Urteil des Europäischen Gerichtshofs vom 15. Oktober 2026 – C-70/25, Tukowiecka
Banken und andere Zahlungsdienstleister dürfen die Erstattung nicht autorisierter Zahlungsvorgänge nicht allein deshalb verweigern oder verzögern, weil sie dem Kunden grobe Fahrlässigkeit vorwerfen. Das hat der Europäische Gerichtshof (EuGH) in der Rechtssache Tukowiecka klargestellt. Die Entscheidung ist insbesondere für das Beschwerdemanagement, die Betrugsprävention und die Compliance-Prozesse von Zahlungsdienstleistern relevant.
Der Fall: Phishing und eine nicht autorisierte Überweisung
Im Ausgangsverfahren war eine Kundin Opfer eines Phishing-Angriffs geworden. Durch gefälschte Links im Zusammenhang mit einem Online-Marktplatz beziehungsweise dem vermeintlichen Zugang zu ihrem Bankkonto gelangten die Täter an ihre Zugangsdaten. Anschließend wurde eine Überweisung über 3.000 polnische Złoty (PLN) ohne ihre wirksame Autorisierung ausgeführt.
Die Kundin informierte ihre Bank und die Polizei am folgenden Tag. Die Bank lehnte eine Erstattung jedoch ab. Sie berief sich darauf, dass die Kundin grob fahrlässig gehandelt habe.
Im Mittelpunkt des Verfahrens stand damit die Frage, ob ein Zahlungsdienstleister die Erstattung eines nicht autorisierten Zahlungsvorgangs zunächst verweigern darf, wenn er davon ausgeht, dass der Kunde den Betrug durch grobe Fahrlässigkeit ermöglicht hat.
Wir sind Rechtsanwälte für Compliace. Nutzen Sie ein erste Beratung.
Die Entscheidung des EuGH: Erstattung grundsätzlich unverzüglich
Der EuGH stellte auf die Erstattungspflicht nach Art. 73 Abs. 1 der Zahlungsdiensterichtlinie (PSD2, Richtlinie (EU) 2015/2366) ab. Danach muss der Zahlungsdienstleister einen nicht autorisierten Zahlungsvorgang grundsätzlich unverzüglich erstatten. Die Erstattung muss spätestens bis zum Ende des auf die Feststellung oder Anzeige des Zahlungsvorgangs folgenden Geschäftstags erfolgen.
Die Richtlinie sieht eine eng begrenzte Ausnahme vor: Hat der Zahlungsdienstleister berechtigte Gründe für den Verdacht, dass ein Betrug vorliegt, muss er diese Gründe der zuständigen nationalen Behörde schriftlich mitteilen. Die bloße Behauptung, der Kunde habe grob fahrlässig gehandelt, reicht nicht aus, um die Erstattungspflicht ohne Weiteres auszusetzen.
Der EuGH stärkt damit den Schutz von Kunden, deren Konten durch nicht autorisierte Zahlungsvorgänge belastet wurden. Die Erstattung darf nicht allein davon abhängig gemacht werden, ob der Zahlungsdienstleister dem Kunden bereits ein Fehlverhalten vorwirft.
Erstattung und Haftung sind getrennt zu prüfen
Für die rechtliche und organisatorische Bewertung ist die Unterscheidung zwischen der zunächst bestehenden Erstattungspflicht und der anschließenden Haftungsfrage entscheidend.
Nach Art. 74 Abs. 1 PSD2 kann ein Zahlungsdienstnutzer unter bestimmten Voraussetzungen für sämtliche Verluste aus einem nicht autorisierten Zahlungsvorgang haften, wenn er vorsätzlich oder grob fahrlässig gegen bestimmte Pflichten verstoßen hat. Ob eine solche Haftung tatsächlich vorliegt, muss jedoch gesondert geprüft werden.
Aus dem möglichen Vorwurf grober Fahrlässigkeit folgt nicht automatisch, dass die Bank die zunächst vorgesehene Erstattung verweigern darf. Die Erstattung und eine mögliche spätere Rückforderung sind deshalb rechtlich voneinander zu unterscheiden.
Für Zahlungsdienstleister bedeutet das: Sie sollten nicht allein aufgrund einer internen Einschätzung zum Verhalten des Kunden eine Erstattung ablehnen. Vielmehr müssen sie die gesetzlichen Voraussetzungen für die Erstattung und für eine mögliche spätere Inanspruchnahme des Kunden getrennt beurteilen.
Nachweispflichten und Beweisführung
Auch die Nachweispflichten der Zahlungsdienstleister spielen eine wichtige Rolle. Nach Art. 72 Abs. 2 PSD2 genügt die bloße Aufzeichnung der Nutzung eines Zahlungsinstruments nicht in jedem Fall, um nachzuweisen, dass der Zahlungsvorgang autorisiert war oder der Zahlungsnutzer betrügerisch beziehungsweise grob fahrlässig gehandelt hat.
Der Zahlungsdienstleister muss die maßgeblichen Umstände anhand geeigneter Nachweise darlegen. Ein pauschaler Hinweis auf die Verwendung korrekter Zugangsdaten oder auf eine technisch ordnungsgemäß erfasste Transaktion ersetzt diese Prüfung nicht.
Für die Compliance-Praxis folgt daraus, dass Entscheidungen über die Ablehnung einer Erstattung nachvollziehbar dokumentiert und auf konkrete Tatsachen gestützt werden sollten.
Konsequenzen für Compliance und Beschwerdemanagement
Die Entscheidung hat praktische Auswirkungen auf Banken und andere Zahlungsdienstleister. Bestehende Verfahren zur Bearbeitung von Phishing-Fällen und nicht autorisierten Zahlungsvorgängen sollten daraufhin überprüft werden, ob sie die Erstattungspflicht und die spätere Haftungsprüfung ausreichend voneinander trennen.
Besonders relevant sind folgende Maßnahmen:
- Erstattungsprozesse überprüfen: Die gesetzlichen Fristen und Voraussetzungen für die Erstattung nicht autorisierter Zahlungsvorgänge müssen zuverlässig eingehalten werden.
- Ablehnungsgründe dokumentieren: Der bloße Vorwurf grober Fahrlässigkeit sollte nicht als pauschale Begründung für eine verweigerte oder verzögerte Erstattung dienen.
- Ausnahmefälle rechtlich prüfen: Wenn sich der Zahlungsdienstleister auf einen Betrugsverdacht beruft, sind die gesetzlichen Voraussetzungen einschließlich der erforderlichen schriftlichen Mitteilung an die zuständige nationale Behörde zu beachten.
- Beweise sichern: Kommunikationsverläufe, technische Protokolle und weitere relevante Umstände sollten so dokumentiert werden, dass eine rechtliche Prüfung möglich ist.
- Beschwerdemanagement anpassen: Beschwerden über Phishing und nicht autorisierte Zahlungsvorgänge sollten nach einem klaren Verfahren bearbeitet werden, das die Erstattungspflicht nicht mit der abschließenden Haftungsbewertung vermischt.
- Mitarbeiter schulen: Die zuständigen Beschäftigten müssen zwischen der Frage, ob ein Zahlungsvorgang autorisiert war, der gesetzlichen Erstattungspflicht und einer möglichen Haftung des Kunden unterscheiden können.
Diese Maßnahmen helfen, rechtliche Risiken zu reduzieren und Entscheidungen gegenüber Kunden sowie Aufsichtsbehörden nachvollziehbar zu begründen.
Mit der Entscheidung in der Rechtssache Tukowiecka verdeutlicht der EuGH, dass die Erstattung nicht autorisierter Zahlungsvorgänge nicht ohne Weiteres mit dem Hinweis auf eine mögliche grobe Fahrlässigkeit des Kunden verweigert werden darf. Die gesetzlichen Erstattungspflichten nach PSD2 sind grundsätzlich zunächst zu erfüllen; eine mögliche Haftung des Kunden ist davon getrennt zu beurteilen.
Für Banken und Zahlungsdienstleister ist es deshalb wichtig, Erstattungsentscheidungen, Betrugsverdachtsprüfungen und spätere Haftungs- oder Rückforderungsverfahren rechtlich sauber voneinander abzugrenzen. Wir sind Experten und helfen Ihnen dabei.
Fundstelle: EuGH, Urteil vom 15. Oktober 2026, Rechtssache C-70/25, Tukowiecka.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine rechtliche Beratung im Einzelfall.