Der Stand der Dinge: Verbindliches Recht trifft auf erste Normen
Seit der Verabschiedung der ESPR-Verordnung (EU) 2024/1781 ist der Digital Product Passport (DPP) kein Pilotprojekt mehr — er ist geltendes EU-Recht. Was bislang fehlte, waren die technischen Normen, die festlegen, wie ein DPP konkret implementiert werden muss. Diese Lücke schließt sich seit Ende Mai 2026 schrittweise.
CEN und CENELEC haben die ersten harmonisierten europäischen Normen veröffentlicht, die vom technischen Komitee JTC 24 entwickelt wurden. Dazu gehören:
- EN 18219:2026 — Eindeutige Identifikatoren (Unique Identifiers)
- EN 18220:2026 — Datenträger (Data Carriers, u. a. QR-Code, RFID)
- EN 18222:2026 — APIs und Datenaustauschformate
Auf der DPP4EU 2026 Conference Anfang Juni in Brüssel wurden diese Normen erstmals öffentlich präsentiert — zusammen mit Open-Source-Testumgebungen, die eine Konformitätsprüfung von Implementierungen ermöglichen sollen. Das Fraunhofer IPK, das an der Normierungsarbeit beteiligt war, bezeichnete das Normenpaket als „technologieneutralen Rahmen", der verschiedene Identifikationssysteme — darunter den GS1 Digital Link — explizit einschließt.
Der JRC-Entwurf für Stahl: Richtungsweisend für alle Branchen
Zwei Datenebenen, eine klare Architekturentscheidung
Das Joint Research Centre (JRC) der Europäischen Kommission hat einen Entwurf für den DPP von Halbzeugprodukten aus Eisen und Stahl vorgelegt (vgl. JRC Product Bureau, Produktgruppe 467). Dieser Entwurf ist aus mehreren Gründen über die Stahlindustrie hinaus relevant: Er formalisiert erstmals systematisch die Unterscheidung zwischen Daten auf Chargenebene (Lot/Batch) und Daten auf Produktebene (Seriennummer).
| Ebene | Identifikator | Beispieldaten |
|---|---|---|
| Chargenebene | Losnummer | Recyclatanteil, Legierungszusammensetzung, PCF |
| Produktebene | Seriennummer | Abmessungen, Zertifizierungen, Konformitätserklärungen |
Diese Unterscheidung ist für Datenbankarchitekten und Systemintegratoren entscheidend. Wer heute eine DPP-Infrastruktur plant, muss entscheiden, auf welcher Granularitätsstufe welche Datenpunkte gepflegt werden — und welche Identifier-Strategie das trägt. Beim Bulk-Import von Produktdaten etwa ist die Frage, ob ein Datensatz chargen- oder seriennummerngebunden ist, keine akademische: Sie bestimmt das Datenbankschema und die Update-Logik.
CO₂-Fußabdruck: ISO 14067 als Referenz
Besonders relevant ist die Behandlung des produktspezifischen CO₂-Fußabdrucks (PCF). Der JRC-Entwurf ordnet ihn der Chargenebene zu — was technisch sinnvoll ist, da der PCF von Produktionsparametern abhängt, die chargenweise variieren. Als Berechnungsmethode werden Ansätze referenziert, die mit dem ISO-14067-Standard kompatibel sind.
Zum Vergleich: Die Batterieverordnung (EU) 2023/1542 — bislang der einzige verbindliche Sektorakt mit eigenen DPP-Pflichten — kennt diese Charge-/Produkt-Unterscheidung bereits implizit, ohne sie so klar zu formalisieren. Der Stahlsektor-Entwurf dürfte damit als Blaupause für künftige Durchführungsverordnungen dienen.
CIRPASS-2: Kritik an der Registry-Architektur
Was die Stellungnahme bemängelt
Das EU-geförderte CIRPASS-2-Konsortium hat seine Stellungnahme zum Entwurf der zentralen DPP-Registry eingereicht. Die Kritikpunkte sind substanziell:
Governance-Struktur der Registry: Das Konsortium bemängelt, dass unklar bleibt, wer langfristig für den Betrieb der zentralen Registry verantwortlich ist und nach welchen Regeln Zugangsrechte vergeben werden.
Datensouveränität bei grenzüberschreitenden Lieferketten: Wenn Produktdaten dezentral beim Hersteller liegen — was die aktuelle Architektur vorsieht —, entstehen Fragen zur Rechtshoheit über diese Daten, sobald Lieferketten Drittstaaten einschließen.
Interoperabilität mit bestehenden Systemen: Besonders kritisch sieht das Konsortium die unklare Anbindung an bestehende Identifikationssysteme. Explizit empfiehlt CIRPASS-2, die Norm EN 18219 als verbindliche Referenz in die Durchführungsverordnung aufzunehmen — und damit auch den GS1 Digital Link als konformen Identifier-Mechanismus zu legitimieren.
Was die Registry wirklich speichert
Eine häufige Fehlannahme: Die zentrale DPP-Registry ist kein zentrales Produktdaten-Repository. Sie speichert ausschließlich eindeutige Identifikatoren und Web-Adressen, die auf dezentral gehostete Pässe verweisen. Die Datenhaltung bleibt Herstellerverantwortung. Das ist architektonisch sinnvoll — bedeutet aber, dass Hersteller eine eigene, langfristig stabile Hosting-Infrastruktur für ihre DPP-Daten benötigen.
Technische Umsetzung: RFID, GS1 und die Sunrise-2027-Frist
RAIN RFID und GS1 Digital Link
Parallel zu den regulatorischen Entwicklungen zeigt sich auf der Implementierungsseite Bewegung. TEKLYNX hat seine CODESOFT-Software aktualisiert und unterstützt nun GS1-„++"-Kodierungsschemata (EPC++ und ISO BD). Damit können Web-URLs direkt in RAIN-RFID-Tag-Speicher geschrieben werden — eine Anforderung, die aus der Kombination von EN 18220 (Datenträger) und dem GS1 Digital Link-Standard folgt.
Das ist kein Nischenthema: EN 18220 legt fest, welche physischen Datenträger für DPP-Anwendungen zulässig sind. RFID ist explizit eingeschlossen. Wer heute RFID-Labels druckt und dabei proprietäre URL-Schemata verwendet, läuft Gefahr, nach Inkrafttreten der sektorspezifischen Durchführungsverordnungen nachzurüsten.
GS1 Digital Link als De-facto-Standard
Auf der GS1 Connect 2026 präsentierten Antares Vision Group und Driscoll's einen Piloten zur artikelgenauen Serialisierung im Frischwarenbereich — mit GS1 Digital Link als Datenträger-Protokoll. Das Beispiel zeigt: Die Konvergenz von DPP-Anforderungen und bestehenden GS1-Infrastrukturen ist kein theoretisches Konstrukt, sondern wird bereits in der Praxis erprobt.
GS1 US hat zudem einen Leitfaden zur Extended Producer Responsibility (EPR) veröffentlicht, der GTINs und GLNs als Standardisierungsinstrumente für Verpackungsdaten empfiehlt — ein weiteres Indiz dafür, dass GS1-Identifikatoren auch außerhalb der EU als Compliance-Werkzeug positioniert werden.
REACH-Mikroplastik: Parallele Meldepflicht ab Mai 2026
Nicht direkt mit dem DPP verknüpft, aber für produzierende Unternehmen relevant: Die ECHA hat im Mai 2026 Leitlinien zur REACH-Meldepflicht für synthetische Polymermikropartikel veröffentlicht. Die erste Meldefrist für Hersteller und industrielle Nachnutzer von Polymer-Pellets, -Flocken und -Pulvern ist im Mai 2026 wirksam geworden.
Für Unternehmen, die gleichzeitig DPP-Pflichten und REACH-Meldepflichten erfüllen müssen, entsteht hier eine Doppelbelastung. Ob künftige DPP-Durchführungsverordnungen für Kunststoffprodukte REACH-Daten als Pflichtfeld integrieren werden, ist offen — wäre aber aus Effizienzgründen naheliegend.
Fazit: Jetzt ist Architekturzeit
Die regulatorische Lage verdichtet sich schnell. Die technischen Normen (EN 18219 ff.) sind veröffentlicht. Der JRC-Entwurf für Stahl zeigt, wie Durchführungsverordnungen strukturiert sein werden. Die CIRPASS-2-Stellungnahme benennt die offenen Flanken bei Registry-Governance und Datensouveränität.
Für Hersteller und Systemintegratoren bedeutet das: Die Zeit für grundlegende Architekturentscheidungen ist jetzt — nicht wenn die erste sektorspezifische Durchführungsverordnung in Kraft tritt. Wer dann noch über Identifier-Strategien, Hosting-Infrastruktur und Datenträger-Kompatibilität nachdenkt, hat den Anschluss verloren.
