Der Textilpass ist im Kern Produktinformation: Faserzusammensetzung, Herkunft, Waschanleitung, Daten zur Recyclingfähigkeit. Das ist kein personenbezogenes Datum, und damit fällt der Pass selbst grundsätzlich außerhalb des Anwendungsbereichs der DSGVO. Die Frage ist aber berechtigt, denn sobald Sie den Pass zusammenstellen und hosten, kommen fast immer Daten ins Spiel, die einer Person zugeordnet werden können.
Denken Sie an Kontaktdaten eines Zulieferers, der keine juristische Person ist, an den Namen einer Ansprechperson bei einem Hersteller, oder an technische Daten wie IP-Adressen, die erfasst werden, wenn jemand den QR-Code scannt. Diese Angelegenheiten fallen nicht unter die Textilverordnung, sondern unter die DSGVO. Die beiden Regelungen laufen also nebeneinander her, jede mit ihrer eigenen Perspektive auf denselben Prozess.
Was der Textilpass enthält und nicht enthält
Die delegierte Handlung, die den Pass inhaltlich ausfüllen wird, konzentriert sich auf Produkteigenschaften: Material, Nachhaltigkeitsmerkmale, Reparatur- und Recyclinginformation. Es gibt kein Anzeichen dafür, dass personenbezogene Daten von Verbrauchern ein obligatorischer Teil des Passes werden. Was genau hineinmuss, steht allerdings noch nicht vollständig fest; die erste delegierte Handlung wird derzeit für 2027 erwartet, für Kleidung mit einem hohen Anteil an Textilfasern.
Die Unklarheit liegt also nicht darin, ob der Pass personenbezogene Daten enthält, sondern in dem übrigen Prozess, mit dem Sie den Pass erstellen: Wer liefert die Daten an, wer verwaltet den Zugriff, und wer kann auf die zugrunde liegenden Dateien zugreifen. Dort entstehen fast automatisch personenbezogene Daten, auch wenn das niemand beabsichtigt hat.
Wo personenbezogene Daten dennoch eine Rolle spielen
In der Praxis eines Unternehmens entstehen personenbezogene Daten vor allem an drei Stellen. Erstens bei der Datenlieferung: Ein Zulieferer sendet Daten von einer geschäftlichen E-Mail-Adresse mit einem Namen darin, oder ein Einzelunternehmen liefert Daten unter dem Namen des Eigentümers. Zweitens bei der Verwaltung: Wer innerhalb Ihres Unternehmens und bei Ihrem Softwareanbieter Zugriff auf den Pass hat, wird oft mit Name und Rolle festgehalten. Drittens bei der Nutzung: Wenn ein Kunde oder eine Aufsichtsbehörde den QR-Code scannt, kann je nach Einrichtung des Datenträgers und des Hostings eine technische Spur hinterlassen werden.
Keiner dieser Punkte macht den Textilpass zu einem DSGVO-Projekt. Es bedeutet aber, dass die Partei, die den Pass für Sie hostet, auch eine Rolle spielt, wenn es um diese Daten geht, und dass es dazu Vereinbarungen geben sollte. Wie wir mit Daten und Datenschutz umgehen gibt dafür einen Überblick über die Art und Weise, wie texpas.eu den Pass hostet.
Was das für die Vereinbarungen mit Ihrem Hosting-Anbieter bedeutet
Wenn Sie den Pass von einem Dritten zusammenstellen und hosten lassen, ist dieser Dritte in der Regel Auftragsverarbeiter im Sinne der DSGVO für die mit dem Pass verbundenen Daten, während Ihr Unternehmen Verantwortlicher bleibt. Dies erfordert eine Auftragsverarbeitungsvereinbarung, genau wie bei anderen IT-Dienstleistern, die mit Geschäftsdaten arbeiten. Dies ist keine Besonderheit des Textilpasses; es ist dieselbe Vereinbarung, die Sie vermutlich bereits mit anderen Softwareanbietern haben.
Es ist daher ratsam, diese Frage in das Gespräch über die Technik einzubeziehen, neben den Fragen, die Sie ohnehin schon zu Schnittstellen und Datenfeldübersichten stellen. Wer Hosting und Verarbeitung auslagert, sollte fragen, wo die Daten gespeichert sind, wie lange sie aufbewahrt werden, und wer in der Praxis darauf zugreifen kann.
Was Sie selbst überprüfen können
Ob und inwieweit die DSGVO für Ihre spezifische Bereitstellung, Verwaltung oder Nutzung des Textilpasses relevant ist, hängt davon ab, wie Ihr Unternehmen die Daten erhebt und verarbeitet. Das ist etwas, das Sie am besten mit Ihrem eigenen Datenschutzverantwortlichen oder einem Juristen abstimmen, und im Zweifelsfall mit der Behörde für den Schutz personenbezogener Daten als Aufsichtsbehörde für die DSGVO. Die Textilverordnung selbst sagt hier nichts Spezifisches zu; die beiden Regelwerke stehen unabhängig voneinander und werden auch unabhängig voneinander durchgesetzt.
Möchten Sie zunächst einen umfassenderen Überblick darüber erhalten, was sich für Ihr Unternehmen ändert, losgelöst von der Datenschutzfrage? in ein paar Fragen sehen, wo Ihr Unternehmen steht gibt dazu einen ersten Hinweis, und die Wissensdatenbank mit Themen pro Situation geht tiefer auf die Konzepte und Verpflichtungen ein, die zum Textilpass gehören. Für die Fragen, die am häufigsten gestellt werden, gibt es auch eine Übersicht mit Antworten auf die am häufigsten gestellten Fragen. Wenn Sie sofort erfahren möchten, woher die Informationen auf texpas.eu stammen und wie diese rückverfolgbar bleiben, schauen Sie sich bitte an, wie es funktioniert.
Der kostenlose Quick-Scan gibt Ihnen innerhalb weniger Minuten eine erste Richtung, ohne dass Sie sich irgendwo anmelden müssen.