Bisher konnten staatliche Ermittler in einem EU-Land an die Daten bei einem Cloud- oder Kommunikationsdienst in einem anderen Land nur in einem aufwendigen Verfahren über die dortigen Behörden herankommen.
Seit dem 18. August 2026 gelten hierfür in der EU neue Regeln: Mit der sog. E-Evidence-Verordnung, kurz EEVO (Verordnung (EU) 2023/1543), können Ermittlungsbehörden elektronische Beweismittel unter bestimmten Voraussetzungen unmittelbar bei Diensteanbietern in anderen Mitgliedstaaten anfordern. Flankiert wird die Verordnung von der Richtlinie (EU) 2023/1544. Diese regelt, dass Diensteanbieter eine Niederlassung oder einen Vertreter in der EU haben, an den sich Ermittler wenden können. Die EEVO ist bereits am 18. August 2023 in Kraft getreten, bisher galt jedoch eine Übergangszeit.
Hauptaugenmerk der Verordnung ist das Strafrecht; herausgegeben werden können dabei personenbezogene Daten bis hin zu Kommunikationsinhalten, Standortinformationen oder umfangreichen Daten aus einem Cloud-Speicher.
Die Verordnung unterscheidet insbesondere Teilnehmerdaten, Daten zur Identifizierung eines Nutzers, Verkehrsdaten und Inhaltsdaten. Verkehrsdaten können bspw. Absender und Empfänger einer Kommunikation, Zeitpunkt und Dauer einer Verbindung oder den Standort eines Geräts umfassen. Inhaltsdaten sind etwa Texte, Sprachaufzeichnungen, Videos, Bilder oder sonstige Kommunikationsinhalte.
Adressaten können nicht nur klassische Telekommunikationsunternehmen sein. Erfasst werden nach Art. 3 EEVO u. a. Anbieter elektronischer Kommunikationsdienste, Domain- und IP-Dienste sowie bestimmte Dienste der Informationsgesellschaft, die Kommunikation zwischen Nutzern ermöglichen oder Daten für ihre Nutzer speichern. Damit können bspw. auch Hosting-, Cloud- oder Kommunikationsdienste in den Anwendungsbereich fallen.
Herausgabe oder Sicherung?
Mit der Europäischen Herausgabeanordnung nach Art. 1 und 7 EEVO kann eine zuständige Justizbehörde die Herausgabe elektronischer Beweismittel von einem Diensteanbieter in einem anderen EU-Land verlangen. Die Behörde kann sich nun direkt an den Diensteanbieter wenden und muss nicht mehr den Umweg über Rechtshilfeersuchen an die jeweils zuständigen Behörden gehen. Art. 5 EEVO beschreibt die Voraussetzungen, die die Anordnung für ihre Wirksamkeit erfüllen muss.
Daneben gibt es die Europäische Sicherungsanordnung nach Art. 1 und 7 EEVO. Mit ihr können vorhandene Daten zunächst „eingefroren“ werden, damit sie nicht gelöscht werden, bevor eine spätere Herausgabe verlangt wird. Grundsätzlich sind die Daten für 60 Tage zu sichern; die Frist kann nach Art. 11 EEVO um weitere 30 Tage verlängert werden. Für die Sicherungsanordnung beschreibt Art. 6 EEVO die Voraussetzungen.
Fristen können überfordern
Grundsätzlich müssen die Daten spätestens innerhalb von zehn Tagen herausgegeben werden. Art. 10 EEVO sieht allerdings auch vor, dass in Notfällen die Daten innerhalb von acht Stunden herauszugeben sind. Eine Hemmung der Frist wegen Feiertagen oder Wochenende kennt die Verordnung nicht. Ein Notfall ist nach Art. 3 Nr. 18 EEVO eine unmittelbare Gefahr für Leib oder Leben einer Person oder für eine kritische Infrastruktur. Man denke an die Ankündigung einer Amokfahrt in einem Forum oder die Ankündigung einer Beschädigung von Umspannwerken, um einen Stromausfall auszulösen.
E-Evidence nicht ohne DSGVO!
Für den E-Evidence bzw. das elektronische Beweismittel ist auch die Datenschutz-Grundverordnung (DSGVO) zu beachten. Die Verordnung stellt ausdrücklich klar, dass u. a. das Recht auf Achtung des Privat- und Familienlebens, der Schutz personenbezogener Daten und das Recht auf effektiven gerichtlichen Rechtsschutz zu beachten sind.
Dabei treffen unterschiedliche datenschutzrechtliche Regime aufeinander. Für die Verarbeitung durch Unternehmen bleibt insbesondere die DSGVO relevant. Für die Verarbeitung personenbezogener Daten durch zuständige Strafverfolgungsbehörden gilt dagegen insbesondere die Richtlinie (EU) 2016/680, die sog. JI-Richtlinie für Polizei und Justiz, bzw. deren nationale Umsetzung. Für Deutschland ist dies in §§ 45 ff. Bundesdatenschutzgesetz (BDSG) umgesetzt.
Eine Herausgabeanordnung soll sich laut Art. 5 Abs. 6 EEVO grundsätzlich an die Diensteanbieter richten, die Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO sind. Ausnahmsweise darf sich die Anordnung auch an einen Diensteanbieter richten, der lediglich im Auftrag des Verantwortlichen Daten verarbeitet (Art. 5 Abs. 6 und 7 EEVO). Dies können klassische Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO sein, wie etwa Hosting-Dienstleister.
Gleichzeitig besteht grundsätzlich ein Informationsrecht der Personen nach Art. 13 EEVO, deren Daten herausgegeben werden. Dieses Recht wird allerdings eingeschränkt, wenn die Information die Ermittlungen gefährden würde. Eine ähnliche Einschränkung kennen wir bereits aus § 32 Abs. 1 Nr. 2-5 BDSG bzw. für Behörden aus § 56 Abs. 2 BDSG. Danach kann von der Information abgesehen werden, wenn u. a. Ermittlungen gefährdet werden. Besonderheit nach der EEVO ist, dass die Information durch die Behörde zu erfolgen hat und nicht durch den Diensteanbieter.
Art. 5 Abs. 2 EEVO legt fest, dass die Herausgabe- und Sicherungsanordnungen notwendig und verhältnismäßig sein müssen. Für Verkehrsdaten, die nicht lediglich der Identifizierung eines Nutzers dienen, und für Inhaltsdaten gelten strengere Voraussetzungen. Solche Herausgabeanordnungen sind grundsätzlich auf Straftaten beschränkt, die im Ausstellungsstaat mit einer Freiheitsstrafe im Höchstmaß von mindestens drei Jahren bedroht sind. Außerdem bestehen Ausnahmen für bestimmte ausdrücklich erfasste Straftaten. Damit wird den Prinzipien der Zweckbindung und der Datenminimierung aus der DSGVO Rechnung getragen. Die Anordnungen müssen daher so konkret wie möglich gefasst sein, da sie sonst juristisch angreifbar sind.
Auch die Datensicherheit spielt in Art. 13 Abs. 4 EEVO eine Rolle, wonach bei der Anordnung Vertraulichkeit, Geheimhaltung und Integrität gewahrt werden müssen. Danach wäre nur eine verschlüsselte Herausgabe empfehlenswert und außerdem dürften auf die Daten ebenfalls nur nach dem Need-to-know-Prinzip zugegriffen werden. Dies ist umso mehr zu beachten, da es sich um besonders schutzwürdige Daten nach Art. 10 DSGVO handelt.
Umsetzung in Deutschland
Deutschland hat die europäischen Vorgaben inzwischen durch das Elektronische-Beweismittel-Umsetzungs-und-Durchführungsgesetz (EBewMG) ergänzt. Das Gesetz enthält u. a. Vorschriften zu benannten Niederlassungen und Vertretern, Zuständigkeiten, Verfahren, Rechtsschutz und Sanktionen.
Fazit
Mit der EEVO wird der Zugriff auf elektronische Beweismittel innerhalb der EU erheblich direkter und schneller. Datenschutzrechtlich ist ein besonderes Augenmerk darauf zu legen, dass auf Daten zugegriffen werden kann, die für Strafverfahren relevant und damit besonders sensibel sind. Zudem steht der Diensteanbieter unter Zeitdruck, wenn dieser an einem Wochenende innerhalb von acht Stunden herausgeben soll. Dies wird vor allem kleine Anbieter treffen, die bspw. nur ein Forum betreiben. Der Klassiker für Foren wäre etwa die Ankündigung einer Amokfahrt in einer Fußgängerzone. Hier muss der Diensteanbieter innerhalb der acht Stunden reagieren (Gefahr für Leib und Leben) und personenbezogene Daten auf Anforderung herausgeben.
Die Sensibilität der Daten auf der einen und der Zeitdruck auf der anderen Seite sind hervorragende Voraussetzungen, um Fehler zu begehen. Der Diensteanbieter ist nämlich in der Pflicht zu prüfen, ob die jeweilige Anordnung noch dem Datenminimierungsprinzip entspricht und nicht etwa zu viele Daten herausgegeben werden sollen. Dies könnte ansonsten ein Datenschutzvorfall sein, der eine meldepflichtige Datenpanne darstellen kann.
Keine Kommentare