E-Evidence: Neue EU-Regeln für elektronische Beweismittel
Ab dem 18. August 2026 gilt die EU-Verordnung zu elektronischen Beweismitteln, und sie erlaubt es Strafverfolgungsbehörden erstmals, Daten direkt bei Unternehmen in anderen Mitgliedstaaten anzufordern. Der Begriff E-Evidence steht für dieses neue Verfahren. Bisher mussten Behörden dafür den Umweg über Rechtshilfeersuchen oder die Behörden des anderen Staates gehen. Das kostete oft Wochen oder Monate. Die neue Verordnung schafft ein direktes, schnelles Verfahren. Unternehmen, die Kommunikations- oder Datenverarbeitungsdienste anbieten, müssen sich jetzt darauf einstellen.
Dr. Marc Maisch von Maisch.law Rechtsanwälte begleitet Unternehmen seit Jahren bei Fragen des IT-Rechts, des Datenschutzes und der Cyberkriminalität. Als bestellter Datenschutzbeauftragter kennt er die Schnittstellen zwischen Strafverfolgung, Datenschutz und Unternehmenspraxis aus erster Hand. Dieser Beitrag gibt eine erste Einführung in das Thema E-Evidence.
Was ist E-Evidence?
E-Evidence steht für elektronische Beweismittel. Dazu zählen zum Beispiel E-Mails, Chatverläufe, Cloud-Dateien, IP-Adressen oder Nutzerkonten. Strafverfolgungsbehörden brauchen solche Daten häufig, um Straftaten aufzuklären. Bisher lagen diese Daten oft bei Anbietern in einem anderen EU-Mitgliedstaat. Eine deutsche Staatsanwaltschaft konnte solche Daten nicht direkt anfordern. Sie musste den Weg über die Behörden des anderen Landes gehen.
Die EU-Verordnung 2023/1543 ändert das. Sie gilt ab dem 18. August 2026 unmittelbar in allen Mitgliedstaaten. Sie erlaubt es Behörden, Diensteanbieter unmittelbar anzuschreiben, egal in welchem EU-Land der Anbieter sitzt. Deutschland hat dafür am 10. März 2026 ein eigenes Durchführungsgesetz verabschiedet, das Elektronische-Beweismittel-Umsetzungs- und Durchführungsgesetz, kurz EBewMG.
Welche Unternehmen sind von E-Evidence betroffen?
Der Anwendungsbereich ist bewusst weit gefasst. Er richtet sich nicht nach der Branche, sondern nach der Funktion des Geschäftsmodells. Betroffen ist jedes Unternehmen, das Nutzern Kommunikation ermöglicht oder Daten für sie speichert und verarbeitet.
Praktisch heißt das: E-Mail-Anbieter, Messenger-Dienste und Anbieter von Videokonferenzsystemen fallen darunter. Auch Cloud-Speicher, Software-as-a-Service-Plattformen und Anbieter von Projektmanagement- oder CRM-Software sind betroffen, sofern sie Daten für ihre Kunden speichern. Selbst soziale Netzwerke, Online-Marktplätze, Gaming-Plattformen mit Chatfunktion und Dating-Apps zählen dazu. Ein Beispiel: Eine Online-Spieleplattform mit integriertem Chat kann ebenso zur Herausgabe von Daten verpflichtet werden wie ein klassischer E-Mail-Provider.
Auch Domain-Registrare, Hosting-Provider und Anbieter von Content-Delivery-Netzwerken sind erfasst. Sie spielen oft eine Rolle, wenn Behörden Nutzer anhand von IP-Adressen identifizieren wollen. Der Sitz des Unternehmens spielt keine Rolle. Auch Anbieter außerhalb der EU müssen sich an die Regeln halten, sobald sie ihre Dienste gezielt in der EU anbieten oder dort eine relevante Nutzerbasis haben. Eine Ausnahme gilt nur für bestimmte Finanzdienstleistungen.
Die zwei Instrumente: EPOC und EPOC-PR
Die Verordnung führt zwei neue Anordnungsarten ein.
Die Europäische Herausgabeanordnung, kurz EPOC, verpflichtet ein Unternehmen, angeforderte Daten direkt an die zuständige Behörde zu übermitteln. Die Anordnung muss notwendig und verhältnismäßig sein. Bei besonders sensiblen Daten, etwa Verkehrs- oder Inhaltsdaten, ist zusätzlich ein Gericht einzuschalten. Nach Zugang der Anordnung bleiben dem Unternehmen normalerweise zehn Tage Zeit. In Eilfällen sinkt die Frist auf acht Stunden.
Die Europäische Sicherungsanordnung, kurz EPOC-PR, hat eine andere Funktion. Sie verpflichtet das Unternehmen, Daten vorläufig zu sichern, damit sie nicht gelöscht oder verändert werden. Diese Sicherungspflicht gilt zunächst für 60 Tage und kann verlängert werden. Häufig geht eine Sicherungsanordnung einer späteren Herausgabeanordnung voraus.
Ein Beispiel macht den Unterschied deutlich. Ermittelt eine Behörde in Frankreich gegen einen Nutzer eines deutschen Cloud-Dienstes, kann sie zunächst per EPOC-PR verlangen, dass der Anbieter die betroffenen Daten sichert. Erst in einem zweiten Schritt fordert sie die Daten per EPOC tatsächlich an.
Das deutsche Durchführungsgesetz EBewMG
Deutschland musste die Verordnung national flankieren. Das EBewMG regelt drei zentrale Punkte.
Erstens müssen Diensteanbieter eine Niederlassung oder einen Vertreter in der EU benennen. Diese Stelle nimmt Anordnungen entgegen und setzt sie um. Sie braucht dafür ausreichende Befugnisse und Ressourcen.
Zweitens legt das Gesetz fest, welche deutschen Behörden für Erlass und Vollstreckung zuständig sind. Je nach Datenart entscheiden Staatsanwaltschaften oder Gerichte über die Anordnung. Die Staatsanwaltschaft vollstreckt sie in der Regel.
Drittens sieht das Gesetz spürbare Sanktionen vor. Wer seinen Mitwirkungspflichten nicht rechtzeitig nachkommt, riskiert ein Bußgeld. Bei größeren Unternehmen orientiert sich die Höhe am weltweiten Umsatz.
Was Unternehmen jetzt konkret vorbereiten sollten
Zuständigkeiten und Reaktionsprozess festlegen
Unternehmen sollten einen internen Ansprechpartner benennen, meist aus Legal oder Compliance. Dazu gehört eine Erreichbarkeit rund um die Uhr. Nur so lässt sich die Achtstundenfrist in Eilfällen einhalten.
Adressaten in der EU einrichten
Die Benennung einer Niederlassung oder eines Vertreters reicht allein nicht aus. Diese Stelle braucht tatsächliche Vollmachten, Zugriff auf die relevanten Daten und dokumentierte Kommunikationswege zu Behörden.
Technische Prozesse vorbereiten
IT-Systeme müssen Daten kurzfristig sichern und strukturiert exportieren können. Ein Beispiel dafür sind standardisierte Exportroutinen für Postfächer, Logdateien oder Kontodaten.
Prüfroutinen für eingehende Anordnungen entwickeln
Eine Anordnung sollte nicht ungeprüft umgesetzt werden. Unternehmen brauchen ein Prüfschema für Zuständigkeit, Datenkategorie und Fristen, das auch unter Zeitdruck funktioniert.
Löschkonzepte anpassen
Automatisierte Löschroutinen müssen sich im Ernstfall sofort aussetzen lassen. Gleichzeitig sollte dokumentiert sein, auf welcher Rechtsgrundlage Daten im Rahmen einer E-Evidence-Anordnung verarbeitet werden.
Fazit
Die E-Evidence-Verordnung und das deutsche Durchführungsgesetz verändern die Ausgangslage für viele Unternehmen grundlegend. Wer Kommunikations- oder Speicherdienste anbietet, muss künftig kurzfristig auf Anordnungen aus dem EU-Ausland reagieren können. Enge Fristen und empfindliche Bußgelder erhöhen den Handlungsdruck. Gleichzeitig bleiben Schnittstellen zum Datenschutzrecht ungeklärt. Wie Gerichte und Behörden die neuen Regeln in der Praxis anwenden, wird sich erst zeigen. Unternehmen sollten die Zeit bis zum 18. August 2026 nutzen, um ihre Prozesse anzupassen.
Dr. Marc Maisch berät Unternehmen bei der Umsetzung solcher Anforderungen, von der Prozessgestaltung bis zur Kommunikation mit Behörden. Sprechen Sie ihn und sein Team gerne über die Internetseite von Maisch.law an, wenn Sie Fragen zu E-Evidence oder zu anderen Themen aus IT-Recht, Datenschutz oder Cybercrime haben.
FAQ
Was ist eine Europäische Herausgabeanordnung?
Eine Europäische Herausgabeanordnung, EPOC genannt, verpflichtet einen Diensteanbieter, bestimmte elektronische Daten direkt an eine Strafverfolgungsbehörde in einem anderen EU-Mitgliedstaat zu übermitteln. Die Anordnung muss notwendig und verhältnismäßig sein. Bei Verkehrs- und Inhaltsdaten ist zusätzlich ein Gericht einzubinden. Nach Zugang bleiben normalerweise zehn Tage Zeit, in Eilfällen nur acht Stunden.
Was ist eine Europäische Sicherungsanordnung?
Eine Europäische Sicherungsanordnung, EPOC-PR genannt, verpflichtet ein Unternehmen, bestimmte Daten vorläufig zu sichern, damit sie nicht gelöscht oder verändert werden. Die Sicherungspflicht gilt zunächst für 60 Tage und kann verlängert werden. Häufig folgt später eine Herausgabeanordnung, mit der die Behörde die gesicherten Daten tatsächlich anfordert.
Ab wann gilt die E-Evidence-Verordnung?
Die E-Evidence-Verordnung gilt unmittelbar ab dem 18. August 2026 in allen EU-Mitgliedstaaten. Deutschland hat die notwendigen nationalen Regelungen bereits am 10. März 2026 mit dem Elektronische-Beweismittel-Umsetzungs- und Durchführungsgesetz verabschiedet. Unternehmen sollten die verbleibende Zeit nutzen, um ihre internen Prozesse und Zuständigkeiten auf die neuen Fristen und Pflichten vorzubereiten.
Welche Unternehmen sind von E-Evidence betroffen?
Betroffen sind alle Diensteanbieter, die Nutzern Kommunikation ermöglichen oder Daten für sie speichern und verarbeiten. Das umfasst E-Mail-Anbieter, Messenger-Dienste, Cloud-Speicher, soziale Netzwerke, Online-Marktplätze und Hosting-Anbieter. Auch Unternehmen mit Sitz außerhalb der EU sind betroffen, sobald sie ihre Dienste gezielt in der EU anbieten. Eine Ausnahme gilt nur für bestimmte Finanzdienstleistungen.
Welche Strafen drohen bei Verstößen gegen E-Evidence-Pflichten?
Verstöße gegen die Mitwirkungspflichten aus dem Elektronische-Beweismittel-Umsetzungs- und Durchführungsgesetz können als Ordnungswidrigkeit mit Bußgeld geahndet werden. Bei größeren Unternehmen orientiert sich die Höhe des Bußgelds am weltweiten Jahresumsatz. Wer Fristen versäumt oder Anordnungen nicht umsetzt, riskiert daher spürbare finanzielle Konsequenzen und zusätzlichen Aufwand durch Nachforderungen der Behörden.
