E-Evidence-Verordnung – Webseitenbetreiber werden zu Ermittlungshelfern der Staatsanwaltschaft

Ab dem 18. August 2026 greifen im Rahmen der E-Evidence-Verordnung neue Vorgaben für Unternehmen zur Herausgabe von Daten an europäische Staatsanwaltschaften. Davon betroffen sind auch viele Online-Shops und Webseiten-Betreiber. Wenn auch Sie erfasst sind, sind umfangreiche Anpassungen vorzunehmen. Wir erklären, wer betroffen ist und was auf Sie zukommt.

Ziel und Regelungsinhalt der E-Evidence-Verordnung

Mit der neuen Verordnung (offizielle: Verordnung (EU) 2023/1543 des Europäischen Parlaments und des Rates vom 12.07.2023 über Europäische Herausgabeanordnungen und Europäische Sicherungsanordnungen für elektronische Beweismittel in Strafverfahren und für die Vollstreckung von Freiheitsstrafen nach Strafverfahren) werden europaweit die Regeln festgelegt, nach denen eine Behörde eines Mitgliedstaates im Rahmen eines Strafverfahrens bestimmte Dinge von einem Unternehmer verlangen kann, der in einem anderen Mitgliedstaat sitzt.

Es geht also immer um grenzüberschreitende Sachverhalte. Will etwa die französische Staatsanwaltschaft im Rahmen eines Ermittlungsverfahrens an bestimmte Daten bei einem deutschen Unternehmen kommen, muss sie bislang ein kompliziertes Rechtshilfeverfahren durchlaufen. Das führt dann dazu, dass die deutsche Staatsanwaltschaft auf ein Unternehmen zugeht, die Daten herausverlangt und diese Daten nach Frankreich weitergibt.

Dieser komplizierte und langwierige Weg soll nun abgekürzt werden. In Zukunft soll die französische Staatsanwaltschaft unmittelbar an das deutsche Unternehmen herantreten können.

Welche Unternehmen sind betroffen?

Die Verordnung gilt für Diensteanbieter, die eine oder mehrere der folgenden Dienstleistungskategorien anbieten:

1. elektronische Kommunikationsdienste (hierzu zählen Internetzugangsdienste, interpersonelle Kommunikationsdienste Dienste, die ganz oder überwiegend in der Übertragung von Signalen bestehen, wie Übertragungsdienste, die für die Maschine-Maschine-Kommunikation und für den Rundfunk genutzt werden)
2. Internetdomänen- und IP-Nummerierungsdienste sowie
3. andere Dienste der Informationsgesellschaft, die es ihren Nutzern ermöglichen, miteinander zu kommunizieren oder
   • die es ermöglichen, für Nutzer, für welche die Dienstleistung erbracht wird, Daten zu speichern oder
   • auf sonstige Weise zu verarbeiten, sofern die Speicherung von Daten ein bestimmender Bestandteil der für den Nutzer erbrachten Dienstleistung ist.

Die Unternehmen, die von a) und b) erfasst sind, sind relativ klar umgrenzt. Eine kompliziertere Frage ist aber, welche Unternehmen unter die Kategorie c fallen.

Ermöglicht ein Dienst die Kommunikation zwischen seinen Nutzern, fällt er in den Anwendungsbereich.

Davon erfasst sind danach z.B. Social-Media- oder Shopping-Plattformen mit Nachrichtenfunktion, über die die Nutzer unmittelbar miteinander kommunizieren können. Man denke etwa an Kleinanzeigen, eBay oder Vinted – deren Bestimmung ist es gerade, dass die Nutzer in Kontakt kommen, um den Vertragsschluss zu ermöglichen oder Nachfragen zum angebotenen Produkt zu stellen.

Können sich Nutzer im Rahmen von Online-Videospielen per Chat-Funktion miteinander austauschen, wäre auch ein solcher Dienst von der E-Evidence-Verordnung erfasst.

Es muss sich aber nicht um einen solche „private“ Kommunikation handeln. Denkbar ist auch eine öffentliche Kommunikation miteinander. Hierzu zählen etwa klassische Foren.

Auf zahlreichen Webseiten können User (Bewertungs-)Kommentare abgeben (z.B. auf Rezepte oder Nachrichten-Seiten) und auf diese Kommentare können andere User antworten. Auch das stellt eine Kommunikation der Nutzer miteinander dar, sodass auch diese Seiten erfassen sind.

Betroffen sind aber auch Webseiten, die es ihren Nutzern ermöglichen, usergenerated content zu speichern, sofern dies ein bestimmender Bestandteil für die Dienstleistung ist.

Sind auch Online-Shops betroffen?

Das Gesetz spricht davon, dass der Dienst es dem Nutzer ermöglichen muss, „Daten zu speichern oder auf sonstige Weise zu verarbeiten“, wobei die Speicherung von Daten ein bestimmender Bestandteil der erbrachten Dienstleistung sein muss. Der Anwendungsbereich ist also denkbar weit.

Ob Online-Shops betroffen sind, muss anhand der Funktionen des einzelnen Shops geprüft werden. Aber – SPOILER – ein Großteil der deutschen Online-Shops dürfte betroffen sein.

Online-Kundenkonto im Shop

Kann sich der Nutzer ein Kundenkonto anlegen und darin Daten wie etwa Liefer- und Rechnungsanschrift speichern? Dann ist der Anwendungsbereich eröffnet, da diese Art der Datenspeicherung ein bestimmender Bestandteil der erbrachten Dienstleistung ist.

Kundenbewertungen im Shop

Gleiches gilt, wenn Online-Shops anbieten, dass Kunden Bewertungen in Form von Kommentaren abgeben können. Hier stellt sich auch die Frage, ob dies ein bestimmender Bestandteil ist. Da in der E-Commerce-Branche in den letzten Jahren allerdings immer wieder betont wurde, dass Kundenbewertungen eines der wichtigsten Marketing-Mittel ist, wird man jetzt als Unternehmen nicht argumentieren können, dass dieser Dienst nur ein kleiner Nebenaspekt des erbrachten Dienstleistung „Online-Shopping“ ist.

Zwischenfazit

Ein sehr großer Teil der Online-Shops ist aus unserer Sicht von den neuen Regelungen betroffen.

Dabei ist es irrelevant, ob es sich um ein B2B- oder ein B2C-Unternehmen handelt.

Es dürfte also ein verbreiteter Irrtum sein, die E-Evidence-Verordnung betreffe ausschließlich große Plattformen, soziale Netzwerke oder internationale Cloud-Anbieter. Tatsächlich knüpft das Gesetz nicht an Marktgröße oder Umsatz an, sondern an die Art der Datenverarbeitung und deren Bedeutung für die Erbringung der Dienstleistung.

Was passiert, wenn ein Shop von der E-Evidence-Verordnung betroffen ist?

Kommt man zu dem Ergebnis, dass der Anwendungsbereich eröffnet ist, stellt sich natürlich die Frage, was daraus folgt.

Die Verordnung sieht zwei zentrale Elemente vor: Die Europäische Herausgabeanordnung (sog. EPOC) und die Europäische Sicherungsanordnung (sog. EPOC-PR).

Die Europäische Herausgabeanordnung (EPOC)

Mit der EPOC kann eine ausländische Behörde von einem Diensteanbieter die Herausgabe bestimmter Daten verlangen. Diese Daten sind in der EPOC konkret benannt. Es können Bestandsdaten, aber auch Verkehrsdaten und die Ausleitung der Inhalte von Kommunikation angefordert werden.

Zu de Datenkategorien gehören:

• Identität des Kunden oder Nutzers
• Technische Merkmale, die der Identifizierung dienen können
• Verkehrsdaten, z.B. Quelle und Zieladresse beim Verbindungsaufbau und die Inhalte der Kommunikation

Grundsatz: 10 Tage Frist

Erhält das Unternehmen eine EPOC, wird es gemäß Art. 10 Abs. 1 der Verordnung umgehend zur Sicherung der angeforderten Daten tätig. Spätestens nach 10 Tagen muss das Unternehmen grundsätzlich die angeforderten Daten an die Behörde, von der die EPOC kommt, übermitteln.

Notfallfrist: ACHT STUNDEN

In einem Notfall muss das Unternehmen die angeforderten Daten aber unverzüglich, spätestens jedoch innerhalb von acht Stunden nach Erhalt der EPOC übermitteln.

Ein Notfall ist nach der Definition in der Verordnung eine Situation, in der eine unmittelbare Gefahr für das Leben, die körperliche Unversehrtheit oder die Sicherheit einer Person oder für eine kritische Infrastruktur besteht, wenn die Störung oder Zerstörung einer kritischen Infrastruktur zu einer unmittelbaren Gefahr für das Leben, die körperliche Unversehrtheit oder die Sicherheit einer Person führen würde, auch durch die schwere Beeinträchtigung der Bereitstellung der Grundversorgung für die Bevölkerung oder der Wahrnehmung der Kernfunktionen des Staates.

Liegt ein solcher Notfall vor, müssen die Gründe für die Annahme eines solchen Notfalls in der EPOC enthalten sein. Unternehmen müssen also nicht selbst prüfen, ob ein Notfall vorliegt oder nicht.

Kommt die EPOC in einem Notfall also samstags um 21 Uhr rein, müssen bis spätestens Sonntag 5 Uhr alle in der EPOC angeforderten Daten übermittelt werden.

Was ist, wenn Daten nicht herausgegeben werden können?

Können die angeforderten Daten aufgrund einer faktischen Unmöglichkeit nicht herausgegeben werden, unterrichtet das Unternehmen die Anordnungsbehörde darüber.

Das ist etwa der Fall, wenn die angeforderten Daten im Unternehmen gar nicht gespeichert werden. Wird im EPOC etwa das Geburtsdatum eines Nutzers mit angefordert, aber dieses liegt im Unternehmen nicht vor, dann kann es natürlich auch nicht herausgegeben werden.

In einem solchen Fall informiert das Unternehmen die Anordnungsbehörde unter Verwendung eines in Anhang III E-Evidence-Verordnung vorgesehenen Formulars.

Wichtig: Die E-Evidence-Verordnung verpflichtet ausschließlich zur Herausgabe von Daten, bereits zum Zeitpunkt des Erhalts der EPOC gespeichert sind. Die Verordnung enthält keine allgemeine Verpflichtung, dass Daten allgemein und unterschiedslos (auf Vorrat) gespeichert werden.

Die Europäische Sicherungsanordnung (EPOC-PR)

Von der EPOC zu unterscheiden ist die EPOC-PR, die Europäische Sicherheitsanordnung.

Auch bei der EPOC-PR erhält das Unternehmen eine Anordnung von einer Behörde aus einem anderen Mitgliedstaat. Darin wird dann aber nicht die Herausgabe bestimmter Daten angeordnet, sondern die Sicherung.

Diese Sicherungsanordnung soll es – vereinfacht gesagt – der anordnenden Behörde ermöglichen, eine Herausgabeanordnung noch vorzubereiten und ggfs. bei Gericht zu beantragen. Durch die Sicherungsanordnung ist dann aber sichergestellt, dass zum Zeitpunktes des Erlasses und Übermittlung der Herausgabeanordnung überhaupt noch die entsprechenden Daten zur Verfügung stehen und nicht etwa im Rahmen eines Löschkonzeptes gelöscht wurden.

Grundsätzlich muss diese Sicherung dann für 60 Tage erfolgen, kann von der Behörde aber um weitere 30 verlängert werden.

Auch hier gilt: Kann das Unternehmen die Daten in Folge einer faktischen Unmöglichkeit nicht sichern, teilt es dies der Behörde mit – ebenfalls unter Verwendung des Formulars in Anhang III der Verordnung. Aber Achtung: „Nicht genügend Speicherplatz“ ist kein valider Grund für eine faktische Unmöglichkeit. Insoweit müssen sich Unternehmen also auch technisch auf eine eventuell notwendige Speicherung vorbereiten.

Was passiert, wenn man nicht reagiert?

Kommt man der EPOC oder der EPOC-PR nicht nach, können finanzielle Sanktionen verhängt werden – in Höhe von bis zu 2 % des im vorhergehenden Geschäftsjahr weltweit erzielten Jahresumsatzes.

Dezentrales IT-System

Damit – wie eingangs beschrieben – eine Vereinfachung und Beschleunigung des Verfahrens erreicht werden kann, wird ein dezentrales IT-System eingeführt. Hierfür wird das IT-System e-CODEX („electronic Communication via Online Data Exchange“) verwendet. Die schriftliche Kommunikation zwischen den Behörden und den Unternehmen erfolgt über dieses System.

Um über e-CODEX empfangsbereit sein zu können, müssen sich die betroffenen Unternehmen bis zum 18. August 2026 auf einer Notification-Platform der EU anmelden, um die Daten ihrer Adressaten an eine Datenbank (die Court Data Base, CDB) zu übermitteln. Diese Daten werden dann validiert.

Wurden Sie validiert, erhalten Sie Zugangsdaten zu einer von der EU-Kommission entwickelten Software namens JUDEX. Große Unternehmen können dann auch eigene Systeme über eine Schnittstelle an JUDEX anbinden.

Wichtig: Diese Anmeldung und Validierung ist notwendig, um den ab 18. August 2026 geltenden Verpflichtungen nachkommen zu können.

Das vollständige Anmeldeprozedere ist auf der Webseite des Bundesamtes für Justiz erklärt.

Ab wann gilt die E-Evidence-Verordnung?

Die E-Evidence-Verordnung gilt ab dem 18. August 2026. Bis zu diesem Tage müssen sich die betroffenen Unternehmen auch bei der Notification-Platform der EU angemeldet haben.

Fazit

Der Anwendungsbereich der E-Evidence-Verordnung ist denkbar weit gefasst. Für betroffene Unternehmen bedeuten die neuen Vorgaben umfassende Anpassung der Systeme bzw. Prozesse. Neben der erforderlichen Registrierung und Anmeldung auf der Plattform zur Entgegennahme von EPOC und EPOC-PR muss sichergestellt werden, dass die internen Abläufe so gestaltet sind, dass auf eine Herausgabe- oder Sicherungsanordnung auch reagiert werden kann. Hierbei sind insbesondere die Fristen – im Notfall: acht Stunden – zu beachten. Gerne unterstützen wir Sie bei der Prüfung, ob Sie von der neuen E-Evidence-Verordnung betroffen sind und auch bei der Umsetzung der dann notwendigen Prozesse.

Abschließender Hinweis: Wir haben den Ablauf der EPOC und EPOC-PR hier nur grob beschrieben. Es gibt noch weitere Details, etwa zur Ablehnung und Prüfung, auf deren Darstellung wir hier aus Gründen der Übersichtlichkeit verzichtet haben. Parallel zu der Verordnung gibt es auch die E-Evidence-Richtlinie, die in Deutschland bereits in nationales Recht umgesetzt wurde. Hieraus können sich ggfs. weitere Pflichten und Details ergeben. Gerne können wir diese im Rahmen der individuellen Beratung aber näher darstellen.