Der E-Evidence Act gilt – was sich für Diensteanbieter ab sofort ändert

Seit dem 18. August 2026 ist die E-Evidence-Verordnung (Verordnung (EU) 2023/1543) nach Ablauf der dreijährigen Übergangsfrist vollständig anwendbar. Die Verordnung ist bereits am 18. August 2023 in Kraft getreten, gilt aber erst ab heute unmittelbar in allen Mitgliedstaaten mit Ausnahme Dänemarks. Damit greift ein weitgehend einheitlicher Rechtsrahmen für den grenzüberschreitenden Zugriff auf elektronische Beweismittel, der die bisher vielfach langwierigen Rechtshilfeverfahren bei der Datenerhebung im Rahmen strafrechtlicher Ermittlungen erheblich verkürzen soll. Strafverfolgungsbehörden können künftig elektronische Beweismittel unmittelbar bei Diensteanbietern in anderen Mitgliedstaaten anfordern.

Während Deutschland den erforderlichen nationalen Rechtsrahmen mit dem EBewMG geschaffen hat, ist die Umsetzung in zahlreichen anderen Mitgliedstaaten noch nicht abgeschlossen. Der nachfolgende Beitrag beleuchtet den Regelungsrahmen sowie den aktuellen Stand der Registrierungs- und Meldepflichten und zeigt auf, welche Maßnahmen Diensteanbieter nunmehr ergreifen sollten.

I. Regelungsrahmen der E-Evidence-VO

Die E-Evidence-VO richtet sich an einen weit gefassten Kreis von Diensteanbietern. Erfasst werden nach Art. 3 Nr. 3 E-Evidence-VO insbesondere Anbieter elektronischer Kommunikationsdienste, Anbieter von Internet-Domainnamen- und IP-Nummerierungsdiensten sowie bestimmte Dienste der Informationsgesellschaft. Hierzu können neben klassischen Telekommunikationsunternehmen etwa Messenger- und E-Mail-Dienste, Domain-Registrare sowie Cloud- und Hostinganbieter zählen. Auch Plattformen, die ihren Nutzern eine Kommunikationsfunktion oder Möglichkeiten zur Speicherung bzw. Verarbeitung von Daten bereitstellen, können unter den Anwendungsbereich fallen. Maßgeblich ist damit nicht die formale Einordnung des Unternehmens, sondern die konkrete Ausgestaltung des angebotenen Dienstes (wir berichteten in Datenschutzupdate Nr. 249).

Kern des neuen Regelungsrahmens sind die Europäische Herausgabeanordnung (European Production Order) und die Europäische Sicherungsanordnung (European Preservation Order), die dem Diensteanbieter mittels der Zertifikate EPOC bzw. EPOC-PR übermittelt werden. Mit der Herausgabeanordnung können Strafverfolgungsbehörden elektronische Beweismittel unmittelbar bei einem Diensteanbieter bzw. dessen benanntem Adressaten anfordern. Die Sicherungsanordnung dient demgegenüber der vorläufigen Sicherung von Daten, um deren Löschung oder Veränderung bis zu einer späteren Herausgabe zu verhindern. Die Herausgabeanordnung ist grundsätzlich innerhalb von zehn Tagen zu erfüllen, während in Notfällen eine verkürzte Frist von acht Stunden gilt. Nach einer Sicherungsanordnung sind die betroffenen Daten zunächst für 60 Tage zu sichern, wobei eine Verlängerung um weitere 30 Tage möglich ist.

Die unmittelbare Adressierung der Anordnungen an den Diensteanbieter setzt dabei voraus, dass dieser innerhalb der Europäischen Union einen geeigneten Adressaten bzw. Vertreter benennt (Art. 3 Abs. 1 E-Evidence-RL). Die Anordnungen werden sodann unmittelbar an diesen Adressaten gerichtet (Art. 7 E-Evidence-VO). Dieser muss über die erforderlichen Befugnisse und Ressourcen verfügen, um entsprechende Anordnungen entgegenzunehmen und ihre Erfüllung zu ermöglichen.

II. Aktueller Stand des Registrierungs- und Meldeverfahrens

1. Deutsche Umsetzung

Deutschland hat den nationalen Rechtsrahmen für die Anwendung der E-Evidence-VO mit dem Gesetz zur Umsetzung der Richtlinie (EU) 2023/1544 und zur Durchführung der Verordnung (EU) 2023/1543 geschaffen, das am 12. März 2026 im Bundesgesetzblatt veröffentlicht wurde. Kernstück ist das Elektronische-Beweismittel-Umsetzungs- und Durchführungsgesetz (EBewMG). Dieses konkretisiert insbesondere die nach der E-Evidence-Richtlinie bestehenden Pflichten der Diensteanbieter zur Benennung eines Adressaten bzw. Vertreters sowie die hierfür erforderlichen Mitteilungen an die zuständige Behörde. Für Diensteanbieter mit einer Niederlassung in der Europäischen Union ist grundsätzlich eine geeignete Niederlassung als Adressat zu benennen. Anbieter ohne Niederlassung in der Union müssen einen Vertreter bestellen. Der Adressat muss mit den erforderlichen Befugnissen und Ressourcen ausgestattet sein, um europäische Herausgabe- und Sicherungsanordnungen entgegenzunehmen und deren Erfüllung zu ermöglichen.

Zentrale Behörde für die Registrierung und Überwachung der entsprechenden Pflichten ist das Bundesamt für Justiz (BfJ). Es überwacht insbesondere die Einhaltung der Benennungs- und Mitteilungspflichten der Diensteanbieter und arbeitet hierzu mit den zuständigen Behörden der anderen Mitgliedstaaten zusammen. Bei Verstößen gegen diese Pflichten drohen nach § 18 EBewMG Geldbußen von bis zu 500.000 Euro und bei Diensteanbietern mit einem weltweiten Jahresumsatz von mehr als 5 Millionen Euro von bis zu 2 Prozent des weltweiten Jahresumsatzes. Zum Anwendungsbeginn zeigt sich allerdings eine deutliche Diskrepanz zwischen dem erwarteten und dem tatsächlich registrierten Kreis der Anbieter: Nach Angaben des Bundesjustizministeriums lagen zum 18. August 2026 lediglich 193 Anmeldungen beim BfJ vor, während die Bundesregierung ursprünglich von rund 9.000 erfassten Diensteanbietern ausgegangen war.

Auch die technische Infrastruktur für die Umsetzung ist in Deutschland zum Anwendungsbeginn grundsätzlich einsatzbereit. Der unionsweite Austausch zwischen Justiz, Strafverfolgungsbehörden und Diensteanbietern soll über ein dezentrales IT-System mit interoperablen Zugangspunkten erfolgen, das auf der europäischen e-CODEX-Infrastruktur aufsetzt. Deutschland ist an dieses System über einen nationalen Zugangspunkt angebunden. Dieser ist einschließlich der Anbindung an die Fachanwendung Judex seit dem 18. August 2026 nutzbar. Damit bestehen auf technischer Ebene die Voraussetzungen, um Anordnungen sicher zwischen den beteiligten Stellen zu übermitteln und entgegenzunehmen.

Die organisatorische Koordinierung erfolgt über die in Nordrhein-Westfalen angesiedelte E-Justiz-Koordinierungsstelle Europa (EKE). An diese sind bereits sämtliche 952 von den Landesjustizverwaltungen gemeldeten Gerichte und Zentralstellen angeschlossen. Daneben werden Polizei- sowie weitere Bundes- und Landesbehörden an die Referenzimplementierungssoftware angebunden. Deutschland verfügt damit zum Anwendungsbeginn nicht nur über den erforderlichen nationalen Rechtsrahmen, sondern auch über eine weitgehend aufgebaute technische und organisatorische Infrastruktur für die praktische Durchführung des E-Evidence-Verfahrens.

2. Europäischer Vergleich

Ein unionsweit einheitlich funktionsfähiges Verfahren besteht allerdings noch nicht. Nach dem aktuellen Umsetzungsstand verfügen neben Deutschland lediglich elf weitere Mitgliedstaaten über verabschiedete Umsetzungsvorschriften. In sechs weiteren Mitgliedstaaten liegen bereits Gesetzentwürfe vor, während in den übrigen neun Mitgliedstaaten bislang keine öffentlich erkennbare Umsetzungsaktivität festzustellen ist. Dies hat unmittelbare praktische Auswirkungen auf den grenzüberschreitenden Austausch: Nach Einschätzung des Bundesjustizministeriums wird voraussichtlich zunächst allein Deutschland in der Lage sein, Anordnungen über das sichere dezentrale IT-System sowohl zu übermitteln als auch entgegenzunehmen. Nach Irland dürften Anordnungen zwar übermittelt werden können. Irland selbst kann Anordnungen demgegenüber voraussichtlich noch nicht erlassen, da dort die gesetzlichen Grundlagen für Anordnungs- und Validierungsbehörden bislang nicht vollständig vorliegen. Gerade Irland kommt wegen der dort ansässigen europäischen Hauptsitze zahlreicher großer US-amerikanischer Technologieunternehmen eine besondere praktische Bedeutung zu.

Hinzu kommt eine weitere Einschränkung, die bereits aus dem Anwendungsbereich der E-Evidence-Richtlinie selbst folgt. Nach Art. 1 Abs. 2 Satz 2 E-Evidence-RL gilt die Richtlinie nicht für Diensteanbieter, die im Hoheitsgebiet lediglich eines Mitgliedstaats niedergelassen sind und ihre Dienste ausschließlich dort anbieten. Dies kann insbesondere bei Unternehmensgruppen mit nationalen Landesgesellschaften relevant werden. Betreibt ein Konzern seine Dienste in den einzelnen Mitgliedstaaten jeweils über eigenständige, ausschließlich national tätige Gesellschaften, kann die betreffende Gesellschaft unter Umständen als rein innerstaatlicher Anbieter aus dem Anwendungsbereich der Richtlinie fallen und damit von der Pflicht zur Benennung eines Adressaten befreit sein. Für grenzüberschreitende Ermittlungen bedeutet dies, dass es an einem Adressaten fehlen kann und nicht jeder in der Union ansässige Diensteanbieter ohne Weiteres über das E-Evidence-Regime von Behörden eines anderen Mitgliedstaats erreicht werden kann.

Damit zeigt sich zum Anwendungsbeginn ein ambivalentes Bild: Während Deutschland die rechtlichen, organisatorischen und technischen Voraussetzungen für das neue Verfahren geschaffen hat, bestehen auf europäischer Ebene weiterhin erhebliche Unterschiede beim Umsetzungsstand und beim tatsächlichen Anwendungsbereich.

III. Handlungsempfehlungen für Diensteanbieter

Für Diensteanbieter besteht der Handlungsbedarf mit dem Anwendungsbeginn der E-Evidence-VO nicht allein in der formalen Registrierung. Entscheidend ist vielmehr, dass der benannte Adressat tatsächlich in der Lage ist, eine EPOC oder EPOC-PR kurzfristig entgegenzunehmen, intern zuzuordnen und fristgerecht zu bearbeiten. Unternehmen sollten daher insbesondere die folgenden praktischen Vorkehrungen treffen.

• Adressat und Erreichbarkeit: Zunächst sollte überprüft werden, ob der registrierte Adressat tatsächlich über die erforderlichen Befugnisse und Ressourcen verfügt. Bei international tätigen Unternehmensgruppen sollte insbesondere eindeutig festgelegt werden, welche Gesellschaft bzw. Niederlassung für Anordnungen zuständig ist. Ein bloßes Weiterleiten an eine allgemeine Legal- oder Support-Adresse reicht angesichts der kurzen Reaktionsfristen nicht aus. Für Notfälle muss vielmehr eine erreichbare Anlaufstelle bestehen, die auch außerhalb der üblichen Geschäftszeiten reagieren kann.
• Schnelle interne Weiterleitung: Geht eine EPOC beim Adressaten ein, muss innerhalb kurzer Zeit geklärt werden können, welche interne Stelle für die Prüfung und Erfüllung zuständig ist. Sinnvoll ist daher ein fest definierter Prozess, der etwa eine automatische Eskalation an Legal, Strafverfolgungs- bzw. Law-Enforcement-Teams und gegebenenfalls IT vorsieht. Dies ist insbesondere für die Acht-Stunden-Frist bei Notfällen relevant: Eine Anordnung, die beispielsweise nachts oder am Wochenende eingeht, darf nicht erst am nächsten Werktag in den zuständigen Fachbereich gelangen.
• Datenkategorie und Speicherort bestimmen: Vor der Herausgabe sollte zudem unmittelbar festgestellt werden, welche Daten betroffen sind und wo diese gespeichert bzw. technisch zugänglich sind. Dies ist insbesondere bei Cloud- und Plattformanbietern relevant, deren Datenbestände über verschiedene Systeme oder Mitgliedstaaten verteilt sein können. Ein Anbieter sollte daher für die eigenen Produkte nachvollziehbar dokumentieren können, welche Teilnehmer-, Identifizierungs-, Verkehrs- und Inhaltsdaten verarbeitet werden und welche Systeme auf diese Daten zugreifen können.
• Sicherungsanordnungen technisch abbilden: Bei einer EPOC-PR muss zudem sichergestellt sein, dass die betroffenen Daten für den vorgesehenen Zeitraum tatsächlich vor Löschung oder Überschreibung geschützt werden. Besonders relevant ist dies bei Diensten mit automatisierten Lösch- oder Rotationsprozessen, etwa bei Log- oder Verkehrsdaten. Unternehmen sollten daher prüfen, ob eine eingehende Sicherungsanordnung automatisch an die für Datenaufbewahrung zuständigen Systeme übergeben werden kann und wie die Sicherung dokumentiert wird.  

IV. Fazit und Ausblick

Mit dem Anwendungsbeginn der E-Evidence-VO steht ein grundsätzlich leistungsfähiges Instrument für den grenzüberschreitenden Zugriff auf elektronische Beweismittel bereit, dessen praktische Wirksamkeit derzeit jedoch noch durch den uneinheitlichen Umsetzungsstand in den Mitgliedstaaten begrenzt wird. Während Deutschland die rechtlichen, organisatorischen und technischen Voraussetzungen weitgehend geschaffen hat, bleibt abzuwarten, wie schnell die übrigen Mitgliedstaaten nachziehen und ob sich der bislang deutlich hinter den Erwartungen zurückbleibende Registrierungsstand der Diensteanbieter erhöht. Für die Praxis wird daher zunächst entscheidend sein, dass Diensteanbieter ihre Registrierung nachholen und die internen Prozesse so ausgestalten, dass Herausgabe- und Sicherungsanordnungen tatsächlich fristgerecht bearbeitet werden können. Erst wenn sowohl der Rechtsrahmen als auch die technische Anbindung unionsweit flächendeckend bestehen, wird sich zeigen, ob die E-Evidence-VO die mit ihr verbundenen Erwartungen an eine schnellere und effektivere grenzüberschreitende Beweismittelerhebung erfüllen kann.

Dieser Beitrag wurde in Zusammenarbeit mit unserer stud. Mitarbeiterin Emily Bernklau erstellt.