Behördliche Datenanfragen
Ab August 2026: Behörden können Cloud- und Messenger-Anbieter direkt zur Datenherausgabe verpflichten
Ab Sommer 2026 können Strafverfolgungsbehörden aus anderen EU-Ländern deutsche Anbieter von Cloud-, Messenger- oder Hostingdiensten direkt zur Herausgabe von Nutzerdaten verpflichten, ohne den bisherigen Umweg über deutsche Behörden. Was diese neue Regelung für kleine und mittlere Anbieter konkret bedeutet und welche Fristen gelten, erklärt dieser Artikel.
Eine neue EU-Regel für direkte Behördenanfragen
Eine neue EU-Regelung erlaubt es Strafverfolgungsbehörden ab dem 18. August 2026, Daten direkt bei Anbietern von Kommunikations- und Cloud-Diensten anzufordern, ohne den bisherigen Weg über Behörden im Sitzland des Anbieters zu gehen. Diese Regelung heißt EU-e-Evidence-Verordnung und wird nach Ablauf einer Übergangszeit unmittelbar in allen Mitgliedstaaten wirksam, wie die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) unter bfdi.bund.de/DE/Fachthemen/Inhalte/…/E-Evidence.html bestätigt. Für Betriebe, die selbst Kommunikations- oder Speicherdienste anbieten, entsteht damit eine neue rechtliche Pflicht, auf behördliche Anfragen aus jedem EU-Land innerhalb fester Fristen zu reagieren. Wer glaubt, das betreffe nur große Tech-Konzerne, irrt: Die Regelung reicht deutlich weiter in den deutschen Mittelstand hinein.
Wer genau betroffen ist
Betroffen sind nicht nur bekannte Internetkonzerne, sondern eine breite Gruppe von Diensteanbietern. Dazu zählen laut Bundesamt für Justiz unter bundesjustizamt.de/DE/Themen/…/Evidence_node.html Telekommunikations- und elektronische Kommunikationsdienste, Messenger- und Chatdienste, soziale Netzwerke sowie Cloud- und Hostingdienste. Ergänzend fallen weitere sogenannte Dienste der Informationsgesellschaft darunter, also Online-Angebote, die Kommunikation zwischen Nutzern ermöglichen oder Daten für Nutzer speichern und verarbeiten. Damit reicht der Kreis der Betroffenen von IT-Dienstleistern über Softwarehäuser bis zu kleineren Anbietern von Kollaborationstools oder Speicherlösungen. Wer unsicher ist, ob das eigene Angebot betroffen ist, sollte die eigene Dienstleistung anhand dieser Kategorien genau prüfen.
Enge Fristen: 10 Tage oder 8 Stunden
Zwei Arten von Anordnungen sind zentral: die Sicherungsanordnung und die Herausgabeanordnung. Eine Sicherungsanordnung verpflichtet den Anbieter, vorhandene Daten vor Löschung zu schützen, und muss laut einer Pressemitteilung des Bundesamts für Justiz unverzüglich befolgt werden. Bei einer Herausgabeanordnung müssen die verlangten Daten innerhalb von 10 Tagen bereitgestellt werden, in dringenden Notfällen sogar innerhalb von 8 Stunden. Für einen kleinen Betrieb ohne eigene Rechtsabteilung oder Bereitschaftsdienst ist eine solche Achtstundenfrist eine erhebliche organisatorische Herausforderung, insbesondere nachts oder am Wochenende. Diese engen Zeitvorgaben gelten unabhängig von Wochentag oder Uhrzeit der Anfrage.
Pflicht zur Benennung eines Ansprechpartners
Damit Behörden aus anderen EU-Ländern überhaupt wissen, wen sie kontaktieren müssen, verlangt die Verordnung von den betroffenen Anbietern die Benennung eines festen Ansprechpartners. Das Bundesamt für Justiz beschreibt diese Pflicht als Benennung eines Empfangsbevollmächtigten. Bereits aktive Anbieter müssen diesen Ansprechpartner bis zum 18. August 2026 benannt haben, wer seinen Dienst erst später in der EU startet, hat dafür sechs Monate Zeit. Details zum Anmeldeverfahren liefert das Bundesamt für Justiz in seiner PDF „Allgemeine Informationen zur Anmeldung“ unter bundesjustizamt.de/…/Allgemeine_Info_Anmeldung.pdf…. Ohne diese Meldung fehlt Behörden der direkte Zugang, was im Ernstfall zu Verzögerungen und rechtlichen Konsequenzen für den Anbieter führen kann.
Die deutsche Umsetzung durch das EBewMG
In Deutschland wird die EU-Verordnung durch ein eigenes Gesetz begleitet, das sogenannte EBewMG. Es wurde am 12. März 2026 verkündet, seit dem Folgetag sind die Vorschriften zur Umsetzung der zugehörigen Richtlinie in Kraft, während die übrigen Regelungen erst zum 18. August 2026 gelten, wie das Bundesamt für Justiz darlegt. Das Bundesamt für Justiz ist die zentrale deutsche Behörde für dieses Verfahren und überwacht auch, ob Diensteanbieter ihre Pflichten tatsächlich erfüllen. Für Betriebe bedeutet das: Es gibt eine konkrete Ansprechstelle im eigenen Land, an die man sich bei Fragen zur Anmeldung oder zu eingehenden Anordnungen wenden kann, statt sich durch europäisches Recht allein durchzuarbeiten.
Auch Anbieter außerhalb der EU sind betroffen
Ein wichtiges Detail betrifft den räumlichen Geltungsbereich der Regelung. Die Kanzlei Bird & Bird weist darauf hin, dass die Pflichten unabhängig vom Firmensitz gelten, solange ein Anbieter seine Dienste in der EU anbietet. Auch ein Unternehmen mit Sitz außerhalb der Europäischen Union muss die Fristen einhalten, wenn es Nutzer innerhalb der EU bedient. Für deutsche Kunden, die Software oder Cloud-Dienste von einem Anbieter aus einem Drittstaat beziehen, lohnt sich daher ein Blick darauf, ob dieser Anbieter die neuen Pflichten kennt und organisatorisch umsetzen kann.
Warum auch kleine Anbieter reagieren müssen
Die Verordnung ist als unmittelbar anwendbares EU-Recht ausgestaltet, sie wirkt also ohne weiteres nationales Zutun direkt gegenüber den Anbietern. Das bedeutet, dass sich ein Betrieb nicht darauf verlassen kann, erst durch deutsche Behörden über eine Anordnung informiert zu werden. Eine Behörde aus einem anderen Mitgliedstaat kann den benannten Ansprechpartner direkt adressieren. Gerade für kleinere Anbieter ohne eingespielte juristische Prozesse ist das ein neuer Umstand, der vorab organisatorisch geklärt werden sollte.
Was Geschäftsführer jetzt prüfen sollten
Für Geschäftsführer kleiner und mittlerer Betriebe, die selbst Kommunikations-, Speicher- oder Hostingdienste anbieten, empfiehlt sich eine frühzeitige Prüfung der eigenen Rolle. Zunächst sollte geklärt werden, ob das eigene Angebot unter die genannten Dienstekategorien fällt, danach, ob bereits ein Ansprechpartner für behördliche Anfragen benannt wurde. Wer bis zum 18. August 2026 keinen Ansprechpartner gemeldet hat, obwohl er zur Meldung verpflichtet ist, riskiert Probleme mit der zentralen Behörde und im schlimmsten Fall rechtliche Konsequenzen. Zusätzlich sollten interne Abläufe für den Ernstfall festgelegt werden, damit die Achtstundenfrist bei Notfällen überhaupt einhaltbar ist. Wer diese Vorbereitung jetzt beginnt, vermeidet Hektik, wenn die erste Anordnung tatsächlich eintrifft.
Dieser Beitrag dient der allgemeinen Orientierung und ersetzt keine individuelle Beratung. Die individuelle Beratung erfolgt durch zugelassene Kooperationspartner.
Ersttermin
Ihre Fragen im persönlichen Gespräch klären
Lassen Sie Ihre betrieblichen Risikothemen in einem kostenlosen Ersttermin durch einen zugelassenen Kooperationspartner einordnen. Unverbindlich und persönlich.
Kostenlosen Ersttermin anfragenDie Inhalte dienen der Orientierung. Die individuelle Beratung erfolgt durch zugelassene Kooperationspartner.