Die jüngsten Schlussanträge des Generalanwalts Rantos beim EuGH in der Rechtssache C-70/25 markieren eine bedeutsame Fortentwicklung des europäischen Zahlungsdiensterechts. Im Zentrum steht die Frage, unter welchen Voraussetzungen Banken bei nicht autorisierten Zahlungsvorgängen – insbesondere im Zusammenhang mit Phishing-Angriffen – zur Erstattung verpflichtet sind.
Ausgangspunkt: Streit um die Rolle grober Fahrlässigkeit
In der Praxis lehnen Kreditinstitute die Rückerstattung betrügerisch veranlasster Zahlungen häufig mit dem Argument ab, der Kunde habe grob fahrlässig gehandelt, etwa durch Preisgabe sensibler Daten auf gefälschten Webseiten.
Die unionsrechtliche Grundlage bildet dabei die Zahlungsdiensterichtlinie (PSD2), die grundsätzlich eine unverzügliche Erstattungspflicht der Bank bei nicht autorisierten Zahlungsvorgängen vorsieht, zugleich aber Ausnahmen bei vorsätzlichem oder grob fahrlässigem Verhalten des Kunden kennt.
Die zentrale Streitfrage lautet daher:
Darf die Bank die Erstattung bereits im Vorfeld mit dem Hinweis auf eine behauptete grobe Fahrlässigkeit verweigern?
Kernaussage der Schlussanträge: „Erstatten zuerst – prüfen später“
Nach den Schlussanträgen des Generalanwalts sei diese Praxis unionsrechtswidrig. Vielmehr solle gelten:
-
Die Bank habe den Betrag zunächst unverzüglich zu erstatten, sobald ein nicht autorisierter Zahlungsvorgang feststeht.
-
Ein bloßer Verdacht oder Hinweis auf grobe Fahrlässigkeit genüge nicht, um die Auszahlung zu verweigern.
-
Etwaige Ansprüche gegen den Kunden seien in einem nachgelagerten Verfahren geltend zu machen.
Damit wird die bisherige Praxis vieler Kreditinstitute grundlegend in Frage gestellt.
Beweislast und Darlegungsanforderungen
Besondere Bedeutung kommt der Verteilung der Beweislast zu:
-
Die Bank trägt die volle Darlegungs- und Beweislast für das Vorliegen grober Fahrlässigkeit.
-
In tatsächlicher Hinsicht ist dieser Nachweis regelmäßig schwierig, da konkrete Umstände des Nutzerverhaltens oft nicht vollständig rekonstruierbar sind.
Dogmatisch folgt dies aus dem unionsrechtlichen Verbraucherschutzkonzept der PSD2, das eine risikoadäquate Zuordnung zum Zahlungsdienstleister vorsieht. Der Kunde soll gerade nicht das Risiko komplexer IT-Angriffe tragen.
Systematische Einordnung
Die Auffassung des Generalanwalts fügt sich konsequent in die bisherige Linie des EuGH ein:
A. Primat der schnellen Wiederherstellung der Kontosituation
Der Zahlungsdienstleister soll den Zustand herstellen, der ohne den nicht autorisierten Vorgang bestünde. Dies dient der Funktionsfähigkeit des bargeldlosen Zahlungsverkehrs.
B. Trennung von Primär- und Sekundärebene
-
Primärebene: Sofortige Erstattung
-
Sekundärebene: Rückgriff gegen den Kunden bei nachgewiesener grober Fahrlässigkeit
C. Effektiver Verbraucherschutz als Leitprinzip
Die Richtlinie verfolgt ausdrücklich das Ziel, das Vertrauen in elektronische Zahlungssysteme zu stärken. Eine vorgelagerte Ablehnung würde dieses Ziel unterlaufen.
Praktische Konsequenzen
a) Für Bankkunden
-
Deutlich verbesserte Position bei Phishing-Fällen
-
Wegfall des unmittelbaren „Rechtfertigungsdrucks“
-
Höhere Erfolgsaussichten auch bei bereits abgelehnten Ansprüchen
b) Für Kreditinstitute
-
Anpassung interner Prüfungs- und Entscheidungsprozesse erforderlich
-
Pauschale Ablehnungsschreiben werden rechtlich angreifbar
-
Verlagerung der Streitigkeiten in nachgelagerte Rückforderungsprozesse
Die Entscheidung führt damit zu einer strukturellen Verschiebung des Prozessrisikos zulasten der Banken.
Bewertung und Ausblick
Sollte der Europäische Gerichtshof den Schlussanträgen folgen – wovon erfahrungsgemäß häufig auszugehen ist – ergibt sich eine klare Leitlinie:
Die Erstattung ist der Regelfall, die Verweigerung die begründungsbedürftige Ausnahme.
Für die anwaltliche Praxis eröffnet sich zugleich ein erhebliches Potenzial, bestehende Ablehnungsentscheidungen kritisch zu überprüfen und Rückforderungsansprüche konsequent durchzusetzen.
Es verbleiben allerdings einige offene rechtliche Fragen, die noch zu klären wären.
Fazit
Die Rechtssache C-70/25 steht exemplarisch für eine zunehmend verbraucherschutzorientierte Auslegung des Zahlungsdiensterechts.
Die wesentliche Botschaft lautet:
Nicht der Kunde muss seine Unschuld beweisen – sondern die Bank das Gegenteil.
Damit setzt sich eine klare Tendenz fort, die Haftungsrisiken im digitalen Zahlungsverkehr primär den professionellen Marktteilnehmern zuzuweisen.