~/teaching · eu digital sovereignty · sitzung 5
Die EU-Datenstrategie in der Produktion: Datenverordnung und DGA für Ingenieure
Was jemand wegen des Daten-Governance-Rechtsakts und der Datenverordnung bauen muss, und wo es in der Produktion bricht. Zusammenfassung eines Gastvortrags an der Universität Luxemburg
Hinweis. Lehrmaterial, im eigenen Namen verfasst: keine Rechtsberatung und nicht die Position eines Arbeitgebers. Bevor Sie sich auf einen Artikel stützen, lesen Sie ihn im Amtsblatt; die Vorschläge sind auf dem Stand vom 17. Oktober 2026.
Zusammenfassung
Die europäische Datenstrategie vom Februar 2020 versprach einen Binnenmarkt für Daten. Zwei Verordnungen bringen sie in die Systeme: der Daten-Governance-Rechtsakt (Data Governance Act, DGA), Verordnung (EU) 2022/868, der vertrauenswürdige Rollen schafft, und die Datenverordnung (Data Act), Verordnung (EU) 2023/2854, die Rechte an maschinengenerierten Daten sowie Pflichten für Hersteller, Dateninhaber und Cloud-Anbieter schafft.
Diese Seite liest beide Texte so, wie ein Plattformteam es tun muss: als Backlog. Jedes neue Zugangsrecht ist eine neue Schnittstelle, und jede neue Schnittstelle ist eine neue Angriffsfläche (Attack Surface). Drei Fälle machen das greifbar (Cloud-Wechsel, Zugriff ausländischer Behörden, Zugang zu Produktdaten), danach zeigen vier Fehlermuster, wo die Compliance bricht, bevor überhaupt ein Jurist beteiligt ist.
Die Seite fasst Sitzung 5 des Kurses EU Digital Sovereignty an der Universität Luxemburg zusammen (20. Oktober 2026). Die Folien sind öffentlich, mit den Sprechernotizen unter jeder Folie.
Aufbau des Foliensatzes
- Überblick. Ein Recht ohne SDK; die These dieser Stunde; drei Schriften für drei Stimmen (was der Text sagt, was jemand baut, was man zitieren kann).
- Die zwei Rechtsakte. Zwei Texte, zwei Aufgaben; die drei Rollen des DGA; die Datenverordnung als Backlog gelesen; der digitale Omnibus, der den DGA aufheben würde.
- Drei Fälle. Einen Cloud-Anbieter verlassen (Artikel 23 bis 31), eine ausländische Behörde, die EU-Daten verlangt (Artikel 32), eine vorgeschriebene Funktion vernetzter Produkte (Artikel 3 bis 5).
- In der Produktion. Identität, Nachweis, Qualität, die Grenze zu personenbezogenen Daten; die benachbarten Regelwerke, die dieselben Logs verlangen; eine Checkliste; vier verbreitete Fehldeutungen.
- Fragen. Ein Glossar vom Recht zur Technik, vier Fragen, über die es sich zu streiten lohnt, und wo man die Texte nachliest.
Daten-Governance-Rechtsakt und Datenverordnung: zwei Texte, zwei verschiedene Aufgaben
Der DGA bietet einen Status an, den niemand annehmen muss; die Datenverordnung schafft Rechte, die jemand bedienen muss.
| Daten-Governance-Rechtsakt | Datenverordnung | |
|---|---|---|
| Fundstelle | Verordnung (EU) 2022/868 | Verordnung (EU) 2023/2854 |
| In Kraft | 23. Juni 2022 | 11. Januar 2024 |
| Gilt ab | 24. September 2023 (Art. 38) | 12. September 2025 (Art. 50) |
| Ansatz | Ermöglichend: Rollen und ein Vertrauensrahmen | Vorschreibend: Rechte und harte Pflichten |
| Eigentliche Frage | Wer darf als vertrauenswürdiger Vermittler auftreten? | Wer darf Maschinendaten lesen, verschieben und übertragen? |
| Status | Aufhebung vorgeschlagen (COM(2025) 837) | Gilt; Änderungen vorgeschlagen |
Der DGA schafft drei Rollen. Öffentliche Stellen können die Weiterverwendung geschützter Daten (vertraulicher, geschäftlich sensibler oder personenbezogener Daten) unter Bedingungen erlauben (Kapitel II, Artikel 3 bis 9); das bedeutet sichere Verarbeitungsumgebungen und einen Zugangsworkflow mit Prüfpfad. Datenvermittlungsdienste (data intermediation services) müssen sich bei einer zuständigen Behörde anmelden (Artikel 11), dürfen die Daten nach Artikel 12 Buchstabe a nicht für andere Zwecke verwenden und müssen den Dienst über eine gesonderte juristische Person erbringen: eine Isolationsgrenze, die Sie nachweisen können müssen. Datenaltruistische Organisationen (data altruism organisations) können in ein öffentliches Register eingetragen werden und die Bezeichnung „in der Union anerkannte datenaltruistische Organisation“ führen (Artikel 17).
Die Datenverordnung nimmt die entgegengesetzte Haltung ein. Kapitel II gibt den Nutzern vernetzter Produkte Zugang zu den Daten, die bei deren Nutzung entstehen (Artikel 4), und das Recht, sie an einen Dritten weitergeben zu lassen (Artikel 5). Kapitel III schreibt faire, angemessene und nichtdiskriminierende Bedingungen vor, wenn ein Dateninhaber (data holder) Daten bereitstellen muss (Artikel 8). Kapitel V erlaubt öffentlichen Stellen, bei außergewöhnlicher Notwendigkeit Daten anzufordern. Kapitel VI regelt den Wechsel zwischen Cloud-Anbietern. Artikel 32 betrifft den unrechtmäßigen staatlichen Zugriff aus Drittländern auf nicht personenbezogene Daten. Kapitel VIII ergänzt die Interoperabilität und wesentliche Anforderungen an intelligente Verträge (smart contracts), darunter eine Möglichkeit, sie zu stoppen (Artikel 36 Absatz 1 Buchstabe b).
Zugang zu Produktdaten: Die EU hat eine Funktion vorgeschrieben
Seit dem 12. September 2025 kann der Nutzer eines vernetzten Produkts dessen Daten verlangen; Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden, müssen dafür konzipiert sein.
Artikel 3 Absatz 1 verlangt, vernetzte Produkte und verbundene Dienste so zu konzipieren, dass die Produktdaten und verbundenen Dienstdaten, samt den für ihre Auslegung erforderlichen Metadaten, standardmäßig für den Nutzer einfach, sicher, unentgeltlich in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format und, soweit relevant und technisch durchführbar, direkt zugänglich sind. Nach Artikel 50 gilt diese Konzeptionspflicht für Produkte und Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden. Artikel 3 Absätze 2 und 3 ergänzen vorvertragliche Informationspflichten.
Ist kein direkter Zugriff möglich, stellt der Dateninhaber die Daten auf Verlangen bereit (Artikel 4) oder gibt sie an einen vom Nutzer benannten Dritten weiter (Artikel 5). Ein Unternehmen, das nach dem Gesetz über digitale Märkte als Torwächter (gatekeeper) benannt wurde, ist kein zugelassener Dritter (Artikel 5 Absatz 3). Geschäftsgeheimnisse (trade secrets) werden durch Maßnahmen gewahrt, die vor der Offenlegung vereinbart werden; kommt keine Einigung zustande, kann der Dateninhaber die Weitergabe verweigern oder aussetzen, und das Zugangsverlangen selbst ablehnen darf er nur unter außergewöhnlichen Umständen und mit Begründung (Artikel 4 Absätze 6 bis 8). Kapitel II gilt nicht für Daten aus Produkten, die von Kleinst- und Kleinunternehmen hergestellt werden, oder aus verbundenen Diensten, die sie erbringen (Artikel 7).
| Der Text schafft | Das System erhält | Der Fehler, den Sie schon kennen |
|---|---|---|
| Ein Nutzerrecht auf Produktdaten | Einen authentifizierten Lesepfad in interne Telemetrie | Fehlerhafte Autorisierung auf Objektebene (broken object-level authorisation) |
| Weitergabe an einen Dritten | Einen Delegationsablauf mit Tokens | Consent-Phishing: die OAuth-Freigabe an eine feindliche App |
| Nachweis, dass der Nutzer der Nutzer ist | Eine Bindung zwischen einer Person und einem weiterverkauften Gerät | Social Engineering der Anfrage |
| Schutz von Geschäftsgeheimnissen | Filterung auf Feldebene | Übermäßige Offenlegung durch einen ungeprüften Export |
| Verfügbarkeit des Zugangs | Ein öffentlicher Endpunkt auf einer Industrieflotte | Denial of Service |
Cloud-Wechsel nach der Datenverordnung: Die Uhr läuft bis zum 12. Januar 2027
Ab dem 12. Januar 2027 darf ein Cloud-Anbieter einem Kunden für den Wechsel nichts mehr berechnen; bis dahin darf er nur die Kosten in Rechnung stellen, die unmittelbar mit dem Wechsel verbunden sind.
Die Wechseluhr
- 11. Januar 2024. Inkrafttreten. Wechselentgelte (switching charges) dürfen die Kosten nicht übersteigen, die dem Anbieter im unmittelbaren Zusammenhang mit dem Wechsel entstehen (Artikel 29 Absätze 2 und 3).
- 12. September 2025. Die Verordnung gilt. Der Vertrag muss den Wechselprozess, die geschuldete Unterstützung, eine Übergangsfrist von höchstens 30 Kalendertagen (Artikel 25 Absatz 2 Buchstabe a) und eine Kündigungsfrist von höchstens zwei Monaten (Artikel 25 Absatz 2 Buchstabe d) festlegen.
- 12. Januar 2027. Überhaupt keine Wechselentgelte mehr (Artikel 29 Absatz 1). Die gewöhnlichen Dienstentgelte bleiben; Datenextraktionsentgelte (Egress) bei paralleler Nutzung dürfen nur die entstandenen Kosten weitergeben (Artikel 34).
Bei Infrastrukturdiensten (skalierbare und elastische Rechenressourcen, beschränkt auf Infrastrukturelemente) muss der ursprüngliche Anbieter angemessene Maßnahmen ergreifen, damit der Kunde beim übernehmenden Dienst Funktionsäquivalenz (functional equivalence) erreicht (Artikel 30 Absatz 1). Andere Dienste müssen unentgeltlich offene Schnittstellen bereitstellen (Artikel 30 Absatz 2).
Technisch betrachtet sind die Daten die leichte Hälfte: offene, dokumentierte, maschinenlesbare Exporte. Die Funktionen sind die schwere Hälfte: Verwaltete Warteschlangen, Identitätsdienste und Serverless-Laufzeiten haben anderswo selten ein Gegenstück. Und Observability ist der blinde Fleck: Dashboards, Alarmregeln, Traces und Aufbewahrungsregeln stecken in den Werkzeugen des Anbieters. Ein nie geprobter Exit-Plan ist ein Dokument, keine Fähigkeit.
Bemerkung (Finanzplatz Luxemburg). Finanzunternehmen müssen nach DORA, Artikel 28 Absatz 8 der Verordnung (EU) 2022/2554, bereits Ausstiegsstrategien für IKT-Dienstleistungen festlegen, die kritische oder wichtige Funktionen unterstützen. Ein Projekt, zwei Rechtsgrundlagen.
Artikel 32: Wenn eine ausländische Behörde EU-Daten verlangt
Anbieter müssen Maßnahmen gegen den unrechtmäßigen staatlichen Zugriff aus dem Ausland auf in der EU gespeicherte nicht personenbezogene Daten treffen; der Speicherort allein entscheidet darüber nicht, die Schlüsselverwahrung schon.
Artikel 32 Absatz 1 verpflichtet Anbieter von Datenverarbeitungsdiensten, angemessene technische, organisatorische und rechtliche Maßnahmen, einschließlich Verträgen, zu treffen, um den staatlichen Zugang zu und die staatliche Übermittlung von in der Union gespeicherten nicht personenbezogenen Daten im internationalen Umfeld und durch Drittländer zu verhindern, wenn dies im Widerspruch zum Unionsrecht oder zum nationalen Recht stünde. Eine Entscheidung eines Drittlands wird nur auf der Grundlage einer internationalen Übereinkunft, etwa eines Rechtshilfeabkommens, anerkannt oder vollstreckt (Artikel 32 Absatz 2). Fehlt eine solche Übereinkunft, darf der Anbieter nur Folge leisten, wenn die Anordnung begründet, verhältnismäßig und spezifisch ist und sein begründeter Einwand von einem zuständigen Gericht dieses Landes überprüft werden kann (Artikel 32 Absatz 3). Artikel 28 ergänzt, dass Anbieter veröffentlichen, welcher Rechtsordnung ihre Infrastruktur unterliegt.
| Ebene | Was darüber entscheidet |
|---|---|
| L1 Die Muttergesellschaft | Eigentum reicht über Grenzen; eine EU-Tochter kann dennoch einer Konzernentscheidung unterliegen |
| L2 Die Betreibergesellschaft | Welche juristische Person den Vertrag unterzeichnet, und nach welchem Recht sie zum Handeln verpflichtet werden kann |
| L3 Das privilegierte Personal | Zwang erreicht Menschen, nicht Rechenzentren |
| L4 Die Infrastruktur | Wo die Bytes liegen: die Ebene, über die alle reden, und die schwächste Garantie |
| L5 Die Schlüssel | Kann der Anbieter entschlüsseln, kann er dazu angewiesen werden: Verwahrung, nicht Ort, ist die Kontrolle |
Daraus folgen vier Kontrollen: eine Schlüsselverwahrung außerhalb der Reichweite des Anbieters, eine Übersicht aller Stellen und Personen, die verpflichtet werden können, ein dokumentiertes Ablehnungs- und Eskalationsverfahren und ein Protokoll jeder eingegangenen Anfrage und der gegebenen Antwort. Am 3. Juni 2026 hat die Kommission einen Cloud and AI Development Act vorgeschlagen (COM(2026) 502), dessen Artikel 16 einen Rahmen der Union für Cloud-Souveränität schaffen würde; es handelt sich um einen Vorschlag.
Wo die Compliance in der Produktion bricht
Vier Dinge scheitern, bevor Juristen beteiligt sind: Identität, Nachweis, Datenqualität und die Grenze zwischen personenbezogenen und nicht personenbezogenen Daten.
- Identität. Das Recht gehört dem Nutzer; Systeme kennen Konten, Seriennummern und Verträge, nicht Menschen über Weiterverkauf und Leasing hinweg.
- Nachweis. Was haben Sie offengelegt, wem, wann, auf welcher Grundlage? Eine Log-Aufbewahrung von dreißig Tagen beantwortet das nicht.
- Qualität. Interne Telemetrie toleriert Lücken und driftende Uhren; sobald sie das Haus verlässt, wird eine Lücke zum Streitfall.
- Die Grenze. Die Datenverordnung erfasst personenbezogene und nicht personenbezogene Daten (Artikel 1 Absatz 2) und lässt die DSGVO unberührt, die bei einem Konflikt Vorrang hat (Artikel 1 Absatz 5). Eine Maschinen-ID plus Zeitstempel identifiziert oft eine Person: pro Feld klassifizieren, die Entscheidung festhalten, sie bei jeder Schemaänderung neu prüfen.
| Text | Was er verlangt | Fundstelle |
|---|---|---|
| DSGVO, Verordnung (EU) 2016/679 | Verzeichnis von Verarbeitungstätigkeiten; Meldung einer Verletzung möglichst binnen 72 Stunden | Art. 30, Art. 33 |
| NIS 2, Richtlinie (EU) 2022/2555 | Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats | Art. 23 Abs. 4 |
| DORA, Verordnung (EU) 2022/2554 | Informationsregister zu den Vereinbarungen mit IKT-Drittdienstleistern; Ausstiegsstrategien; Meldung schwerwiegender Vorfälle binnen 4 Stunden nach der Klassifizierung und spätestens 24 Stunden nach Kenntnisnahme | Art. 28 Abs. 3 und 8; Delegierte VO (EU) 2025/301, Art. 5 |
| KI-Verordnung, Verordnung (EU) 2024/1689 | Hochrisiko-Systeme protokollieren Ereignisse automatisch; Protokolle werden mindestens sechs Monate aufbewahrt | Art. 12, Art. 19 Abs. 1, Art. 26 Abs. 6 |
Der Zeitplan der KI-Verordnung hat sich 2026 verschoben: Nach der Verordnung (EU) 2026/1744 (digitaler Omnibus zur KI, ABl. vom 24. Juli 2026) gelten die Hochrisiko-Pflichten für Systeme nach Anhang III ab dem 2. Dezember 2027 und für Produkte nach Anhang I ab dem 2. August 2028. Das Fazit des Vortrags aus Architektensicht: Unter diesem Regime ist Compliance eine Frage der Telemetrie. Eine Aufsichtsbehörde verlangt, dass Sie zeigen, was geschehen ist, und zu zeigen, was geschehen ist, heißt Observability, entworfen für Ingenieure und nicht als Beweismittel.
Der digitale Omnibus: Einer der beiden Texte soll aufgehoben werden
Die Kommission hat im November 2025 vorgeschlagen, den DGA aufzuheben und in die Datenverordnung zu überführen; am 17. Oktober 2026 ist das weiterhin nur ein Vorschlag.
Der digitale Omnibus (Digital Omnibus), COM(2025) 837 vom 19. November 2025 (Verfahren 2025/0360(COD)), würde den Daten-Governance-Rechtsakt, die Verordnung über den freien Verkehr nicht personenbezogener Daten (unter Beibehaltung ihres Verbots von Datenlokalisierungsauflagen) und die Open-Data-Richtlinie aufheben und Vermittlung und Altruismus, mit freiwilliger Registrierung, in ein neues Kapitel der Datenverordnung überführen. Der Datenzugang öffentlicher Stellen bei Unternehmen (Business-to-Government) würde auf öffentliche Notstände beschränkt, und maßgeschneiderte Cloud-Dienste sowie kleinere Anbieter erhielten für Verträge, die vor dem 12. September 2025 geschlossen wurden, ein leichteres Wechselregime.
Stand der Dinge: Der gemeinsame Berichtsentwurf der Ausschüsse ITRE und LIBE des Europäischen Parlaments datiert vom 22. Juni 2026, Änderungsanträge wurden am 27. Juli 2026 eingereicht, ohne Abstimmung im Ausschuss; der Rat hat noch kein Verhandlungsmandat angenommen, das auf der Tagesordnung des AStV (Coreper) vom 21. Oktober 2026 steht. Die technische Lehre: Fähigkeiten bauen, nicht Artikelnummern. Die eigenen Daten identifizieren, sie verschieben, nachweisen, wer sie angefasst hat: Das übersteht jede Neufassung.
In Luxemburg: wer was beaufsichtigt
Die CNPD beaufsichtigt personenbezogene Daten und die Vermittler nach dem DGA; das ILR ist federführend bei NIS 2 und, falls der Gesetzentwurf 8809 angenommen wird, bei der Datenverordnung.
| Text | Luxemburger Rechtsakt | Behörde |
|---|---|---|
| DSGVO | Gesetz vom 1. August 2018 | CNPD |
| Daten-Governance-Rechtsakt | Gesetz vom 19. Dezember 2025 (Entwurf 8395A) | CNPD für Vermittlung und Altruismus; Commissariat du Gouvernement à la souveraineté des données für die Weiterverwendung |
| Datenverordnung | Gesetzentwurf 8809, eingereicht am 28. Juli 2026, im Ausschuss | ILR als zuständige Behörde und Datenkoordinator; CNPD für personenbezogene Daten; Geldbußen bis zu 1 Million Euro |
| NIS 2 | Gesetz vom 5. Mai 2026 | ILR; CSSF für Banken und Finanzmarktinfrastrukturen |
| KI-Verordnung | Gesetzentwurf 8476, im Ausschuss | CNPD als standardmäßige Marktüberwachungsbehörde, neben sektoralen Behörden |
Das Wichtigste in Kürze
- Jede Pflicht als Spezifikation lesen: Wer baut sie, wer betreibt sie, wer weist nach, dass sie lief?
- Die Datenverordnung gilt seit dem 12. September 2025; der Zugang ab Konzeption gilt für Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden.
- Wechselentgelte in der Cloud sind bis zum 12. Januar 2027 auf die unmittelbar verbundenen Kosten begrenzt und danach verboten; die Übergangsfrist von 30 Tagen und die Kündigungsfrist von zwei Monaten gelten bereits.
- Gegen den Zugriff aus dem Ausland entscheidet die Schlüsselverwahrung mehr als der Speicherort der Daten.
- Ein vorgeschriebener Zugangspfad ist Angriffsfläche ab dem Tag, an dem er existiert: Bedrohungsmodelle für die Rechte erstellen, nicht nur für das System.
- Compliance nach diesen Texten wird mit Logs, Traces und Aufzeichnungen beantwortet, die schon beim Systementwurf vorgesehen sind, Jahre bevor die Frage gestellt wird.
Glossar
- Dateninhaber (data holder)
- Die Partei, die berechtigt oder verpflichtet ist, die Daten zu nutzen und bereitzustellen (Datenverordnung, Artikel 2 Nummer 13); in der Praxis der Systemverantwortliche, der die Anfrage bedienen muss.
- Zugang ab Konzeption (accessible by design)
- Die Pflicht aus Artikel 3 Absatz 1 für vernetzte Produkte: eine Anforderung bei der Produktdefinition, kein spätes Feature.
- Funktionsäquivalenz (functional equivalence)
- Die Wiederherstellung eines Mindestmaßes an Funktionalität beim übernehmenden Infrastrukturdienst nach dem Wechsel (Artikel 2 Nummer 37, Artikel 30 Absatz 1).
- Strukturelle Trennung (structural separation)
- Bei Datenvermittlungsdiensten eine gesonderte juristische Person und keine Nutzung der Daten für andere Zwecke (DGA, Artikel 12 Buchstabe a): eine Isolationsgrenze, die man nachweisen muss.
- Wechselentgelte (switching charges)
- Entgelte für den Wechselvorgang selbst, getrennt vom Preis des Dienstes; ab dem 12. Januar 2027 abgeschafft (Artikel 29).
- Datenvermittlungsdienst (data intermediation service)
- Ein neutraler Vermittler, der Geschäftsbeziehungen zwischen Dateninhabern und Datennutzern herstellt (DGA, Kapitel III).
- Datenaltruismus (data altruism)
- Die freiwillige Bereitstellung von Daten für Ziele von allgemeinem Interesse, etwa die Forschung, durch anerkannte Organisationen (DGA, Kapitel IV).
Weiterlesen
- ZeRegLens, quelloffener Reader für EU-Rechtstexte.
- Das Fallbuch der KI-Agenten, KI-Agenten aus Primärquellen erklärt.
- Sitraka Labs, kostenlose Planungswerkzeuge, Ihre Daten bleiben auf Ihrem Gerät.
- Tech-Termine in Luxemburg, der Kalender, jede Woche aktualisiert.
- Finanz-Termine in Luxemburg, Konferenzen, Meetups, Aufsichtsbehörden.
- Diese Woche und der Newsletter, die Termine der Woche per E-Mail.
- Auf LinkedIn vernetzen, Sitraka Forler, Fragen und Austausch.
Am Tag dieses Vortrags, dem 20. Oktober 2026, veranstaltete die Luxembourg AI Factory (Luxinnovation) außerdem ein „AI Act Lab“, einen Praxisworkshop, der Unternehmen hilft, sich in der EU-KI-Verordnung (AI Act) und der damit verbundenen Regulierung zurechtzufinden.
Amtliche Quellen
Jede rechtliche Aussage des Foliensatzes und dieser Seite wurde am Tag der Überarbeitung anhand dieser Seiten geprüft. Die Artikelnummern beziehen sich auf die Texte in der im Amtsblatt veröffentlichten Fassung.
- Verordnung (EU) 2023/2854 (Datenverordnung), ABl. L, 22.12.2023. eur-lex.europa.eu/eli/reg/2023/2854/oj
- Verordnung (EU) 2022/868 (Daten-Governance-Rechtsakt), ABl. L 152, 3.6.2022. eur-lex.europa.eu/eli/reg/2022/868/oj
- Mitteilung COM(2020) 66 final, Eine europäische Datenstrategie, 19.2.2020. eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52020DC0066
- Vorschlag COM(2025) 837 (digitaler Omnibus), Verfahren 2025/0360(COD), Legislative Beobachtungsstelle. oeil.secure.europarl.europa.eu/oeil/en/procedure-file?reference=2025/0360(COD)
- Verordnung (EU) 2016/679 (DSGVO). eur-lex.europa.eu/eli/reg/2016/679/oj
- Verordnung (EU) 2024/1689 (KI-Verordnung). eur-lex.europa.eu/eli/reg/2024/1689/oj
- Verordnung (EU) 2026/1744 (digitaler Omnibus zur KI), ABl. L, 24.7.2026. eur-lex.europa.eu/eli/reg/2026/1744/oj
- Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie). eur-lex.europa.eu/eli/dir/2022/2555/oj
- Verordnung (EU) 2022/2554 (DORA). eur-lex.europa.eu/eli/reg/2022/2554/oj
- Delegierte Verordnung (EU) 2025/301 der Kommission (Meldefristen für Vorfälle nach DORA). eur-lex.europa.eu/eli/reg_del/2025/301/oj
- Verordnung (EU) 2025/327 (Europäischer Gesundheitsdatenraum). eur-lex.europa.eu/eli/reg/2025/327/oj
- Europäische Kommission, gemeinsame europäische Datenräume. digital-strategy.ec.europa.eu/en/policies/data-spaces
- Europäische Kommission, FAQ zur Datenverordnung (6.9.2024). digital-strategy.ec.europa.eu/en/library/commission-publishes-frequently-asked-questions-about-data-act
- Europäische Kommission, Entwurf von Mustervertragsbedingungen und Standardvertragsklauseln für Cloud-Verträge (19.11.2025). digital-strategy.ec.europa.eu/en/library/draft-recommendation-non-binding-model-contractual-terms-data-access-and-use-and-non-binding
- Europäische Kommission, Vorschlag für einen Cloud and AI Development Act, COM(2026) 502. digital-strategy.ec.europa.eu/en/library/proposal-cloud-and-ai-development-act-cada
- Chambre des Députés, Gesetzentwurf 8809 (Durchführung der Datenverordnung in Luxemburg). www.chd.lu/fr/dossier/8809
- Chambre des Députés, Gesetzentwurf 8476 (Durchführung der KI-Verordnung in Luxemburg). www.chd.lu/fr/dossier/8476
- Legilux, Gesetz vom 5. Mai 2026 über die Cybersicherheit (NIS 2), Mémorial A Nr. 225. legilux.public.lu/eli/etat/leg/loi/2026/05/05/a225/jo
- Legilux, Gesetz vom 1. August 2018 über die Organisation der CNPD. legilux.public.lu/eli/etat/leg/loi/2018/08/01/a686/jo
Über diese Seite
Vom Dozenten auf Grundlage der Folien verfasst, als öffentliche Zusammenfassung. Auch der Foliensatz selbst ist öffentlich: Jede Folie trägt ihre Quellenzeile, und die Sprechernotizen stehen unter jeder Folie.
Lehrmaterial, im eigenen Namen verfasst: keine Rechtsberatung und nicht die Position eines Arbeitgebers. Bevor Sie sich auf einen Artikel stützen, lesen Sie ihn im Amtsblatt; die Vorschläge sind auf dem Stand vom 17. Oktober 2026.
Stand: .