E-Evidence-Verordnung: Sitz in der EU? Warum Sie eine benannte Niederlassung brauchen und keinen gesetzlichen Vertreter

Vorschautext zu E-Evidence benannte Niederlassung, designated establishment

Sitz in der EU? Warum Sie eine benannte Niederlassung brauchen und keinen gesetzlichen Vertreter

Vorschautext zu E-Evidence benannte Niederlassung, designated establishment

In unserer leicht verständlichen Serie zum EU-E-Evidence-Rahmenwerk behandeln wir dieses Mal: Was Dienstanbieter mit Sitz in der EU tun müssen und warum die Benennung eines „Adressaten“ nicht dasselbe ist wie eine rechtliche Unterstützung.

Eine Frage, die wir oft hören: „Wir haben eine Niederlassung in der EU – können wir nicht einfach einen gesetzlichen Vertreter für E-Evidence ernennen?“

Die kurze Antwort lautet: Nein. Die E-Evidence-Richtlinie sieht je nach Ihrem Sitz nur den einen oder den anderen Weg vor. Wenn Sie Ihren Sitz in der EU haben, ist Ihr Weg die benannte Niederlassung.

Benannte Niederlassung vs. gesetzlicher Vertreter

Sowohl die benannte Niederlassung als auch der gesetzliche Vertreter (Legal Representative) erfüllen exakt dieselbe Funktion: Sie sind Ihr Adressat – der offizielle Empfänger von Europäischen Herausgabeanordnungen (EPOCs) und Europäischen Sicherungsanordnungen (EPOC-PRs), zuständig für deren Entgegennahme, Umsetzung und die Einhaltung der Fristen. Der Unterschied liegt ausschließlich darin, wer diese Rolle übernehmen kann:

  • Sitz in der EU? Sie müssen eine Ihrer eigenen EU-Niederlassungen – eine Tochtergesellschaft, Zweigniederlassung oder ein Büro – als Adressaten benennen. Dies ist die benannte Niederlassung.
  • Kein Sitz in der EU, aber Angebot von Diensten dort? Sie müssen eine externe natürliche oder juristische Person in einem Mitgliedstaat als Ihren gesetzlichen Vertreter ernennen (behandelt in Teil 1 dieser Serie).

Der gesetzliche Vertreter ist somit der Ersatz für eine fehlende EU-Präsenz und keine optionale Alternative dazu.

Wie Sie eine Niederlassung benennen

Die Benennung ist ein formaler Akt: Sie bestimmen die Niederlassung, statten sie mit den erforderlichen Befugnissen und Ressourcen zur Bearbeitung von Anordnungen aus und notifizieren die zuständige Behörde des Mitgliedstaats, in dem sie ansässig ist. Die Richtlinie verlangt mindestens einen Adressaten – das bedeutet, Sie können auch mehrere benennen, beispielsweise einen pro Region oder Geschäftsbereich, solange jeder ordnungsgemäß notifiziert und ausgestattet ist.

Wenn Sie die Wahl haben, wählen Sie nach praktischen Kriterien aus:

Sie muss sich in einem Mitgliedstaat befinden, in dem Sie Dienste anbieten und der die entsprechenden Rechtsinstrumente anwendet.

Zudem sollten Sie weitere Aspekte berücksichtigen, wie den Umsetzungsstand der E-Evidence-Richtlinie sowie die Betriebsbereitschaft der nationalen IT-Infrastruktur. Zum Zeitpunkt der Verfassung dieses Textes hat nur eine geringe Anzahl von EU-Mitgliedstaaten die Richtlinie sowohl umgesetzt als auch die Voraussetzungen für die Validierung der Dienstanbieter-Notifizierungen geschaffen.

Auch die operative Eignung sollte bedacht werden, wie etwa die Nähe zu Ihren Daten-, Compliance- und Sicherheitsteams, Sprachkenntnisse sowie die Fähigkeit, innerhalb der Fristen von 10 Tagen (Regelfall) oder 8 Stunden (in Notfällen) zu reagieren.

Denken Sie daran: Der Dienstanbieter und der Adressat haften gesamtschuldnerisch für Verstöße. Unabhängig davon, welche Einheit Sie benennen, muss diese tatsächlich in der Lage sein, die Aufgabe zu erfüllen und die Einhaltung der Fristen sicherzustellen.

Eine benannte Niederlassung ist keine rechtliche Unterstützung

Ein Missverständnis, das ernsthafte Probleme verursachen kann: Die Benennung einer Niederlassung bzw. die Ernennung eines gesetzlichen Vertreters garantiert an sich weder Compliance noch rechtliche Unterstützung.

Die Benennung einer Niederlassung löst lediglich die Frage, „wer die Anordnung erhält“. Sie trägt jedoch nichts zur Klärung der Frage bei, „was nach dem Erhalt einer Anordnung zu tun ist“.

Wenn ein EPOC eingeht, muss dieser innerhalb von Tagen oder Stunden geprüft werden:

  • Ist er vollständig?
  • Ist die Datenkategorie korrekt?
  • Sind Vorrechte oder Befreiungen (z. B. Berufsgeheimnisse) betroffen?
  • Gibt es einen Konflikt mit dem Recht von Drittstaaten?
  • Sollten wir die Anordnung ausführen, um Klärung bitten oder Widerspruch einlegen?

Das ist juristische Arbeit – und nichts hindert Sie daran, externe Spezialisten hinzuzuziehen, obwohl Ihr Adressat eine eigene EU-Einheit ist. Die Richtlinie regelt den „Briefkasten“, nicht das Fachwissen dahinter.

Wie wir Sie unterstützen können

Wir unterstützen Dienstanbieter, die in den Anwendungsbereich des E-Evidence-Rahmenwerks fallen – von der ersten Prüfung, welche Dienste unter das Rahmenwerk fallen, bis hin zur rechtlichen Unterstützung bei der Ausführung von Anordnungen und der Rückmeldung (sei es durch Datenübermittlung oder durch ein Klärungsersuchen).

Es gibt zwei Wege, wie wir Sie fortlaufend bei der E-Evidence-Compliance unterstützen können:

Beratende Unterstützung als externer Rechtsbeistand

Sie leiten eingehende EPOCs und EPOC-PRs an uns weiter; wir prüfen jede Anordnung, beraten Sie hinsichtlich der korrekten Reaktion (Ausführung, Klärungsersuchen oder das Geltendmachen von Gründen wie Vorrechten und Befreiungen) und begleiten Sie bei jedem Schritt, bis das Verfahren abgeschlossen ist. Wir können die gewünschten Workflows und Eskalationspfade flexibel vereinbaren, um eine agile Reaktion zu gewährleisten, insbesondere bei Eilanordnungen.

Unsere Rechtsberatung In Kooperation mit der EviGate-Plattform

Für eine hocheffiziente Struktur und automatisierte Eskalationspfade können Sie Ihre Anordnungen über die EviGate-Plattform abwickeln. Diese bietet strukturierte Workflows für jeden Anordnungstyp, eine automatische Fristenverfolgung und die passenden Formulare im jeweiligen Schritt.

Wenn Sie die EviGate-Plattform nutzen, können Sie unsere rechtliche E-Evidence-Unterstützung direkt über die Plattform in Anspruch nehmen. Wir sehen dann jede bei Ihnen eingehende Anordnung sowie den Bearbeitungsstatus und können genau dort einspringen, wo Sie Hilfe benötigen – ohne endlose E-Mail-Ketten und ohne verpasste Fristen. Mehr noch: In Notfällen können wir uns direkt mit Ihren technischen Teams abstimmen, sodass Ihre Rechts- oder Compliance-Abteilungen beruhigt durchschlafen oder das Wochenende genießen können.

Kontaktieren Sie uns, um zu besprechen, wie wir Sie am besten bei Ihrer E-Evidence-Compliance unterstützen können und welches Setup für Sie optimal ist.

Häufig gestellte Fragen zur benannten Niederlassung (Designated Establishment)

Jeder von ihnen kommt infrage, sofern er sich in einem Land befindet, in dem Sie Dienste anbieten. Wählen Sie denjenigen aus, der operativ am besten aufgestellt ist – und bevorzugen Sie im Moment Länder, in denen die Notifizierungssysteme bereits einsatzbereit sind. Sie können auch mehr als eine Niederlassung benennen.
Der Adressat bleibt rechtlich verantwortlich und muss über die erforderlichen Befugnisse und Ressourcen verfügen – das kann nicht ausgelagert werden. Die Abwicklung und Prüfung der Anordnungen kann jedoch uneingeschränkt durch einen externen Rechtsbeistand oder eine Plattform zur Bearbeitung unterstützt werden.

Nur wenn Sie sie auch tatsächlich entsprechend ausstatten: mit Vollmachten, Eskalationspfaden, Zugriff auf die Datenteams und der Fähigkeit, innerhalb der Fristen zu agieren. Eine reine Scheingesellschaft („Nameplate Entity“) setzt Sie im Ernstfall einer gesamtschuldnerischen Haftung ohne echten Schutz aus. Es ist wichtig, dass Sie über solide interne Richtlinien und bestätigte Eskalationspfade verfügen – idealerweise, indem Sie vorab Testläufe innerhalb der vorgesehenen Fristen durchgeführt haben.

 

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN
Logo 25 Jahre Rickert Rechtsanwaltsgesellschaft

E-Evidence-Verordnung: Was ist ein gesetzlicher Vertreter (Legal Representative) und für wen gilt die Pflicht?

Vorschautext zu E-Evidence gesetzlicher Vertreter, Legal Representative

E-Evidence-Verordnung: Was ist ein gesetzlicher Vertreter (Legal Representative) und für wen gilt die Pflicht?

Vorschautext zu E-Evidence gesetzlicher Vertreter, Legal Representative

Dies ist der erste Beitrag in unserer Reihe zum neuen E-Evidence-Rechtsrahmen der EU. Er wurde gezielt für Diensteanbieter geschrieben, die die Compliance-Vorgaben in der Praxis umsetzen müssen. Kein unverständliches Juristendeutsch – sondern nur das, was Sie wissen und jetzt tun müssen.

Was bedeutet E-Evidence für Ihr Unternehmen?

Das E-Evidence-Paket der EU steht unmittelbar vor der Tür: Ab dem 18. August 2026 können Strafverfolgungsbehörden in der gesamten EU (mit Ausnahme von Dänemark) Herausgabe- und Sicherungsanordnungen für elektronische Beweismittel direkt an Diensteanbieter senden. Der zeitraubende Weg über langwierige Rechtshilfeverfahren von Regierung zu Regierung entfällt damit komplett.

Das Gesamtpaket besteht aus zwei Gesetzestexten:

  1. Der E-Evidence-Verordnung (Verordnung (EU) 2023/1543), welche die Anordnungen selbst regelt und ab dem 18. August 2026 unmittelbar in jedem Mitgliedstaat gilt.
  2. Der E-Evidence-Richtlinie (Richtlinie (EU) 2023/1544), welche die Verpflichtung zur Benennung einer zentralen Anlaufstelle für diese Anordnungen regelt.

Da die Richtlinie erst in nationales Recht umgesetzt werden muss, kommt es derzeit zu Verzögerungen. Nicht alle EU-Mitgliedstaaten werden bis zum Stichtag am 18. August 2026 bereit sein. Ungeachtet dessen tritt die übergeordnete Verordnung zu diesem Datum zwingend in Kraft.

Damit dieses System funktioniert, benötigt jeder Diensteanbieter eine klar definierte „Vordertür“ – eine zentrale Anlaufstelle, an die sich die Behörden direkt wenden können. Diese Anlaufstelle ist entweder eine benannte Niederlassung (Designated Establishment), sofern Ihr Unternehmen einen Sitz in der EU hat, oder ein gesetzlicher Vertreter (Legal Representative), falls dies nicht der Fall ist.

Dieser Beitrag erklärt, wer einen gesetzlichen Vertreter benötigt, welche Aufgaben dieser hat und – entscheidend – in welchem Land dieser am besten benannt werden sollte.

Erste Bestandsaufnahme: Gilt E-Evidence überhaupt für Sie?

Der Anwendungsbereich ist extrem weit gefasst. Sie fallen unter den E-Evidence-Rechtsrahmen, wenn Sie einen der folgenden Dienste in der EU anbieten:

  • Elektronische Kommunikationsdienste: Dazu gehören Internetzugangsanbieter, Telefonie-, Messenger- und E-Mail-Dienste sowie andere interpersonelle Kommunikationsdienste.
  • Internet-Domainnamen- und IP-Nummerierungsdienste: Hierunter fallen die Zuweisung von IP-Adressen, Domain-Registrierungsstellen (Registries und Registrare) sowie damit verbundene Privacy- und Proxy-Dienste.
  • Andere Dienste der Informationsgesellschaft: Dienste, die es Nutzern ermöglichen, miteinander zu kommunizieren, oder die Daten im Auftrag von Nutzern speichern oder verarbeiten. Denken Sie hierbei an soziale Netzwerke, Online-Marktplätze, Cloud-Speicher, Hosting-Provider und eine Vielzahl von SaaS-Plattformen.

Finanzdienstleistungen sind von diesen Regelungen ausgenommen. Wenn Sie jedoch eine Kommunikations-App, eine Hosting-Plattform, einen Marktplatz oder einen Cloud-Dienst betreiben, der von Personen in der EU genutzt wird, sollten Sie bis zum Beweis des Gegenteils durch ein fachgerechtes Assessment davon ausgehen, dass Ihr Unternehmen betroffen ist.

Ein weiterer kritischer Punkt: Das „Anbieten von Diensten in der EU“ erfordert keine physische Niederlassung oder ein Büro vor Ort. Wenn Sie eine wesentliche Verbindung zu einem oder mehreren Mitgliedstaaten aufweisen – beispielsweise durch eine erhebliche Anzahl von Nutzern vor Ort oder durch die gezielte Ausrichtung auf einen EU-Markt mittels Sprache, Währung oder Werbung –, greifen die Regeln für Sie. Unabhängig davon, wo Ihr Unternehmen registriert ist.

Was genau ist ein gesetzlicher Vertreter (Legal Representative)?

Ein gesetzlicher Vertreter ist eine natürliche oder juristische Person in einem EU-Mitgliedstaat, die Sie dazu ernennen und bevollmächtigen, E-Evidence-Anordnungen in Ihrem Namen entgegenzunehmen, zu beantworten und zu befolgen. In der Praxis ist dies die primäre Kontaktperson für Behörden, wenn diese folgende Maßnahmen erlassen:

  • eine Europäische Herausgabeanordnung (EPOC): Eine Anordnung zur Herausgabe spezifischer Daten, im Regelfall innerhalb von 10 Tagen, in Notfällen innerhalb von nur 8 Stunden.
  • eine Europäische Sicherungsanordnung (EPOC-PR): Eine Anordnung zum Einfrieren bestimmter Daten, damit diese nicht gelöscht werden, während die formelle Herausgabeanordnung vorbereitet wird.

Der Vertreter ist dabei keineswegs ein reiner Briefkasten. Er muss über die rechtlichen Befugnisse und operativen Ressourcen verfügen, um die Anordnungen tatsächlich zu prüfen und zu bedienen. Das erfordert direkten Zugriff auf die zuständigen Teams und Prozesse auf Ihrer Seite, die Fähigkeit, unter extremem Zeitdruck zu agieren, und die nötige Fachkompetenz, um rechtliche Hindernisse zu erkennen (wie etwa Anordnungen, die zeugnisverweigerungsberechtigte Daten berühren).

Und hier wird es richtig ernst: Die Ernennung eines gesetzlichen Vertreters verlagert die Verantwortung nicht von Ihrer Organisation weg. Sowohl der Diensteanbieter als auch seine benannte Niederlassung oder sein gesetzlicher Vertreter können Gegenstand von Vollstreckungsmaßnahmen bei Nichteinhaltung sein, und Anbietern drohen nach der EU-E-Evidence-Verordnung Geldbußen von bis zu 2 % ihres gesamten weltweiten Jahresumsatzes.

Eine schlechte interne Koordinierung zwischen einem Anbieter und seinem Vertreter wird kaum eine akzeptable Entschuldigung dafür sein, die Frist zu versäumen oder nicht auf eine Anordnung zu reagieren. Dies ist besonders in Notfällen wichtig, in denen die Compliance-Frist nur 8 Stunden beträgt, was robuste Workflows, technische Integration und ein effektives Fallmanagement unerlässlich macht.

Nicht in der EU ansässig? Ihre To-do-Liste

Wenn Ihr Unternehmen keine Niederlassung in der EU hat, aber dort relevante Dienste anbietet, müssen Sie folgende Schritte umsetzen:

  1. Benennung eines gesetzlichen Vertreters in einem Mitgliedstaat, in dem Sie Ihre Dienste anbieten. Wenn Sie bereits zum 18. Februar 2026 Dienste in der EU angeboten haben, läuft die Frist für die Benennung am 18. August 2026 ab. Wenn Sie erst danach starten, haben Sie ab Aufnahme der Geschäftstätigkeit sechs Monate Zeit.
  2. Ausstattung des Vertreters mit realen Befugnissen und Ressourcen: Erforderlich sind ein schriftliches Mandat, interne Eskalationspfade, direkter Zugang zu den Datenteams, effektive Notfall-Kontakte zu den relevanten Abteilungen sowie klare Prozesse für die fristgerechte Bearbeitung.
  3. Schriftliche Meldung (Notification) an die Zentralbehörde des Mitgliedstaats, in dem Ihr Vertreter seinen Sitz hat. Zu übermitteln sind die Kontaktdaten des Vertreters, die angebotenen Dienste sowie die Sprache(n), in denen Anordnungen akzeptiert werden. Das offizielle Notifizierungstool der EU verlangt hierbei eine hohe Detailtiefe, bis hin zu den verfügbaren Datenkategorien für jeden einzelnen Ihrer Dienste.

Hinweis: In der EU ansässige Anbieter sind von der Bürokratie nicht befreit – sie müssen eine ihrer EU-Niederlassungen als zuständigen Adressaten benennen und dieselbe behördliche Meldung durchführen.

Wer kann als gesetzlicher Vertreter fungieren?

Die Richtlinie lässt bei der Rechtsform Flexibilität zu: Der Vertreter kann eine natürliche Person oder eine juristische Person sein – beispielsweise eine Tochtergesellschaft, ein verbundenes Unternehmen oder ein externer professioneller Dienstleister. Entscheidend ist die operative Leistungsfähigkeit:

 

  • Der Sitz muss in einem Mitgliedstaat liegen, in dem Sie Ihre Dienste aktiv anbieten.
  • Er muss rechtlich bevollmächtigt und organisatorisch ausgestattet sein, um Compliance zu garantieren.
  • Er muss fachlich absolut in der Lage sein, der Verpflichtung nachzukommen. Behördliche Anordnungen laufen ab Erhalt unbarmherzig gegen die 10-Tage- oder 8-Stunden-Uhr. Dabei gilt es oft, komplexe Fragen zu Berufsgeheimnissen oder internationalen Rechtskonflikten in Echtzeit zu lösen.

Angesichts der gesamtschuldnerischen Haftung und der extrem kurzen Fristen ist diese Rolle keine Aufgabe für eine reine Domiziladresse, sondern erfordert einen Partner, der den Rechtsrahmen im Detail beherrscht.

Die Wahl der passenden Jurisdiktion (Und warum sie wichtiger ist, als man denkt)

Rechtlich gesehen können Sie Ihren Vertreter in jedem Mitgliedstaat ernennen, in dem Sie Ihre Dienste anbieten (mit Ausnahme von Dänemark). In der Praxis sind die einzelnen EU-Staaten jedoch sehr unterschiedlich weit vorbereitet.

Die Richtlinie hätte bis zum 18. Februar 2026 in nationales Recht umgesetzt werden müssen. Die Umsetzung verlief jedoch so schleppend, dass die Europäische Kommission im März 2026 Vertragsverletzungsverfahren gegen 22 Mitgliedstaaten eingeleitet hat, weil diese die Frist versäumt haben.

Warum ist das für Sie relevant? In einem Mitgliedstaat ohne entsprechendes Durchführungsgesetz sind zentrale Praxisfragen völlig ungeklärt – etwa welche nationale Behörde überhaupt zuständig ist und wie die offizielle Meldung technisch ablaufen soll. Ihren Vertreter dort anzusiedeln bedeutet, Ihre Compliance trotz der ab August 2026 geltenden Verordnung auf Sand zu bauen.

Die pragmatische Lösung lautet daher, eine Jurisdiktion zu wählen, die ihre Hausaufgaben bereits erledigt hat. Selbst unter den Ländern, die die Richtlinie umgesetzt haben, gibt es erhebliche Unterschiede in der operativen Bereitschaft: Das offizielle Notifizierungstool der EU unterstützt derzeit nur Meldungen an die Zentralbehörden von Deutschland, Italien, Slowakei und Schweden aus dem Kreis der fortgeschrittenen Mitgliedstaaten.

Deutschland sticht hierbei als bevorzugte Jurisdiktion hervor: Das deutsche Durchführungsgesetz (EBewMG) ist bereits in Kraft, die zuständige Zentralbehörde (das Bundesamt für Justiz) ist definiert sowie über das EU-Tool erreichbar, und die umliegende Infrastruktur – einschließlich der Vorbereitungen für das dezentrale IT-System, über das die Anordnungen künftig digital fließen werden – ist im EU-Vergleich am weitesten fortgeschritten.

Wir übernehmen Ihre gesetzliche Vertretung

Die Benennung eines gesetzlichen Vertreters ist kein rein administrativer Akt – Sie wählen damit den Partner, der im Ernstfall direkt zwischen Ihnen und den europäischen Strafverfolgungsbehörden steht. Eine schnelle rechtliche Bewertung eingehender Anordnungen und die Fähigkeit, innerhalb der engen Fristen fehlerfrei zu reagieren, sind absolut essenziell.

Wir agieren als gesetzlicher Vertreter im Sinne der E-Evidence-Richtlinie und begleiten Diensteanbieter durch den gesamten Compliance-Prozess:

  • Prüfung der Betroffenheit und Analyse, wie der Rechtsrahmen auf Ihre Dienste anwendbar ist.
  • Abwicklung der formellen und detaillierten Meldung (Notification) an die zuständige Zentralbehörde.
  • Aufbau Ihres internen Playbooks für den Umgang mit Herausgabe- (EPOC) und Sicherungsanordnungen (EPOC-PR).
  • Laufende Unterstützung und rechtliche Begleitung beim Management eingehender Anordnungen – einschließlich der kritischen Fälle, die Berufsgeheimnisse, Immunitäten oder kollidierende internationale Rechtsabkommen berühren.

Wenn Sie den Stichtag am 18. August 2026 rechtssicher bewältigen wollen, nehmen Sie noch heute Kontakt mit uns auf.

Häufig gestellte Fragen zum gesetzlichen Vertreter (Legal Representative) im Rahmen der E-Evidence

Sehr wahrscheinlich ja. Wenn Sie Daten im Auftrag von Nutzern in der EU speichern oder verarbeiten oder diesen die Kommunikation untereinander ermöglichen, fallen Sie unter die von E-Evidence erfassten Dienste. Da Sie Kunden in der EU bedienen, liegt eine wesentliche Verbindung zum EU-Markt vor, sofern es sich um eine signifikante Anzahl von Nutzern handelt oder Sie den Markt gezielt adressieren. In diesem Fall sind Sie verpflichtet, einen gesetzlichen Vertreter in der EU zu benennen – unabhängig davon, wo Ihre Server oder Ihr Hauptsitz liegen.

Nein. Beide Funktionen basieren auf völlig unterschiedlichen Gesetzen und verfolgen andere Zwecke. Der DSGVO-Vertreter kümmert sich ausschließlich um datenschutzrechtliche Belange. Der E-Evidence-Vertreter nimmt strafrechtliche Datenherausgabeanordnungen entgegen und bearbeitet diese. Sie können zwar dieselbe Organisation mit beiden Rollen betrauen, sofern diese fachlich dazu in der Lage ist, die Benennung für das eine Mandat deckt das andere jedoch rechtlich nicht ab. Wir bieten beide Vertretungsleistungen an, dies erfordert jedoch jeweils eine explizite vertragliche Vereinbarung.

Wenn Sie über eine physische Niederlassung in der EU verfügen, benennen Sie im Sinne des Gesetzes eine Niederlassung (Designated Establishment) und keinen gesetzlichen Vertreter. Beachten Sie jedoch, dass die ausgewählte Einheit zwingend in der Lage sein muss, die operativen Prozesse abzuwickeln: Anordnungen rund um die Uhr entgegenzunehmen, intern zu eskalieren und die 8-Stunden-Fristen einzuhalten. Auch bei der Benennung einer eigenen Niederlassung können Sie einen externen Rechtsbeistand beauftragen, um die rechtliche Bewertung der Anordnungen zu steuern. Wir unterstützen Sie in diesem Prozess umfassend, auch ohne formelle Bestellung als gesetzlicher Vertreter.

In diesem Fall verstoßen Sie gegen die nationalen Umsetzungsgesetze der Richtlinie. Sie bringen dadurch die Anordnungen der Behörden jedoch nicht zum Verschwinden. Den Ermittlungsbehörden stehen effektive Vollstreckungswege zur Verfügung. Den Rechtsrahmen schlicht zu ignorieren, ist die riskanteste Strategie: Die Strafen bei Nichtbeachtung oder Verweigern von rechtmäßigen Anordnungen können bis zu 2 % des weltweiten Jahresumsatzes betragen.

Sofern Sie am 18. Februar 2026 bereits Dienste in der EU angeboten haben, müssen die Benennung des Vertreters und die behördliche Meldung bis zum 18. August 2026 abgeschlossen sein. Nehmen Sie Ihre Dienste erst nach diesem Datum auf, muss die Umsetzung innerhalb von sechs Monaten ab Start der Geschäftstätigkeit erfolgen.

Nein. Ein einziger benannter Vertreter oder eine einzige benannte Niederlassung in einem Mitgliedstaat (in dem Sie Ihre Dienste anbieten) reicht aus, um die Anordnungen aus der gesamten EU zentral abzuwickeln. Genau aus diesem Grund sollte die Auswahl der passenden Jurisdiktion strategisch gut überlegt sein. Es steht Ihnen jedoch rechtlich frei, optional auch mehrere Niederlassungen für unterschiedliche Dienste oder Datenkategorien zu benennen.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN
Logo 25 Jahre Rickert Rechtsanwaltsgesellschaft

Die EU-E-Evidence-Gesetzgebung: Ein Überblick für Diensteanbieter

Vorschautext zu Überblick über E-Evidence-Gesetzgebung

Die EU-E-Evidence-Gesetzgebung: Ein Überblick für Diensteanbieter

Vorschautext zu Überblick über E-Evidence-Gesetzgebung

Verordnung (EU) 2023/1543 und Richtlinie (EU) 2023/1544 – was gilt, wen es betrifft und wie Sie sich vor dem 18. August 2026 vorbereiten.

Das EU-E-Evidence-Paket verändert die Art und Weise, wie Strafverfolgungsbehörden grenzüberschreitend auf digitale Daten zugreifen, und trifft Diensteanbieter bereits diesen Sommer direkt. Dieser Überblick zeigt auf, was dea Regelwerk verlangt und was Sie vor dessen Anwendbarkeit vorbereiten sollten.

Was ist das EU-E-Evidence-Paket?

Das Paket schafft den ersten EU-weiten Rahmen für den grenzüberschreitenden Zugriff auf elektronische Beweismittel in Strafverfahren und stützt sich auf zwei miteinander verknüpfte Instrumente. Die Verordnung (EU) 2023/1543 regelt die materiell-rechtlichen Vorschriften für Herausgabe- und Sicherungsanordnungen, während die Richtlinie (EU) 2023/1544 die Benennung von Niederlassungen und gesetzlichen Vertretern (Legal Representatives) regelt.

Gemeinsam ermöglichen sie es einer Behörde in einem Mitgliedstaat, Daten direkt von einem Anbieter anzufordern, der in einem anderen Mitgliedstaat niedergelassen ist. Die Verordnung gilt direkt ab dem 18. August 2026, während die Richtlinie bis zum 18. Februar 2026 umgesetzt werden musste; bei der Umsetzung der Richtlinie kam es jedoch zu Verzögerungen. Zusammen bilden die Richtlinie und die Verordnung das EU-E-Evidence-Paket. Es bindet jeden Mitgliedstaat außer Dänemark und erfasst auch Anbieter weit über die Grenzen der Europäischen Union hinaus.

Wer gilt als Diensteanbieter?

Die Verordnung definiert den Begriff „Diensteanbieter“ weit und erfasst drei Kategorien:

  • Dienste der elektronischen Kommunikation,
  • Internet-Domain-Namen- und IP-Nummerierungsdienste,
  • andere Dienste der Informationsgesellschaft, die Nutzern die Kommunikation ermöglichen oder deren Daten speichern und verarbeiten.

Die dritte Auffangkategorie schließt Cloud-Anbieter, Hosting-Unternehmen und soziale Netzwerke ein, da die Speicherung lediglich eine maßgebliche Komponente des Dienstes sein muss und nicht dessen Hauptzweck. So kann bereits eine einzelne Chat-Funktion dazu führen, dass ein Anbieter in den Anwendungsbereich fällt.

Der räumliche Anwendungsbereich ist ebenso weit gefasst. Die Regeln gelten überall dort, wo ein Dienst in einem Mitgliedstaat tatsächlich nutzbar ist und der Anbieter eine wesentliche Verbindung zur EU aufweist – etwa eine Niederlassung, eine erhebliche Anzahl von Nutzern oder auf die Union ausgerichtete Aktivitäten. Es gelten keine Umsatz- oder Größenschwellenwerte, sodass ein Start-up außerhalb der EU ebenso schnell in den Anwendungsbereich fallen kann wie eine globale Plattform. Nur wenn Ihre Geschäftstätigkeit auf einen einzigen Mitgliedstaat ohne jeglichen grenzüberschreitenden Bezug beschränkt ist, sind Sie möglicherweise nicht betroffen.

Was sind EPOC und EPOC-PR?

Die Verordnung führt zwei Instrumente ein:

  • Europäische Herausgabeanordnung (EPOC): Verpflichtet einen Anbieter zur Herausgabe bestimmter Daten. Sie muss innerhalb von 10 Kalendertagen (in Notfällen innerhalb von 8 Stunden) erfüllt werden.
  • Europäische Sicherungsanordnung (EPOC-PR): Verpflichtet einen Anbieter, Daten für 60 Tage einzufrieren, sodass sie nicht gelöscht oder verändert werden können (verlängerbar um weitere 30 Tage oder bis die Daten herausgegeben werden, wenn der Anbieter darüber informiert wird, dass die EPOC erlassen wurde).

Beide Anordnungen beziehen sich nur auf Daten, die beim Eintreffen der Anordnung bereits vorhanden sind; sie schaffen somit keine allgemeine Datenaufbewahrungspflicht. Behörden erlassen sie auf der Grundlage von Standardbescheinigungen und übermitteln sie über ein spezielles dezentrales IT-System auf Basis von e-CODEX – dem Flaggschiffprojekt der EU-E-Justice, das eine interoperable Lösung für den grenzüberschreitenden Austausch von Justizdaten bietet und allen Mitgliedstaaten ermöglicht, über ihre bestehenden nationalen Systeme miteinander zu kommunizieren.

Wie verläuft der Weg einer EPOC von der Anordnung bis zur Beantwortung?

Der nachfolgende Ablauf zeigt einen vereinfachten Workflow für eine EPOC von der Ausstellung bis zur Erfüllung sowie den Einbindungszeitpunkt der parallelen Unterrichtung der Vollstreckungsbehörde:

Ablauf einer EPOC (Workflow)

Schritt Prozessschritt & Beschreibung
1
Erlassen der Anordnung
Die Ausstellungsbehörde erstellt die EPOC auf der Standardbescheinigung.
2
Übermittlung
Die Anordnung wird über das dezentrale IT-System (e-CODEX) übermittelt.
3
Eingang
Die benannte Niederlassung oder der gesetzliche Vertreter erhält die Anordnung.
4
Erfassung & Prüfung
Bescheinigung, Signatur, Ausstellungsbehörde und angeforderte Daten überprüfen.
⇉
Parallel dazu – bei Verkehrs- oder Inhaltsdaten wird die Vollstreckungsbehörde unterrichtet und kann innerhalb von 10 Tagen (mit aufschiebender Wirkung) oder 96 Stunden in Notfällen Einwände erheben.
5
Herausgabe der Daten
Innerhalb von 10 Tagen oder 8 Stunden im Notfall.

Welche Daten betrifft das und wer muss benannt werden?

Die Verordnung unterteilt elektronische Beweismittel in Bestandsdaten, Verkehrsdaten und Inhaltsdaten und verknüpft jede Kategorie mit einem Schwellenwert. Behörden können Bestandsdaten sowie Daten, die ausschließlich der Identifizierung eines Nutzers dienen, bei jeder Straftat anfordern, während Verkehrs- und Inhaltsdaten eine Straftat erfordern, die mit einer Höchststrafe von mindestens drei Jahren bedroht ist, oder eine im Katalog aufgeführte Straftat wie Cyberkriminalität, Terrorismus oder sexueller Missbrauch von Kindern. Eine Anordnung darf nur Daten anfordern, die Behörden auch in einem vergleichbaren inländischen Fall erlangen könnten; die Verordnung beschleunigt also den Zugriff, ohne den Umfang der anforderbaren Daten zu erweitern.

Jeder betroffene Anbieter muss zudem eine klare Kontaktstelle einrichten. Ein in der EU niedergelassener Anbieter benennt eine benannte Niederlassung (Designated Establishment) in einem Mitgliedstaat, in dem er tätig ist, während ein Anbieter ohne EU-Niederlassung einen gesetzlichen Vertreter (Legal Representative) in der Union bestellt. In beiden Fällen übermitteln Sie das Benachrichtigungsformular für Diensteanbieter (Service Provider Notification Form), und diese benannte Niederlassung bzw. der gesetzliche Vertreter dient dann als zentrale Kontaktstelle für den Empfang und gegebenenfalls die Anfechtung von EPOCs und EPOC-PRs.

Wie antworten Sie und welche Schutzmechanismen gelten?

Ein strukturierter Eingangsprozess stellt sicher, dass Sie die engen Fristen einhalten, und schützt Sie, falls eine Anordnung fehlerhaft ist.

Ihr Eingangsprozess sollte mindestens Folgendes umfassen:

  • Erfassen und Prüfen: Jede Anordnung prüfen und die Richtigkeit der Bescheinigung, eine gültige Signatur, die Ausstellungsbehörde sowie die angeforderten Daten bestätigen.
  • Fristen einhalten: Eine EPOC innerhalb von 10 Tagen (oder 8 Stunden im Notfall) erfüllen und EPOC-PR-Daten unverzüglich für 60 Tage sichern (Verlängerung um weitere 30 Tage möglich).
  • Klarstellung anfordern: Um Klarstellung bitten, wenn eine Anordnung unvollständig oder offensichtlich fehlerhaft ist, da die Frist neu zu laufen beginnt, sobald eine korrigierte Anordnung eingeht.
  • Unverzüglich unterrichten: Die Ausstellungsbehörde unverzüglich informieren, wenn Sie die Anordnung nicht vollständig oder nicht rechtzeitig erfüllen können.

Überprüfungsmechanismen sind ein zentraler Bestandteil des Regelwerks. Bei Verkehrs- oder Inhaltsdaten, die nicht ausschließlich der Identifizierung einer Person dienen, wird die Vollstreckungsbehörde in Ihrem Mitgliedstaat (in dem Sie eine Niederlassung benannt oder einen Vertreter bestellt haben) parallel unterrichtet, was aufschiebende Wirkung hat. Diese Behörde kann begrenzte Ablehnungsgründe geltend machen – etwa Immunitäten, Grundrechtskonflikte oder Bedrohungen der Meinungsfreiheit – und Diensteanbieter können dieselben Bedenken vorbringen. Sie sollten daher auch prüfen, ob Konflikte mit anderen Pflichten bestehen, insbesondere mit Vorschriften von Nicht-EU-Staaten.

Was sollten Diensteanbieter jetzt tun?

Die Vorbereitung kann nicht bis August warten. Sie sollten eine Anwendungsbereichsprüfung durchführen, Ihre benannte Niederlassung oder Ihren gesetzlichen Vertreter benennen und die von Ihnen gespeicherten Bestands-, Verkehrs- und Inhaltsdaten kartieren. Entwerfen Sie dann einen dokumentierten Reaktions-Workflow, schließen Sie sich an das dezentrale IT-System an und testen Sie dieses, und schulen Sie Ihr Personal, denn eine 8-stündige Notfallübung wird Lücken lange vor dem Eintreffen einer echten Anordnung offenbaren.

Unser E-Evidence-Angebot

Das EU-E-Evidence-Paket gestaltet den grenzüberschreitenden Zugriff auf digitale Daten neu und gilt ab dem 18. August 2026 in jedem Mitgliedstaat außer Dänemark. Es erfasst jeden Anbieter, der im Anwendungsbereich liegende Dienste in der Union anbietet, und verpflichtet jeden dazu, eine benannte Niederlassung oder einen gesetzlichen Vertreter zu bestellen sowie EPOCs und EPOC-PRs innerhalb anspruchsvoller Fristen zu beantworten. Die Verordnung erweitert weder die Daten, die Behörden anfordern dürfen, noch erlegt sie neue Aufbewahrungspflichten auf, beschleunigt und vereinfacht den Prozess jedoch erheblich. Anbieter, die ihre Daten kartieren, einen robusten Workflow aufbauen und jetzt probeweise trainieren, werden diesen Verpflichtungen mit Gelassenheit begegnen, anstatt in Hektik zu geraten.

Bereiten Sie sich vor!

Rickert.law berät Diensteanbieter bei der Vorbereitung auf E-Evidence. Unser Angebot umfasst die Prüfung des Anwendungsbereichs, die Benennung der Niederlassung bzw. des gesetzlichen Vertreters, das Aufsetzen von Prozesen sowie die Schulung des zuständigen Personals.

Bereiten Sie Ihr Unternehmen noch vor Inkrafttreten der E-Evidence-Gesetzgebung vor und schützen Sie sich vor hohen Bußgeldern.

Jetzt Termin vereinbaren

Häufig gestellte Fragen zur E-Evidence-Gesetzgebung

Die Verordnung (EU) 2023/1543 wird ab dem 18. August 2026 direkt anwendbar. Anbieter sollten ab dem Anwendungsdatum bereit sein, Anordnungen zu empfangen und zu beantworten.

Der Rahmen bindet jeden Mitgliedstaat außer Dänemark. Anbieter, die Dienste in der gesamten Union anbieten, sollten davon ausgehen, dass er überall dort gilt, wo sie EU-Nutzer erreichen.
Eine EPOC erzwingt die Herausgabe bestimmter Daten innerhalb von 10 Tagen oder 8 Stunden in Notfällen. Eine EPOC-PR friert Daten stattdessen für 60 Tage ein (verlängerbar um 30), damit Beweismittel erhalten bleiben, bis eine Herausgabeanordnung folgt.
Anbieter außerhalb der Union fallen in den Anwendungsbereich, wenn ihr Dienst in einem Mitgliedstaat nutzbar ist und eine wesentliche Verbindung aufweist, wie etwa eine gezielte Ausrichtung oder eine erhebliche Nutzerbasis. Ein in den USA ansässiger Anbieter kann daher beispielsweise eine Anordnung erhalten, selbst wenn er kein Büro in der EU hat.
Herausgabeanordnungen haben eine Frist von 10 Tagen, die sich in Notfällen auf 8 Stunden verkürzt, während Sicherungsanordnungen bei Eingang sofortiges Handeln erfordern.
Das Paket erlegt keine allgemeine Datenaufbewahrungspflicht auf, und beide Anordnungen betreffen nur Daten, die beim Eintreffen der Anordnung bereits vorhanden sind.
Ein in der EU niedergelassener Anbieter benennt eine benannte Niederlassung, während ein Anbieter ohne eine solche einen gesetzlichen Vertreter in der Union bestellt. Beide werden über das Benachrichtigungsformular für Diensteanbieter (Service Provider Notification Form) angemeldet und dienen als zentrale Kontaktstelle für EPOCs und EPOC-PRs. Auch die Benennung mehrerer benannter Niederlassungen, beispielsweise für bestimmte Datenarten oder Dienste, ist möglich.
Anbieter können um Klarstellung einer unvollständigen oder fehlerhaften Anordnung bitten und begrenzte Gründe wie Immunitäten oder Grundrechtskonflikte geltend machen. Die Vollstreckungsbehörde prüft Verkehrs- und Inhaltsdaten parallel und kann selbst Ablehnungsgründe vorbringen.

Dieser Artikel bietet einen allgemeinen Überblick über das EU-E-Evidence-Paket und stellt keine Rechtsberatung dar. Für eine Beratung zu Ihren spezifischen Umständen wenden Sie sich bitte an Rickert.law.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN
Logo 25 Jahre Rickert Rechtsanwaltsgesellschaft