I. Hintergrund
Die sogenannte „e-Evidence-Verordnung“ (VO (EU) 2023/1543) ist am 28.07.2023 im Amtsblatt der Europäischen Union veröffentlicht worden und tritt am 18.08.2023 in Kraft. Nach Art. 34 VO ist eine Übergangszeit von drei Jahren vorgesehen, sodass sie (erst) ab dem 18.08.2026 verbindlich gelten wird. Die e-Evidence-VO wird es nationalen Ermittlungsbehörden ab diesem Zeitpunkt ermöglichen, digitale Beweismittel durch eine Anordnung unmittelbar von Diensteanbietern aus anderen EU-Staaten zu verlangen. Den hierfür zugrunde liegenden Vorschlag hatte die Europäische Kommission bereits 2018 vorgelegt.1 Dieser war jedoch auf Kritik gestoßen, insbesondere da der Entwurf keine Überprüfungsmöglichkeit der Anordnung durch den beteiligten Mitgliedstaat vorsah.2 Die nunmehr im Amtsblatt veröffentlichte Fassung ist das Ergebnis mehrjähriger Trilog-Verhandlungen, die erst im November 2022 mit einer Einigung zwischen Europäischen Parlament und dem Rat der Europäischen Union abgeschlossen wurden.3 Die e-Evidence-VO wird flankiert von einer Richtlinie zur Harmonisierung der Regeln für gesetzliche Vertreter.4 Danach müssen die Mitgliedstaaten Vorschriften schaffen, die Anbieter digitaler Dienste in der EU dazu verpflichten, eine Niederlassung in der EU zu benennen oder einen gesetzlichen Vertreter zu bestellen, sodass Anordnungen auf Grundlage der e-Evidence-VO zugestellt werden können. Die Richtlinie ist bis zum 18.02.2026 durch die nationalen Gesetzgeber umzusetzen (vgl. Art. 7 Abs. 1 Satz 1 der RL). Das im Amtsblatt verkündete Gesetzespaket wird bestimmenden Einfluss auf die Wirklichkeit des Strafverfahrens haben, da die Beweisführung schon heute überwiegend auf digitale Beweismittel gestützt wird, die häufig außerhalb des ermittelnden Staates gespeichert werden.5
II. Anwendungsbereich und Adressaten
Nach Art. 2 Abs. 1 VO (EU) 2023/1543 gilt die e-Evidence-Verordnung für Diensteanbieter, die Dienste in der Europäischen Union anbieten. Diensteanbieter im Sinne der Verordnung (Art. 3 Nr. 3 VO (EU) 2023/1543) sind zunächst „elektronische Kommunikationsdienste“.6 Damit sind „Telekommunikationsdienste“ i.S.d. § 3 Nr. 61 TKG gemeint, die sowohl „Internetzugangsdienste“ als auch „interpersonelle Kommunikationsdienste“ sowie Dienste, die ganz oder überwiegend in der Übertragung von Signalen bestehen, umfassen. Konkret sind dies die Anbieter von Festnetz-, Mobilfunk- oder Satellitenzugängen,7 von Internet-Telefonie (Voice-over-IP), von Messengern wie WhatsApp, Threema und Telegram und von E-Mail-Diensten (sog. OTT-Dienste).8 Nicht erfasst sind dagegen Videoabrufdienste wie YouTube und Netflix, Musik-Streamingdienste, Blogs und Kommunikation mit Sprachassistenten oder Chatbots.9 Als zweite Dienstleistungskategorie führt die e-Evidence-VO Internetdomänennamen- und IP-Nummerierungsdienste auf (Art. 3 Nr. 3 Buchst. b) VO (EU) 2023/1543).
Die für die Wirklichkeit des gegenwärtigen Strafverfahrens wichtigste Gruppe wird in Art. Nr. 3 Buchst. c) VO (EU) 2023/1543 definiert. Erfasst sind „andere Dienste der Informationsgesellschaft“ im Sinne des Art. 1 Abs. 1 Buchst. b) der Richtlinie (EU) 2015/1535. Dadurch bezieht die e-Evidence-VO solche Diensteanbieter mit ein, die nicht als Anbieter elektronischer Kommunikationsdienste gelten, es aber ihren Nutzern ermöglichen, miteinander zu kommunizieren oder Daten online zu speichern oder zu verarbeiten. In Erwägungsgrund Nr. 27 wird dargelegt, um welche Diensteanbieter es konkret geht. Dort heißt es:
„Zu den in den Anwendungsbereich dieser Verordnung fallenden Kategorien von Diensteanbieter gehören beispielsweise Online-Marktplätze, die es Verbrauchern und Unternehmen ermöglichen, miteinander zu kommunizieren und andere Hosting Dienste, einschließlich Cloud-Computing-Diensten, sowie Plattform für Onlinespiele und online Glücksspiele.“
Der Verordnungsgeber will insbesondere die großen digitalen Plattformen, die einen Informationsaustausch zwischen Nutzern zulassen, und die im digitalisierten Alltag nicht mehr wegzudenkenden Cloud-Dienste erfasst wissen. Bei Letzteren spielt beweisrechtlich schon jetzt „die Musik“, wie die aktuelle Rechtsprechung zu § 110 Abs. 3 StPO verdeutlicht.10 Als Adressaten werden diese Dienste nur dann von dem Anwendungsbereich ausgenommen, wenn sie lediglich eine Kommunikation zwischen Nutzer und Diensteanbieter ermöglichen und die Speicherung und Verarbeitung von Daten einen unwesentlichen Bestandteil der erbrachten Dienstleistung darstellen.11
III. Instrumente der VO (EU) 2023/1543
Unverändert12 unterscheidet die Verordnung zwischen einer Herausgabeanordnung (Art. 5) und einer Sicherungsanordnung (Art. 6). Hinsichtlich der Datenkategorien wird zwischen Teilnehmerdaten (Art. 3 Nr. 9: z.B. Name, Geburtsdatum, Postanschrift und E-Mail-Adresse des Teilnehmers oder Kunden), Verkehrsdaten (Art. 3 Nr. 11: z.B. Zeitstempel, Standortdaten Informationen über Quelle und Ziel einer Nachricht)13 und Inhaltsdaten (Art. 3 Nr. 12: z.B. Text, Bild, Video oder Ton) differenziert. Nicht umfasst sind zukünftig entstehende oder Echtzeitdaten. Eine allgemeine Verpflichtung zur Datenspeicherung oder gar eine Pflicht zum Abfangen von Daten wird ausgeschlossen.14 Für die gespeicherten Daten ist allerdings unerheblich, wo sich die Daten befinden (Art. 1 Abs. 1). Herausgabe- und Sicherungsanordnungen können für alle Straftaten sowie zur Vollstreckung von Freiheitsstrafen von mindestens vier Monaten oder von freiheitsentziehenden Maßregeln der Sicherung erlassen werden (Art. 5 Abs. 3 und Art. 6 Abs. 3). Für die Herausgabe von Verkehrs- und Inhaltsdaten gilt einschränkend, dass die verfahrensgegenständliche Straftat im Höchstmaß mindestens mit drei Jahren Freiheitsstrafe bedroht sein oder es sich um eine harmonisierte Straftat handeln muss (Art. 5 Abs. 4).15 Eine Anordnung kann auch in Verfahren wegen einer Straftat ergehen, für die eine juristische Person im Anordnungsstaat zur Verantwortung gezogen oder bestraft werden könnte (Art. 2 Abs. 3 Satz 2).16 Bei Erhalt einer Herausgabeanordnung ist der Diensteanbieter verpflichtet, die angeforderten Daten in der Regel innerhalb von zehn Tagen (in Notfällen 8h, Art. 10 Abs. 2-4) herauszugeben bzw. bei Sicherungsanordnungen die elektronischen Daten bis zu 90 Tage zu speichern, bis ihm ein gesondertes Herausgabeersuchen erreicht (Art. 11 Abs. 1). Die Verpflichtungen aus Herausgabe- und Sicherungsanordnung treffen nicht nur die Diensteanbieter, sondern können die für sie tätigen Auftragsverarbeiter treffen. Bei Herausgabeanordnungen darf dies nur in Ausnahmefällen erfolgen (Art. 5 Abs. 6).
IV. Neuerungen zur Fassung aus 2018
Anders als in der ursprünglichen Fassung von 2018 hat der Verordnungsgeber ein Notifizierungsverfahren verankert. Damit reagiert er auf die damalige Kritik, dass die Herausgabeanordnung ohne wirksame Rechtmäßigkeits- und Verhältnismäßigkeitsprüfung durch den Vollstreckungsstaat hätte ergehen können (Art. 8). Bei Herausgabeanordnungen in Bezug auf Verkehrs- und Inhaltsdaten soll nunmehr – gleichzeitig mit der Übersendung der Anordnungsbescheinigung an den Adressaten – die zuständige Behörde im Vollstreckungsstaat unterrichtet werden (Art. 8 Abs. 1).17 Die Notifizierung hat zunächst suspendierende Wirkung auf die Herausgabepflicht des Adressaten (Art. 8 Abs. 4). Die notifizierte Behörde muss innerhalb von zehn Tagen – in Notfällen innerhalb von 96 Stunden – prüfen, ob ein Ablehnungsgrund gemäß Art. 12 Abs. 1 vorliegt. Ein solcher Ablehnungsgrund ist etwa gegeben, wenn die angeforderten Daten durch Immunitäten oder Vorrechte bestimmter Personengruppen besonders geschützt sind (z.B. Diplomaten, Berufsgeheimnisträger, Journalisten in Bezug auf Quellenschutz), wenn die Ausführung der Anordnung einem Grundrecht oder dem Grundsatz ne bis in idem zuwiderlaufen würde oder wenn das dem Strafverfahren zugrunde liegende Verhalten im Vollstreckungsstaat nicht strafbar ist (Prinzip der beiderseitigen Strafbarkeit). Der letztgenannte Versagungsgrund trägt der Kritik Rechnung, dass nach dem Entwurf der Kommission eine Anordnung trotz fehlender Strafbarkeit im Vollstreckungsstaat hätte ergehen können, was einen Spielraum für politisch motivierte Anordnungen eröffnet hätte. Allerdings wird das Prinzip der beiderseitigen Strafbarkeit für eine Reihe von Delikten in Art. 12 Abs. 1 Buchst. d) wieder aufgehoben.18Stellt die notifizierte Behörde einen Ablehnungsgrund fest und findet sie gemeinsam mit der Anordnungsbehörde keine Lösung, die Anordnung zu erhalten (Art. 12 Abs. 3), so macht sie den Versagungsgrund geltend und informiert den Diensteanbieter (Art. 12 Abs. 2). Bestätigt die notifizierte Behörde die Anordnung dagegen oder lässt sie die Frist von zehn Tagen verstreichen (Art. 10 Abs. 2), ist der Diensteanbieter zur Herausgabe der angeforderten Daten verpflichtet. Für alle anderen Datenkategorien normiert Art. 16 Abs. 4 und 5 ebenfalls Gründe, aus denen die Vollstreckung der Anordnung abgelehnt werden kann. Diese stehen nach der offenen Formulierung sowohl den Diensteanbietern als auch den Vollstreckungsbehörden zu.
V. Das Rechtsschutzsystem
Über das Notifizierungsverfahren hinaus gibt es im Rechtsschutzsystem auch Veränderungen gegenüber dem Entwurf aus 2018. Die Verordnung sieht jetzt vor, dass die Person, deren Daten angefordert werden, grundsätzlich unverzüglich über die Herausgabe der Daten informiert wird (Art. 13 Abs. 1). Nur ausnahmsweise darf die Anordnungsbehörde die Information verzögern, beschränken oder unterlassen, wenn dies etwa zur Gewährleistung der Ermittlungen oder zum Schutze der nationalen Sicherheit erforderlich erscheint (Art. 13 Abs. 2).19 Die Benachrichtigung soll auch Informationen zu möglichen Rechtsbehelfen enthalten (Art. 13 Abs. 3 i.V.m. Art. 18 Abs. 3). Bei den Rechtsbehelfen nach Art. 18 ist zu unterscheiden, ob die Person, deren Daten angefordert werden, zugleich Beschuldigter oder Dritter ist. Grundsätzlich sollen allen Betroffenen wirksame Rechtsbehelfe gegen Herausgabeanordnungen zur Verfügung stehen. Handelt es sich bei der betroffenen Person um einen Beschuldigten, soll dieser die Rechtsmittel im Zuge des Strafprozesses geltend machen können (Art. 18 Abs. 1 Satz 2). Gegen Sicherungsanordnungen ist jedoch kein Rechtsbehelf vorgesehen. Der Rechtsbehelf soll vor einem Gericht des Anordnungsstaates im Einklang mit dem nationalen Recht statthaft sein (Art. 18 Abs. 2). Dem adressierten Diensteanbieter steht kein ausdrücklicher Rechtsbehelf zu, um sich gegen eine Anordnung zu wehren. Der Entwurf sieht lediglich verschiedene Mechanismen vor, wie sich der Diensteanbieter verhalten soll, wenn er einen Grund für die Nichtbefolgung der Anordnung sieht oder sie nicht ausführen kann. Sieht der Diensteanbieter in einer Herausgabeanordnung einen Verstoß gegen geschützte Immunitäten und Vorrechte oder gegen die Presse- oder Medienfreiheit im Vollstreckungsstaat, soll er die zuständige Behörde der beteiligten Staaten informieren (Art. 10 Abs. 5). Auch wenn er der Herausgabeanordnung nicht Folge leisten kann, weil sie unvollständig ist oder aus einem anderen ihm nicht zuschreibbaren Grund (Art. 10 Abs. 6), oder die Herausgabe der Daten faktisch unmöglich ist (Art. 10 Abs. 7), soll der Diensteanbieter die Anordnungsbehörde informieren. Diese entscheidet dann selbst über das weitere Vorgehen. Die Anordnungsbehörde muss jedenfalls den Adressaten unverzüglich in Kenntnis setzen, sobald die Herausgabe und Sicherung der Daten nicht mehr erforderlich ist (Art. 10 Abs. 7 Satz 3). Ein ähnliches Verfahren ist auch für Sicherungsanordnungen vorgesehen (Art. 11 Abs. 3). Darüber hinaus sieht der Entwurf in Art. 17 ein Überprüfungsverfahren bei einander widersprechenden Verpflichtungen vor. Sieht der Diensteanbieter die Befolgung einer Herausgabeanordnung in Konflikt mit dem Gesetz eines Drittstaaten, so sind die Anordnungsbehörde und die Vollstreckungsbehörde zu informieren (Art. 17 Abs. 1) und die entsprechenden Einwände zu begründen (Art. 17 Abs. 4-7). Ein Überprüfungsverfahren für Sicherungsanordnungen ist in dem Entwurf nicht vorgesehen.
VI. Sanktionen
Das Einführen von Sanktionen bei Verstoß gegen Herausgabe- oder Sicherungspflicht obliegt den Mitgliedstaaten (Art. 15). Die Sanktionen sollen wirksam, verhältnismäßig und abschreckend sein. Die Höhe der Sanktion kann bis zu 2% des gesamten weltweiten Jahresumsatzes des Diensteanbieters im vorangegangenen Geschäftsjahr betragen (Art. 15 Abs. 1 Satz 3). Die Sanktion kann von der Vollstreckungsbehörde angeordnet werden, wenn der Adressat seinen Pflichten nicht nachkommt, obwohl keine Gründe gegen die Vollstreckbarkeit vorliegen (Art. 16 Abs. 10).
VII. Die Richtlinie zur Bestellung von Vertretern
Neben der e-Evidence-Verordnung ist zeitgleich die „Richtlinie zur Festlegung einheitlicher Regeln für die Benennung von benannten Niederlassungen und die Bestellung von Vertretern zu Zwecken der Erhebung elektronische Beweismittel in Strafverfahren“ im Amtsblatt der Europäischen Union verkündet worden. Die Richtlinie über Vertreter soll nicht nur der Durchsetzung der e-Evidence-VO, sondern auch der Europäischen Ermittlungsanordnung und der Rechtshilfe dienen (Art. 1 Abs. 2 der RL). Sie ist eine Reaktion auf das von Ermittlern formulierte Problem, dass Diensteanbieter ihre Dienste in der EU anbieten, ohne über eine physische Infrastruktur und Personal in einem Mitgliedstaat zu verfügen. Mit der Richtlinie sollen die Mitgliedsstaaten verpflichtet werden, entsprechende Regelungen zu schaffen, damit Diensteanbieter entweder eine in einem Mitgliedstaat niedergelassene Einrichtung schriftlich benennen („benannte Niederlassung“)20 oder – falls eine solche Niederlassung nicht existiert – einen rechtlichen „Vertreter“21 bestimmen müssen.22 die Richtlinie folgt damit einem über das Strafverfahrensrecht hinausgehenden Trend, Anbieter von Diensten zur Bestellung von Vertretern in Europa zu verpflichten.23
VIII. Kritik
Trotz eingehender Überarbeitung weist die e-Evidence-VO erhebliche Defizite auf, die sowohl die Rechte von Diensteanbietern als auch Dienstenutzer betreffen. Die Verordnung differenziert unverändert nur oberflächig zwischen Herausgabe- und Sicherungsverordnung und legt hinsichtlich der Auswahl der Instrumente keine Rangfolge fest.24 Die Herausgabeanordnung ist strukturell nicht an engere Voraussetzungen geknüpft als die Sicherungsanordnung (mit Ausnahme der Notifizierung). Es ist davon auszugehen, dass die Anordnungsbehörden vorzugsweise unmittelbar die Herausgabe anordnen werden, da es in der Natur der Sache liegt, dass Ermittler möglichst schnell Zugriff auf Informationen gewinnen wollen.25
Zudem verbleibt der Anwendungsbereich des neu verankerten Notifizierungsverfahrens klein. Es findet nur bei Herausgabeordnungen Anwendung. Des Weiteren ist die Notifizierung nur bei Anordnungen in Bezug auf Verkehrs- und Inhaltsdaten erforderlich. Dies erscheint deshalb fraglich, weil die von der Notifizierung nicht erfassten Teilnehmerdaten in der Gesamtschau Aufschluss über Lebensgewohnheiten des Dienstenutzers geben und einen Eingriff in die Persönlichkeitssphäre darstellen können.26 Durch das „Wohnsitzkriterium“ in Art. 8 Abs. 2 wird der Anwendungsbereich weiter verkleinert, da eine Notifizierung nicht erfolgen soll, wenn die Straftat im Anordnungsstaat begangen wurde und die Person, deren Daten herausgeben werden sollen, im Anordnungsstaat wohnt. Es obliegt allein dem Anordnungsstaat zu beurteilen, ob es einen „berechtigten Grund zur Annahme“ gibt, dass die genannten Voraussetzungen vorliegen. Auch wenn die Anordnungsbehörde einen „Notfall“ annimmt, greift das Notifizierungsverfahrens ins Leere, da der Diensteanbieter ungeachtet der Notifizierung zur Herausgabe der Daten spätestens innerhalb von 8 Stunden verpflichtet ist. Die notifizierte Behörde soll zwar bei Notfällen innerhalb von 96 Stunden Versagungsgründe prüfen, da die Herausgabeanordnung aber keine aktive Validierung verlangt, dürfte die Versagung regelmäßig zu spät kommen. Für diesen Fall sieht Art. 10 Abs. 4 Satz 2 vor, dass bereits übermittelte Daten von der anordnenden Behörde gelöscht oder eingeschränkt genutzt werden sollen. Ein Beweisverwertungsverbot sieht die Verordnung dagegen nicht vor.
Das führt zu einem weiteren Kritikpunkt: Entgegen den zunächst erfolgten Vorschlägen des Parlaments27 und des Rates28 sieht die Verordnung keine ausdrücklichen Regelungen zur Verwendungsbeschränkung durch die Anordnungsbehörde vor. Auch die Verwendung der Daten über den Zweck der Verordnung hinaus sowie die Weitergabe der Daten durch die Anordnungsbehörde als auch Beweisverwertungsverbote für das gerichtliche Verfahren sind nicht geregelt, womit kein Mechanismus zur Korrektur von rechtswidrig übermittelten Daten vorhanden ist. Letzteres ist aber ein tragendes Schutzprinzip des (europäischen) Datenschutzrechts.29
Darüber hinaus sind die in der Verordnung vorgesehenen Rechtsschutzmechanismen trotz eingehender Überarbeitung unzureichend. Gemäß dem Erwägungsgrund (80) soll die Verordnung Rechtsbehelfe enthalten, die die „Möglichkeit einschließen, die Rechtmäßigkeit der Maßnahme, einschließlich ihrer Notwendigkeit und Verhältnismäßigkeit (…) anzufechten“. Art. 18 greift diese Überlegung unter der Überschrift „Wirksame Rechtsbehelfe“ auf, ohne aber zu bestimmen, wie ein solcher Rechtsbehelf ausgestaltet sein soll und in welchem Verfahrensstadium welche Rechtschutzmöglichkeiten bestehen. Die Verordnung regelt lediglich, dass das Recht auf einen wirksamen Rechtsbehelf vor einem Gericht im Anordnungsstaat geltend gemacht werden kann (Art. 18 Abs. 2). Für betroffene Nutzer, die nicht im Anordnungsstaat wohnen, kann das eine hohe Hürde darstellen (Sprachbarrieren, Reisekosten, Zeitaufwand).30 Aufgrund des kleinen Anwendungsbereichs des Notifizierungsverfahrens gelingt es auch der neuen Version der e-Evidence-VO nicht, eine effektive (Vorab-)Kontrolle der Europäischen Sicherungs- und Herausgabeanordnungen einzurichten und damit die Souveränität des Vollstreckungsstaates zu wahren. Vielmehr fehlen wirksame Kontrollmechanismen und die Rechtsmäßigkeitsprüfung obliegt überwiegend der Anordnungsbehörde im Wege der Selbstkontrolle.
IX. Zusammenfassung
Über die Verordnung wird für die nationalen Strafverfolgungsbehörden die Möglichkeit geschaffen, ohne den „Zwischenweg“ eines Rechtshilfeverfahrens, Anbieter der in Art. 3 Nr. 3 VO (EU) 2023/1543 beschriebenen Dienste direkt zur Herausgabe von digitalen Beweismitteln zu verpflichten. Damit wird auf europäischer Ebene ein System ähnlich § 100a Abs. 4 StPO geschaffen, das für alle bei den Diensten gespeicherten Daten eine Mitwirkungspflicht etabliert. Dem damit verbundenen Zuwachs an Ermittlungskompetenzen steht kein gleichlaufender Zuwachs an Rechtsschutz gegenüber. Die betroffenen Dienstanbieter und Nutzer werden mit dieser Asymmetrie ab dem 18. August 2026 vorerst31 leben müssen.
