21.08.2026
Seit 18. August 2026 gelten in der EU neue Regeln für den grenzüberschreitenden Zugriff auf elektronische Beweismittel. Für Unternehmen stellt sich damit vor allem eine Frage: Bin ich selbst Adressat solcher Anordnungen – oder können Daten meines Unternehmens bei einem externen Diensteanbieter herausgegeben werden?
Beides ist möglich. Die neue E-Evidence-Verordnung (EU) 2023/1543 richtet sich unmittelbar an bestimmte Anbieter digitaler Dienste. Ihre praktische Bedeutung reicht aber deutlich darüber hinaus: Auch Unternehmen, die Cloud-Dienste, Messenger, E-Mail-Dienste oder andere digitale Plattformen einsetzen, können mittelbar betroffen sein, wenn dort gespeicherte Unternehmensdaten Gegenstand strafrechtlicher Ermittlungen werden.
Wer kann unmittelbar Adressat einer Anordnung sein?
Erfasst werden insbesondere Anbieter von
- elektronischen Kommunikationsdiensten, etwa Messenger-, E-Mail- und Internetzugangsdiensten,
- Internetdomänennamen- und IP-Nummerierungsdiensten sowie
- sonstigen Diensten der Informationsgesellschaft, bei denen die Speicherung von Daten einen wesentlichen Bestandteil der Leistung bildet, etwa Cloud-Dienste, soziale Netzwerke oder Online-Marktplätze.
Finanzdienstleistungen sind ausgenommen. Gleiches gilt insbesondere für Unternehmen, die Online-Dienste lediglich zur Kommunikation mit ihren eigenen Kunden einsetzen, sowie für Dienste, bei denen die Datenspeicherung nur eine untergeordnete Funktion hat.
Eine bestimmte Unternehmensgröße oder Umsatzschwelle sieht die Verordnung nicht vor. Auch kleinere oder spezialisierte Anbieter können daher erfasst sein.
Entscheidend ist zudem nicht allein der Unternehmenssitz. Nach dem Marktortprinzip können auch außerhalb eines Mitgliedstaats ansässige Anbieter erfasst werden, wenn sie ihre Dienste in der EU anbieten und eine wesentliche Verbindung zu einem Mitgliedstaat besteht.
Für betroffene Diensteanbieter bedeutet das: Sie müssen damit rechnen, unmittelbar Anordnungen von Justizbehörden anderer EU-Mitgliedstaaten zu erhalten. Der bisher regelmäßig erforderliche Umweg über die Behörden des Staates, in dem der Anbieter ansässig ist, entfällt in vielen Fällen.
Welche Anordnungen können Unternehmen erhalten?
Die Verordnung sieht zwei zentrale Instrumente vor.
Mit einer Europäischen Herausgabeanordnung (EPOC) kann ein Diensteanbieter verpflichtet werden, bereits gespeicherte elektronische Beweismittel herauszugeben. Dafür gilt grundsätzlich eine Frist von zehn Tagen. In Notfällen verkürzt sich diese Frist auf lediglich acht Stunden.
Daneben kann eine Europäische Sicherungsanordnung (EPOC-PR) erlassen werden. Sie verpflichtet den Anbieter, bestimmte Daten zunächst für 60 Tage zu sichern. Die Frist kann um weitere 30 Tage verlängert werden. Damit soll verhindert werden, dass Daten gelöscht werden, bevor eine spätere Herausgabeanordnung einlangt.
Wichtig ist die Abgrenzung: Beide Instrumente beziehen sich nur auf bereits vorhandene Daten. Eine laufende Überwachung von Kommunikation oder eine Verpflichtung zur anlasslosen Vorratsdatenspeicherung lässt sich darauf nicht stützen.
Welche Daten können verlangt werden?
Die Verordnung unterscheidet vier Datenkategorien:
- Teilnehmerdaten, etwa Name, Anschrift oder E-Mail-Adresse,
- Daten zur Nutzeridentifizierung, etwa IP-Adressen und Zeitstempel,
- Verkehrsdaten, etwa Angaben zu Absender, Empfänger oder Standort, sowie
- Inhaltsdaten, insbesondere gespeicherte Texte, Bilder, Videos oder Sprachaufzeichnungen.
Für Unternehmen ist diese Einordnung relevant, weil davon die Voraussetzungen einer Anordnung abhängen.
Teilnehmer- und Identifizierungsdaten können grundsätzlich bei Ermittlungen wegen jeder Straftat verlangt werden. Für Verkehrs- und Inhaltsdaten gelten strengere Voraussetzungen: Die Anordnung muss insbesondere von einem Gericht erlassen oder validiert werden und darf grundsätzlich nur Straftaten betreffen, die im Anordnungsstaat mit einer Freiheitsstrafe von mindestens drei Jahren bedroht sind.
Was müssen Diensteanbieter organisatorisch vorbereiten?
Für Unternehmen, die in den Anwendungsbereich der Verordnung fallen, ist E-Evidence daher nicht nur ein strafprozessuales Thema, sondern vor allem ein Compliance- und Prozessthema.
Zunächst sollte geklärt werden, ob die angebotenen Dienste unter die Verordnung fallen. Ist dies der Fall, sollten insbesondere folgende Fragen beantwortet sein:
- Über welchen Kanal gehen E-Evidence-Anordnungen im Unternehmen ein?
- Wer prüft sie rechtlich und technisch?
- Wer übernimmt diese Aufgabe bei Urlaub, Krankheit oder außerhalb der üblichen Geschäftszeiten?
- Wie wird sichergestellt, dass insbesondere die Acht-Stunden-Frist in Notfällen eingehalten werden kann?
- Welche internen Systeme enthalten die angeforderten Daten?
- Wie können diese Daten kurzfristig gesichert, extrahiert und sicher übermittelt werden?
- Wie wird dokumentiert, welche Daten auf welcher Grundlage herausgegeben wurden?
- Wann bestehen Einwendungs- oder Ablehnungsmöglichkeiten?
Gerade bei international organisierten Unternehmensgruppen sollte außerdem geklärt werden, welche Gesellschaft Adressatin einer Anordnung sein kann und wie Anordnungen konzernintern eskaliert werden.
Kann ein Diensteanbieter einer Anordnung aus Gründen, die außerhalb seines Einflussbereichs liegen, nicht nachkommen – etwa weil die betroffene Person kein Kunde ist oder die Daten bereits vor Eingang der Anordnung gelöscht wurden –, muss er dies unverzüglich mitteilen.
Ist eine Anordnung unklar oder fehlerhaft und deshalb nicht ausführbar, sieht die Verordnung ein Verfahren zur Klarstellung oder Berichtigung vor.
Vertraulichkeit ist Pflicht
Besondere Aufmerksamkeit verdient die Vertraulichkeit. Diensteanbieter müssen die Geheimhaltung und Integrität der Anordnungen sowie der übermittelten Daten gewährleisten.
Das bedeutet insbesondere: Ein Anbieter kann seinen Kunden nicht ohne Weiteres darüber informieren, dass dessen Daten Gegenstand einer Herausgabeanordnung sind. Die betroffene Person wird grundsätzlich durch die anordnende Behörde informiert; diese Information kann jedoch aufgeschoben werden, wenn andernfalls die Ermittlungen gefährdet würden.
Für Unternehmen sollte daher klar definiert sein, wer intern überhaupt Kenntnis von einer solchen Anordnung erhalten darf und wie Informationen darüber geschützt werden.
Was droht bei Verstößen?
Die kurzen Reaktionsfristen sind nicht unverbindlich. Bei Verstößen gegen die Verpflichtungen der E-Evidence-Verordnung können Geldbußen von bis zu 2 % des weltweiten Jahresumsatzes verhängt werden.
Umgekehrt enthält die Verordnung einen wichtigen Schutz für Diensteanbieter: Wer einer Anordnung gutgläubig Folge leistet, soll für daraus entstehende Schäden grundsätzlich nicht haftbar gemacht werden.
Und was bedeutet E-Evidence für Unternehmen, die selbst keine Diensteanbieter sind?
Auch Unternehmen außerhalb des unmittelbaren Adressatenkreises sollten sich mit der Verordnung befassen.
Der Grund: Geschäftsdaten liegen heute häufig nicht mehr ausschließlich auf eigenen Servern, sondern bei Cloud-, Hosting-, E-Mail-, Messenger- oder Plattformanbietern. Solche Provider können künftig unmittelbar von einer Justizbehörde eines anderen EU-Mitgliedstaats zur Herausgabe dieser Daten verpflichtet werden.
Ein österreichisches Unternehmen kann daher beispielsweise betroffen sein, obwohl gegen das Unternehmen selbst in Österreich keine Ermittlungsmaßnahme gesetzt wird.
Für Kunden von Cloud- und IT-Diensten stellt sich deshalb insbesondere die Frage, was der jeweilige Provider bei einer behördlichen Datenanforderung tun darf oder muss.
Verträge mit wesentlichen Cloud- und IT-Anbietern sollten daher daraufhin geprüft werden,
- ob und unter welchen Voraussetzungen der Kunde über behördliche Datenanforderungen informiert wird,
- ob der Anbieter eine Anordnung rechtlich prüft,
- wie mit offensichtlich überschießenden oder fehlerhaften Anordnungen umgegangen wird,
- ob dokumentiert wird, welche Daten herausgegeben wurden, und
- welche Regelungen für besonders schutzwürdige oder privilegierte Daten bestehen.
Dabei ist allerdings zu berücksichtigen, dass vertragliche Informationspflichten stets unter dem Vorbehalt gesetzlicher Geheimhaltungs- und Benachrichtigungsverbote stehen.
Besondere Vorsicht bei privilegierten Daten
Besonders relevant ist E-Evidence für Datenbestände, die Berufsgeheimnissen, Verschwiegenheitspflichten oder sonstigen gesetzlichen Privilegien unterliegen.
Die Verordnung enthält dafür eigene Schutzmechanismen. Unternehmen sollten dennoch prüfen, ob besonders sensible Daten in ihren IT-Systemen und bei externen Providern ausreichend identifizierbar sind. Dies kann etwa Daten aus der Kommunikation mit Rechtsanwälten oder andere gesetzlich geschützte Informationen betreffen.
Auch bei Internal Investigations gewinnt die Frage an Bedeutung: Untersuchungsunterlagen und interne Kommunikation werden häufig in internationalen Cloud-Umgebungen oder konzernweiten Kollaborationsplattformen gespeichert und können damit grundsätzlich in den Anwendungsbereich einer grenzüberschreitenden Herausgabeanordnung gelangen.
Was gilt speziell in Österreich?
Die E-Evidence-Verordnung gilt seit 18. August 2026 unmittelbar in Österreich. Österreichische Staatsanwaltschaften und Gerichte können ihre Instrumente daher einsetzen; zugleich können in Österreich ansässige Diensteanbieter Adressaten von Anordnungen aus anderen Mitgliedstaaten werden.
Ergänzt wird die Verordnung durch die Richtlinie (EU) 2023/1544. Sie verpflichtet grenzüberschreitend tätige Diensteanbieter dazu, eine benannte Niederlassung oder einen rechtlichen Vertreter als Zustelladressaten für entsprechende Anordnungen vorzusehen.
Die Umsetzungsfrist dafür ist bereits am 18. Februar 2026 abgelaufen. In Österreich ist die nationale Umsetzung derzeit noch nicht abgeschlossen. Die Europäische Kommission hat deshalb ein Vertragsverletzungsverfahren eingeleitet. Bis zur vollständigen Umsetzung bleiben insbesondere Fragen zur konkreten Ausgestaltung der Adressatenbenennung und zu nationalen Sanktionsregelungen offen.
Was Unternehmen jetzt tun sollten
Für Diensteanbieter sollte der erste Schritt eine Prüfung sein, ob ihre Leistungen vom Anwendungsbereich erfasst sind. Ist dies der Fall, sollten Zuständigkeiten, Erreichbarkeit, Prüfprozesse, technische Zugriffsmöglichkeiten und Eskalationswege für E-Evidence-Anordnungen festgelegt und getestet werden.
Für Nutzer von Cloud- und IT-Diensten empfiehlt sich dagegen vor allem eine Prüfung der bestehenden Provider-Verträge und der eigenen Datenarchitektur. Unternehmen sollten wissen, welche sensiblen Geschäftsdaten bei welchen Providern liegen und was geschieht, wenn diese Provider eine behördliche Herausgabeanordnung erhalten.
E-Evidence betrifft damit nicht nur Strafverfolgungsbehörden und große Plattformanbieter. Die Verordnung schafft neue operative Anforderungen für zahlreiche digitale Diensteanbieter – und verändert zugleich die Rahmenbedingungen, unter denen Unternehmensdaten bei externen Providern dem Zugriff ausländischer Strafverfolgungsbehörden unterliegen.
Unser Team berät Sie gerne bei der Prüfung, ob Ihr Unternehmen unter die E-Evidence-Verordnung fällt, bei der Einrichtung interner Prozesse für Herausgabe- und Sicherungsanordnungen sowie bei der Überprüfung von Cloud- und IT-Verträgen.
