Neue EU-Regeln: Strafverfolger kommen jetzt deutlich schneller an Nutzerdaten

Was geschehen ist – die Kernmeldung

Ab dem 18. August tritt eine tiefgreifende Veränderung in der europäischen Strafverfolgung in Kraft. Mit der Anwendung der E-Evidence-Verordnung (EEVO) sowie der zugehörigen Richtlinie und des entsprechenden deutschen Umsetzungsgesetzes werden die Hürden für den grenzüberschreitenden Zugriff auf Nutzerdaten innerhalb der Europäischen Union drastisch gesenkt. Bisher mussten Ermittlungsbehörden langwierige Rechtshilfeverfahren durchlaufen, die sich oft über Monate oder gar Jahre erstreckten, da die Behörden im Heimatland des jeweiligen Dienstanbieters jeden Schritt prüfen und durchsetzen mussten. Dieses System wird nun durch einen einheitlichen EU-weiten Rechtsrahmen ersetzt, der den direkten Zugriff ermöglicht. Anbieter von Online-Diensten sind künftig verpflichtet, auf Anordnungen von Strafverfolgungsbehörden aus anderen EU-Mitgliedstaaten deutlich schneller zu reagieren. Die Fristen sind dabei strikt: In regulären Fällen müssen die angeforderten Daten innerhalb von zehn Tagen bereitgestellt werden, bei Eilfällen verkürzt sich diese Zeitspanne sogar auf lediglich acht Stunden. Zudem besteht die Möglichkeit, die Sicherung von Daten für einen Zeitraum von 60 Tagen anzuordnen. Diese Neuregelung zielt darauf ab, die Effizienz bei der digitalen Beweissicherung massiv zu steigern, indem bürokratische Hürden abgebaut und die beteiligten Justizbehörden im Land des Anbieters weitgehend umgangen werden.

Die Einzelheiten der neuen Regelungen

Die Verordnung unterscheidet zwischen verschiedenen Datenkategorien, für die jeweils unterschiedliche Anforderungen gelten. Bei sogenannten Teilnehmerdaten, wie etwa Namen, Anschriften oder IP-Adressen, können Ermittlungsbehörden die Herausgabe künftig direkt beim Anbieter im EU-Ausland anfordern. Dies ist unabhängig davon möglich, ob das untersuchte Verhalten im Staat des Anbieters überhaupt einen Straftatbestand erfüllt. Somit greift die Neuregelung auch bei Delikten wie Beleidigung oder Volksverhetzung, selbst wenn diese im Sitzland des Unternehmens strafrechtlich anders oder gar nicht bewertet werden. Für sensiblere Verkehrs- und Inhaltsdaten, darunter E-Mails, Chatverläufe oder gespeicherte Dateien, gelten hingegen strengere Schutzmechanismen. Hier dürfen Ermittler die Daten in der Regel nur bei Straftaten anfordern, die im Ermittlungsland mit einer Höchststrafe von mindestens drei Jahren bedroht sind. Zudem ist hierfür meist ein richterlicher Beschluss im Heimatland der Ermittler erforderlich. Die zuständige Justizbehörde im Staat des Anbieters muss in diesen Fällen benachrichtigt werden und hat die Möglichkeit, der Herausgabe zu widersprechen, sollte sie die Maßnahme für nicht gerechtfertigt halten. Da diese Behörde im Eilfall jedoch bis zu vier Tage Zeit für ein Veto hat, während der Anbieter die Daten bereits nach acht Stunden liefern muss, könnten Informationen unter Umständen bereits bei den Ermittlern landen, bevor eine rechtliche Prüfung abgeschlossen ist. Sollte das Veto nachträglich erfolgen, müssen die Daten gelöscht werden und dürfen nicht als Beweismittel verwendet werden.

Hintergrund und bisheriger Verlauf

Der Weg bis zur Implementierung dieser neuen Regeln war lang und von intensiven Debatten geprägt. Die Europäische Kommission legte den ersten Entwurf für die E-Evidence-Verordnung bereits im Jahr 2018 vor. Es folgten mehr als acht Jahre Vorbereitung, in denen das Vorhaben durch langwierige und teils kontrovers diskutierte Verhandlungen zwischen dem Europäischen Parlament, der Kommission und den Mitgliedstaaten begleitet wurde. Nachdem das Parlament die Verordnung im Sommer 2023 verabschiedet hatte, folgte im Januar des laufenden Jahres die Verabschiedung des deutschen Umsetzungsgesetzes durch den Bundestag. Die Notwendigkeit für diesen Schritt wurde stets mit der zunehmenden Digitalisierung der Kriminalität begründet, die eine schnellere Sicherung digitaler Beweismittel erfordere. Die bisherigen Rechtshilfeverfahren galten als zu langsam und ineffektiv, um mit der Geschwindigkeit moderner Internetkriminalität Schritt zu halten. Die EEVO stellt somit den Versuch dar, den digitalen Binnenmarkt auch für die Strafverfolgung zu harmonisieren, wobei jedoch von Beginn an Bedenken hinsichtlich der Auswirkungen auf die Grundrechte der Bürger und die Belastbarkeit der betroffenen Unternehmen geäußert wurden. Die Verordnung ist somit das Ergebnis eines langjährigen politischen Prozesses, der nun mit dem Stichtag am 18. August seine praktische Anwendung findet.

Die Beteiligten und ihre Rollen

Von den neuen Vorschriften sind nicht nur große Technologiekonzerne oder soziale Netzwerke betroffen. Die Verordnung definiert den Begriff des Anbieters sehr weit: Jede Organisation oder Einzelperson, die geschäftlich Nutzerkonten bereitstellt und dafür Daten erhebt, fällt unter die Pflichten. Dies schließt ausdrücklich auch kleinere Webforen, Webhoster, Cloud-Anbieter und Online-Shops ein. Wirtschaftsverbände schätzen, dass in Deutschland rund 300.000 Stellen von diesen neuen Pflichten betroffen sein könnten, während das Bundesjustizministerium von einer Zahl von etwa 9.000 ausgeht. Unternehmen, die keinen Sitz in der EU haben, aber ihre Dienste auf dem europäischen Binnenmarkt anbieten, müssen ebenfalls eine Niederlassung oder einen gesetzlichen Vertreter in der EU benennen, der die Anordnungen entgegennimmt. Für Eilfälle müssen diese Vertreter rund um die Uhr erreichbar sein. In Deutschland übernimmt das Bundesamt für Justiz (BfJ) die Kontrollfunktion. Es überwacht, ob sich die Anbieter ordnungsgemäß registrieren und die Anfragen fristgerecht bearbeiten. Bei Verstößen drohen empfindliche Bußgelder von bis zu 500.000 Euro, bei großen Unternehmen sogar bis zu zwei Prozent des weltweiten Jahresumsatzes. Betroffene Nutzer werden über die Datenherausgabe vorab nicht informiert, da die Anordnung die Anbieter zur Verschwiegenheit verpflichtet, um den Ermittlungserfolg nicht zu gefährden.

Einordnung der neuen Rechtslage

Einzuordnen ist das neue System als ein massiver Eingriff in die bisherige Praxis der grenzüberschreitenden Rechtshilfe. Während die Beschleunigung der Ermittlungen das erklärte Ziel der EU ist, sehen Kritiker wie die Bürgerrechtsorganisation European Digital Rights (EDRi) und der Internetwirtschaftsverband eco erhebliche Gefahren für die Grundrechte. Ein zentraler Kritikpunkt ist, dass ausländische Ermittler ohne eine vorherige richterliche Kontrolle im Land des Anbieters auf sensible Daten zugreifen können. Den Berichten zufolge befürchten Fachverbände zudem, dass durch den enormen Zeitdruck wichtige Schutzvorschriften, etwa das Anwaltsgeheimnis oder die ärztliche Schweigepflicht, leicht übersehen werden könnten. Die Industrie- und Handelskammer (IHK) warnt zudem davor, dass Anbieter aus Angst vor den hohen Bußgeldern Daten voreilig und möglicherweise rechtswidrig herausgeben könnten. Auch die Tatsache, dass Betroffene Rechtsmittel ausschließlich im ermittelnden Auslandsstaat einlegen können, statt vor den Gerichten ihres eigenen Heimatlandes, wird von Juristen und Sachverständigen kritisch bewertet. Einige Experten stufen das deutsche Umsetzungsgesetz sogar als verfassungswidrig ein, da es keinen ausreichenden Rechtsschutz biete. Die Erwartung unter Juristen ist daher groß, dass es zu einer Vielzahl von Klagen kommen wird, die letztlich das Bundesverfassungsgericht sowie den Europäischen Gerichtshof beschäftigen dürften.

Offene Fragen und verbleibende Lücken

Der Quelltext lässt einige Fragen offen, die für die praktische Anwendung der Verordnung von Bedeutung sind. Zwar wurde von Verbänden gefordert, sensible Datenbereiche wie die elektronische Patientenakte von strafrechtlichen Abfragen auszunehmen, und das Bundesjustizministerium hat dazu Absichten geäußert, doch liegt hierfür bislang kein konkreter Gesetzentwurf vor. Es bleibt somit unklar, wie genau der Schutz dieser hochsensiblen Daten in der Praxis gewährleistet werden soll, wenn der Zeitdruck der EEVO-Anordnungen greift. Ebenso unklar bleibt, wie die Anbieter die technische Umsetzung über das EU-Portal, das per Webinterface oder API angebunden werden soll, in der geforderten Geschwindigkeit und Qualität bewältigen sollen, insbesondere bei kleineren Betreibern, die über keine spezialisierten Rechtsabteilungen verfügen. Auch die genaue Auslegung des "weiten Anbieterbegriffs" könnte zu Unsicherheiten führen, da die Schätzungen zur Anzahl der betroffenen Stellen zwischen 9.000 und 300.000 massiv auseinandergehen. Die praktische Wirksamkeit der Kontrollmechanismen durch das Bundesamt für Justiz bei einer derart hohen Anzahl potenziell betroffener Unternehmen ist ebenfalls eine offene Variable. Zudem bleibt abzuwarten, wie Gerichte mit der Diskrepanz zwischen der kurzen Reaktionszeit der Anbieter und der längeren Prüfzeit für ein Veto der Justizbehörden umgehen werden.

Wie es weitergeht: Ausblick und globale Entwicklungen

Mit dem 18. August beginnt die Anwendung der EEVO innerhalb der EU, doch die rechtlichen Entwicklungen im Bereich der digitalen Beweissicherung sind damit nicht abgeschlossen. Ein weiterer, globaler Schritt ist das Zweite Zusatzprotokoll der Cybercrime-Konvention des Europarates. Dieses Abkommen, das bereits 2021 angenommen wurde, befindet sich derzeit im parlamentarischen Ratifizierungsverfahren. Sollte es in Kraft treten, würde es Strafverfolgungsbehörden aus Nicht-EU-Staaten, wie etwa den USA, erlauben, Basisdaten wie Namen oder IP-Adressen direkt bei europäischen Anbietern abzufragen, ohne dass eine Zustimmung durch ein hiesiges Gericht erforderlich wäre. Das Abkommen tritt international erst in Kraft, sobald mindestens fünf Staaten das Ratifizierungsverfahren abgeschlossen haben; bisher haben dies erst vier Staaten getan. Parallel dazu ist mit einer Klagewelle gegen die neuen EU-Regeln zu rechnen. Juristen erwarten, dass die Verfassungsmäßigkeit des deutschen Umsetzungsgesetzes sowie die Vereinbarkeit der EEVO mit europäischen Grundrechten Gegenstand intensiver gerichtlicher Auseinandersetzungen sein werden. Die kommenden Monate und Jahre werden zeigen, ob die neuen Regeln Bestand haben oder ob der Europäische Gerichtshof oder nationale Verfassungsgerichte nachbessern müssen, um den Schutz der betroffenen Bürger und deren Grundrechte sicherzustellen.