Ab dem 18. August kann eine Staatsanwaltschaft in einem EU-Land eure Daten direkt bei einem Anbieter in einem anderen EU-Land anfordern. In vielen Fällen, ohne dass vorher ein Gericht im zweiten Land draufgeschaut hat.
Zehn Tage Frist für die Herausgabe. Acht Stunden, wenn der Fall als Eilfall eingestuft wird.
Das ist die E-Evidence-Verordnung, beschlossen 2023. Ein großes Ding. Und gerade läuft es fast vollständig unter dem Radar.
Zehn Tage
Zwei Instrumente sind der Kern. Die Europäische Herausgabeanordnung, die einen Anbieter zur Herausgabe von Daten zwingt. Und die Europäische Sicherungsanordnung, die ihn die Daten einfrieren lässt, damit sie noch da sind, wenn die erste Anordnung eintrifft.
Die Daten sind in Kategorien sortiert, und die Hürde steigt mit ihnen. Bestandsdaten, also wer hinter einem Konto steckt, sind die niedrige Stufe. Für Verkehrs- und Inhaltsdaten muss die Straftat im anordnenden Land im Höchstmaß mit mindestens drei Jahren Freiheitsstrafe bedroht sein. Oder auf einer kurzen Liste stehen: Terrorismus, sexueller Kindesmissbrauch, Zahlungsbetrug, bestimmte Cyberdelikte.
Wer nicht mitspielt, zahlt bis zu 2 Prozent des weltweiten Jahresumsatzes. Verspätete und unvollständige Antworten zählen mit.
Und Firmen außerhalb der EU sind nicht außen vor. Wer seinen Dienst Menschen in der Union anbietet, muss eine Niederlassung oder einen Vertreter in der EU benennen, und an diese Adresse gehen die Anordnungen. Banken und andere Finanzdienstleister sind die eine große Ausnahme.
Zehn Tage statt eines Verfahrens, das im Schnitt rund zehn Monate gedauert hat.
Rechtshilfe zwischen zwei europäischen Ländern konnte gut und gerne ein Jahr dauern, und die Hälfte davon war Papier, das zwischen Ministerien hin und her ging. Für eine Ermittlung ist das im Grunde ein Scheitern mit Ansage.
Deutschland ist längst dabei
Das Interessante für uns: Der deutsche Teil ist schon durch. Das Gesetz zur Umsetzung der Richtlinie (EU) 2023/1544 und zur Durchführung der Verordnung (EU) 2023/1543 steht seit dem 12. März 2026 im Bundesgesetzblatt und ist seit dem 13. März in Kraft.
Es bringt ein neues Stammgesetz mit, das Elektronische-Beweismittel-Umsetzungs- und Durchführungsgesetz, kurz EBewMG, und passt nebenbei das Telekommunikationsgesetz an. Super eingängig...
Heißt: Während die meisten von uns zum ersten Mal von der Sache hören, ist der nationale Rahmen seit fünf Monaten fertig. Bundestag Ende Januar, Bundesrat Anfang März, veröffentlicht, in Kraft. Und ab dem 18. August greift der europäische Teil obendrauf.
Gleiche Form
Der Grund, warum so viele europäische Regierungen angefangen haben, sich von amerikanischen Cloud-Diensten zu lösen, war ein einziger Satz in einer französischen Anhörung. Microsoft könne nicht garantieren, dass Daten auf französischen Servern niemals an US-Behörden gehen. Wegen des CLOUD Act, eines amerikanischen Gesetzes, das amerikanische Firmen erreicht, ganz gleich, wo ihre Server stehen. Darüber habe ich hier schon ausführlich geschrieben.
Diese Antwort hat digitale Souveränität von einer Vorliebe zu einer Sicherheitsfrage gemacht, zumindest in den Beschaffungsabteilungen.
Die beiden Gesetze sind nicht dasselbe, und ich will das auch nicht so hinbiegen. Eine E-Evidence-Anordnung kommt von einer Justizbehörde, nicht von einer Behörde im Verwaltungssinn. Es gibt Ablehnungsgründe: Immunitäten und Vorrechte, ein offensichtlicher Verstoß gegen Grundrechte, ein Konflikt mit dem Recht eines Drittstaats. Und es gibt Rechtsbehelfe für die betroffene Person, jedenfalls auf dem Papier.
Die Form ist trotzdem dieselbe. Eine Behörde in einem Land greift auf Daten zu, die in einem anderen liegen, und die Gerichte des zweiten Landes sind nicht zwingend Teil der Entscheidung.
Die Frage war nie nur, in welchem Land die Server stehen. Sie lautet, welche Behörden sie erreichen.
Auch kleine Plattformen
Der Anwendungsbereich ist weiter, als es in den meisten Berichten klingt. Telekommunikationsanbieter und Hyperscaler sind die naheliegenden Adressaten. Die Definition geht darüber hinaus: elektronische Kommunikationsdienste, Domain- und IP-Dienste und andere Dienste der Informationsgesellschaft, die Nutzern entweder das Kommunizieren ermöglichen oder Daten für sie speichern.
Lest das langsam, und ihr landet bei den Orten, an denen die meisten von uns veröffentlichen. Eine Newsletter-Plattform speichert eure Texte und eure Abonnentenliste und lässt Leute kommentieren. Ein Hoster hält eure Website. Ein Forum macht beides.
Welche Vertreter die Plattformen benannt haben, die ich selbst nutze, weiß ich nicht. Ich habe dazu nichts Veröffentlichtes gefunden. Vielleicht kommt das nächste Woche. Vielleicht steht es längst in einem Register, das ich nicht kenne.
Ein Punkt, bei dem ich selbst nachjustieren muss: Schweizer Hosting liegt außerhalb des CLOUD Act, das stimmt weiterhin. Außerhalb dieser Verordnung liegt es nicht, sobald der Anbieter seine Dienste in der EU anbietet. Anderes Gesetz, andere Tür.
Der Haken
Es gibt einen Benachrichtigungsmechanismus, und er sollte die Absicherung sein. Eine zweite Behörde sieht die Anordnung und kann widersprechen, bevor Rechte überfahren werden.
In den Verhandlungen ist er dünn geworden. Sicherungsanordnungen lösen ihn gar nicht aus. Herausgabeanordnungen für Bestands- und Verkehrsdaten ebenfalls nicht, wenn sie der Identifizierung eines Nutzers dienen. Also genau der Griff, mit dem man herausfindet, mit wem eine Journalistin gesprochen hat. Die Bürgerrechtsorganisation EDRi sagt das seit 2021.
Einiges bleibt unklar. Nicht jede Justiz in der EU ist im selben Zustand, und gegen einzelne Mitgliedstaaten läuft genau deshalb ein Verfahren nach Artikel 7. Eine Anordnung von dort landet mit derselben Zehn-Tage-Frist wie eine Anordnung von überall sonst.
Die Berufe, die es zuerst trifft, sind: Journalistinnen und ihre Quellen. Anwälte und ihre Mandanten. Ärztinnen. Ob ein Zeugnisverweigerungsrecht greift, muss jemand bemerken, und die Benachrichtigung erreicht womöglich niemanden, der es bemerken kann. Rechtzeitig jedenfalls.
Und nichts davon ersetzt den CLOUD Act. Den gibt es weiterhin. Europäische Daten haben jetzt zwei Türen statt einer.
Fairerweise
Die Europäische Ermittlungsanordnung läuft auf eine 120-Tage-Frist, die klassische Rechtshilfe auf gar nichts, womit sich planen ließe. Beweise auf einem Server im Nachbarland waren oft schlicht weg, bis die Anfrage durch war.
Staatsanwaltschaften bitten seit einem Jahrzehnt um dieses Instrument. Die Drei-Jahres-Schwelle ist eine Grenze, die hält. Inhaltsdaten hinter einer höheren Hürde zu lassen als Bestandsdaten ebenfalls, und die Ablehnungsgründe sind mehr, als grenzüberschreitende Regelwerke sonst mitbringen.
Man kann das alte Verfahren für unbrauchbar halten und diese Fassung trotzdem für zu großzügig. Beides passt zusammen.
Zwei Türen
Ich schreibe seit zwei Jahren, dass Europa seine eigene Infrastruktur betreiben sollte, und dabei bleibt es. Daran ändert das hier nichts.
Die Sorge unter diesen Texten ist aber nicht die Flagge auf der Firma. Es ist die Zahl der Schritte zwischen einer Behörde und meinen Daten. Und wie wenig ich davon mitbekommen würde.
Ab Dienstag sind es innerhalb Europas ebenfalls weniger Schritte.
Ist eine europäische Staatsanwaltschaft besser als eine amerikanische? Keine Ahnung. Vielleicht. War das gemeint, als wir von Souveränität gesprochen haben? Da habe ich große Zweifel...
