Die EU-Datenstrategie in der Produktion: Folien (Datenverordnung, DGA)

Ein Recht ohne SDK

Seit dem 12. September 2025 kann der Nutzer eines vernetzten Produkts in der EU die Daten verlangen, die dieses Produkt erzeugt.

Schnittstelle

Wer baut sie?

Die Verordnung gewährt ein Recht. Eine API liefert sie nicht mit.

Identität

Wer authentifiziert den Antragsteller?

Nachzuweisen, dass eine Person eine Maschine besitzt, ist kein gelöstes Problem.

Nachweis

Wer bewahrt den Beleg auf?

Eine Pflicht, deren Erfüllung man nicht belegen kann, gilt als verfehlt.

Ablauf

Wer widerruft den Zugang?

Jede Freigabe braucht ein Enddatum. Die meisten Entwürfe vergessen es.

Data Act, Art. 4 and 5 · Art. 50 Geltungsbeginn · eur-lex.europa.eu/eli/reg/2023/2854/oj

Die Datenverordnung (Data Act) gibt den Nutzern vernetzter Produkte (ein Auto, ein Traktor, ein intelligenter Zähler, ein Industrieroboter) ein Recht auf Zugang zu den Daten, die bei der Nutzung des Produkts entstehen, und auf deren Weitergabe an einen Dritten ihrer Wahl. Sie gilt seit dem 12. September 2025 (Artikel 50).

Die vier Fragen auf der Folie sind keine Rechtsfragen. Kein Artikel sagt Ihnen, wie die anfragende Person zu authentifizieren ist, wo der Nachweis einer Offenlegung aufbewahrt wird oder wann eine Vollmacht abläuft. Sie landen bei einem Engineering-Team. Um diese Lücke zwischen einem Recht und seiner Umsetzung geht es in dieser Stunde.

Beachten Sie die Kette hinter der ersten Frage: der Hersteller, sein Zulieferer, sein Cloud-Anbieter, sein Auftragsfertiger in einem anderen Rechtsraum. Die Verantwortung ist rechtlich zugeordnet; die Arbeit ist verteilt.

Woher die Daten kommen

Ein frisch installierter intelligenter Stromzähler Linky in einer französischen Wohnung — Ein intelligenter Zähler: Verbrauch, jede halbe Stunde.

Der Infotainment-Bildschirm eines Autos mit einer über das Netz empfangenen Warnung vor einem Einsatzfahrzeug — Ein vernetztes Auto: Position, Tempo, Fehler, Warnungen.

Windkraftanlagen auf einem Feld in Ontario — Eine Windkraftanlage: Vibration, Ertrag, Wartung.

Datenverordnung: Art. 2(5) vernetztes Produkt · Art. 2(6) verbundener Dienst · Art. 4 Zugang des Nutzers

Die These dieser Stunde

Jedes neue Zugangsrecht, das die EU schafft, ist eine neue Schnittstelle. Jede neue Schnittstelle ist eine neue Angriffsfläche.

Die Datenverordnung ist also nicht nur ein Rechtstext. Genau gelesen ist sie eine Architekturspezifikation mit angehängter Compliance-Frist.

Wie man diese Folien liest

Was der Text sagt

Pflichten und Rechte, nah an der Verordnung paraphrasiert. In Serifenschrift gesetzt, wie ein Gesetz.

Anbieter treffen Maßnahmen, um unrechtmäßigen Zugang zu verhindern.

Was jemand baut

Die technische Lesart: Komponenten, Kontrollen, Nachweise. In Groteskschrift gesetzt, wie ein Designdokument.

Schlüsselverwahrung, Ablehnungsworkflow, Anfrageprotokoll.

Was man zitieren kann

Artikel, Verordnungsnummern und Daten, im ISO-Format, damit sie sich sortieren lassen. Bitte selbst prüfen.

Art. 29(1) 2027-01-12

Die technische Spalte ist die Lesart eines Praktikers, keine Rechtsberatung. Weichen beide voneinander ab, gilt der Text.

Ihr Gastdozent

Sitraka Forler

Ein Praktiker, der Verordnungen aus dem Maschinenraum liest.

Praktiker für Daten und KI in Luxemburg: Datenplattformen, maschinelles Lernen, Systemarchitektur
Dozent am IAE Metz und an der Centrale Méditerranée (Centrale Marseille)
Kolumnist, AGEFI Luxembourg

Im eigenen Namen vorgetragen. Nichts hiervon gibt die Position eines Arbeitgebers wieder, und nichts davon ist Rechtsberatung.

Im eigenen Namen

Ich spreche ausschließlich im eigenen Namen, nicht im Namen meines Arbeitgebers.

Diese Folien sind meine Lesart als Praktiker. Sie sind keine Rechtsberatung und verpflichten keine Organisation, mit der ich arbeite.

Anknüpfung an die Präsentation um 14:15 Uhr

Die Gruppenpräsentation um 14:15 Uhr ging die Texte durch: was sie sagen, wen sie binden, ab wann sie gelten.

Ihre Frage war das Recht. In dieser Stunde geht es darum, was das Recht jemanden bauen lässt.

Das Kirchberg-Plateau in Luxemburg-Stadt vom Pfaffenthal aus gesehen, mit den Türmen der europäischen Institutionen über den Bäumen — Das Kirchberg-Plateau vom Pfaffenthal aus: die europäischen Institutionen und der heutige Campus.

Heute Nachmittag

Zeit	Teil	Dauer
15:30	Warum ein Ingenieur zwei Verordnungen liest	7 min
15:37	Die zwei Rechtsakte in technischen Begriffen	15 min
15:52	Drei Pflichten, in Architektur übersetzt	22 min
16:14	Wo es in der Produktion bricht	16 min
16:30	Ihre Fragen, auch die, die ich nicht beantworten kann	30 min

Unterbrechen Sie jederzeit. Eine Frage, gestellt wenn sie aufkommt, ist drei Fragen am Ende wert.

Die zwei Rechtsakte in technischen Begriffen

Am Ende dieses Teils sollten Sie sagen können, was jeder Text jemanden bauen lässt.

Zwei Texte, zwei verschiedene Aufgaben

	Daten-Governance-Rechtsakt 2022/868	Datenverordnung 2023/2854
In Kraft	2022-06-23	2024-01-11
Gilt ab	2023-09-24	2025-09-12
Ansatz	Ermöglichend: schafft Rollen und einen Vertrauensrahmen	Vorschreibend: schafft Rechte und harte Pflichten
Eigentliche Frage	Wer darf als vertrauenswürdiger Vermittler auftreten?	Wer darf Maschinendaten lesen, verschieben, übertragen?
Status	Aufhebung vorgeschlagen	Gilt Änderung vorgeschlagen
Luxemburg	Gesetz vom 19. Dezember 2025: CNPD beaufsichtigt Vermittlung und Altruismus	Entwurf 8809, anhängig: ILR federführend, CNPD für personenbezogene Daten

DGA Art. 38 · Data Act Art. 50 · Aufhebung vorgeschlagen in COM(2025) 837 · eur-lex.europa.eu

Entscheidend ist die Zeile zum Ansatz. Der Daten-Governance-Rechtsakt (Data Governance Act, DGA) ist ermöglichend: Er bietet einen Status (Datenvermittlungsdienst, datenaltruistische Organisation) unter Bedingungen an, und fast niemand war gezwungen, etwas zu tun. Deshalb hat er als technische Arbeit in den meisten Organisationen wenig verändert.

Die Datenverordnung ist das Gegenteil. Sie sagt Herstellern, Cloud-Anbietern und Dateninhabern, was sie nun ermöglichen müssen, ob sie wollen oder nicht. Deshalb hat sie eine eigene Budgetzeile.

In Luxemburg wird der Daten-Governance-Rechtsakt durch das Gesetz vom 19. Dezember 2025 (Gesetzentwurf 8395A) durchgeführt: Es schafft das Commissariat du Gouvernement à la souveraineté des données für die Weiterverwendung geschützter Daten öffentlicher Stellen und macht die CNPD zur Behörde für Datenvermittlungsdienste und das Register datenaltruistischer Organisationen. Das Durchführungsgesetz zur Datenverordnung ist der Gesetzentwurf Nr. 8809, eingereicht am 28. Juli 2026 und noch im Ausschuss: Er benennt das Institut Luxembourgeois de Régulation (ILR) als zuständige Behörde und Datenkoordinator, das Commissariat für Kapitel V, die CNPD für personenbezogene Daten und sieht gestaffelte Geldbußen bis zu einer Million Euro vor. Quelle: Chambre des Députés, Dossiers 8395A und 8809.

Termine: Der Daten-Governance-Rechtsakt ist am 23. Juni 2022 in Kraft getreten und gilt ab dem 24. September 2023 (Artikel 38). Die Datenverordnung ist am 11. Januar 2024 in Kraft getreten und gilt ab dem 12. September 2025 (Artikel 50).

Der Text und die Erläuterung des Textes

Die EUR-Lex-Seite der Verordnung (EU) 2023/2854, der Datenverordnung, mit ihrem ELI und den verbindlichen Fassungen des Amtsblatts — EUR-Lex: Verordnung (EU) 2023/2854, ABl. L vom 22.12.2023, ihr ELI und das verbindliche PDF in 24 Sprachen.

Die Seite der Europäischen Kommission zur Datenverordnung mit Links zu FAQ, Helpdesk und Erläuterungen — Die Kommissionsseite zur Datenverordnung: FAQ, Helpdesk, Erläuterungen. Nützlich, aber nicht verbindlich.

Zitieren Sie die Verordnung mit ihrem ELI: eur-lex.europa.eu/eli/reg/2023/2854/oj · FAQ der Kommission vom 2024-09-06

Der Daten-Governance-Rechtsakt schafft drei Rollen

Weiterverwendung geschützter Daten Kap. II

Öffentliche Stellen dürfen vertrauliche, geschäftlich sensible oder personenbezogene Daten unter Bedingungen öffnen.

Sie bauen

Sichere Verarbeitungsumgebungen, Anonymisierungspipelines, einen Zugangsworkflow mit Prüfpfad.

Datenvermittlung Kap. III

Ein angemeldeter, beaufsichtigter Status für neutrale Vermittler zwischen Dateninhabern und Nutzern.

Sie bauen

Strukturelle Trennung: Der Vermittler darf die vermittelten Daten nicht nutzen. Eine Isolationsgrenze, die Sie nachweisen müssen.

Datenaltruismus Kap. IV

Ein Register für Organisationen, die für Ziele von allgemeinem Interesse, etwa Forschung, gespendete Daten sammeln.

Sie bauen

Granulare, widerrufbare Einwilligung und einen Nachweis, für welchen Zweck jeder Datensatz gespendet wurde.

DGA Art. 3 to 9 · Art. 10 to 15 (Bedingungen: Art. 12) · Art. 16 to 25 · Art. 31

Jede rechtliche Rolle hat eine technische Konsequenz. Die strukturelle Trennung ist für ein Sicherheitspublikum die interessanteste: Sie ist keine Richtlinie, die man schreibt, sondern eine Isolationsgrenze, die man nachweisen muss. Artikel 12 verlangt, dass der Datenvermittlungsdienst über eine gesonderte juristische Person erbracht wird, und der Anbieter darf die Daten nicht für andere Zwecke verwenden. In der Praxis: getrennte Zugangsdaten, getrennte Speicher, getrenntes Personal und ein Prüfer, der verlangt, dass Sie zeigen, dass ein Ingenieur auf der Vermittlungsseite die vermittelten Nutzdaten nicht lesen kann. Das ist ein Bedrohungsmodell, keine Datenschutzerklärung.

Der Vermittlungsstatus wurde EU-weit kaum angenommen; das ist einer der Gründe, warum die Kommission vorgeschlagen hat, diesen Text in die Datenverordnung zu überführen (zwei Folien weiter).

Artikel 31 des Daten-Governance-Rechtsakts enthält bereits Schutzvorkehrungen gegen den unrechtmäßigen Zugriff von Drittstaatsbehörden auf nicht personenbezogene Daten. Dieselbe Logik begegnet Ihnen in Artikel 32 der Datenverordnung.

Die Datenverordnung, als Backlog gelesen

Wo	Was sie gewährt	Was jemand baut
Ch. II	Nutzer greifen auf die Daten ihres vernetzten Produkts zu und geben sie an Dritte weiter	Eine authentifizierte Zugangsschnittstelle, ab Entwurf eingebaut, vor dem Verkauf dokumentiert
Ch. III	Faire, angemessene und nichtdiskriminierende Bedingungen für die Bereitstellung von Daten	Messung, Preislogik, Schutz von Geschäftsgeheimnissen rund um die Nutzdaten
Ch. V	Öffentliche Stellen dürfen bei außergewöhnlicher Notwendigkeit private Daten anfordern	Ein Eskalationspfad, eine rechtliche Prüfung, eine Extraktion, die nicht alles herausgibt
Ch. VI	Kunden dürfen einen Cloud-Anbieter mit ihren Daten und Funktionen verlassen	Exportformate, funktionale Äquivalenz, ein getestetes Exit-Runbook
Art. 32	Schutz vor unrechtmäßigem Drittstaatszugriff auf nicht personenbezogene Daten	Schlüsselverwahrung, Zuordnung der Rechtsräume, ein dokumentiertes Ablehnungsverfahren
Ch. VIII	Interoperabilität von Datenräumen; Regeln für intelligente Verträge	Veröffentlichte Schemata und eine Möglichkeit, die automatische Ausführung zu stoppen

Drei Zeilen verdienen Aufmerksamkeit. Kapitel II: „ab Entwurf eingebaut, vor dem Verkauf dokumentiert“ ist die teure Formulierung. Die Pflicht greift bei der Produktdefinition, nicht bei einer Compliance-Prüfung zwei Wochen vor dem Marktstart. Nach Artikel 3 Absatz 1 gilt sie für vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden (Artikel 50).

Kapitel VI, der Anbieterwechsel: Das ist die Zeile mit einem Datum, zwölf Wochen ab heute (Fall eins). Artikel 32: die Souveränitätszeile und die einzige, die einen Ingenieur in eine echte Normenkollision bringen kann (Fall zwei).

Die rechte Spalte ist eine technische Lesart des Textes, nicht der Text. Missbräuchliche Vertragsklauseln (Kapitel IV) fehlen in der Tabelle: wenig Engineering, große kommerzielle Wirkung. Intelligente Verträge zur Ausführung von Datenweitergabevereinbarungen müssen unter anderem eine sichere Beendigung oder Unterbrechung ermöglichen (Artikel 36).

Einer der beiden Texte soll aufgehoben werden

Datum	Schritt	Was geschah
2025-11-19	Vorschlag der Kommission	Der digitale Omnibus, COM(2025) 837, würde den DGA aufheben und Vermittlung und Altruismus in die Datenverordnung überführen.
2026-06-22	Berichtsentwurf des Parlaments	Gemeinsame Ausschüsse ITRE und LIBE; Änderungsanträge im Juli eingereicht. Noch keine Abstimmung im Ausschuss.
2026-10-20	Heute	Ein Vorschlag, kein geltendes Recht. DGA und Datenverordnung gelten wie veröffentlicht.
2026-10-21	Mandat des Rates	Morgen auf der Tagesordnung des Coreper. Bisher kein Mandat angenommen, kein Trilog.

Fähigkeiten bauen, nicht Artikelnummern.

Vor dem Zitieren eines Stands die Verfahrensakte prüfen: oeil.secure.europarl.europa.eu · 2025/0360(COD)

Der Lehrplan nennt den Daten-Governance-Rechtsakt 2022 und die Datenverordnung 2024, und das stimmt heute. Doch der Vorschlag der Kommission für einen digitalen Omnibus vom 19. November 2025, COM(2025) 837, würde den Daten-Governance-Rechtsakt aufheben (zusammen mit der Verordnung über den freien Verkehr nicht personenbezogener Daten, deren Verbot von Datenlokalisierungsauflagen erhalten bliebe, und der Open-Data-Richtlinie) und Vermittlung und Altruismus in ein neues Kapitel der Datenverordnung überführen, mit freiwilliger Registrierung. Die Datenbereitstellung von Unternehmen an öffentliche Stellen in Kapitel V würde auf öffentliche Notstände beschränkt, und maßgeschneiderte Cloud-Dienste sowie kleinere Anbieter erhielten eine leichtere Wechselregelung für Verträge, die vor dem 12. September 2025 geschlossen wurden.

Stand am 17. Oktober 2026, laut Legislativem Observatorium und Ratsregister: Der gemeinsame Berichtsentwurf von ITRE und LIBE datiert vom 22. Juni 2026, Änderungsanträge wurden am 27. Juli eingereicht, und die Ausschüsse haben nicht abgestimmt. Im Rat wurde kein Verhandlungsmandat angenommen; die Tagesordnung des Coreper vom 21. Oktober 2026 führt das Mandat für Verhandlungen auf. Es ist ein Vorschlag, kein geltendes Recht.

Die technische Schlussfolgerung: Eine Compliance-Architektur, die einen einzigen Text fest verdrahtet, ist technische Schuld mit juristischem Namen. Was eine Neufassung übersteht, ist die Fähigkeit: Können Sie Ihre Daten identifizieren, können Sie sie verschieben, können Sie nachweisen, wer sie angefasst hat?

Die Verfahrensakte prüfen, nicht die Presse

Die Seite des Legislativen Observatoriums zum Verfahren 2025/0360(COD), Digital Omnibus, mit dem Status Awaiting committee decision und der Liste der Rechtsakte, die aufgehoben oder geändert würden — Status: Warten auf Ausschussentscheidung. Unter dem Titel jeder Rechtsakt, den der Vorschlag aufheben oder ändern würde.

Ein Vorschlag, viele Texte: Er würde die Verordnung 2022/868 aufheben und DSGVO, NIS 2, DORA und Datenverordnung ändern.

Ein Status auf einer Folie veraltet in einer Woche. Die Verfahrensakte ist die Quelle.

Drei Pflichten, in Architektur übersetzt

Cloud-Wechsel. Zugriff ausländischer Behörden. Zugang zu Produktdaten.

Fall 01: der Ausstieg

Das Rechenzentrum von LuxConnect in Bissen, Luxemburg, ein langes, flaches Gebäude auf einem Feld — Ein Rechenzentrum in Bissen, Luxemburg (LuxConnect): wo ein Workload physisch läuft.

Serverracks mit Netzwerkverkabelung in einem Rechenzentrum — Racks und Kabel: Die leichte Hälfte eines Ausstiegs ist das Verschieben der Bytes, die schwere alles, was um sie herum verdrahtet ist.

Der Wechsel des Cloud-Anbieters sollte nichts kosten

2027
01-12noch 84 Tage

Ab diesem Datum dürfen Anbieter von Datenverarbeitungsdiensten einem wechselnden Kunden keine Wechselentgelte mehr berechnen.

Art. 29(1) · Paraphrase

Bis dahin sind die Entgelte auf die unmittelbar mit dem Wechsel verbundenen Kosten des Anbieters begrenzt.

Art. 29(2) and (3)

Artikel 29 schafft die Wechselentgelte schrittweise ab. Vom 11. Januar 2024 bis zum 12. Januar 2027 darf ein Anbieter ermäßigte Wechselentgelte erheben, die die ihm unmittelbar im Zusammenhang mit dem Wechselprozess entstandenen Kosten nicht übersteigen dürfen. Ab dem 12. Januar 2027 darf er keine mehr erheben. Das ist weder eine Konsultation noch eine Leitlinie: Es ist eine datierte Bestimmung in einer Verordnung, die bereits gilt.

Zwei Nuancen. Die Verordnung unterscheidet Wechselentgelte vom gewöhnlichen Preis des Dienstes, der bestehen bleibt. Und der Omnibus-Vorschlag würde bestimmte maßgeschneiderte Dienste aus Verträgen, die vor dem 12. September 2025 geschlossen wurden, von einigen Wechselpflichten ausnehmen.

Eine Frage für den Hinterkopf: Wer in diesem Raum hat schon einen produktiven Workload zwischen zwei Cloud-Anbietern umgezogen, und wie lange hat es gedauert?

Die Wechseluhr

Übergang

30 Tage

maximale Übergangsfrist im Vertrag Art. 25(2)(a)

Kündigung

2 Monate

maximale Kündigungsfrist für den Kunden Art. 25(2)(d)

Parallelbetrieb

Selbstkosten

Datenausgangsentgelte dürfen nur entstandene Kosten weitergeben Art. 34

ZugleichFinanzunternehmen brauchen schon Ausstiegsstrategien nach DORA Art. 28(8). Gleiche Technik, zwei Rechtsgrundlagen.

Der Zeitstrahl liest sich von links nach rechts. Die dritte Markierung ist heute: vierundachtzig Tage zwischen diesem Vortrag und dem 12. Januar 2027. Seit dem 12. September 2025 muss der Vertrag den Wechselprozess, die geschuldete Unterstützung und eine maximale Übergangsfrist von 30 Kalendertagen beschreiben, mit einer Kündigungsfrist von höchstens zwei Monaten für den Kunden (Artikel 25).

In Luxemburg zählt die letzte Zeile am meisten. Banken, Fondsverwalter und andere Finanzunternehmen unterliegen zudem DORA (Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor), die Ausstiegsstrategien für IKT-Dienstleistungen verlangt, die kritische oder wichtige Funktionen unterstützen (Artikel 28 Absatz 8). In der Praxis begegnet Ihnen ein Projekt mit zwei Aufsichtsbehörden dahinter.

Eine strittige Frage, über die es sich zu streiten lohnt: Wem nützt der kostenlose Wechsel am meisten? Den Kunden, natürlich. Aber auch den größten Anbietern, die es sich leisten können, die Kosten für die Abwerbung fremder Kunden zu tragen. Regulierung verschiebt Macht nicht immer dorthin, wo sie es beabsichtigt hat.

Was „reversibel“ kostet

Die Daten sind die leichte Hälfte

Offene, dokumentierte, maschinenlesbare Exporte. Kein proprietärer Dump, den nur der Anbieter wiederherstellen kann.

Die Funktionen sind die schwere Hälfte

Verwaltete Warteschlangen, Identitätsdienste und Serverless-Laufzeiten haben anderswo selten ein Gegenstück.

Das Runbook muss getestet sein

Ein nie ausgeführter Exit-Plan ist ein Dokument, keine Fähigkeit. Üben Sie ihn jährlich an einem Workload.

Observability ist der blinde Fleck

Dashboards, Alarmregeln, Traces und Aufbewahrung leben in den Werkzeugen des Anbieters. Sie kommen blind an.

Endete der Vertrag in neunzig Tagen: Was könnten wir nicht wieder aufbauen?

Data Act Art. 30 funktionale Äquivalenz (Infrastrukturdienste) und offene Schnittstellen

Die Datenverordnung verlangt von Infrastrukturanbietern (IaaS) funktionale Äquivalenz nach dem Wechsel (Artikel 30 Absatz 1) und von den Anbietern exportierbare Daten in einem strukturierten, gängigen und maschinenlesbaren Format. Die Daten sind die leichte Hälfte. Funktionen sind schwieriger: Eine proprietäre Warteschlange, ein Identitätsdienst oder eine Serverless-Laufzeit hat kein direktes Gegenstück.

Was die meisten Migrationen vergessen, ist die Telemetrie. Einen Workload kann man an einem Wochenende umziehen. Die Alarmregeln, Dashboards, das Trace-Sampling und die Aufbewahrungsrichtlinien neu aufzubauen, die Ihnen sagen, dass der Workload gesund ist, dauert Monate, und bis dahin betreiben Sie ein kritisches System ohne Instrumente.

Eine Exit-Fähigkeit ist auch eine Sicherheitskontrolle: Sie begrenzt den Schadensradius eines Lieferantenausfalls oder eines Schocks durch eine fremde Rechtsordnung.

Fall 02: die Anordnung aus dem Ausland

Ein Hardware-Sicherheitsmodul nCipher nShield F3, eine PCI-Karte — Ein Hardware-Sicherheitsmodul (nCipher nShield F3): Die Schlüssel liegen hier, nicht in der Anwendung.

Ein Gericht in einem Drittstaat weist einen Anbieter an, in der EU gespeicherte nicht personenbezogene Daten herauszugeben.

Ob der Anbieter Folge leisten kann, hängt weniger davon ab, wo die Daten liegen, als davon, wer die Schlüssel hält.

Wenn eine ausländische Behörde EU-Daten verlangt

Der Text Art. 32

Anbieter treffen technische, organisatorische und rechtliche Maßnahmen gegen Übermittlung von und staatlichen Zugriff auf nicht personenbezogene EU-Daten, wo dies EU- oder nationalem Recht widerspräche.

Eine ausländische Anordnung ist nur kraft internationaler Übereinkunft vollstreckbar oder nach einem begründeten, verhältnismäßigen, überprüfbaren Verfahren.

Das System 4 Kontrollen

Schlüsselverwahrung außerhalb der Reichweite des Anbieters
Eine Übersicht aller Stellen und Personen, die verpflichtet werden können
Ein dokumentiertes Ablehnungs- und Eskalationsverfahren
Ein Protokoll jeder eingegangenen Anfrage und der Antwort

Wo sind Ihre Schlüssel, und wer kann zur Herausgabe gezwungen werden?

Artikel 32 Absatz 1 verpflichtet Anbieter von Datenverarbeitungsdiensten, angemessene technische, organisatorische und rechtliche Maßnahmen, einschließlich Verträgen, zu treffen, um den internationalen Zugriff und den Zugriff staatlicher Stellen aus Drittstaaten auf in der Union gespeicherte nicht personenbezogene Daten sowie deren Übermittlung zu verhindern, wenn dies im Widerspruch zum Unionsrecht oder zum nationalen Recht stünde.

Artikel 32 Absätze 2 und 3: Eine Entscheidung eines Gerichts oder einer Behörde eines Drittstaats, die eine solche Übermittlung oder einen solchen Zugriff verlangt, wird nur anerkannt oder ist nur vollstreckbar, wenn sie auf einer internationalen Übereinkunft beruht, etwa einem Rechtshilfeabkommen. Fehlt eine solche, darf der Anbieter nur Folge leisten, wenn das Rechtssystem des Drittstaats verlangt, dass die Entscheidung begründet und verhältnismäßig ist, die Anordnung konkret ist und der begründete Einwand des Anbieters von einem zuständigen Gericht dort überprüft werden kann.

Artikel 28 fügt eine Transparenzpflicht hinzu: Anbieter müssen auf ihrer Website angeben, welchem Rechtsraum ihre Infrastruktur unterliegt, und ihre Maßnahmen gegen unrechtmäßigen staatlichen Zugriff allgemein beschreiben. Dort beginnen die Fragen nach den Schlüsseln.

Die technische Lesart steht rechts. Verschlüsselung allein klärt die Frage nicht: Hält der Anbieter den Schlüssel, kann er angewiesen werden, ihn zu benutzen. Deshalb betrachtet die nächste Folie die Kontrolle, nicht den Ort.

Souveränität ist eine Kontrollkette, keine Landkarte

	Ebene	Was entscheidet
L1	Die Muttergesellschaft	Eigentum reicht über Grenzen. Eine EU-Tochter kann dennoch einer Konzernentscheidung unterliegen.
L2	Die Betreibergesellschaft	Welche juristische Person den Vertrag unterzeichnet, und nach welchem Recht sie verpflichtet werden kann.
L3	Das privilegierte Personal	Administratoren haben Pässe und Arbeitgeber. Zwang erreicht Menschen, nicht Rechenzentren.
L4	Die Infrastruktur	Wo die Bytes liegen. Die Ebene, über die alle reden, und die schwächste Garantie der fünf.
L5	Die Schlüssel	Kann der Anbieter entschlüsseln, kann er dazu angewiesen werden. Verwahrung, nicht Ort, ist die Kontrolle.

Eine Lesehilfe, keine Rechtsberatung. Eine echte Bewertung braucht den Vertrag, die Konzernstruktur und Rechtsbeistand in beiden Rechtsordnungen.

Lesen Sie die fünf Ebenen von oben nach unten. Datenresidenz (L4) ist das, worüber das meiste Marketing spricht, und sie ist die schwächste der fünf Garantien: Ein verpflichteter Administrator (L3) oder eine Muttergesellschaft (L1) erreicht Daten, wo immer sie physisch liegen.

Die einzige Ebene, die die Antwort für sich allein ändert, ist L5. Hält der Kunde die Schlüssel, in einem Hardware-Sicherheitsmodul, das der Anbieter nicht bedienen kann, liefert eine Anordnung an den Anbieter nur Chiffretext.

Am 3. Juni 2026 hat die Kommission einen Rechtsakt zur Entwicklung von Cloud und KI (Cloud and AI Development Act) vorgeschlagen, COM(2026) 502, dessen Artikel 16 einen Unionsrahmen für Cloud-Souveränität mit Vertrauensniveaus einrichtet. Eine nützliche Übung: Fragen Sie für jede dieser fünf Ebenen, ob ein solches Label sie tatsächlich überprüfen könnte.

Fall 03: die Daten des Traktors

Ein roter Traktor, der eine Egge über ein Feld zieht — Ein Traktor bei der Arbeit: Motorstunden, Positionen, Erträge, alles von der Maschine protokolliert.

Die Landwirtin will die Daten ihrer Maschine an einen unabhängigen Agronomen senden lassen.

Der Hersteller muss das ermöglichen, und zwar sicher, für einen Empfänger, den er nicht ausgewählt hat.

Die EU hat eine Funktion vorgeschrieben

Der Text Art. 3 bis 5

Vernetzte Produkte müssen so konzipiert sein, dass die von ihnen erzeugten Daten für den Nutzer einfach, sicher und, soweit relevant und technisch durchführbar, direkt zugänglich sind.

Auf Verlangen stellt der Dateninhaber sie dem Nutzer oder einem vom Nutzer benannten Dritten bereit.

Das System 4 Komponenten

Ein authentifizierter Lesepfad in bisher interne Telemetrie
Ein Delegationsablauf zu Empfängern, die Sie nicht ausgewählt haben
Filterung auf Feldebene für Geschäftsgeheimnisse
Ratenbegrenzung an einem öffentlichen, vorgeschriebenen Endpunkt

Zugang ab Konzeption gilt für Produkte, die nach dem 2026-09-12 in Verkehr gebracht werden Art. 3(1) Art. 50.

Artikel 3 Absatz 1 verlangt, dass vernetzte Produkte und verbundene Dienste so konzipiert und hergestellt werden, dass Produktdaten und Daten verbundener Dienste standardmäßig einfach, sicher, unentgeltlich, in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format und, soweit relevant und technisch durchführbar, direkt für den Nutzer zugänglich sind. Das gilt für Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden. Die Artikel 4 und 5 fügen das Recht hinzu, die Daten vom Dateninhaber zu erhalten und an einen Dritten weitergeben zu lassen.

Sicherheitstechnisch hat die EU eine Funktion vorgeschrieben, und vorgeschriebene Funktionen werden nach Fristen ausgeliefert. Millionen Industriegeräte erhalten einen dokumentierten Weg, von jemand anderem als ihrem Hersteller abgefragt zu werden. Die nächste Folie ordnet jeder Komponente einen Angriff zu, den Sie bereits kennen.

Das neue Recht und der alte Angriff

Der Text schafft	Das System erhält	Der bekannte Fehler
Ein Nutzerrecht auf Produktdaten	Einen authentifizierten Lesepfad in interne Telemetrie	Fehlerhafte Autorisierung auf Objektebene: Datensatz 1042 anfragen, 1041 erhalten
Weitergabe an einen Dritten	Einen Delegationsablauf mit Tokens und ungeprüftem Empfänger	Consent-Phishing: die OAuth-Freigabe an eine feindliche App
Nachweis, dass der Nutzer der Nutzer ist	Eine Bindung zwischen Person und weiterverkauftem, geteiltem Gerät	Social Engineering der Anfrage, wie unter der DSGVO erlebt
Schutz von Geschäftsgeheimnissen	Filterung zwischen Geschuldetem und Vertraulichem	Überoffenlegung: ein nie Feld für Feld geprüfter Export
Verfügbarkeit des Zugangs	Ein öffentlicher Endpunkt auf einer Industrieflotte	Denial of Service auf einem System ohne Reserven

Wo es in der Produktion bricht

Nicht das Recht. Die Umsetzung.

Vier Dinge, die scheitern, bevor Juristen kommen

01 · Identität

Das Recht gehört dem Nutzer. Systeme kennen Konten, Seriennummern und Verträge, nicht Menschen über Weiterverkauf und Leasing hinweg.

02 · Nachweis

Was haben Sie offengelegt, wem, wann, auf welcher Grundlage? Dreißig Tage Aufbewahrung der Logs beantworten das nicht.

03 · Qualität

Interne Telemetrie toleriert Lücken und driftende Uhren. Sobald sie das Haus verlässt, wird eine Lücke zum Streitfall.

04 · Die Grenze

Diese Texte regeln vor allem nicht personenbezogene Daten, die DSGVO personenbezogene. Maschinen-ID plus Zeitstempel identifiziert oft eine Person.

Der vierte Fehler ist der intellektuell ernsthafte, und er führt zum ganzen Kurs zurück. Ein Vibrationsmesswert eines Industriemotors ist ein nicht personenbezogenes Datum. Derselbe Messwert, mit Maschinenkennung und Zeitstempel, in einer Werkstatt, in der ein namentlich bekannter Techniker diese Maschine bedient, verrät, wann diese Person kam, ging und Pause machte. Niemand hat ihn als personenbezogenes Datum entworfen; er wurde dazu, weil er verknüpft wurde.

Es gibt keine saubere technische Grenze, und die Datenverordnung sagt das selbst: Sie lässt die DSGVO unberührt, die im Konfliktfall Vorrang hat (Artikel 1 Absatz 5). Die technische Antwort ist nicht, einen Datenstrom einmal zu klassifizieren, sondern pro Feld zu klassifizieren, die Entscheidung festzuhalten und sie bei jeder Schemaänderung neu zu prüfen.

Der zweite Fehler, der Nachweis, führt zur These der nächsten Folie.

Wenn Maschinendaten personenbezogen werden

Industrieroboter schweißen Karosserien an einer Ford-Montagelinie in Köln — Roboter an einer Montagelinie (Ford, Köln). Jeder protokolliert seine Zyklen, Stopps und Fehler.

Ein Vibrationsmesswert ist ein nicht personenbezogenes Datum.

Derselbe Wert, mit Maschinen-ID und Zeitstempel, an einer Linie mit einem namentlich bekannten Techniker, verrät, wann diese Person kam, pausierte und ging.

Pro Feld klassifizieren, die Entscheidung festhalten, bei Schemaänderung neu prüfen.

Data Act Art. 1(2) personenbezogene und nicht personenbezogene Daten · Art. 1(5) die DSGVO hat Vorrang

Die benachbarten Regelwerke stellen dieselbe Frage

Text	Was er von der Plattform verlangt	Fundstelle
DSGVO 2016/679	Verzeichnis von Verarbeitungstätigkeiten; Meldung einer Verletzung an die Behörde möglichst binnen 72 Stunden	Art. 30 Art. 33
NIS 2 2022/2555	Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats	Art. 23(4)
DORA 2022/2554	Informationsregister zu IKT-Drittdienstleistern; Ausstiegsstrategien	Art. 28(3) Art. 28(8)
KI-Verordnung 2024/1689	Hochrisiko-Systeme protokollieren Ereignisse automatisch über ihre gesamte Lebensdauer	Art. 12

Unterschiedliche Auslöser, unterschiedliche Behörden, ein gemeinsamer Bedarf: ein Prüfpfad, den jemand entworfen hat, bevor die Frage gestellt wurde.

Die Datenverordnung steht auf einer Plattform nicht allein. In derselben Organisation verlangt die DSGVO ein Verzeichnis von Verarbeitungstätigkeiten (Artikel 30) und die Meldung einer Verletzung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden (Artikel 33). Die NIS-2-Richtlinie verlangt von wesentlichen und wichtigen Einrichtungen eine Frühwarnung binnen 24 Stunden, nachdem sie von einem erheblichen Sicherheitsvorfall Kenntnis erlangt haben, eine Meldung des Sicherheitsvorfalls binnen 72 Stunden und einen Abschlussbericht binnen eines Monats (Artikel 23 Absatz 4).

Bei der KI-Verordnung (AI Act) ist zu beachten, dass sich der Zeitplan verschoben hat: Die Verordnung (EU) 2026/1744, der digitale Omnibus zur KI, veröffentlicht am 24. Juli 2026, wendet die Hochrisiko-Pflichten auf Systeme nach Anhang III ab dem 2. Dezember 2027 und auf Produkte nach Anhang I ab dem 2. August 2028 an. Die Protokollierung (Artikel 12) und die Aufbewahrung der Protokolle für mindestens sechs Monate (Artikel 19 und Artikel 26 Absatz 6) bleiben in der Sache unverändert.

DORA verlangt von Finanzunternehmen ein Informationsregister zu allen vertraglichen Vereinbarungen mit IKT-Drittdienstleistern (Artikel 28 Absatz 3) und Ausstiegsstrategien (Artikel 28 Absatz 8). Die KI-Verordnung verlangt, dass Hochrisiko-KI-Systeme technisch die automatische Aufzeichnung von Ereignissen über ihre gesamte Lebensdauer ermöglichen (Artikel 12).

Jedes Regelwerk hat seinen eigenen Auslöser und seine eigene Behörde; ich vermische sie nicht. Der Punkt ist architektonisch: Am Ende fragen alle dieselben Protokolle ab.

Die Schlussfolgerung des Architekten

Unter diesem Regime ist Compliance eine Frage der Telemetrie.

Eine Aufsichtsbehörde fragt nicht, ob Sie die Vorschriften einhalten wollten. Sie verlangt, dass Sie zeigen, was geschehen ist. Zu zeigen, was geschehen ist, heißt Observability, und Observability wurde für Ingenieure entworfen, nicht als Beweismittel.

Eine Checkliste für die Produktion

InventarWelche Produkt- und Dienstdaten existieren, Feld für Feld, personenbezogen oder nicht
ZugangspfadAuthentifiziert, ratenbegrenzt, vor dem Verkauf dokumentiert
DelegationEng gefasste, befristete, widerrufbare Freigaben an Dritte

AusstiegOffene Exportformate, ein geprobtes Runbook, Telemetrie inklusive
SchlüsselWer sie hält, wer gezwungen werden kann, wo Anfragen protokolliert werden
NachweisAufbewahrung lang genug, um der langsamsten Aufsichtsbehörde zu antworten

Vier verbreitete Fehldeutungen

Auf dem Flur gehört	Was der Text sagt
„Die Datenverordnung betrifft personenbezogene Daten.“	Sie erfasst personenbezogene und nicht personenbezogene Daten und lässt die DSGVO für personenbezogene Daten unberührt. Art. 1(2), 1(5)
„Kostenloser Wechsel erst ab 2027, jetzt nichts zu tun.“	Vertragsbedingungen und Wechselprozess gelten seit dem 12. September 2025; nur die Entgelte laufen bis 2027. Art. 25, 29
„Datenresidenz löst das Problem des Auslandszugriffs.“	Der Text spricht von Maßnahmen gegen den Zugriff, nicht vom Speicherort. Art. 32(1)
„Der Omnibus hat das schon geändert.“	Ein Vorschlag ist kein geltendes Recht. 2025/0360(COD)

Drei Dinge zum Mitnehmen

Die Pflicht als Spezifikation lesen.Für jeden Artikel: Wer baut es, wer betreibt es, wer weist nach, dass es lief?
Fähigkeiten bauen, nicht Artikelnummern.Daten identifizieren, verschieben, nachweisen, wer sie angefasst hat. Das übersteht jede Neufassung.
Bedrohungsmodelle für die Rechte, nicht nur für das System.Ein vorgeschriebener Zugangspfad ist Angriffsfläche ab dem Tag, an dem er existiert.

Ihre Fragen

Auch die, die noch niemand beantworten kann.

Vom Recht zur Technik: ein kurzes Glossar

Der Text sagt	Ein Ingenieur hört	Wo
Dateninhaber	Wer die Daten kontrolliert und die Anfrage bedienen muss	Data Act Art. 2(13)
Zugänglich konzipiert	Eine Anforderung bei der Produktdefinition, kein spätes Feature	Data Act Art. 3(1)
Funktionale Äquivalenz	Gleiches Ergebnis auf der Zielplattform, nach der Migration	Data Act Art. 30(1)
Strukturelle Trennung	Eine Isolationsgrenze, die man einem Prüfer nachweisen kann	DGA Art. 12
Angemessene Maßnahmen	Kontrollen, plus der Nachweis, dass sie liefen	Data Act Art. 32(1)

Vier Fragen, über die es sich zu streiten lohnt

01 Wenn der kostenlose Wechsel vor allem Anbietern nützt, die Migrationskosten tragen können: Hat die EU den Wettbewerb gestärkt oder die Konzentration?

02 Kann eine Schutzvorkehrung gegen den Zugriff ausländischer Behörden bestehen, wenn Zwang Menschen erreicht, nicht Maschinen?

03 Schafft die Öffnung industrieller Daten für Nutzer mehr Sicherheitsrisiko als wirtschaftlichen Wert? Wie würden Sie beide Seiten messen?

04 Wird ein Regelwerk neu gefasst, bevor es vollständig umgesetzt ist: Ist das regulatorische Agilität oder regulatorisches Versagen?

In Luxemburg: wer was beaufsichtigt

Text	Luxemburg	Behörde
DSGVO	Gesetz vom 1. August 2018	CNPD
DGA	Gesetz vom 19. Dezember 2025	CNPD für Vermittlung und Altruismus
Datenverordnung	Entwurf 8809, im Ausschuss	ILR; CNPD für personenbezogene Daten
NIS 2	Gesetz vom 5. Mai 2026	ILR; CSSF für Banken
KI-Verordnung	Entwurf 8476, im Ausschuss	standardmäßig CNPD

Die Seite der Chambre des Députés zum Gesetzentwurf 8809 zur Durchführung der Datenverordnung, Status en commission, eingereicht am 28. Juli 2026 — Gesetzentwurf 8809 bei der Chambre des Députés: eingereicht am 28. Juli 2026, noch im Ausschuss.

Luxemburg in einer Tabelle. Die CNPD beaufsichtigt personenbezogene Daten nach dem Gesetz vom 1. August 2018 und, seit dem Gesetz vom 19. Dezember 2025 zur Durchführung des Daten-Governance-Rechtsakts, die Datenvermittlungsdienste und das Register datenaltruistischer Organisationen; dasselbe Gesetz schafft das Commissariat du Gouvernement à la souveraineté des données für die Weiterverwendung geschützter Daten öffentlicher Stellen.

Das Durchführungsgesetz zur Datenverordnung ist noch ein Entwurf, Nr. 8809, eingereicht am 28. Juli 2026: Es würde das Institut Luxembourgeois de Régulation zur zuständigen Behörde und zum Datenkoordinator machen, mit der CNPD für personenbezogene Daten und gestaffelten Geldbußen bis zu einer Million Euro. Die NIS-2-Richtlinie ist durch das Gesetz vom 5. Mai 2026 umgesetzt, mit dem ILR als Hauptbehörde und der CSSF für Banken und Finanzmarktinfrastrukturen. Der Entwurf zur KI-Verordnung, Nr. 8476, würde die CNPD zur standardmäßigen Marktüberwachungsbehörde machen. Quellen: Chambre des Députés und Legilux.

Wo man das gründlich nachliest

Quelle	Fundstelle
Daten-Governance-Rechtsakt	Regulation (EU) 2022/868, ABl. L 152 vom 3.6.2022
Datenverordnung	Regulation (EU) 2023/2854, ABl. L vom 22.12.2023
Digitaler Omnibus	COM(2025) 837, Verfahren 2025/0360(COD)
Benachbarte Regelwerke	GDPR 2016/679 DORA 2022/2554 NIS2 2022/2555 AI Act 2024/1689
Cloud	Entwurf der Mustervertragsbedingungen und Cloud-Klauseln, 19.11.2025 · Cloud and AI Development Act, COM(2026) 502
Luxemburg	Gesetz vom 19.12.2025 (DGA) · Entwurf 8809 (Datenverordnung) · Gesetz vom 5.5.2026 (NIS 2) · chd.lu, legilux.public.lu

Gebundene Bände des Amtsblatts der Europäischen Union in einem Bibliotheksregal — Das Amtsblatt, gebunden: der einzige verbindliche Text, heute online.

Im eigenen Namen vorgetragen. Nichts hiervon gibt die Position eines Arbeitgebers wieder, und nichts davon ist Rechtsberatung. Folien, Notizen und Zusammenfassung: sitraka.lu/teaching/eu-data-strategy/

Vielen Dank.

Vielen Dank an Roger Tafotie für die Einladung und an diesen Kurs für eine Stunde Aufmerksamkeit.

Sitraka FORLER · Dozent, IAE Metz und Centrale Méditerranée · Kolumnist, AGEFI Luxembourg

Lehrmaterial, keine Rechtsberatung.

Universität
Luxemburg