E-Evidence ab 18. August 2026: Was Diensteanbieter jetzt tun müssen

Das Wichtigste in Kürze: Ab dem 18. August 2026 können Ermittlungsbehörden aus allen EU-Mitgliedstaaten außer Dänemark digitale Daten unmittelbar bei Diensteanbietern anfordern. Ein zeitintensives Rechtshilfeverfahren und die Einschaltung der Justiz im Sitzstaat des Anbieters sind dafür nicht mehr erforderlich. Betroffen ist nahezu jedes Unternehmen, das in der EU Kommunikationsdienste, Cloud-Hosting, Online-Plattformen mit Nutzerkonten oder IP- und Domain-Services anbietet – unabhängig von seiner Größe.

Unternehmen, die in den Anwendungsbereich fallen, müssen bis zum 18. August 2026 zwei zentrale Vorgaben umsetzen: Sie müssen eine Niederlassung oder einen Vertreter als Adressaten benennen und sich auf der neuen Notification-Platform der EU registrieren. Geht eine Anordnung ein, beträgt die Umsetzungsfrist grundsätzlich 10 Tage, in Notfällen jedoch nur 8 Stunden. Pflichtverstöße können mit Geldbußen von bis zu 500.000 Euro oder bei größeren Unternehmen mit bis zu 2 % des weltweiten Jahresumsatzes geahndet werden.

Stand: [14.08.2026] · Lesezeit: ca. 19 Minuten

Was regelt die E-Evidence-Verordnung – und ab wann gilt sie?

Mit der Verordnung (EU) 2023/1543 werden zwei grenzüberschreitende Instrumente eingeführt, über die Justiz- und Ermittlungsbehörden eines EU-Mitgliedstaates digitale Beweismittel direkt bei einem Anbieter in einem anderen Mitgliedstaat anfordern können. Der bisherige Weg über internationale Rechtshilfeersuchen oder eine Europäische Ermittlungsanordnung ist für diese Verfahren nicht mehr notwendig. Dabei spielt es keine Rolle, wo die angeforderten Daten physisch gespeichert sind – innerhalb oder außerhalb der Europäischen Union.

Die Verordnung trat bereits am 18. August 2023 in Kraft. Nach einer dreijährigen Übergangsfrist wird sie ab dem 18. August 2026 vollständig anwendbar.

In Deutschland ergänzt das Elektronische-Beweismittel-Umsetzungs- und Durchführungsgesetz (EBewMG) die europäischen Regelungen. Das Gesetz wurde am 12. März 2026 verkündet. Die Vorschriften zur Umsetzung der Richtlinie (EU) 2023/1544 gelten seit dem darauffolgenden Tag; die übrigen Bestimmungen treten am 18. August 2026 in Kraft. Das EBewMG regelt insbesondere:

die verbindliche Benennung eines Adressaten (§ 3 EBewMG),
die innerstaatlichen Zuständigkeiten der Behörden (§§ 9 bis 11 EBewMG) und
den Bußgeldkatalog für Pflichtverstöße (§ 18 EBewMG).

Wichtig für die Praxis: Die bereits bestehenden Ermittlungswege bleiben parallel erhalten. Nationale Auskunftsersuchen, Maßnahmen der Gefahrenabwehr und Abfragen über das Bundeskriminalamt (BKA) als Zentralstelle werden weiterhin genutzt. Die E-Evidence-Instrumente ergänzen diese Verfahren um einen zusätzlichen und deutlich beschleunigten Kommunikationsweg.

Bin ich Diensteanbieter im Sinne der Verordnung?

Die entscheidenden Kriterien finden sich in Artikel 3 Nummern 3 und 4 der Verordnung. Erfasst werden natürliche und juristische Personen, die in der Europäischen Union Leistungen aus mindestens einer der folgenden Kategorien anbieten:

Elektronische Kommunikationsdienste: Dazu gehören Internetzugangsdienste, interpersonelle Kommunikationsdienste wie Messenger, E-Mail-Dienste oder Videokonferenzsysteme sowie Dienste, die ausschließlich Signale übertragen. Nicht erfasst ist das bloße Bereitstellen oder redaktionelle Kontrollieren von Inhalten, etwa bei linearem Fernsehen oder journalistischen Online-Medien.
Internetdomänennamen- und IP-Nummerierungsdienste:
Hierzu zählen die Vergabe von IP-Adressen, Domain-Registrierungen, Domain-Registrierungsstellen sowie damit verbundene Privacy- und Proxy-Dienste.
Andere Dienste der Informationsgesellschaft: Gemeint sind Angebote, die eine Kommunikation zwischen Nutzern ermöglichen oder Daten für Nutzer speichern beziehungsweise verarbeiten, sofern die Speicherung ein prägender Bestandteil der Leistung ist. Typische Beispiele sind Cloud- und Hosting-Dienste, Online-Marktplätze, Gaming-Plattformen und soziale Netzwerke.

Ausnahme: Finanzdienstleistungen im Sinne von Art. 2 Abs. 2 Buchst. b der Richtlinie 2006/123/EG werden von der Verordnung nicht erfasst.

Das Marktortprinzip: Entscheidend ist der Zielmarkt, nicht der Sitz

Ob ein Anbieter unter die E-Evidence-Verordnung fällt, bestimmt sich nach dem Marktortprinzip. Ausschlaggebend ist, ob Personen in einem EU-Mitgliedstaat den Dienst nutzen können und eine wesentliche Verbindung zu diesem Staat besteht, wobei beide Voraussetzungen kumulativ vorliegen müssen. Eine solche wesentliche Verbindung kann sich ergeben aus:

einer Niederlassung im jeweiligen Mitgliedstaat,
einer erheblichen Zahl von Nutzern in diesem Staat oder
einer gezielten Ausrichtung der Geschäftstätigkeit auf diesen Staat.

Für die vollständige Anwendbarkeit der Verordnung ist es bereits ausreichend, wenn auch nur in mindestens einem Mitgliedstaat ein Anbieten vorliegt. Eine bereits vorhandene aktive Kundschaft ist für die gezielte Ausrichtung nicht zwingend notwendig. Bietet ein Online-Shop beispielsweise Lieferungen in weitere EU-Staaten an, richtet er sein Angebot grundsätzlich auch auf diese Märkte aus – selbst wenn bislang ausschließlich Bestellungen aus dem Inland eingegangen sind. Umgekehrt werden Unternehmen mit Sitz in der EU nicht erfasst, wenn sie ihre Leistungen ausschließlich außerhalb der Europäischen Union anbieten.

Von den Benennungs- und Registrierungspflichten sind Anbieter nur dann befreit, wenn sie eine Niederlassung in genau einem Mitgliedstaat unterhalten und ihre Dienste ausschließlich in diesem Staat anbieten. Weder Unternehmensgröße noch Umsatz oder Marktbedeutung sind für die Pflichten entscheidend. Damit kann ein spezialisierter Nischenanbieter ebenso erfasst sein wie ein internationaler Großkonzern.

Unsicher, ob Ihr Unternehmen betroffen ist? Die Einordnung hängt vom konkreten Leistungsangebot ab. Abgrenzungsfragen stellen sich insbesondere bei hybriden B2B-Plattformen, SaaS-Lösungen mit Nutzerkonten sowie Diensten mit integrierten Chat- oder Speicherfunktionen. Eine falsche Bewertung kann unmittelbar ein Bußgeldrisiko auslösen. Wir analysieren Ihr Produktportfolio, prüfen die Betroffenheit und begleiten Sie bei der rechtssicheren Bestellung des Adressaten sowie beim Aufbau belastbarer interner Notfallprozesse. [Kontakt-Link]

Herausgabeanordnung oder Sicherungsanordnung – wo liegt der Unterschied?

Die E-Evidence-Verordnung sieht zwei zentrale Instrumente vor, die in Ermittlungsverfahren häufig nacheinander eingesetzt werden:

Instrument	Bescheinigung	Zweck & Rechtsgrundlage	Wirkung & Grenzen
Europäische Herausgabeanordnung (European Production Order)	EPOC	Übermittlung bestimmter Daten an die anfordernde Behörde (Art. 5)	Die Daten müssen bei Eingang bereits gespeichert sein. Eine Echtzeitüberwachung ist nicht zulässig.
Europäische Sicherungsanordnung (European Preservation Order)	EPOC-PR	Sicherung von Daten gegen Löschung oder Veränderung (Art. 6)	Vorbereitende Maßnahme, mit der Daten für ein späteres Herausgabeersuchen eingefroren werden.

Beide Anordnungen erfassen nur Daten, die beim Eingang der Bescheinigung bereits beim Anbieter oder bei dessen Auftragsverarbeiter gespeichert sind (Art. 3 Nr. 8). Eine Verpflichtung zur Vorratsdatenspeicherung oder zur Überwachung laufender Kommunikation in Echtzeit kann darauf nicht gestützt werden.

Für die Anforderung dürfen Ermittlungsbehörden keine eigenen nationalen Formulare verwenden. Verbindlich sind ausschließlich die standardisierten Bescheinigungen nach Anhang I (EPOC) und Anhang II (EPOC-PR) der Verordnung.

Welche Datenkategorien gibt es – und warum ist die Einordnung entscheidend?

Die Verordnung unterscheidet drei Hauptkategorien und eine gesondert definierte Unterkategorie:

Teilnehmerdaten (Art. 3 Nr. 9): Dazu gehören Stammdaten zur Identität eines Kunden, beispielsweise Name, Geburtsdatum, Anschrift, Rechnungs- und Zahlungsdaten, Telefonnummer, E-Mail-Adresse und Vertragsdauer. *Ausdrücklich ausgenommen* sind Passwörter und sonstige Authentifizierungsmittel.
Ausschließlich zur Nutzeridentifizierung angeforderte Daten (Art. 3 Nr. 10): Hierunter fallen IP-Adressen, Quellports und Zeitstempel, allerdings nur, wenn sie im konkreten Fall ausschließlich der Identifizierung eines Nutzers dienen.
Verkehrsdaten (Art. 3 Nr. 11): Erfasst werden technische Kontext- und Verbindungsdaten der Diensterbringung, etwa Absender, Empfänger, Gerätestandort, Datum, Uhrzeit, Dauer, Protokolle, IP-Routen sowie An- und Abmeldezeiten.
Inhaltsdaten (Art. 3 Nr. 12): Gemeint sind sämtliche gespeicherten digitalen Inhalte in Text-, Bild-, Video-, Sprach- oder Tonform, soweit sie weder Teilnehmer- noch Verkehrsdaten sind.

Warum die Datenkategorie alle Folgeschritte steuert

Die Einordnung der angeforderten Informationen in eine Datenkategorie entscheidet über die rechtlichen Voraussetzungen, die zuständige Stelle und den anzuwendenden Prüfungsmaßstab:

Teilnehmer- und Identifizierungsdaten: Eine Herausgabeanordnung ist bei allen Straftaten möglich. Sie kann unmittelbar von einer Staatsanwaltschaft erlassen werden (Art. 4 Abs. 1, Art. 5 Abs. 3).
Verkehrs- und Inhaltsdaten: Für diese Daten gelten erhöhte Anforderungen. Anordnungsberechtigt sind nur Richter, Gerichte oder Ermittlungsrichter; andernfalls ist eine richterliche Validierung erforderlich (Art. 4 Abs. 2). Zusätzlich muss die betreffende Tat im Anordnungsstaat mit einer Höchststrafe von mindestens drei Jahren Freiheitsstrafe bedroht sein oder zu einem besonderen Straftatenkatalog, etwa Cybercrime oder Terrorismus, gehören (Art. 5 Abs. 4).
Sicherungsanordnungen (EPOC-PR): Bei ihnen wird nicht zwischen den Datenkategorien unterschieden. Sie können bei allen Straftaten erlassen werden (Art. 4 Abs. 3, Art. 6 Abs. 3).

Schnittstelle zum deutschen Recht: § 8 EBewMG ordnet die unionsrechtlichen Begriffe den deutschen Datenkategorien zu. Teilnehmerdaten entsprechen im Wesentlichen den Bestandsdaten nach § 3 Nr. 6 TKG und § 2 Abs. 2 Nr. 2 TDDDG; Verkehrsdaten entsprechen § 3 Nr. 70 TKG. Für Inhaltsdaten gibt es im deutschen Recht keinen unmittelbar deckungsgleichen dogmatischen Begriff. Dabei ist zu beachten, dass die Vorschrift eine reine Auslegungshilfe ist, die endgültige Datenzuordnung aber unionsrechtlich determiniert ist.

Welche Fristen gelten – im Regelfall und im Notfall?

Die maßgeblichen Fristen beginnen bereits mit dem formalen Eingang der Bescheinigung beim benannten Adressaten. Auf den Zeitpunkt der internen Weiterleitung an die Rechtsabteilung kommt es nicht an.

Herausgabeanordnung (EPOC) 
 ├── Sofort bei Eingang ───► Daten unverzüglich sichern (einfrieren) 
 ├── Standardfall ─────────► Herausgabe innerhalb von 10 Tagen 
 └── Notfall (Art. 3 Nr. 18) ──► Herausgabe innerhalb von max. 8 Stunden
 
Sicherungsanordnung (EPOC-PR) 
 └── Aufbewahrung ─────────► 60 Tage (Verlängerung um 30 Tage möglich)

1. Herausgabeanordnung (EPOC)

Sofortpflicht: Direkt nach Eingang müssen die betroffenen Daten unverzüglich gesichert werden (Art. 10 Abs. 1). Diese Pflicht besteht unabhängig davon, ob die spätere Herausgabe abgelehnt oder beanstandet wird.
Standardfrist ohne Einbindung der Vollstreckungsbehörde: Die angeforderten Daten sind spätestens innerhalb von 10 Tagen zu übermitteln (Art. 10 Abs. 3).
Sperrfrist bei Einbindung der Vollstreckungsbehörde: Wird die zuständige Vollstreckungsbehörde im Heimatstaat unterrichtet, darf die Übermittlung grundsätzlich erst nach Ablauf von 10 Tagen erfolgen, sofern die Vollstreckungsbehörde keinen Ablehnungsgrund geltend macht (Art. 10 Abs. 2). Eine vorzeitige Herausgabe verstößt gegen die Verordnung. Erklärt die Vollstreckungsbehörde bereits vor Ablauf der 10 Tage, dass Sie keine Ablehnungsgründe geltend machen wird, dürfen und sollen die Daten auch bereits ab diesem Zeitpunkt übermittelt werden.
Notfallfrist: Besteht eine unmittelbare Gefahr für Leben, körperliche Unversehrtheit, die Sicherheit einer Person oder kritische Infrastrukturen im Sinne von Art. 3 Nr. 18, müssen die Daten unverzüglich und spätestens innerhalb von 8 Stunden übermittelt werden (Art. 10 Abs. 4).

2. Sicherungsanordnung (EPOC-PR)

Die bezeichneten Daten sind unverzüglich einzufrieren. Die Sicherungspflicht endet grundsätzlich nach 60 Tagen, wenn die Behörde innerhalb dieses Zeitraums kein Herausgabeersuchen nachreicht. Die Anordnungsbehörde kann die Frist einmalig um 30 Tage verlängern (Art. 11 Abs. 1).

3. Was gilt bei fehlerhaften Bescheinigungen?

Ist eine Bescheinigung unvollständig, offensichtlich fehlerhaft oder nicht hinreichend klar, muss der Adressat unverzüglich über das Formular in Anhang III eine Klarstellung verlangen. Die Behörde hat anschließend 5 Tage Zeit, um zu reagieren. Bei einer Herausgabeanordnung ruht die Ausführungspflicht bis zur Berichtigung (Art. 10 Abs. 6). Bei einer Sicherungsanordnung endet die Aufbewahrungspflicht vollständig, wenn die Behörde die Fünftagesfrist ohne Reaktion verstreichen lässt (Art. 11 Abs. 5).

Welche Pflichten treffen den Adressaten sonst noch?

Vertraulichkeit und Datensicherheit (Art. 13 Abs. 4):
Diensteanbieter müssen angemessene technische und organisatorische Maßnahmen (TOM) nach dem aktuellen Stand der Technik umsetzen. Dadurch sind sowohl die Geheimhaltung der Anordnung als auch die Integrität der gesicherten Daten zu gewährleisten.
Striktes Benachrichtigungsverbot (Anhang I Abschn. H): Der Adressat darf den betroffenen Nutzer unter keinen Umständen über die Anordnung informieren. Die Benachrichtigung ist ausschließlich Aufgabe der Ermittlungsbehörde, ein Transparenzhinweis gegenüber dem Kunden wäre daher ein erheblicher Rechtsverstoß.
Sonderfall Auftragsverarbeiter (Art. 5 Abs. 6, 7): Grundsätzlich werden Anordnungen an den datenschutzrechtlich Verantwortlichen gerichtet. Ein Auftragsverarbeiter darf nur unmittelbar kontaktiert werden, wenn der Verantwortliche trotz zumutbarer Bemühungen nicht ermittelt werden kann oder wenn dessen Kontaktierung die Ermittlungen gefährden würde. In diesem Fall muss der Auftragsverarbeiter den Verantwortlichen informieren, sofern die Behörde dies nicht ausdrücklich untersagt hat.
Technische Infrastruktur (Art. 19 Abs. 3): Unternehmen müssen dafür sorgen, dass die benannte Niederlassung beziehungsweise der bestellte Vertreter technisch an das dezentrale EU-IT-System angebunden ist. Nur so können Ersuchen empfangen und Daten sicher übermittelt werden.

Was darf der Anbieter prüfen – und was nicht?

In der betrieblichen Praxis ist häufig unklar, wie weit die Prüfungsrechte und Prüfungspflichten eines Diensteanbieters reichen:

Keine umfassende Rechtmäßigkeitsprüfung: Der Adressat muss und darf die materielle Rechtmäßigkeit der Ermittlungsmaßnahme nicht vollständig überprüfen. Die Verantwortung dafür liegt bei der Anordnungsbehörde (Art. 15 Abs. 2). Die in Art. 10 und 11 vorgesehenen Prüfungsrechte begründen ebenfalls keine umfassenden eigenen Ermittlungspflichten. Aus Art. 6 DSGVO dürfte sich aber zumindest die Pflicht einer abgestuften Plausibilitätskontrolle ergeben.
Zwingende Tatsachen- und Hindernisprüfung: Erkennt der Anbieter, dass die Herausgabe physisch oder technisch unmöglich ist oder dass die Bescheinigung schwerwiegende Mängel enthält, muss er die Behörde unverzüglich über Anhang III informieren. Eine unterlassene oder unzutreffende Rückmeldung kann als Ordnungswidrigkeit mit einem Bußgeld geahndet werden (§ 18 Abs. 2 Nr. 5, 6 EBewMG). Eine derartige Information gegenüber der Anordnungs- und Vollstreckungsbehörde ist gemäß Art. 10 Abs. 5, 11 Abs. 4 auch dann notwendig, wenn der Diensteanbieter allein aufgrund der Informationen des EPOC/EPOC-PR der Auffassung ist, dass die Vollstreckung bestimmte Rechte des Vollstreckungsstaates beeinträchtigen könnte. Eine vertiefte Prüfpflicht ergibt sich daraus aber nicht.
Prüfung durch die Vollstreckungsbehörde: Wird die Vollstreckungsbehörde des Heimatstaates über die Notifizierung durch die Anordnungsbehörde nach Art. 8 Abs. 1 eingebunden, prüft sie nach Art. 12 Abs. 1 mögliche Ablehnungsgründe. Dazu zählen insbesondere Immunitäten, der Schutz der Pressefreiheit, offensichtliche Grundrechtsverstöße und das Verbot der Doppelbestrafung (ne bis in idem). Erhebt die Behörde Einwände, darf der Diensteanbieter die Daten nicht übermitteln. Wird die Vollstreckungsbehörde hingegen erst durch eine Mitteilung des Diensteanbieters nach Art. 10 Abs. 5 oder Art. 11 Abs. 4 eingebunden, verbleibt die Letztentscheidungsbefugnis ausschließlich bei der Anordnungsbehörde.

Gefahrenzone ohne Schutzschild: Bei Sicherungsanordnungen sowie bei Herausgabeanordnungen, die Teilnehmer- oder Identifizierungsdaten betreffen, wird die Vollstreckungsbehörde nicht unterrichtet. Dasselbe gilt, wenn sowohl Tatort als auch Wohnort im Anordnungsstaat liegen (Art. 8 Abs. 2), wobei die Feststellung dieser Voraussetzungen allein der Einschätzung durch die Anordnungsbehörde unterliegt. In diesen Konstellationen kommuniziert die ausländische Behörde direkt mit dem Anbieter, ohne dass eine deutsche Behörde zwischengeschaltet ist.

Was gilt bei Kollisionen mit dem Recht von Drittstaaten?

Steht eine EU-Herausgabeanordnung im Widerspruch zu gesetzlichen Verpflichtungen eines Drittstaates, beispielsweise der USA, kann der Anbieter nach Art. 17 einen begründeten Einwand erheben.

Der Einwand ist über Anhang III Abschnitt E einzureichen.
Er muss ausführlich begründet werden. Darzustellen sind insbesondere die einschlägige ausländische Rechtsnorm, das geschützte Rechtsgut, die Verbindung des Anbieters zum Drittstaat und die konkret drohenden Sanktionen.
Hält die EU-Behörde trotz des Einwands an ihrer Anordnung fest, muss sie eine gerichtliche Entscheidung im Anordnungsstaat herbeiführen. Bis zu dieser Entscheidung ist die Herausgabepflicht ausgesetzt. Die Pflicht zur Datensicherung besteht jedoch fort.

Für Unternehmensgruppen mit US-amerikanischer Muttergesellschaft oder weltweit verteilten Rechenzentren ist diese Prüfung besonders relevant. Ein pauschaler Verweis auf US-Recht genügt nicht. Umgekehrt kann ein versäumter Einwand erhebliche Haftungsrisiken im Drittstaat auslösen.

Wen muss ich benennen, und wo muss ich mich registrieren?

Bis spätestens 18. August 2026 müssen betroffene Unternehmen zwei rechtlich eigenständige Pflichten erfüllen:

Pflicht 1: Benennung eines Adressaten

Anbieter, die bereits am 18. Februar 2026 Dienste in der EU erbracht haben, müssen nach Art. 3 Abs. 6 der Richtlinie (EU) 2023/1544 eine geeignete Vertretungsstruktur benennen:

Unternehmen mit EU-Niederlassung: Sie benennen eine Niederlassung mit eigener Rechtspersönlichkeit.
Unternehmen ohne EU-Niederlassung: Sie bestellen einen juristischen Vertreter in einem teilnehmenden Mitgliedstaat.

Der benannte Adressat muss über ausreichende Befugnisse und Ressourcen verfügen, um Anordnungen auch innerhalb der kurzen gesetzlichen Fristen umzusetzen (§ 3 EBewMG). Anbieter mit Sitz in Deutschland übermitteln die schriftliche Mitteilung an das Bundesamt für Justiz (BfJ) (§ 6 Abs. 1 EBewMG).

Pflicht 2: Registrierung auf der Notification-Platform der EU

Die Kommunikation mit den Behörden erfolgt über das dezentrale IT-Netzwerk e-CODEX. Diensteanbieter müssen sich auf der zentralen EU-Notification-Platform registrieren und dort die Kontaktdaten ihres Adressaten hinterlegen. Das BfJ validiert die Angaben; anschließend werden die Daten in die Court Data Base (CDB) übernommen.

Für die technische Koordinierung ist die E-Justiz Koordinierungsstelle Europa beim Justizministerium Nordrhein-Westfalen zuständig. Der Zugang zum System erfolgt über die Referenzimplementierung JUDEX oder – insbesondere bei Großanbietern – über eine direkte API-Schnittstelle.

Anbieter-Registrierung ──► BfJ (Validierung) ──► Court Data Base (CDB) ──► e-CODEX / JUDEX Anbindung

Tipp aus der Praxis: Im Anmeldeformular muss unter Punkt C zwingend die E-Mail-Adresse einer technischen Kontaktperson eingetragen werden. Obwohl das Feld nicht ausdrücklich als Pflichtfeld ausgewiesen ist, führt eine fehlende Angabe zur Ablehnung der Validierung. Beanstandet das BfJ die Anmeldung, muss das Formular nach derzeitigem Stand vollständig neu ausgefüllt werden.

Was droht bei Verstößen?

Verstöße gegen die E-Evidence-Vorgaben sind als Ordnungswidrigkeiten ausgestaltet. In Deutschland ist das Bundesamt für Justiz für ihre Ahndung zuständig:

Fehlende Benennung oder Registrierung: Wer bis zum 18. August 2026 keinen Adressaten benennt oder die erforderliche Registrierung nicht abschließt, riskiert eine Geldbuße von bis zu 500.000 Euro (§ 18 Abs. 3 Nr. 1a EBewMG).
Umsatzbezogene Geldbußen: Bei Unternehmen mit einem Jahresumsatz von mehr als 25 Millionen Euro beziehungsweise – abhängig vom jeweiligen Tatbestand – mehr als 5 Millionen Euro können Bußgelder von bis zu 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden (§ 18 Abs. 4–6 EBewMG). Das betrifft insbesondere die Nichtbefolgung von Herausgabe- oder Sicherungsanordnungen sowie Verstöße gegen die Anforderungen an die IT-Sicherheit nach Art. 13 Abs. 4.

Was tun, wenn eine Anordnung eingeht? Der Notfall-Leitfaden

Die Frist von 10 Tagen beziehungsweise 8 Stunden beginnt mit dem physischen oder elektronischen Eingang der Bescheinigung beim benannten Adressaten.

Phase 1: Sofortmaßnahmen (Stunde 0 bis 2)

Daten unverzüglich einfrieren: Die sofortige Sicherung der betroffenen Daten hat höchste Priorität. Sie muss erfolgen, bevor die rechtliche Prüfung vollständig abgeschlossen ist.
Fristkategorie bestimmen: Prüfen Sie Abschnitt C der Bescheinigung und klären Sie, ob die reguläre 10-Tages-Frist, eine 10-tägige Sperrfrist oder die Notfallfrist von 8 Stunden gilt.
Vertraulichkeit gewährleisten: Beschränken Sie die Zugriffsrechte auf den erforderlichen Personenkreis. Der betroffene Nutzer darf nicht informiert werden.

Phase 2: Rechtliche und technische Prüfung (innerhalb von 24 Stunden)

Formelle Prüfung: Wurde das zutreffende Formular nach Anhang I oder Anhang II verwendet? Ist die ausstellende Behörde nach Art. 4 zuständig? Sind Nutzer, Zeitraum und Datenkategorie eindeutig bezeichnet? Liegen Mängel vor, ist unverzüglich über Anhang III eine Klarstellung anzufordern; dadurch wird die Ausführungsfrist gehemmt.
Faktische Prüfung: Waren die angeforderten Daten beim Eingang der Bescheinigung tatsächlich auf den Servern vorhanden? Ist eine Herausgabe technisch unmöglich? Solche Hindernisse müssen der Behörde unverzüglich über Anhang III mitgeteilt werden.
Kollisionsprüfung: Prüfen Sie, ob Berufsgeheimnisse, Immunitäten oder Konflikte mit dem Recht eines Drittstaates berührt sind.

Phase 3: Datenübermittlung und Dokumentation

Datenumfang strikt begrenzen: Übermitteln Sie ausschließlich die Daten, die von der Anordnung eindeutig erfasst werden. Eine darüber hinausgehende Datenherausgabe kann gegen die DSGVO verstoßen.
Sperrfrist einhalten: Ist die Vollstreckungsbehörde durch die Anordnungsbehörde eingebunden, dürfen die Daten ohne ausdrückliche Freigabe grundsätzlich nicht vor Ablauf der 10 Tage übermittelt werden.
Lückenlose Audit-Sicherheit herstellen: Dokumentieren Sie den Eingangszeitpunkt, sämtliche Prüfschritte, den Schriftverkehr über die Formulare und die tatsächlich übermittelten Datensätze nachvollziehbar und rechtssicher.

Sie haben eine E-Evidence-Anordnung erhalten? Die Frist läuft bereits. Fehler bei der Umsetzung können Geldbußen von bis zu 2 % des weltweiten Umsatzes auslösen; eine zu weitgehende Herausgabe kann zugleich Haftungsrisiken nach der DSGVO begründen. Wir prüfen Anordnungen kurzfristig auf Zuständigkeit, formelle Mängel und mögliche Konflikte mit Drittstaatenrecht. Rufen Sie uns direkt an: [24-Stunden-Notfallnummer +49 231 958068-50]

Fazit: Die Checkliste für Diensteanbieter

◻ Betroffenheit dokumentieren: Ordnen Sie Ihre Produkte den Kategorien des Art. 3 Nr. 3 zu und prüfen Sie das Marktortprinzip für jeden EU-Mitgliedstaat. Nehmen Sie das Ergebnis der Analyse – auch bei einem Negativtest – in die Compliance-Akte auf.
◻ Adressaten festlegen: Entscheiden Sie, ob eine EU-Niederlassung oder ein Vertreter benannt wird, weisen Sie die erforderlichen Ressourcen zu und bereiten Sie die Mitteilung an das Bundesamt für Justiz vor.
◻ EU-Registrierung abschließen: Führen Sie die Anmeldung auf der Notification-Platform vollständig durch und beachten Sie insbesondere die technische Kontaktperson unter Punkt C.
◻ Anbindung sicherstellen: Richten Sie den Zugang zu JUDEX oder die vorgesehene API-Schnittstelle ein.
◻ 24/7-Eskalationsprozess aufsetzen: Definieren Sie Rufbereitschaften und interne Eskalationswege für die 8-Stunden-Notfallfrist.
◻ Formular-Vorlagen bereitstellen: Hinterlegen Sie standardisierte Prüfschemata sowie vorbereitete Muster für Mitteilungen nach Anhang III.
◻ IT-Export-Werkzeuge testen: Stellen Sie sicher, dass Daten selektiv nach Nutzer, Zeitraum und Datenkategorie exportiert werden können.
◻ Mitarbeiter schulen: Führen Sie einen vollständigen Probelauf vom Eingang einer Anordnung bis zur sicheren Datenübermittlung durch.

Vorbereitung mit Frist: Spätestens am 18. August 2026 müssen Vertretungsstruktur und Registrierung eingerichtet sein. Wir unterstützen Sie bei der Compliance-Analyse, der Benennung des Adressaten, der Meldung an das BfJ und dem Aufbau eines belastbaren internen E-Evidence-Prozesses. [Kontaktieren Sie uns]

Häufig gestellte Fragen (FAQ)

Ab wann gilt die E-Evidence-Verordnung?

Die Verordnung (EU) 2023/1543 trat am 18. August 2023 in Kraft. Nach der dreijährigen Übergangsphase gilt sie vollständig ab dem 18. August 2026. Auch das deutsche EBewMG tritt im Wesentlichen am 18. August 2026 in Kraft.

Sind auch kleine Unternehmen und Nischenanbieter betroffen?

Ja. Die E-Evidence-Verordnung knüpft weder an den Umsatz noch an die Größe eines Unternehmens an. Entscheidend ist, ob der Anbieter eine der in Art. 3 Nr. 3 genannten Dienstleistungskategorien in der EU anbietet; dazu gehört, dass eine wesentliche Verbindung zu einem Mitgliedstaat besteht.

Gilt die Verordnung für Unternehmen mit Sitz außerhalb der EU?

Ja. Aufgrund des Marktortprinzips werden auch Anbieter aus Drittstaaten erfasst, wenn sie ihre Dienste in der Europäischen Union anbieten. Sie müssen bis zum 18. August 2026 einen Vertreter in der EU benennen.

Wie viel Zeit bleibt für die Beantwortung einer Herausgabeanordnung?

Im Regelfall beträgt die Frist 10 Tage, im Notfall nur 8 Stunden. Wird die Vollstreckungsbehörde des Heimatstaates eingebunden, gilt vor der Datenübermittlung eine 10-tägige Sperrfrist, deren Sperrwirkung vorzeitig mit einer Verzichtserklärung der Vollstreckungsbehörde aufgehoben werden kann. Die Pflicht, die betroffenen Daten zu sichern, beginnt in jedem Fall sofort mit dem Eingang der Anordnung.

Wie lange müssen Daten bei einer Sicherungsanordnung gespeichert werden?

Die reguläre Sicherungsfrist beträgt 60 Tage. Die Behörde kann sie einmalig um weitere 30 Tage verlängern. Geht innerhalb dieses Zeitraums ein Herausgabeersuchen ein, bleibt die Sicherungspflicht bis zur Übermittlung der Daten bestehen.

Dürfen betroffene Nutzer über die Datenanforderung informiert werden?

Nein. Der Diensteanbieter darf den betroffenen Nutzer nicht über die Anordnung informieren. Für die Benachrichtigung ist ausschließlich die Ermittlungsbehörde zuständig. Ein Auftragsverarbeiter muss allerdings den Verantwortlichen informieren, sofern die Behörde dies nicht ausdrücklich untersagt hat.

Was passiert bei unterlassener Registrierung?

Wer die Registrierung oder die Benennung eines Adressaten versäumt, begeht eine Ordnungswidrigkeit. Der Bußgeldrahmen reicht bis zu 500.000 Euro; bei größeren Unternehmen können Geldbußen von bis zu 2 % des weltweiten Jahresumsatzes verhängt werden.

Hinweis: Dieser Beitrag dient ausschließlich der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. Ob Ihr Unternehmen in den Anwendungsbereich fällt und wie eine konkrete Anordnung zu behandeln ist, bedarf einer individuellen Prüfung. Kontaktieren Sie uns für eine vertrauliche Erstberatung: [Kontakt/ +49 231 958068-0/ 24-Stunden-Notfallnummer +49 231 958068-50]

Dr. Marius Haak

Rechtsanwalt | Partner
Fachanwalt für Strafrecht
Certified Investigation Expert
Datenschutzbeauftragter (TÜV)
Lehrbeauftragter an der Universität Münster

Kontakt
haak@park-wirtschaftsstrafrecht.de
+49 231 958068-88