Sechs Rechtsakte in Kraft, ein laufendes Gesetzgebungsverfahren und eine strukturelle Rahmenbedingung. Die Bausteine stammen aus vier Regulierungsebenen — datenschutzrechtliche Grundlagen, sektor-übergreifende und sektor-spezifische Verordnungen, Identitäts-Rahmen. Die strukturelle Rahmenbedingung ist die einzige, die kein einzelnes Gesetz ist: extraterritoriale Zugriffsrechte.
Six legal acts in force, one legislative procedure under way and one structural condition. The building blocks come from four regulatory layers — data protection foundations, cross-sector and sector-specific regulations, identity frameworks. The structural condition is the only item that is not a single piece of legislation: extraterritorial access rights.
In Kraft · gilt ab 2027In force · applies from 2027
EHDS — European Health Data Space
Verordnung (EU) 2025/327 · In Kraft seit März 2025 · gilt ab 26. März 2027, Zugangsrechte gestuft ab 2029 und 2031Regulation (EU) 2025/327 · In force since March 2025 · applies from 26 March 2027, access rights in stages from 2029 and 2031
Der EHDS ist im März 2025 in Kraft getreten und gilt ab 26. März 2027. Das Recht, eigene elektronische Gesundheitsdaten über Zugangsdienste abzurufen, gilt gestuft ab 26. März 2029 bzw. 2031, je nach Datenkategorie.
The EHDS entered into force in March 2025 and applies from 26 March 2027. The right to access one's electronic health data through access services applies in stages from 26 March 2029 or 2031, depending on the data category.
Vivodepot liest und gibt HL7 FHIR IPS aus. Der Export der Patientenkurzakte ist auf der Gazelle-Testplattform gegen das IPS-Profil geprüft; Einzelheiten unter Technische Validierung.Vivodepot reads and writes HL7 FHIR IPS. The patient-summary export has been checked against the IPS profile on the Gazelle test platform; details under Technical validation.
In Kraft · Meldepflichten seit 11. September 2026In force · Reporting obligations since 11 September 2026
CRA — Cyber Resilience Act
Verordnung (EU) 2024/2847 · volle Geltung ab 11. Dezember 2027Regulation (EU) 2024/2847 · Fully applicable from 11 December 2027
Vivodepot ist ein Produkt mit digitalen Elementen. Die Meldepflichten nach Art. 14 CRA gelten seit dem 11. September 2026, die übrigen Herstellerpflichten ab dem 11. Dezember 2027. Wir behandeln Vivodepot als „wichtiges Produkt mit digitalen Elementen“ der Klasse I (CRA, Anhang III Nr. 1). Meldeweg und SBOM sind in unserer Sicherheitsrichtlinie(öffnet in neuem Fenster)(opens in a new window) beschrieben. Einordnung und Stand unter Technische Validierung →Vivodepot is a product with digital elements. The reporting obligations under Article 14 CRA have applied since 11 September 2026; the remaining manufacturer obligations apply from 11 December 2027. We treat Vivodepot as an “important product with digital elements” of class I (CRA, Annex III No. 1). The reporting process and the SBOM are described in our security policy(öffnet in neuem Fenster)(opens in a new window). Assessment and status under Technical validation →
In KraftIn force
Data Governance Act und Data Act
Data Governance Act and Data Act
Verordnung (EU) 2022/868 · Anwendbar seit September 2023 · Verordnung (EU) 2023/2854 · Anwendbar seit September 2025 · Digital Omnibus schlägt vor, den DGA in den Data Act zu überführenRegulation (EU) 2022/868 · Applicable since September 2023 · Regulation (EU) 2023/2854 · Applicable since September 2025 · The Digital Omnibus proposes merging the DGA into the Data Act
Beide Verordnungen regeln sektor-übergreifend, wie Daten zwischen Akteuren bewegt werden. Der Data Governance Act schafft den Rahmen für Datenintermediäre und vertrauenswürdige Daten-Teilung. Der Data Act gibt Nutzerinnen und Nutzern vernetzter Produkte und verbundener Dienste Zugang zu den dabei entstehenden Daten und das Recht, sie vom Dateninhaber an Dritte bereitstellen zu lassen.
Both regulations govern how data flows between parties across sectors. The Data Governance Act establishes the framework for data intermediaries and trusted data sharing. The Data Act gives users of connected products and related services access to the data generated by their use, and the right to have the data holder make that data available to third parties.
Vivodepot setzt bei der Person an: Sie führt ihre Daten selbst, auf ihrem eigenen Gerät, und gibt sie gezielt weiter, in offenen Formaten und auf Wunsch verschlüsselt. Damit kann sie ihre Rechte auf Auskunft und Übertragbarkeit (Art. 15, 20 DSGVO) im Alltag nutzen.Vivodepot starts with the person: they keep their data themselves, on their own device, and pass it on selectively, in open formats and encrypted if they wish. This lets them use their rights of access and portability (Art. 15, 20 GDPR) in everyday life.
Grundlage · In KraftFoundation · In force
DSGVO — Datenschutz-GrundverordnungGDPR — General Data Protection Regulation
Verordnung (EU) 2016/679 · Anwendbar seit 25. Mai 2018 · Änderung vorgeschlagen (Digital Omnibus, COM(2025) 837)Regulation (EU) 2016/679 · Applicable since 25 May 2018 · Amendments proposed (Digital Omnibus, COM(2025) 837)
Die Datenschutz-Grundverordnung ist die Grundlage für die Rechte der Person an ihren Daten in Europa. Sie gibt der Person das Recht auf Auskunft und eine Kopie ihrer Daten (Art. 15) und auf Übertragbarkeit der Daten, die sie bereitgestellt hat, in maschinenlesbarem Format (Art. 20). Urteile und Behördenentscheidungen aus Drittstaaten, die eine Übermittlung oder Offenlegung verlangen, werden nur auf Grundlage einer internationalen Übereinkunft anerkannt oder vollstreckbar, unbeschadet anderer Übermittlungsgründe nach Kapitel V (Art. 48). Sektorrecht wie der EHDS präzisiert und ergänzt diese Rechte.
The General Data Protection Regulation is the foundation of a person's rights over their data in Europe. It gives the person the right of access and to a copy of their data (Art. 15), and the right to receive the data they provided in a machine-readable format (Art. 20). Third-country judgments and administrative decisions requiring a transfer or disclosure are recognised or enforceable only on the basis of an international agreement, without prejudice to other grounds for transfer under Chapter V (Art. 48). Sector law such as the EHDS specifies and complements these rights.
Vivodepot gibt diesen Rechten einen Ort bei der Person: strukturierte Daten in offenen Formaten, die die Person selbst speichert und gezielt weitergibt. Die Anwendung sendet keine Daten aus dem Depot an einen Server; ihre Sicherheitsrichtlinie sperrt Abrufe per Skript (connect-src 'none'), das lässt sich in der Datei nachlesen.Vivodepot keeps the results of these rights with the person: structured data in open formats, stored by the person and shared on their own terms. The application sends no data from the depot to any server; its security policy blocks script requests (connect-src 'none'), which anyone can check in the file.
In Kraft · Umsetzung läuftIn force · Implementation underway
EU Digital Identity Wallet (EUDIW)
Verordnung (EU) 2024/1183 (eIDAS 2.0) · Brieftasche je Mitgliedstaat bis 24. Dezember 2026Regulation (EU) 2024/1183 (eIDAS 2.0) · One wallet per Member State by 24 December 2026
Jeder Mitgliedstaat muss bis 24. Dezember 2026 mindestens eine Brieftasche bereitstellen, selbst, in seinem Auftrag oder als von ihm anerkannte Lösung. Sie speichert Personenidentifizierungsdaten (PID) und elektronische Attributsbescheinigungen, etwa zu Bildungsabschlüssen oder Erlaubnissen; die Person behält die Kontrolle über ihre Daten.
Each Member State must provide at least one wallet by 24 December 2026, either itself, through a body acting on its behalf, or as a solution it recognises. It stores person identification data (PID) and electronic attestations of attributes, such as qualifications or licences; the person stays in control of their data.
Private Stellen, die rechtlich oder vertraglich eine starke Nutzerauthentifizierung für die Online-Identifizierung vornehmen müssen, darunter Banken, müssen die Brieftasche spätestens ab 24. Dezember 2027 auf Wunsch der Nutzerin akzeptieren; Kleinst- und Kleinunternehmen sind ausgenommen (eIDAS Art. 5f Abs. 2). Die geplante Zahlungsdiensteverordnung (PSR, noch nicht verabschiedet) knüpft für die starke Kundenauthentifizierung daran an.
Private parties that are required by law or contract to use strong user authentication for online identification, including banks, must accept the wallet at the user's voluntary request by 24 December 2027; micro and small enterprises are exempt (eIDAS Art. 5f(2)). The planned Payment Services Regulation (PSR, not yet adopted) builds on this for strong customer authentication.
Vivodepot gibt Angaben zu Identität, Finanzen und Sozialversicherung im Format SD-JWT VC aus, das auch die EUDI-Wallet verwendet — als Selbstauskunft, nicht als behördlicher Nachweis. Diese Ausgabe ist selbst signiert, mit einem Schlüssel, den die Anwendung aus dem Passwort der Person ableitet. Die Bestätigung einer Stelle kommt mit deren Signatur. Die beiden Werkzeuge ergänzen sich funktional: Die EUDIW speichert formale Nachweise und Authentifizierungs-Tokens, Vivodepot speichert strukturierte Lebensdaten wie Vorsorge-Dokumente, Pflege-Stammdaten oder biografische Übersichten.Vivodepot issues identity, finance and social-insurance records in SD-JWT VC, the same format the EUDI wallet uses — as self-declarations, not official credentials. This output is self-signed with a key the application derives from the person's password. Confirmation by a body comes with that body's signature. The two tools complement each other: the EUDIW carries formal credentials and authentication tokens, Vivodepot carries structured data about a person's life, such as advance care documents, nursing records or biographical overviews.
Kommissionsvorschlag · 3. Juni 2026Commission proposal · 3 June 2026
Cloud and AI Development Act (CADA)
Cloud and AI Development Act (CADA)
COM(2026) 502 · Rechtsgrundlage Art. 114 und 173 Abs. 3 AEUV · Gesetzgebungsverfahren läuftCOM(2026) 502 · Legal basis Art. 114 and 173(3) TFEU · Legislative process underway
Der Cloud and AI Development Act ist eine von vier Initiativen des Tech Sovereignty Package der Europäischen Kommission. Er soll die Rechenzentrumskapazität in der EU in fünf bis sieben Jahren verdreifachen und die öffentliche Beschaffung als Steuerungsinstrument nutzen. Für Cloud-Dienste schafft er einen Rahmen mit vier Vertrauenswürdigkeitsstufen der Union, von Sitz, Infrastruktur und Daten in der EU bis zur Freiheit von Kontrolle durch Drittstaaten; öffentliche Stellen sollen grundsätzlich nur Dienste nutzen, die eine dieser Stufen erreichen.
The Cloud and AI Development Act is one of four initiatives in the European Commission's Tech Sovereignty Package. It aims to triple EU data centre capacity within five to seven years and to use public procurement as a policy instrument. For cloud services it sets up a framework of four Union assurance levels, from headquarters, infrastructure and data in the EU up to freedom from third-country control; public bodies are, as a rule, to use only services that reach one of these levels.
Vivodepot ist kein Cloud-Provider und fällt nicht in den Anwendungsbereich des CADA. Vivodepot setzt das Souveränitätsprinzip, das der CADA rechtlich verankern will, auf einer anderen Ebene um: Die Anwendung braucht keine Cloud-Infrastruktur, und kein Anbieter steht zwischen dem Bürger und seinen Daten.Vivodepot is not a cloud provider and does not fall within the scope of the CADA. Vivodepot applies, at a different level, the sovereignty principle that the CADA seeks to enshrine in law: the application needs no cloud infrastructure, and no provider stands between the citizen and their data.
Strukturelle RahmenbedingungStructural condition
Datensouveränität und Drittstaaten-Zugriff
Data sovereignty and third-country access
US CLOUD Act (2018), 18 U.S.C. § 2713 · DSGVO Art. 48US CLOUD Act (2018), 18 U.S.C. § 2713 · GDPR Art. 48
Nach dem US CLOUD Act (18 U.S.C. § 2713) müssen Anbieter von Kommunikations- und Cloud-Diensten unter US-Jurisdiktion US-Herausgabeanordnungen auch für Daten befolgen, die sie außerhalb der USA besitzen, verwahren oder kontrollieren. Ein europäisches Etikett auf einem solchen Dienst ändert daran nichts; in der Debatte heißt das „Sovereignty Washing“. Ein europäischer Vertragspartner allein macht noch keine Souveränität. Souveränität entsteht erst, wenn kein Anbieter ungefragt auf die Daten zugreifen kann, auch Vivodepot nicht. Deshalb sendet die Anwendung keine Daten aus dem Depot an einen Server; ihre Sicherheitsrichtlinie sperrt Abrufe per Skript (connect-src 'none'). Die Datei liegt bei der Person, der Schlüssel auch.
Under the US CLOUD Act (18 U.S.C. § 2713), communication and cloud service providers subject to US jurisdiction must comply with US disclosure orders for data in their possession, custody or control, including data stored outside the US. A European label on such a service does not change this; commentators call it "sovereignty washing". A European contractor alone does not amount to sovereignty. Sovereignty exists only when no provider can access the data without being asked, Vivodepot included. That is why the application sends no data from the depot to any server; its security policy blocks script requests (connect-src 'none'). The file stays with the person, and so does the key.
