Der Gerichtshof der Europäischen Union hat entschieden, dass eine Bank den Betrag eines nicht autorisierten Zahlungsvorgangs sofort erstatten muss, auch wenn sie meint, der Kunde habe grob fahrlässig gehandelt. Die deutsche Rechtsprechung sah dies bisher in der Regel anders.
In seiner Entscheidung hat der Gerichtshof der Europäischen Union entschieden, dass ein Zahlungsdienstleister (in der Regel eine Bank) bei nicht autorisierten Zahlungsvorgängen die abgebuchte Summe sofort erstatten muss. Das gilt auch dann, wenn sie meint, der Kunde habe grob fahrlässig gehandelt, weil er bspw. als Opfer einer Phishingattacke seine Zugangsdaten offen gelegt hat.
Polnische Bankkundin wurde Phishing-Opfer
Im zugrunde liegenden Fall, wollte die Kundin einer polnischen Bank einen Artikel online verkaufen. Ein Betrüger gab sich als Kaufinteressent aus und schickte ihr einen Link, der aussah, als käme er von der Verkaufsplattform. Sie sollte angeblich den Verkauf bestätigen. Die Kundin folgte dem Link und landete auf einer Website, die wie die Seite ihrer Bank aussah. Dort gab sie ihre Zugangsdaten für das Online-Banking ein. Damit überwies der Betrüger etwa 700 Euro von ihrem Konto auf sein eigenes.
Am nächsten Tag meldete die Kundin den Betrug ihrer Bank. Die Bank weigerte sich jedoch, den Betrag des nicht autorisierten Zahlungsvorgangs zu erstatten. Sie meinte, die Kundin habe grob fahrlässig gehandelt, weil sie ihre Zugangsdaten nicht ausreichend geschützt habe.
Der Gerichtshof der Europäischen Union (EuGH) wurde befragt
Aufgrund der ablehnenden Haltung der Bank, zog die Kundin vor ein polnisches Gericht. Dieses fragte beim Gerichtshof der Europäischen Union (EuGH) an, ob die Bank in ihrer Eigenschaft als Zahlungsdienstleister entsprechend dem Unionsrecht, den Betrag eines nicht autorisierten Zahlungsvorgangs unverzüglich erstatten muss, selbst bei vermuteter grober Fahrlässigkeit des Kunden.
Der EuGH bejahte diese Frage in seinem Urteil.
Das Gericht führte aus, das bei einem nicht autorisierten Zahlungsvorgang die Bank den Betrag sofort erstatten muss, spätestens bis zum Ende des folgenden Geschäftstages, nachdem sie davon erfahren hat. Voraussetzung darfür ist, dass der Kunde sie unverzüglich informiert. Von dieser Pflicht ist nur eine einzige Ausnahme vorgesehen: Die Bank darf sich der Erstattung verweigern, wenn sie berechtigte Gründe für den Verdacht hat, dass der Kunde selbst betrügt und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt.
Die Ansicht des Zahlungsdienstleisters, der Kunde habe den nicht autorisierten Zahlungsvorgang durch grobe Fahrlässigkeit ermöglicht, berechtigt ihn nicht dazu, die unverzügliche Erstattung zu verweigern. Hierunter fällt auch der Verdacht der Bank, dass der Kunde seine Sicherheitsmerkmale (bspw. Zugangsdaten) nicht ausreichend geschützt hat.
Nach Unionsrecht sind Erstattung und Haftung zwei einzelne Fragen
Nach dem Unionsrecht müsse die Frage der Erstattung des Betrags des nicht autorisierten Zahlungsvorgangs von der Frage getrennt werden, wer am Ende den Verlust trägt. Die Bank muss also zuerst erstatten. In einem zweiten Schritt kann sie vom Kunden Ersatz der Verluste verlangen, wenn die Voraussetzungen dafür vorliegen. Dafür muss sie aber nachweisen, dass die Verluste darauf zurückgehen, dass der Kunde vorsätzlich oder grob fahrlässig gegen seine Pflichten verstoßen hat. Gemeint ist vor allem die Pflicht, die personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen. Der Kunde muss seine Unschuld nicht belegen.
Verbraucherschutz gestärkt, Auslegung des BGH widersprochen
Dieser Ansatz passt zum Ziel eines hohen Verbraucherschutzniveaus. Würde man der Bank erlauben, die Erstattung von vornherein mit dem Vorwurf grober Fahrlässigkeit zu verweigern, würde das der Pflicht zur unverzüglichen Erstattung zuwiderlaufen und den Kunden dazu zwingen, ein Verfahren anzustrengen, um seinen Anspruch durchzusetzen. Hierdurch würden sich für eventuelle ergebenden Nachteile, insbesondere die zusätzliche anfallende Kosten, ergeben.
Hiermit kehrt der EuGH die Klagelast um und entzieht der bisherigen Rechtsprechung des BGH und der Oberlandesgerichte in Deutschland ihre Grundlage. Hier wurde dem Zahlungsdienstleister bislang zugestanden, die Erstattung nach den Grundsätzen von Treu und Glauben im Wege der Aufrechnung in der Höhe zu verweigern, in der ihm der Kontoinhaber schadensersatzpflichtig ist. So ist er nicht verpflichtet, dem Kontoinhaber einen Betrag gutzuschreiben, wenn dieser in gleicher Höhe zum Schadensersatz wegen grober Fahrlässigkeit verpflichtet ist. Man spricht hier von der Dolo agit-Einrede, wobei sich Dolo agit als Abkürzung des lateinischen Rechtssatzes Dolo agit, qui petit, quod statim redditurus est versteht. Sinngemäß bedeutet dies: Arglistig handelt, wer etwas verlangt, was er augenblicklich wieder zurückgeben muss.
Trotz dieser neuen Auslegung des EuGH, sollten Bankkunden sollten ihre Bank immer unverzüglich informieren, wenn sie Opfer einer Phishing-Attacke wurden. Des Weiteren sollten sie die Beweise sichern (also bspw. E-Mail- und Chatverläufe, die Korrespondenz mit dem Zahlungsdienstleister, Nachrichten, Kontoauszüge usw.) und ggf. eine Strafanzeige erstatten.
Polnische Bankkundin
Die polnische Bankkundin muss allerdings noch auf ihr Geld warten. Der Ausgangsrechtsstreit
muss von dem polnischen Gericht noch selbst entschieden werden. Die Kundin darf jedoch darauf hoffen, dass ihrer Klage bald stattgegeben wird. Ob die polnische Bank dann selbst gegen ihre Kundin klagen möchte und durch das Kostenrisiko den Schaden vielleicht noch vergrößern möchte, muss sie selbst entscheiden.
Angaben zum Gericht:
- Gericht:Europäischer Gerichtshof
- Entscheidungsart:Urteil
- Datum:15.10.2026
- Aktenzeichen:C-70/25