E-Evidence-Verordnung ab 18.08.2026: Was Hosting- und Cloud-Anbieter jetzt vorbereiten müssen
Kurz gesagt
Die E-Evidence-Verordnung ((EU) 2023/1543) ist ab dem 18. August 2026 anwendbar und verpflichtet Hosting-, Cloud-, Kommunikations- und bestimmte Marktplatzanbieter, auf europäische Herausgabe- und Sicherungsanordnungen von Justizbehörden aus anderen Mitgliedstaaten zu reagieren — mit Fristen von teils nur zehn Tagen. Anbieter ohne EU-Niederlassung müssen bis zu diesem Stichtag einen gesetzlichen Vertreter in der EU benennen.
Wer in den Anwendungsbereich fällt
Erfasst sind Diensteanbieter, die ihre Dienste in der EU anbieten, insbesondere (Art. 2 Nr. 3–6 VO):
- elektronische Kommunikationsdienste — klassische Telekommunikation, Messenger, E-Mail- und Internet-Telefoniedienste,
- Hosting- und Cloud-Dienste, bei denen das Speichern von Daten wesentlicher Bestandteil ist,
- Online-Marktplätze, soweit sie Nutzerdaten speichern,
- soziale Netzwerke und vergleichbare Online-Plattformen,
- Domainregistrare und Anbieter von Domain-Registrierungsdiensten, einschließlich bestimmter Proxy-/Privacy-Dienste.
Reine technische Dienste ohne speichernde oder kommunikative Funktion fallen nicht ohne Weiteres darunter. Die Verordnung betrifft ausschließlich elektronische Beweismittel in Strafverfahren — nicht Zivil-, Verwaltungs- oder reine Gefahrenabwehrverfahren (Art. 1 VO).
EPOC und EPOC-PR: die zwei Anordnungstypen
- Europäische Herausgabeanordnung (EPOC): Eine Justizbehörde eines Mitgliedstaats ordnet die Herausgabe bestimmter elektronischer Beweismittel an — etwa Teilnehmer-, Verkehrs- oder Inhaltsdaten (Art. 3 Nr. 1, Art. 5, 9–11 VO).
- Europäische Sicherungsanordnung (EPOC-PR): Ordnet an, bereits gespeicherte Daten vorläufig zu sichern, damit sie nicht gelöscht oder verändert werden — ohne dass damit bereits eine Herausgabe verbunden ist (Art. 3 Nr. 2, Art. 6, 12–14 VO).
Fristen — deutlich kürzer als bei klassischer Rechtshilfe
| Anordnung | Regelfrist | Dringende Fälle | |---|---|---| | EPOC (Herausgabe) | grundsätzlich 10 Tage | 8 Stunden bei unmittelbarer Gefahr für Leben oder körperliche Unversehrtheit | | EPOC-PR (Sicherung) | unverzügliche Sicherung, Daten mind. 60 Tage gesichert zu halten | Verlängerung um weitere 30 Tage bei anhängigem Herausgabeersuchen |
Diese Fristen (Art. 10 Abs. 2, Art. 12–14 VO) gelten unabhängig davon, in welchem Mitgliedstaat der Anbieter seinen Sitz hat — das dezentrale technische System zur Übermittlung kann allerdings erst greifen, sobald die zugehörigen Durchführungsrechtsakte vorliegen.
Pflicht zum EU-Vertreter
Wer betroffene Dienste in der EU anbietet, muss eine zuständige Stelle für den Empfang von Anordnungen benennen:
- Anbieter mit EU-Niederlassung bestimmen eine benannte Niederlassung.
- Anbieter ohne EU-Niederlassung bestellen einen gesetzlichen Vertreter in einem Mitgliedstaat (Art. 4–5 Richtlinie (EU) 2023/1544).
Für Anbieter, die bereits am 18. Februar 2026 Dienste in der EU anbieten, muss die Benennung spätestens zum Anwendungsbeginn am 18. August 2026 erfolgen. Wer danach erstmals EU-Dienste anbietet, hat dafür sechs Monate ab Beginn des EU-Angebots. Die Pflicht entfällt nur für Anbieter, die ausschließlich in einem einzigen Mitgliedstaat niedergelassen sind und ihre Dienste auch nur dort anbieten.
Was jetzt zu tun ist
- Prüfen, ob der eigene Dienst (Hosting, Cloud, gehostete Kommunikation, Marktplatz mit Nutzerdaten, Domainregistrierung) in den Anwendungsbereich fällt.
- Bei fehlender EU-Niederlassung rechtzeitig vor dem 18.08.2026 einen gesetzlichen Vertreter benennen.
- Interne Prozesse für die Bearbeitung von EPOC/EPOC-PR innerhalb der kurzen Fristen (bis zu 8 Stunden in dringenden Fällen) aufbauen.
- Schnittstelle zur eigenen Rechtsabteilung oder externen Rechtsberatung für die Prüfung eingehender Anordnungen festlegen, da nicht jede Anordnung formal korrekt oder tatsächlich zuständig ist.