E-Evidence ab 18. August 2026: Acht Stunden für Nutzerdaten, und warum die meisten Mittelständler nicht betroffen sind

In einer Woche, am 18. August 2026, wird die E-Evidence-Verordnung (EU) 2023/1543 anwendbar. Eine Staatsanwaltschaft in jedem Mitgliedstaat kann dann einen Diensteanbieter unmittelbar anweisen, Nutzerdaten herauszugeben, ohne den Umweg über deutsche Behörden. Die Frist beträgt zehn Tage, im Eilfall acht Stunden. Die ehrliche Schlagzeile für die meisten Leserinnen und Leser dieses Beitrags sind aber nicht die acht Stunden. Sie lautet, dass sie mit hoher Wahrscheinlichkeit nicht erfasst sind, und dass der Grund dafür in einem einzigen Wort der Definition steht.

Erst der Anwendungsbereich, dann die Frist

Berichte über diese Verordnung beginnen fast immer mit den acht Stunden, der alarmierendsten Zahl darin und dem am wenigsten nützlichen Einstieg. Die erste Frage ist binär und an einem Nachmittag zu beantworten: Sind Sie Diensteanbieter im Sinne von Art. 3 Nr. 3. Lautet die Antwort nein, gilt der Rest der Verordnung für Sie nicht, und daran ändert auch die beste Prozessgestaltung nichts.

Erfasst sind drei Kategorien. Anbieter elektronischer Kommunikationsdienste, also Telefonie, Messenger und E-Mail. Anbieter von Internet-Domänennamen- und IP-Nummerierungsdiensten, also Registrare und vergleichbare Infrastruktur. Und andere Dienste der Informationsgesellschaft, die es ihren Nutzern entweder ermöglichen, miteinander zu kommunizieren, oder die für ihre Nutzer Daten speichern oder auf sonstige Weise verarbeiten, bei denen die Speicherung von Daten ein bestimmender Bestandteil der Dienstleistung ist.

In dieser dritten Kategorie liegen alle echten Fragen, und das Wort, das die Arbeit macht, ist bestimmend. Nicht beiläufig, nicht vorhanden, nicht technisch beteiligt. Bestimmend. Fast jedes Unternehmen speichert irgendwo Daten für seine Kunden. Die Verordnung stellt die engere Frage: Ist die Speicherung das, wofür der Kunde bezahlt.

Der Test, angewendet auf reale Mittelstandsfälle

Bei der fünften Zeile lohnt das Innehalten. Agenturen, Systemhäuser und IT-Dienstleister, die Systeme für ihre Kunden hosten oder betreiben, erbringen dabei typischerweise einen eigenen Dienst und können selbst Adressat sein. Das ist eine Vertragsfrage, die vor dem Eingang einer Anordnung geklärt gehört und nicht danach. Es bedeutet zugleich, dass die Antwort für einen Hersteller nein lauten kann, während sie für den Partner, der seine Plattform betreibt, ja lautet. Genau solche Aufteilungen fallen erfahrungsgemäß im ungünstigsten Moment auf.

Was tatsächlich verlangt werden kann

Wer erfasst ist, sollte als Nächstes wissen, dass nicht alle Daten gleich weit offenstehen. Die Verordnung staffelt, was angeordnet werden darf, und diese Staffelung ist der wichtigste Schutzmechanismus des ganzen Rechtsakts.

Praktisch heißt das: Der Regelfall ist eine Anfrage nach Teilnehmerdaten, also wer hinter diesem Konto steckt. Solche Anfragen sind vergleichsweise einfach zu beantworten, und sie werden den Alltag der meisten Anbieter ausmachen. Anordnungen zu Verkehrs- und Inhaltsdaten setzen eine wirklich erhebliche Anlasstat voraus, und bei ihnen sollte ein Anbieter die Anordnung lesen, statt reflexhaft zu liefern.

Zwei Arten von Anordnung, und die zweite kollidiert mit Ihren Löschroutinen

Die Verordnung ist nach beiden Instrumenten benannt, die sie schafft, und in der Berichterstattung kommt meist nur eines vor. Neben der Europäischen Herausgabeanordnung, die zur Übermittlung verpflichtet, gibt es die Europäische Sicherungsanordnung, die zum Einfrieren verpflichtet. Sie verschafft der Behörde die Daten nicht. Sie verhindert, dass die Daten verschwinden, während die Behörde das Ersuchen vorbereitet, das sie dann verschafft.

Der Adressat muss die bezeichneten Daten unverzüglich sichern, damit sie nicht gelöscht oder verändert werden, und zwar für höchstens 60 Tage, es sei denn, die Anordnungsbehörde bestätigt, dass ein nachfolgendes Herausgabeersuchen gestellt wurde. Dann läuft die Sicherung weiter.

Das ist die Pflicht, die in einem gut geführten Unternehmen am ehesten unbemerkt scheitert, und der Grund ist widersinnig: Je sauberer Ihre Datenhygiene, desto schwerer die Erfüllung. Logs, die nach 30 Tagen rotieren, eine Löschroutine, die nach Ihrem Löschkonzept planmäßig läuft, eine Kontobereinigung, die nach einer Kündigung automatisch greift, das alles ist gute Praxis nach der DSGVO, und das alles vernichtet zuverlässig Daten, deren Aufbewahrung Ihnen gerade angeordnet wurde. Diese Mechanik für ein einzelnes Konto anzuhalten, ohne sie für alle anderen abzuschalten, ist eine technische Aufgabe. In acht Stunden löst sie niemand, der vorher nicht darüber nachgedacht hat.

Die Frage an das eigene Team ist eng und beantwortbar: Wenn wir morgen die Löschung für genau ein Nutzerkonto stoppen müssten, wer macht das, wie, und überlebt es das nächste Deployment.

Sie dürfen prüfen, und Sie dürfen nicht darüber sprechen

Die Befolgung ist nicht bedingungslos. Eine Anordnung ist unter anderem dann nicht auszuführen, wenn die anordnende Behörde nicht zuständig ist, das vorgeschriebene Formular nicht oder unvollständig verwendet wurde, die Herausgabe objektiv unmöglich ist, etwa weil die Daten nicht existieren oder rechtmäßig bereits gelöscht wurden, oder wenn entgegenstehende Pflichten nach anderem anwendbaren Recht bestehen. Wer nicht erfüllen kann, sagt das begründet und innerhalb der Frist. Schweigen ist der falsche Weg, denn von außen sieht Schweigen aus wie Verweigerung.

In die andere Richtung gibt es eine Pflicht, die Unternehmen leicht übersehen. Art. 11 verlangt, die Vertraulichkeit der laufenden Ermittlung zu wahren, einschließlich der Tatsache, dass überhaupt eine Anordnung ergangen ist. Der Reflex eines kundenorientierten Unternehmens ist, gegenüber dem betroffenen Nutzer transparent zu sein, und genau dieser Reflex ist hier falsch. Ob und wann der Nutzer informiert werden darf, entscheidet die Behörde und nicht Sie. Das gehört in die schriftliche Verfahrensbeschreibung, denn es ist exakt die Art von Auskunft, die eine Kundenbetreuung spontan und in bester Absicht gibt.

Die acht Stunden sind ein Erreichbarkeitsproblem, kein juristisches

Art. 10 Abs. 3 setzt die reguläre Frist auf zehn Tage ab Zugang. Art. 10 Abs. 4 verkürzt sie in Notfällen auf acht Stunden. Zehn Tage sind für jedes geordnete Unternehmen machbar. Acht Stunden sind überhaupt keine juristische Frage, und sie als solche zu behandeln ist der Fehler, den man vermeiden sollte.

Acht Stunden umfassen Nächte, Wochenenden und die zwei Augustwochen, in denen das halbe Unternehmen weg ist. Sie einzuhalten verlangt drei sehr konkrete Dinge, von denen keines eine Kanzlei liefern kann. Eine Adresse, die tatsächlich jemand liest, und nicht eine, die in ein Sammelpostfach ohne Eigentümer weiterleitet. Eine namentlich benannte Person mit namentlicher Vertretung, auch außerhalb der Bürozeiten erreichbar. Und einen technischen Weg, die Daten herauszugeben, ohne dass jemand eine Abfrage von Grund auf schreibt. Der dritte Punkt scheitert am häufigsten: Die rechtliche Prüfung ist gemacht, die Zuständigkeit ist verteilt, und dann zeigt sich, dass die Daten nur über einen händischen Datenbankauszug herauszubekommen sind, den eine einzige Person bedienen kann.

Wer erfasst ist, sollte diesen Export bauen, bevor er ihn braucht, und ihn einmal testen. Das ist ein Nachmittag Arbeit und macht aus den acht Stunden ein Verfahren statt eines Risikos.

Der benannte Adressat

Die Verordnung kommt zusammen mit der Richtlinie (EU) 2023/1544, die von jedem Diensteanbieter, der Dienste in der Union anbietet, die Benennung einer Niederlassung oder eines gesetzlichen Vertreters in der EU verlangt, an den Anordnungen zugestellt und von dem sie umgesetzt werden. Die Umsetzungsfrist für die Mitgliedstaaten lief am 18. Februar 2026 ab. Deutschland hat den Rahmen mit dem Elektronische-Beweismittel-Umsetzungs- und Durchführungsgesetz geschaffen, verkündet im März 2026, mit einzelnen Regelungen zum 18. August; nationaler Bezugspunkt ist das Bundesamt für Justiz.

Für ein Unternehmen mit Sitz in Deutschland ist das überwiegend Verwaltung. Die Niederlassung existiert, es fehlt die förmliche Benennung und eine Zustelladresse, die funktioniert. Für einen Anbieter außerhalb der EU, der Dienste in die Union anbietet, ist es eine echte Pflicht mit echten Kosten, und es ist der Punkt, an dem manche Anbieter feststellen werden, dass sie eine EU-Präsenz brauchen, die sie nicht eingeplant hatten.

Drei Fristen in vier Monaten, und welche davon Ihre ist

E-Evidence kommt nicht allein, und die Reihenfolge sagt mehr als jedes einzelne Datum. Als Block gelesen ist das Bild weniger bedrohlich, als jede einzelne Schlagzeile nahelegt, denn die drei Pflichten treffen drei verschiedene Arten von Unternehmen.

Ein Maschinenbauer fällt unter den Cyber Resilience Act und nicht unter E-Evidence. Bei einem SaaS-Unternehmen ist es umgekehrt. Unter die Transparenzpflichten des AI Act fällt fast jeder, weil inzwischen fast jeder irgendwo einen Assistenten betreibt. Die drei als eine Regulierungswelle zu lesen erzeugt Lähmung; sie als drei getrennte Fragen zu lesen erzeugt in den meisten Fällen genau eine tatsächliche Aufgabe.

Was in dieser Woche zu tun ist

• Die Anwendungsfrage schriftlich beantworten. Bieten wir einen Dienst an, bei dem die Speicherung bestimmender Bestandteil ist, oder bei dem Nutzer miteinander kommunizieren. Ein Absatz, datiert, abgelegt. Für die meisten Unternehmen ist das Thema damit dauerhaft erledigt.
• Falls ja, den Adressaten benennen. Eine Niederlassung oder einen Vertreter in der EU, mit einer Zustelladresse, die eine benannte Person liest.
• Eine Person und eine Vertretung festlegen. Außerhalb der Bürozeiten erreichbar, denn die Eilfrist nimmt auf den Kalender keine Rücksicht.
• Den Datenexport bauen und testen. Teilnehmerdaten zu einem Konto, ohne Improvisation. Einmal, bei Tageslicht.
• Aufschreiben, wer die Anordnung prüft. Welche Datenkategorie, welcher Anordnungsstaat, welche Schwelle. Erfüllen ist nicht dasselbe wie erfüllen ohne zu lesen.
• Die Frage mit Ihren Dienstleistern klären. Wenn ein Partner Ihre Plattform hostet oder betreibt, halten Sie schriftlich fest, wer eine Anordnung entgegennimmt und wer die Daten herausgibt.

Fazit

E-Evidence verändert erheblich, wie grenzüberschreitende Ermittlungen an Daten kommen, und ist für den Mittelstand ein kleineres Ereignis, als die Schlagzeilenzahl vermuten lässt. Die acht Stunden sind real, sie binden aber nur Unternehmen, deren Produkt Kommunikation oder Speicherung ist. Für alle anderen ist das richtige Ergebnis dieses Beitrags ein datierter Absatz mit dem Inhalt, dass geprüft wurde und keine Betroffenheit vorliegt. Den zu haben lohnt sich, wenn in einem halben Jahr jemand fragt. Für die Unternehmen, die erfasst sind, ist die Arbeit nicht juristisch. Sie besteht aus einer Adresse, die jemand liest, einer Person, die antwortet, und einem Export, der auch samstags läuft. Wenn Sie diese Einordnung an Ihren tatsächlichen Systemen statt an einer Checkliste vornehmen möchten, ist genau das der Zweck eines Erstgesprächs.

Häufige Fragen zur E-Evidence-Verordnung