E-Evidence-Verordnung tritt in Kraft: Neue Pflichten für Diensteanbieter in der EU

Elektronische Beweismittel wie E-Mails, Chatnachrichten, Cloud-Daten oder Nutzerinformationen spielen in Strafverfahren eine immer größere Rolle. Um den Zugriff auf solche Daten grenzüberschreitend zu erleichtern, hat die Europäische Union mit der E-Evidence-Verordnung ein neues Instrument geschaffen. Ziel ist es, bislang häufig langwierige Rechtshilfeverfahren zwischen Mitgliedstaaten zu verkürzen und Ermittlungsbehörden einen schnelleren Zugang zu relevanten Informationen zu ermöglichen.

Eine wesentliche Neuerung besteht darin, dass Behörden unter bestimmten Voraussetzungen Sicherungs- und Herausgabeanordnungen unmittelbar an Unternehmen in anderen EU-Mitgliedstaaten richten können. Die Verordnung verlagert damit einen Teil der grenzüberschreitenden Zusammenarbeit von staatlichen Stellen auf private Diensteanbieter.

Der Anwendungsbereich der Verordnung ist weit gefasst. Erfasst werden insbesondere Anbieter von Kommunikations-, Hosting- und Cloud-Diensten sowie weitere Unternehmen, die Nutzern die Speicherung von Daten oder elektronische Kommunikation ermöglichen. Betroffen sind damit nicht nur große Technologiekonzerne, sondern auch viele kleine und mittelständische Unternehmen.

Die Verordnung sieht zwei zentrale Instrumente vor:

• Zum einen können Behörden Sicherungsanordnungen erlassen, die Unternehmen verpflichten, bestimmte Daten vorübergehend zu sichern, um deren Verlust oder Löschung zu verhindern.
• Zum anderen können Herausgabeanordnungen den Anbieter verpflichten, bestimmte Daten an die anordnende Behörde zu übermitteln. Aufgrund ihrer höheren Eingriffsintensität unterliegen Herausgabeanordnungen strengeren Voraussetzungen. Soweit Verkehrs- oder Inhaltsdaten betroffen sind, dürfen sie grundsätzlich nur bei schwereren Straftaten erlassen werden, die im Anordnungsstaat mit einer Höchststrafe von mindestens drei Jahren bedroht sind, oder bei bestimmten in der Verordnung ausdrücklich genannten Delikten. Je nach Art der angeforderten Daten gelten unterschiedliche Voraussetzungen und Schutzmechanismen. 

Besonders herausfordernd sind die kurzen Reaktionsfristen: Unternehmen müssen angeforderte Daten grundsätzlich innerhalb von zehn Tagen bereitstellen. In Eilfällen kann die Frist auf lediglich acht Stunden verkürzt werden. Betroffene Unternehmen sollten daher sicherstellen, dass interne Prozesse eine schnelle Identifizierung, Bewertung und Bearbeitung entsprechender Anordnungen ermöglichen.

Zwar enthält die Verordnung verschiedene Konsultations- und Prüfungsmechanismen für bestimmte Einwände gegen Anordnungen. Ein umfassender Rechtsbehelf gegen Sicherungs- oder Herausgabeanordnungen ist jedoch nicht vorgesehen. Dies dürfte kritisch zu sehen sein, da Unternehmen innerhalb kurzer Fristen komplexe rechtliche Bewertungen vornehmen müssen.

Bei Verstößen gegen die neuen Pflichten drohen erhebliche Sanktionen. Nach dem deutschen Umsetzungs- und Durchführungsgesetz können Bußgelder bei größeren Unternehmen (Gesamtumsatz von mehr als EUR 5 Mio.) bis zu 2 % des weltweiten Jahresumsatzes eines Unternehmens betragen. Bei kleineren Unternehmen können Geldbußen von maximal 500.000 EUR verhängt werden. Vor diesem Hintergrund sollten betroffene Unternehmen ihre internen Zuständigkeiten, Compliance-Strukturen sowie Datenmanagement- und Dokumentationsprozesse überprüfen und gegebenenfalls anpassen, um die kurzen Reaktionsfristen rechtssicher einhalten zu können.

Die E-Evidence-Verordnung markiert einen grundlegenden Wandel bei der grenzüberschreitenden Beschaffung elektronischer Beweismittel innerhalb der EU. Durch die Möglichkeit, Anordnungen – nunmehr grenzüberschreitend – unmittelbar an Unternehmen zu richten, werden Ermittlungsverfahren beschleunigt, gleichzeitig steigen jedoch die organisatorischen und rechtlichen Anforderungen für betroffene Diensteanbieter erheblich.

Die der Verordnung flankierend zur Seite stehende Richtlinie (EU) 2023/1544 verpflichtet Unternehmen zudem, Vertreter bzw. Adressaten zu benennen, an die Anordnungen nach der Verordnung zu richten sind. Diese Verpflichtung gilt sowohl für Unternehmen mit mehreren Niederlassungen innerhalb der EU als auch für Unternehmen, die ihre Dienste in der EU anbieten, ohne dort über eine Niederlassung zu verfügen.