Justizbehörden in der Europäischen Union können von diesem Dienstag an Nutzerdaten wie E-Mails und Chatverläufe direkt bei Diensteanbietern oder deren Vertretern in einem anderen EU-Staat anfordern. Für die Herausgabe gilt regulär eine Frist von zehn Tagen, in Eilfällen von acht Stunden. Das teilte die Europäische Kommission mit.

Grundlage sind die Verordnung und die Richtlinie zu elektronischen Beweismitteln, die das Europäische Parlament am 13. Juni und der Rat am 27. Juni 2023 angenommen haben. Sie führen laut Kommission eine Europäische Herausgabeanordnung und eine Europäische Sicherungsanordnung ein.

Mit der Herausgabeanordnung kann eine Justizbehörde in einem Mitgliedstaat E-Mails, Textnachrichten und Chatverläufe aus Messenger-Apps sowie Angaben zur Identifizierung von Nutzern direkt von einem Anbieter in einem anderen Mitgliedstaat verlangen. Die Sicherungsanordnung verpflichtet den Anbieter, bestimmte Daten für eine spätere Herausgabe zu sichern.

Zehn Tage statt zehn Monate

Bisher griffen Ermittler bei grenzüberschreitenden Anfragen auf die Europäische Ermittlungsanordnung oder auf Rechtshilfeverfahren zurück. Nach Angaben der Kommission dauerten diese Wege bis zu 120 Tage beziehungsweise im Schnitt zehn Monate. 

Betroffene Anbieter müssen künftig eine benannte Niederlassung oder einen Vertreter als zuständige Anlaufstelle für die Entgegennahme und Umsetzung der Anordnungen vorsehen. Das gilt laut Kommission auch für Unternehmen mit Sitz in Drittstaaten. Adressaten der Anordnungen sind sowohl E-Mail-Anbieter als auch Betreiber sozialer Netzwerke und weitere Online-Dienste.

Die Wiener Tageszeitung Der Standard berichtete am Dienstag, dass die Anordnung grundsätzlich an eine Straftat im Anordnungsstaat anknüpft. Für Verkehrs- und Inhaltsdaten gelten jedoch zusätzliche Voraussetzungen: Auch die Strafbarkeit im sogenannten Vollstreckungsstaat – also das Land, in dem der Anbieter sitzt und die Herausgabe umgesetzt wird – kann eine Rolle spielen. Nutzerdaten, die Online-Dienste über ihre Kunden erhöben, seien ein begehrtes Gut – für Werbefirmen ebenso wie für Ermittlungsbehörden. Was als digitale Fortführung polizeilicher Zusammenarbeit dargestellt werde, kritisierten Bürgerrechtler als Eingriff in die Grundrechte.

Enge Grenzen für Widerspruch

Die Bürgerrechtsorganisation European Digital Rights (EDRi) bemängelte in einer Analyse zum finalen Kompromisstext, die vorgesehenen Sicherungen reichten nicht aus: Behörden im ausführenden Staat könnten eine Anordnung nur in „Ausnahmesituationen“ und bei „offensichtlichen“ Grundrechtsverletzungen zurückweisen.

In vielen Fällen erfahre der Vollstreckungsstaat von der Anordnung erst nachträglich oder gar nicht. Dadurch drohten Journalisten, Anwälte, Ärzte und politisch Verfolgte unzureichend geschützt zu werden. In den meisten Fällen blieben die Diensteanbieter die einzige Instanz, die überzogene Anfragen von Ermittlungsbehörden abwehren könne.

Sorge um Berufsgeheimnisse

Der Rat europäischer Anwaltschaften CCBE hat im November 2024 Empfehlungen für die nationalen Anwaltskammern zur Umsetzung der Verordnung veröffentlicht, um das Berufsgeheimnis zusätzlich abzusichern. Die European Broadcasting Union, der Zusammenschluss öffentlich-rechtlicher Rundfunkanstalten, verwies auf Risiken für vertrauliche Kommunikation zwischen Journalisten und ihren Quellen.

Die EU-Staaten mussten die Richtlinie bis zum 18. Februar 2026 in nationales Recht umsetzen. Für die schriftliche Kommunikation zwischen Behörden und Anbietern sieht die Verordnung ein dezentrales IT-System vor. Deutschland hat die EU-Richtlinie mit einem eigenen Gesetz umgesetzt. Seit diesem Dienstag gelten auch die deutschen Durchführungsvorschriften für grenzüberschreitende Herausgabe- und Sicherungsanordnungen.