Rechtsanwalt & Spezialist für Kryptorecht & KI-Recht, Zertifizierter Geldwäschebeauftragter (TÜV)
T (+49) 040 / 7344 086-0
Rechtsanwältin & Expertin für IT-Recht und Datenschutz
T (+49) 040 / 7344 086-0
Rechtsanwältin, Fachanwältin für Informationstechnologierecht & Zertifizierte Datenschutzbeauftragte (TÜV)
T (+49) 040 / 7344 086-0
Blog News
Seit dem 18. August 2026 gelten die operativen E-Evidence-Pflichten für viele digitale Diensteanbieter. Der Beitrag erklärt Anwendungsbereich, Adressatenpflicht, Herausgabe- und Sicherungsfristen sowie Bußgelder nach der Verordnung (EU) 2023/1543 und dem EBewMG und zeigt, welche Compliance-Prozesse Unternehmen jetzt benötigen.
Mit der Verordnung (EU) 2023/1543 können zuständige Justizbehörden elektronische Beweismittel grenzüberschreitend über Europäische Herausgabe- und Sicherungsanordnungen anfordern. Adressiert werden grundsätzlich die benannte Niederlassung oder der bestellte Vertreter des Diensteanbieters. Das deutsche EBewMG ergänzt den EU-Rahmen um Zuständigkeiten, Verfahren und Sanktionen.
Für Unternehmen ist E-Evidence deshalb kein reines Strafverfahrensrecht. Die Regeln werden zu einer operativen Aufgabe für Legal, Compliance, Datenschutz, Informationssicherheit und den technischen Betrieb.
Der Anwendungsbereich erfasst nicht pauschal jedes Unternehmen mit einer Website oder App. Entscheidend ist, ob die konkrete Leistung unter die gesetzlichen Kategorien eines Diensteanbieters fällt und in der Europäischen Union angeboten wird.
Erfasst sein können insbesondere elektronische Kommunikationsdienste, Dienste rund um Internet-Domainnamen und IP-Nummerierung sowie bestimmte Dienste der Informationsgesellschaft, bei denen Nutzer miteinander kommunizieren können oder die Speicherung beziehungsweise Verarbeitung von Daten ein prägendes Element der Leistung ist. Die Erwägungsgründe nennen unter anderem Hosting- und Cloud-Angebote, Online-Marktplätze mit Kommunikationsfunktion sowie Online-Gaming- und Online-Glücksspielplattformen.
Unternehmen mit gemischten Geschäftsmodellen sollten jede Leistung gesondert prüfen. Auch Niederlassungsstruktur, Zielmarkt und Konzernorganisation können beeinflussen, wo ein Adressat zu benennen oder ein Vertreter zu bestellen ist.
§3 Abs. 5 EBewMG verlangte von Diensteanbietern, die am 18. Februar 2026 in der EU Dienste anboten, spätestens bis zum 18. August 2026 mindestens einen Adressaten zu benennen oder zu bestellen. Neue Anbieter haben hierfür grundsätzlich sechs Monate ab Beginn ihres EU-Angebots. Der Adressat muss nach § 3 Abs. 4 EBewMG über die notwendigen Befugnisse und Ressourcen verfügen.
Eine Europäische Herausgabeanordnung wird über eine Bescheinigung, das EPOC, übermittelt. Der Adressat muss die angeforderten Daten zunächst zügig sichern und sie grundsätzlich spätestens innerhalb von zehn Tagen übermitteln. In gesetzlich definierten Notfällen verkürzt sich die Frist auf höchstens acht Stunden.
Eine Europäische Sicherungsanordnung wird über ein EPOC-PR übermittelt. Die verlangten Daten sind ohne unnötige Verzögerung zu sichern. Die Daten sind grundsätzlich für 60 Tage zu sichern. Die Anordnungsbehörde kann diese Frist um weitere 30 Tage verlängern. Wird rechtzeitig bestätigt, dass ein anschließendes Herausgabeersuchen eingeleitet wurde, kann die Sicherung darüber hinaus bis zur weiteren Behandlung dieses Ersuchens erforderlich bleiben.
Diese kurzen Fristen verlangen mehr als ein allgemeines Behördenpostfach. Unternehmen benötigen erreichbare Verantwortliche, Vertretungsregeln, eine belastbare Authentizitätsprüfung, sichere Übertragungswege und technische Verfahren, mit denen betroffene Daten abgegrenzt, vor Löschung geschützt und nachvollziehbar behandelt werden können.
Zugleich darf eine schnelle Bearbeitung nicht zur ungeprüften Datenweitergabe führen. Zuständigkeit, Datenkategorie, Reichweite, Vertraulichkeit, Privilegien, Geheimnisschutz und mögliche Konflikte mit Drittstaatenrecht gehören in einen verbindlichen Prüfkatalog.
§18 EBewMG sanktioniert sowohl Fehler bei Benennung und Mitteilung des Adressaten als auch Verstöße gegen zentrale Ausführungs- und Sicherungspflichten der EU-Verordnung.
Je nach Tatbestand sind Geldbußen bis zu 500.000 Euro oder bis zu 100.000 Euro möglich. Je nach Tatbestand drohen Geldbußen bis zu 500.000 Euro oder bis zu 100.000 Euro. Bei Diensteanbietern mit einem weltweiten Gesamtumsatz von mehr als 25 Millionen Euro können bestimmte Verstöße stattdessen mit bis zu zwei Prozent des Gesamtumsatzes sanktioniert werden. Für bestimmte Mitteilungs- und Informationsverstöße gilt diese umsatzbezogene Obergrenze bereits bei einem Gesamtumsatz von mehr als fünf Millionen Euro.
Neben dem Bußgeldrisiko drohen operative Schäden: verspätete Eskalationen, unzulässige Offenlegungen, Beeinträchtigungen von Kundenvertrauen und Konflikte mit vertraglichen Geheimhaltungspflichten. E-Evidence sollte deshalb in das Compliance Management System und in bestehende Incident-Response-Strukturen eingebunden werden.
Erstens sollte das Diensteportfolio rechtlich abgegrenzt werden. Besonders wichtig sind Kommunikations-, Hosting-, Cloud-, Plattform- und Speicherfunktionen.
Zweitens sind Benennung oder Bestellung des Adressaten, Kontaktdaten, Sprachen und Meldung an die zuständige zentrale Behörde zu dokumentieren. In Deutschland überwacht das Bundesamt für Justiz die Pflichten aus §§ 3 und 4 EBewMG.
Drittens braucht es einen getesteten Response-Prozess. Acht-Stunden-Fälle erfordern eine belastbare Erreichbarkeit auch außerhalb üblicher Bürozeiten. Rollen zwischen Legal, Datenschutz, Informationssicherheit und Betrieb sollten vorab feststehen.
Viertens müssen Prozesse zur Datenhaltung und Löschung technisch und organisatorisch mit eingehenden Sicherungsanordnungen abgestimmt werden. Ein Legal Hold darf weder zu spät greifen noch über den erforderlichen Umfang hinausgehen.
Fünftens sollten Unternehmen einen Probelauf durchführen. Dabei lässt sich prüfen, ob Eingang, Authentifizierung, juristische Bewertung, technische Sicherung, Freigabe, Übermittlung und Abschlussdokumentation innerhalb der Fristen funktionieren.
E-Evidence verlagert grenzüberschreitende Ermittlungsanfragen näher an die operativen Prozesse digitaler Diensteanbieter. Entscheidend ist nicht nur, einen Adressaten formal zu benennen. Unternehmen müssen ihn mit Befugnissen, Ressourcen und funktionierenden internen Abläufen ausstatten.
Wer Anwendungsbereich, Erreichbarkeit, Prüfschritte und technische Sicherung jetzt belastbar dokumentiert, reduziert Frist- und Bußgeldrisiken. Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine rechtliche Beratung im Einzelfall.
SBS LEGAL berät Unternehmen im IT-Recht und Datenschutzrecht zu E-Evidence-Pflichten und grenzüberschreitenden Datenzugriffen. Im Mittelpunkt stehen belastbare Prozesse, klare Zuständigkeiten und die rechtliche Prüfung konkreter Anordnungen.
Wir unterstützen bei der Einordnung des Diensteportfolios, der Benennung und Ausstattung des Adressaten, internen Eskalations- und Dokumentationswegen sowie der rechtlichen Bewertung eingehender Herausgabe- und Sicherungsanordnungen. Dabei werden IT-Recht, Datenschutz, Geheimnisschutz und betriebliche Umsetzbarkeit zusammengeführt.