Dies ist der erste Beitrag in unserer Reihe zum neuen E-Evidence-Rechtsrahmen der EU. Er wurde gezielt für Diensteanbieter geschrieben, die die Compliance-Vorgaben in der Praxis umsetzen müssen. Kein unverständliches Juristendeutsch – sondern nur das, was Sie wissen und jetzt tun müssen.
Was bedeutet E-Evidence für Ihr Unternehmen?
Das E-Evidence-Paket der EU steht unmittelbar vor der Tür: Ab dem 18. August 2026 können Strafverfolgungsbehörden in der gesamten EU (mit Ausnahme von Dänemark) Herausgabe- und Sicherungsanordnungen für elektronische Beweismittel direkt an Diensteanbieter senden. Der zeitraubende Weg über langwierige Rechtshilfeverfahren von Regierung zu Regierung entfällt damit komplett.
Das Gesamtpaket besteht aus zwei Gesetzestexten:
- Der E-Evidence-Verordnung (Verordnung (EU) 2023/1543), welche die Anordnungen selbst regelt und ab dem 18. August 2026 unmittelbar in jedem Mitgliedstaat gilt.
- Der E-Evidence-Richtlinie (Richtlinie (EU) 2023/1544), welche die Verpflichtung zur Benennung einer zentralen Anlaufstelle für diese Anordnungen regelt.
Da die Richtlinie erst in nationales Recht umgesetzt werden muss, kommt es derzeit zu Verzögerungen. Nicht alle EU-Mitgliedstaaten werden bis zum Stichtag am 18. August 2026 bereit sein. Ungeachtet dessen tritt die übergeordnete Verordnung zu diesem Datum zwingend in Kraft.
Damit dieses System funktioniert, benötigt jeder Diensteanbieter eine klar definierte „Vordertür“ – eine zentrale Anlaufstelle, an die sich die Behörden direkt wenden können. Diese Anlaufstelle ist entweder eine benannte Niederlassung (Designated Establishment), sofern Ihr Unternehmen einen Sitz in der EU hat, oder ein gesetzlicher Vertreter (Legal Representative), falls dies nicht der Fall ist.
Dieser Beitrag erklärt, wer einen gesetzlichen Vertreter benötigt, welche Aufgaben dieser hat und – entscheidend – in welchem Land dieser am besten benannt werden sollte.
Erste Bestandsaufnahme: Gilt E-Evidence überhaupt für Sie?
Der Anwendungsbereich ist extrem weit gefasst. Sie fallen unter den E-Evidence-Rechtsrahmen, wenn Sie einen der folgenden Dienste in der EU anbieten:
- Elektronische Kommunikationsdienste: Dazu gehören Internetzugangsanbieter, Telefonie-, Messenger- und E-Mail-Dienste sowie andere interpersonelle Kommunikationsdienste.
- Internet-Domainnamen- und IP-Nummerierungsdienste: Hierunter fallen die Zuweisung von IP-Adressen, Domain-Registrierungsstellen (Registries und Registrare) sowie damit verbundene Privacy- und Proxy-Dienste.
- Andere Dienste der Informationsgesellschaft: Dienste, die es Nutzern ermöglichen, miteinander zu kommunizieren, oder die Daten im Auftrag von Nutzern speichern oder verarbeiten. Denken Sie hierbei an soziale Netzwerke, Online-Marktplätze, Cloud-Speicher, Hosting-Provider und eine Vielzahl von SaaS-Plattformen.
Finanzdienstleistungen sind von diesen Regelungen ausgenommen. Wenn Sie jedoch eine Kommunikations-App, eine Hosting-Plattform, einen Marktplatz oder einen Cloud-Dienst betreiben, der von Personen in der EU genutzt wird, sollten Sie bis zum Beweis des Gegenteils durch ein fachgerechtes Assessment davon ausgehen, dass Ihr Unternehmen betroffen ist.
Ein weiterer kritischer Punkt: Das „Anbieten von Diensten in der EU“ erfordert keine physische Niederlassung oder ein Büro vor Ort. Wenn Sie eine wesentliche Verbindung zu einem oder mehreren Mitgliedstaaten aufweisen – beispielsweise durch eine erhebliche Anzahl von Nutzern vor Ort oder durch die gezielte Ausrichtung auf einen EU-Markt mittels Sprache, Währung oder Werbung –, greifen die Regeln für Sie. Unabhängig davon, wo Ihr Unternehmen registriert ist.
Was genau ist ein gesetzlicher Vertreter (Legal Representative)?
Ein gesetzlicher Vertreter ist eine natürliche oder juristische Person in einem EU-Mitgliedstaat, die Sie dazu ernennen und bevollmächtigen, E-Evidence-Anordnungen in Ihrem Namen entgegenzunehmen, zu beantworten und zu befolgen. In der Praxis ist dies die primäre Kontaktperson für Behörden, wenn diese folgende Maßnahmen erlassen:
- eine Europäische Herausgabeanordnung (EPOC): Eine Anordnung zur Herausgabe spezifischer Daten, im Regelfall innerhalb von 10 Tagen, in Notfällen innerhalb von nur 8 Stunden.
- eine Europäische Sicherungsanordnung (EPOC-PR): Eine Anordnung zum Einfrieren bestimmter Daten, damit diese nicht gelöscht werden, während die formelle Herausgabeanordnung vorbereitet wird.
Der Vertreter ist dabei keineswegs ein reiner Briefkasten. Er muss über die rechtlichen Befugnisse und operativen Ressourcen verfügen, um die Anordnungen tatsächlich zu prüfen und zu bedienen. Das erfordert direkten Zugriff auf die zuständigen Teams und Prozesse auf Ihrer Seite, die Fähigkeit, unter extremem Zeitdruck zu agieren, und die nötige Fachkompetenz, um rechtliche Hindernisse zu erkennen (wie etwa Anordnungen, die zeugnisverweigerungsberechtigte Daten berühren).
Und hier wird es richtig ernst: Die Ernennung eines gesetzlichen Vertreters verlagert die Verantwortung nicht von Ihrer Organisation weg. Sowohl der Diensteanbieter als auch seine benannte Niederlassung oder sein gesetzlicher Vertreter können Gegenstand von Vollstreckungsmaßnahmen bei Nichteinhaltung sein, und Anbietern drohen nach der EU-E-Evidence-Verordnung Geldbußen von bis zu 2 % ihres gesamten weltweiten Jahresumsatzes.
Eine schlechte interne Koordinierung zwischen einem Anbieter und seinem Vertreter wird kaum eine akzeptable Entschuldigung dafür sein, die Frist zu versäumen oder nicht auf eine Anordnung zu reagieren. Dies ist besonders in Notfällen wichtig, in denen die Compliance-Frist nur 8 Stunden beträgt, was robuste Workflows, technische Integration und ein effektives Fallmanagement unerlässlich macht.
Nicht in der EU ansässig? Ihre To-do-Liste
Wenn Ihr Unternehmen keine Niederlassung in der EU hat, aber dort relevante Dienste anbietet, müssen Sie folgende Schritte umsetzen:
- Benennung eines gesetzlichen Vertreters in einem Mitgliedstaat, in dem Sie Ihre Dienste anbieten. Wenn Sie bereits zum 18. Februar 2026 Dienste in der EU angeboten haben, läuft die Frist für die Benennung am 18. August 2026 ab. Wenn Sie erst danach starten, haben Sie ab Aufnahme der Geschäftstätigkeit sechs Monate Zeit.
- Ausstattung des Vertreters mit realen Befugnissen und Ressourcen: Erforderlich sind ein schriftliches Mandat, interne Eskalationspfade, direkter Zugang zu den Datenteams, effektive Notfall-Kontakte zu den relevanten Abteilungen sowie klare Prozesse für die fristgerechte Bearbeitung.
- Schriftliche Meldung (Notification) an die Zentralbehörde des Mitgliedstaats, in dem Ihr Vertreter seinen Sitz hat. Zu übermitteln sind die Kontaktdaten des Vertreters, die angebotenen Dienste sowie die Sprache(n), in denen Anordnungen akzeptiert werden. Das offizielle Notifizierungstool der EU verlangt hierbei eine hohe Detailtiefe, bis hin zu den verfügbaren Datenkategorien für jeden einzelnen Ihrer Dienste.
Hinweis: In der EU ansässige Anbieter sind von der Bürokratie nicht befreit – sie müssen eine ihrer EU-Niederlassungen als zuständigen Adressaten benennen und dieselbe behördliche Meldung durchführen.
Wer kann als gesetzlicher Vertreter fungieren?
Die Richtlinie lässt bei der Rechtsform Flexibilität zu: Der Vertreter kann eine natürliche Person oder eine juristische Person sein – beispielsweise eine Tochtergesellschaft, ein verbundenes Unternehmen oder ein externer professioneller Dienstleister. Entscheidend ist die operative Leistungsfähigkeit:
- Der Sitz muss in einem Mitgliedstaat liegen, in dem Sie Ihre Dienste aktiv anbieten.
- Er muss rechtlich bevollmächtigt und organisatorisch ausgestattet sein, um Compliance zu garantieren.
- Er muss fachlich absolut in der Lage sein, der Verpflichtung nachzukommen. Behördliche Anordnungen laufen ab Erhalt unbarmherzig gegen die 10-Tage- oder 8-Stunden-Uhr. Dabei gilt es oft, komplexe Fragen zu Berufsgeheimnissen oder internationalen Rechtskonflikten in Echtzeit zu lösen.
Angesichts der gesamtschuldnerischen Haftung und der extrem kurzen Fristen ist diese Rolle keine Aufgabe für eine reine Domiziladresse, sondern erfordert einen Partner, der den Rechtsrahmen im Detail beherrscht.
Die Wahl der passenden Jurisdiktion (Und warum sie wichtiger ist, als man denkt)
Rechtlich gesehen können Sie Ihren Vertreter in jedem Mitgliedstaat ernennen, in dem Sie Ihre Dienste anbieten (mit Ausnahme von Dänemark). In der Praxis sind die einzelnen EU-Staaten jedoch sehr unterschiedlich weit vorbereitet.
Die Richtlinie hätte bis zum 18. Februar 2026 in nationales Recht umgesetzt werden müssen. Die Umsetzung verlief jedoch so schleppend, dass die Europäische Kommission im März 2026 Vertragsverletzungsverfahren gegen 22 Mitgliedstaaten eingeleitet hat, weil diese die Frist versäumt haben.
Warum ist das für Sie relevant? In einem Mitgliedstaat ohne entsprechendes Durchführungsgesetz sind zentrale Praxisfragen völlig ungeklärt – etwa welche nationale Behörde überhaupt zuständig ist und wie die offizielle Meldung technisch ablaufen soll. Ihren Vertreter dort anzusiedeln bedeutet, Ihre Compliance trotz der ab August 2026 geltenden Verordnung auf Sand zu bauen.
Die pragmatische Lösung lautet daher, eine Jurisdiktion zu wählen, die ihre Hausaufgaben bereits erledigt hat. Selbst unter den Ländern, die die Richtlinie umgesetzt haben, gibt es erhebliche Unterschiede in der operativen Bereitschaft: Das offizielle Notifizierungstool der EU unterstützt derzeit nur Meldungen an die Zentralbehörden von Deutschland, Italien, Slowakei und Schweden aus dem Kreis der fortgeschrittenen Mitgliedstaaten.
Deutschland sticht hierbei als bevorzugte Jurisdiktion hervor: Das deutsche Durchführungsgesetz (EBewMG) ist bereits in Kraft, die zuständige Zentralbehörde (das Bundesamt für Justiz) ist definiert sowie über das EU-Tool erreichbar, und die umliegende Infrastruktur – einschließlich der Vorbereitungen für das dezentrale IT-System, über das die Anordnungen künftig digital fließen werden – ist im EU-Vergleich am weitesten fortgeschritten.
Wir übernehmen Ihre gesetzliche Vertretung
Die Benennung eines gesetzlichen Vertreters ist kein rein administrativer Akt – Sie wählen damit den Partner, der im Ernstfall direkt zwischen Ihnen und den europäischen Strafverfolgungsbehörden steht. Eine schnelle rechtliche Bewertung eingehender Anordnungen und die Fähigkeit, innerhalb der engen Fristen fehlerfrei zu reagieren, sind absolut essenziell.
Wir agieren als gesetzlicher Vertreter im Sinne der E-Evidence-Richtlinie und begleiten Diensteanbieter durch den gesamten Compliance-Prozess:
- Prüfung der Betroffenheit und Analyse, wie der Rechtsrahmen auf Ihre Dienste anwendbar ist.
- Abwicklung der formellen und detaillierten Meldung (Notification) an die zuständige Zentralbehörde.
- Aufbau Ihres internen Playbooks für den Umgang mit Herausgabe- (EPOC) und Sicherungsanordnungen (EPOC-PR).
- Laufende Unterstützung und rechtliche Begleitung beim Management eingehender Anordnungen – einschließlich der kritischen Fälle, die Berufsgeheimnisse, Immunitäten oder kollidierende internationale Rechtsabkommen berühren.
Wenn Sie den Stichtag am 18. August 2026 rechtssicher bewältigen wollen, nehmen Sie noch heute Kontakt mit uns auf.
Häufig gestellte Fragen zur benannten Niederlassung (Designated Establishment)
Jeder von ihnen kommt infrage, sofern er sich in einem Land befindet, in dem Sie Dienste anbieten. Wählen Sie denjenigen aus, der operativ am besten aufgestellt ist – und bevorzugen Sie im Moment Länder, in denen die Notifizierungssysteme bereits einsatzbereit sind. Sie können auch mehr als eine Niederlassung benennen.
Der Adressat bleibt rechtlich verantwortlich und muss über die erforderlichen Befugnisse und Ressourcen verfügen – das kann nicht ausgelagert werden. Die Abwicklung und Prüfung der Anordnungen kann jedoch uneingeschränkt durch einen externen Rechtsbeistand oder eine Plattform zur Bearbeitung unterstützt werden.
Nur wenn Sie sie auch tatsächlich entsprechend ausstatten: mit Vollmachten, Eskalationspfaden, Zugriff auf die Datenteams und der Fähigkeit, innerhalb der Fristen zu agieren. Eine reine Scheingesellschaft („Nameplate Entity“) setzt Sie im Ernstfall einer gesamtschuldnerischen Haftung ohne echten Schutz aus. Es ist wichtig, dass Sie über solide interne Richtlinien und bestätigte Eskalationspfade verfügen – idealerweise, indem Sie vorab Testläufe innerhalb der vorgesehenen Fristen durchgeführt haben.
