Phishing-Attacke: Bank muss am nächsten Geschäftstag erstatten

Ein Zahlungsdienstleister muss den Betrag eines nicht autorisierten Zahlungsvorgangs unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags, erstatten. Er darf dies nicht mit dem Einwand verweigern, der Zahler habe den Vorgang durch grob fahrlässige Verletzung seiner Pflichten ermöglicht. Einen solchen Vorwurf kann er erst in einem zweiten Schritt geltend machen, indem er vom Zahler Ersatz der Verluste verlangt und die grobe Fahrlässigkeit nachweist.

Welcher Sachverhalt lag der vorliegenden Entscheidung zugrunde?

Eine Bankkundin war Opfer eines Phishing-Betrugs geworden. Ein unbekannter Täter hatte ihr einen Link übersandt, der auf eine Website mit dem Erscheinungsbild ihrer Bank führte. Dort gab sie ihre Zugangsdaten für das Online-Banking ein. Der Täter überwies damit einen Betrag von etwa 705 Euro auf ein eigenes Konto und autorisierte den Vorgang mit einem per SMS übermittelten Bestätigungscode, den er durch die Täuschung erlangt hatte. Die Kundin meldete den Vorgang am folgenden Tag. Die Bank verweigerte die Erstattung mit der Begründung, die Kundin habe ihre Pflicht zur sorgfältigen Aufbewahrung des Zahlungsinstruments grob fahrlässig verletzt.

Welche Regelung gilt für die Erstattung nicht autorisierter Zahlungsvorgänge?

Die Entscheidung betrifft die Auslegung von Art. 73 Abs. 1 und Art. 74 Abs. 1 der Richtlinie (EU) 2015/2366 über Zahlungsdienste im Binnenmarkt. Zu klären war insoweit, ob ein Zahlungsdienstleister die Erstattung eines nicht autorisierten Zahlungsvorgangs verweigern darf, wenn er der Ansicht ist, der Zahler habe den Vorgang durch grob fahrlässige Verletzung seiner Pflichten aus Art. 69 der Richtlinie ermöglicht.

Nach Art. 73 Abs. 1 der Richtlinie 2015/2366 hat der Zahlungsdienstleister des Zahlers diesem den Betrag eines nicht autorisierten Zahlungsvorgangs unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags, zu erstatten. Die Frist beginnt, nachdem er vom Zahlungsvorgang Kenntnis erhalten hat oder dieser ihm angezeigt wurde. Die Pflicht gilt unbeschadet des Art. 71 der Richtlinie. Danach kann der Zahlungsdienstnutzer eine Korrektur nur erwirken, wenn er den Zahlungsdienstleister unverzüglich nach Feststellung des Vorgangs, spätestens aber 13 Monate nach der Belastung, unterrichtet. Der Zahlungsdienstleister bringt zudem das belastete Konto wieder auf den Stand, auf dem es sich ohne den Vorgang befunden hätte, und stellt den Betrag spätestens zum Datum der Belastung wert.

Der Wortlaut des Art. 73 Abs. 1 sieht nur eine einzige Ausnahme vor: Der Zahlungsdienstleister kann die Erstattung verweigern, wenn er berechtigte Gründe für den Verdacht hat, dass Betrug vorliegt, und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt. Eine Ausnahme für den Verdacht, der Zahler habe den Vorgang durch grobe Fahrlässigkeit ermöglicht, ist nicht vorgesehen.

Wie verhält sich die Haftung des Zahlers nach Art. 74 zur Erstattungspflicht?

Art. 74 Abs. 1 der Richtlinie regelt abweichend von Art. 73 die Haftung des Zahlers. Bei einem nicht autorisierten Zahlungsvorgang infolge eines verlorenen oder gestohlenen Zahlungsinstruments oder dessen missbräuchlicher Verwendung kann der Zahler bis höchstens 50 Euro in Anspruch genommen werden. Dies gilt nicht, wenn der Verlust, der Diebstahl oder die missbräuchliche Verwendung für den Zahler vor der Zahlung nicht bemerkbar war, es sei denn, er handelte selbst in betrügerischer Absicht, oder wenn der Verlust durch Handlungen oder Unterlassungen eines Angestellten, Agenten, einer Zweigniederlassung oder einer Auslagerungsstelle des Zahlungsdienstleisters verursacht wurde. Der Zahler trägt dagegen alle Verluste, wenn er sie in betrügerischer Absicht oder durch vorsätzliche oder grob fahrlässige Verletzung einer oder mehrerer Pflichten nach Art. 69 herbeigeführt hat. Zu diesen Pflichten gehört insbesondere, alle zumutbaren Vorkehrungen zum Schutz der personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu treffen (Art. 69 Abs. 2). Die Mitgliedstaaten können die Haftung nach Art. 74 Abs. 1 Unterabs. 4 einschränken, wenn der Zahler weder in betrügerischer Absicht gehandelt noch seine Pflichten vorsätzlich verletzt hat.

Die Art. 73 und 74 bewirken damit eine Risikoverteilung zwischen Zahlungsdienstleister und Zahler. Ihr Verhältnis zueinander lässt sich dem Wortlaut des Art. 74 Abs. 1 jedoch nicht eindeutig entnehmen. Denkbar sind zwei Auslegungen: Nach der ersten wirkt sich die abweichende Regelung auf die Pflicht zur unverzüglichen Erstattung aus, wenn der Zahler grob fahrlässig gehandelt hat. Nach der zweiten betrifft sie nur die Endgültigkeit der Erstattung. Der Zahlungsdienstleister muss danach zunächst unverzüglich erstatten und kann erst in einem zweiten Schritt über die dafür vorgesehenen Rechtsbehelfe vom Zahler Ersatz der entstandenen Verluste verlangen.

Der Zusammenhang der Regelung stützt die zweite Auslegung. Der 71. Erwägungsgrund der Richtlinie betrifft den Fall, dass der Zahlungsdienstleister berechtigte Gründe für den Verdacht eines vom Zahlungsdienstnutzer begangenen Betrugs hat und der zuständigen Behörde die objektiven Gründe mitteilt. Dies spricht dafür, dass die in Art. 73 Abs. 1 ausdrücklich vorgesehene Ausnahme die einzige Ausnahme von der Erstattungspflicht ist.

Zudem weist Art. 72 Abs. 2 der Richtlinie dem Zahlungsdienstleister die Beweislast für Betrug oder grobe Fahrlässigkeit des Zahlers zu. Die bloß aufgezeichnete Nutzung eines Zahlungsinstruments reicht für den Nachweis nicht notwendigerweise aus, vielmehr muss der Zahlungsdienstleister unterstützende Beweismittel vorlegen. Diese Beweislastverteilung spiegelt die Systematik der Art. 73 und 74 wider, den Schutz des Zahlers bei nicht autorisierten Zahlungsvorgängen zu verstärken. Sie bestätigt, dass der Unionsgesetzgeber die Kohärenz zwischen der Erstattungsregelung und den Verfahrensvorschriften für ihre wirksame Umsetzung sicherstellen wollte.

Art. 73 regelt danach die unverzügliche Erstattung, während Art. 74 die Aufteilung der Haftung zwischen Zahlungsdienstleister und Zahler zu einem späteren Zeitpunkt betrifft.

Welche Bedeutung haben Sinn und Zweck der Richtlinie?

Die Richtlinie legt nach ihrem Art. 1 Abs. 2 Buchst. b die Rechte und Pflichten von Zahlungsdienstnutzern und Zahlungsdienstleistern bei der hauptberuflichen oder gewerblichen Erbringung von Zahlungsdiensten fest. Nach ihrem sechsten Erwägungsgrund soll sie ein hohes Maß an Verbraucherschutz gewährleisten (vgl. EuGH, 11.11.2020 - Az: C-287/19; EuGH, 11.07.2024 - Az: C-409/22).

Würde Art. 74 Abs. 1 den Zahlungsdienstleister bei grober Fahrlässigkeit des Zahlers von der Pflicht zur unverzüglichen Erstattung befreien, nähme dies der Erstattungspflicht die praktische Wirksamkeit. Der Zahler müsste seine Ansprüche zudem selbst gerichtlich durchsetzen und die damit verbundenen Nachteile, insbesondere die Verfahrenskosten, tragen. Eine solche Verteilung von Verantwortlichkeiten und Risiken zulasten des Zahlers ist mit dem Ziel eines hohen Verbraucherschutzniveaus nur schwer vereinbar. Die Auslegung, nach der die Erstattungspflicht bestehen bleibt, steht dagegen im Einklang mit diesem Ziel. Sie schließt nicht aus, dass der Zahlungsdienstleister später unter den Voraussetzungen des Art. 74 Abs. 1 vom Zahler Ersatz der Verluste verlangt, die durch dessen grob fahrlässige Pflichtverletzung herbeigeführt wurden.

Auch die Entstehungsgeschichte spricht für dieses Ergebnis. Art. 60 der Vorgängerrichtlinie 2007/64/EG sah keine ausdrückliche Ausnahme von der Erstattungspflicht vor. Dasselbe galt für den ursprünglichen Kommissionsvorschlag (COM [2013] 547 final). Erst im Gesetzgebungsverfahren zur Richtlinie 2015/2366 führte der Unionsgesetzgeber die spezifische Ausnahme für den berechtigten Betrugsverdacht ein. Zugleich untersagte er den Mitgliedstaaten nach Art. 107 Abs. 1, andere als die in der Richtlinie festgelegten Bestimmungen beizubehalten oder einzuführen. Der Gesetzgeber hat die Ausnahmen damit bewusst auf den Betrugsverdacht begrenzt.

Wird das alternative Streitbeilegungsverfahren umgangen?

Der Einwand, diese Auslegung umgehe den in Art. 102 Abs. 1 der Richtlinie vorgesehenen Mechanismus der alternativen Streitbeilegung, greift nicht durch. Dieser Mechanismus ist nicht auf Streitigkeiten über die unverzügliche Erstattung nach Art. 73 beschränkt, sondern erfasst jede Streitigkeit aus den Titeln III und IV der Richtlinie. Er kann daher weder als notwendige Ergänzung zur Umsetzung allein des Art. 73 noch als obligatorischer Mechanismus zur Überprüfung der Pflichten aus Art. 69 verstanden werden.

Welche Rechtsfolgen ergeben sich?

Art. 73 Abs. 1 und Art. 74 Abs. 1 der Richtlinie 2015/2366 sind dahin auszulegen, dass ein Zahlungsdienstleister die unverzügliche Erstattung des Betrags eines nicht autorisierten Zahlungsvorgangs nicht mit der Begründung verweigern darf, der Zahler habe den Vorgang durch grob fahrlässige Verletzung seiner Pflichten aus Art. 69 ermöglicht.

Der Zahlungsdienstleister ist daher in einem ersten Schritt zur unverzüglichen Erstattung verpflichtet, wenn der Zahler ihn unverzüglich unterrichtet hat. Die einzige Ausnahme besteht bei berechtigtem Betrugsverdacht mit schriftlicher Mitteilung der Gründe an die zuständige nationale Behörde. In einem zweiten Schritt kann der Zahlungsdienstleister vom Zahler die Erstattung der entstandenen Verluste verlangen, wenn er nachweist, dass diese auf eine vorsätzliche oder grob fahrlässige Verletzung der Pflichten des Zahlers, insbesondere der Pflicht zum Schutz der personalisierten Sicherheitsmerkmale, zurückzuführen sind. Die Beweislast für die grobe Fahrlässigkeit trägt der Zahlungsdienstleister.

Hinweis: Urteile geben die Rechtsauffassung des Gerichts zum Entscheidungsdatum wieder und ersetzen keine rechtliche Beratung im Einzelfall. Für Aktualität, Vollständigkeit und Richtigkeit wird keine Gewähr übernommen.