Identitätsdiebstahl beim Autokauf - Muss der Käufer doppelt zahlen?

Überweist ein Käufer eines Gebrauchtwagens den Kaufpreis infolge einer durch einen Man-in-the-Middle-Angriff manipulierten E-Mail auf ein fremdes Konto, wird er von seiner Zahlungspflicht gegenüber dem Verkäufer nicht befreit. Eine Ausnahme gilt nur, wenn der Verkäufer den Schaden durch ein eigenes pflichtwidriges Verhalten verursacht oder mitverursacht hat.

Kann die Kaufpreisforderung durch Zahlung an einen Dritten erfüllt werden?

Nach § 362 Abs. 1 BGB erlischt ein Schuldverhältnis durch Leistung an den Gläubiger. Wird der geschuldete Betrag stattdessen - wenn auch gutgläubig - auf das Konto eines unbekannten Dritten überwiesen, tritt keine Erfüllungswirkung gegenüber dem tatsächlichen Gläubiger ein. Das Risiko einer Fehlleitung der Zahlung infolge einer Manipulation der Kontoverbindung trägt grundsätzlich der Schuldner, da dieser die Zahlung veranlasst. Der gute Glaube an die Richtigkeit der übermittelten Bankverbindung ist hierbei unbeachtlich; eine gutgläubige Erfüllung an einen vermeintlichen Empfangsberechtigten sieht das Gesetz - anders als bei bestimmten sachenrechtlichen Konstellationen - insoweit nicht vor.

Wann kommt eine Haftung des Verkäufers in Betracht?

Eine abweichende Risikoverteilung kann sich ergeben, wenn der Verkäufer den Zahlungsausfall durch eine eigene Pflichtverletzung verursacht oder mitverursacht hat, etwa durch unzureichende Sicherung seiner IT-Systeme oder durch ein Verhalten, das dem Zugriff Dritter auf die Kommunikation erst Vorschub leistet. Ein solcher Ursachenbeitrag muss jedoch positiv festgestellt werden; die bloße Möglichkeit eines Zusammenhangs genügt nicht.

Im zu entscheidenden Fall hatten die Ermittlungen ergeben, dass die Täter die E-Mail während der Übertragung abgefangen und die darin enthaltenen Kontodaten verändert hatten, während ein Angriff auf die Computersysteme des Verkäufers nicht festgestellt werden konnte. Zwischen den Vertragsparteien waren zudem keine besonderen Sicherheitsverfahren für den E-Mail-Verkehr vereinbart worden, sodass sich hieraus keine gesteigerten Sorgfaltspflichten des Verkäufers ableiten ließen.

Besteht eine Pflicht zur Zahlungseingangskontrolle vor Übergabe der Kaufsache?

Eine Verpflichtung des Verkäufers, vor Übergabe der Kaufsache den tatsächlichen Zahlungseingang zu überprüfen, besteht regelmäßig nicht gegenüber dem Käufer. Eine solche Kontrolle dient in erster Linie dem eigenen wirtschaftlichen Schutz des Verkäufers vor Zahlungsausfällen. Verzichtet der Verkäufer auf diese Prüfung, begründet dies keine Pflichtverletzung im Verhältnis zum Käufer und damit auch keine daran anknüpfende Haftung.

Relevanz eines Verstoßes gegen die Datenschutzgrundverordnung

Ein auf einen Verstoß gegen die Datenschutzgrundverordnung (DSGVO) gestützter Schadensersatz- oder Einwendungstatbestand setzt voraus, dass eine dem Verkäufer zurechenbare Verletzung datenschutzrechtlicher Pflichten festgestellt werden kann. Ein solcher Verstoß wurde im zu entscheidenden Fall verneint, da die Kompromittierung der Kommunikation auf einem Abfangen durch unbekannte Dritte beruhte und nicht auf einer unzureichenden Sicherung personenbezogener Daten durch das Autohaus.

Zurechnung des gewählten Kommunikationswegs

Für die Frage einer möglichen Mitverantwortung des Verkäufers kann von Bedeutung sein, wer den Übermittlungsweg für sicherheitsrelevante Informationen wie Kontodaten gewählt hat. Wird - wie im zu entscheidenden Fall, in dem die Tochter des Käufers das Autohaus per E-Mail um Mitteilung der Kontodaten gebeten hatte - der Kommunikationsweg von Seiten des Käufers beziehungsweise seines Vertreters vorgegeben, scheidet eine daran anknüpfende Haftung des Verkäufers aus diesem Gesichtspunkt regelmäßig aus.

Hinweis: Urteile geben die Rechtsauffassung des Gerichts zum Entscheidungsdatum wieder und ersetzen keine rechtliche Beratung im Einzelfall. Für Aktualität, Vollständigkeit und Richtigkeit wird keine Gewähr übernommen.