Bank muss Phishing-Opfer auch bei grober Fahrlässigkeit zunächst entschädigenBanken dürfen die Erstattung unautorisierter Zahlungen nicht mit dem Verweis auf angebliche grobe Fahrlässigkeit verweigern - die Haftungsfrage muss getrennt geprüft werden

Die Kundin einer polnischen Bank wurde Opfer einer Phishing-Attacke. Ein Dritter gab sich als Interessent für den Kauf eines Artikels aus, den sie auf einer Online-Verkaufs­plattform zum Verkauf anbot. Er sandte ihr einen betrügerischen Link zu, der den Anschein erweckte, von dieser Plattform zu stammen und der Bestätigung des Verkaufs zu dienen. Die Bankkundin ließ sich davon täuschen und folgte dem Link auf eine Website, die das Erschei­nungsbild der Website ihrer Bank hatte, und gab dort ihre Zugangsdaten für das Online-Banking ein. Mithilfe dieser Daten gelang es dem Dritten, vom Konto der Kundin einen etwa 700 Euro entsprechenden Betrag auf ein von ihm geführtes Konto zu überweisen.

Am folgenden Tag meldete die Kundin den betrügerischen Vorgang ihrer Bank. Diese weigerte sich jedoch, den Betrag des nicht autorisierten Zahlungs­vorgangs zu erstatten, da sie der Ansicht war, die Kundin habe diesen Vorgang durch grobe Fahrlässigkeit ermöglicht, indem sie ihrer Pflicht nicht nachgekommen sei, ihre perso­na­li­sierten Sicher­heits­merkmale vor unbefugtem Zugriff zu schützen.

Aufgrund dieser Weigerung wandte sich die Kundin an ein polnisches Gericht, das den Gerichtshof fragt, ob die Bank in ihrer Eigenschaft als Zahlungs­dienst­leister gemäß dem Unionsrecht verpflichtet ist, den Betrag eines nicht autorisierten Zahlungs­vorgangs unverzüglich zu erstatten, selbst wenn sie der Ansicht ist, dass der Kunde grob fahrlässig gehandelt habe.

In seinem Urteil bejaht der Gerichtshof diese Frage.

Im Fall eines nicht autorisierten Zahlungs­vorgangs ist der Zahlungs­dienst­leister grundsätzlich verpflichtet, den Betrag dieses Vorgangs unverzüglich, spätestens aber bis zum Ende des folgenden Geschäftstags, nachdem er von dem Zahlungsvorgang Kenntnis erhalten hat oder dieser ihm angezeigt wurde, zu erstatten, wenn der Kunde den Zahlungs­dienst­leister unverzüglich hiervon unterrichtet. Von der Pflicht zur unverzüglichen Erstattung ist eine einzige Ausnahme vorgesehen, nämlich der Fall, dass der Zahlungs­dienst­leister berechtigte Gründe für den Verdacht hat, dass ein vom Kunden begangener Betrug vorliegt, und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt.

Dass der Zahlungs­dienst­leister der Ansicht ist, der Kunde habe den nicht autorisierten Zahlungsvorgang durch grobe Fahrlässigkeit ermöglicht – insbesondere dadurch, dass er nicht die erforderlichen Maßnahmen zum Schutz seiner perso­na­li­sierten Sicher­heits­merkmale ergriffen habe –, berechtigt ihn nicht dazu, die unverzügliche Erstattung zu verweigern.

Nach dem Unionsrecht kann nämlich die Frage der Erstattung des Betrags des nicht autorisierten Zahlungs­vorgangs von der Frage getrennt werden, wer letztendlich die Verluste zu tragen hat, die mit einem solchen Vorgang verbunden sind.

Somit ist der Zahlungs­dienst­leister in einem ersten Schritt zur unverzüglichen Erstattung verpflichtet. In einem zweiten Schritt kann er gegebenenfalls vom Kunden die Erstattung der entstandenen Verluste verlangen, wenn er nachweist, dass diese darauf zurückzuführen sind, dass der Kunde vorsätzlich oder grob fahrlässig seine Pflichten, insbesondere die Pflicht, seine perso­na­li­sierten Sicher­heits­merkmale vor unbefugtem Zugriff zu schützen, verletzt hat. Den Nachweis einer groben Fahrlässigkeit des Kunden hat der Zahlungs­dienst­leister zu erbringen.

Dieser Ansatz steht im Einklang mit dem Ziel, ein hohes Maß an Verbrau­cher­schutz zu gewährleisten. Dem Zahlungs­dienst­leister zu gestatten, die Erstattung von vornherein unter Berufung auf grobe Fahrlässigkeit des Kunden zu verweigern, würde der Pflicht zur unverzüglichen Erstattung die praktische Wirksamkeit nehmen und den Kunden dazu zwingen, ein Verfahren anzustrengen, um seinen Anspruch durchzusetzen, und die sich daraus eventuelle ergebenden Nachteile, insbesondere die Kosten zu tragen.