Der EuGH hat die Erstattungspflichten bei nicht autorisierten Zahlungsvorgängen präzisiert (EuGH, Urteil vom 15. Oktober 2026 – C-70/25, ECLI:EU:C:2026:852). Danach darf ein Zahlungsdienstleister die unverzügliche Rückzahlung nicht allein deshalb verweigern, weil er dem Kunden grobe Fahrlässigkeit im Umgang mit personalisierten Sicherheitsmerkmalen vorwirft. Ob der Kunde den entstandenen Verlust letztlich selbst tragen muss, ist hiervon getrennt zu beurteilen.
Phishing-Fall vor einem polnischen Gericht
Gefälschte Internetseite und nicht autorisierte Überweisung
Ausgangspunkt der Rechtssache war ein Artikel, den die Kundin einer polnischen Bank über eine Online-Verkaufsplattform angeboten hatte. Ein vermeintlicher Kaufinteressent übersandte ihr einen Link, der angeblich der Bestätigung des Verkaufs dienen sollte. Tatsächlich gelangte sie über den Link auf eine nachgebildete Internetseite, die den Eindruck eines Internetauftritts ihrer Bank vermittelte.
Die Kundin gab dort ihre Zugangsdaten für das Online-Banking ein. Der Täter erlangte außerdem einen per SMS übermittelten Bestätigungscode und veranlasste anschließend eine Überweisung von 3.000 Zloty, umgerechnet rund 705 Euro, auf ein eigenes Konto.
Bank lehnte die Erstattung ab
Am folgenden Tag informierte die Kundin ihre Bank über den Zahlungsvorgang. Das Kreditinstitut verweigerte die Erstattung mit der Begründung, die Kundin habe ihre Pflicht zum Schutz der personalisierten Sicherheitsmerkmale grob fahrlässig verletzt und dadurch die Überweisung ermöglicht.
Die Kundin machte daraufhin ihren Erstattungsanspruch gerichtlich geltend. Das mit dem Rechtsstreit befasste Sąd Rejonowy w Koszalinie ersuchte den EuGH um Auslegung des Unionsrechts. Das Ersuchen ging am 3. Februar 2025 beim Gerichtshof ein und betraf Art. 73 Abs. 1 in Verbindung mit Art. 74 Abs. 1 der Richtlinie (EU) 2015/2366 über Zahlungsdienste im Binnenmarkt, der Zweiten Zahlungsdiensterichtlinie (PSD2).
Regelungen der PSD2 zu Erstattung und Haftung
Pflicht zur unverzüglichen Rückzahlung
Art. 73 Abs. 1 PSD2 verpflichtet den Zahlungsdienstleister grundsätzlich dazu, den Betrag eines nicht autorisierten Zahlungsvorgangs unverzüglich zu erstatten. Die Rückzahlung muss spätestens bis zum Ende des Geschäftstags erfolgen, der auf den Tag folgt, an dem der Zahlungsdienstleister von dem Vorgang Kenntnis erhalten hat oder der Vorgang ihm angezeigt wurde.
Voraussetzung ist, dass der Kunde den Zahlungsdienstleister seinerseits unverzüglich über den nicht autorisierten Vorgang unterrichtet. Die in der Richtlinie verwendete Bezeichnung als „Zahler“ enthält dabei keine Feststellung, dass die betroffene Person der konkreten Zahlung zugestimmt hat.
Getrennte Regelungsbereiche der Richtlinie
Für den EuGH sind die sofortige Erstattung und die endgültige Verteilung des Verlusts voneinander zu unterscheiden:
- Art. 73 Abs. 1 PSD2 regelt, wann der Zahlungsdienstleister einen nicht autorisierten Zahlungsbetrag zurückzahlen muss.
- Art. 74 Abs. 1 PSD2 betrifft die Frage, unter welchen Voraussetzungen der Zahler den durch den Vorgang entstandenen Verlust zu tragen hat.
- Art. 69 Abs. 2 PSD2 verpflichtet den Zahlungsdienstnutzer insbesondere dazu, personalisierte Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen.
Eine mögliche Pflichtverletzung des Kunden hebt die Erstattungspflicht daher nicht bereits als solche auf. Sie kann jedoch für einen späteren Anspruch des Zahlungsdienstleisters auf Ersatz des Verlusts erheblich sein.
Grobe Fahrlässigkeit hindert die Erstattung nicht
Nur Betrugsverdacht gegen den Kunden eröffnet eine Ausnahme
Nach der Entscheidung des EuGH genügt der Vorwurf grober Fahrlässigkeit nicht, um die unverzügliche Erstattung zu verweigern oder aufzuschieben. Von dieser Pflicht besteht nur dann eine Ausnahme, wenn berechtigte Gründe für den Verdacht vorliegen, dass der Kunde selbst betrügerisch gehandelt hat. Der Zahlungsdienstleister muss diese Gründe zudem der zuständigen nationalen Behörde schriftlich mitteilen.
Ein solcher Verdacht gegen den Kunden ist vom Betrug eines außenstehenden Phishing-Täters zu unterscheiden. Auch ein aus Sicht der Bank schwerwiegender Verstoß des Kunden gegen seine Sorgfaltspflichten ersetzt die in Art. 73 Abs. 1 PSD2 geregelten Voraussetzungen der Ausnahme nicht.
Erstattung entscheidet nicht über die endgültige Haftung
Die Rückzahlung des nicht autorisierten Betrags bedeutet nicht, dass der Kunde diesen Betrag in jedem Fall dauerhaft behalten darf. Der Zahlungsdienstleister kann nach der Erstattung prüfen, ob der Verlust auf einer vorsätzlichen oder grob fahrlässigen Pflichtverletzung des Kunden beruht.
Will der Zahlungsdienstleister den erstatteten Betrag zurückverlangen, trägt er die Beweislast für die maßgebliche Pflichtverletzung. Er muss somit nachweisen, dass der Kunde seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat und dass hierauf der Verlust beruht. Die Entscheidung stellt nicht fest, dass die Kundin des Ausgangsverfahrens tatsächlich grob fahrlässig gehandelt hat.
Verbraucherschutz durch Trennung der Ansprüche
Erstattung darf nicht vom Ausgang eines Haftungsstreits abhängen
Der Gerichtshof stützt seine Auslegung auf das mit der PSD2 angestrebte hohe Verbraucherschutzniveau. Dürfte der Zahlungsdienstleister die Rückzahlung bereits aufgrund eines Fahrlässigkeitsvorwurfs zurückhalten, müsste der Kunde zunächst ein gerichtliches Verfahren führen, um überhaupt die Erstattung zu erhalten. Damit wären für ihn Belastungen und mögliche Kosten verbunden, obwohl Art. 73 Abs. 1 PSD2 gerade eine schnelle Wiederherstellung des Kontostands vorsieht.
Die unionsrechtliche Regelung trennt deshalb die zeitnahe finanzielle Entlastung des Kunden von der späteren Klärung der Verantwortlichkeit. Sie befreit Zahlungsdienstnutzer zugleich nicht von der Verpflichtung, Zugangsdaten, Bestätigungscodes und andere personalisierte Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen.
Schlussanträge entsprachen der späteren Entscheidung
Generalanwalt Athanasios Rantos hatte bereits in seinen Schlussanträgen vom 5. März 2026 die Auffassung vertreten, dass der Zahlungsdienstleister zunächst erstatten müsse. Verweigert der Kunde anschließend die Rückzahlung, müsse der Zahlungsdienstleister einen geltend gemachten Ersatzanspruch selbst durchsetzen.
Das Urteil erging durch die Erste Kammer des EuGH. Berichterstatter war Richter Bošnjak. Veröffentlicht wurde die Entscheidung am 15. Oktober 2026 in Luxemburg.
Folgen für Banken und Zahlungsdienstnutzer
Eigenständige Prüfung von Erstattung und Rückgriff
Banken und andere Zahlungsdienstleister müssen zwischen dem Anspruch auf unverzügliche Erstattung und einem möglichen späteren Rückgriff unterscheiden. Ermittlungen dazu, ob ein Kunde seine Online-Banking-Daten vorsätzlich oder grob fahrlässig offengelegt hat, erlauben für sich genommen keinen Aufschub der Rückzahlung.
Für das deutsche Recht betrifft diese Trennung insbesondere das Verhältnis zwischen § 675u BGB zur Erstattung nicht autorisierter Zahlungsvorgänge, § 675v BGB zur Haftung des Zahlers und § 675w BGB zu den Nachweisanforderungen. Die unionsrechtliche Auslegung des EuGH ist bei der Anwendung dieser Vorschriften zu beachten.
Polnisches Gericht entscheidet über den Einzelfall
Der EuGH hat den konkreten Zahlungsstreit nicht abschließend entschieden. Im Vorabentscheidungsverfahren legt der Gerichtshof das maßgebliche Unionsrecht verbindlich aus; die tatsächliche Würdigung und die Entscheidung über den geltend gemachten Anspruch verbleiben beim nationalen Gericht.
Das Sąd Rejonowy w Koszalinie hat daher noch zu beurteilen, welche Folgen sich aus der Auslegung für den Ausgangsrechtsstreit ergeben. Dazu gehört insbesondere die weiterhin offene Frage, ob die Kundin ihre Pflichten tatsächlich grob fahrlässig verletzt hat.
Beratung bei nicht autorisierten Zahlungsvorgängen
Die Entscheidung verdeutlicht, dass der Anspruch auf unverzügliche Erstattung und eine mögliche spätere Haftung unterschiedlichen Voraussetzungen unterliegen. Unternehmen, Investoren und Privatpersonen, die mit nicht autorisierten Zahlungsvorgängen, Erstattungsforderungen oder Rückgriffsansprüchen befasst sind, finden bei MTR Legal eine auf den jeweiligen Sachverhalt ausgerichtete Rechtsberatung im Bankrecht.
