Die E-Evidence-Verordnung kommt: Was Diensteanbieter jetzt wissen müssen – Teil 2

Teil 2: EEVO – Pflichten, Fristen und Sanktionen in der Praxis

Im ersten Teil dieser Veröffentlichung wurde die Grundstruktur der EEVO dargestellt. Die beiden neuen Instrumente EPOC und EPOC-PR, der Kreis der betroffenen Diensteanbieter sowie die Voraussetzungen unter denen ein Bezug zur EU im Sinne der Verordnung vorliegt. Der nun folgende zweite Teil wendet sich der praktischen Umsetzung zu, die für Diensteanbieter im Ernstfall unmittelbar relevant wird: den geltenden Fristen für Herausgabe und Sicherung, dem Umfang der vor der Ausführung gebotenen Prüfung sowie den Sanktions- und Haftungsfolgen einer Nichtbefolgung.

Fristen: Herausgabe und Sicherung im Vergleich

Am markantesten sind zunächst die Fristen, weil sie deutlich kürzer ausfallen als das, was aus klassischen Rechtshilfeverfahren bekannt ist. Für die Europäische Herausgabeanordnung gilt im Regelfall eine Frist von zehn Tagen ab Zugang, in Notfällen verkürzt sie sich auf acht Stunden (Art. 10 Abs. 2, Abs. 4 EEVO). Bei der Europäischen Sicherungsanordnung ist die Logik eine andere: Hier steht nicht die schnelle Herausgabe im Vordergrund, sondern das Einfrieren des Status quo. Die Pflicht, die betroffenen Daten zu sichern, entsteht unverzüglich nach Zugang; die Sicherung selbst muss für 60 Tage aufrechterhalten werden und kann von der anordnenden Behörde einmalig um 30 Tage verlängert werden (Art. 11 Abs. 1 EEVO). Ergeht im Anschluss noch eine Herausgabeanordnung, läuft die Sicherungspflicht bis zur tatsächlichen Herausgabe fort (Art. 11 Abs. 2 EEVO) – die beiden Instrumente lassen sich also miteinander kombinieren.

Welche Prüfung ist vor der Ausführung nötig?

Wie intensiv ein Diensteanbieter vor der Ausführung prüfen muss, hängt maßgeblich von der betroffenen Datenkategorie ab. Bei einer EPOC gilt: Teilnehmerdaten und Verkehrsdaten, die ausschließlich der Nutzeridentifizierung dienen, sind ohne weitere Prüfung herauszugeben (Art. 5 Abs. 3 EEVO). Anders bei allem, was darüber hinausgeht – für weitergehende Verkehrsdaten und für Inhaltsdaten muss geprüft werden, ob die zugrundeliegende Straftat unter den in Art. 5 Abs. 4 EEVO benannten Katalog schwerwiegender Straftaten fällt. Bei der EPOC-PR ist der Anwendungsbereich bewusst weiter gefasst: Sie kann für alle Straftaten erlassen werden, für die im vergleichbaren nationalen Fall unter denselben Voraussetzungen eine entsprechende Anordnung möglich wäre (Art. 6 Abs. 3 EEVO), und erfasst sämtliche Datenarten.

Unabhängig von der Datenkategorie bleibt in beiden Fällen dieselbe formale Prüfung: Ist die betroffene Person anhand der übermittelten Angaben identifizierbar, und ist die Bescheinigung vollständig und fehlerfrei? Bestehen hier Zweifel, ist das über das Formular in Anhang III anzuzeigen; die anordnende Behörde muss dann binnen fünf Tagen für Klarstellung sorgen – reagiert sie nicht, entfällt die Ausführungs- beziehungsweise Sicherungspflicht.

Wann darf oder muss die Ausführung verweigert werden?

Nicht jede eingehende Anordnung muss auch tatsächlich ausgeführt werden. Eine umfassende Ablehnungsbefugnis hat der Adressat zwar nicht – dafür ist die EEVO zu sehr auf schnelle Wirksamkeit ausgelegt. In vier eng umgrenzten Fällen kann beziehungsweise muss er die Ausführung aber verweigern und dies der Anordnungsbehörde unverzüglich mitteilen: bei formalen Mängeln der Anordnung (Art. 10 Abs. 6, Art. 11 Abs. 5 EEVO), bei faktischer Unmöglichkeit, etwa weil die betroffene Person nicht Kunde des Diensteanbieters ist oder die Daten bereits rechtmäßig gelöscht wurden (Art. 10 Abs. 7, Art. 11 Abs. 6 EEVO), bei Anhaltspunkten für Immunitäten, Vorrechte oder presserechtliche Verantwortlichkeitsregeln (Art. 10 Abs. 5, Art. 11 Abs. 4 EEVO) sowie bei Widerspruch zu einer Verpflichtung aus dem Recht eines Drittstaats, etwa der USA oder des Vereinigten Königreichs (Art. 17 EEVO).

Der letzte Fall dürfte in der Praxis der komplizierteste sein: Der Einwand kann binnen zehn Tagen nach Erhalt geltend gemacht werden, die Vollstreckung ist dann bis zum Abschluss dieses Verfahrens ausgesetzt – die Daten müssen währenddessen aber weiterhin gesichert bleiben. Bei den Immunitäten- und Presserechtsfällen wiederum trifft der Adressat gar keine eigene Ablehnungsentscheidung, sondern löst lediglich eine Prüfung durch die zuständigen Behörden aus.

Sanktionen und Haftung: Wer trägt welches Risiko?

Wer eine Anordnung ohne tragfähigen Grund pflichtwidrig nicht befolgt, riskiert Geldbußen von bis zu 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres (Art. 16 Abs. 1 EEVO) – ein Rahmen, der Unternehmen aus anderen europäischen Regelwerken durchaus vertraut vorkommen dürfte.

Entscheidend dürfte in der Praxis regelmäßig sein, ob und wie aktiv ein Unternehmen mit der anordnenden Behörde kommuniziert: Wer Hindernisse unverzüglich meldet, dürfte sich damit tendenziell auf einen anerkannten Grund im Sinne der Vorschrift berufen können, während unkommentiertes Schweigen das Sanktionsrisiko erhöht.

Etwas versöhnlicher fällt der Blick auf die Haftung aus: Diensteanbieter haften ihren Nutzer:innen oder Dritten gegenüber nicht für Schäden, die ausschließlich aus der gutgläubigen Befolgung einer EPOC oder EPOC-PR entstehen (Art. 15 Abs. 2 EEVO) – die Verantwortung für die Rechtmäßigkeit der Anordnung bleibt bei der anordnenden Behörde. Und wer die Kosten für die Beantwortung einer Anordnung trägt, muss auch nicht zwangsläufig der Diensteanbieter allein sein. Unter bestimmten Voraussetzungen lässt sich eine Erstattung verlangen, soweit das nationale Recht des Anordnungsstaats dies für vergleichbare nationale Anordnungen vorsieht (Art. 14 EEVO).

Was Unternehmen jetzt konkret tun müssen

Aus alledem ergibt sich für betroffene Diensteanbieter ein Handlungsrahmen, der überschaubar, aber zeitkritisch ist. Eine empfangsbereite Stelle muss benannt oder bestellt werden, interne Workflows für Eingang, Prüfung, Sicherung, Übermittlung und Dokumentation sind zu etablieren, und das zuständige Personal sollte mit den engen Fristen vertraut sein, bevor der Ernstfall eintritt. Um hier einen schnellen Überblick zu bekommen, haben wir die maßgeblichen Fristen und Prüfschritte für EPOC und EPOC-PR in diesem One-Pager zusammengefasst. 

Damit sind die auch praktischen Pflichten aus der EEVO umrissen. Diensteanbieter, die in den Anwendungsbereich der Verordnung fallen, sollten die dargestellten Fristen, Prüf- und Reaktionspflichten spätestens bis zum 18. August 2026 in ihre internen Prozesse überführt haben, um im Fall einer EPOC oder EPOC-PR fristgerecht und rechtssicher reagieren zu können.

Sie möchten Ihre internen Prozesse aufsetzen oder überprüfen lassen? Wir unterstützen Sie gerne bei der Entwicklung praxistauglicher Workflows und begleiten Sie gerne bei der Vorbereitung auf den 18. August 2026.