E-Evidence-Verordnung jetzt anwendbar: Diese Pflichten treffen Marktplätze und Plattformen

Die E-Evidence-Verordnung ist bereits seit 2023 in Kraft. Neu ist, dass ihre zentralen Vorgaben seit dem 18. August 2026 tatsächlich angewendet werden. Damit können Strafverfolgungsbehörden elektronische Beweismittel grenzüberschreitend direkt bei bestimmten Diensteanbietern anfordern. Für den E-Commerce ist vor allem die Abgrenzung wichtig: Nicht jeder Onlineshop fällt unter die neuen Pflichten. Betroffen sind insbesondere Online-Marktplätze und andere digitale Dienste, bei denen Nutzer miteinander kommunizieren oder Daten im Auftrag der Nutzer gespeichert beziehungsweise verarbeitet werden.

E-Evidence-Verordnung trifft nicht automatisch jeden Webshop

Der Begriff des Diensteanbieters ist enger, als es auf den ersten Blick klingt. Erfasst werden unter anderem elektronische Kommunikationsdienste, Domain- und IP-Dienste sowie bestimmte Dienste der Informationsgesellschaft. Für den E-Commerce besonders relevant sind Angebote, die ihren Nutzern die Kommunikation untereinander ermöglichen oder Daten für sie speichern beziehungsweise verarbeiten, sofern diese Funktion den Dienst wesentlich prägt.

Online-Marktplätze werden in den europäischen Regeln ausdrücklich als Beispiel genannt. Das betrifft insbesondere Plattformmodelle, auf denen Käufer und Verkäufer über integrierte Nachrichtenfunktionen miteinander kommunizieren. Auch Hosting- und Cloud-Angebote können erfasst sein. Ein Händler, der lediglich über einen solchen Marktplatz verkauft, wird dadurch dagegen nicht automatisch selbst zum Diensteanbieter im Sinne der Regelung.

Beim klassischen Onlineshop ist die Abgrenzung ebenfalls wichtig. Speichert der Händler Bestell-, Kunden- und Zahlungsdaten lediglich zur Abwicklung eigener Verkäufe und können Nutzer nicht untereinander kommunizieren, spricht dies nicht allein für eine Einordnung unter die E-Evidence-Verordnung. Dass fast jeder Shop Daten verarbeitet, macht damit noch nicht jeden Händler zum direkten Adressaten grenzüberschreitender Herausgabeanordnungen.

Online-Marktplätze müssen auf kurze Fristen vorbereitet sein

Die praktische Brisanz liegt weniger im abstrakten Zugriff auf Daten als in den Fristen. Erhält ein erfasster Anbieter eine Europäische Herausgabeanordnung, müssen die angeforderten Daten grundsätzlich innerhalb von zehn Tagen übermittelt werden. In einem als Notfall eingestuften Verfahren sinkt die Frist auf acht Stunden.

Damit wird aus einem juristischen Thema schnell ein Organisationsproblem. Ein Plattformbetreiber kann eine solche Anfrage nicht sinnvoll behandeln, wenn erst geklärt werden muss, wer intern zuständig ist, welche Systeme betroffen sind und wer die Freigabe erteilen darf. Die E-Evidence-Verordnung setzt damit faktisch voraus, dass Legal, Datenschutz, IT und gegebenenfalls Trust-&-Safety- oder Fraud-Teams abgestimmte Abläufe besitzen.

Gerade bei international betriebenen Marktplätzen kann die Datenhaltung verteilt sein. Nutzerkonto, Händlerstammdaten, Nachrichten, Login-Informationen und technische Protokolle können in unterschiedlichen Systemen liegen. Die kurze Notfallfrist macht improvisierte Prozesse entsprechend riskant.

Welche Daten Behörden verlangen können

Elektronische Beweismittel umfassen verschiedene Datenkategorien. Dazu zählen Teilnehmer- und Identifizierungsdaten, Verkehrsdaten sowie Inhaltsdaten. Im E-Commerce können beispielsweise Angaben zu einem Händlerkonto, IP-Adressen zur Identifizierung eines Nutzers oder Inhalte aus einer integrierten Kommunikation relevant werden.

Das bedeutet allerdings nicht, dass Behörden bei jedem Verdacht sämtliche auf einer Plattform vorhandenen Daten abrufen können. Für besonders eingriffsintensive Verkehrsdaten und Inhaltsdaten gelten strengere Voraussetzungen und zusätzliche gerichtliche beziehungsweise verfahrensrechtliche Sicherungen.

Ein realistischer Anwendungsfall wäre grenzüberschreitender Marketplace-Betrug. Ermittelt eine Behörde gegen einen Verkäufer, kann sie relevante elektronische Beweismittel künftig über das europäische Verfahren unmittelbar bei der zuständigen Niederlassung oder dem Vertreter des Diensteanbieters anfordern. Der Umweg über klassische Rechtshilfeverfahren soll dadurch verkürzt werden.

Preservation Orders können Löschroutinen stoppen

Neben der Herausgabe kennt die E-Evidence-Verordnung Europäische Sicherungsanordnungen. Dabei werden Daten zunächst nicht zwingend an die Ermittlungsbehörde übermittelt. Der Anbieter muss vielmehr sicherstellen, dass konkret bezeichnete Daten nicht gelöscht oder verändert werden, während eine spätere Herausgabe vorbereitet wird.

Die Sicherung läuft grundsätzlich 60 Tage und kann um weitere 30 Tage verlängert werden. Das ist für Plattformbetreiber relevant, wenn automatische Löschfristen, Account-Löschungen oder andere Retention-Prozesse greifen. Eine wirksame Sicherungsanordnung muss solche Routinen für die betroffenen Daten gezielt unterbrechen können.

Das ist keine allgemeine Verpflichtung zur Vorratsdatenspeicherung. Unternehmen müssen also nicht allein wegen der neuen Regeln sämtliche Nutzerdaten länger aufbewahren. Sie müssen jedoch technisch und organisatorisch in der Lage sein, vorhandene Daten nach einer konkreten Anordnung rechtzeitig zu sichern.

Seit 18. August gelten auch organisatorische Pflichten

Parallel zur E-Evidence-Verordnung gelten Regeln für die Benennung einer Niederlassung oder eines gesetzlichen Vertreters, über den Behörden ihre Anordnungen zustellen können. Anbieter, die bereits am 18. Februar 2026 entsprechende Dienste in der EU angeboten haben, mussten bis zum 18. August 2026 mindestens einen zuständigen Adressaten benennen oder bestellen.

In Deutschland verpflichtet das Elektronische-Beweismittel-Umsetzungs- und Durchführungsgesetz betroffene Anbieter zudem dazu, die erforderlichen Kontaktdaten zu melden. Sitzt der Adressat in Deutschland, ist das Bundesamt für Justiz eine zentrale Stelle für diese Meldungen.

Für Anbieter aus Drittstaaten ist die Regelung ebenfalls relevant, wenn sie entsprechende Dienste in der Europäischen Union anbieten und eine substanzielle Verbindung zum europäischen Markt besteht. Der physische Standort der Server ist damit nicht der entscheidende Filter.

Bußgelder machen fehlende Prozesse teuer

Die deutschen Durchführungsvorschriften sehen für bestimmte Verstöße Geldbußen von bis zu 500.000 Euro vor. Bei größeren Diensteanbietern können einzelne Verstöße mit bis zu zwei Prozent des weltweiten Jahresumsatzes sanktioniert werden. Damit bekommt ein Thema, das leicht als Spezialmaterie für Strafrecht und Datenschutz abgetan werden könnte, unmittelbare Compliance-Relevanz.

Für Marketplace-Betreiber dürfte deshalb weniger die Frage entscheidend sein, ob irgendwann eine Anfrage eingeht, sondern ob das Unternehmen sie fristgerecht und rechtssicher bearbeiten könnte. Die E-Evidence-Verordnung verlangt keine pauschale Öffnung von Kundendaten für Behörden. Sie verlangt aber von erfassten Diensten, bei einer wirksamen Anordnung handlungsfähig zu sein.

Für Händler ist zunächst das eigene Geschäftsmodell entscheidend

Onlinehändler sollten die Regelung weder ignorieren noch überinterpretieren. Wer einen gewöhnlichen Shop betreibt und lediglich eigene Waren oder Dienstleistungen verkauft, fällt nicht automatisch unter die speziellen Pflichten für Diensteanbieter. Wer dagegen einen Marktplatz, eine Kommunikationsplattform, einen Hosting-Dienst oder ein datenbasiertes Plattformmodell betreibt, sollte den eigenen Anwendungsbereich prüfen.

Besonders relevant sind integrierte Nutzerkommunikation, das Speichern oder Verarbeiten von Daten im Auftrag der Nutzer sowie grenzüberschreitende Dienste. Auch Unternehmen, die Shop-Infrastruktur als Dienstleistung anbieten, sollten prüfen, ob die Datenspeicherung ein prägender Bestandteil ihres Angebots ist.

Die nun anwendbaren Vorgaben schaffen damit keine generelle Ermittlungshelferpflicht für den Onlinehandel. Sie erhöhen aber den organisatorischen Druck auf betroffene Plattform- und Diensteanbieter, angeforderte Daten schnell und rechtssicher bereitzustellen. Bei einer Frist von nur acht Stunden müssen Zuständigkeiten und interne Abläufe bereits vor einer Anfrage geklärt sein.

Faktenbox