EuGH-Urteil in der Rechtssache C-70/25 (Tukowiecka): Erst erstatten, dann über grobe Fahrlässigkeit streiten

Eine Bank darf die sofortige Erstattung eines nicht autorisierten Zahlungsvorgangs nicht allein deshalb verweigern, weil sie meint, der Kunde habe ihn durch grobe Fahrlässigkeit ermöglicht. So hat der Gerichtshof der Europäischen Union mit Urteil vom 15. Oktober 2026 in der Rechtssache C-70/25 (Tukowiecka) entschieden. Die Bank behält jedoch das Recht, in einem zweiten Schritt vom Kunden Ersatz ihres Schadens zu verlangen, wenn sie ihm grobe Fahrlässigkeit nachweist.

I. Sachverhalt und Vorlagefrage

Der Fall betraf die Kundin einer polnischen Bank, die beim Verkauf eines Gegenstands über eine Online-Plattform Opfer von Phishing wurde. Eine Person, die sich als Käufer ausgab, schickte ihr einen gefälschten Link, angeblich zur Bestätigung des Verkaufs. Der Link führte auf eine Seite, die der Website der Bank täuschend ähnlich sah; dort gab die Kundin ihre Zugangsdaten zum Online-Banking ein.

Mit diesen Daten überwies der Täter von ihrem Konto einen Betrag von umgerechnet etwa 700 Euro (ca. 3.000 Zloty). Die Kundin meldete den Vorgang der Bank am nächsten Tag. Die Bank lehnte die Erstattung ab, weil die Kundin ihrer Pflicht zum Schutz ihrer personalisierten Sicherheitsmerkmale grob fahrlässig nicht nachgekommen sei.

Die Kundin erhob Klage. Das Gericht fragte den Gerichtshof, ob Art. 73 Abs. 1 in Verbindung mit Art. 74 Abs. 1 der Richtlinie (EU) 2015/2366 (PSD2) dahin auszulegen ist, dass ein Zahlungsdienstleister dem Zahler die sofortige Erstattung eines nicht autorisierten Zahlungsvorgangs verweigern darf, wenn der Zahler den Schaden durch grob fahrlässige Verletzung seiner Pflichten aus Art. 69 der Richtlinie herbeigeführt hat.

II. Die Entscheidung des Gerichtshofs

Der Gerichtshof hat geantwortet, dass die Bank die sofortige Erstattung nicht unter Berufung auf grobe Fahrlässigkeit des Kunden verweigern darf. Mit anderen Worten: Die Erstattungspflicht besteht auch dann, wenn die Bank das Verhalten des Kunden für grob fahrlässig hält.

1. Grundsatz: Bei einem nicht autorisierten Zahlungsvorgang ist der Zahlungsdienstleister grundsätzlich verpflichtet, den Betrag unverzüglich zu erstatten, spätestens bis zum Ende des folgenden Geschäftstags, nachdem er von dem Vorgang Kenntnis erlangt hat oder ihm dieser angezeigt wurde (Art. 73 Abs. 1 PSD2). Voraussetzung ist, dass der Kunde den Vorgang unverzüglich anzeigt, spätestens 13 Monate nach dem Tag der Belastung (Art. 71 PSD2).
2. Einzige Ausnahme: Die Bank darf die Erstattung nur zurückhalten, wenn sie berechtigte Gründe für den Verdacht eines Betrugs durch den Zahler selbst hat und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt.
3. Grobe Fahrlässigkeit ist keine Ausnahme: Der Umstand, dass der Kunde – nach Ansicht der Bank – den Vorgang ermöglicht hat, weil er seine Sicherheitsmerkmale nicht ausreichend geschützt hat, berechtigt nicht zur Verweigerung der Erstattung. Das Opfer eines Betrugs durch Dritte ist nicht dasselbe wie ein Zahler, der selbst des Betrugs verdächtigt wird.

III. Zwei Stufen: Erstattung, danach ein möglicher Anspruch der Bank

Nach Auffassung des Gerichtshofs erlaubt das Unionsrecht, die Frage der Erstattung eines nicht autorisierten Zahlungsvorgangs von der Frage zu trennen, wer den Schaden letztlich trägt. Daraus ergibt sich folgende Reihenfolge:

1. Zuerst die Erstattung: Die Bank bringt das Konto innerhalb der Frist des Art. 73 Abs. 1 PSD2 wieder auf den Stand, auf dem es sich ohne den nicht autorisierten Zahlungsvorgang befunden hätte.
2. Danach ein möglicher Anspruch: Die Bank kann gegebenenfalls vom Kunden Ersatz ihres Schadens verlangen, wenn sie nachweist, dass der Kunde seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat, insbesondere die Pflicht zum Schutz seiner personalisierten Sicherheitsmerkmale (Art. 74 Abs. 1 PSD2). Zahlt der Kunde nicht freiwillig, muss die Bank den Rechtsweg beschreiten.

Die Beweislast für grobe Fahrlässigkeit trägt die Bank. Das ist nicht neu – es folgt bereits aus Art. 72 Abs. 2 PSD2, wonach die bloße Aufzeichnung der Nutzung eines Zahlungsinstruments nicht ausreicht, um grobe Fahrlässigkeit nachzuweisen. Neu ist dagegen die Reihenfolge: Nicht der Kunde muss die Bank verklagen, um sein Geld zurückzubekommen, sondern die Bank muss – wenn sie es zurückhaben will – das Verschulden des Kunden nachweisen.

Der Gerichtshof begründete dies mit dem Ziel der Richtlinie, einem hohen Verbraucherschutzniveau. Könnte die Bank die Erstattung von vornherein verweigern, würde die Pflicht zur sofortigen Erstattung ihrer Wirksamkeit beraubt (effet utile), und der Kunde müsste selbst ein Verfahren einleiten und die damit verbundenen Kosten und Unannehmlichkeiten tragen.

IV. Praktische Folgen und Grenzen des Urteils

Polnisches Recht: Art. 73 und 74 PSD2 werden in Polen durch Art. 46 des Gesetzes über Zahlungsdienste (ustawa o usługach płatniczych) umgesetzt: Abs. 1 sieht die Erstattungspflicht bis zum Ende des folgenden Geschäftstags vor, Abs. 3 die volle Haftung des Zahlers für Vorgänge, die er vorsätzlich oder durch vorsätzliche oder grob fahrlässige Pflichtverletzung herbeigeführt hat. Nach dem Urteil darf die Bank die Erfüllung von Abs. 1 nicht allein deshalb verweigern, weil ihrer Ansicht nach die Voraussetzungen von Abs. 3 vorliegen.

Reklamationen: Eine Ablehnung der Erstattung, die allein mit dem Vorwurf grober Fahrlässigkeit begründet wird, ist mit der vom Gerichtshof vorgenommenen Auslegung nicht vereinbar. Das Urteil bindet das Gericht in Koszalin und in der Praxis auch andere nationale Gerichte, die über ähnliche Fälle entscheiden; sie, nicht der EuGH, entscheiden die konkreten Streitigkeiten.

Die Haftung des Kunden bleibt bestehen: Das Urteil entbindet Kunden nicht von ihrer Sorgfaltspflicht. Ob die Eingabe von Daten auf einer gefälschten Website grob fahrlässig war, entscheidet im Streitfall ein Gericht im konkreten Fall – nicht die Bank im Reklamationsverfahren.

Gesetzgeberischer Ausblick: Das Urteil betrifft die PSD2. Nach Angaben des Polnischen Bankenverbands (ZBP) soll die geplante Zahlungsdiensteverordnung ein Abweichen von der sofortigen Erstattung zulassen, wenn die Bank einen objektiv begründeten Verdacht grober Fahrlässigkeit des Kunden hat. Nach ihrer Annahme kann sich die Beurteilung also ändern. Der ZBP weist zudem darauf hin, dass die meisten Banken ihre Praxis bereits zuvor an die Erwartungen der polnischen Finanzaufsicht (KNF) und des Präsidenten des Amtes für Wettbewerbs- und Verbraucherschutz (UOKiK) angepasst haben.

Fazit

Das Urteil in der Rechtssache C-70/25 legt die Reihenfolge fest: Zuerst erstattet die Bank den Betrag des nicht autorisierten Zahlungsvorgangs, und erst danach kann sie versuchen, vor Gericht grobe Fahrlässigkeit des Kunden nachzuweisen. Das Risiko kann letztlich weiterhin beim Kunden liegen, doch die Bank darf darüber nicht einseitig entscheiden, indem sie die Erstattung verweigert.