Grobe Fahrlässigkeit entbindet Bank nicht Geld bei nicht autorisierten Zahlungs­vor­gängen unverzüglich zu erstattenDer Kunden kann jedoch später zur Erstattung der Verluste herangezogen werden, wenn diese auf dessen grobe Fahrlässigkeit zurückzuführen sind

In seiner Entscheidung hat der Gerichtshof der Europäischen Union entschieden, dass ein Zahlungs­dienst­leister (in der Regel eine Bank) bei nicht autorisierten Zahlungs­vor­gängen die abgebuchte Summe sofort erstatten muss. Das gilt auch dann, wenn sie meint, der Kunde habe grob fahrlässig gehandelt, weil er bspw. als Opfer einer Phishingattacke seine Zugangsdaten offen gelegt hat.

Polnische Bankkundin wurde Phishing-Opfer

Im zugrunde liegenden Fall, wollte die Kundin einer polnischen Bank einen Artikel online verkaufen. Ein Betrüger gab sich als Kaufinteressent aus und schickte ihr einen Link, der aussah, als käme er von der Verkaufs­plattform. Sie sollte angeblich den Verkauf bestätigen. Die Kundin folgte dem Link und landete auf einer Website, die wie die Seite ihrer Bank aussah. Dort gab sie ihre Zugangsdaten für das Online-Banking ein. Damit überwies der Betrüger etwa 700 Euro von ihrem Konto auf sein eigenes.

Am nächsten Tag meldete die Kundin den Betrug ihrer Bank. Die Bank weigerte sich jedoch, den Betrag des nicht autorisierten Zahlungs­vorgangs zu erstatten. Sie meinte, die Kundin habe grob fahrlässig gehandelt, weil sie ihre Zugangsdaten nicht ausreichend geschützt habe.

Der Gerichtshof der Europäischen Union (EuGH) wurde befragt

Aufgrund der ablehnenden Haltung der Bank, zog die Kundin vor ein polnisches Gericht. Dieses fragte beim Gerichtshof der Europäischen Union (EuGH) an, ob die Bank in ihrer Eigenschaft als Zahlungs­dienst­leister entsprechend dem Unionsrecht, den Betrag eines nicht autorisierten Zahlungs­vorgangs unverzüglich erstatten muss, selbst bei vermuteter grober Fahrlässigkeit des Kunden.

Der EuGH bejahte diese Frage in seinem Urteil.

Das Gericht führte aus, das bei einem nicht autorisierten Zahlungsvorgang die Bank den Betrag sofort erstatten muss, spätestens bis zum Ende des folgenden Geschäftstages, nachdem sie davon erfahren hat. Voraussetzung darfür ist, dass der Kunde sie unverzüglich informiert. Von dieser Pflicht ist nur eine einzige Ausnahme vorgesehen: Die Bank darf sich der Erstattung verweigern, wenn sie berechtigte Gründe für den Verdacht hat, dass der Kunde selbst betrügt und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt.

Die Ansicht des Zahlungs­dienst­leisters, der Kunde habe den nicht autorisierten Zahlungsvorgang durch grobe Fahrlässigkeit ermöglicht, berechtigt ihn nicht dazu, die unverzügliche Erstattung zu verweigern. Hierunter fällt auch der Verdacht der Bank, dass der Kunde seine Sicher­heits­merkmale (bspw. Zugangsdaten) nicht ausreichend geschützt hat.

Nach Unionsrecht sind Erstattung und Haftung zwei einzelne Fragen

Nach dem Unionsrecht müsse die Frage der Erstattung des Betrags des nicht autorisierten Zahlungs­vorgangs von der Frage getrennt werden, wer am Ende den Verlust trägt. Die Bank muss also zuerst erstatten. In einem zweiten Schritt kann sie vom Kunden Ersatz der Verluste verlangen, wenn die Voraussetzungen dafür vorliegen. Dafür muss sie aber nachweisen, dass die Verluste darauf zurückgehen, dass der Kunde vorsätzlich oder grob fahrlässig gegen seine Pflichten verstoßen hat. Gemeint ist vor allem die Pflicht, die perso­na­li­sierten Sicher­heits­merkmale vor unbefugtem Zugriff zu schützen. Der Kunde muss seine Unschuld nicht belegen.

Verbrau­cher­schutz gestärkt, Auslegung des BGH widersprochen

Dieser Ansatz passt zum Ziel eines hohen Verbrau­cher­schutz­niveaus. Würde man der Bank erlauben, die Erstattung von vornherein mit dem Vorwurf grober Fahrlässigkeit zu verweigern, würde das der Pflicht zur unverzüglichen Erstattung zuwiderlaufen und den Kunden dazu zwingen, ein Verfahren anzustrengen, um seinen Anspruch durchzusetzen. Hierdurch würden sich für eventuelle ergebenden Nachteile, insbesondere die zusätzliche anfallende Kosten, ergeben.

Hiermit kehrt der EuGH die Klagelast um und entzieht der bisherigen Rechtsprechung des BGH und der Oberlan­des­ge­richte in Deutschland ihre Grundlage. Hier wurde dem Zahlungs­dienst­leister bislang zugestanden, die Erstattung nach den Grundsätzen von Treu und Glauben im Wege der Aufrechnung in der Höhe zu verweigern, in der ihm der Kontoinhaber schaden­s­er­satz­pflichtig ist. So ist er nicht verpflichtet, dem Kontoinhaber einen Betrag gutzuschreiben, wenn dieser in gleicher Höhe zum Schadensersatz wegen grober Fahrlässigkeit verpflichtet ist. Man spricht hier von der Dolo agit-Einrede, wobei sich Dolo agit als Abkürzung des lateinischen Rechtssatzes Dolo agit, qui petit, quod statim redditurus est versteht. Sinngemäß bedeutet dies: Arglistig handelt, wer etwas verlangt, was er augenblicklich wieder zurückgeben muss.

Trotz dieser neuen Auslegung des EuGH, sollten Bankkunden sollten ihre Bank immer unverzüglich informieren, wenn sie Opfer einer Phishing-Attacke wurden. Des Weiteren sollten sie die Beweise sichern (also bspw. E-Mail- und Chatverläufe, die Korrespondenz mit dem Zahlungs­dienst­leister, Nachrichten, Kontoauszüge usw.) und ggf. eine Strafanzeige erstatten.

Polnische Bankkundin

Die polnische Bankkundin muss allerdings noch auf ihr Geld warten. Der Ausgangs­rechtsstreit muss von dem polnischen Gericht noch selbst entschieden werden. Die Kundin darf jedoch darauf hoffen, dass ihrer Klage bald stattgegeben wird. Ob die polnische Bank dann selbst gegen ihre Kundin klagen möchte und durch das Kostenrisiko den Schaden vielleicht noch vergrößern möchte, muss sie selbst entscheiden.