e-Evidence-Rechtsakte: Umsetzungs- und Anwendungscountdown
Deutschland und die EU bekommen ein neues Recht für grenzüberschreitende Ermittlungsmaßnahmen durch Polizei und Strafverfolgungsbehörden. Heute in einem Jahr, am 18. Februar 2026, wird die Umsetzungsfrist der e-Evidence-Richtlinie enden. Außerdem wird in genau anderthalb Jahren, ab dem 18. August 2026, die e-Evidence-Verordnung, anwendbar sein. Beide Rechtsakte werden sich auch auf Unternehmen der IT- und TK-Branche auswirken, denn diese werden zukünftig (vermehrt) mit grenzüberschreitenden Ermittlungsmaßnahmen zu tun bekommen.
Neue grenzüberschreitende Datenauskunftsverlangen
Bisher mussten Telekommunikationsanbieter und Anbieter digitaler Dienste nur auf Auskunftsanfragen zu Bestands-, Verkehrs- oder Nutzungsdaten reagieren, die von deutschen Strafverfolgungsbehörden stammten. Mit der e-Evidence-Verordnung wird sich dies grundlegend ändern: Ab dem 18. August 2026 können auch Strafverfolgungsbehörden aus anderen EU-Mitgliedstaaten direkt Unternehmen in Deutschland zur Herausgabe oder Sicherung von elektronischen Beweismitteln („e-Evidence“) verpflichten – ohne Zwischenschaltung deutscher Behörden, außer bei besonders sensiblen Datenarten (Verkehrs- und Inhaltsdaten).
Die Verordnung führt zwei neue Instrumente ein:
- Europäische Herausgabeanordnung: Verpflichtet Unternehmen, Nutzerdaten direkt an ausländische Strafverfolgungsbehörden herauszugeben.
- Europäische Sicherungsanordnung: Verlangt das „Einfrieren“ von Daten zur späteren Herausgabe.
Die Instrumente vereinfachen und beschleunigen die grenzüberschreitende Erhebung von e-Evidence. Die Unternehmen müssen die angefragten Teilnehmer-, IP-Adressen-, Verkehrs- oder Inhaltsdaten innerhalb von 10 Tagen, in Notfällen in 8 Stunden, an die Strafverfolgungsbehörde übermitteln.
Wen betrifft die Verordnung?
Die Verpflichtungen treffen sogenannte Diensteanbieter, darunter:
- Anbieter elektronischer Kommunikationsdienste (z. B. Messenger, E-Mail-Dienste),
- Internet-Domain- und IP-Nummerierungsdienste,
- Digitale Dienste, die es ihren Nutzern ermöglichen, miteinander zu kommunizieren (soziale Netzwerke, Verkaufsplattformen) oder die im Wesentlichen der Speicherung von Daten dienen (Cloud-Dienste).
Die Verordnung gilt zudem nicht nur für Unternehmen mit Sitz in der EU. Auch Anbieter mit Hauptsitz außerhalb der EU, die ihre Dienste in der Union anbieten, müssen sich an die Regeln halten. Sowohl EU- als auch Nicht-EU-Diensteanbieter sind verpflichtet, eine „e-Evidence-Kontaktstelle“ in der EU einzurichten. Die e-Evidence-Verordnung nennt die Kontaktstellen „Adressaten“. Die Adressaten sind für die Entgegennahme und Ausführung der Anordnungen zuständig. Als Adressat können die Diensteanbieter entweder eine ihrer Niederlassungen in der EU benennen oder einen Vertreter bestellen, also z.B. eine darauf spezialisiertes Unternehmen.
Richtlinie: Adressaten der Anordnungen richtig bestimmen
Die e-Evidence-Richtlinie ergänzt die e-Evidence-Verordnung insbesondere in einem Punkt: Sie verlangt, dass die EU-Mitgliedstaaten festlegen, wie Diensteanbieter ihre Adressaten benennen oder bestellen müssen.
In Deutschland wird die Umsetzung, Stand heute, voraussichtlich durch das Elektronische-Beweismittel-Umsetzungs- und Durchführungsgesetz (EBewMG) erfolgen. Einen entsprechenden Referentenentwurf hat das Bundesjustizministeriums am 28. Oktober 2024 veröffentlicht. Allerdings wird dieses Gesetz (eventuell in modifizierter Form) erst in den Bundestag eingebracht werden, wenn sich nach der Wahl eine neue Regierung gebildet hat.
Betroffen sind laut Schätzungen des BMJ etwa 9.000 Unternehmen, die entweder in Deutschland niedergelassen sind oder hier Dienste anbieten. Die Frage nach dem Ort der Niederlassung und dem Ort des Diensteangebots kann im Einzelfall durchaus streitig sein, denn der Referentenentwurf lässt diese Definitionen teilweise offen. Für Unternehmen besteht erhebliche Rechtsunsicherheit.
Pflichten für Unternehmen – Wer muss was tun?
Je nach Niederlassung und Angebotsort muss der Diensteanbieter in Deutschland eine Niederlassung benennen, ein Vertreter bestellen oder gar keinen Adressaten einrichten. Welche Pflicht genau gilt, kann anhand der folgenden Matrix ermittelt werden:
|
Ort des Angebots / Ort der NDLG |
Nur in DE |
In DE und in MS |
Nicht in DE, aber in MS |
Weder in DE noch in MS |
|
Nur in DE |
Keine Pflicht nach EBewMG-E |
NDLG in DE benennen |
Vertreter in MS bestellen |
Keine Pflicht nach EBewMG-E |
|
In DE und in MS |
NDLG in DE benennen |
Wahlrecht: NDLG in DE oder NDLG in MS benennen |
NDLG in MS benennen |
Keine Pflicht nach EBewMG-E |
|
Nicht in DE, aber in MS |
Vertreter in DE bestellen |
Keine Pflicht nach EBewMG-E |
Keine Pflicht nach EBewMG-E |
Keine Pflicht nach EBewMG-E |
|
Weder in DE noch in MS |
Vertreter in DE bestellen |
Wahlrecht: Vertreter in DE oder in MS bestellen |
Keine Pflicht nach EBewMG-E |
Keine Pflicht nach EBewMG-E |
|
Legende: DE: Deutschland, MS: EU-Mitgliedstaat außer Deutschland, NDLG: Niederlassung, kursive Anmerkungen: Pflicht folgt nicht aus EBewMG, aber ggf. aus dem Recht der anderen Mitgliedstaaten |
||||
Die Matrix zeigt: Es hängt von den Details des angebotenen Dienstes, dem genauen Geschäftsmodell und den Niederlassungsorten eines Unternehmens ab, welche Benennungspflichten auf den jeweiligen Diensteanbieter zukommen.
Falls ein Diensteanbieter in Deutschland einen Adressaten einrichtet, wird er den Adressaten bei dem Bundesamt für Justiz registrieren müssen (sog. Mitteilungspflicht). Möglich wird dies –des Inkrafttretens des EBewMG vorausgesetzt – ab dem 18. Februar 2026 sein. Der Diensteanbieter muss den Adressaten außerdem hinreichend ausstatten und an die IT-Infrastruktur, über die der Austausch der Anordnungen und der elektronischen Beweismittel abgewickelt werden soll, anschließen.
Und auch auf den Adressaten kommen eine Vielzahl von Pflichten bei der Entgegennahme und Ausführung der Anordnungen zu, u.a. eine (eingeschränkte) Pflicht zur Rechtmäßigkeitskontrolle.
Bei Verstößen gegen die Pflichten aus der e-Evidence-Verordnung werden der Diensteanbieter und der Adressat gemeinschaftlich haften. Den Diensteanbieter werden zudem Bußgelder bei einem Verstoß gegen das EBewMG – z.B. die fehlerhafte Nichtbenennung eines Adressaten – treffen.
Was Unternehmen bereits heute tun können
EBewMG, e-Evidence-Richtlinie und e-Evidence-Verordnung stellen Unternehmen vor neue Herausforderungen. Unklarheiten in der deutschen Umsetzung sorgen für zusätzlichen Klärungsbedarf.
Unternehmen ist anzuraten, den „Countdown“ bis zur Anwendbarkeit der e-Evidence-Verordnung aktiv zu nutzen. Unternehmen sollten sich bereits heute mit der neuen Rechtslage beschäftigen, einschlägige Pflichten identifizieren und bestehende Prozesse auf Vereinbarkeit mit den zukünftigen Regeln prüfen. Alle verpflichteten Unternehmen werden Vorkehrungen treffen müssen, um Europäische Herausgabe- und Sicherungsanordnungen entgegennehmen und prüfen zu können. Erster Schritt hierbei ist die Benennung oder Bestellung des richtigen Adressaten.
Unternehmen sollten auch den Gesetzgebungsprozess des EBewMG genau verfolgen, um die deutschen Besonderheiten – und etwaige Begrenzungen des Anwendungsbereiches in einem zweiten Entwurf – berücksichtigen zu können.
Weitere Informationen
Eine Analyse des EBewMG-Referentenentwurfes sowie eine Übersicht der vorgesehenen Pflichten finden Sie in der aktuellen Ausgabe der Computer und Recht (CR) (Fundstelle: Rexin, CR 2025, 133, abrufbar z.B. über juris.
Wir stehen Ihnen bei allen Fragen zu den Themen EBewMG, e-Evidence und Auskunftsverlangen von Strafverfolgungsbehörden gerne zur Verfügung.
