Jedes EU-Gericht weist nun Ihren Anbieter direkt an

Was sich am 18. August geändert hat

Die Verordnung (EU) 2023/1543 gilt seit dem 18. August 2026 unmittelbar in der gesamten Europäischen Union und schafft ein Rechtsinstrument namens Europäische Herausgabeanordnung. Eine Justizbehörde in einem Mitgliedstaat kann nun einen Diensteanbieter, der in einem anderen Mitgliedstaat niedergelassen ist, zur Herausgabe von Teilnehmer-, Verkehrs- oder Inhaltsdaten verpflichten, ohne die Anfrage zuerst über die Heimatregierung des Anbieters zu leiten.

Genau dieser letzte Punkt ist die strukturelle Veränderung. Nach dem Rechtshilfeverfahren, das diese Verordnung ablöst, musste ein französischer Staatsanwalt, der Daten von einem in Irland eingetragenen Unternehmen wollte, die irischen Behörden um Amtshilfe bitten, ein Verfahren, das Monate dauern konnte. Unter der Europäischen Herausgabeanordnung kann die französische Behörde die Anordnung direkt an den irischen Anbieter senden, und dieser ist rechtlich verpflichtet, direkt zu antworten. Die Begleitrichtlinie 2023/1544 musste bis zum 18. Februar 2026 in nationales Recht umgesetzt werden, sechs Monate vor Inkrafttreten der Verordnung selbst, damit nationale Gerichte und Anbieter am Starttag über einen funktionierenden Mechanismus verfügen.

Die 8-Stunden-Frist erklärt

Zwei Fristen gelten, und der Abstand zwischen ihnen ist die eigentliche Herausforderung. Im Standardverfahren hat ein Diensteanbieter nach Erhalt einer Europäischen Herausgabeanordnung 10 Tage Zeit zur Erfüllung. Im Eilverfahren, das für Fälle mit unmittelbarer Gefahr für Leben, körperliche Sicherheit oder kritische Infrastruktur reserviert ist, schrumpft dieses Zeitfenster auf 8 Stunden.

Eine 8-Stunden-Frist lässt keine Zeit, externe Anwälte hinzuzuziehen, eine mehrstufige Rechtsabteilung zu durchlaufen oder auf die Rückkehr eines Compliance-Verantwortlichen vom Wochenende zu warten. Ein Anbieter braucht einen benannten Rechtsvertreter und einen vorbereiteten Eskalationsweg, bevor die Anordnung eintrifft, denn der Aufbau dieses Weges nach Beginn der Frist verbraucht die Frist selbst. Die Strafe von bis zu 2 Prozent des weltweiten Umsatzes gilt unabhängig von der Unternehmensgröße, sodass das Risiko mit dem Umsatz wächst, nicht mit der Reife der Rechtsabteilung des Anbieters.

Warum der Großteil der EU nicht bereit ist

Nur vier Mitgliedstaaten, Kroatien, Italien, Litauen und die Slowakei, hatten zum Anwendungsdatum der Verordnung die nationalen Umsetzungsgesetze verabschiedet, die nötig sind, um Europäische Herausgabeanordnungen tatsächlich zu erlassen oder zu empfangen. Die übrigen 23 teilen sich in zwei Gruppen: Dänemark, das aufgrund seines ständigen Opt-outs von Maßnahmen im Raum der Freiheit, der Sicherheit und des Rechts ganz außerhalb dieses Rahmens steht, und die restlichen Mitgliedstaaten, die die Richtlinie 2023/1544 schlicht nicht bis zur Frist am 18. Februar 2026 umgesetzt hatten.

Die Europäische Kommission leitete am 27. März 2026 Vertragsverletzungsverfahren gegen 22 Mitgliedstaaten wegen verspäteter Umsetzung der Richtlinie ein. Das ist keine in einem Aktenvermerk versteckte Formalität; es bedeutet, dass Gerichten und Strafverfolgungsbehörden in diesen 22 Staaten ein klares nationales Verfahren fehlt, um eine Europäische Herausgabeanordnung an einen Anbieter anderswo in der EU zu richten, und dass Anbieter mit Sitz in diesen Staaten kein klares nationales Verfahren haben, um eine solche Anordnung zu empfangen und zu beantworten. Die Verordnung selbst gilt unmittelbar und wartet nicht auf die nationale Umsetzung, um rechtliche Wirkung zu entfalten, sodass die Pflicht bereits gilt, während die meisten Mitgliedstaaten den Verwaltungsapparat zu ihrer Umsetzung noch aufbauen.

Was das für eine EU-Anbieterbeziehung bedeutet

Eine Annahme, die man aufgeben sollte, ist, dass das Hosten von Daten innerhalb der EU oder die Zusammenarbeit ausschließlich mit EU-Anbietern die grenzüberschreitenden Rechtsrisiken beseitigt. Unter diesem Rahmen bewirkt es das Gegenteil. Da jede EU-Justizbehörde nun jedem EU-Anbieter eine Europäische Herausgabeanordnung zustellen kann, hat ein Unternehmen, dessen SaaS-Plattform, Cloud-Host, Gehaltsabrechnungsdienst oder Kommunikationstool in einem anderen Mitgliedstaat als dem eigenen niedergelassen ist, eine neue Kategorie rechtlicher Anfragefläche hinzugewonnen, eine, die im Eilfall mit einer 8-Stunden-Frist und einer Strafe von 2 Prozent des Umsatzes für den Anbieter verbunden ist, der sie verpasst.

Die praktische Antwort besteht darin, vorab zu wissen, wo jeder Anbieter rechtlich niedergelassen ist, ob dieser Anbieter eine benannte Kontaktstelle für Europäische Herausgabeanordnungen hat und wie sein eigener 8-Stunden-Eskalationsplan aussieht, denn ein Kunde, der auf die Daten eines Anbieters angewiesen ist, hat ein direktes Interesse daran, wie schnell und sorgfältig dieser Anbieter reagieren kann. Da 22 von 27 Mitgliedstaaten noch mitten in Vertragsverletzungsverfahren wegen ihrer eigenen Umsetzung stecken, macht es den Unterschied, einem Anbieter diese Fragen jetzt zu stellen statt erst nach Eintreffen einer Anordnung, ob man einen dokumentierten Notfallplan hat oder einen improvisierten.

Weiterlesen: Vier Monate Frist für Apples Tracking-Abfrage  |  Algorithmus sperrte Fahrer - Uber zahlt 825 Millionen