Köln
+49 221 20 52-436 +49 221 20 52-1 l.keppeler@heuking.de
Sprachen
Deutsch,
Englisch,
Spanisch
Praxisgruppen/Expertise
Beratungsschwerpunkte
- Datenschutzrecht
- Open Source-Projekte
- Informationstechnologie (IT)
- Internetrecht
- IT-Outsourcing, technologienahe Transaktionen
- Telekommunikationsrecht
- Wettbewerbsrecht
- Medienrecht
- Cyber Security
- Automotive
- Künstliche Intelligenz
Vita
- Lehrbeauftragter für Datenschutzrecht an der TH Köln
- Fachanwalt für Informationstechnologierecht
- Zugelassen seit 2013
- Ausbildung und frühere Tätigkeiten
- Zertifizierung: ISO/IEC 27001 Foundation und Security Officer
- Fachanwaltslehrgang IT-Recht 2016
- Clifford Chance in Düsseldorf, Rechtsanwalt 2013-2014
- Freshfields Bruckhaus Deringer, wissenschaftlicher Mitarbeiter 2013
- Universität zu Köln, Dr. jur. 2012
- Heuking Kühn Lüer Wojtek, Köln, wissenschaftlicher Mitarbeiter 2011-2012
- Oberlandesgericht Köln, Referendariat 2011-2013
- Institut für neuere Privatrechtsgeschichte der Universität zu Köln, wissenschaftlicher Mitarbeiter 2009-2011
- Linklaters, wissenschaftlicher Mitarbeiter 2009
- Klausurenkurs der Universität zu Köln, wissenschaftliche Hilfskraft 2008
- Universidad de La Coruña 2005
- Universität zu Köln 2002-2008
Mitgliedschaften
- International Bar Association (IBA)
- Deutsche Gesellschaft für Recht und Informatik e. V. (DGRI)
- Mitglied des European Legal Network der FSFE/FTF
- Fellow der European Free Software Foundation (FSFE)
- Mitglied der AG Cloud Security bei TeleTrust e. V.
- Vorstandsmitglied Arbeitskreis EDV und Recht e. V.
Auszeichnungen von Dr. Lutz Martin Keppeler
Handelsblatt: Deutschlands beste Anwälte 2025
Best Lawyers 2026
JUVE Handbuch Wirtschaftskanzleien 2024/2025
Leaders League 2024
Handelsblatt: Deutschlands Beste Anwälte 2024
Best Lawyers 2025
Legal 500 EMEA 2024
Legal 500 Deutschland 2024
JUVE Handbuch Wirtschaftskanzleien 2023/2024
Legal 500 Deutschland 2023
JUVE Handbuch Wirtschaftskanzleien 2022/2023
WiWo Top Anwalt Datenschutz- und IT Recht 2022
JUVE Handbuch Wirtschaftskanzleien 2021/2022
JUVE Handbuch Wirtschaftskanzleien 2020/2021
WiWo Top Anwalt Datenschutzrecht 2019
Monografien und Handbuchbeiträge
- Kommentierung der Art. 27, Art. 28, Art. 29 und Art 30 in Heckmann/Paschke (Hrsg.) Cyber Resilience Act: CRA, Beck Verlag „Gelbe Reihe”, 1. Auflage 2025, gemeinsam mit Manuel Poncza
- Kommentierung der Art. 16, Art. 17, Art. 18-19, Art. 25, Art. 77 und Art. 80-82 in Schwartmann/Jaspers/Thüsing/Kugelmann Heidelberger Kommentar DS-GVO/BDSG, 3. Auflage 2024
- Kommentierung von Art. 2, 7-9, 29 und 30 in: Paschke/Rücker (Hrsg.), Data Governance Act: DGA, Beck-Verlag „Gelbe Reihe“, 1. Auflage 2024
- Kapitel „IAB TCF“ und „§ 13 TTDSG“ in Schwartmann/Benedikt/Reif (Hrsg.) Handbuch Datenschutz im Internet, 1. Aufl. 2022 (im Erscheinen)
- Kommentierung von §§ 8, 13 und 20 (§ 20 gemeinsam mit Schwartmann/Burkhard) in Schwartmann/Jaspers/Eckhardt (Hrsg.) TTDSG – Telekommunikation-Telemedien-Datenschutzgesetz, 1. Auflage 2022
- Kommentierung von §§ 21-14 in Riechert/Wilmer (Hrsg.) TTDSG – Telekommunikation-Telemedien-Datenschutz-Gesetz, 1. Aufl. 2022
- Kommentierung von § 4a, 4b, 5b, 7a, 7b,7c, 9b BSIG, § 11 EnWG und § 109 TKG in Ritter (Hrsg.), die Weiterentwicklung des IT-Sicherheitsgesetzes, 2021
- Kommentierung der Art. 16, Art. 17, Art. 18-19, Art. 25, Art. 77 und Art. 80-82 in Schwartmann/Jaspers/Thüsing/Kugelmann Heidelberger Kommentar DS-GVO/BDSG, 2. Auflage August 2020
- Kommentierung von §§10, 13-15 und 24 in Schwartmann/Pabst (Hrsg.) Landesdatenschutzgesetz DSG NRW, 1. Auflage 2020
- Kapitel Cyberversicherungen in: Wollinger / Schulze (Hrsg.) Handbuch Cybersecurity für die öffentliche Verwaltung, 2020
- Die Millionenbußgelder der DSGVO und andere datenschutzrechtliche Fallstricke für Geschäftsführer in: Laschet/Held (Hrsg.) Ratgeber Geschäftsführer-Haftung und D&O-Versicherung, 3. Aufl. 2019
- Kommentierung der Art. 16, Anhang zu Art. 17, Art. 18-19, Art. 25, Art. 77 und Art. 80-82 in Schwartmann/Jaspers/Thüsing/Kugelmann Heidelberger Kommentar DS-GVO/BDSG, 1. Auflage Mai 2018
- "Datenschutz-konformes Löschen personenbezogener Daten in betrieblichen Anwendungssystemen - Methodik und Praxisempfehlungen mit Blick auf die EU DS-GVO" (gemeinsam mit Wilhelm Berning und Kyrill Meyer) in Knoll/Strahinger (Hrsg.) IT-GRC-Management-Governance, Risk und Compliance – Grundlagen und Anwendungen, Wiesbaden 2017
- "Aktionsplan zur Neuen Datenschutz-Grundverordnung – Präsentationsfolien und Aktionsplan zur Vorlage für die Geschäftsführung", 1. Aufl. 2017
- "Oswald Spengler und die Jurisprudenz. Die Spenglerrezeption in der Rechtswissenschaft zwischen 1918 und 1945, insbesondere innerhalb der "dynamischen Rechtslehre", der Rechtshistoriographie und der Staatsrechtswissenschaft", Dissertation, Universität zu Köln, 2014
Aktuelle Meldungen
Videos
Veröffentlichungen
2025
Aktuelle Rechtsfragen zur Anwendung des Digital Operational Resilience Act
Cyber Security Quarterly, Ausgabe 2/2025, 26. Juni 2025,
gemeinsam mit
Markus Lennartz
Brüsseler Berufungsgericht bestätigt EuGH-Linie bzgl. IAB TCF 2.0: TC-Strings sind personenbezogen, IAB teilweise gemeinsam Verantwortlicher
Update Datenschutz Nr. 213, 25. Juni 2025,
gemeinsam mit
Jutta Schumann
Kommentierung von Art. 27-30
Cyber Resilience Act: CRA (Hrsg.: Heckmann / Paschke), Beck Verlag, „Gelbe Reihe”,1. Auflage 2025,
gemeinsam mit
Manuel Poncza
EU: What DPA enforcement decisions can tell us about DPO appointment
OneTrust DataGuidance, Mai 2025,
gemeinsam mit
Georg Thomas, LL.M. (University of Glasgow)
Cyberversicherung: Die Krönung der IT-Sicherheitsmaßnahmen
IT-Business – Das Magazin für den IT-Markt, Ausgabe 8/2025, S. 16,
gemeinsam mit
Manuel Poncza
2024
Definition von KI in der KI-VO: Abgrenzung zu herkömmlicher Software in der Praxis
ITRB 2024, S. 320-324,
gemeinsam mit
Georg Thomas, LL.M. (University of Glasgow)
Europäische Kommission veröffentlicht FAQ zum Data Act
Update Datenschutz Nr. 187, 17. Oktober 2024
Bundesregierung erlässt Einwilligungsverwaltungsverordnung – (K)ein Ende der Cookie-Banner?
Update Datenschutz Nr. 184, 20. September 2024
Der „Dateninhaber“ im Data Act - faktische Datenherrschaft als Ausweg aus der Definitionsmisere des Art. 2 Nr. 13 DA
ITRB 2024, S. 180-184
TC-String ist ein personenbezogenes Datum
MMR 2024, S. 390-397
Was der "AI Act" für den Finanzsektor und Vermittler bedeutet
FONDS professionell Online, 3. Juni 2024
EuGH: TC-String ist ein personenbezogenes Datum
MMR Zeitschrift für IT-Recht und Recht der Digitalisierung, 5/2024, S. 390
Europäische Kommission verstößt gegen DSGVO – Wiederaufleben der Debatte um die Nutzung von Microsoft 365?
Update Datenschutz Nr. 176, 25. April 2024
Kommentierung von Art 2, 7-9, 29 und 30
Paschke/Rücker (Hrsg.), Data Governance Act: DGA, Beck-Verlag „Gelbe Reihe“, 1. Auflage 2024
Branchenstandards für Datenschutz-Compliance in der Onlinewerbewirtschaft
ITRB 2024, S. 71-75
Achtung Online-Marketer: Neues EuGH-Urteil zum IAB TCF
Update Datenschutz Nr. 174, 20. März 2024
Lockert der EuGH durch sein FIN-Urteil den strengen „Personenbezug“? Eine kritische Analyse der EuGH-Rechtsprechung anlässlich EuGH, Urt. v. 9.1.2023 – C-319/22
CR 2024, S. 18-22,
gemeinsam mit Dr. Lutz Martin Keppeler, Manuel Poncza, Annika Wölke
2023
Online-Plattformen i.S.d. DSA
ITRB 2023, S. 317-320
Cyber Resilience Act (CRA), MaRisk und BAIT: Jetzt wird es für Banken richtig ungemütlich
IT Finanzmagazin, 5. Dezember 2023,
gemeinsam mit
Manuel Poncza
Neues vom EuGH zum „Personenbezug“
Update Datenschutz Nr. 157, 20. November 2023,
gemeinsam mit
Manuel Poncza
Lockert der EuGH durch sein FIN-Urteil den strengen „Personenbezug“? - Eine kritische Analyse der EuGH-Rechtsprechung anlässlich EuGH, Urt. v. 9.11.2023 - C-319/22
CR 2023, 798,
von Dr. Lutz Martin Keppler, Manuel Poncza, Annika Wölke
OLG Karlsruhe: Hacker manipuliert E-Mail-Rechnung – Muss ein zweites Mal gezahlt werden?
Update Datenschutz Nr. 156, 2. November 2023,
gemeinsam mit
Manuel Poncza
Stichtag 1. Oktober 2023 – Die Umsetzungsfrist für das IAB TCF 2.2 läuft ab
Update Datenschutz Nr. 155
Vorgaben des DSA für Online-Marketing vor dem Hintergrund der DSGVO
ITRB 2023, S. 243-246
IT-Sicherheit nach den „berechtigten Sicherheitserwartungen des Verkehrs“ - Anforderungen an die Absicherung geschäftlichen E-Mail-Verkehrs nach OLG Karlsruhe, Urt. v. 27.7.2023 - 19 U 83/22
CR 2023, 787-792,
gemeinsam mit
Manuel Poncza
Die Open-Source-Bereichsausnahme im Entwurf des Cyber-Resilience-Act
Zeitschrift für Product Compliance (ZfPC) 2023, S. 117-123,
gemeinsam mit
Markus Lennartz
, Manuel Poncza
EuGH: Kein Schadenersatz ohne Schaden!
Update Datenschutz Nr. 141,
gemeinsam mit
Michael Kuska, LL.M., LL.M.
Online Marketing nach dem Digital Services Act
Update Datenschutz Nr. 135
ICLG Telecommunications, Media & Internet 2023
Germany: Telecoms, Media and Internet Laws and Regulations 2023
2022
Kapitel „IAB TCF“ und „§ 13 TTDSG“ in Schwartmann/Benedikt/Reif (Hrsg.)
Handbuch Datenschutz im Internet, 1. Auflage 2022 (im Erscheinen)
Kommentierung von §§ 8, 13 und 20 (§ 20 gemeinsam mit Schwartmann/Burkhard) in Schwartmann/Jaspers/Eckhardt (Hrsg.) TTDSG
Telekommunikation-Telemedien-Datenschutzgesetz, 1. Auflage 2022
Kommentierung von §§ 21-14 in Riechert/Wilmer (Hrsg.) TTDSG
Telekommunikation-Telemedien-Datenschutz-Gesetz, 1. Auflage 2022
Belgische Datenschutzaufsichtsbehörde entscheidet: TCF 2.0 – Weite Teile des programmatischen Online-Marketings – rechtswidrig!
Update Datenschutz Nr. 109,
gemeinsam mit
Michael Kuska, LL.M., LL.M.
2021
Warnstufe Rot – Die Log4Shell-Sicherheitslücke
Update Datenschutz Nr. 107,
gemeinsam mit
Manuel Poncza
Cyber-Versicherungen: Auf die Details kommt es an
Tagesspiegel Background, 16. Dezember 2021
ICLG Telecommunications, Media & Internet 2022
Germany: Telecoms, Media and Internet Laws and Regulations 2022
Kommentierung von § 4a, 4b, 5b, 7a, 7b,7c, 9b BSIG, § 11 EnWG und § 109 TKG in Ritter (Hrsg.)
Die Weiterentwicklung des IT-Sicherheitsgesetzes, 2021
Corona-Virus und Impfung: FAQ Arbeitsrecht
Update Arbeitsrecht September 2021,
gemeinsam mit
Kerstin Deiters, LL.M., EMBA
, Astrid Reich
, Torsten Groß, LL.M. (University of Westminster)
, Regina Glaser, LL.M. (Suffolk University)
, Anna Schenke
, Laura-Felicia Bokranz, LL.M. (University of Cape Town)
Landesübergreifende Prüfung von Webseiten und Cookie-Einsatz durch die Aufsichtsbehörden
Update Datenschutz Nr. 102,
gemeinsam mit
Michael Kuska, LL.M., LL.M.
Entwurf einer europäischen Verordnung zur Regulierung künstlicher Intelligenz
Update Datenschutz Nr. 94
Die Auswirkungen des Schrems-II-Urteils in der Praxis
Legal-Tech.de, 2. März 2021
Cyberversicherungen
Aktueller Stand und Potenzial einer dynamischen Entwicklung, <kes> 1/2021
ICLG Telecommunications, Media & Internet 2021
Germany: Telecoms, Media and Internet Laws and Regulations 2021
Vorträge
2025
KI-Recht: In der EU vorbildlich geregelt?
TÜV Tech-Roundtable KI4KMU, 21. Mai 2025, Köln
Cyber Resilience Act
LabtaTalk – Der Podcast der Labtagon GmbH, 13. Mai 2025,
gemeinsam mit
Markus Lennartz
Neues EU-Digitalrecht – Überblick über DA, DGA, AIA und CRA
Evergabe Academy, 23. Januar 2025
2024
CRA, SBOM und Supply Chain Sicherheit
heise academy, IT-Sicherheitstag, 21. November 2024, Gelsenkirchen
DORA im Überblick: Mit Expertenwissen auf Kurs zur Compliance
Kiteworks/DRACOON, Webinar, 20. November 2024,
gemeinsam mit
Markus Lennartz
Was bedeuten NIS-2 und BSIG-neu für Krankenhäuser?
Workshop zum Krankenhausrecht von michels.pmks, 20. November 2024, Hamm und 21. November 2024, Köln
Juristisch konforme Realisierung im Rahmen des EU AI Acts
Data & Analytics Fokustag 2024, 26. November 2024,
gemeinsam mit
Georg Thomas, LL.M. (University of Glasgow)
Resilienz als neues Konzept des EU-gesetzgebers in CRA und DORA, aber auch bei NIS-2?
lud IDiTech e.V., ICT Resilienz: Von „nice-to-have“ zu „need-to-have“?, 21. November 2024, Hürth
Das neue EU Digitalrecht: AI Act, DORA, NIS-2 und mehr... Neue Anforderungen für die Finanz- und Investmentfondsindustrie?
27. Investment Forum, 20. Juni 2024, Frankfurt,
gemeinsam mit
Georg Thomas, LL.M. (University of Glasgow)
Das neue EU IT Sicherheitsrecht als Herausforderung in der Supply Chain
5. Deutor Cyber Security Best Practice Conference, 12. Juni 2024, Hamburg
NIS2-Richtlinie und Umsetzung ins Deutsche Recht – was Sie jetzt tun müssen!
Webinar, 1. März 2024, gemeinsam mit der Kämmer Consulting GmbH
The ICO’s Monitoring at Work Guidance: Time for action
Überwachung der Arbeitnehmer in Deutschland und Europa, 20. Februar 2024, London
2023
Data Acts: Nach der Datenflut die Datenrechtsflut? GXFS-Roundtable: Die Datenwirtschaft – Turbo für die Realwirtschaft?
deutsche Medienakademie, Blockchain Reallabor, 15. Dezember 2023, Hürth
Rechtlicher Rahmen: Edge wie Einfach? Cloud-to-Edge: Schwappt der Cloud-Hype auf die Edge hinüber?
deutsche Medienakademie, Blockchain Reallabor, 23. November 2023, Hürth
IT-Sicherheitsrecht in der Supply Chain Security vor und nach dem CRA
Internet Security Days 2023, 21. September 2023
NIS2-Richtlinie und IT-Sicherheitsgesetz 3.0: Was Unternehmen jetzt für ihre Cybersicherheit tun müssen
8. Kämmer Consulting Fachkonferenz „Cybersicherheit, Trafo Hub, 11. September 2023, Braunschweig
Zulassung und Haftung beim zukünftigen Autofahren: Zuviel noch offen?
Fraunhofer-Institut für Mikroelektronische Schaltungen und Systeme, „Future Car: Weniger Antriebs-, mehr Digitale Komplexität – Ein Erfolgsrezept?", 30. August 2023, Duisburg, gemeinsam mit Dr. Ruben Schneider
Immer mehr Daten = immer weniger oder immer mehr Datenrecht – und Datenschutz? Von proprietären Daten-Silos über Big Data-Hype zu Data Space-Business Cases
Fraunhofer-Institut für Intelligente Analyse- und Informationssysteme IAIS, 12. Juli 2023, Sankt Augustin
Cyber Resilienz per EU-Verordnung
Kölner Kreis, 21. Juni 2023, gemeinsam mit Manuel Poncza
KI und Recht – AI-Act ,Urheberrecht, Open Source, Haftung, Datenschutz; Experten-Roundtable ChatGPT, GPT-4 et al.
Fraunhofer-Institut für Intelligente Analyse- und Informationssysteme IAIS, 16. Mai 2023, Sankt Augustin