet wird.
Was eine Aufsichtsbehörde tun kann
Die Marktüberwachung kann, wie auch bei anderen Produktvorschriften, überprüfen, ob ein Passierbericht zum Zeitpunkt einer entsprechenden Veranlassung tatsächlich erreichbar ist. Die Überwachungsbehörden prüfen dabei die Verfügbarkeit der Informationen, nicht die Frage, wer technisch verantwortlich für den Server ist. Wie streng dies in der Praxis überprüft wird und ob dies je EU-Land unterschiedlich ist, lässt sich derzeit nicht mit Sicherheit sagen; was hierüber bereits bekannt ist, wird unter die gesammelten Fragen zu Überwachung und Durchsetzung.
Möchten Sie wissen, wie sich Ihre eigene Situation zu diesen Risiken verhält, ohne dass Sie dafür sofort einen Rechtsbeistand benötigen? Führen Sie die kostenlose Quick-Scan durch oder lesen Sie die anderen Themen in der Wissensdatenbank — beide vermitteln einen ersten, unverbindlichen Eindruck davon, wo Sie stehen.