Ab sofort tritt die Verordnung (EU) 2023/1543 über europäische Herausgabe- und Sicherungsanordnungen für elektronische Beweismittel in 26 Mitgliedstaaten der Europäischen Union vollumfänglich in Kraft.
Die als e-Evidence-Verordnung bekannte Regelung markiert einen grundlegenden Wandel in der grenzüberschreitenden Strafverfolgung: Ermittlungsbehörden können nun digitale Daten wie E-Mails, Messenger-Nachrichten sowie Verkehrs- und Teilnehmerdaten direkt bei Technologieunternehmen anfordern. Ein langwieriges Rechtshilfeersuchen (MLAT) ist dafür künftig nicht mehr erforderlich. Lediglich Dänemark nimmt an der neuen Regelung nicht teil.
Beschleunigte Verfahren und strenge Fristen
Die Verordnung zielt insbesondere auf global agierende Anbieter wie Google, Apple, Meta, Microsoft und Amazon ab. Diese Unternehmen sowie Anbieter von Cloud-Diensten und Online-Marktplätzen sind verpflichtet, auf Anordnungen der Behörden innerhalb kurzer Zeitspannen zu reagieren.
Die Standardfrist für die Herausgabe von Daten beträgt 10 Tage. In dringenden Notfällen sind die Anbieter angehalten, die Informationen innerhalb von lediglich 8 Stunden zur Verfügung zu stellen. In diesem knappen Zeitrahmen müssen die Unternehmen zudem die Rechtmäßigkeit der Anordnungen in Eigenregie prüfen.
Zur Umsetzung der Verordnung werden zwei zentrale Instrumente eingeführt: die Europäische Herausgabeanordnung (EPOC) und die Europäische Sicherungsanordnung (EPOC-PR). Letztere dient dazu, Daten für einen Zeitraum von 60 Tagen zu sichern, wobei eine Verlängerung um weitere 30 Tage möglich ist. Bei den betroffenen Informationen wird zwischen verschiedenen Kategorien unterschieden.
Wer sich mit der rechtssicheren Verwaltung digitaler Daten befasst, muss auch die Dokumentationspflichten der DSGVO im Blick behalten. Diese kostenlose Excel-Vorlage hilft Ihnen, Ihr Verarbeitungsverzeichnis zeitsparend und fehlerfrei zu erstellen. DSGVO-Muster-Vorlage jetzt kostenlos herunterladen
Einfache Teilnehmerdaten wie Namen oder Adressen können ohne richterlichen Beschluss angefordert werden. Für den Zugriff auf Verkehrs- und Inhaltsdaten, worunter etwa E-Mails oder Chats fallen, ist hingegen ein richterlicher Beschluss zwingend notwendig. Zudem müssen diese Daten im Zusammenhang mit Straftaten stehen, für die eine Höchststrafe von mindestens 3 Jahren vorgesehen ist.
Auswirkungen auf Anbieter und internationale Rechtshilfe
Besondere Bedeutung kommt der Neuregelung in Irland zu, wo mehr als 600 relevante Diensteanbieter ihren Sitz haben. Schätzungen zufolge könnten dort künftig jährlich Hunderttausende Herausgabeanordnungen eingehen.
Nach Angaben aus irischen Justizkreisen betreffen bereits heute 85 % der Strafverfahren elektronische Beweismittel, wobei 65 % der Fälle eine grenzüberschreitende Beweiserhebung erfordern.
Lücken in der gesetzlich geforderten Dokumentation können für Unternehmen ein erhebliches finanzielles Risiko darstellen. Erfahren Sie in diesem kostenlosen Ratgeber, welche Pflichtfelder beim Verarbeitungsverzeichnis oft übersehen werden und wie Sie Bußgelder vermeiden. Kostenlose Anleitung zum Verarbeitungsverzeichnis sichern
Der irische Justizminister Jim O’Callaghan befasste sich bereits mit der Umsetzung der neuen Regeln. Die Legal-Tech-Expertin Maureen King warnte unterdessen, dass Hunderte irische Anbieter ihre neuen rechtlichen Pflichten womöglich noch nicht ausreichend kennen könnten.
Auch für Anbieter ohne Niederlassung in der Europäischen Union hat die Verordnung Konsequenzen: Sie müssen künftig einen Rechtsvertreter innerhalb der EU benennen, um für die Behörden erreichbar zu sein. Bei Nichteinhaltung der Vorgaben drohen den Unternehmen drastische Sanktionen von bis zu 2 % ihres weltweiten Jahresumsatzes.
Während Unternehmen wie Microsoft die Verordnung unterstützen und sie als einen weg zu einem zeitgemäßen rechtmäßigen Datenzugriff bezeichnen, gibt es auch kritische Stimmen. Kritiker bemängeln mögliche Eingriffe in Grundrechte und verweisen auf die teilweise fehlende richterliche Kontrolle im Land des betroffenen Diensteanbieters.
Dennoch ermöglicht die Regelung beispielsweise polnischen Staatsanwälten bereits jetzt, Beweismittel wie IP-Adressen oder Cloud-Daten unmittelbar bei Anbietern in anderen EU-Staaten anzufordern.
