Durch das E-Evidence-Paket des europäischen Gesetzgebers erhalten europäische Strafverfolger unmittelbar die Befugnis, die Herausgabe und Sicherstellung elektronischer Beweismittel von Diensteanbietern in anderen Mitgliedstaaten zu verlangen. Das bedeutet, Behörden aus anderen EU-Mitgliedstaaten können damit die Sicherung und Herausgabe von bei Diensteanbietern vorhandenen Daten unmittelbar und kurzfristig von Diensteanbieternverlangen. Damit entfällt bei einem Auseinanderfallen von Anordnungsstaat und Niederlassung des adressierten Diensteanbieters der Weg über Rechtshilfeersuchen an die Behörde, in deren Hoheitsgebiet sich der Diensteanbieter befindet.
Das Paket besteht aus einer Verordnung (E-Evidence-Verordnung) und einer Richtlinie (E-Evidence-Richtlinie), die durch das EBewMG national umgesetzt wurde. Die Verordnung regelt die inhaltlichen Anforderungen an eine Herausgabe- bzw. Sicherungsanordnung. Die Richtlinie und das EBewMG regeln im Wesentlichen die praktische Umsetzung in den Nationalstaaten. Sie verpflichten Diensteanbieter zur Benennung eines Adressaten, regeln Zuständigkeiten und Verfahren auf nationaler Ebene und legen Durchsetzungsmechanismen sowie Sanktionen fest.
Der vorliegende Beitrag konzentriert sich auf die Verordnung.
1. Anwendungsbereich
1.1. Zeitlicher Anwendungsbereich
Die E-Evidence-Verordnung (im Folgenden „EE-VO“) ist am 18.08.2023 in Kraft getreten und gilt seit dem 18.08.2026. Die E-Evidence-Richtlinie war bis zum 18.02.2026 durch den nationalen Gesetzgeber umzusetzen, was mit etwas Verzögerung am 12.03.2026 durch das EBewMG geschehen ist.
1.2. Räumlicher Anwendungsbereich
Der räumliche Anwendungsbereich der EE-VO erfasst grenzüberschreitende Herausgabe- und Sicherstellungsanordnungen. Dieser Sachverhalt ist gegeben, wenn eine Behörde aus einem Mitgliedstaat der Europäischen Union eine Herausgabe- oder Sicherungsanordnung an einen Diensteanbieter in einem anderen Mitgliedstaat der EU erlässt.
Liegt ein solcher grenzüberschreitender Fall einer Herausgabe- oder Sicherungsanordnung vor, hat die EE-VO Sperrwirkung (vgl. Unberührtheitsklausel in Art. 1 EE-VO; ErwG 9 RL (EU) 2023/1544). Andernfalls richtet sich die Herausgabe wie bisher nach den nationalen Regelungen (TDDDG, TKG, StPO).
1.3. Persönlicher Anwendungsbereich:
Die EE-VO adressiert Diensteanbieter, die ihre Dienste in der Union anbieten (Art. 2 Abs. 1, Art. 3 Nr. 3 EE-VO). „Diensteanbieter “ meint jede natürliche oder juristische Person, die eine oder mehrere der dort aufgeführten Dienstleistungen anbietet. Das sind insbesondere, aber nicht abschließend:
- Anbieter elektronischer Kommunikationsdienste (z. B. Messenger, E-Mail-Dienste)
- Anbieter von Internet-Domain- und IP-Nummerierungsdienste
- Anbieter digitaler Dienste, die Kommunikation ermöglichen (soziale Medien, Verkaufsplattformen)
- Anbieter von Diensten, die der Speicherung von Daten dienen (Cloud-Dienstleister)
Diensteanbieter ist bei Herausgabeanordnungen grundsätzlich der für die Verarbeitung datenschutzrechtlich Verantwortliche gem. Art. 4 Nr. 7 DSGVO (Art. 5 Abs. 6 UAbs. 1 EE-VO). In Ausnahmefällen kann auch der Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO Adressat der Regelung werden (Art. 6 Abs. 1 UAbs. 2 EE-VO).
„Anbieten“ von Diensten in der Union meint die Schaffung einer Möglichkeit die genannten Dienste in Anspruch zu nehmen, und eine aufgrund konkreter faktischer Kriterien gegebene wesentliche Verbindung zu dem Mitgliedstaat (Art. 3 Nr. 3 EE-VO). Eine wesentliche Verbindung liegt vor, wenn der Diensteanbieter in einem Mitgliedstaat eine Niederlassung hat oder es eine erhebliche Anzahl von Nutzern gibt oder die Tätigkeit auf einen oder mehrere Mitgliedstaaten ausgerichtet ist (Art. 3 Nr. 4 EE-VO).
1.4. Sachlicher Anwendungsbereich
Der sachliche Anwendungsbereich umfasst Teilnehmerdaten, Nutzeridentifikationsdaten, Verkehrsdaten und Inhaltsdaten. Dabei handelt es sich um Datenkategorien, die nicht zwingend identisch mit denen aus nationalen Rechtsvorschriften sein müssen. § 8 EBewMG ordnet daher die Datenkategorien aus TKG und TDDDG den Datenkategorien der E-Evidence-VO zu (vgl. hierzu übersichtlich dargestellt bei: Blum/Werner in: ZD 2026, 77).
Hervorzuheben ist, dass die EE-VO nur Daten erfasst, die bereits bei Diensteanbietern vorhanden sind. Eine Vorratsdatenspeicherung soll durch die E-Evidence-VO gerade nicht begründet werden (Erwägungsgrund 19 EE-VO).
| Teilnehmerdaten (Art. 3 Nr. 9 EE-VO) | Nutzeridentifikationsdaten (Art. 3 Nr. 10 EE-VO) | Verkehrsdaten (Art. 3 Nr. 11 EE-VO) | Inhaltsdaten (Art. 3 Nr. 12 EE-VO) |
| alle Daten, die bei einem Diensteanbieter über die Teilnahme eines Nutzers an dessen Dienst vorliegen und die Identität des Nutzers oder Kunden. | Daten, die ausschließlich zum Zweck der Identifizierung des Nutzers angefordert werden.=> Untergruppe der Verkehrsdaten | alle Daten, die sich auf die Erbringung einer von einem Diensteanbieter angebotenen Dienstleistung beziehen und dazu dienen, Kontext- oder Zusatzinformationen über eine solche Dienstleistung zu liefern und von einem Informationssystem des Diensteanbieters generiert oder verarbeitet werden | alle Daten in einem digitalen Format wie Text, Sprache, Videos, Bilder und Tonaufzeichnungen, die nicht Teilnehmer- oder Verkehrsdaten sind. |
| Bsp.: Name, Geburtsdatum, Anschrift, E-Mail-Adresse, Telefonnummer | Bsp.: Verbindungsdaten bei einer E-Mail/Messengerdienst, IP-Adressen in der Kommunikationskette, Uhrzeiten von Logins und Logouts, Standort eines Mobiltelefons zum Zeitpunkt eines Anrufs | Bsp.: Ursprung und Ziel von Nachrichten, Standort von Geräten, Angaben zu Datum, Uhrzeit, Dauer, Übertragungsroute, genutztem Protokoll, Format und anderen Metadaten | Bsp.: alle Kommunikationsinhalte, Text einer E-Mail oder Chat-Nachricht, Fotos, Videos, Audioaufnahmen etc. |
| Zuordnung nach § 8 EBewMG: Insbes. Bestandsdaten nach § 4 Nr. 6 und Daten nach § 172 TKG und Bestandsdaten nach § 2 Abs. 2 Nr. 2 TDDDG | Zuordnung nach § 8 EBewMG:Insbes. Nutzungsdaten nach § 2 Abs. 2 Nr. 3 lit. a) TDDDG | Zuordnung nach § 8 EBewMG: Insbes. Verkehrsdaten nach § 3 Nr. 70 TKG und Nutzungsdaten nach § 2 Abs. 2 Nr. 3 lit. b) und lit. c) TDDDG | Richten sich nach der StPO, vgl. Begründung des EBewMG-E, Teil B, S. 44.→ §§ 94, 98, 95, 95a, 99, 100a StPO |
2. Praktischer Umgang mit Herausgabe- und Sicherungsanordnung
Zunächst gilt es zu prüfen, ob die Anordnung eine Herausgabe- oder Sicherungsanordnung betrifft und grenzüberschreitend ist. Ist der Anwendungsbereich der EE-VO demnach eröffnet, muss der Diensteanbieter die angeforderten Daten unmittelbar sichern (Art. 10 Abs. 1 EE-VO, Art. 11 Abs. 1 EE-VO). Danach sollten Diensteanbieter die vorläufige Frist festlegen, innerhalb derer die Herausgabe- oder Sicherungsanordnung zu erfüllen ist. Eine Herausgabeanordnung ist regelmäßig innerhalb von zehn Tagen nach Erhalt der Anordnung umzusetzen (Art. 11 Abs. 2 EE-VO), in Notfällen sogar innerhalb von maximal acht Stunden (Art. 11 Abs. 4 EE-VO). Bei einer Sicherungsanordnung sind die betreffenden Daten unverzüglich und grundsätzlich für 60 Tage zu sichern, erforderlichenfalls mit einer Verlängerungsmöglichkeit um weitere 30 Tage (Art. 11 Abs. 1 EE-VO).
Damit Daten gesichert werden können, muss zunächst der Umfang der Anordnung bestimmt werden. Dafür muss die Anordnung einen Mindestinhalt aufweisen. Ist das nicht der Fall, muss der Diensteanbieter die Anordnungs- und ggf. Vollzugsbehörde diesbezüglich informieren (s.u.).
Ist der sachliche Umfang der Anordnung bestimmt, sind die Voraussetzungen der Herausgabe- oder Sicherungsanordnung in beschränktem Umfang zu prüfen.
2.1. Voraussetzungen der Herausgabe- oder Sicherungsanordnung, Art. 5, 6 EE-VO
Die Voraussetzungen, unter denen Herausgabe- und Sicherungsanordnungen erlassen werden dürfen, werden in den Art. 4, 5 und 6 EE-VO geregelt. Diensteanbieter müssen grundsätzlich das Vorliegen der Voraussetzungen nicht überprüfen.
Allerdings sind Diensteanbieter verpflichtet, bei Unvollständigkeit, offensichtlichen Fehlern oder falls nicht ausreichend Informationen vorliegen, die Anordnungs- und ggf. die Vollziehungsbehörde in Kenntnis zu setzen(Art. 10 Abs. 6 UAbs. 1 S. 1 EE-VO). Dasselbe gilt für den Fall einer unverschuldeten faktischen Unmöglichkeit der Herausgabe (Art. 10 Abs. 7 Satz 1 EE-VO).
Zu den offensichtlichen Fehlern dürfte insbesondere die Frage gehören, ob die Anordnungsbehörde zum Erlass der Herausgabe- oder Sicherungsanordnung berechtigt ist (vor allem Richtervorbehalt für Herausgabeanordnungen, dazu unter 2.2.).
Alle Herausgabe- und Sicherungsanordnungen dürfen nur erlassen werden, wenn sie notwendig und verhältnismäßigsind (Art. 5 Abs. 2, 6 Abs. 1 EE-VO). Bei der Abwägung im Rahmen der Verhältnismäßigkeit sind die Interessen des Beschuldigten zu berücksichtigen. Weitere Voraussetzung ist, dass die Herausgabe- oder Sicherungsanordnung auch nach dem nationalen Recht möglich sein muss (Art. 5 Abs. 2 Hs. 2, Art. 6 Abs. 3 EE-VO). Schließlich müssen alle Herausgabe- und Sicherungsanordnungen Straftaten oder Maßregeln der Sicherung betreffen, die mindestens eine Freiheitsstrafe von 4 Monaten vorsehen (Art. 5 Abs. 3, Art. 6 Abs. 3 EE-VO). Da es sich hierbei um eine umfangreiche Interessenabwägung handelt, beschränkt sich die Prüfpflicht des Diensteanbieters auf eine offensichtliche Unverhältnismäßigkeit.
2.2. Richtige Anordnungsbehörde
Für den Fall, dass eine Herausgabeanordnung von Inhaltsdaten und Verkehrsdaten (die keine Nutzeridentifikationsdaten sind) erfolgt, unterliegt diese Entscheidung über das Vorliegen der Voraussetzungen einem Richtervorbehalt (Art. 4 Abs. 2 lit. b) EE-VO). Für den Fall, dass eine andere Behörde eine solche Anordnung erlässt, muss diese durch einen Richter validiert werden (Art. 4 Abs. 2 lit. b) EE-VO). In allen anderen Fällen der Herausgabe- und Sicherungsanordnung kann die Anordnung bzw. Validierung auch durch die Staatsanwaltschaft mit Zuständigkeit in dem betreffenden Fall erfolgen (Art. 4 Abs. 1, 3 EE-VO).
2.3. zusätzliche Anforderungen für Herausgabeanordnungen hinsichtlich Inhalts- und Verkehrsdaten
Darüber hinaus ist eine Herausgabeanordnung bezüglich Inhalts- und Verkehrsdaten nur möglich, wenn sie
- eine Straftat betrifft, für die im Anordnungsstaat eine Höchststrafe von mindestens drei Jahren Freiheitsstrafe vorgesehen ist (Art. 5 Abs. 4 lit. a) EE-VO oder
- eine Katalogtat im Sinne des Art. 5 Abs. 4 lit. b) (i)-(iii) EE-VO vorliegt, die ganz oder teilweise mittels eines Informationssystems begangen wird, oder
- terroristische Straftaten betrifft (Straftaten im Sinne der Artikel 3 bis 12 und 14 der Richtlinie (EU) 2017/541).
2.4. Verweigerungsgründe, Nichteinhaltung von Fristen und Drittlandbezug
Die Herausgabe- oder Sicherungsanordnung kann unter Umständen verweigert werden, weil sie
- im Widerspruch zu Immunitäten oder Vorrechten steht (Art. 10 Abs. 5, Art. 11 Abs. 4 EE-VO) oder
- nicht den notwendigen Mindestinhalt aufweisen oder die Herausgabe oder Sicherung unverschuldet faktisch unmöglich ist (Art. 10 Abs. 6, Art. 11 Abs. 5 EE-VO) oder
- aus anderen Gründen (Art. 10 Abs. 9, Art. 11 Abs. 8 EE-VO)
In diesem Fall muss die Anordnungs- und ggf. die Vollzugsbehörde unverzüglich informiert werden.
Dasselbe gilt, falls die Frist zur Herausgabe nicht eingehalten werden kann (Art. 10 Abs. 8 S. 1 EE-VO) oder der Diensteanbieter sich durch die Herausgabe in Widerspruch zu einer gesetzlichen Verpflichtung in einem Drittland setzt (Art. 17 Abs. 1 S. 1 EE-VO).
In letzterem Falle muss der Diensteanbieter seine Einwände detailliert begründen (vgl. Art. 17 Abs. 2 EE-VO). Bis zu einer gerichtlichen Entscheidung über die Einwände wird die Ausführung der Herausgabeanordnung ausgesetzt (Art. 17 Abs. 3 S. 3 EE-VO), soweit die Anordnungsbehörde die Herausgabeanordnung nicht vorher zurücknimmt.
3. Verhältnis zu DSGVO und Data Act
3.1. DSGVO
Die DSGVO ist ausweislich des Erwägungsgrundes 14 der EE-VO neben der EE-VO anwendbar. Das heißt, es bedarf einer Rechtsgrundlage für die Weitergabe an Strafverfolgungsbehörden und Speicherung von Daten im Rahmen einer Sicherungsanordnung. Diese dürfte regelmäßig nach Art. 6 Abs. 1 S. 1 lit. c) und e) gegeben sein.
Darüber hinaus müssen bei der Herausgabe und Sicherung der Daten die Datenschutzgrundsätze nach Art. 5 DSGVO beachtet werden.
Die Daten sind grundsätzlich durch den Verantwortlichen im Sinne des Art. 4 Nr. 7 DSGVO zu sichern bzw. herauszugeben (Art. 5 Abs. 6 S. 1 EE-VO). Ausnahmsweise kann die Anordnung auch unmittelbar gegenüber dem Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO gerichtet werden, wenn der Verantwortliche trotz angemessener Bemühungen nicht ermittelt werden kann oder es die Ermittlungen gefährden könnte, wenn die Anordnung an den Verantwortlichen gerichtet werden würde (Art. 6 Abs. 1 S. 2 lit. a) und b) EE-VO).
Unklar ist, wie weit die Bemühungen der Behörden gehen müssen, damit sie als angemessen im Sinne der Ausnahmevorschrift des Art. 6 Abs. 1 S. 2 lit. a) EE-VO anzusehen sind. Die Ermittlung der datenschutzrechtlichen Rollenverteilung gestaltet sich in der Praxis oftmals schwierig, sodass die Ausnahme droht, der Regelfall zu werden. Als Ausnahmevorschrift liegt zunächst eine einschränkende Auslegung des Art. 6 Abs. 2 EE-VO nahe. Jedenfalls in eilbedürftigen Szenarien dürfte Art. 6 Abs. 2 EE-VO regelmäßig zur Anwendung kommen. Es obliegt der Rechtsprechung und den Behörden, in dieser Frage für Klarheit zu sorgen.
3.2. Data Act
Im Anwendungsbereich der E-Evidence-Verordnung hat der Data Act keine Geltung (vgl. unter ausdrücklicher Bezugnahme auf die EE-VO: Art. 1 Abs. 6 S. 2 Data Act).
4. Wie KREMER LEGAL unterstützen kann
Die Pflichten gelten seit dem 18.08.2026, sodass Diensteanbieter seitdem mit europäischen Herausgabe- und Sicherungsanordnungen konfrontiert werden können. In dringenden Fällen kann es auf jede Minute ankommen, damit Fristen eingehalten und Bußgelder vermieden werden können. Umso wichtiger ist daher die Entwicklung reibungslos funktionierender Prozesse für den Ernstfall. KREMER LEGAL unterstützt Sie bei der Anpassung und Entwicklung rechtssicherer Abläufe.
KL / Ein Beitrag von Nils Grüttner