E-Evidence-Verordnung: wen sie trifft und wen nicht

Die E-Evidence-Verordnung erlaubt Strafverfolgungsbehörden eines EU-Staats, elektronische Beweismittel direkt bei einem Diensteanbieter in einem anderen Mitgliedstaat anzufordern — ohne den Umweg über die dortigen Behörden. Verpflichtet sind Kommunikations-, Hosting- und Plattformdienste. Ein reiner Warenshop mit Kundenkonto fällt nach juristischer Einschätzung regelmäßig nicht darunter.

1. Worum es überhaupt geht

Ermittler brauchen heute in fast jedem Verfahren digitale Spuren: Verbindungsdaten, Postfächer, gespeicherte Dateien. Liegen diese Daten bei einem Anbieter im EU-Ausland, führte der Weg dorthin bisher über Rechtshilfeersuchen zwischen Behörden — ein Verfahren, das Monate dauern konnte.

Genau das ändern zwei europäische Rechtsakte. Die Verordnung (EU) 2023/1543 schafft Europäische Herausgabe- und Sicherungsanordnungen: Eine Behörde in einem Mitgliedstaat wendet sich damit unmittelbar an den Anbieter in einem anderen. Die begleitende Richtlinie (EU) 2023/1544 sorgt dafür, dass es dort überhaupt jemanden gibt, an den man sich wenden kann — sie verpflichtet betroffene Anbieter, eine Niederlassung oder einen Vertreter in der EU vorzuhalten.

Nach einer dreijährigen Übergangsfrist gilt die Verordnung seit dem 18. August 2026. Für Unternehmen ist damit weniger das Strafverfahren interessant als eine viel praktischere Frage: Gehöre ich zu den Adressaten?

2. Der Selbsttest: Bin ich Diensteanbieter im Sinne der Regelung?

Hier liegt der Punkt, an dem in vielen Beiträgen unnötige Unruhe entsteht. Die Regelung zielt nicht auf jedes Unternehmen mit einer Website, sondern auf Dienste, bei denen Kommunikation zwischen Nutzern oder Datenspeicherung ein bestimmender Bestandteil der Leistung ist.

Für einen gewöhnlichen Onlineshop bedeutet das Entwarnung: Kundenkonto, Bestellhistorie und die Nachrichten zwischen Ihnen und Ihrem Kunden sind nach Einschätzung der IT-Recht-Kanzlei „nur eine Begleitfunktion des Warenverkaufs" und begründen die Adressatenstellung nicht. Die folgende Übersicht ordnet die typischen Fälle:

Wichtig ist die Formulierung „regelmäßig nicht". Das ist eine juristische Einschätzung zur typischen Fallgestaltung, kein Freibrief aus dem Gesetzestext. Wer neben dem Shop ein Forum betreibt, eine Community moderiert oder Käufer und Verkäufer miteinander in Kontakt bringt, sollte den eigenen Fall genauer prüfen lassen. Dieselbe Sorgfalt empfiehlt sich bei Hosting- und Domainleistungen, die manche Händler nebenbei für Kunden erbringen.

3. Was das deutsche Gesetz verlangt

Deutschland hat die Vorgaben im Elektronische-Beweismittel-Umsetzungs- und Durchführungsgesetz geregelt, kurz EBewMG. Es wurde am 10. März 2026 ausgefertigt und im Bundesgesetzblatt 2026 I Nr. 64 verkündet. Wer betroffen ist, hat daraus zwei Pflichten.

Erstens einen Adressaten benennen. Das kann eine benannte Niederlassung oder ein bestellter Vertreter sein. Das Gesetz beschreibt dessen Rolle unmissverständlich: „Der Adressat ist verantwortlich für die Entgegennahme, Einhaltung und Vollstreckung von Entscheidungen." Es genügt also nicht, irgendeine Adresse zu hinterlegen — die Stelle muss handlungsfähig sein.

Zweitens die Kontaktdaten melden. Adressat der Meldung ist das Bundesamt für Justiz. Zur Meldung gehört außerdem die Angabe, welche Amtssprache oder welche Amtssprachen für Anordnungen verwendet werden können. Wer diesen Teil weglässt, hat unvollständig gemeldet.

4. Die Fristen — und was schon abgelaufen ist

Das EBewMG ist gestuft in Kraft getreten. Ein erster Teil galt bereits ab dem 13. März 2026; der für Diensteanbieter entscheidende Abschnitt trat zum 18. August 2026 in Kraft, zeitgleich mit der Verordnung selbst.

Für die Benennung des Adressaten gilt eine Stichtagsregel: Wer am 18. Februar 2026 bereits tätig war, musste bis zum 18. August 2026 benannt haben. Diese Frist ist zum Zeitpunkt dieses Beitrags verstrichen. Wer erst danach mit einem erfassten Dienst startet, hat sechs Monate ab Aufnahme der Geschäftstätigkeit Zeit.

Praktisch heißt das für betroffene Anbieter, die es bisher nicht auf dem Schirm hatten: Die Pflicht besteht bereits, sie ist nicht erst im Anmarsch. Hier zu warten, verbessert die Lage nicht.

5. Welche Bußgelder das Gesetz nennt

Der Bußgeldrahmen steht in § 18 EBewMG und ist deutlich:

Zuständig für die Verfolgung ist bei den Benennungs- und Meldepflichten das Bundesamt für Justiz. Der Umsatzbezug greift erst oberhalb von 25 Millionen Euro Jahresumsatz — für kleinere Anbieter bleibt es bei den festen Beträgen, die für sich genommen schon empfindlich sind.

6. Zehn Tage, im Eilfall acht Stunden

Wer Adressat ist, muss liefern können. Die Verordnung sieht für die Herausgabe grundsätzlich zehn Tage vor; in Eilfällen verkürzt sich die Frist auf acht Stunden.

Acht Stunden sind der eigentliche Prüfstein. In dieser Zeit muss klar sein, wer die Anordnung entgegennimmt, wer sie rechtlich bewertet, wo die angeforderten Daten technisch liegen und wer sie extrahieren kann. Eine Zuständigkeit, die nur in einer Richtlinie steht, aber nie geübt wurde, hält das nicht. Wer erfasst ist, braucht deshalb dieselbe Art von Bereitschaft, die auch andere Pflichten verlangen — etwa die Meldewege, die unser Beitrag zu den NIS2-Pflichten beschreibt.

7. Die verfassungsrechtliche Kritik

Zur Vollständigkeit gehört, dass die deutsche Umsetzung juristisch umstritten ist. In der Anhörung des Rechtsausschusses des Bundestages am 12. Januar 2026 bezeichneten mehrere Sachverständige den Entwurf als verfassungswidrig. Die Bundesrechtsanwaltskammer und der Deutsche Anwaltverein kritisierten, der Entwurf nutze die Spielräume für den Grundrechtsschutz nicht aus.

Genannt werden vor allem drei Punkte: das Fehlen eines Richtervorbehalts, der nachgelagerte Rechtsschutz — Betroffene erfahren von einer Anordnung typischerweise erst, wenn ihre Daten bereits geflossen sind — und der Schutz des Anwaltsgeheimnisses.

Die Kritik kommt nicht nur aus der Anwaltschaft. Auch der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit hat zur Verordnung Bedenken formuliert: Das vereinfachte Verfahren könne die Justizbehörden des Vollstreckungsstaats umgehen, eine wirksame Rechtmäßigkeits- und Verhältnismäßigkeitsprüfung der Anordnungen fehle, und der Schutz von Berufsgeheimnisträgern und Journalisten sei nicht ausreichend gesichert. Hinzu kämen sprachliche und finanzielle Hürden für Betroffene, die ihre Rechte im Anordnungsstaat geltend machen wollen.

Diese Einwände geben wir wieder, ohne sie zu bewerten. Für die Praxis ändern sie zunächst nichts: Das Gesetz gilt. Ob und wie Gerichte darauf reagieren, ist offen und sollte beobachtet werden.

8. Was Sie jetzt konkret tun

01 — Leistung ehrlich einordnen

Fragen Sie nicht, was Ihr Shop nebenbei kann, sondern was Sie verkaufen. Kommunikation oder Speicherplatz als eigenes Angebot führt in die Pflicht, ein Kundenkonto zum Warenverkauf nicht.

02 — Nebenangebote prüfen

Betreiben Sie ein Forum, eine Community, ein Nachrichtenmodul zwischen Nutzern oder eine Vermittlungsplattform? Dann sehen Sie sich den Einzelfall genauer an, statt pauschal zu entwarnen.

03 — Bei Betroffenheit den Adressaten bestimmen

Das kann eine bestehende Niederlassung in der EU sein oder ein bestellter Vertreter. Er muss Anordnungen entgegennehmen und deren Erfüllung sicherstellen können.

04 — Kontaktdaten ans Bundesamt für Justiz melden

Zur Meldung gehört auch die Angabe, in welcher Amtssprache Anordnungen entgegengenommen werden können. Ohne diese Angabe ist die Meldung unvollständig.

05 — Ablauf üben, nicht nur dokumentieren

Acht Stunden im Eilfall bedeuten: Es muss klar sein, wer erreichbar ist, wer entscheidet und wo die Daten liegen. Ein Ablauf, der nur auf Papier existiert, hält diese Frist nicht.

Ein Sonderfall verdient Aufmerksamkeit: Wenn Sie Leistungen von Dritten beziehen, die ihrerseits erfasst sind — Hosting, Content-Delivery, Mail-Versand —, ändert das an Ihrer eigenen Einordnung nichts. Es lohnt aber der Blick darauf, wie diese Anbieter aufgestellt sind. Worauf es bei der Auswahl sonst ankommt, behandeln unsere Beiträge zum Webhosting für Unternehmen und zu Cloudflare aus Sicht von Shop-Betreibern.

9. Fazit: für die meisten Händler eine Entwarnung

Die E-Evidence-Verordnung ist ein ernstes Instrument mit kurzen Fristen und spürbaren Bußgeldern — aber sie zielt auf Kommunikations-, Hosting- und Plattformdienste, nicht auf den Warenhandel. Wer einen Shop betreibt und keine Nutzer-zu-Nutzer-Funktionen anbietet, hat hier nach aller Voraussicht nichts zu tun.

Genau deshalb lohnt die saubere Einordnung: Sie erspart Ihnen Aufwand, den Sie nicht brauchen, und macht sichtbar, wo tatsächlich Handlungsbedarf besteht. Eine ähnliche Betroffenheitsprüfung führt die Meldepflicht für Plattformen mit sich, die wir im Beitrag zu DAC7 aufgeschlüsselt haben. Wenn Sie unsicher sind, wo Ihr Angebot steht, sehen wir uns die technische Seite gern gemeinsam an — den Rahmen dafür gibt unsere Digitalisierungsberatung.

10. Häufige Fragen zur E-Evidence-Verordnung

Ist mein Onlineshop von der E-Evidence-Verordnung betroffen?

In aller Regel nicht. Ein gewöhnlicher Shop verkauft Waren; Kundenkonto und Bestellhistorie gelten als Begleitfunktion dieses Verkaufs und begründen die Adressatenstellung nach juristischer Einschätzung nicht. Anders liegt es, wenn Nutzer über Ihre Plattform miteinander kommunizieren oder Sie Speicherplatz als eigenständige Leistung anbieten.

Seit wann gilt die E-Evidence-Verordnung?

Die Verordnung (EU) 2023/1543 gilt seit dem 18. August 2026, nach einer dreijährigen Übergangsfrist. Das deutsche Begleitgesetz wurde bereits am 10. März 2026 ausgefertigt und trat gestuft in Kraft: ein erster Teil im März, der für Diensteanbieter entscheidende Teil ebenfalls zum 18. August 2026. Die Pflichten bestehen also bereits, sie kommen nicht erst.

Was ist das EBewMG?

Das Elektronische-Beweismittel-Umsetzungs- und Durchführungsgesetz. Es setzt die europäische Richtlinie um und führt die Verordnung in Deutschland aus. Es regelt, wer einen Adressaten benennen muss, wie dessen Kontaktdaten dem Bundesamt für Justiz zu melden sind und welche Bußgelder bei Verstößen drohen.

Wer muss einen Adressaten benennen?

Diensteanbieter, die unter die Regelung fallen: Kommunikations- und Messengerdienste, Domain- und IP-Dienste sowie Plattformen, auf denen Nutzer untereinander kommunizieren oder bei denen Datenspeicherung ein bestimmender Bestandteil ist. Der Adressat ist laut Gesetz für Entgegennahme, Einhaltung und Vollstreckung von Anordnungen verantwortlich.

Welche Fristen gelten für die Benennung?

Wer am 18. Februar 2026 bereits tätig war, musste den Adressaten bis zum 18. August 2026 benannt haben. Diese Frist ist verstrichen. Anbieter, die ihre Geschäftstätigkeit später aufnehmen, haben dafür sechs Monate ab Aufnahme der Tätigkeit Zeit. Wer die Frist versäumt hat, sollte die Benennung zügig nachholen statt weiter zu warten.

Welche Bußgelder sieht das Gesetz vor?

Wer keinen Adressaten benennt oder falsche Angaben macht, riskiert bis zu 500.000 Euro. Für bestimmte Mitteilungsverstöße sind bis zu 100.000 Euro vorgesehen. Bei Unternehmen mit mehr als 25 Millionen Euro Umsatz kann der Rahmen auf bis zu zwei Prozent des Gesamtumsatzes steigen. Zuständig ist bei den Benennungspflichten das Bundesamt für Justiz.

Wie schnell müssen Daten herausgegeben werden?

Die Verordnung sieht grundsätzlich zehn Tage vor. In Eilfällen verkürzt sich die Frist auf acht Stunden. Wer erfasst ist, braucht deshalb einen erreichbaren Ansprechpartner und einen geübten Ablauf — acht Stunden lassen sich nicht mit einer improvisierten Suche im Postfach überbrücken.

Quellen & offizielle Informationen

Die Angaben in diesem Beitrag stützen sich auf folgende offizielle und fachliche Quellen (Stand September 2026). Externe Links öffnen in einem neuen Tab.

• EBewMG — Gesetz über Europäische Herausgabe- und Sicherungsanordnungen zu elektronischen Beweismitteln — Ausfertigung 10. März 2026, BGBl. 2026 I Nr. 64; § 3 zur Benennung des Adressaten und den Fristen, § 4 zur Meldung an das Bundesamt für Justiz, § 18 zum Bußgeldrahmen.
• Verordnung (EU) 2023/1543 (EUR-Lex) — Europäische Herausgabe- und Sicherungsanordnungen für elektronische Beweismittel in Strafsachen.
• Richtlinie (EU) 2023/1544 (EUR-Lex) — Pflicht zur Bestellung von Vertretern für die Erhebung elektronischer Beweismittel.
• Bundesbeauftragter für den Datenschutz und die Informationsfreiheit: E-Evidence-Verordnung — Einordnung aus datenschutzrechtlicher Sicht; nennt die Bedenken zur Umgehung der Justizbehörden des Vollstreckungsstaats, zur fehlenden Rechtmäßigkeits- und Verhältnismäßigkeitsprüfung und zum Schutz von Berufsgeheimnisträgern.
• IT-Recht Kanzlei: E-Evidence-Verordnung — neue Pflichten auch für Online-Händler? — die Einschätzung, dass gewöhnliche Onlineshops regelmäßig nicht erfasst sind.
• Deutscher Bundestag: Anhörung im Rechtsausschuss (Januar 2026) — Grundlage der wiedergegebenen verfassungsrechtlichen Kritik von BRAK und DAV.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Die Einordnung, ob Sie als Diensteanbieter gelten, hängt von der konkreten Ausgestaltung Ihres Angebots ab und lässt sich nicht pauschal beantworten. Maßgeblich sind die Gesetzestexte in ihrer jeweils gültigen Fassung. Bitte klären Sie Ihren Fall mit einer Rechtsanwältin oder einem Rechtsanwalt. Stand der Recherche: September 2026.