Vertrauen und Sicherheit — was wir betreiben, wo wir es betreiben

TracePass ist ein in Bulgarien eingetragenes Unternehmen, das eine Plattform für den Digitalen Produktpass für die EU-Konformität entwickelt. Anwendung und Datenbank laufen auf EU-Infrastruktur; unsere Unterauftragsverarbeiter sind unten dokumentiert. Der Kunde ist Verantwortlicher; TracePass ist Auftragsverarbeiter.

Diese Seite ist die einzige Beschaffungsreferenz für unseren Datenweg, Sicherheitskontrollen, Haftungsbedingungen und Interoperabilitätskonformität. Wird bei jeder relevanten Änderung aktualisiert; siehe Datumsstempel am Ende.

Die Anwendung, ihre Datenbank und die Marketing-Website werden in der EU, in Deutschland, gehostet; hochgeladene Dateien, erzeugte PDFs und Backups liegen bei Cloudflare R2 in dessen EU-Rechtsraum, während Logos und Produktbilder, die veröffentlichte Pässe öffentlich zeigen, dort ohne EU-Beschränkung liegen.

Die KI-Verarbeitung (Datenextraktion aus Kundendokumenten und -bildern sowie Übersetzungen) läuft nur auf Daten, die Sie einreichen (wenn Sie ein Dokument hochladen, eine Recherche anstoßen oder einen Pass veröffentlichen, der dann übersetzt wird), nie aus eigenem Antrieb, und ist durch eine ausdrückliche AVV mit Anthropic geregelt. Es werden keine personenbezogenen Daten unserer Kunden mit Dritten außerhalb der dokumentierten Unterauftragsverarbeiter-Liste geteilt. Dienste, die nur Produktdaten und nie personenbezogene Daten erhalten, sind keine Unterauftragsverarbeiter.

• Anwendung und KundendatenVorhanden

  EU (Deutschland)

• Marketing-Front-EndVorhanden

  Hetzner (Deutschland), neben der Anwendung

• DateispeicherVorhanden

  Cloudflare R2

Jede Stelle, die personenbezogene Daten unserer Kunden in unserem Auftrag verarbeitet, ist nachstehend aufgeführt; Dienste, die keine personenbezogenen Daten erhalten, sind keine Unterauftragsverarbeiter und nicht aufgeführt. Ergänzungen dieser Liste lösen eine vorherige Mitteilung gemäß Artikel 28 DSGVO mit einer angemessenen Widerspruchsfrist aus. Entfernungen (Auslaufen eines Unterauftragsverarbeiters) werden hier rückwirkend und per Kunden-E-Mail dokumentiert.

Standard-AVV auf Anfrage erhältlich, bevor Kundendaten verarbeitet werden. SLA zur Verletzungsmeldung: 72 Stunden ab bestätigtem Vorfall.

Standardmäßig sichere Infrastrukturentscheidungen plus Steuerungen auf Anwendungsebene. Gespeicherte Dateien, die Anwendungsdatenbank und ihre Backups sind im Ruhezustand verschlüsselt; TLS 1.2 oder höher wird für den gesamten Kundenverkehr erzwungen. Passwörter werden als gesalzene Hashes gespeichert, und Sitzungen nutzen kurzlebige Tokens mit einmaliger Refresh-Token-Rotation; Zugriffskontrolle rollenbasiert (owner, admin, editor, viewer) mit Rate-Limiting bei Anmeldung, Registrierung, Anfragen zum Zurücksetzen des Passworts und Prüfung des zweiten Faktors.

• Verschlüsselung im RuhezustandVorhanden

  Gespeicherte Dateien, die Anwendungsdatenbank und ihre Backups sind im Ruhezustand mit AES-256 verschlüsselt.

• Verschlüsselung bei ÜbertragungVorhanden

  TLS 1.2+

• AuthentifizierungVorhanden

  Kurzlebige signierte Sitzungstokens mit einmaliger Refresh-Token-Rotation; die Wiederverwendung eines Refresh-Tokens widerruft alle Sitzungen

• Mehr-Faktor-AuthentifizierungVorhanden

  TOTP (RFC 6238, 6 Ziffern, 30 s), pro Nutzer optional. Ein Unternehmen kann es für alle verpflichtend machen — wer es noch nicht eingerichtet hat, wird bei der nächsten Anmeldung durch die Einrichtung geführt, sodass niemand ausgesperrt wird. Zehn einmalig nutzbare Wiederherstellungscodes; Inhaber oder Admin kann den Faktor eines Mitglieds zurücksetzen.

• Rollenbasierte ZugriffskontrolleVorhanden

  owner > admin > editor > viewer; Durchsetzung pro Route

• Rate-LimitingVorhanden

  Anmeldung (pro IP, mit Kontosperrung), Prüfung des zweiten Faktors (pro IP, mit vorübergehender Sperre nach wiederholt falschen Codes), Registrierung, Passwort-Zurücksetzung, Datei-Uploads (pro Unternehmen) und die v1 API (je Plan, siehe API-Dokumentation)

• Datenbank-BackupsVorhanden

  Automatische tägliche Backups, im Ruhezustand verschlüsselt, getrennt von der Anwendungsdatenbank gespeichert und 7 Tage aufbewahrt. Eine vollständige Wiederherstellung aus dem Backup wird jedes Quartal getestet. Es gibt kein automatisches Failover: Ein Datenbankausfall dauert, bis die Datenbank neu gestartet oder wiederhergestellt ist, und eine Wiederherstellung aus dem Backup kann bis zu einen Tag an Änderungen verlieren.

• Audit-ProtokolleVorhanden

  Jede Pass-Änderung wird mit Zeitstempel, Akteur und feldgenauem Diff erfasst; sichtbar im Dashboard-Verlauf. Jede Änderung an einem veröffentlichten, ausgesetzten, abgelaufenen oder archivierten Pass wird zusätzlich als vollständiger Snapshot archiviert, versiegelt mit einem SHA-256-Inhalts-Hash und mit Angabe des Verursachers; jede frühere Fassung lässt sich nach Datum abrufen (EN 18221:2026, Abschnitt 4.2). Die öffentliche Ansicht jeder veröffentlichten Fassung wird zudem als W3C-verifiable credential signiert (Aussteller did:web:www.tracepass.eu) und unter der Pass-URL mit Accept: application/vc+jwt ausgeliefert.

• Prüfung hochgeladener DateienVorhanden

  Jede hochgeladene Datei — Kundendokumente, Lieferantennachweise, Produktbilder, Logos — wird vor der Speicherung geprüft: Ihr Inhalt muss zum angegebenen Dateityp passen (eine umbenannte ausführbare Datei wird abgewiesen, ebenso Office-Dateien mit Makros), und sie wird vor der Speicherung auf Schadsoftware gescannt. Dateien gehen nie zur Prüfung an Dritte. Ist der Scanner nicht erreichbar, wird der Upload abgelehnt, statt die Datei ungeprüft zu speichern

• Sicherheits-HeaderVorhanden

  Content-Security-Policy (in der App durchgesetzt, Nonce-basiert; auf der Marketing-Website nur im Report-Only-Modus), HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy

• Unabhängiger PenetrationstestAusstehend

  Noch nicht durchgeführt, daher gibt es keinen Bericht. Die Sicherheit wird intern geprüft, und jeder Befund wird verfolgt, bis er behoben ist. Wir beauftragen einen unabhängigen Test, sobald ein Kundenvertrag ihn verlangt, und behaupten keinen, bevor ein Bericht existiert.

• ISO-27001-ZertifizierungAusstehend

  Noch nicht vorhanden. Die obigen Kontrollen (Verschlüsselung, Zugriffskontrolle, Backups, Audit-Logging) sind die Substanz, die ein ISO-27001-ISMS formalisiert, aber es wurde kein Zertifikat ausgestellt und es läuft kein Audit. Wir streben die Zertifizierung an, wenn die Nachfrage von Enterprise-Kunden die Auditkosten rechtfertigt; wir behaupten sie nicht, bevor ein Zertifikat existiert. Fordern Sie in der Zwischenzeit die aktuelle Kontrolldokumentation an.

• SOC-2-BerichtAusstehend

  Noch nicht vorhanden, kein Auditfenster geplant. SOC 2 (insbesondere Type II) erfordert einen Beobachtungszeitraum, den ein Unternehmen unseres Alters und Reifegrads noch nicht durchlaufen hat. Dieselbe Ehrlichkeitsregel wie bei ISO 27001: Wir stellen keinen SOC-2-Bericht dar, bevor ein Prüfer einen ausgestellt hat. EU-Kunden werden in der Regel zuerst durch unsere in der EU gehostete Anwendung und Datenbank + GDPR-Auftragsverarbeiterbedingungen bedient, die oben und in der DPA dokumentiert sind.

Haftung und Freistellung richten sich nach den Nutzungsbedingungen.

Eine Berufshaftpflichtversicherung (Errors & Omissions, E&O) besteht noch nicht.

• HaftungsbedingungenVorhanden

  Gemäß den Nutzungsbedingungen

• E&O-Versicherung

  Noch nicht vorhanden; die Deckungssumme wird hier veröffentlicht, sobald eine Police abgeschlossen ist

• NutzungsbedingungenVorhanden

  Die materiellen Klauseln stehen in unseren öffentlichen Nutzungsbedingungen (§10 Kündigung, Gebühr bei vorzeitiger Kündigung + 30-tägige Resolver-Kulanzfrist, §10a Anbieterwechsel und Ausstieg nach der EU-Datenverordnung, einschließlich kostenloser Weiterleitung der Pässe, solange das Gesetz ihre Verfügbarkeit verlangt, §11 geteilte SLA, §12 Kunde-als-Verantwortlicher, §13 Quellcode-Hinterlegung bei Enterprise, §13a mindestens 90 Tage Vorankündigung mit kostenlosem Export und Weiterleitung, falls der Dienst je eingestellt wird). Enterprise-Kunden können Zusätze (individuelle SLA, Haftungsrider, Hinterlegungs-Auslöser) zusätzlich zu den Standard-Bedingungen aushandeln.

Nach der EU-Datenverordnung (Verordnung (EU) 2023/2854) kann jeder TracePass-Kunde, in jedem Plan einschließlich Free, mit einer Frist von höchstens einem Monat zu einem anderen Anbieter wechseln oder den Dienst verlassen. Die vertraglichen Regelungen stehen in Abschnitt 10a der Nutzungsbedingungen; dieser Abschnitt fasst das Verfahren, die Daten und ihre Formate, den Speicherort der Daten und die Entgelte zusammen.

Wenn Sie Pässe bei einem anderen DPP-Anbieter halten, können Sie diese aus dem Dashboard in TracePass importieren: Fügen Sie bis zu 100 Pass-URLs ein oder laden Sie die Pass-Dateien (JSON / JSON-LD) hoch, und TracePass erstellt Passentwürfe zur Überprüfung; jeder importierte Wert wartet auf Freigabe vor der Veröffentlichung. Eine TracePass-Datei "Export everything" lässt sich auf dieselbe Weise zurückimportieren, zum Beispiel in ein neues Konto; Pässe, die im Konto bereits vorhanden sind, werden nicht doppelt angelegt. Die Abdeckung hängt davon ab, was der Quellanbieter veröffentlicht.

• Wechselverfahren

  Kündigen Sie im Abrechnungsbereich der TracePass-Anwendung. Der Plan endet zum Ende des laufenden Abrechnungsmonats (das Beendigungsdatum). Auf Verlangen läuft der Dienst für einen Übergangszeitraum von bis zu 30 Tagen zu den Standarddienstentgelten des Plans weiter, anteilig berechnet, mit angemessener Unterstützung. Exportieren Sie alles unter Settings → Data export im Dashboard, in jedem Plan und auch nach der Kündigung, oder lesen Sie es über die REST-API. Sie bleiben mindestens 30 Tage nach dem Beendigungsdatum oder dem Ende des Übergangszeitraums abrufbar. 12 Monate danach teilt TracePass Ihnen per E-Mail das Löschdatum mit, 90 Tage später; die Daten werden ab diesem Datum gelöscht, sofern Sie die Anfrage nicht widerrufen oder sich erneut anmelden. Sie können jederzeit eine frühere Löschung über Settings → Data export beantragen.

• Weiterleitung zu Ihrem neuen Anbieter

  Wenn Sie zu einem anderen Passanbieter wechseln, kann ein Kontoinhaber oder Admin Ihre Pässe unter Settings → Data export weiterleiten: Geben Sie die Adresse des neuen Anbieters an und optional eine eigene Adresse für einzelne Pässe. TracePass prüft zuerst jede neue Adresse: Sie muss eine sichere (https-)Adresse außerhalb von TracePass sein, die antwortet und denselben Pass zeigt. Nur Pässe, die die Prüfung bestehen, werden weitergeleitet, und Sie sehen, welche weitergeleitet wurden und warum andere nicht. Scans der gedruckten Codes gehen danach direkt an den neuen Anbieter, als vorübergehende Weiterleitung (HTTP 307), auf der gemeinsamen Resolver-Adresse von TracePass und auf Ihrer eigenen Domain, solange diese noch auf TracePass zeigt; maschinelle Anfragen (JSON-LD, Linkset) werden ebenfalls weitergeleitet. Die Weiterleitung ist kostenlos, in jedem Plan, solange der Pass verfügbar bleiben muss, und mindestens 10 Jahre; ein Batteriepass wird weitergeleitet, bis die Batterie recycelt ist. TracePass prüft jede Weiterleitung regelmäßig erneut und informiert Sie per E-Mail, wenn die neue Adresse nicht mehr antwortet. Eine Weiterleitung wird nie automatisch abgeschaltet, und Sie können sie jederzeit ändern oder beenden. Marktüberwachungsbehörden mit einem Authority-Zugangstoken können die TracePass-Kopie weiterhin lesen. Ihre Einträge in EU-Registern aktualisieren Sie selbst: Die Registrierung kann nicht übertragen werden, und die Bestätigungs-E-Mail erinnert Sie daran. Eine weitergeleitete Kennung kann bei TracePass nicht für einen neuen Pass wiederverwendet werden. Pässe, die Sie nicht weiterleiten, sind 30 Tage nach Planende nicht mehr öffentlich auflösbar.

• Exportierbare Daten

  Produkte und Pässe mit allen Feldwerten, Übersetzungen, Audit Trail und Herkunft; EPCIS-Ereignisse; hochgeladene Dokumente als Originaldateien, mit Verzeichnis; Lieferantenanfragen mit den Antworten; die Versionshistorie der Pässe mit den signierten Nachweisen, wobei jede Version das Datenmodell nennt, gegen das sie geprüft wurde, zusammen mit diesen Modellen; Batteriemesswerte; tägliche Scan-Statistiken je Pass nach Land und Gerätetyp (keine personenbezogenen Daten). Alles kommt in einer ZIP-Datei über „Export everything“ unter Settings → Data export, in jedem Plan einschließlich Free, unabhängig vom Zahlungsstatus und auch nach der Kündigung. Dieselbe Seite bietet schnelle JSON-LD- und EPCIS-Downloads, und die REST-API liest Produkte, Pässe, Versionen, Messwerte und die Ereignisse je Pass. Nicht exportierbar, als Geschäftsgeheimnisse: die KI-Prompts und -Modelle, die über alle Kunden aggregierten Lerndaten und die Sicherheitsprotokolle.

• Formate und Datenstrukturen

  JSON-LD für Produkte und Pässe; EPCIS 2.0 JSON-LD für Ereignisse; die Originaldateien für Dokumente, mit einem Verzeichnis in JSON; JSON für Lieferantenanfragen, Passversionen und Batteriemesswerte; CSV für die Scan-Statistiken; JSON über die REST-API, beschrieben in der öffentlichen OpenAPI-Spezifikation. Die Felddefinitionen jeder Kategorievorlage sind im Paket @tracepass/dpp-schemas öffentlich.

• Bekannte Einschränkungen

  Der ZIP-Download bleibt 7 Tage gültig; danach erstellen Sie einen neuen Export. Der EPCIS-Download und die EPCIS-Datei in der ZIP umfassen veröffentlichte Pässe; die Ereignisse anderer Pässe lesen Sie je Pass über die REST-API.

• Speicherort der Daten

  Die Anwendung und ihre Datenbank werden in der EU (Deutschland) gehostet. Hochgeladene Dateien, erzeugte PDFs und Datenbank-Backups liegen in der EU, in einem Speicher im EU-Rechtsraum; nur die öffentlichen Bilder, die ein veröffentlichter Pass zeigt, liegen ohne EU-Beschränkung. Die KI-Verarbeitung, die nur auf von Ihnen eingereichten Daten läuft, findet in den Vereinigten Staaten statt. Websuchen während der KI-Recherche enthalten nur Produktinformationen und werden außerhalb der EU verarbeitet. Jeder Anbieter, der personenbezogene Daten erhält, und sein Standort sind unter „Unterauftragsverarbeiter“ aufgeführt.

• Schutz vor unrechtmäßigem Zugriff

  Technisch: Verschlüsselung im Ruhezustand und bei der Übertragung, rollenbasierte Zugriffskontrolle und Audit-Logs (siehe „Sicherheitslage“ oben). Organisatorisch: Wir legen Kundendaten einer Behörde nur offen, wenn eine rechtsverbindliche Anordnung es verlangt; wir prüfen die Anordnung am Recht der EU und der Mitgliedstaaten, legen nur offen, was sie verlangt, und informieren den betroffenen Kunden, sofern das Gesetz es nicht verbietet. Vertraglich: Anbieter, die personenbezogene Daten von Kunden außerhalb der EU verarbeiten, tun dies auf Grundlage des EU-US Data Privacy Framework oder der EU-Standardvertragsklauseln.

• Entgelte beim Ausstieg

  Keine Entgelte für Wechsel, Export oder die Unterstützung im Übergang. Die Standarddienstentgelte sind die Planpreise auf der Preisseite. Eine Gebühr bei vorzeitiger Kündigung fällt nur an, wenn am Beendigungsdatum eine Vertragsbindung läuft (eine Mindestlaufzeit bei monatlichem Scale, Pro oder Enterprise oder ein vorausbezahltes Jahr): die nach dem Beendigungsdatum verbleibenden Monate der Vertragsbindung, höchstens 3, mal das Monatsentgelt (der Monatspreis oder der Jahrespreis ÷ 12). Beispiel: Pro zu €2.000 pro Monat, gekündigt im 1. Monat der 6-monatigen Mindestlaufzeit, lässt 5 Monate übrig; die Gebühr ist also auf 3 × €2.000 = €6.000 begrenzt. Bei jährlicher Abrechnung wird die Gebühr von der Erstattung der nicht genutzten vollen Monate abgezogen.

• Nutzungsbedingungen, Abschnitt 10a

  Die vertraglichen Regelungen: Kündigungsfrist, Übergangszeitraum, abschließende Liste der exportierbaren Daten, Abruf, Löschung und Entgelte.

Konformität gegenüber veröffentlichten Interoperabilitätsstandards — was geprüft, was dokumentiert ist und was noch aussteht. „Wir halten uns an die Spezifikation" ist keine Konformitätsaussage; veröffentlichte Testergebnisse und dokumentierte feldgenaue Abgleichung sind es.

• GS1 Digital Link KonformitätVorhanden

  Resolver-Funktionalität selbstgeprüft gegen die GS1-Digital-Link-Spezifikation v2.0 — Servicebeschreibungs-Endpoint, GTIN/Seriennummer-Auflösung, JSON-LD-Content-Negotiation, linkset+json-Ausgabe, Vary-Header, 404 bei unbekannten URLs. Reproduzierbares Skript verfügbar unter tools/gs1-conformance-check.ts im öffentlichen Repository tracepass-open; Kunden und Prüfer können es gegen jeden TracePass-Resolver ausführen, und der aktuelle freigegebene Lauf gegen id.tracepass.eu ist zusammen mit dieser Seite veröffentlicht (9 von 9 bestandenen Prüfungen). Noch nicht gegen die Resolver-Testsuite von GS1 getestet.

• Schema.org JSON-LDVorhanden

  Wird auf jeder öffentlichen Seite ausgegeben (Home, Kategorie, Ressourcen, regulatorische Matrizen, Einkäufer-Leitfaden). Validiert gegen Google Rich Results Test.

• Kennzeichnung KI-generierter Werte (EU-KI-Verordnung, Artikel 50 Absatz 2)Vorhanden

  Ein Wert, den die KI gefunden und geschrieben oder übersetzt hat, ist in jeder öffentlichen Ausgabe des Passes als KI-generiert gekennzeichnet: in der Ansicht, ihrem JSON-LD, dem signierten Nachweis und dem PDF. Die Kennzeichnung bleibt, nachdem ein Mensch den Wert freigegeben hat. Werte aus Ihren eigenen Dokumenten werden nicht gekennzeichnet.

• Content-Negotiation auf Pass-URLs (HTML, JSON-LD, JSON)Vorhanden

  Öffentliche Pass-URLs liefern Browsern HTML, application/ld+json, wenn der Accept-Header dies bevorzugt, und einfaches application/json, wenn es angefordert wird — EN 18216 macht JSON zum verpflichtenden maschinenlesbaren Format. Der maschinenlesbare Inhalt trägt den Pass-Header nach EN 18223 (digitalProductPassportId, uniqueProductIdentifier, granularity, dppSchemaVersion, dppStatus, lastUpdated, economicOperatorId) als Felder der obersten Ebene, jeweils nur, wenn die Daten vorliegen. Für Elektrofahrzeugbatterien, LV-Batterien und Industriebatterien über 2 kWh liefert einfaches JSON stattdessen den öffentlichen Teil des Passes im Batterie-Datenmodell der Europäischen Kommission, dem Format, das das EU-DPP-Register liest; application/ld+json behält die Linked-Data-Ansicht. Der menschenlesbare Pass wird über HTTP/2 oder neuer mit TLS 1.2+ ausgeliefert, wie EN 18216 es verlangt; Maschinenclients, die kein HTML anfordern, etwa die Link-Prüfung des EU-DPP-Registers, erhalten auch über HTTP/1.1 eine Antwort. Eine URL für jedes Format — kein separater Endpunkt nötig.

• Datenträger: QR-Code und Data Matrix (EN 18220)Vorhanden

  Der Datenträger eines Passes lässt sich als QR-Code (ISO/IEC 18004) oder als Data Matrix (ISO/IEC 16022) erzeugen — die beiden 2D-Symbologien, die EN 18220 zulässt — mit derselben GS1-Digital-Link-URL, als SVG oder PNG, über das Dashboard, die API, den MCP-Server und die n8n community node. Data Matrix eignet sich für kleine Teile und Direktmarkierung. Batteriepässe bleiben beim QR-Code, den die Batterieverordnung vorschreibt.

• Barrierefreie öffentliche Ansicht (EN 301 549 / WCAG 2.1 AA)Vorhanden

  EN 18216 verlangt, dass der menschenlesbare Pass EN 301 549 erfüllt. Die öffentliche Ansicht besteht eine automatisierte Prüfung nach WCAG 2.1 AA (axe: 0 Verstöße) sowie Prüfungen mit Tastatur, Zoom und Textabständen: Die Seitensprache folgt der Sprache des Passes, Inhalte liegen in Landmarks, einklappbare Abschnitte melden ihren Zustand und halten verborgene Inhalte aus der Tab-Reihenfolge, und der Textkontrast erreicht 4,5:1 auch mit den Markenfarben eines Kunden. Noch nicht von einer externen Barrierefreiheitsprüfung begutachtet.

• Teilweise umgesetzt: API-Pfade nach EN 18222 und Replikation zu einem Backup-Anbieter nach EN 18221In Bearbeitung

  Die REST-Pfade nach EN 18222 (v1/dpps/…) sind umgesetzt und in der Konformitätsprüfung; Kunden stehen sie noch nicht zur Verfügung. Bis dahin deckt die v1-API von TracePass dieselben Operationen in eigener Form ab, einschließlich des Abrufs einer Fassung nach Datum. Die Replikation zu einem Backup-Anbieter (EN 18221, Abschnitte 4.3 und 4.5) ist für Batteriepässe verfügbar: Ein Unternehmen, das einen Backup-Anbieter benennt, lässt ihm bei jeder Änderung die aktuelle Fassung jedes Batteriepasses zusenden. Frühere archivierte Fassungen bleiben bei TracePass. Die Replikation für Pässe anderer Produkte hängt vom delegierten ESPR-Rechtsakt zu den Dienstleistern ab, der festlegt, wer als Backup-Anbieter auftreten darf.

• Abgleich mit den CIRPASS-2-Ontologien — Batterien, Reifen, TextilienVorhanden

  Jedes Feld der Vorlagen für Batterien, Reifen und Textilien ist mit seinem CIRPASS-2-Begriff aufgeführt oder als ohne Entsprechung gekennzeichnet, in Tabellen im offenen Schema-Repository. Eine Entsprechung ist exakt, wenn CIRPASS-2 eine Eigenschaft für dasselbe Datum hat, und strukturiert, wenn es das Datum als Knoten modelliert, etwa als Vokabulareintrag. Jeder Begriff ist gegen die CIRPASS-2-Ontologiedateien in einer festgelegten Version geprüft, und die öffentliche Passprüfung nutzt dieselben Tabellen für die Kategorien, die sie abdeckt. Die CIRPASS-2-Ontologien sind ein Forschungsentwurf, kein offizielles Datenmodell der Kommission, und für unsere übrigen Kategorien gibt es keine sektorale Ontologie.

• GS1-GLN-Strukturunterstützung — Wirtschaftsakteure mit mehreren RollenVorhanden

  Jeder Pass enthält einen strukturellen parties-Block, verschlüsselt nach Wirtschaftsakteurs-Rolle (Hersteller / Importeur / Bevollmächtigter / Händler / Recycler / Produktverantwortungsorganisation). GLNs sind validierte 13-stellige GS1-Identifikatoren (Mod-10-Prüfziffer) und werden sowohl als gs1:partyGLN (GS1 Web Vocabulary) als auch als schema:identifier propertyID GS1:GLN (schema.org-Spiegelung) ausgegeben. Die erforderlichen Rollen werden in der Plattform je Kategorie festgelegt, abgeleitet aus den Pflichten der Wirtschaftsakteure im jeweiligen Gesetz: Batterien verlangen Hersteller, Recycler und Organisation für Herstellerverantwortung, Importeur, Bevollmächtigter und Händler sind optional (Batterieverordnung 2023/1542 Art. 38 für Hersteller, Art. 56–57 für erweiterte Herstellerverantwortung und PROs); Verpackungen und FMCG verlangen Hersteller und PRO (PPWR 2025/40 Art. 45 und 47); Spielzeug verlangt Hersteller und Importeur (Spielzeugrichtlinie Art. 4 und 6). Dass ein Recycler und eine PRO verlangt werden, ist eine Entscheidung der Plattform, keine Vorgabe des EU-Rechts: Hersteller können die erweiterte Herstellerverantwortung individuell oder über eine PRO erfüllen (Batterieverordnung Art. 57(1), PPWR Art. 47(1)); ein Mitgliedstaat kann eine PRO für Batterien allerdings verpflichtend machen. Eine fehlende erforderliche Rolle wird markiert, blockiert die Veröffentlichung aber nie. Lieferanten ohne GLN können stattdessen eine legacyOperatorId (USt-IdNr. / EORI / nationale Steuer-ID) erfassen — jede Partei bleibt nachverfolgbar. Verfügbar über den Dashboard-Editor, v1-API (PATCH /api/v1/passports/:id/parties/:role) und CSV-Bulk-Import (Punkt-Schlüssel-Spalten).

• Öffentliche OpenAPI-3.1-SpezifikationVorhanden

  Handgeschriebene OpenAPI-3.1-Spezifikation für jeden v1-REST-Endpoint (Pässe, Produkte, Exporte, EPCIS, Vorlagen, Geltungsbereich, Regulierung und OAuth). Veröffentlicht unter /openapi.yaml mit JSON-Spiegelung unter /openapi.json — ohne NDA, ohne Anmelde-Hürde. Direkt in Postman / Insomnia / Bruno oder einen beliebigen openapi-generator-Client importierbar. Funktionierende Beispiele in curl / TypeScript / Python liegen unter /docs neben jedem Endpoint. Die API deckt den vollständigen DPP-Workflow ab — Pässe, Produkte, Exporte und EPCIS-Ereignisse; Kontoverwaltung und Abrechnung sind nur über das Dashboard möglich.

• GS1 EPCIS 2.0 — Lieferketten-Ereignis-Export, -Erfassung und -AbfrageVorhanden

  GS1-EPCIS-2.0-Export und -Erfassung sowie eine EPCIS-Abfrageschnittstelle mit einem Teil der Standard-Abfrageparameter (Ereignistyp, Geschäftsschritt, Disposition, EPC, Ort, Ereigniszeit; bis zu 1.000 Ereignisse je Abfrage), in jedem Tarif enthalten, Free inklusive. Die Lieferketten-, Service- und Eigentumsereignisse jedes Passes werden als standardkonformes EPCIS-2.0-JSON-LD-Dokument serialisiert, am GS1-Digital-Link-Resolver als gs1:traceability-linkType ausgewiesen, sodass ein EPCIS-fähiges System beim Scannen des QR-Codes die Ereignishistorie ohne Vorkenntnis der URL findet. Produktionsschritte, die das GS1 Core Business Vocabulary nicht definiert (Schmelzen, Walzen, Endbearbeitung), verwenden TracePass-eigene Vokabular-URLs unter tracepass.eu/voc/cbv/bizstep/ — das von GS1 sanktionierte Branchenerweiterungs-Muster — die jeweils zu ihrer eigenen veröffentlichten Definition auflösen. Die Erfassung nimmt von Lieferanten und ERP-Systemen per POST eingehende Ereignisse entgegen, und die KI erstellt Ereignisentwürfe aus Datenblättern zur menschlichen Prüfung; Abfragen beantwortet eine EPCIS-2.0-Abfrageschnittstelle, die wir in der EU betreiben. Der Volumenzähler skaliert nach Tarif (1.000 Ereignisse/Monat bei Basic bis 10.000.000 bei Pro, bei Enterprise unbegrenzt; Free erhält 10 als Evaluations-Schranke). Die Ergebnisse des Konformitäts-Selbsttests sind auf Anfrage erhältlich.

Mitgliedschaften und Ökosystem-Affiliationen, die TracePass in der EU-Infrastruktur für Digitale Produktpässe verankern. Es gibt heute kein offizielles EU-Register „zugelassener DPP-Anbieter" — das EU-DPP-Register ist für die Registrierung von Wirtschaftsakteuren in Betrieb, erfasst aber Wirtschaftsakteure und Produktkennungen und lässt keine Anbieter zu. Die legitimen Signale sind: GS1 (die Identifikator-Vergabestelle), CIRPASS / CIRPASS-2 (die EU-finanzierte Koordinierungsmaßnahme zur Vorbereitung des Registers) und BatteryPass-Ready, der Nachfolger des im März 2025 abgeschlossenen Battery-Pass-Projekts, der das Datenmodell für den Batteriepass und eine freiwillige Testumgebung pflegt.

Wir listen jede Affiliation ehrlich auf: vorhanden bedeutet, dass die Mitgliedschaft / Teilnahme aktiv und überprüfbar ist; in Bearbeitung bedeutet, dass wir uns beworben haben und auf eine Bestätigung warten; ausstehend bedeutet, dass wir planen, uns zu bewerben, aber noch nicht begonnen haben. Einkäufer in Beschaffungsverfahren sollten „ausstehend" so behandeln wie jede andere Roadmap-Aussage — eine erklärte Absicht, kein geliefertes Ergebnis.

• CIRPASS-2 Stakeholder Community — AbonnentVorhanden

  CIRPASS-2 ist die im Rahmen von Horizon Europe finanzierte Koordinierungsmaßnahme, die die technische Infrastruktur, den Governance-Rahmen und die Pilotimplementierungen für das EU-DPP-Ökosystem vorbereitet (Fördervereinbarung 101158775, Mai 2024 → April 2027). Die Stakeholder-Community-Stufe umfasst Newsletter, Veranstaltungen und öffentliche Konsultationen. TracePass ist am 16.05.2026 beigetreten. Das CIRPASS-2 Memorandum of Understanding gehört zum Community-of-Practice-Antrag unten, nicht zu dieser Stufe.

• CIRPASS-2 Community of Practice (CoP) — BewerberIn Bearbeitung

  Die Community of Practice ist die aktive Engagement-Stufe von CIRPASS-2, reserviert für DPP-Dienstleister und PLM/ERP/PIM/MES-Softwareanbieter. Eine CoP-Mitgliedschaft erfordert ~5-10 Personentage/Jahr, eine unterzeichnete MoU mit dem Projektkoordinator (CEA) und Beiträge zu den Aktivitäten des DPP Stakeholder Exchange Forums. Die CoP-Registrierung ist personengebunden; daher hat Gründer Malin Ivanov die MoU am 16.05.2026 als individueller Experte (mit TracePass als seiner Organisation) unterzeichnet und mit dem Antrag eingereicht. TracePass hat sich am 16.05.2026 für die CoP-Mitgliedschaft beworben; vorbehaltlich des CIRPASS-2-Bewertungsverfahrens.

• OpenDPP-Katalog von CIRPASS-2 — zwei Komponenten gelistetVorhanden

  Zwei Open-Source-Komponenten von TracePass sind im OpenDPP-Katalog von CIRPASS-2 für offene DPP-Komponenten gelistet: TracePass DPP Schemas (die öffentlichen Feldspezifikationen hinter den Vorlagen, jedes Feld auf das EU-Recht zurückgeführt, das es vorschreibt) und das TracePass DPP-VC Profile (das Erweiterungsprofil für verifizierbare Nachweise). Eine Listung belegt, dass eine Komponente veröffentlicht und offen ist; sie ist keine Zertifizierung.

• CIRPASS-2 DPP Stakeholder Exchange Forum — circular-data.orgVorhanden

  circular-data.org ist das CIRPASS-2 DPP Stakeholder Exchange Forum — die Matchmaking- und Wissensaustauschplattform (gehostet von Ekodenge auf Clusterly), die DPP-Lösungsanbieter, Hersteller und Normungsgremien in der gesamten EU verbindet. TracePass hat sein Organisationsprofil im Mai 2026 als KMU-Anbieter von DPP-as-a-Service registriert; das Profil wurde geprüft, genehmigt und ist öffentlich gelistet. Dies ist eine eigenständige Registrierung, getrennt von der CIRPASS-2-Stakeholder-Community- und Community-of-Practice-Mitgliedschaft, die separat bewertet werden.

• BatteryPass-Ready — Nachfolger des Battery-Pass-Projekts

  Das Battery-Pass-Projekt, ein vom BMWK gefördertes deutsches Konsortium, veröffentlichte Inhaltsleitfäden und ein Referenz-Datenmodell für den EU-Batteriepass (verpflichtend ab 18. Februar 2027 gemäß Verordnung (EU) 2023/1542) und wurde im März 2025 abgeschlossen. Sein Nachfolger BatteryPass-Ready (unter Leitung des Fraunhofer IPK mit acatech, GEFEG und TU Berlin) pflegt die JSON-Schemas für den Batteriepass und betreibt eine freiwillige Testumgebung; sie ist keine offizielle EU-Konformitätsprüfung und stellt kein Zertifikat aus. Wir bilden die Batteriepässe von TracePass auf die BatteryPass-Ready-Schemas ab und prüfen sie intern mit dessen Validator; Kunden können diese Prüfung noch nicht selbst im Dashboard ausführen. TracePass ist kein Supporting Partner von BatteryPass-Ready.

• EU-DPP-Register: verifizierter WirtschaftsakteurVorhanden

  Das EU-DPP-Register — eingerichtet nach Artikel 13 der ESPR (Verordnung (EU) 2024/1781), mit den Durchführungsbestimmungen in der Durchführungsverordnung (EU) 2026/1778 — ist in Betrieb. Die TracePass LTD ist im Produktivsystem des Registers als Wirtschaftsakteur registriert und verifiziert. Die Registrierung eines Produktpasses ist derzeit für keine Produktgruppe möglich. Für Batterien, die einzige Gruppe, die das Register anbietet, hat die Kommission die Spezifikation der Registrierungs-API und das Batterie-Datenmodell veröffentlicht, gegen das Einreichungen geprüft werden, doch die Prüfung des Registers gegen dieses Modell ist noch nicht eingeschaltet. Laut Kommission soll die Registrierung den Wirtschaftsakteuren ab Februar 2027 zur Verfügung stehen. Das Hochladen der Kennungen bleibt Pflicht des Wirtschaftsakteurs, der das Produkt in Verkehr bringt; laut Kommission kann es nicht an einen Dienstleister delegiert werden, deshalb bieten wir es nicht an. Wir erstellen die Upload-Datei und die Bereitschaftsprüfung, die Batteriepässe bereits gegen das veröffentlichte Datenmodell prüft, und liefern den Pass in diesem Format aus, wenn das Register seinen Link abruft. Das Register speichert Kennungen, keine Passdaten — der Produktpass selbst bleibt beim Wirtschaftsakteur gehostet.