Haftung für missbräuchliche Zahlung

Der Oberste Gerichtshof (OGH) hat kürzlich bestätigt, dass ein Zahlungsdienstleister Schadenersatz ohne Haftungsbegrenzung gegen einen Kunden zusteht, der einen missbräuchlichen Zahlungsvorgang durch eine vorsätzliche oder grob fahrlässige Verletzung von Sorgfaltspflichten ermöglicht hat. Die Kontoberichtigung, zu der die Bank aufgrund der fehlenden Autorisierung des Zahlungsvorgangs verpflichtet ist, kann sie im Rahmen dieses Schadenersatzanspruchs vermeiden (vgl OGH 24.7.2018, 9 Ob 48/18a).

Wichtigste Aussage des Urteils

Der OGH hat konkretisiert, wann ein grob fahrlässiges Verhalten des Kunden vorliegt. Dies ist - unter anderem - der Fall,

wenn der Kontoinhaber einem angeblichen Bankmitarbeiter aufgrund fadenscheiniger Begründung einen per SMS zugesendeten TAN-Code preisgegeben hat, obwohl aus der SMS erkennbar war, dass damit ein nicht selbst ausgelöster Zahlungsvorgang bestätigt werden soll.

Zusammenfassung des Urteils

Die wichtigsten Erkenntnisse lassen sich wie folgt zusammenfassen:

• Ob und in welchem Ausmaß ein Zahler fahrlässig gehandelt hat, ist nach den allgemeinen Regeln des Schadenersatzrechts zu beurteilen sind. Die Beurteilung des Verschuldensgrades kann regelmäßig nur aufgrund der konkreten Umstände des Einzelfalls beurteilt werden.
• Grob fahrlässig handelt demnach, wer im täglichen Leben die erforderliche Sorgfalt gröblich, in hohem Grad, aus Unbekümmertheit oder Leichtfertigkeit außer Acht lässt, wer nicht beachtet, was unter den gegebenen Umständen jedem einleuchten musste. Grobe Fahrlässigkeit ist somit bei schlechthin unentschuldbaren Pflichtverletzungen gegeben, die das gewöhnliche Maß an alltäglich vorkommenden, nie ganz vermeidbaren Fahrlässigkeitshandlungen des täglichen Lebens ganz erheblich übersteigen. Grobe Fahrlässigkeit erfordert das Vorliegen eines objektiv besonders schweren Sorgfaltsverstoßes, der bei Würdigung aller Umstände des konkreten Falles auch subjektiv schwerstens vorzuwerfen ist. Dabei muss der Schaden als wahrscheinlich vorhersehbar gewesen sein.
• Bei dem Fall haben sich unbekannte Betrüger durch Installieren eines Schadprogramms auf eines der IT-Systeme des Kontoinhabers oder durch einen Phishing-Angriff Zugriff auf dessen System geschaffen und damit dessen Zugangsdaten erhalten. Die Betrüger konnten sich dann im netbanking-Portal des Inhabers mit dessen Zugangsdaten anmelden und eine Überweisung erstellen. Danach rief eine akzentfrei Deutsch sprechende Frau auf seinem Handy dessen Telefonnummer im netbanking der Beklagten hinterlegt ist, von einer ihm unbekannten Telefonnummer an. Sie gab sich als Angestellte der Bank aus und forderte ihn auf, ihr aufgrund einer notwendigen Datenaktualisierung den ihm soeben per SMS übermittelten Code bekannt zu geben. Während des laufenden Anrufs gab der Kontoinhaber den ihm soeben übermittelten TAC‑Code bekannt. Noch am selben Tag wurde vom Konto der Betrag von EUR 12.880,-- auf ein österreichisches Girokonto einer anderen Kreditanstalt der unbekannten Betrüger überwiesen.
• Der OGH hielt fest, dass ein maßgerechter Durchschnitts‑Onlinebanker einem unbekannten Dritten die Sicherheitsmerkmale nicht mitteilen werde, weil er sich bewusst sein muss, dass die Weitergabe von personalisierten Sicherheitsmerkmalen an unbekannte Dritte mit der Gefahr einer missbräuchlichen Verwendung des damit verknüpften Bankkontos durch Betrüger verbunden ist. Dass die telefonische Weitergabe eines TAC-Codes an eine unbekannte Person einen durch Betrug hervorgerufenen Schadenseintritt nicht bloß möglich, sondern geradezu wahrscheinlich macht, muss jeder mit dem Electronic Banking vertrauten Person alleine schon aus der medialen Berichterstattung und den zahlreichen, insbesondere im Bankenbereich üblichen Warnungen, die die Bank dem Kunden auch im vorliegenden Fall zukommen ließ, bewusst sein. Schon bei einem bloß kurzen Überfliegen des SMS hätte der Erstkläger leicht erkennen können, dass es sich nicht um eine bloße Datenaktualisierung handelte, sondern um eine Zahlungsfreigabe eines Betrags von immerhin EUR 12.880,- von seinem Konto.

Wenig überraschend hat der OGH zudem festgehalten, dass ein Sachverhalt, der vor Inkrafttreten des ZaDiG 2018 mit 1. 6. 2018 endgültig abgeschlossen ist, weiterhin nach dem ZaDiG aF zu beurteilen ist. Dies war hier der Fall.

Auch nach dem neuen ZaDiG 2018 trifft den Kunden im Fall einer vorsätzlichen oder grob fahrlässigen Verletzung seiner Sorgfaltspflichten gegenüber der Bank eine betraglich nicht beschränkte Haftung für den verursachten Schaden. Die Haftungsgrenze von EUR 150 bei leichter Fahrlässigkeit wurde mit dem ZaDiG 2018 jedoch auf EUR 50 gesenkt.

Sie haben dazu Fragen?

Kontaktieren Sie uns.

Ihr Ansprechpartner: Dr. Bernd Fletzberger