Daten im deutschen Rechenzentrum? Das allein schützt nicht vor dem Zugriff ausländischer EU-Ermittler. Seit 18. August erlaubt E-Evidence grenzüberschreitende Herausgabeanordnungen direkt an Provider. Für Unternehmen zeigt sich damit erneut: Datenstandort und Datenhoheit sind zwei verschiedene Dinge – nicht nur beim Cloud-Act.

Seit dem 18. August 2026 wird die EU-Verordnung 2023/1543 über elektronische Beweismittel angewendet. Justizbehörden eines EU-Mitgliedstaats können damit Daten direkt bei einem Diensteanbieter oder dessen Vertreter in einem anderen Mitgliedstaat anfordern. Wo die Daten physisch gespeichert sind, ist grundsätzlich nicht ausschlaggebend.

Betroffen sind Cloud- und Hosting-Dienste, Kommunikationsanbieter und Online-Plattformen. Angefordert werden können Identifizierungs-, Verkehrs- und Inhaltsdaten wie E-Mails oder Nachrichten. Provider müssen normalerweise innerhalb von zehn Tagen reagieren, in Notfällen binnen acht Stunden. Für Verkehrs- und Inhaltsdaten gelten strengere richterliche Anforderungen und bestimmte Straftatenschwellen.

Mit einer Europäischen Sicherungsanordnung kann ein Provider verpflichtet werden, konkret bezeichnete, noch vorhandene Daten vorläufig nicht zu löschen. Die Sicherung gilt grundsätzlich 60 Tage und kann um 30 Tage verlängert werden. Eine allgemeine Pflicht, Kundendaten vorsorglich länger aufzubewahren, schafft E-Evidence nicht. Endgültig gelöschte Daten müssen nicht rekonstruiert werden.

Zwischen Tempo und Grundrechtsschutz

Befürworter sehen die E-Evidence-Verordnung vor allem als notwendige Reaktion auf die Digitalisierung der Kriminalität. Nach Angaben des Europäischen Parlaments spielen elektronische Beweismittel bei rund 85 Prozent der strafrechtlichen Ermittlungen eine Rolle. In 65 Prozent dieser Fälle müssen die Daten aus einem anderen Mitgliedstaat beschafft werden. Rechnerisch betrifft der grenzüberschreitende Zugriff damit mehr als jede zweite strafrechtliche Ermittlung – eine Größenordnung, die auch die EU-Kommission ausdrücklich nennt. Klassische Rechtshilfeverfahren können dafür zu langsam sein – insbesondere wenn Logdaten, Nachrichten oder andere Informationen nach kurzer Zeit automatisch gelöscht werden.

Der damalige schwedische Justizminister Gunnar Strömmer brachte die Argumentation der Befürworter auf den Punkt: Die neuen Regeln sollen Richtern und Staatsanwälten ermöglichen, benötigte Beweise schnell zu erhalten, unabhängig davon, wo sie gespeichert sind und bevor sie verschwinden.

Kritiker wie European Digital Rights (EDRi) bemängeln, dass direkte Anordnungen an Provider einen Teil der bisherigen zwischenstaatlichen Kontrolle umgehen. Sie warnen vor Risiken bei Defiziten in der Rechtsstaatlichkeit sowie für besonders geschützte Gruppen wie Journalisten oder Anwälte. Die Verordnung sieht deshalb zusätzliche Kontroll- und Ablehnungsmöglichkeiten vor.

E-Evidence ist nicht der europäische Cloud-Act

Auf den ersten Blick erinnert die europäische Regelung stark an den US CLOUD Act. Beide verfolgen ein ähnliches Ziel: Elektronische Beweise sollen nicht allein deshalb unerreichbar sein, weil sie in einem anderen Land gespeichert werden.

Der rechtliche Mechanismus unterscheidet sich jedoch deutlich.

Der Cloud-Act verpflichtet Anbieter, die bereits der US-Jurisdiktion unterliegen, Daten in ihrem »possession, custody or control« herauszugeben – unabhängig davon, ob diese Daten in den USA, Frankfurt oder Dublin gespeichert sind. Entscheidend ist damit nicht der Standort des Servers, sondern ob der Provider rechtlich und tatsächlich auf die Daten zugreifen kann.

Ein US-Anbieter kann deshalb grundsätzlich einer amerikanischen Herausgabeanordnung unterliegen, obwohl die betreffenden Daten ausschließlich in einem europäischen Rechenzentrum gespeichert werden. Der Cloud-Act hat dafür den amerikanischen Stored Communications Act ausdrücklich auf Daten außerhalb der USA erweitert.

E-Evidence setzt anders an. Die EU schafft keinen vergleichbaren extraterritorialen Zugriff aufgrund der Herkunft eines Anbieters. Stattdessen etabliert sie ein gemeinsames Verfahren für Diensteanbieter, die ihre Leistungen in der EU anbieten. Sie müssen dafür eine benannte Niederlassung oder einen rechtlichen Vertreter innerhalb der Union vorhalten, an den grenzüberschreitende Anordnungen gerichtet werden können.

Das US-Justizministerium betont entsprechend, dass der Cloud-Act die US-Jurisdiktion nicht auf neue Unternehmen ausgeweitet hat. Er verpflichtet vielmehr Provider, die bereits der US-Jurisdiktion unterliegen, auch Daten außerhalb der USA herauszugeben. Das europäische Modell knüpft dagegen daran an, ob ein Diensteanbieter seine Leistungen in der EU anbietet und dort für entsprechende Anordnungen erreichbar sein muss.

Hinzu kommt eine zweite Komponente des Cloud-Act: Die USA können bilaterale CLOUD Agreements mit anderen Staaten schließen. Solche Abkommen schaffen unter bestimmten Voraussetzungen direkte Zugangswege zu elektronischen Beweismitteln bei Providern im jeweils anderen Rechtsraum. Ein entsprechendes Abkommen besteht etwa zwischen den USA und Großbritannien.

Cloud-Act und E-Evidence lösen damit ein ähnliches Problem, aber mit unterschiedlichen juristischen Konstruktionen: Der Cloud-Act erweitert die Herausgabepflichten bereits der US-Jurisdiktion unterliegender Provider auf Daten im Ausland. E-Evidence schafft dagegen innerhalb der EU ein grenzüberschreitendes Verfahren für Anbieter, die ihre Dienste auf dem europäischen Markt anbieten.

Einordnung der Redaktion: Was bedeutet das für digitale Souveränität?

Karl Fröhlich, speicherguide,deFür Unternehmen ergibt sich daraus eine wichtige Konsequenz: Ein deutscher oder europäischer Datenstandort allein schafft keine Datenhoheit.

Ein Server in Frankfurt verhindert nicht automatisch, dass eine ausländische Behörde auf die darauf gespeicherten Daten zugreifen kann. Entscheidend ist auch, welcher Jurisdiktion der Betreiber unterliegt und welche gesetzlichen Herausgabepflichten für ihn gelten.

Bei einem US-amerikanischen Cloud-Anbieter kann neben europäischen Vorschriften zusätzlich US-Recht wie der Cloud-Act greifen. Bei einem rein europäischen Anbieter entfällt diese zusätzliche US-Jurisdiktion grundsätzlich. Europäische Strafverfolgungsmaßnahmen bleiben davon selbstverständlich unberührt.

Für die Bewertung digitaler Souveränität müssen Unternehmen deshalb mehrere Ebenen betrachten: Datenstandort, Betreiber und Jurisdiktion, technische Zugriffsmöglichkeiten sowie die Kontrolle über die Verschlüsselungsschlüssel.

Damit gewinnen auch Client-Side Encryption und Modelle wie Bring Your Own Key (BYOK) oder Hold Your Own Key (HYOK) an Bedeutung. Allerdings bieten sie nicht automatisch dasselbe Schutzniveau: Bei BYOK kann der Provider je nach Umsetzung weiterhin Zugriff auf Schlüssel oder Klartextdaten haben. Client-Side Encryption oder konsequent umgesetztes HYOK können den technischen Zugriff des Providers stärker begrenzen. Ein Rechenzentrum in Deutschland ist zunächst eine Standortentscheidung. Für Datenhoheit ist zusätzlich entscheidend, wer die Schlüssel und damit den tatsächlichen Zugriff auf die Daten kontrolliert.