Seit dem 18. August gilt in der EU die E-Evidence-Verordnung (EEVO). Sie soll strafrechtliche Ermittlungen über Ländergrenzen hinweg beschleunigen, indem Behörden sich künftig direkt an Diensteanbieter in anderen EU-Staaten wenden können, um Daten zu Tatverdächtigen zu verlangen oder deren Sicherung anzuordnen. Die bislang oft langwierige staatliche Rechtshilfe soll dadurch in vielen Fällen entfallen. Betroffen sind dabei weit mehr als nur große Telekommunikations- und Internetkonzerne.
Wer alles betroffen ist
Auch Hosting- und Cloud-Dienste, E-Mail-Anbieter, Domain-Verwalter, soziale Netzwerke und Forenbetreiber können künftig von Strafverfolgungsbehörden angefragt werden. Sie müssen sich dafür bei einem EU-Portal registrieren. Selbst Anbieter außerhalb der EU müssen mitziehen, sofern sie ihre Dienste in Europa anbieten, und dafür eine bevollmächtigte Stelle innerhalb der EU benennen.
Enge Fristen unter hohem Druck
Für gewöhnliche Datenherausgaben bleiben Anbietern zehn Tage Zeit. Droht Gefahr für Leib und Leben oder für kritische Infrastruktur, müssen sie innerhalb von acht Stunden reagieren, auch nachts oder am Wochenende, und Daten auf Aufforderung unverzüglich sichern. Dafür braucht es eigentlich geschulte Beschäftigte, klar geregelte Zuständigkeiten und technischen Zugriff auf die relevanten Systeme, wie der Rechtsanwalt Thomas Rickert im c't-Datenschutz-Podcast Auslegungssache erläutert. Rickert arbeitet vor allem zu Datenschutz- und IT-Themen und ist Geschäftsführer der Legal-Tech-Plattform EviGate, die Unternehmen bei der Bearbeitung solcher Anfragen unterstützt.
Wer sich nicht registriert oder eine Anfrage falsch bearbeitet, riskiert hohe Bußgelder von bis zu 500.000 Euro. Bei Unternehmen mit mehr als 25 Millionen Euro Jahresumsatz kann die Sanktion sogar auf zwei Prozent des weltweiten Jahresumsatzes steigen. Dieser Druck könnte Anbieter dazu verleiten, Daten vorschnell herauszugeben, statt eine Anfrage sorgfältig zu prüfen.
Ein strukturelles Missbrauchsrisiko
Problematisch wird es vor allem bei Eilanfragen: Anbieter müssen Daten unter Umständen bereits nach acht Stunden liefern, während die zuständige Behörde im eigenen Land bis zu 96 Stunden Zeit für Einwände hat. Zu diesem Zeitpunkt sind die Informationen aber oft längst übermittelt. Das kann besonders Journalisten, Ärzte, Rechtsanwälte und deren Kontaktpersonen gefährden. Anbieter dürfen zwar auf mögliche Verletzungen vertraulicher Kommunikation hinweisen, die Herausgabe aber nicht ohne Weiteres verweigern.
Der Nutzen schnellerer Ermittlungen bei Terrorismus, Menschenhandel, Kindesmissbrauch oder Cyberkriminalität ist unbestritten. Gleichzeitig überträgt das neue System einen erheblichen Teil der rechtlichen Prüfung auf private Anbieter, die weder vollständige Ermittlungsakten erhalten noch durchgehend über ausreichende juristische Expertise verfügen. E-Evidence kann Strafverfolgung also beschleunigen, schafft dabei aber zugleich ein erhebliches Missbrauchspotenzial und setzt den Schutz vertraulicher Daten unter Druck.