Die EU-E-Evidence-Gesetzgebung: Ein Überblick für Diensteanbieter
Verordnung (EU) 2023/1543 und Richtlinie (EU) 2023/1544 – was gilt, wen es betrifft und wie Sie sich vor dem 18. August 2026 vorbereiten.
Das EU-E-Evidence-Paket verändert die Art und Weise, wie Strafverfolgungsbehörden grenzüberschreitend auf digitale Daten zugreifen, und trifft Diensteanbieter bereits diesen Sommer direkt. Dieser Überblick zeigt auf, was dea Regelwerk verlangt und was Sie vor dessen Anwendbarkeit vorbereiten sollten.
Was ist das EU-E-Evidence-Paket?
Das Paket schafft den ersten EU-weiten Rahmen für den grenzüberschreitenden Zugriff auf elektronische Beweismittel in Strafverfahren und stützt sich auf zwei miteinander verknüpfte Instrumente. Die Verordnung (EU) 2023/1543 regelt die materiell-rechtlichen Vorschriften für Herausgabe- und Sicherungsanordnungen, während die Richtlinie (EU) 2023/1544 die Benennung von Niederlassungen und gesetzlichen Vertretern (Legal Representatives) regelt.
Gemeinsam ermöglichen sie es einer Behörde in einem Mitgliedstaat, Daten direkt von einem Anbieter anzufordern, der in einem anderen Mitgliedstaat niedergelassen ist. Die Verordnung gilt direkt ab dem 18. August 2026, während die Richtlinie bis zum 18. Februar 2026 umgesetzt werden musste; bei der Umsetzung der Richtlinie kam es jedoch zu Verzögerungen. Zusammen bilden die Richtlinie und die Verordnung das EU-E-Evidence-Paket. Es bindet jeden Mitgliedstaat außer Dänemark und erfasst auch Anbieter weit über die Grenzen der Europäischen Union hinaus.
Wer gilt als Diensteanbieter?
Die Verordnung definiert den Begriff „Diensteanbieter“ weit und erfasst drei Kategorien:
- Dienste der elektronischen Kommunikation,
- Internet-Domain-Namen- und IP-Nummerierungsdienste,
- andere Dienste der Informationsgesellschaft, die Nutzern die Kommunikation ermöglichen oder deren Daten speichern und verarbeiten.
Die dritte Auffangkategorie schließt Cloud-Anbieter, Hosting-Unternehmen und soziale Netzwerke ein, da die Speicherung lediglich eine maßgebliche Komponente des Dienstes sein muss und nicht dessen Hauptzweck. So kann bereits eine einzelne Chat-Funktion dazu führen, dass ein Anbieter in den Anwendungsbereich fällt.
Der räumliche Anwendungsbereich ist ebenso weit gefasst. Die Regeln gelten überall dort, wo ein Dienst in einem Mitgliedstaat tatsächlich nutzbar ist und der Anbieter eine wesentliche Verbindung zur EU aufweist – etwa eine Niederlassung, eine erhebliche Anzahl von Nutzern oder auf die Union ausgerichtete Aktivitäten. Es gelten keine Umsatz- oder Größenschwellenwerte, sodass ein Start-up außerhalb der EU ebenso schnell in den Anwendungsbereich fallen kann wie eine globale Plattform. Nur wenn Ihre Geschäftstätigkeit auf einen einzigen Mitgliedstaat ohne jeglichen grenzüberschreitenden Bezug beschränkt ist, sind Sie möglicherweise nicht betroffen.
Was sind EPOC und EPOC-PR?
Die Verordnung führt zwei Instrumente ein:
- Europäische Herausgabeanordnung (EPOC): Verpflichtet einen Anbieter zur Herausgabe bestimmter Daten. Sie muss innerhalb von 10 Kalendertagen (in Notfällen innerhalb von 8 Stunden) erfüllt werden.
- Europäische Sicherungsanordnung (EPOC-PR): Verpflichtet einen Anbieter, Daten für 60 Tage einzufrieren, sodass sie nicht gelöscht oder verändert werden können (verlängerbar um weitere 30 Tage oder bis die Daten herausgegeben werden, wenn der Anbieter darüber informiert wird, dass die EPOC erlassen wurde).
Beide Anordnungen beziehen sich nur auf Daten, die beim Eintreffen der Anordnung bereits vorhanden sind; sie schaffen somit keine allgemeine Datenaufbewahrungspflicht. Behörden erlassen sie auf der Grundlage von Standardbescheinigungen und übermitteln sie über ein spezielles dezentrales IT-System auf Basis von e-CODEX – dem Flaggschiffprojekt der EU-E-Justice, das eine interoperable Lösung für den grenzüberschreitenden Austausch von Justizdaten bietet und allen Mitgliedstaaten ermöglicht, über ihre bestehenden nationalen Systeme miteinander zu kommunizieren.
Wie verläuft der Weg einer EPOC von der Anordnung bis zur Beantwortung?
Der nachfolgende Ablauf zeigt einen vereinfachten Workflow für eine EPOC von der Ausstellung bis zur Erfüllung sowie den Einbindungszeitpunkt der parallelen Unterrichtung der Vollstreckungsbehörde:
Ablauf einer EPOC (Workflow)
| Schritt | Prozessschritt & Beschreibung |
|---|---|
| 1 |
Erlassen der Anordnung
Die Ausstellungsbehörde erstellt die EPOC auf der Standardbescheinigung.
|
| 2 |
Übermittlung
Die Anordnung wird über das dezentrale IT-System (e-CODEX) übermittelt.
|
| 3 |
Eingang
Die benannte Niederlassung oder der gesetzliche Vertreter erhält die Anordnung.
|
| 4 |
Erfassung & Prüfung
Bescheinigung, Signatur, Ausstellungsbehörde und angeforderte Daten überprüfen.
|
| ⇉ |
Parallel dazu – bei Verkehrs- oder Inhaltsdaten wird die Vollstreckungsbehörde unterrichtet und kann innerhalb von 10 Tagen (mit aufschiebender Wirkung) oder 96 Stunden in Notfällen Einwände erheben.
|
| 5 |
Herausgabe der Daten
Innerhalb von 10 Tagen oder 8 Stunden im Notfall.
|
Welche Daten betrifft das und wer muss benannt werden?
Die Verordnung unterteilt elektronische Beweismittel in Bestandsdaten, Verkehrsdaten und Inhaltsdaten und verknüpft jede Kategorie mit einem Schwellenwert. Behörden können Bestandsdaten sowie Daten, die ausschließlich der Identifizierung eines Nutzers dienen, bei jeder Straftat anfordern, während Verkehrs- und Inhaltsdaten eine Straftat erfordern, die mit einer Höchststrafe von mindestens drei Jahren bedroht ist, oder eine im Katalog aufgeführte Straftat wie Cyberkriminalität, Terrorismus oder sexueller Missbrauch von Kindern. Eine Anordnung darf nur Daten anfordern, die Behörden auch in einem vergleichbaren inländischen Fall erlangen könnten; die Verordnung beschleunigt also den Zugriff, ohne den Umfang der anforderbaren Daten zu erweitern.
Jeder betroffene Anbieter muss zudem eine klare Kontaktstelle einrichten. Ein in der EU niedergelassener Anbieter benennt eine benannte Niederlassung (Designated Establishment) in einem Mitgliedstaat, in dem er tätig ist, während ein Anbieter ohne EU-Niederlassung einen gesetzlichen Vertreter (Legal Representative) in der Union bestellt. In beiden Fällen übermitteln Sie das Benachrichtigungsformular für Diensteanbieter (Service Provider Notification Form), und diese benannte Niederlassung bzw. der gesetzliche Vertreter dient dann als zentrale Kontaktstelle für den Empfang und gegebenenfalls die Anfechtung von EPOCs und EPOC-PRs.
Wie antworten Sie und welche Schutzmechanismen gelten?
Ein strukturierter Eingangsprozess stellt sicher, dass Sie die engen Fristen einhalten, und schützt Sie, falls eine Anordnung fehlerhaft ist.
Ihr Eingangsprozess sollte mindestens Folgendes umfassen:
- Erfassen und Prüfen: Jede Anordnung prüfen und die Richtigkeit der Bescheinigung, eine gültige Signatur, die Ausstellungsbehörde sowie die angeforderten Daten bestätigen.
- Fristen einhalten: Eine EPOC innerhalb von 10 Tagen (oder 8 Stunden im Notfall) erfüllen und EPOC-PR-Daten unverzüglich für 60 Tage sichern (Verlängerung um weitere 30 Tage möglich).
- Klarstellung anfordern: Um Klarstellung bitten, wenn eine Anordnung unvollständig oder offensichtlich fehlerhaft ist, da die Frist neu zu laufen beginnt, sobald eine korrigierte Anordnung eingeht.
- Unverzüglich unterrichten: Die Ausstellungsbehörde unverzüglich informieren, wenn Sie die Anordnung nicht vollständig oder nicht rechtzeitig erfüllen können.
Überprüfungsmechanismen sind ein zentraler Bestandteil des Regelwerks. Bei Verkehrs- oder Inhaltsdaten, die nicht ausschließlich der Identifizierung einer Person dienen, wird die Vollstreckungsbehörde in Ihrem Mitgliedstaat (in dem Sie eine Niederlassung benannt oder einen Vertreter bestellt haben) parallel unterrichtet, was aufschiebende Wirkung hat. Diese Behörde kann begrenzte Ablehnungsgründe geltend machen – etwa Immunitäten, Grundrechtskonflikte oder Bedrohungen der Meinungsfreiheit – und Diensteanbieter können dieselben Bedenken vorbringen. Sie sollten daher auch prüfen, ob Konflikte mit anderen Pflichten bestehen, insbesondere mit Vorschriften von Nicht-EU-Staaten.
Was sollten Diensteanbieter jetzt tun?
Die Vorbereitung kann nicht bis August warten. Sie sollten eine Anwendungsbereichsprüfung durchführen, Ihre benannte Niederlassung oder Ihren gesetzlichen Vertreter benennen und die von Ihnen gespeicherten Bestands-, Verkehrs- und Inhaltsdaten kartieren. Entwerfen Sie dann einen dokumentierten Reaktions-Workflow, schließen Sie sich an das dezentrale IT-System an und testen Sie dieses, und schulen Sie Ihr Personal, denn eine 8-stündige Notfallübung wird Lücken lange vor dem Eintreffen einer echten Anordnung offenbaren.
Unser E-Evidence-Angebot
Das EU-E-Evidence-Paket gestaltet den grenzüberschreitenden Zugriff auf digitale Daten neu und gilt ab dem 18. August 2026 in jedem Mitgliedstaat außer Dänemark. Es erfasst jeden Anbieter, der im Anwendungsbereich liegende Dienste in der Union anbietet, und verpflichtet jeden dazu, eine benannte Niederlassung oder einen gesetzlichen Vertreter zu bestellen sowie EPOCs und EPOC-PRs innerhalb anspruchsvoller Fristen zu beantworten. Die Verordnung erweitert weder die Daten, die Behörden anfordern dürfen, noch erlegt sie neue Aufbewahrungspflichten auf, beschleunigt und vereinfacht den Prozess jedoch erheblich. Anbieter, die ihre Daten kartieren, einen robusten Workflow aufbauen und jetzt probeweise trainieren, werden diesen Verpflichtungen mit Gelassenheit begegnen, anstatt in Hektik zu geraten.
Bereiten Sie sich vor!
Rickert.law berät Diensteanbieter bei der Vorbereitung auf E-Evidence. Unser Angebot umfasst die Prüfung des Anwendungsbereichs, die Benennung der Niederlassung bzw. des gesetzlichen Vertreters, das Aufsetzen von Prozesen sowie die Schulung des zuständigen Personals.
Bereiten Sie Ihr Unternehmen noch vor Inkrafttreten der E-Evidence-Gesetzgebung vor und schützen Sie sich vor hohen Bußgeldern.
Häufig gestellte Fragen zur E-Evidence-Gesetzgebung
Die Verordnung (EU) 2023/1543 wird ab dem 18. August 2026 direkt anwendbar. Anbieter sollten ab dem Anwendungsdatum bereit sein, Anordnungen zu empfangen und zu beantworten.
Der Rahmen bindet jeden Mitgliedstaat außer Dänemark. Anbieter, die Dienste in der gesamten Union anbieten, sollten davon ausgehen, dass er überall dort gilt, wo sie EU-Nutzer erreichen.
Eine EPOC erzwingt die Herausgabe bestimmter Daten innerhalb von 10 Tagen oder 8 Stunden in Notfällen. Eine EPOC-PR friert Daten stattdessen für 60 Tage ein (verlängerbar um 30), damit Beweismittel erhalten bleiben, bis eine Herausgabeanordnung folgt.
Anbieter außerhalb der Union fallen in den Anwendungsbereich, wenn ihr Dienst in einem Mitgliedstaat nutzbar ist und eine wesentliche Verbindung aufweist, wie etwa eine gezielte Ausrichtung oder eine erhebliche Nutzerbasis. Ein in den USA ansässiger Anbieter kann daher beispielsweise eine Anordnung erhalten, selbst wenn er kein Büro in der EU hat.
Herausgabeanordnungen haben eine Frist von 10 Tagen, die sich in Notfällen auf 8 Stunden verkürzt, während Sicherungsanordnungen bei Eingang sofortiges Handeln erfordern.
Das Paket erlegt keine allgemeine Datenaufbewahrungspflicht auf, und beide Anordnungen betreffen nur Daten, die beim Eintreffen der Anordnung bereits vorhanden sind.
Ein in der EU niedergelassener Anbieter benennt eine benannte Niederlassung, während ein Anbieter ohne eine solche einen gesetzlichen Vertreter in der Union bestellt. Beide werden über das Benachrichtigungsformular für Diensteanbieter (Service Provider Notification Form) angemeldet und dienen als zentrale Kontaktstelle für EPOCs und EPOC-PRs. Auch die Benennung mehrerer benannter Niederlassungen, beispielsweise für bestimmte Datenarten oder Dienste, ist möglich.
Anbieter können um Klarstellung einer unvollständigen oder fehlerhaften Anordnung bitten und begrenzte Gründe wie Immunitäten oder Grundrechtskonflikte geltend machen. Die Vollstreckungsbehörde prüft Verkehrs- und Inhaltsdaten parallel und kann selbst Ablehnungsgründe vorbringen.
Dieser Artikel bietet einen allgemeinen Überblick über das EU-E-Evidence-Paket und stellt keine Rechtsberatung dar. Für eine Beratung zu Ihren spezifischen Umständen wenden Sie sich bitte an Rickert.law.
