Seit dem 18. August 2026 gilt die E-Evidence-Verordnung, und in den Zusammenfassungen seit dem Stichtag liest sich das nach neuen Pflichten für alle, die online verkaufen. Für die allermeisten Shops in DACH ist die Antwort kürzer als die Meldung: Sie sind nicht der Adressat. Warum das so ist, lässt sich am Wortlaut zeigen, und die Abgrenzung lohnt sich, weil sie erklärt, in welchen Konstellationen es eben doch anders aussieht.
Worum es in der Verordnung geht
Die Verordnung (EU) 2023/1543 schafft ein Verfahren, mit dem Justiz- und Strafverfolgungsbehörden eines Mitgliedstaats elektronische Beweismittel direkt bei einem Diensteanbieter in einem anderen Mitgliedstaat anfordern oder sichern lassen können, über eine Europäische Herausgabeanordnung oder eine Europäische Sicherungsanordnung. Der bisherige Weg über die Rechtshilfe zwischen Staaten ist in diesen Fällen nicht mehr nötig; bestehende Instrumente und Abkommen bleiben nach Artikel 32 Absatz 1 daneben bestehen.
Artikel 34 Absatz 2 nennt den 18. August 2026 als Tag, ab dem die Verordnung gilt. Die Pflicht, das dafür vorgesehene dezentrale IT-System für die schriftliche Kommunikation zu nutzen, greift nach demselben Artikel ein Jahr nach Erlass der Durchführungsrechtsakte nach Artikel 25. Diese wurden mit der Durchführungsverordnung (EU) 2025/1550 am 28. Juli 2025 erlassen, die Pflicht läuft also seit Ende Juli 2026, und zwar für die zuständigen Behörden und die Diensteanbieter.
Wer Diensteanbieter ist
Wer Diensteanbieter ist, definiert Artikel 3 Nummer 3, auf den der Anwendungsbereich in Artikel 2 verweist. Die Aufzählung ist abschließend. Erfasst sind erstens elektronische Kommunikationsdienste, zweitens Internetdomänennamen- und IP-Nummerierungsdienste, drittens andere Dienste der Informationsgesellschaft, die entweder ihren Nutzern ermöglichen, miteinander zu kommunizieren, oder die es ermöglichen, Daten für Nutzer zu speichern oder auf sonstige Weise zu verarbeiten, sofern die Speicherung ein bestimmender Bestandteil der erbrachten Dienstleistung ist.
Ein Shop, der Waren verkauft, passt im Regelfall in keine dieser Kategorien. Er ist kein Kommunikationsdienst und kein Domänennamen-Dienst. Und beim dritten Punkt lohnt der genaue Blick auf zwei Wörter. Die Verordnung spricht von Nutzern, die miteinander kommunizieren. Ein Kontaktformular oder ein Support-Chat verbindet den Kunden mit dem Händler, nicht Nutzer untereinander.
Das ist nicht nur unsere Lesart des Wortlauts. Erwägungsgrund 27 sagt es sinngemäß ausdrücklich: Ermöglicht ein Anbieter seinen Nutzern nicht, miteinander zu kommunizieren, sondern bietet lediglich eine Kommunikation mit dem Diensteanbieter, und ist zugleich die Datenspeicherung kein bestimmender, also kein wesentlicher Bestandteil der Leistung, so soll er nicht unter die Begriffsbestimmung fallen. Als Beispiele nennt der Erwägungsgrund online erbrachte Rechts-, Architektur-, Ingenieur- und Buchführungsleistungen; umgekehrt zählt er Online-Marktplätze, die es Verbrauchern und Unternehmen ermöglichen, miteinander zu kommunizieren, ausdrücklich zu den erfassten Diensten. Für den reinen Warenverkauf liegt derselbe Gedanke nahe: Der bestimmende Bestandteil der Leistung ist die Ware.
Wo es doch relevant wird
Vier Konstellationen sind es wert, geprüft zu werden.
Eigene Marktplatz- oder Plattform-Modelle. Wer Verkäufer und Käufer zusammenbringt und ihnen eine Nachrichten-Funktion untereinander bereitstellt, betreibt genau das, was die dritte Kategorie beschreibt. Das betrifft in DACH weniger den klassischen Mittelstands-Shop als Betreiber, die aus ihrem Shop heraus einen Marktplatz gebaut haben.
Community-Funktionen. Ein Forum, eine Gruppen-Funktion oder ein Nachrichten-Kanal zwischen Kunden im eigenen Angebot verschiebt die Einordnung, unabhängig davon, dass daneben Waren verkauft werden.
Speicherung als eigentliche Leistung. Die zweite Alternative aus Artikel 3 Nummer 3 Buchstabe c wird leicht übersehen. Wo Kunden Dateien hochladen, Konfigurationen dauerhaft ablegen oder Downloads in einem Konto verwahrt werden, lohnt die Frage, ob die Speicherung noch Beiwerk zum Warenverkauf ist oder selbst die Leistung.
Ihre Dienstleister. Hosting, Marktplätze, Kommunikations- und Speicher-Anbieter können sehr wohl Adressat einer Anordnung sein. Das ist für Sie keine eigene Pflicht, erklärt aber, warum das Thema im Umfeld auftaucht. Wenn Sie über einen Marktplatz verkaufen, macht dessen Rolle Sie nicht selbst zum Diensteanbieter.
Was gilt, wenn man doch betroffen ist
Für diesen Fall lohnt der Blick auf die Fristen, weil sie den organisatorischen Kern ausmachen. Die erste Pflicht steht in Artikel 10 Absatz 1: Nach Erhalt einer Herausgabeanordnung wird der Adressat umgehend zur Sicherung der angeforderten Daten tätig. Für die Übermittlung unterscheidet die Verordnung dann zwei Fälle. Ist keine Unterrichtung der Vollstreckungsbehörde erforderlich, gilt nach Absatz 3 eine Höchstfrist von zehn Tagen. Ist sie erforderlich, übermittelt der Adressat nach Absatz 2 unmittelbar nach Ablauf dieser zehn Tage, sofern die Behörde keinen Ablehnungsgrund geltend gemacht hat. Absatz 4 verkürzt das in Notfällen auf unverzüglich, spätestens binnen acht Stunden.
Acht Stunden sind keine Frist, die man ad hoc bedient. Sie setzen voraus, dass es eine erreichbare Stelle gibt, die eine solche Anordnung entgegennimmt, einordnet und bearbeiten kann. Die Verordnung geht entsprechend davon aus, dass ein Diensteanbieter eine benannte Niederlassung oder einen Vertreter in der Union hat, an den sich Behörden wenden; die Pflicht, diese Stelle zu benennen, geht auf die Begleit-Richtlinie (EU) 2023/1544 zurück, die die Mitgliedstaaten nach ihrem Artikel 7 bis zum 18. Februar 2026 umsetzen mussten. Wie in Blog-Beiträgen zu Richtlinien üblich gilt auch hier: Maßgeblich ist das nationale Umsetzungsrecht, nicht die Richtlinie selbst. Und die Richtlinie hat eine Ausnahme, die für den DACH-Mittelstand zählt: Nach Artikel 1 Absatz 5 gilt sie nicht für Diensteanbieter, die nur in einem Mitgliedstaat niedergelassen sind und ihre Dienste auch nur dort anbieten. Wer in eine dieser Konstellationen fällt, sollte diese Frage mit anwaltlicher Begleitung klären, statt sie technisch zu lösen.
Die kurze Antwort
Für einen Shop, der Waren an Endkunden verkauft, ändert der 18. August 2026 nach dem Wortlaut der Verordnung nichts, solange er seinen Nutzern keine Kommunikation untereinander ermöglicht und die Datenspeicherung nicht bestimmender Bestandteil seiner Leistung ist. Dann gibt es nichts einzurichten und nichts zu benennen. Wer eine dieser Konstellationen erfüllt, prüft die Einordnung einmal sauber und dokumentiert das Ergebnis.
Diese Art von Meldung kommt regelmäßig, und der Aufwand steckt selten in der Umsetzung, sondern im Nachhalten, welche Frist wann relevant wird. Genau dieses Nachhalten leisten wir in Compliance-Care laufend statt einmalig, und zwar auf der technischen Ebene: Wir sagen Ihnen, was aus einer Meldung in Ihrem Shop umzusetzen wäre. Ob eine Pflicht Sie im Einzelfall trifft, bewertet Ihr Anwalt. Wenn Sie eine konkrete Meldung auf dem Tisch haben, schicken Sie sie uns über das Kontaktformular.