Eine Nachricht, eine Datei in einer Cloud oder die Daten, die eine IP-Adresse mit einem Konto verknüpfen, können technisch in einem anderen Staat gespeichert sein und von einem außerhalb der Europäischen Union niedergelassenen Diensteanbieter kontrolliert werden. Das e-Evidence-Paket der EU gewährt Behörden keinen allgemeinen Zugriff auf Konten. Es schafft ein bestimmtes grenzüberschreitendes Verfahren, in dem eine zuständige Behörde eines teilnehmenden Mitgliedstaats die standardisierte Bescheinigung zu einer Anordnung an den benannten Adressaten eines Diensteanbieters in einem anderen teilnehmenden Mitgliedstaat übermittelt.

Entscheidend ist die Unterscheidung zwischen einer Europäischen Herausgabeanordnung und einer Europäischen Sicherungsanordnung. Die erste verlangt die Herausgabe genau bezeichneter Daten. Die zweite schützt bestimmte Daten vorübergehend vor Entfernung, Löschung oder Veränderung, erlaubt für sich allein aber keine Offenlegung. Die Regeln gelten ab dem 18. August 2026 und verbinden kurze Fristen mit Anforderungen an gerichtliche Kontrolle, Unterrichtung, Ablehnungsgründe, Berufsgeheimnisse, Datenschutz und wirksamen Rechtsschutz.

Die Verordnung (EU) 2023/1543 führt Europäische Herausgabeanordnungen und Europäische Sicherungsanordnungen, die Bescheinigungen EPOC und EPOC-PR, Vollstreckungsverfahren und Rechte betroffener Personen ein. Sie trat am 17. August 2023 in Kraft und gilt unmittelbar ab dem 18. August 2026. Griechenland und Irland sind an sie gebunden; Dänemark nimmt nicht teil.

Die Richtlinie (EU) 2023/1544 verpflichtet die Mitgliedstaaten, Regeln vorzusehen, nach denen Diensteanbieter in der Union eine Niederlassung oder einen Vertreter für die Entgegennahme und Befolgung von Anordnungen benennen. Die Umsetzungsfrist endete am 18. Februar 2026. Anbieter, die an diesem Tag bereits Dienste in der EU anboten, mussten den Adressaten bis zum 18. August 2026 benennen; später eintretende Anbieter haben dafür sechs Monate.

Die Durchführungsverordnung (EU) 2025/1550 legt die technischen Spezifikationen für das dezentrale Kommunikationssystem fest und trat am 18. August 2025 in Kraft. Eine am 13. Juli 2026 veröffentlichte Berichtigung ist rechtlich bedeutsam: Sie strich eine Formulierung, die als Notfallumgehung allein wegen des Fehlens einer benannten Niederlassung oder eines Vertreters hätte verstanden werden können. Eine alternative Zustellung kommt in Betracht, wenn ein bereits benannter Adressat nicht fristgerecht reagiert, nicht allein deshalb, weil von Anfang an kein Adressat benannt wurde.

2. Verfahren, Anbieter und Daten im Anwendungsbereich

Das Instrument dient Strafverfahren. Es ist kein privates Beweisausforschungsinstrument für Zivil- oder Handelssachen und kein allgemeines Mittel für Verwaltungsprüfungen. Erfasst ist außerdem der enge, in der Verordnung geregelte Fall der Vollstreckung einer nach einem Strafverfahren verhängten Freiheitsstrafe oder freiheitsentziehenden Maßnahme von mindestens vier Monaten, wenn sich die verurteilte Person der Vollstreckung entzogen hat und die weiteren Voraussetzungen vorliegen.

Erfasst sind elektronische Kommunikationsdienste, Domänennamen- und IP-Nummerierungsdienste, Register, Registrierstellen sowie Datenschutz- oder Proxy-Dienste. Hinzu kommen Dienste der Informationsgesellschaft, bei denen die Kommunikation zwischen Nutzern oder die Speicherung beziehungsweise Verarbeitung von Daten ein wesentliches Merkmal bildet. Die bloße Abrufbarkeit einer Website aus der EU genügt nicht. Erforderlich ist eine wesentliche Verbindung zur Union, etwa eine Niederlassung, eine erhebliche Nutzerzahl oder eine gezielt auf die EU ausgerichtete Tätigkeit.

Die Verordnung unterscheidet Teilnehmerdaten, Daten, die ausschließlich zur Identifizierung eines Nutzers verlangt werden, Verkehrsdaten und Inhaltsdaten. Eine Anordnung erfasst Daten, die bei Eingang der Bescheinigung bereits vom Anbieter oder in dessen Auftrag gespeichert werden. Sie begründet keine Befugnis zur Echtzeitüberwachung oder zur Erhebung künftiger Kommunikation.

3. Wer eine Anordnung erlassen oder validieren darf

Eine EPO für Teilnehmerdaten oder Daten zur ausschließlichen Identifizierung kann von einem Richter, einem Gericht, einem Ermittlungsrichter oder einem Staatsanwalt erlassen werden. Eine andere nach nationalem Recht zuständige Ermittlungsbehörde darf sie nur mit der vorgeschriebenen Validierung durch eine Justiz- oder Staatsanwaltschaftsbehörde erlassen.

Für Verkehrsdaten, die nicht nur der Identifizierung dienen, und für Inhaltsdaten gilt eine strengere Kontrolle. Erlass oder Validierung müssen durch einen Richter, ein Gericht oder einen Ermittlungsrichter erfolgen; ein Staatsanwalt allein genügt für diese Kategorien nicht. Eine Sicherungsanordnung kann von einem Richter, Gericht, Ermittlungsrichter oder Staatsanwalt erlassen werden, oder von einer anderen zuständigen Behörde vorbehaltlich der Validierung.

Jede Anordnung muss erforderlich und verhältnismäßig sein, in einem vergleichbaren innerstaatlichen Verfahren erlassen werden können und die Rechte der beschuldigten Person wahren. Die beschuldigte Person oder ihre Verteidigung kann im Rahmen der nach nationalem Recht gewährten Verteidigungsrechte beantragen, dass die zuständige Behörde eine solche Anordnung einholt; sie kann jedoch nicht selbst eine private EPOC an einen Anbieter senden.

4. Was eine EPO verlangt und was die EPOC bescheinigt

Die Europäische Herausgabeanordnung ist die gerichtliche oder validierte Entscheidung. Die EPOC ist die standardisierte Bescheinigung, die an den benannten Adressaten des Anbieters übermittelt wird. Sie enthält die für die Ausführung erforderlichen Angaben, ohne das Ausgangsverfahren unnötig offenzulegen. Der Adressat muss Vertraulichkeit wahren und ausschließlich die in der Anordnung bezeichneten Daten herausgeben.

Teilnehmerdaten und Daten zur ausschließlichen Identifizierung können für jede Straftat verlangt werden. Verkehrsdaten und Inhaltsdaten setzen grundsätzlich eine Straftat voraus, die im Anordnungsstaat im Höchstmaß mit mindestens drei Jahren Freiheitsstrafe bedroht ist. Für bestimmte ausdrücklich genannte unionsrechtliche Deliktsbereiche, darunter Terrorismus, sexueller Missbrauch von Kindern, Angriffe auf Informationssysteme und Betrug mit unbaren Zahlungsmitteln, greift die Schwelle bei Erfüllung der besonderen Voraussetzungen nicht in gleicher Weise.

Dass ein Server in einem Drittstaat steht, schließt eine Anordnung nicht automatisch aus. Entscheidend sind das Angebot von Diensten in der Union, ein rechtmäßiger grenzüberschreitender Adressat und die Einhaltung der materiellen und verfahrensrechtlichen Garantien.

5. Funktion von EPO-PR und EPOC-PR

Eine Europäische Sicherungsanordnung verhindert die Entfernung, Löschung oder Veränderung bestimmter Daten, während ein späteres Herausgabeverlangen vorbereitet wird. Die EPOC-PR ist die Bescheinigung, die der Anbieter erhält. Sie verpflichtet zur unverzüglichen und eng begrenzten Sicherung der bezeichneten Daten, nicht zu deren Übermittlung an die Anordnungsbehörde.

Die anfängliche Sicherungsdauer beträgt 60 Tage. Innerhalb dieses Zeitraums kann die Anordnungsbehörde sie einmal um weitere 30 Tage verlängern, wenn dies erforderlich ist, um ein anschließendes Herausgabeersuchen zu erlassen. Über diese Fristen hinaus darf die Sicherung nur fortgesetzt werden, wenn die Behörde rechtzeitig bestätigt, dass die anschließende Europäische Herausgabeanordnung, Europäische Ermittlungsanordnung oder das Rechtshilfeersuchen bereits erlassen worden ist. Danach sind die Daten so lange zu sichern, wie es für ihre Herausgabe nach Eingang des Ersuchens erforderlich ist. Ist die Sicherung nicht mehr notwendig, muss die Behörde den Adressaten unverzüglich unterrichten.

Die Trennung ist für Verteidigung und Anbieter praktisch wichtig. Die Befolgung einer EPOC-PR belegt keine Erlaubnis zur Offenlegung und heilt keine Mängel einer späteren EPO. Sicherung und Herausgabe sind getrennte Rechtsschritte mit eigenem Zweck und eigener Rechtsgrundlage.

6. Die Fristen von 10 Tagen und 8 Stunden

Im Regelverfahren muss der Adressat ohne unangemessene Verzögerung und spätestens innerhalb von 10 Tagen nach Eingang der EPOC handeln. In einem Fall, der die enge Notfalldefinition der Verordnung erfüllt, beträgt die Frist 8 Stunden. Erforderlich ist eine unmittelbar bevorstehende Gefahr für Leben, körperliche Unversehrtheit oder Sicherheit einer Person, einschließlich einer entsprechenden Gefahr infolge einer schweren Störung oder Zerstörung kritischer Infrastruktur.

In einem solchen Notfall können eine EPO für Teilnehmerdaten oder Daten, die ausschließlich zur Identifizierung eines Nutzers verlangt werden, sowie eine EPO-PR ohne vorherige Validierung erlassen werden, wenn diese nicht rechtzeitig eingeholt werden kann und nach nationalem Recht eine gleichwertige Befugnis besteht. Die Validierung muss binnen 48 Stunden beantragt werden. Wird sie verweigert, ist die Anordnung zurückzunehmen; bereits übermittelte Daten sind nach Maßgabe der Verordnung zu löschen oder in ihrer Nutzung zu beschränken.

Der nicht bindende Leitfaden der Kommission zur Fristberechnung erläutert, dass der Eingangstag bei Tagesfristen nicht mitgerechnet wird. Samstage, Sonntage und Feiertage zählen, doch eine an einem arbeitsfreien Tag endende Tagesfrist verschiebt sich auf den nächsten Arbeitstag im Vollstreckungsstaat. Die Achtstundenfrist beginnt mit der nächsten vollen Stunde und wird wegen Wochenenden oder Feiertagen nicht verlängert. Der Leitfaden betont ausdrücklich, dass nur der Gerichtshof der Europäischen Union eine verbindliche Auslegung geben kann.

7. Unterrichtung des Vollstreckungsstaats und Ablehnung

Verlangt eine EPO Verkehrsdaten, die nicht auf Identifizierung beschränkt sind, oder Inhaltsdaten, übermittelt die Anordnungsbehörde die EPOC gleichzeitig an die Vollstreckungsbehörde. Die Unterrichtung darf nur unterbleiben, wenn vernünftige Gründe zugleich dafür sprechen, dass die Straftat im Anordnungsstaat begangen wurde, begangen wird oder voraussichtlich begangen wird und dass die Person, deren Daten verlangt werden, dort wohnt. Grundsätzlich hemmt die Unterrichtung die Herausgabe; ausgenommen ist ein gültiger Notfall.

Die Vollstreckungsbehörde hat 10 Tage, um einen Ablehnungsgrund geltend zu machen, im Notfall 96 Stunden. Artikel 12 nennt vier Kategorien: Immunitäten, Vorrechte oder Vorschriften zum Schutz der Pressefreiheit und der Freiheit der Meinungsäußerung in anderen Medien; konkrete und objektive Gründe für eine offensichtliche Verletzung eines einschlägigen Grundrechts; ne bis in idem; sowie fehlende beiderseitige Strafbarkeit, vorbehaltlich der Ausnahme für die Kategorien des Anhangs IV, wenn die Straftat im Anordnungsstaat im Höchstmaß mit einer Freiheitsstrafe von mindestens drei Jahren bedroht ist.

Vor einer Ablehnung müssen die Behörden einander konsultieren. Ein Teil der Anordnung kann abgelehnt oder die Datennutzung an Bedingungen geknüpft werden. Wurden Daten im Notfall bereits übermittelt und liegt ein tragfähiger Grund vor, muss die Anordnungsbehörde sie löschen, ihre Verwendung beschränken oder die Bedingungen der Vollstreckungsbehörde beachten.

8. Was der Anbieter anzeigen kann und wie vollstreckt wird

Der benannte Adressat ist nicht zur abschließenden rechtlichen Prüfung der Anordnung berufen. Er kann jedoch mit dem Formular in Anhang III mitteilen, dass die Ausführung tatsächlich unmöglich ist, die Bescheinigung offensichtliche Fehler enthält, die Daten bei Eingang nicht im Besitz oder unter der Kontrolle des Anbieters waren, der Dienst nicht in den Anwendungsbereich fällt oder Immunitäten, Vorrechte beziehungsweise Medienfreiheit betroffen sein könnten.

Bei Nichtbefolgung kann die Anordnung zur Vollstreckung an die Vollstreckungsbehörde weitergeleitet werden. In diesem Stadium sieht die Verordnung abschließende Nichtvollstreckungsgründe vor, darunter fehlender ordnungsgemäßer Erlass oder Validierung, Nichterfüllung materieller Schwellen, tatsächliche Unmöglichkeit, Berufsgeheimnisse und eine offensichtliche Grundrechtsverletzung. Nationale Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein.

9. Anwaltsgeheimnis, Immunitäten und Medienschutz

Die Anordnungsbehörde darf keine EPO für Verkehrs- oder Inhaltsdaten erlassen, wenn sie feststellt, dass die Daten nach dem Recht des Vollstreckungsstaats durch eine Immunität oder ein Vorrecht oder durch Vorschriften zum Schutz der Pressefreiheit und der Freiheit der Meinungsäußerung in anderen Medien geschützt sind. Bei Unsicherheit kann sie unmittelbar oder über Eurojust beziehungsweise das Europäische Justizielle Netz um Klärung ersuchen.

Artikel 5 Absatz 9 schützt besonders Daten, die einem Berufsgeheimnis unterliegen und in einer Infrastruktur gespeichert oder verarbeitet werden, die einem Rechtsanwalt oder einem anderen geschützten Berufsangehörigen für seine berufliche Tätigkeit bereitgestellt wird. Eine EPO für Verkehrs- oder Inhaltsdaten ist nur zulässig, wenn die Person im Anordnungsstaat wohnt, eine direkte Ansprache das Verfahren beeinträchtigen könnte oder das Berufsgeheimnis nach dem anwendbaren Recht aufgehoben wurde.

Das Anwaltsgeheimnis ist keine unbestimmte Ausnahme für alle Daten mit Anwaltsbezug. Zu bestimmen sind die Kommunikation, die berufliche Rolle, das anwendbare nationale Recht und eine mögliche rechtmäßige Entbindung. Der Anbieter zeigt das Risiko anhand der Bescheinigung an; die rechtliche Entscheidung treffen die zuständigen Behörden.

10. Datenschutz, Information und Rechtsbehelfe

Für Anbieter gilt weiterhin die DSGVO; für die Verarbeitung durch zuständige Strafverfolgungsbehörden gilt die Richtlinie (EU) 2016/680 zusammen mit den einschlägigen ePrivacy-Regeln. Eine Anordnung muss zielgerichtet, erforderlich und verhältnismäßig sein. Der Adressat muss zeitgemäße technische und organisatorische Maßnahmen einsetzen, um Vertraulichkeit, Geheimhaltung und Integrität der Bescheinigungen und Daten zu schützen.

Die Anordnungsbehörde informiert die Person, deren Daten herausgegeben wurden, ohne unangemessene Verzögerung und unterrichtet sie über die verfügbaren Rechtsbehelfe. Die Information darf nur so lange verzögert, beschränkt oder unterlassen werden, wie die Voraussetzungen der Richtlinie (EU) 2016/680 erfüllt sind. Die Gründe sind in der Akte zu dokumentieren und in der EPOC knapp zu begründen.

Jede Person, deren Daten mit einer EPO verlangt wurden, hat das Recht auf einen wirksamen Rechtsbehelf vor einem Gericht im Anordnungsstaat. Die Kontrolle umfasst Rechtmäßigkeit, Erforderlichkeit und Verhältnismäßigkeit. Widerspricht die Befolgung dem Recht eines Drittstaats, greift ein besonderes gerichtliches Verfahren; die Ausführung wird während der Konfliktprüfung ausgesetzt.

11. Praktische Folgen für griechische Bürger, Anwälte und Anbieter

Für Bürger: Der grenzüberschreitende Weg wird schneller und hängt nicht mehr allein von langwieriger Rechtshilfe ab. Das bedeutet nicht, dass jede Polizeibehörde unmittelbar auf ein Cloud-Konto zugreifen kann. Erforderlich bleiben eine rechtmäßige Anordnung, die passende gerichtliche oder staatsanwaltschaftliche Kontrolle, eine bestimmte Datenkategorie und gerichtlicher Rechtsschutz.

Für Rechtsanwälte: Die Prüfung sollte Datenkategorie, Straftatschwelle, Erlass- oder Validierungsbefugnis, eine Ausnahme von der Unterrichtung, das tatsächliche Vorliegen des behaupteten Notfalls, Berufsgeheimnisse, die Information der betroffenen Person und nationale Rechtsbehelfsfristen umfassen. Die bloße Bezeichnung e-Evidence belegt keine Rechtmäßigkeit.

Für Anbieter: Praktische Befolgung verlangt einen eindeutig benannten gesetzlichen Adressaten, Echtheitskontrollen, Beschränkung auf die angeordneten Daten, sichere Sicherung und Übermittlung, eine nachvollziehbare Dokumentation sowie die unverzügliche Weiterleitung von Fragen zu Berufsgeheimnissen oder Fehlern an die zuständige Prüf- oder Rechtsstelle. Die Frist von 8 Stunden macht eine ständig verfügbare Erstprüfung praktisch sinnvoll, obwohl die Verordnung kein bestimmtes Personalmodell vorschreibt.

12. Rechtliche und technische Einsatzbereitschaft Griechenlands am 30. August 2026

Die Verordnung gilt seit dem 18. August 2026 unmittelbar in Griechenland. Unmittelbare Geltung beweist für sich genommen jedoch nicht, dass sämtliche nationalen institutionellen, administrativen und technischen Vorkehrungen für Erlass, Empfang, Unterrichtung, Vollstreckung, Sanktionen und sichere Kommunikation abgeschlossen sind.

Bei der Prüfung am 30. August 2026 zeigte die EUR-Lex-Seite zu nationalen Umsetzungsmaßnahmen für Griechenland zur Richtlinie (EU) 2023/1544 den Eintrag „Anzahl der Maßnahmen: 0“ (im Register: „Number of measures: 0“). Damit ist belegt, dass zu diesem Zeitpunkt in diesem Register keine griechische Maßnahme als notifiziert angezeigt wurde. Der Eintrag beweist nicht für sich allein, dass es keinen einschlägigen nationalen Text gibt oder dass jeder denkbare innerstaatliche Akt unwirksam ist.

Die am 27. August 2026 aktualisierte Bereitschaftsliste der Kommission nannte nur Deutschland, Irland, Italien und Schweden mit unterschiedlichen Möglichkeiten zum Erlass oder Empfang; Griechenland war nicht aufgeführt. Aus den geprüften öffentlichen amtlichen Quellen lässt sich daher vorsichtig nur ableiten, dass Griechenlands vollständige rechtliche und technische Einsatzbereitschaft nicht bestätigt war. Eine Aussage über eine ausnahmslose Unmöglichkeit der Anwendung ginge darüber hinaus.

Die nicht bindenden Fragen und Antworten der Kommission erklären: Wurde wegen fehlender Richtlinienumsetzung keine Niederlassung oder kein Vertreter benannt, kann eine EPOC oder EPOC-PR nicht einfach unmittelbar an den Anbieter gesendet werden. Alternative sichere Kanäle nach Artikel 19 Absatz 5 lösen technische Nichtverfügbarkeit, wenn rechtmäßige Akteure und ein Adressat bestehen; sie ersetzen weder fehlende Zuständigkeit noch einen fehlenden gesetzlichen Adressaten. Europäische Ermittlungsanordnung und Rechtshilfe bleiben verfügbar.

13. Häufige Irrtümer und amtliche Quellen

  • Eine EPOC-PR sichert Daten; sie erlaubt einer Behörde nicht schon für sich genommen, diese zu lesen.
  • Die 8 Stunden gelten für den engen Notfallbegriff der Verordnung, nicht für jeden als dringend bezeichneten Fall.
  • Der Serverstandort macht eine Anordnung nicht automatisch unwirksam, beseitigt aber auch keine materiellen Garantien.
  • Ein Anbieter kann ein Problem anzeigen; er entscheidet nicht abschließend über Grundrechte.
  • Das Paket führt weder allgemeine Vorratsspeicherung noch Echtzeitüberwachung oder eine allgemeine Entschlüsselungspflicht ein.
  • Es hebt Europäische Ermittlungsanordnungen, Rechtshilfe oder den gesonderten Rahmen des Europarats nicht auf.

Rechtlicher Hinweis: Die amtlichen Quellen wurden am 30. August 2026 geprüft. Bindendes Unionsrecht wird von nicht bindenden Leitlinien der Kommission und von der vorsichtigen Schlussfolgerung zur rechtlichen und technischen Einsatzbereitschaft getrennt. Der Beitrag beurteilt keine konkrete Anordnung und ersetzt keine individuelle Rechtsberatung.