Am 17. August 2026 hat die Europäische Kommission eine Beweisaufnahme zur Anwendung und Funktionsweise der Richtlinie (EU) 2016/680, der Law Enforcement Directive (LED), in der gesamten Europäischen Union eröffnet. Stellungnahmen sind bis zum 28. September 2026 (Mitternacht Brüsseler Zeit) möglich. Als Ergebnis ist eine Mitteilung der Kommission vorgesehen, die acht Jahre nach Inkrafttreten der LED darüber berichtet, wie die Mitgliedstaaten sie umgesetzt und angewendet haben; die Verabschiedung ist für das dritte Quartal 2026 geplant.
Dabei handelt es sich nicht um eine neue verbindliche Pflicht. Es ist das gesetzlich vorgesehene Evaluierungsfenster, das die Richtung für eine spätere Reform der Datenschutzregeln für Polizei und Strafjustiz, der Praktiken des grenzüberschreitenden Datenaustauschs und der Compliance-Mechanismen, die zuständige Behörden und ihre Auftragsverarbeiter tatsächlich betreiben, vorgeben kann.
Was genau evaluiert die Kommission, und was steht noch nicht zur Debatte?
Die Initiative betrifft EU-Vorschriften, die die Verarbeitung personenbezogener Daten durch Strafverfolgungs- und Strafjustizbehörden zur Verhütung, Aufdeckung, Ermittlung oder Verfolgung von Straftaten sowie für die damit verbundenen gerichtlichen Tätigkeiten regeln. Die Kommission fragt, wie diese Vorschriften in der Praxis umgesetzt und angewendet wurden und ob sie weiterhin sowohl ein hohes Schutzniveau als auch einen funktionsfähigen EU-weiten Datenaustausch gewährleisten.
Bei dem Rechtsakt handelt es sich um eine Mitteilung, Referenz Ares(2026)7936373 im Have-Your-Say-Dossier. In diesem Schritt wird keine ändernde Richtlinie oder Verordnung vorgeschlagen. Interessenträger sollten die Konsultation als Grundlage für einen bevorstehenden Evaluierungsbericht betrachten, nicht als Entwurf eines Gesetzestextes. Eine kontinuierliche, pro Jurisdiktion aufgebaute Echtzeitüberwachung macht solche Kommissionskonsultationen in dem Moment sichtbar, in dem das Portal öffnet, noch bevor das Rückmeldungsfenster schließt.
Die LED selbst bleibt der verbindliche Maßstab: Die Richtlinie (EU) 2016/680 regelt weiterhin zuständige Behörden und Stellen, die in deren Auftrag für Strafverfolgungszwecke verarbeiten, parallel zur DSGVO für die übrige Verarbeitung.
Wer sollte bis zum 28. September 2026 Stellung nehmen?
Vorrangig angesprochen sind Datenschutzbeauftragte und Governance-Verantwortliche innerhalb von Polizei-, Staatsanwalts- und Strafgerichtsbehörden sowie private Auftragsverarbeiter und Technologieanbieter, die Fallmanagement-, Biometrie-, Analyse- oder grenzüberschreitende Austauschsysteme für diese Behörden entwerfen, hosten oder betreiben.
Aufsichtsbehörden der Mitgliedstaaten mit LED-Zuständigkeit, Strafjustiz-Datenaustauschknoten und Interessenträger aus dem Bereich Justiz und Inneres auf EU-Ebene haben ebenfalls ein unmittelbares Interesse: Die Mitteilung wird festhalten, wie harmonisiert (oder fragmentiert) die nationale Praxis nach acht Jahren wirkt. Kommerzielle Akteure, die lediglich im Rahmen der DSGVO für kommerzielle Zwecke verarbeiten, fallen nicht in den Kernbereich der LED; dennoch sollten Anbieter, die an zuständige Behörden liefern, verfolgen, ob die Evaluierung Lücken aufzeigt, die später zu Gesetzgebungsvorschlägen werden.
Was sollten Compliance-Teams vor der Frist tun?
Erfassen Sie jede Verarbeitungsstätigkeit, die auf der nationalen LED-Umsetzung beruht, einschließlich gemeinsam Verantwortlicher, Auftragsverarbeiter und grenzüberschreitender Übermittlungen oder Austausche mit Behörden anderer Mitgliedstaaten. Dokumentieren Sie, wo die nationale Praxis von den Erwartungen der Richtlinie abweicht, etwa bei Zweckbindung, Datenqualität, Aufbewahrung, Protokollierung und den an den Strafverfolgungskontext angepassten Betroffenenrechten.
Reichen Sie bis zum 28. September 2026 konkrete, belegte Rückmeldungen im Portal der Kommission ein: operative Reibung beim grenzüberschreitenden Austausch, ungleiche Umsetzung oder Schutzlücken, die für Behörden und ihre Anbieter rechtliche Risiken bergen. Gleichen Sie interne Briefingunterlagen ab, sodass Privacy-, Rechts- und Produkt-Teams vor Erscheinen der Mitteilung im Q3 2026 eine gemeinsame Linie zur LED-Exposition vertreten.
| Meilenstein | Datum / Zeitraum | Was es für Praktiker bedeutet |
|---|---|---|
| Beweisaufnahme beginnt | 17. August 2026 | Fenster für Interessenträger-Stellungnahmen öffnet bei Have-Your-Say-Initiative 18372 |
| Rückmeldung schließt | 28. September 2026 (Mitternacht Brüssel) | Letzter Tag, um Belege einzureichen, die den Evaluierungsbericht prägen können |
| Verabschiedung durch die Kommission (geplant) | Drittes Quartal 2026 | Mitteilung zur LED-Anwendung; auf Signale für eine anschließende Reform achten |
Wie verhält sich das zur DSGVO und zum Digital-Omnibus-Strang?
Die LED ist das Spezialregime für personenbezogene Daten im Strafrecht; die DSGVO erfasst die übrige Verarbeitung personenbezogener Daten. Verantwortliche, die beide Rollen einnehmen (etwa ein Ministerium, das administrative DSGVO-Verarbeitung und operative LED-Systeme betreibt), müssen die beiden Regime in Richtlinien, Datenschutz-Folgenabschätzungen und Anbieterverträgen sauber trennen.
Diese Evaluierung ist vom Digital-Omnibus-Datenstrang getrennt, der auf die Vereinfachung von DSGVO, ePrivacy, NIS2, DORA und Data Act zielt. Vermengen Sie LED-Stellungnahmen nicht mit Omnibus-Erzählungen zu Cookies oder DSGVO-Lasten: Die Kommission hat ein eigenes Dossier für den Datenschutz bei der Strafverfolgung eröffnet, und die Rückmeldungen zur Initiative 18372 sollten bei der LED-Umsetzung, dem operativen Austausch und den Schutzergebnissen bleiben.
Nutzen Sie diese Echtzeit-Überwachung
Nächste Schritte: Prüfen Sie, ob Ihre Organisation nach nationalen LED-Regeln oder als Auftragsverarbeiter für eine zuständige Behörde verarbeitet; tragen Sie den 28. September 2026 als Fristende ein; und informieren Sie Rechtsberatung und Produktverantwortliche über die Lücken, die in der Mitteilung festgehalten werden sollen. Obsidian hält die LED-Evaluierung und alle späteren Reformsignale auf demselben überwachten Strang fest, sodass Teams nach dem Datum des Portals handeln und nicht nach zweiter Berichterstattung.
