EU-Verordnung über elektronische Beweismittel: Was Dienstleistungsanbieter vor August 2026 wissen müssen

Ab dem 18. August 2026 wird die EU E-Evidence Verordnung (Verordnung (EU) 2023/1543) wird die Art und Weise, wie Anbieter digitaler Dienste in ganz Europa grenzüberschreitende Ersuchen der Strafverfolgungsbehörden um elektronische Beweismittel bearbeiten, grundlegend verändern. Jedes Unternehmen, das Kommunikationsdienste, Cloud-Speicher, Online-Plattformen oder andere digitale Dienste in der EU anbietet, muss darauf vorbereitet sein, auf Europäische Vorlagebeschlüsse und Europäische Aufbewahrungsbeschlüsse zu reagieren - oft innerhalb extrem kurzer Fristen.

Da mehr als die Hälfte aller strafrechtlichen Ermittlungen inzwischen mit einem grenzüberschreitenden Ersuchen um digitale Beweismittel verbunden ist, schließt die Verordnung eine entscheidende Lücke im bestehenden Rechtsrahmen. Für Diensteanbieter ist es von entscheidender Bedeutung, sowohl die rechtlichen Verpflichtungen als auch die technischen Anforderungen zu verstehen, um erhebliche Strafen und Betriebsunterbrechungen zu vermeiden.

Was ist die EU-Evidence-Verordnung?

Das E-Evidence-Paket besteht aus zwei im Juli 2023 angenommenen Rechtsinstrumenten: der E-Evidence-Verordnung und der E-Evidence-Richtlinie. Zusammen schaffen sie einen einheitlichen EU-weiten Rahmen für den grenzüberschreitenden Zugang zu elektronischen Beweismitteln in Strafverfahren.

Kernstück des Rahmens sind zwei neue Rechtsinstrumente, die das langwierige und bürokratische Verfahren des Rechtshilfevertrags (MLAT) ersetzen, das bisher durchschnittlich zehn Monate in Anspruch nahm.

Europäischer Produktionsauftrag (EPOC): Eine Justizbehörde in einem EU-Mitgliedstaat kann einen Diensteanbieter in einem anderen Mitgliedstaat auffordern, elektronische Beweismittel vorzulegen. Der Anbieter muss innerhalb von 10 Tagen bzw. in Notfällen innerhalb von 8 Stunden antworten.

Europäische Erhaltungsanordnung (EPOC-PR): Eine Justizbehörde kann einen Diensteanbieter auffordern, bestimmte Daten aufzubewahren, damit sie nicht gelöscht werden, bevor eine spätere Vorlageentscheidung ergeht. Die aufbewahrten Daten müssen 60 Tage lang aufbewahrt werden und können auf 90 Tage verlängert werden.

Die Verordnung trat am 18. August 2023 in Kraft. Die E-Evidence-Richtlinie galt ab dem 18. Februar 2026, und die vollständige Verordnung wird am 18. August 2026 anwendbar.

Wer ist davon betroffen?

Der Anwendungsbereich der E-Evidence-Verordnung ist bewusst weit gefasst. Sie gilt für alle Dienstleister, die digitale Dienstleistungen innerhalb der EU anbieten, unabhängig davon, wo sie ihren Sitz haben. Die Verordnung definiert die folgenden Kategorien von betroffenen Anbietern:

• Anbieter elektronischer Kommunikationsdienste - einschließlich Festnetz-, Mobilfunk- und Satellitenbetreiber, VoIP-Dienste, E-Mail-Anbieter und Messaging-Plattformen wie WhatsApp und Telegram
• Anbieter von Internet-Domain-Namen und IP-Nummerierungsdiensten
• Sonstige Dienste der Informationsgesellschaft - einschließlich Cloud-Computing-Anbieter, Online-Plattformen mit Messaging-Funktion (wie eBay, Vinted oder Spieleplattformen) und alle Dienste, bei denen die Datenspeicherung oder -verarbeitung eine entscheidende Komponente ist

Es gibt keine Ausnahmeregelung für die Größe. Klein- und Kleinstunternehmen fallen ebenfalls unter die Verordnung, wenn sie qualifizierte Dienste in der EU anbieten. Indikatoren dafür, dass ein Dienst auf den EU-Markt abzielt, sind u. a. eine Niederlassung in der EU, die Verfügbarkeit in nationalen App-Stores, lokale Werbung oder das Angebot eines Kundensupports in einer der Sprachen der Mitgliedstaaten.

Anbieter aus Drittländern müssen einen gesetzlichen Vertreter oder eine Niederlassung in der EU benennen, um Bestellungen entgegenzunehmen und zu bearbeiten.

Welche Daten können angefordert werden?

In der Verordnung wird zwischen drei Kategorien von elektronischen Beweismitteln unterschieden, die angefordert werden können:

• Daten des Teilnehmers: Angaben zur Identität wie Name, Geburtsdatum, Adresse, Kontaktdaten sowie Angaben zu Art und Dauer der Dienstleistung
• Verkehrsdaten: Metadaten über den Dienst, einschließlich Ursprung und Ziel der Nachrichten, Standort des Geräts, Format und verwendetes Protokoll
• Inhaltliche Daten: Alle anderen digitalen Daten, die von dem Dienst gespeichert oder verarbeitet werden, einschließlich Textnachrichten, Bilder, Videos und Dateien

Bei Inhaltsdaten und nicht identifizierenden Verkehrsdaten muss auch die nationale Durchsetzungsbehörde des Staates, in dem der Anbieter ansässig ist, benachrichtigt werden. Dadurch entsteht ein zusätzlicher Verfahrensschritt mit einer eigenen Frist - die Durchsetzungsbehörde hat 10 Tage (oder 96 Stunden in dringenden Fällen) Zeit, um Einwände zu erheben, bevor die Daten übermittelt werden dürfen.

Die technische und betriebliche Herausforderung

Für viele Dienstleister bringt die E-Evidence-Verordnung operative Anforderungen mit sich, die weit über das hinausgehen, womit sie bisher zu tun hatten. Die kurzen Reaktionsfristen - in Notfällen bis zu 8 Stunden - verlangen von den Anbietern, dass sie über solide Verfahren und Systeme verfügen, bevor der erste Auftrag eingeht.

Zu den wichtigsten technischen und betrieblichen Herausforderungen gehören:

• Schnelle Auftragsannahme und -validierung: Die Anbieter müssen in der Lage sein, eingehende Aufträge in einem strukturierten, standardisierten Format zu empfangen, zu authentifizieren und zu validieren.
• Juristische Beurteilung unter Zeitdruck: Jede Anordnung muss rechtlich geprüft werden, um festzustellen, ob sie den formalen Anforderungen entspricht und ob Ablehnungsgründe wie Konflikte mit dem Recht eines Drittlandes oder Zuständigkeitsfragen vorliegen.
• Identifizierung und Extraktion von Daten: Die angeforderten Daten müssen auf sichere Weise gefunden, extrahiert und für die Übermittlung vorbereitet werden.
• Sichere Kommunikationskanäle: Die Verordnung schreibt ein dezentralisiertes IT-System für die gesamte Kommunikation zwischen Behörden und Dienstleistern vor, das die Integration mit dieser neuen Plattform erfordert
• Koordinierung mit den Vollzugsbehörden: Wenn nationale Behörden benachrichtigt werden müssen, müssen die Anbieter parallele Zeitpläne und mögliche Einspruchsverfahren verwalten
• Vertraulichkeit und Integrität: Die Anbieter müssen dem Stand der Technik entsprechende technische und organisatorische Maßnahmen ergreifen, um die Vertraulichkeit und Integrität sowohl der Aufträge als auch der Daten zu schützen
• Prüfpfade und Dokumentation: Die vollständige Rückverfolgbarkeit aller durchgeführten Maßnahmen ist für die Einhaltung von Vorschriften und mögliche Gerichtsverfahren unerlässlich.

Die Nichteinhaltung der Vorschriften hat schwerwiegende Folgen. Anbietern, die sich zu Unrecht weigern, einer Anordnung nachzukommen, drohen Geldbußen von bis zu 2% ihres gesamten weltweiten Jahresumsatzes.

Gründe für die Ablehnung

Die Verordnung sieht spezifische Gründe vor, aus denen ein Diensteanbieter sich weigern kann, einer Anordnung nachzukommen. Dazu gehören Situationen, in denen die Befolgung aufgrund von Umständen, die sich der Kontrolle des Diensteanbieters entziehen, faktisch unmöglich ist, wenn die Anordnung nicht von einer befugten Behörde ausgestellt wurde oder nicht die vorgeschriebene Form verwendet, oder wenn die angeforderten Daten durch Immunitäten oder Vorrechte nach dem Recht des Vollstreckungsstaats geschützt sind.

Die Dienstleistungserbringer können auch Einwände erheben, wenn die Einhaltung der Vorschriften mit den Verpflichtungen nach dem Recht eines Drittlandes kollidieren würde. In solchen Fällen muss der Dienstleistungserbringer einen begründeten Einspruch unter Verwendung des offiziellen Formulars (Anhang III der Verordnung) einreichen, in dem die kollidierenden rechtlichen Verpflichtungen aufgeführt sind.

Die Bewertung dieser Gründe unter extremem Zeitdruck - vor allem in dringenden Fällen mit einer Frist von 8 Stunden - ist jedoch ohne vorher festgelegte Verfahren und in vielen Fällen mit externer juristischer Unterstützung praktisch unmöglich.

Umsetzung: Wie man sich vorbereitet

Die Dienstleister sollten mit den Vorbereitungen lange vor dem Termin im August 2026 beginnen. Ein strukturierter Umsetzungsansatz sollte die folgenden Schritte umfassen:

1. Bewertung der Anwendbarkeit: Bestimmen Sie, ob Ihr Unternehmen in den Anwendungsbereich der Verordnung fällt, basierend auf den Dienstleistungen, die Sie in der EU anbieten
2. Benennen Sie Verantwortlichkeiten: Zuweisung interner Zuständigkeiten für die Bearbeitung von Europäischen Produktionsaufträgen und Erhaltungsaufträgen
3. Entwicklung von Reaktionsprozessen: Erstellung dokumentierter Arbeitsabläufe für den Erhalt, die Validierung und die Beantwortung von Aufträgen, einschließlich Eskalationsverfahren für dringende Anfragen
4. Umsetzung der technischen Infrastruktur: Sicherstellen, dass Ihre Systeme in der Lage sind, die relevanten Datenkategorien zu identifizieren, zu extrahieren und innerhalb des erforderlichen Zeitrahmens sicher zu übermitteln
5. Integration mit dem dezentralen IT-System: Vorbereitung auf die Integration mit der sicheren Kommunikationsplattform der EU für die Interaktion zwischen Behörden und Anbietern
6. Schaffung der Fähigkeit zur rechtlichen Überprüfung: Sicherstellung des Zugangs zu juristischem Fachwissen - entweder intern oder durch externe Anwälte - für eine rasche Bewertung eingehender Aufträge und möglicher Ablehnungsgründe
7. Test und Übung: Durchführung von Bereitschaftsübungen, um zu überprüfen, ob Ihre Organisation die 10-Tage- und 8-Stunden-Frist unter realistischen Bedingungen einhalten kann

Für viele Unternehmen - insbesondere für kleine und mittlere Dienstleister ohne eigene Compliance- oder Rechtsabteilungen - ist es weder praktikabel noch kosteneffizient, diese Anforderungen intern zu erfüllen.

Wie ICS Dienstleistern bei der Erfüllung von E-Evidence-Verpflichtungen hilft

ICS (International Carrier Services) ist spezialisiert auf Lösungen für rechtmäßiges Abhören, Datenspeicherung und Einhaltung von Vorschriftenns für Kommunikationsdienstleister, digitale Plattformen und andere regulierte Einrichtungen in ganz Europa. Mit seinem umfassenden Fachwissen über ETSI-Normen, grenzüberschreitende Offenlegungsprozesse und Schnittstellen zur Strafverfolgung ist ICS bestens positioniert, um Unternehmen bei der Umsetzung der E-Evidence-Verordnung zu unterstützen.

ICS unterstützt Dienstanbieter mit:

• Implementierung der Behördenschnittstelle: ICS entwirft, implementiert und betreibt behördliche Schnittstellen, die eine strukturierte, automatisierte Verarbeitung von europäischen Produktionsaufträgen und Aufbewahrungsaufträgen ermöglichen - vollständig abgestimmt auf ETSI-Standards und die Anforderungen der E-Evidence-Verordnung
• End-to-End Auftragsmanagement: Von der Annahme und Validierung über die rechtliche Bewertung und Datenextraktion bis hin zur sicheren Übergabe verwaltet ICS den gesamten Lebenszyklus eingehender Aufträge im Namen des Dienstanbieters.
• Integration in bestehende Systeme: ICS-Lösungen lassen sich in die bestehende Infrastruktur und Datenverwaltungsumgebung des Anbieters integrieren, wodurch Unterbrechungen auf ein Minimum reduziert werden und gleichzeitig eine konforme Datenbereitstellung gewährleistet wird.
• Compliance-Beratung: ICS bietet fachkundige Beratungsdienste, die Dienstleistern dabei helfen, ihre rechtlichen Verpflichtungen zu bewerten, konforme Prozesse zu entwickeln und sich auf Audits vorzubereiten
• Verwaltete Serviceleistungen: Für Anbieter, die es vorziehen, den operativen Aufwand vollständig auszulagern, bietet ICS einen vollständig verwalteten Service an, der die Kommunikation mit den Behörden, die Datenübermittlung und die Compliance-Dokumentation als externer, vertrauenswürdiger Partner übernimmt.

Durch die Zusammenarbeit mit einem spezialisierten Anbieter wie ICS können Dienstleister das Risiko der Nichteinhaltung von Vorschriften verringern, den Aufbau komplexer interner Kapazitäten von Grund auf vermeiden und sicherstellen, dass sie vom ersten Tag der Anwendung der Verordnung an auf die Bearbeitung grenzüberschreitender Beweisanfragen vorbereitet sind.

Schlussfolgerung

Die E-Evidence-Verordnung der EU stellt einen bedeutenden Wandel in der Art und Weise dar, wie der grenzüberschreitende Zugang der Strafverfolgungsbehörden zu digitalen Daten in Europa gehandhabt wird. Für Dienstleistungsanbieter führt die Verordnung verbindliche Verpflichtungen mit strengen Fristen und erheblichen Strafen bei Nichteinhaltung ein.

Der 18. August 2026 als Stichtag für die vollständige Anwendung rückt näher, und die Zeit für die Vorbereitung ist jetzt gekommen. Die technischen, rechtlichen und betrieblichen Anforderungen sind erheblich - aber mit dem richtigen Partner und der richtigen Infrastruktur sind sie zu bewältigen.

Setzen Sie sich mit ICS in Verbindung, um zu besprechen, wie wir Ihr Unternehmen bei der Vorbereitung auf die EU-Verordnung über den elektronischen Nachweis unterstützen und die vollständige Einhaltung der Vorschriften vom ersten Tag an gewährleisten können.