EuGH: Phishing-Geschädigte sind zu entschädigen

Kern der Entscheidung

Der Europäische Gerichtshof (EuGH) hatte im Rahmen einer Vorlage aus Polen Gelegenheit, eine offene Rechtsfrage zum Europarecht zu klären. Die Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates vom 25. November 2015 über Zahlungsdienste im Binnenmarkt verpflichet in ihrem Art. 71 Abs. 1 die Mitgliedsstaaten dazu, sicherzustellen, „[…] dass im Falle eines nicht autorisierten Zahlungsvorgangs der Zahlungsdienstleister des Zahlers diesem den Betrag des nicht autorisierten Zahlungsvorgangs unverzüglich, auf jeden Fall spätestens bis zum Ende des folgenden Geschäftstags erstattet, nachdem er von dem Zahlungsvorgang Kenntnis erhalten hat oder dieser ihm angezeigt wurde […]“. Art. 74 Abs. 1 S. 2 regelt folgende Ausnahme: „Der Zahler trägt alle Verluste, die in Verbindung mit nicht autorisierten Zahlungsvorgängen entstanden sind, wenn er sie in betrügerischer Absicht oder durch vorsätzliche oder grob fahrlässige Verletzung einer oder mehrerer der Pflichten nach Artikel 69 herbeigeführt hat.“

Der EuGH löste nun das Spannungsverhältnis zwischen den beiden Regelungen dahingehend auf, dass zunächst die Bank zu entschädigen hat. Ihr bleibt es aber unbenommen, beim Kunden zu regressieren, muss diesem dazu die grobe Fahrlässigkeit, den Vorsatz oder eine betrügerischer Absicht nachweisen. Die Entscheidung überzeugt in der Sache und klärt eine wichtige Frage zum Niveau des Verbraucherschutzes in Europa.

Aus dem Sachverhalt

„Die Klägerin des Ausgangsverfahrens schloss mit PKO BP, einer Bank mit Sitz in Polen, einen Vertrag über die Führung eines Girokontos.
Sie wurde Opfer eines Betrugs durch Phishing, der von einem unbekannten Täter begangen wurde, der sich als Interessent für den Kauf eines von ihr auf einem Online-Auktionsportal zum Verkauf angebotenen Artikels ausgab und ihr einen Link zusandte, der geeignet war, bei ihr den Eindruck zu erwecken, dass er von diesem Portal stammte und dass er den Verkauf bestätigen sollte. Nachdem sie diesem Link gefolgt war, gelangte die Klägerin des Ausgangsverfahrens auf eine Website, die das Erscheinungsbild der Website ihrer Bank hatte, und gab dort ihre Zugangsdaten für das Online-Banking ein. Die so erlangten Daten ermöglichten es dem Täter, 3 000 Zloty (PLN) (etwa 705 Euro) vom Konto der Klägerin auf ein von ihm geführtes Konto zu überweisen. Dieser Zahlungsvorgang wurde vom Täter des Betrugs mit einem per SMS übermittelten Bestätigungscode, den er aufgrund dieser Täuschung von der Klägerin des Ausgangsverfahrens erlangt hatte, autorisiert.
Am folgenden Tag stellte die Klägerin des Ausgangsverfahrens den Betrug fest und informierte sofort PKO BP und die Polizei über den nicht autorisierten Zahlungsvorgang. Der Täter des Betrugs konnte nicht ermittelt werden.
PKO BP weigerte sich, der Klägerin des Ausgangsverfahrens den Betrag des nicht autorisierten Zahlungsvorgangs zu erstatten, u. a. mit der Begründung, dass ihr Schaden dadurch herbeigeführt worden sei, dass sie ihre Pflicht, das in Rede stehende Zahlungsinstrument sorgfältig aufzubewahren und es nicht autorisierten Personen nicht zugänglich zu machen, grob fahrlässig verletzt habe.“

Das Gericht legte die Frage zur Auslegung der Zahlungsdienste-Richtlinie dem EuGH vor, da es der Auffassung war, das Regel-Ausnahmeverhältnis verlange eine Erstattung durch die Bank und erlaube jener lediglich den Regress.

Die entscheidende Erkenntnis (ab RN 44)

„So zielt diese Richtlinie, wie es in ihrem sechsten Erwägungsgrund heißt, darauf ab, ein hohes Maß an Verbraucherschutz zu gewährleisten (vgl. in diesem Sinne Urteile vom 11. November 2020, DenizBank, C‑287/19, EU:C:2020:897, Rn. 102, und vom 11. Juli 2024, Eurobank Bulgaria, C‑409/22, EU:C:2024:600, Rn. 79 sowie die dort angeführte Rechtsprechung).

Eine Auslegung von Art. 74 Abs. 1 der Richtlinie 2015/2366 dahin, dass er den Zahlungsdienstleister von seiner Pflicht zur unverzüglichen Erstattung im Sinne von Art. 73 Abs. 1 dieser Richtlinie befreit, wenn der Zahler grob fahrlässig seine Pflichten aus Art. 69 der Richtlinie verletzt hat, hätte nicht nur zur Folge, dass der Pflicht zur unverzüglichen Erstattung an den Zahler die praktische Wirksamkeit genommen würde, sondern auch, dass der Zahlungsdienstnutzer gezwungen wäre, von sich aus seine Ansprüche gegebenenfalls vor den zuständigen Gerichten geltend zu machen und die sich daraus ergebenden Nachteile, insbesondere etwaige Verfahrenskosten, zu tragen. Eine solche Verteilung der Verantwortlichkeiten und Risiken zum Nachteil des Zahlers erweist sich als schwer vereinbar mit dem in der vorstehenden Randnummer des vorliegenden Urteils genannten Ziel, ein hohes Maß an Verbraucherschutz zu gewährleisten.

Dagegen steht eine Auslegung von Art. 74 Abs. 1 der Richtlinie 2015/2366 dahin, dass er den Zahlungsdienstleister nicht von seiner Pflicht zur unverzüglichen Erstattung befreit, im Einklang mit dem Ziel, ein hohes Maß an Verbraucherschutz zu gewährleisten. Diese Auslegung steht dem nicht entgegen, dass der Zahlungsdienstleister später vom Zahler unter den in Art. 74 Abs. 1 dieser Richtlinie vorgesehenen Voraussetzungen die Erstattung von infolge nicht autorisierter Zahlungsvorgänge entstandenen Verlusten verlangt, wenn diese dadurch herbeigeführt worden sind, dass der Zahler grob fahrlässig seine Pflichten aus Art. 69 der Richtlinie verletzt hat.“

Leitsätze

Der EuGH stellt fest:

„Art. 73 Abs. 1 und Art. 74 Abs. 1 der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates vom 25. November 2015 über Zahlungsdienste im Binnenmarkt, zur Änderung der Richtlinien 2002/65/EG, 2009/110/EG und 2013/36/EU und der Verordnung (EU) Nr. 1093/2010 sowie zur Aufhebung der Richtlinie 2007/64/EG

sind dahin auszulegen, dass

ein Zahlungsdienstleister die unverzügliche Erstattung des Betrags eines nicht autorisierten Zahlungsvorgangs an einen Zahler nicht mit der Begründung verweigern darf, dass dieser Zahler diesen Zahlungsvorgang durch eine grob fahrlässige Verletzung seiner Pflichten aus Art. 69 der Richtlinie 2015/2366 ermöglicht habe.“

Entscheidung im Volltext / Besprechung

Die Entscheidung im Volltext finden Sie hier:

EuGH C‑70/25 vom 15.10.2026

Gut besprochen wird die Entscheidung in der lto.de:

https://www.lto.de/recht/nachrichten/n/eugh-c7025-erstattungsanspruch-bank-phishing-grobe-fahrlaessigkeit