E-Evidence-Verordnung: Grenzüberschreitender Datenzugriff ab 18. August
Veröffentlicht am: 20.08.2026 um 10:01 Uhr | Redaktion boerse-global.de
Nach einer dreijährigen Übergangsfrist ist die E-Evidence-Verordnung (EU) 2023/1543 am 18. August 2026 vollständig anwendbar geworden. Die neuen Regelungen gelten in 26 EU-Mitgliedstaaten, wobei lediglich Dänemark eine Ausnahme bildet.
Mit dem Inkrafttreten wird der grenzüberschreitende Zugriff auf elektronische Beweismittel innerhalb der Europäischen Union grundlegend neu geordnet. Justizbehörden sind nun befugt, Nutzerdaten direkt bei Diensteanbietern in anderen Mitgliedstaaten anzufordern, ohne den bisher üblichen Weg über langwierige Rechtshilfeverfahren gehen zu müssen.
Neue Fristen für Herausgabe- und Sicherungsanordnungen
Im Zentrum der Verordnung stehen die Europäische Herausgabeanordnung (EPOC) und die Europäische Sicherungsanordnung (EPOC-PR). Diese Instrumente zielen darauf ab, die Ermittlungsarbeit in einer zunehmend digitalisierten Kriminalitätslandschaft zu beschleunigen. Laut statistischen Erhebungen nutzen bereits 85 Prozent aller Strafverfahren elektronische Beweise, wobei in 65 Prozent der Fälle ein grenzüberschreitender Bezug besteht.
Die Verordnung legt strikte Zeitvorgaben fest: Für eine Herausgabeanordnung gilt eine Regelfrist von 10 Tagen. In dringenden Notfällen verkürzt sich diese Frist auf lediglich 8 Stunden. Zuvor nahmen grenzüberschreitende Rechtshilfeverfahren durchschnittlich 10 Monate oder mindestens 120 Tage in Anspruch.
Eine Sicherungsanordnung (EPOC-PR) ermöglicht es zudem, Daten für zunächst 60 Tage zu sichern, wobei eine Verlängerung um weitere 30 Tage vorgesehen ist. Der Zugriff umfasst vier spezifische Datenkategorien: Abonnenten-, Identifizierungs-, Verkehrs- und Inhaltsdaten.
Neben der E-Evidence-Verordnung stellt auch die neue EU-KI-Verordnung Unternehmen vor komplexe regulatorische Herausforderungen bei der Datenverarbeitung. Dieser kostenlose Umsetzungsleitfaden bietet Ihnen einen kompakten Überblick über alle neuen Anforderungen, Pflichten und Fristen. EU AI Act in 5 Schritten verstehen
Verpflichtungen und Sanktionen für Diensteanbieter
Für Unternehmen, die Dienste in der EU anbieten, bringt die Verordnung weitreichende Pflichten mit sich. Anbieter, die über keine physische Niederlassung in der Union verfügen, mussten bis zum 18. August 2026 einen rechtlichen Vertreter innerhalb der EU benennen. Dieser fungiert als offizieller Ansprechpartner für die Justizbehörden.
Bei Verstößen gegen die neuen Vorschriften drohen empfindliche Sanktionen. Die Verordnung sieht Bußgelder von bis zu 500.000 Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes vor. Besonders in Irland, wo über 600 relevante Dienstleister ansässig sind, wird mit einem massiven Anstieg der Anfragen gerechnet.
Schätzungen gehen von jährlich Hunderttausenden Produktionsanordnungen aus. Irland hatte das entsprechende Umsetzungsgesetz bereits am 15. Juli 2026 erlassen. Damit können beispielsweise italienische Staatsanwälte auf Basis nationaler Dekrete nun direkt Daten von irischen Providern anfordern, ohne zuvor ein irisches Gericht einschalten zu müssen.
Wer sich mit neuen digitalen Rechtsrahmen befasst, muss auch die Risikoklassifizierung seiner eingesetzten Systeme genau prüfen. Dieser kostenlose Report klärt auf, welche Anwendungen unter die strengen Dokumentationspflichten fallen und was Unternehmen jetzt konkret tun müssen. Kostenlosen Leitfaden zu Risikoklassen anfordern
Herausforderungen bei der Umsetzung und rechtliche Kritik
Trotz des Ablaufs der Übergangsfrist zeigt sich die Umsetzung in den Mitgliedstaaten uneinheitlich. Insgesamt 22 Staaten sahen sich aufgrund verzögerter Implementierung mit Vertragsverletzungsverfahren konfrontiert.
In Deutschland verzeichnete das Bundesamt für Justiz (BfJ) auf Basis des EBewMG bisher lediglich 193 Anmeldungen von Diensteanbietern, obwohl ursprünglich rund 9.000 erwartet worden waren.
Technisch ist die Bundesrepublik mit dem Anschluss von 952 Gerichten an das IT-System e-CODEX/Judex hingegen weitgehend vorbereitet. In den Niederlanden wird die Registrierung in der erforderlichen Court Database (CDB) voraussichtlich erst ab dem Jahr 2027 möglich sein.
Die Verordnung stößt zudem auf fachliche Kritik. Die Organisation EDRi bemängelt unzureichende Sicherungsmechanismen und weist darauf hin, dass der Vollstreckungsstaat einer Anordnung nur in engen Ausnahmefällen widersprechen kann.
Weitere Experten äußerten Bedenken hinsichtlich einer befürchteten Privatisierung der Strafverfolgung und der teilweise fehlenden richterlichen Kontrolle. Zudem bestehen weiterhin rechtliche Konflikte mit internationalen Regelungen wie dem US Stored Communications Act und dem CLOUD Act, was die Rechtsunsicherheit für global agierende Unternehmen erhöhen könnte.
