E-Evidence-Verordnung 2026: Was Händler jetzt wissen müssen, vom Shopify-Shop bis zum Amazon-Business

Das Wichtigste in Kürze

• Die E-Evidence-Verordnung (EU) 2023/1543 gilt seit dem 18. August 2026 in allen EU-Mitgliedstaaten.
• EU-Ermittlungsbehörden dürfen Nutzerdaten direkt bei Unternehmen anfordern, ohne den Umweg über deutsche Behörden.
• Direkt verpflichtet sind Marktplätze und alle Shops, in denen Nutzer miteinander interagieren können: eigene Bewertungs-, Kommentar- oder Nachrichtenfunktionen genügen.
• Ein reiner Shop mit Kundenkonto und Bestellhistorie ist nicht automatisch betroffen. Jede neue Community- oder Interaktionsfunktion kann das ändern.
• Wer nur über Amazon, eBay oder Kleinanzeigen verkauft, muss sich nicht registrieren. Die eigenen Kundendaten geben die Plattformen aber auf Anordnung heraus, ohne dass der Händler zwingend davon erfährt.
• Betroffene Unternehmen mussten sich bis zum 18. August 2026 auf der EU-Plattform registrieren. Wer das versäumt hat, sollte es jetzt nachholen.
• Fristen im Ernstfall: 10 Tage für die Datenherausgabe, in Notfällen 8 Stunden. Bußgelder sind möglich, eine Mindestgröße des Unternehmens gibt es nicht.

Shopify, Amazon und Co.: Wen die Verordnung in welcher Rolle trifft

Die Verordnung fragt nicht danach, ob du „Shop“ oder „Marktplatz“ bist. Sie fragt: Wer betreibt den Dienst, über den Nutzer interagieren oder Daten hinterlegen? Daraus ergeben sich drei Rollen, und viele Händler sind in mehreren gleichzeitig unterwegs:

Rolle 1: Marktplatzbetreiber. Amazon, eBay, Kleinanzeigen und Co. sind der klassische Anwendungsfall und direkt verpflichtet. Das Bundesjustizamt nennt Amazon, eBay und Zalando ausdrücklich als Beispiele. Wer selbst einen Marktplatz mit mehreren Anbietern betreibt, und sei er noch so klein, steht in derselben Pflicht. Eine Größenschwelle gibt es nicht.

Rolle 2: Shop-Betreiber mit Interaktionsfunktionen. Ob Shopify, Shopware oder WooCommerce: Sobald dein Shop eine eigene Bewertungs- oder Kommentarfunktion hat, in der Kunden öffentlich sichtbar schreiben, oder ein Nachrichtensystem zwischen Nutzern anbietet, bist du selbst Diensteanbieter im Sinne der Verordnung. Dann gelten Registrierungspflicht und Fristen für dich direkt. Ein reiner Shop mit Kundenkonto und Bestellhistorie fällt dagegen nicht automatisch in den Anwendungsbereich.

Rolle 3: Marktplatz-Seller. Wer ausschließlich über fremde Plattformen verkauft, muss sich nicht registrieren. Adressat der Anordnungen ist der Plattformbetreiber. Entwarnung ist das trotzdem nur zur Hälfte: Deine Bestelldaten, deine Käuferkommunikation und unter Umständen auch Daten über dich selbst liegen bei der Plattform und werden auf Anordnung herausgegeben. Informiert wirst du darüber nicht zwingend. Dass Plattformen deine Stammdaten ohnehin laufend prüfen und abgleichen, kennst du aus der Marktplatzhaftung.

Wichtig: Die Rolle kann kippen. Maßgeblich ist immer der konkrete Dienst, nicht das Unternehmen als Ganzes. Ein Amazon-Seller, der zusätzlich einen eigenen Shop mit Bewertungsfunktion aufbaut, wird für diesen Teil selbst registrierungspflichtig. Dasselbe gilt, wenn du deinem Shop ein Forum, eine Community oder ein Nachrichtensystem hinzufügst. Jedes neue Feature dieser Art ist ein Anlass, die Einordnung neu zu prüfen.

Bin ich betroffen? Der Schnellcheck

Zwei Punkte gelten unabhängig von der Größe: Es gibt keine Umsatz- oder Nutzerschwelle, und der Unternehmenssitz spielt keine Rolle, solange die Dienste in der EU angeboten werden.

Was ist die E-Evidence-Verordnung überhaupt?

Die E-Evidence-Verordnung (EU) 2023/1543 erlaubt Strafverfolgungsbehörden aus jedem EU-Land, elektronische Beweismittel direkt bei Unternehmen anzufordern. Bisher lief so etwas über ein Rechtshilfeverfahren zwischen den Behörden der beteiligten Länder, das oft Monate dauerte. Dieser Umweg entfällt jetzt.

Konkret gibt es zwei Arten von Anordnungen:

1. Herausgabeanordnung: Du musst bereits gespeicherte Daten an die Behörde übermitteln. Das können Name, Adresse und Zahlungsdaten eines Kunden sein, aber auch IP-Adressen, Login-Zeitpunkte oder Nachrichteninhalte.
2. Sicherungsanordnung: Du musst bestimmte Daten 60 Tage lang aufbewahren und darfst sie nicht löschen, damit die Behörde in Ruhe eine förmliche Herausgabeanordnung vorbereiten kann.

Die Verordnung gilt seit dem 18. August 2026 unmittelbar, ein deutsches Umsetzungsgesetz ist seit März 2026 in Kraft. Zuständige Stelle in Deutschland ist das Bundesamt für Justiz.

Welche Fristen gelten?

Nach Zugang einer Herausgabeanordnung hast du in der Regel 10 Tage Zeit, die Daten zu übermitteln. In Notfällen, etwa bei akuter Gefahr für Leib und Leben, verkürzt sich die Frist auf 8 Stunden. Solche Anordnungen sind ausdrücklich als Notfall gekennzeichnet.

Hast du die angeforderten Daten nicht oder nicht mehr, weil sie zum Beispiel DSGVO-konform gelöscht wurden, teilst du das der Behörde mit. Das ist kein Verstoß. Bußgelder drohen vor allem dann, wenn Anordnungen schlicht ignoriert werden.

Ein praktischer Hinweis zur Sicherheit: Echte Anordnungen kommen nur von geprüften Behörden über die offiziellen Kanäle. Wer per einfacher E-Mail unter Zeitdruck zur Datenherausgabe aufgefordert wird, sollte misstrauisch sein. Betrüger werden die neue Rechtslage für Phishing-Versuche nutzen. Prüfe eingehende Anordnungen deshalb immer über die offiziellen Stellen, bevor du Daten herausgibst.

Was musst du jetzt konkret tun?

Wenn der Schnellcheck ergibt, dass du direkt verpflichtet bist, stehen vier Schritte an:

1. Registrieren: Die Anmeldung erfolgt auf der Notification-Plattform der EU unter webgate.ec.europa.eu/cdb-sp-reg. Die Frist war der 18. August 2026. Wer sie verpasst hat, sollte die Registrierung jetzt unverzüglich nachholen. Fragen zum Verfahren beantwortet das Bundesjustizamt in seinen FAQ.
2. Zuständigkeit klären: Lege fest, wer im Unternehmen eingehende Anordnungen bearbeitet und wie diese Person auch kurzfristig erreichbar ist. Die 8-Stunden-Frist im Notfall funktioniert nicht, wenn die Anfrage tagelang in einem ungelesenen Postfach liegt.
3. Datenüberblick schaffen: Du solltest beantworten können, welche Kundendaten in welchen Systemen liegen (Shopsystem, Zahlungsdienstleister, E-Mail-Tool) und wie lange sie gespeichert werden. Diese Übersicht verlangt die DSGVO ohnehin.
4. Im Zweifel beraten lassen: Ob dein Shop im Einzelfall in den Anwendungsbereich fällt, etwa bei extern eingebundenen Bewertungsfunktionen, ist eine Rechtsfrage. Eine kurze anwaltliche Einschätzung ist günstiger als eine falsche Selbsteinschätzung.

Wenn du nicht direkt verpflichtet bist, gibt es keinen akuten Handlungsbedarf. Behalte das Thema aber im Blick, sobald du neue Funktionen einführst. Wer seinem Shop eine Community-Funktion, ein Forum oder ein Nachrichtensystem hinzufügt, rutscht damit möglicherweise in den Anwendungsbereich.

Häufige Fragen zur E-Evidence-Verordnung

Gilt die E-Evidence-Verordnung für jeden Online-Shop?
Nein. Ein reiner Online-Shop mit Kundenkonto und Bestellhistorie fällt nicht automatisch in den Anwendungsbereich. Betroffen sind Marktplätze und Shops, in denen Nutzer miteinander interagieren können, etwa durch öffentliche Kommentare, Bewertungsfunktionen oder Nachrichtensysteme.

Ab wann gilt die E-Evidence-Verordnung?
Die Verordnung (EU) 2023/1543 ist seit dem 18. August 2026 nach einer dreijährigen Übergangsfrist unmittelbar in allen EU-Mitgliedstaaten anwendbar

Ich verkaufe nur über Amazon und eBay. Muss ich mich registrieren?
Nein. Adressat der Anordnungen ist der Plattformbetreiber. Deine Kundendaten auf der Plattform können aber Gegenstand von Behördenanfragen an die Plattform sein, ohne dass du davon erfährst.

Ich habe einen Shopify-Shop. Bin ich betroffen?
Das hängt vom Funktionsumfang ab. Ein Shopify-Shop mit Kundenkonto und Bestellhistorie ist nicht automatisch betroffen. Sobald der Shop eine eigene öffentliche Bewertungs- oder Kommentarfunktion oder ein Nachrichtensystem zwischen Nutzern hat, greift die Verordnung.

Wie schnell müssen Daten herausgegeben werden?
Die Standardfrist beträgt 10 Tage. In ausdrücklich gekennzeichneten Notfällen, etwa bei Gefahr für Leib und Leben, verkürzt sie sich auf 8 Stunden.

Was passiert, wenn ich die angeforderten Daten nicht mehr habe?
Dann teilst du das der Behörde mit. Wer Daten DSGVO-konform gelöscht hat, verstößt nicht gegen die Verordnung. Bußgelder drohen vor allem, wenn Anordnungen ignoriert werden.

Wie erkenne ich, ob eine Anordnung echt ist?
Echte Anordnungen kommen von geprüften Behörden über die offiziellen Kanäle des Systems. Bei Zweifeln solltest du die Anfrage über das Bundesamt für Justiz verifizieren, bevor du Daten herausgibst.

Einordnung: Der Trend geht zur direkten Datenpflicht

Die E-Evidence-Verordnung passt in ein Muster, das den E-Commerce seit Jahren prägt. Ob DAC7, Plattformhaftung bei der Umsatzsteuer oder jetzt die direkte Behördenanfrage: Der Gesetzgeber holt sich Daten dort, wo sie liegen, und macht die Unternehmen zu Auskunftsstellen.

Für Händler heißt das: Wer jederzeit weiß, welche Daten in welchen Systemen liegen, erfüllt solche Pflichten nebenbei. Wer es nicht weiß, gerät bei jeder neuen Regulierung erneut unter Druck. Der Überblick über die eigenen Daten ist damit keine Kür mehr, sondern Grundausstattung, für Behördenanfragen genauso wie für die eigene Buchhaltung.

Hinweis: Dieser Beitrag stellt keine Rechtsberatung dar. Ob die E-Evidence-Verordnung im Einzelfall anwendbar ist, sollte rechtlich geprüft werden. Stand: 18. August 2026.