EU-E-Evidence-Verordnung: Was für Online-Shops gilt

Auf einen Blick

• ✓Seit dem 18. August 2026 gilt die Verordnung (EU) 2023/1543 unmittelbar. Diensteanbieter mussten sich bis zu diesem Datum auf der EU-Notification-Platform registrieren und einen Adressaten oder Vertreter benennen.
• ✓Nicht jeder Online-Shop mit Kundenkonto ist automatisch Diensteanbieter im Sinne der Verordnung. Maßgeblich ist Art. 3 Nr. 3, und dessen Definition ist enger als in vielen Kurzmeldungen dargestellt. Die Empfehlung der Vlarom E-Commerce Agentur: erst mit dem Schema des Bundesamts für Justiz prüfen, ob euch die Verordnung überhaupt erfasst — eine vorsorgliche Registrierung ohne diese Prüfung kostet Zeit und schafft keine Sicherheit.
• ✓Wer betroffen ist, muss einer Sicherungsanordnung unverzüglich, einer Herausgabeanordnung binnen zehn Tagen Folge leisten, in Eilfällen (Gefahr für Leben, körperliche Unversehrtheit oder kritische Infrastruktur) sogar binnen acht Stunden.

Aus der Praxis der Vlarom E-Commerce Agentur mit JTL- und WooCommerce-Händlern kennen wir das Muster. Ein neues EU-Gesetz tritt in Kraft, die erste Welle an Artikeln greift zur Vereinfachung, und am Ende steht ein Satz wie „jeder Online-Shop ist jetzt betroffen“, der so im Gesetz nicht steht. Bei der E-Evidence-Verordnung lohnt sich der Blick in den Wortlaut, bevor ihr Zeit in eine Registrierung steckt, die euch möglicherweise gar nicht betrifft.

Wir bei der Vlarom E-Commerce Agentur (JTL Service Partner Gold, Ahrensfelde bei Berlin) ordnen für unsere Kunden regelmäßig ein, welche neuen EU-Pflichten ihren Shop tatsächlich treffen und welche nicht — die rechtliche Bewertung im Einzelfall überlassen wir dabei bewusst den Kanzleien.

Das „E-Evidence-Paket“ besteht aus zwei EU-Rechtsakten vom 12. Juli 2023: der Verordnung (EU) 2023/1543 über Europäische Herausgabeanordnungen und Sicherungsanordnungen, die unmittelbar gilt, und der Richtlinie (EU) 2023/1544 über die Bestellung von Vertretern, die national umgesetzt werden musste. Deutschland hat das mit dem Gesetz zur Umsetzung der Richtlinie (EU) 2023/1544 und zur Durchführung der Verordnung (EU) 2023/1543 (EBewMG) getan, BGBl. 2026 I Nr. 64, verkündet am 12. März 2026. Die Vorschriften zur Richtlinien-Umsetzung gelten bereits seit dem 13. März 2026, die Anwendung der Verordnung selbst startete am 18. August 2026.

Wörtlich aus der Informationsschrift des Bundesamts für Justiz (BfJ), zuständige Zentralbehörde für die deutsche Registrierung: „Diensteanbieter müssen einer Sicherungsanordnung unverzüglich, einer Herausgabeanordnung innerhalb von zehn Tagen Folge leisten – in Eilfällen sogar innerhalb von acht Stunden.“ Quelle: Bundesamt für Justiz, E-Evidence.

Was für registrierungspflichtige Diensteanbieter ab jetzt konkret gilt:

• →Registrierung auf der EU-Notification-Platform: Wer Diensteanbieter im Sinne der Verordnung ist, musste sich bis zum 18. August 2026 auf der Notification-Platform der EU registrieren, damit die Daten in die Court Data Base übernommen werden. Die technische Anbindung der deutschen Behörden an dieses System läuft über die E-Justiz Koordinierungsstelle Europa beim Justizministerium NRW.
• →Adressat oder Vertreter in der EU: Betroffene Anbieter brauchen eine feste Anlaufstelle: entweder eine eigene EU-Niederlassung oder einen bestellten Vertreter, wenn keine Niederlassung besteht oder die vorhandene Niederlassung in einem Staat liegt, der das jeweilige Instrument nicht anwendet.
• →Sanktion bei Nichtregistrierung: Wer sich trotz Betroffenheit vorsätzlich oder fahrlässig nicht registriert, begeht laut BfJ eine Ordnungswidrigkeit, die mit einer Geldbuße geahndet werden kann (Paragraf 18 Absatz 1 und 3 Nummer 1 Buchstabe a EBewMG). Einen konkreten Bußgeldrahmen nennt das BfJ-Informationsschreiben nicht. Der steht im Gesetzestext selbst.

Die Frist ist hart und die Fristen für die Datenherausgabe sind es auch. Die Frage, wen das überhaupt betrifft, ist es nicht. Genau da liegt der Punkt, an dem viele Kurzmeldungen zu diesem Thema zu schnell werden.

Die Antwort steht in Art. 3 Nr. 3 der Verordnung (EU) 2023/1543, und sie ist enger gefasst, als die verbreitete Kurzform „jeder Shop mit Kundenkonto“ glauben macht.

1

Der Wortlaut: drei Dienstleistungskategorien

Diensteanbieter ist laut Verordnung, wer eine oder mehrere der folgenden Leistungen anbietet: (a) elektronische Kommunikationsdienste, (b) Internetdomänennamen- und IP-Nummerierungsdienste, oder (c) andere Dienste der Informationsgesellschaft, die es Nutzern entweder erlauben, miteinander zu kommunizieren, oder bei denen die Speicherung von Daten für Nutzer ein bestimmender Bestandteil der Dienstleistung ist. Den vollständigen Wortlaut findet ihr in Art. 3 Nr. 3 der Verordnung (EU) 2023/1543 auf EUR-Lex.

Entscheidend ist dieser letzte Halbsatz: Es reicht nicht, dass irgendwo Daten gespeichert werden. Die Speicherung oder die Kommunikation muss der bestimmende Bestandteil der Leistung sein, nicht nur eine Begleiterscheinung des eigentlichen Geschäfts.

2

Warum ein Kundenkonto allein meist nicht reicht

Bei einem klassischen Online-Shop ist die Kernleistung der Verkauf von Waren. Dass dabei Adresse und Bestellhistorie in einem Kundenkonto gespeichert werden, ist eine Begleitfunktion des Verkaufs, nicht deren bestimmender Bestandteil. Das BfJ selbst nennt als Beispiele für Diensteanbieter große Plattformen wie Amazon, eBay, Google, Zalando oder Meta, dazu Cloud-, Hosting- und Gaming-Anbieter mit Kommunikationsfunktion.

Näher an der Definition liegt eine Kommentar- oder Bewertungsfunktion, über die Nutzer untereinander sichtbar interagieren. Das rückt näher an ‚Nutzer kommunizieren miteinander‘. Auch das ist aber eine Einzelfallfrage und keine automatische Einordnung. Das BfJ stellt dafür ein eigenes Prüfungsschema bereit, statt eine pauschale Liste vorzugeben.

Shop-Betreiber, die durch reißerische Kurzmeldungen verunsichert sind

Wenn ihr in den letzten Wochen gelesen habt, dass ‚jeder Online-Shop‘ jetzt handeln muss, und einordnen wollt, ob das für euch zutrifft: Der Wortlaut der Verordnung gibt dafür ein klareres Bild als die meisten Kurzmeldungen. Die Einordnung bleibt trotzdem eine Einzelfallfrage.

Betreiber von Kommunikations-, Hosting- oder Cloud-Funktionen

Wer eine Kommentar-, Bewertungs- oder Community-Funktion betreibt oder selbst Hosting-/Cloud-/Domain-Dienste anbietet, sollte das Prüfungsschema des BfJ konkret durchgehen. Hier ist die Wahrscheinlichkeit einer Betroffenheit deutlich höher als bei einem reinen Warenverkauf.

Dieser Plan ersetzt keine Rechtsberatung. Er zeigt die Reihenfolge, in der ihr die Frage für euren eigenen Shop sauber klärt.

Das Bundesamt für Justiz stellt auf seiner E-Evidence-Seite ein eigenes Prüfungsschema bereit, mit dem ihr klärt, ob euer Angebot unter Art. 3 Nr. 3 der Verordnung fällt. Direkt zum Schema: Bundesamt für Justiz, Prüfung – Bin ich Diensteanbieter?.

Bleibt die Einordnung unklar, etwa weil ihr eine Kommentar- oder Bewertungsfunktion betreibt, ist das ein Fall für eine auf IT- oder Strafrecht spezialisierte Kanzlei. Die Kategorien in Art. 3 Nr. 3 sind bewusst technologieoffen formuliert, und genau das macht die Einzelfallprüfung nötig. Einen Überblick, welche weiteren Rechtsthemen den Shop-Betrieb berühren, sammelt JTL im Guide-Bereich Rechtliche Themen.

Steht die Betroffenheit fest, braucht ihr eine feste Anlaufstelle für Anordnungen, eure eigene EU-Niederlassung oder einen bestellten Vertreter, und registriert deren Daten auf der EU-Notification-Platform.

Wer betroffen ist, muss eine Herausgabeanordnung binnen zehn Tagen beantworten können, in Eilfällen binnen acht Stunden. Das ist eher eine organisatorische als eine technische Frage: Wer im Team ist zuständig, wenn eine Anordnung eingeht, und wie schnell lassen sich die angeforderten Daten aus eurem System ziehen? Wer JTL-Wawi einsetzt, findet den vorhandenen Weg dafür im JTL-Guide unter Auskunft über gespeicherte personenbezogene Kundendaten — gedacht ist er für DSGVO-Auskünfte, die Datenbasis ist aber dieselbe.

Das Informationsschreiben des BfJ kündigt die technische Anbindung der deutschen Zentralbehörde an das EU-System (JUDEX) für den Sommer 2026 an, die Zugangsdaten für Behörden folgen danach. Dieser Zeitraum läuft gerade. Ob die Anbindung inzwischen steht, geht aus dem Schreiben nicht hervor — unser Abrufstand ist der 18. August 2026. Wer registriert ist, sollte die BfJ-Seite im Blick behalten, falls sich am Verfahren noch etwas ändert.

Die folgenden Fallgruppen sind keine rechtsverbindliche Einordnung, sondern zeigen, wo der Wortlaut in welche Richtung weist. Die endgültige Prüfung für den eigenen Shop leistet das Prüfungsschema des BfJ oder eine spezialisierte Kanzlei.

Reiner Online-Shop mit Kundenkonto, ohne öffentliche Kommunikationsfunktion

Kernleistung ist der Warenverkauf, das Kundenkonto speichert Bestell- und Adressdaten als Begleitfunktion. Nach dem Wortlaut von Art. 3 Nr. 3 lit. c ist die Speicherung hier in aller Regel nicht der bestimmende Bestandteil der Dienstleistung. Eine automatische Zuordnung zum Diensteanbieter-Begriff ist damit nicht naheliegend. Eine endgültige Aussage dazu trifft dieser Beitrag bewusst nicht.

Kommentar- oder Bewertungsfunktion im Shop

Sobald Nutzer über eine Funktion im Shop miteinander interagieren können, etwa öffentlich sichtbare Produktbewertungen mit Antwortfunktion oder ein Frage-Antwort-Bereich, rückt das näher an „Nutzer kommunizieren miteinander“ aus Art. 3 Nr. 3 lit. c (i). Das ist der unklarste der vier Fälle und genau der Bereich, für den das Prüfungsschema des BfJ gedacht ist.

Cloud-, Hosting- oder Domain-Dienste

Wer selbst Hosting-, Cloud- oder Domainregistrierungsdienste für Dritte anbietet, fällt eher unter die Kategorien (a) oder (b) der Definition. Das sind genau die Dienstetypen, die das BfJ in seiner Beispielliste ausdrücklich nennt. Für reine Warenhändler, die solche Dienste nur selbst nutzen (etwa einen Hoster für den eigenen Shop beauftragen), ändert das nichts an der eigenen Einordnung.

Keine eigene EU-Niederlassung

Wer nach Prüfung Diensteanbieter ist und keine Niederlassung in der EU hat — oder eine Niederlassung in einem Mitgliedstaat, der das jeweilige Instrument nicht anwendet —, muss zusätzlich einen Vertreter bestellen. Für die meisten deutschen Online-Händler mit Sitz in Deutschland stellt sich diese Frage nicht, ist aber bei internationalen Konzernstrukturen relevant.