- Gericht
- Gerichtshof der Europäischen Union, Erste Kammer
- Entscheidung
- Urteil vom 15.10.2026, Rechtssache C-70/25 [Tukowiecka]
- Parteien
- N.O. gegen PKO BP S.A.
- Vorlagegericht
- Sąd Rejonowy w Koszalinie (Rayongericht Koszalin, Polen), Entscheidung vom 23.01.2025
- Berichterstatter
- M. Bošnjak · Generalanwalt A. Rantos, Schlussanträge vom 05.03.2026
- Normen
- Art. 73 Abs. 1, Art. 74 Abs. 1, Art. 69, Art. 71, Art. 72 Abs. 2, Art. 107 Abs. 1 der Richtlinie (EU) 2015/2366 (PSD2) · in Deutschland umgesetzt in §§ 675u, 675v, 675w, 676b BGB
- Volltext
- EUR-Lex, CELEX 62025CJ0070
Eine Bank darf die unverzügliche Erstattung einer nicht autorisierten Zahlung nicht mit der Begründung verweigern, der Kunde habe den Vorgang grob fahrlässig ermöglicht. Art. 73 Abs. 1 PSD2 kennt dafür keine Ausnahme – die einzige Ausnahme betrifft den Verdacht eines Betrugs des Kunden selbst, und sie verlangt eine schriftliche Mitteilung an die zuständige nationale Behörde. Ob der Kunde am Ende haftet, wird erst danach geklärt, und zwar auf Betreiben der Bank. Für die deutsche Praxis heißt das: Erst erstatten nach § 675u BGB, dann streiten über § 675v Abs. 3 Nr. 2 BGB.
Der Sachverhalt
Die Klägerin unterhielt bei der polnischen PKO BP ein Girokonto. Sie bot auf einem Online-Auktionsportal einen Artikel zum Verkauf an. Ein unbekannter Täter gab sich als Kaufinteressent aus und sandte ihr einen Link, der den Eindruck erweckte, er stamme von diesem Portal und diene der Bestätigung des Verkaufs. Der Link führte auf eine Website im Erscheinungsbild ihrer Bank, auf der sie ihre Zugangsdaten für das Online-Banking eingab.
Mit diesen Daten überwies der Täter 3.000 Zloty, rund 705 Euro, auf ein von ihm geführtes Konto. Entscheidend ist, wie das Urteil den technischen Ablauf beschreibt: Der Täter hat den Zahlungsvorgang mit einem per SMS übermittelten Bestätigungscode autorisiert, den er aufgrund der Täuschung von der Klägerin erlangt hatte (Rn. 15). Der Vorgang wird gleichwohl durchgehend als nicht autorisierter Zahlungsvorgang behandelt.
Am folgenden Tag bemerkte die Klägerin den Betrug und informierte sofort die Bank und die Polizei (Rn. 16). Der Täter konnte nicht ermittelt werden. Die Bank verweigerte die Erstattung mit der Begründung, die Kundin habe ihre Pflicht, das Zahlungsinstrument sorgfältig aufzubewahren und Unbefugten nicht zugänglich zu machen, grob fahrlässig verletzt (Rn. 17).
Bemerkenswert ist die Position, die die Bank im Verfahren vertrat: Sie könne die Voraussetzungen ihrer Haftung selbständig beurteilen und sei von der Erstattungspflicht befreit, wenn sie eine grobe Fahrlässigkeit des Zahlers feststelle (Rn. 20). Das vorlegende Gericht wies darauf hin, dass in Polen keine Klagen von Banken gegen Verbraucher anhängig seien, dafür aber zahlreiche Klagen von Verbrauchern gegen Banken – die Ausnahme sei zur Regel geworden (Rn. 23 f.).
Die Entscheidung
Art. 73 Abs. 1 und Art. 74 Abs. 1 der Richtlinie (EU) 2015/2366 […] sind dahin auszulegen, dass ein Zahlungsdienstleister die unverzügliche Erstattung des Betrags eines nicht autorisierten Zahlungsvorgangs an einen Zahler nicht mit der Begründung verweigern darf, dass dieser Zahler diesen Zahlungsvorgang durch eine grob fahrlässige Verletzung seiner Pflichten aus Art. 69 der Richtlinie 2015/2366 ermöglicht habe.
1. Der Wortlaut kennt nur eine Ausnahme
Art. 73 Abs. 1 PSD2 verpflichtet die Bank, den Betrag unverzüglich zu erstatten, auf jeden Fall spätestens bis zum Ende des folgenden Geschäftstags, nachdem sie von dem Zahlungsvorgang Kenntnis erhalten hat oder dieser ihr angezeigt wurde (Rn. 31). Die Vorschrift sieht nur eine einzige Ausnahme vor: berechtigte Gründe für den Verdacht, dass ein Betrug vorliegt, verbunden mit der schriftlichen Mitteilung dieser Gründe an die zuständige nationale Behörde (Rn. 33). Für den Verdacht, der Zahler habe die Zahlung grob fahrlässig ermöglicht, existiert keine Ausnahme (Rn. 34).
2. Erst erstatten, dann streiten – das Kernstück
Zum Verhältnis der beiden Normen legt der Gerichtshof in Rn. 38 zwei denkbare Auslegungen nebeneinander und entscheidet sich für die zweite: Die abweichende Regelung des Art. 74 beziehe sich nur auf die Endgültigkeit der Erstattung, wobei der Zahlungsdienstleister die unverzügliche Erstattung „in einem ersten Schritt vornehmen muss, bevor er gegebenenfalls in einem zweiten Schritt durch die hierfür vorgesehenen Rechtsbehelfe vom Zahler die Erstattung von infolge nicht autorisierter Zahlungsvorgänge entstandenen Verlusten verlangen kann“.
Rn. 42 fasst das zusammen: Art. 73 verpflichtet zur unverzüglichen Erstattung, während Art. 74 die Aufteilung der Haftung zu einem späteren Zeitpunkt regelt.
3. Die Last der Rechtsverfolgung liegt bei der Bank
Rn. 45 nennt den Grund. Die gegenteilige Auslegung hätte nicht nur zur Folge, dass der Pflicht zur unverzüglichen Erstattung die praktische Wirksamkeit genommen würde, sondern auch, dass der Zahlungsdienstnutzer „gezwungen wäre, seine Ansprüche gegebenenfalls vor den zuständigen Gerichten geltend zu machen und die sich daraus ergebenden Nachteile, insbesondere etwaige Verfahrenskosten, zu tragen“. Eine solche Verteilung der Verantwortlichkeiten und Risiken zum Nachteil des Zahlers sei mit dem Ziel eines hohen Verbraucherschutzniveaus schwer vereinbar.
4. Die Beweislast liegt bei der Bank
Art. 72 Abs. 2 PSD2 legt dem Zahlungsdienstleister die Beweislast für die grobe Fahrlässigkeit des Zahlers auf; diese Beweislastverteilung spiegelt nach Rn. 40 die allgemeine Systematik der Art. 73 und 74 wider. In Deutschland entspricht dem § 675w BGB, wonach die aufgezeichnete Nutzung eines Zahlungsinstruments für sich allein nicht notwendigerweise ausreicht, um eine Autorisierung oder eine grobe Fahrlässigkeit zu beweisen.
5. Vollharmonisierung
Die Entstehungsgeschichte stützt dieses Ergebnis. Art. 60 der Vorgängerrichtlinie 2007/64/EG sah überhaupt keine Ausnahme von der Erstattungspflicht vor; ebenso wenig der ursprüngliche Kommissionsvorschlag COM(2013) 547 final. Erst im Gesetzgebungsverfahren wurde die Ausnahme für den Betrugsverdacht eingefügt, „ohne es den Mitgliedstaaten zu gestatten, andere als die in der Richtlinie 2015/2366 enthaltenen Bestimmungen beizubehalten oder einzuführen, wie sich aus deren Art. 107 Abs. 1 ergibt“ (Rn. 49).
Ergänzend stellt der Gerichtshof klar, dass dieses Verständnis die alternative Streitbeilegung nach Art. 102 PSD2 – in Deutschland das Ombudsmannverfahren – nicht umgeht (Rn. 50 f.).
Was das für deutsche Verfahren bedeutet
Das deutsche Recht ist konstruktiv sogar klarer als das polnische. § 675u BGB gibt dem Kunden den Erstattungsanspruch. § 675v Abs. 3 Nr. 2 BGB gibt der Bank bei Vorsatz oder grober Fahrlässigkeit einen eigenen Schadensersatzanspruch. Das sind zwei getrennte Ansprüche, genau in der Zwei-Schritt-Logik aus Rn. 38.
In der Praxis wird diese Trennung aber eingeebnet: Banken rechnen mit dem behaupteten Schadensersatzanspruch gegen den Erstattungsanspruch auf oder berufen sich auf ein Zurückbehaltungsrecht – und zahlen deshalb von vornherein nicht. Das Ergebnis ist exakt das, was Rn. 45 für richtlinienwidrig hält: Der Kunde muss klagen und trägt das Prozessrisiko.
| Schritt | Wer handelt | Anspruch |
|---|---|---|
| 1. Erstattung unverzüglich, spätestens Ende des folgenden Geschäftstags | die Bank, von sich aus | § 675u BGB / Art. 73 Abs. 1 PSD2 |
| 2. Haftungsverteilung danach | die Bank, auf dem Rechtsweg | § 675v Abs. 3 Nr. 2 BGB / Art. 74 Abs. 1 PSD2 |
Die offene Frage. Der Gerichtshof hat über die Zulässigkeit einer Aufrechnung nach § 387 BGB nicht ausdrücklich entschieden; sie war nicht Gegenstand der Vorlagefrage. Die tragenden Erwägungen sprechen allerdings deutlich dagegen, dass eine Bank den unionsrechtlich determinierten Erstattungsanspruch durch Aufrechnung mit ihrem erst zu beweisenden Schadensersatzanspruch neutralisieren darf. Wer die Aufrechnung zulässt, verlagert die Klagelast auf den Kunden – und genau das soll Art. 73 verhindern.
Prozessual eröffnet das drei Wege, die vorher kaum diskutiert wurden: die Leistungsklage auf Erstattung mit dem Vortrag, dass eine Aufrechnung gegen diesen Anspruch unzulässig ist; das Teilurteil nach § 301 ZPO, wenn der Erstattungsanspruch entscheidungsreif ist und nur noch über den Gegenanspruch gestritten wird; und das Vorbehaltsurteil nach § 302 ZPO, wenn die Bank mit einem Schadensersatzanspruch aufrechnet, dessen Voraussetzungen noch aufzuklären sind.
Das OLG Oldenburg hatte in einem vergleichbaren Fall einen Erstattungsanspruch unter Berufung auf § 675v Abs. 3 Nr. 2 BGB abgelehnt. Diese Begründungsreihenfolge – zuerst die grobe Fahrlässigkeit prüfen, dann die Erstattung versagen – ist nach Rn. 38 und 42 angreifbar.
Zeigen Sie die nicht autorisierten Zahlungen schriftlich an, listen Sie jede Buchung mit Datum, Betrag und Empfänger auf und setzen Sie eine kurze Frist zur Erstattung. Nehmen Sie ausdrücklich Bezug auf § 675u BGB und auf EuGH, Urteil vom 15.10.2026, C-70/25. Fordern Sie, falls die Bank die Erstattung zurückhält, die Mitteilung der berechtigten Gründe für einen Betrugsverdacht und die Bestätigung, dass diese Gründe der zuständigen nationalen Behörde schriftlich mitgeteilt wurden. Das ist nach Art. 73 Abs. 1 PSD2 die einzige Grundlage, auf der zurückgehalten werden darf.
Die wichtigste Abgrenzung: autorisiert oder nicht autorisiert
Das Urteil hilft bei nicht autorisierten Zahlungen. Die Grenze verläuft nicht dort, wo Betroffene sie vermuten.
Die Klägerin hatte ihre Zugangsdaten preisgegeben, und der Täter hat die Überweisung mit einem echten, von ihr herausgegebenen SMS-Bestätigungscode freigegeben (Rn. 15). Trotzdem war die Zahlung nicht autorisiert, denn die Autorisierung ist die Zustimmung des Zahlers zu diesem konkreten Zahlungsvorgang, nicht die technische Verwendung eines gültigen Codes.
Das hat unmittelbare Folgen für die heute verbreiteten Maschen. Wenn Täter ein App-Freigabeverfahren wie OpenbankSign, pushTAN oder SecureGo auf einem eigenen Gerät aktivieren und anschließend selbst überweisen, bleibt es eine nicht autorisierte Zahlung – auch wenn das Opfer den Aktivierungscode herausgegeben hat. Die Standardantwort „das Verfahren wurde ordnungsgemäß durchlaufen, also haben Sie autorisiert“ trägt nicht.
Anders liegt es, wenn Sie die Überweisung nach einem Anruf selbst in Ihrer eigenen App freigegeben haben. Dann ist die Zahlung autorisiert, § 675u BGB greift nicht, und es kommen Schadensersatzansprüche wegen Verletzung der Schutz- und Warnpflichten der Bank in Betracht. Diese Konstellation habe ich an einem konkreten Fall ausführlich dargestellt: Falscher Bankmitarbeiter am Telefon – wann die Bank Ihr Geld erstatten muss.
Was sich nicht ändert
Eine ehrliche Einordnung gehört dazu, auch wenn die Schlagzeilen anders klingen.
Das Urteil verschiebt die Reihenfolge, nicht das Ergebnis. Wer tatsächlich grob fahrlässig gehandelt hat, trägt den Schaden am Ende weiterhin – die Bank muss ihn dann nur zurückfordern, statt die Zahlung von vornherein zu verweigern. Praktisch ist das trotzdem erheblich: Wer sein Geld bereits zurück hat, verhandelt aus einer völlig anderen Position als jemand, der darauf wartet.
Unverändert bleiben außerdem die Fristen. Die Anzeige muss unverzüglich nach Feststellung erfolgen, spätestens 13 Monate nach dem Tag der Belastung (Art. 71 Abs. 1 PSD2, § 676b Abs. 2 BGB). Und unverändert bleibt, dass deutsche Gerichte den Maßstab der groben Fahrlässigkeit in den vergangenen Jahren eher streng gegenüber Kunden angelegt haben. Der Unterschied ist, dass diese Frage nun an die zweite Stelle rückt.
Was sich regelmäßig zeigt: Der Vorwurf der groben Fahrlässigkeit kommt als Textbaustein, ohne Auseinandersetzung mit dem konkreten Ablauf des Angriffs und ohne die Protokolle, die ihn belegen müssten. Genau das reicht nach diesem Urteil nicht mehr, um die Erstattung aufzuschieben.
Häufige Fragen
Gilt das Urteil auch für deutsche Banken?
Ja. Der Gerichtshof legt die PSD2 aus, die in allen Mitgliedstaaten gilt und in Deutschland in den §§ 675c ff. BGB umgesetzt ist. Die Auslegung bindet alle nationalen Gerichte. Dass der Ausgangsfall aus Polen stammt, ändert daran nichts.
Meine Bank prüft seit Wochen. Muss ich das hinnehmen?
Nein. Die Erstattung hat unverzüglich zu erfolgen, spätestens bis zum Ende des Geschäftstags, der auf Ihre Anzeige folgt. Eine laufende interne Prüfung auf grobe Fahrlässigkeit schiebt diese Frist nicht hinaus.
Darf die Bank gar nichts zurückhalten?
Nur in einem Fall: wenn sie berechtigte Gründe für den Verdacht hat, dass Sie selbst betrügerisch handeln, und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt. Der Betrug eines Dritten genügt dafür nicht, der Vorwurf unvorsichtigen Verhaltens ebenso wenig.
Ich habe meine Zugangsdaten selbst eingegeben. Hilft mir das Urteil?
Ja, genau das war der Fall der Klägerin. Sie hatte ihre Zugangsdaten auf einer gefälschten Seite eingegeben, und der Täter hat die Überweisung mit einem erschlichenen Bestätigungscode freigegeben. Der Vorgang blieb dennoch eine nicht autorisierte Zahlung.
Ich habe die Überweisung selbst in der App freigegeben. Auch dann?
Nein. Dann war die Zahlung autorisiert, und § 675u BGB greift nicht. In dieser Konstellation kommen Schadensersatzansprüche wegen verletzter Schutz- und Warnpflichten der Bank in Betracht, etwa bei auffälligen Transaktionsketten oder bei der Empfängerüberprüfung.
Was ist, wenn die Bank mit Schadensersatz aufrechnet?
Diese Frage hat der Gerichtshof nicht ausdrücklich entschieden. Die tragenden Erwägungen sprechen aber dagegen: Wer die Aufrechnung zulässt, zwingt den Kunden doch wieder zur Klage – und genau das hält Rn. 45 für unvereinbar mit dem Schutzzweck der Richtlinie.
Sie sind der Kern jeder Auseinandersetzung über Kartenzahlungen, und sie sind der Grund, warum pauschale Ablehnungen nicht tragen:
Auf welchem Gerät und mit welchem Wallet-Token wurde jede einzelne Zahlung ausgelöst? · Wann und über welchen Kanal wurde die Karte diesem Wallet hinzugefügt? · Welche Authentifizierung fand bei dieser Hinzufügung statt? · An welche Rufnummer oder welches Gerät wurde ein etwaiger Bestätigungscode gesandt? · Welche konkreten Authentifizierungsdaten liegen je Buchung vor? · Welche Warnungen hat das Betrugserkennungssystem bei den Transaktionsserien ausgelöst, und was ist daraufhin geschehen?
Verweigert die Bank die Auskunft mit dem Hinweis auf interne Kriterien, ist das kein Nachweis, sondern dessen Gegenteil. Die Beweislast liegt bei ihr.
Wie ich Ihnen helfe
Als Fachanwalt für IT-Recht, Rechtsanwalt seit 1994, habe ich über 1.500 Mandate zu Phishing und Internetbetrug bearbeitet. Ich prüfe, ob Ihr Fall eine nicht autorisierte Zahlung betrifft, fordere die Protokolle bei Ihrer Bank an und setze den Erstattungsanspruch mit Fristsetzung durch – außergerichtlich und, wenn nötig, vor Gericht. Wenn die Aussichten schlecht sind, sage ich Ihnen das.
Die Ersteinschätzung ist kostenlos. Telefon 0511 47 39 06-0 · anwalt@thomas-feil.de · Hannover, bundesweit tätig · 4,7 von 5 Sternen bei 67 Google-Rezensionen · Anwalt bei Phishing
Stand: 16.10.2026. Dieser Beitrag gibt allgemeine Hinweise und ersetzt keine Prüfung des Einzelfalls.