Aktenzeichen 2 O 312/22
Landgericht Karlsruhe
lm Namen des Volkes
Urteil
ln dem Rechtsstreit
hat das Landgericht Karlsruhe – Zivilkammer II – durch den Vorsitzenden Richter am Landgericht … als Einzelrichter aufgrund der mündlichen Verhandlung vom 31.08.2023 für Recht erkannt:
1. Die Beklagte wird verurteilt, das Konto des Klägers mit der IBAN DE … valutengerecht wieder auf den Stand zu bringen, auf dem sich dieser ohne die Verfügungen im Zeitraum vom 11.04.2022 bis 20.04.2022 in Höhe von insgesamt 42.182,68 € befunden hätte.
2. Die Beklagte wird weiter verurteilt, an den Kläger vorgerichtliche Rechtsverfolgungskosten in Höhe von 1.877,11 € nebst Zinsen in Höhe von 5 %-Punkten über Basiszinssatz seit 25.01.2023 zu zahlen.
3. lm Übrigen wird die Klage abgewiesen
4. Die Beklagte hat die Kosten des Rechtsstreits zu tragen
5. Das Urteil ist gegen Sicherheitsleistung in Höhe von 55.000,00 € vorläufig vollstreckbar
Tatbestand
Der Kläger nimmt das beklagte Kreditinstitut auf valutengerechte Rückgängigmachung der im Zeitraum vom 1 1.04.2022 bis 20.04.2022 auf seinem,Girokonto bei der Beklagten vorgenommenen 122 Belastungsbuchungen in Höhe von insgesamt 42.182,68 € in Anspruch, die nach seinem Vorbringen von ihm nicht autorisiert waren.
Der Kläger unterhält bei der Beklagten ein Girokonto mit der IBAN DE … mit … (Debitkarte). Für Bargeldabhebungen am Geldautomat bestand seit den Jahren 2005/06 ein täglicher Verfügungsrahmen von 1.000 €.
lm Zeitraum vom 1 1.04.2022 bis 20.04.2022 wurden 122 Belastungsbuchungen auf dem Girokonto des Klägers ausgeführt, die im Raum 8… veranlasst wurden. Wegen der Einzelheiten der Buchungen wird auf die Klageschrift (Seiten 2 – 6) und die vom Kläger eingereichte Anlage K 1 Bezug genommen.
Bei Antritt einer Urlaubsreise am 21.04.2022 schlug eine Kreditkartenzahlung des Klägers am Flughafen fehl. Bei der anschließenden Prüfung des Kontostands bemerkte der Kläger, dass ein Negativsaldo von 970 € angezeigt wurde statt des erwarteten Kontoguthabens von mindestens 42.000 €. Er rief sofort bei der Beklagten an und bat um Klärung. Die Beklagte sperrte unverzüglich das Konto. Der Kläger erstattete noch am 21.04.2022 gegen 20 Uhr auf dem Polizeirevier … Strafanzeige gegen Unbekannt. Er stellte der Polizei auch Screenshots der Konten und der Buchungen sowie eine Tabelle mit den Buchungszeitpunkten und -orten zur Verfügung. Daraufhin konnte ein Teil der Videoaufzeichnungen an Tankstellen usw. sichergestellt und mögliche Personen identifiziert werden.
Mit Schreiben vom 04.08.22 lehnte die Beklagte eine Einstandspflicht für den Schaden ab (Anlage K 3). Durch Anwaltsschreiben vom 17.08.2022 ließ der Kläger die Beklagte unter Setzung einer Frist bis zum 26.08.2022 zum Schadensausgleich âuffordern (Anlage K 4).
Der Kläger trägt vor, er habe die streitgegenständlichen Buchungen nicht autorisiert. Er habe das Apple-Pay-Bezahlverfahren, das die Täter auf einem fremden Smartphone eingerichtet hätten, nicht wissentlich, absichtlich oder vorsätzlich aktiviert und/oder autorisiert, weder auf seinem eigenen Iphone noch auf dem Smartphone einer dritten Person, Die Beklagte habe insoweit auch auf die gesetzlich vorgeschriebene Zwei-Faktor-Authentifizierung (2FA) im Rahmen der Anmeldung/Registrierung verzichtet (Anlage K 15). Erst Mitte Juli 2023 habe die Beklagte eine Geräteerkennung implementiert (Anlage K 17).
Der Kläger trägt weiter vor, er habe sein Passwort hinreichend gesichert in einem Passwordsafe mit AES-256 bit-Verschlüsselung verwahrt. Er behauptet, es habe Datenlecks bei der Beklagten gegeben, wie sich anhand von zwei am 08.08.2023 an ihn versandten SMS (Aufforderung zum ,,Datenabgleich“) zeige (Anlage K 18). Die Möglichkeit, bis zu einem Betrag von 5.000 € mit der EC-Karte online zu verfügen und vor Ort zu bezahlen, sei ihm nicht bekannt gewesen und von ihm nicht genutzt worden.
Der Kläger ist derAnsicht, ihm stehe ein Erstattungsanspruch nach § 675u Satz 2 BGB zu. Hilfsweise stützt der Kläger die Klage auf einen Schadensersatzanspruch gegen die Beklagte mit der Begründung, die Beklagte habe die Buchungen nicht zulassen dürfen, da zum Tatzeitpunkt ein Verfügungsrahmen von 1.000 €/Woche vertraglich vereinbart gewesen sei. Die Beklagte habe dieses Limit nicht aufheben oder ändern lassen dürfen, ohne sich über die Urheberschaft des Veranlassenden Gewissheit zu verschaffen. Ein solches Kontolimit diene maßgeblich dazu, die Ausführung nichtautorisierter Überweisungen von Kriminellen zu verhindern. Auch seien Anzahl und Höhe der Bezahlvorgänge vielfach höher als in der Vergangenheit gewesen. Die Beklagte habe dies leicht erkennen können und diese Transaktionen verhindern können und müssen.
Der Kläger beantragt,
1. die Beklagte zu verurteilen, das Konto des Klägers mit der IBAN DE … valutengerecht wieder auf den Stand zu bringen, auf dem dieser sich ohne die Verfügungen im Zeitraum vom 11.04.2022 bis 20.04.2022 in Höhe von € 42.182,68 nebst Zinsen in Höhe von 5 Prozentpunkten über Basiszinssatz seit Rechtshängigkeit befunden hätte,
hilfsweise
die Beklagte zu verurteilen, an den Kläger € 42.182,68 nebst Zinsen in Höhe von 5 %- Punkten über Basiszinssatz seit Rechtshängigkeit zu zahlen;
2. die Beklagte zu verurteilen, an den Kläger vorgerichtliche Rechtsverfolgungskosten in Höhe von € 1.877,11 nebst Zinsen in Höhe von 5 %-Punkten über Basiszinssatz seit Rechtshängigkeit zu zahlen.
Die Beklagte beantragt,
die Klage abzuweisen
Die Beklagte trägt vor, der Kläger habe die Buchungen über,,Apple-Pay“ autorisiert‘ Er habe den Auftrag für die Einrichtung dieses Bezahlverfahrens mit der Gesichtserkennung (Face-lD) in der … freigegeben nach vorangegangener Anmeldung in der … mittels Anmeldename und PIN (Anlage B 1). Der Kläger nutze das push-TAN-Verfahren seit dem 19.09.2017. Die letzte Autorisierung vor der streitgegenständlichen Einbindung der … in Apple Pay sei am 03.03.2022 erfolgt (Anlage B 3). Am 11.04.2022 um 17:01 Uhr habe er mittels der auf seinem Gerät aufgelaufenen pushTAN, deren App er mittels Gesichtserkennung geöffnet habe, seine … für die lntegration in eine Apple Wallet wissentlich freigegeben (Anlage B 5). Er habe den roten Button ,,Auftrag freigeben“ gedrückt.
Für die streitgegenständlichen Transaktionen mittels Elektronik Cash-Online sei ein Betrag von 5.000 € täglich als Verfügungsrahmen standardmäßig vereinbart gewesen. Dieser habe im Verhältnis zum Kläger seit 26.06.2020 gegolten, dem Anforderungsdatum der ….
Anmeldename und PIN, die nur dem Kunden vorlägen, ermöglichten den Zugang zum Online-Banking. lm Falle, dass andere Personen auf sein Online-Banking Zugang gehabt hätten, müssten dem Kläger diese Anmeldedaten abhandengekommen sein. Dies betreffe mithin die Sphäre des Klägers. Eine starke Kunden-Authentifizierung sei für die Vornahme einzelner Transaktionen normiert, nicht jedoch für die Registrierung zum Online-Banking erforderlich. Die Beklagte beruft sich ferner auf ein überwiegendes Mitverschulden des Klägers, weil er nicht regelmäßig zumindest alle zwei Tage auf sein Online-Banking zugegriffen und den Kontostand geprüft habe. ln diesem Fall wären ihm Ungereimtheiten zeitnah aufgefallen. Vorsorglich rechnet die Beklagte auf mit einem Schadensersatzanspruch gegen den Kläger, soweit er die Autorisierung ,,aus Versehen“ vorgenommen habe. Auch habe er seine Daten nicht ausreichend gesichert.
Der Rechtsstreit ist durch Beschluss der Kammer vom 04.04 .2023 dem Einzelrichter zur Entscheidung übertragen worden.
Wegen der weiteren Einzelheiten des Parteivorbringens wird auf die bis zum Schluss der mündlichen Verhandlung gewechselten Schriftsätze und vorgelegten Anlagen Bezug genommen.
Entscheidungsgründe
Die zulässige Klage ist mit Ausnahme der Zinsnebenforderung hinsichtlich der verlangten Kontoberichtigung begründet. Der Kläger kann von der Beklagten gemäß § 675u Satz 2 BGB die wertstellungsgerechte Wiedergutschrift des Betrags von 42.182,68 € beanspruchen. Ein zusätzlicher Anspruch auf Rechtshängigkeitszinsen besteht bei valutengerechter Wiedergutschrift dagegen
nicht. lnsoweit liegt keine Geldforderung i.S. von § 291 BGB vor. Die Kosten des außergerichtlichen Vorgehens sind dem Kläger unter dem Gesichtspunkt des Verzugs nach Selbstmahnung der Beklagten (Anlage K 3) zu ersetzen.
Dem Kläger steht gegen die Beklagte ein Anspruch auf valutengerechte Gutschrift des Betrags von 42.182,68 € aus § 675u Satz 2 BGB zu
(1.). Die Beklagte vermag diesem Anspruch auch keinen gegenläufigen Schadensersatzanspruch nach § 675v BGB entgegenzuhalten, seies nach Treu und Glauben (S 242 BGB) im Wege der dolo-agit-Einrede oder durch Aufrechnung gegen den Klageanspruch (§§ 387, 389 BGB). Ein grob fahrlässiger Verstoß gegen seine Verhaltenspflichten in Bezug auf das eingerichtete Online-Banking, der ihn gegenüber der Beklagten zur Leistung von Schadensersatz verpflichten würde (S 675v Abs. 3 BGB), fällt dem Kläger nicht zur Last (2.). lhn trifft auch kein sonstiges Mitverschulden an der Schadensentstehung oder hinsichtlich der Höhe des eingetretenen Schadens (3.). Ob die Voraussetzungen des Ausschlusstatbestands des g 675v Abs. 4 BGB vorliegen, kann dahinstehen (4.). Die Beklagte schuldet danach valutengerechte Kontoberichtigung. Rechtshängigkeitszinsen kann der Kläger darüber hinaus nicht beanspruchen, zumal er eine Vorabgutschrift erhalten hat (5.). Er hat ferner Anspruch auf Erstattung vorgerichtlich angefallener Rechtsanwaltskosten nebst Rechtshängigkeitszinsen (6.). Im Übrigen war die Klage abzuweisen.
1. Dem Kläger steht ein Anspruch auf Gutschrift von 42.182,68 € auf seinem Girokonto nach §§ 675u, 675f BGB wegen nicht autorisierter Zahlungsvorgänge zu, für welche die Beklagte keinen Aufwendungsersatz beanspruchen kann.
a) Nach § 675u Sätze 1 und 2 BGB hat der Zahlungsdienstleister des Zahlers im Fall eines nicht autorisierten Zahlungsvorgangs gegen den Zahler (Kontoinhaber; hier der Kläger) keinen Anspruch auf Erstattung seiner Aufwendungen. Vielmehr ist er verpflichtet, dem Zahler den Zahlungsbetrag unverzüglich zu erstatten und, sofern der Betrag einem Zahlungskonto belastet worden ist, dieses Zahlungskonto wieder auf den Stand zu bringen, auf dem es sich ohne die Belastung durch den nicht autorisierten Zahlungsvorgang befunden hätte.
Das Vorliegen einer Autorisierung richtet sich nach § 675j BGB, wobei die die Autorisierung darstellende Zustimmung des Zahlers zu dem Zahlungsvorgang als Einwilligung oder – sofern vereinbart – als Genehmigung erfolgen kann. Mit dem Zahlungsvorgang ist häufig der Geldfluss im Rahmen der vertraglichen vom Zahlungsdienstleister geschuldeten Leistung gemeint, also bei bargeldloser Zahlung im Deckungsverhältnis derjenige vom Konto des Zahlers bis zum Eingang auf dem Konto des Zahlungsdienstleisters des Empfängers (Grüneberg/Grüneberg, BGB, 82. Aufl., § 675f Rn. 18). lst die Autorisierung eines ausgeführten Zahlungsvorgangs streitig, hat der Zahlungsdienstleister den Nachweis der Authentifizierung zu erbringen (§ 675w BGB). Hierbei können unter strengen Maßstäben die Grundsätze des Anscheinsbeweises Anwendung finden (vgl. BGH, Urteil vom 26.01.2016 – Xl ZR 91/14, NJW 2016, 2024).
b) Eine wirksame Autorisierung liegt für die hier streitgegenständlichen 122 Zahlungsvorgänge nicht vor. Die Beklagte hat keine tragfähigen Anhaltspunkte für eine Autorisierungder einzelnen Transaktionen durch den Kläger vorgebracht. Denn allein die Aufzeichnung der verwendeten Freigabe (auf einem fremden Gerät) genügt nicht, um den Nachweis der Autorisierung des Zahlungsvorgangs zu erbringen (§ 675w Satz 2 und Satz 3 Nr. I BGB). Es ist insoweit auf den einzelnen Zahlungsvorgang abzustellen, nicht etwa auf die Einrichtung des Bezahlverfahrens vor der ersten Transaktion. Die Zahlungsvorgänge liefen auf einem fremden Gerät ab. Ein Zutun des Klägers war dazu nicht erforderlich. Die Face-lD auf dem fremden Gerät ist diejenige des Täters, der das fremde iPhone bei der Auslösung des Zahlungsvorgangs in der Hand hält.
Nach den glaubhaften Angaben des Klägers bei seiner informatorischen Anhörung, von deren Richtigkeit der Einzelrichter überzeugt ist (§ 286 ZPO), wurden die streitgegenständlichen Transaktionen von ihm nicht autorisiert, sondern ohne sein Wissen von fremden Dritten über Apple-Pay ausgelöst. Dies stellt die Beklagte letztlich nicht ernsthaft infrage. Dafür spricht auch die Vielzahl der Zahlungsvorgänge innerhalb kurzer Zeit, die sämtlich im Raum 8.. ausgelöst wurden. Ein weiteres Zutun des Klägers war dazu – nach der Registrierung des Bezahlverfahrens Apple-Pay bei der Beklagten auf einem anderen iPhone (dem iPhone des oder der Täter) und der einmaligen Freigabe über die pushTAN-App (diese auf dem iPhone des Klägers) – unstreitig nicht erforderlich.
c) Danach steht dem Kläger ein Anspruch auf unverzügliche Wiedergutschrift in Höhe der unautorisierten Belastungsbuchungen auf dem Konto, hier in Höhe der einzelnen streitgegenständlichen Zahlungsvorgänge im Zeitraum vom 11.04.2022 bis 20.04.2022 in der Gesamthöhe von 42.182,68 €, zu (§ 675u Satz 2 BGB), unter entsprechender Wertstellung auf den jeweiligen Belastungszeitpunkt (valutengerechte Kontoberichtigung).
Der Anspruch aus § 675u Satz2 BGB ist regelmäßig auf Stornobuchung gerichtet, d.h. auf Wertstellung in Höhe der nicht autorisierten Zahlung.(Schulte-Nölke in: Schulze, BGB,
11. Aufl., § 675u Rn. 2).
Über den Hilfsantrag des Klägers war bei dieser Sachlage nicht zu entscheiden.
2. Einen gegenläufigen Schadensersatzanspruch, den die Beklagte dem (mangels Autorisierung der Zahlungsvorgänge durch ihn) bestehenden Anspruch des Klägers aus § 675u Satz 2 BGB mit Erfolg nach g 242BGB im Wege des dolo-agit-Einwands entgegenhalten oder mit dem sie gegen den Anspruch des Klägers (Gleichartigkeit an dieser Stelle vorausgesetzt) aufrechnen könnte, hat die Beklagte nicht. lm Ergebnis kann daher der Kläger abschließend die valutengerechte Wiedergutschrift in Höhe der nicht autorisierten Kontobelastungen von insgesamt 42.182,68 € beanspruchen.
Ob die von der Beklagten erklärte Aufrechnung durchgreift oder eine Aufrechnung schon an der fehlenden Gleichartigkeit zu verneinen ist, kann mangels Gegenanspruchs der Beklagten dahinstehen (dazu OLG Dresden, Urteil vom 13.10.2022 – I U 760122, BeckRS 2022, 47273 Rn.64; OLG München, Hinweisbeschluss vom 22.09,2022 – 19 U 2204122, BeckRS 2022, 36075 Rn. 50 f.; a.A.: LG Halle (Saale), Urteil vom 23.06.2023 – 4 O 133/22,juris Rn. 41).
a) Der Kläger hat nicht i.S. von § 675v Abs. 3 Nr. 2 Buchst. a) BGB in grob fahrlässiger Weise gegen seine Pflichten aus § 675l Abs. 1 Satz 1 BGB oder den Allgemeinen Bedingungen der Beklagten (AGB) verstoßen.
Nach § 675l Abs. 1 Satz 1 BGB ist der Zahlungsdienstnutzer verpflichtet, unmittelbar nach Erhalt eines Zahlungsinstrurnents alle zumutbaren Vorkehrungen zu treffen, um die personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen.
Ein Zahlungsinstrument ist nach § 1 Abs. 20 ZAG jedes personalisierte lnstrument oder Verfahren, dessen Verwendung zwischen dem Zahlungsdienstnutzer und dem Zahlungsdienstleister vereinbart wurde und das zur Erteilung eines Zahlungsauftrags verwendet wird. Personalisierte Sicherheitsmerkmale i.S. von § 1 Abs. 25 ZAG sind personalisierte Merkmale, die der Zahlungsdienstleister einem Zahlungsdienstnutzer zum Zwecke der Authentifizierung bereitstellt. Hierunter fallen PlN, TAN, Passwörter (vgl. die Begründung im RegE BT-Drs. 16111643, Seite 106), ganz gleich, um welche Art von TAN es sich handelt (mTAN, TAN-Generator, eTAN oder |TAN, vgl. BeckOGl(Hofmann, Stand 01.09.2022, BGB S 6751 Rn. 38).
Zu den Pflichten nach § 675l Abs. 1 Satz 1 BGB gehört es, die PIN und TAN keinem Dritten mitzuteilen (BeckOK Hofmann, Stand 01.09.2022, BGB S 6751 Rn.38) und beim push- TAN-Verfahren die zusammen mit der TAN übermittelten Daten des Auftrags daraufhin zu überprüfen, ob sie mit dem ausgelösten Auttrag übereinstimmen. Bei Abweichungen ist die Transaktion abzubrechen und die TAN nicht zu verwenden (Langenbucher/Bliesener/ Spindler/Herresthal, 3. Aufl, 2020,3. Kap. BGB S 6751 Rn. 12).
Die Ausgestaltung des Begriffs der groben Fahrlässigkeit ist durch die Zahlungsdienste- Richtlinie dem einzelstaatlichen Recht überlassen. Hiernach ist nicht jedes unsachgemäße oder sorgfaltswidrige Verhalten des Zahlungsdienstenutzers als grob fahrlässig anzusehen. Grobe Fahrlässigkeit liegt vielmehr nur vor, wenn die im Verkehr erforderliche Sorgfalt in besonderem schwerem Maße verletzt wurde, wenn einfachste, ganz naheliegende Überlegungen nicht angestellt wurden und das nicht beachtet wurde, was im gegebenen Fall jedem einleuchten musste (LG Nürnberg-Fürth, Urteil vom 25.05.2023 – 6 O 5996/22, juris Rn. 2g; Schwintowski in: Herberger/Martinek/RüßmannAffethMürdinger, JurisPK- BGB, 10. Aufl., S 675v BGB Rn. 14).
Grobe Fahrlässigkeit erfordert einen in objektiver Hinsicht schweren und in subjektiver Hinsicht schlechthin unentschuldbaren Verstoß gegen die Anforderungen der konkret erforderlichen Sorgfalt. Selbst ein objektiv grober Pflichtenverstoß rechtfertigt für sich noch keinen zwingenden Schluss auf ein entsprechend gesteigertes personales Verschulden (BGH, NJW 2016,2024 Rn. 71), Sorgfaltsmaßstab des § 276 Abs.2 BGB sind die individuellen Kenntnisse und Fähigkeiten des Zahlungsdienstnutzers. Einzubeziehen ist auch die konkrete Situation, in der gegen die Sorgfaltspflicht verstoßen wurde (Staudinger/Omlor (2020) BGB S 675v Rn. 26). Die Freigabe des Bezahlverfahrens Apple-Pay kann, soweit vom Kläger stammend (was allerdings anzunehmen ist), aller Wahrscheinlichkeit nach nur während des üblichen Gesprächs mit dem Vorgesetzten am Montag Abend stattgefunden haben, also in einer besonderen Situation nebenbei, Eine Einstufung als grobes Verschulden rechtfertigt ein solches einmaliges Versagen nicht (anders als die telefonische Preisgabe von TANs an vermeintliche Bankmitarbeiter; vgl, dazu etwa LG Köln, Urteil vom 10.09.2019 – 21 O 116119,juris; OLG München, Hinweisbeschluss vom 22.09.2022- 19 U 2204122, juris Rn. g2; Ellenberger/Bunte, BankR-HdB, S 33, Bankgeschäfte online Rn. 278, beck-online). Für einen Anscheinsbeweis für grobe Fahrlässigkeit reicht dies nicht (vgl. Ellenberger/ Bunte, BankR-HdB, S 33. Bankgeschäfte online Rn. 186, beck-online).
Über Phishing-Attacken in verschiedenen Ausgestaltungen wird seit Jahren berichtet, Das pushTAN Verfahren (dazu näher Ellenberger/Bunte, BankR-HdB, S 33. Bankgeschäfte online Rn. 34 f,, beck-online) ist neuer, und die bestehenden Risiken sind noch nicht so bekannt.
b) Gemessen an diesen Maßstäben handelte der Kläger nicht grob fahrlässig. Nach der überzeugung des Einzelrichters (§ 286 ZPO) fällt dem Kläger kein solches Verhalten zur Last, das die Bewertung als grob fahrlässig rechtfertigen würde. Vielmehr ist davon auszugehen, dass er allenfalls leicht fahrlässig das Bezahlverfahren Apple-Pay über die push-Tan-App auf seinem iPhone für das fremde iPhone des unbekannten Täters in einer besonderen Situation mit Ablenkungspotential versehentlich freigegeben hat, ohne dies zu bemerken und zu realisieren.
Ein Erklärungsbewusstsein dahin, dass er das Apple-Pay-Bezahlverfahren auf einem fremden iPhone freigibt und registriert, hatte der Kläger nicht, mag er auch den Freigabe-Button versehentlich berührt oder gedrückt haben. Bewusst wahrgenommen hat er diesen Umstand nach seinen glaubhaften Angaben bei seiner informatorischen Anhörung nach der Überzeugung des Einzelrichters nicht. Dafür, dass er genau dies wollte, gab die in der pushTAN-App angezeigte Meldung ,,Registrierung Karte“ (vgl. Anlage B 1 unter Punkt 4.) keinen hinreichenden Anhalt. Dies war anhand dieser Anzeige auf dem Display nicht ausreichend erkennbar. Vielmehr konnte der Kläger – soweit er diese Meldung (bei Freigabe der App mittels Face-lD) ausreichend lange zu Gesicht bekommen hat, sodass er sie überhaupt lesen konnte – diese als belanglos ansehen und so verstehen, dass er seinen weiteren Kontozugriff im Online-Banking aufrechterhält und die Fortdauer der Nutzung der … bestätigt (MüKoBGB/Jungmann, 9. Aufl., BGB S 6751 Rn. 76 f ,). Der Einzelrichter glaubt dem technisch versierten Kläger, dass ihm, soweit er den Passus ,,Registrierung Karte“ bemerkt haben sollte, keinesfalls bewusst war, d.ie Einrichtung eines neuen Bezahlverfahrens Apple-Pay, gar auf einem fremden iPhone, freizugeben. Dafür ist die Anzeige ,,Registrierung Karte“ zu abstrakt. Was sie bedeuten soll, erschließt sich nicht. Der Zusammenhang mit einem neuen Bezahlverfahren Apple-Pay auf einem neuen iPhone wird nicht deutlich. Es gibt keine ausreichenden Anhaltspunkte dafür, dem Kläger könnte insoweit ein Verschulden, erst recht nicht in Form grober Fahrlässigkeit, zur Last fallen. Eine solche Wertung des vorliegenden Sachverhalts kommt nach Auffassung des Einzelrichters hier nicht in Betracht.
Immerhin verlangt die Beklagte selbst von Zeit zu Zeit (spätestens alle 90 Tage; vgl. Anlage K 9 unter 2.) eine Verifizierung zum Login ins Online-Banking über eine Freigabe mittels pushTAN-App.
Ein versehentliches Berühren des Displays genau dort, wo der Freigabe-Button angezeigt wird, ist nach den Umständen ebenfalls zumindest subjektiv entschuldbar. lnzwischen sieht die App zur Vermeidung eines versehentlichen Betätigens des Freigabe-Buttons ein ,,Wischen“ von links nach rechts vor. Das Entsperren eines Smartphones durch Face-lD geht schnell und automatisch. Der Nutzer braucht es nur in der Hand zu halten und auf das Display zu schauen, wenn er die Entsperrung auslöst. Durch Face-ID wird dann auch – so ist die Beklagte zu verstehen – sogleich die pushTAN-App geöffnet und die Meldung für den Kläger angezeigt. Ein versehentliches Berühren des Displays mit Druck auf den Freigabe- Button just in diesem Moment kann nach der Einschätzung des Einzelrichters durchaus unbemerkt bleiben und erscheint’jedenfalls subjektiv entschuldbar. Einen Schuldvorwurf in Form grober Fahrlässigkeit rechtfertigt dies jedenfalls nicht. Nach den glaubhaften informatorischen Angaben des Klägers hat er, sollte er eine solche Freigabe betätigt haben, dies nicht bemerkt, sodass von ihm auch keine weitere Nachprufung, falls noch möglich, oder die Sperrung des Online-Bankings verlangt werden konnte.
Es gibt keinen Grund, weshalb der Kläger Apple-Pay auf einem fremden iPhone hätte einrichten oder dieses Bezahlverfahren hätte freigeben sollen, das er bis dahin nicht genutzt hat und auch künftig nicht nutzen wollte. Ein betrügerisches Verhalten wirft die Beklagte dem Kläger nicht vor.
Dem Kläger kann auch nicht vorgeworfen werden, sein Smartphone oder das regelmäßig fur das Online-Banking genutzte Notebook nicht mit einem Virenschutz versehen oder diesen nicht aktuell gehalten zu haben, Es handelt sich bei beiden Geräten um Firmengeräte, die vom Unternehmen ausreichend und aktuell gegen Bedrohungen geschützt werden. Mangels eigener Eingriffsmöglichkeiten musste sich der Kläger darauf verlassen und durfte dies auch. Auch kann ihm keine Beweisvereitelung vorgehalten werden, weil die Geräte nach turnusmäßigem Austausch nicht mehrfür eine Überprüfung durch einen Sachverständigen zur Verfügung stehen.
Festzuhalten ist, dass bei grober Fahrlässigkeit – anders als bei einfacher Fahrlässigkeit, die hach einem ausschließlich objektiven Pflichtenmaßstab beurteilt wird – auch subjektive, in der Individualität des jeweils Handelnden begründete Umstände zu berücksichtigen sind (BGH, Urteilvom 26.01.2016-XIZR 91114, Rn.73; Maihold in: Ellenberger/Bunte, BankRHdB, S 33 Rn. 246). Selbst ein objektiv grober Pflichtverstoß rechtfertigt für sich noch keinen zwingenden Schluss auf ein entsprechend gesteigertes personales Verschulden (BGH, Urteil vom 26.01.2016 – Xl ZRg1l14, Rn. 73, m.w.N.). Den Teilnehmer am Online- Banking muss vielmehr nicht nur aus objektiver Sicht, sondern auch subjektiv ein schlechthin unentschuldbares Versagen bei der Befolgung ihm erkennbarer Pflichten treffen (OLG Dresden, Urteil vom 19.10.2022 – I U 761t22,juris Rn. 72; Maihold in: Ellenberger/Bunte, BankRHdB, S 33 Rn. 246). Dies war hier nicht der Fall.
Wie es den unbekannten Tätern im Vorfeld gelungen ist, den Anmeldenamen des Klägers und die PIN für das Online-Banking abzugreifen und sich dort einzuloggen, ist offen. Es ist nicht auszuschließen, dass die Daten dem Kläger abhanden gekommen sind (vgl. Anlage B 9). Phishing-Attacken sind heute so professionell gemacht, dass auch bei großer Sorgfalt im Online-Banking die Anmeldung auf einer täuschend echt gestalteten lnternet-Seite denkbar ist. Bei automatischer Weiterleitung auf die echte Seite fällt dies dem Nutzer kaum auf. Es kann aber auch nicht ausgeschlossen werden, dass ein Datenleck bei einem der Sphäre der Beklagten zuzurechnenden Dienstleister bestanden hat, Dies kann auch gewisse Zeit zurückliegen und muss nicht in näherem zeitlichen Zusammenhang mit den hier streitgegenständlichen Buchungen der Fall gewesen sein. Es erscheint nicht ungewöhnlich, wenn einmal abgegriffene Daten längere Zeit im lnternet kursieren, um irgendwann verkauft oder genutzt zu werden. Ein grobes Verschulden des Klägers sieht der Einzelrichter auch in diesem Zusammenhang nicht.
Eine Überprüfungsmöglichkeit im Rahmen der einzelnen Bezahlvorgänge hatte der Kläger, nachdem das Bezahlverfahren Apple-Pay auf einem fremden iPhone eingerichtet war, nicht mehr. Sein Zutun war dazu nicht erforderlich.
3. Den Klägertrifft auch kein sonstiges Mitverschulden an der Schadensentstehung oder hinsichtlich der Höhe des eingetretenen Schadens.
Zu einer häufigeren Kontrolle des Kontostands als etwa alle zwei Wochen war er nicht verpflichtet. Andere Vorgaben in mit dem Kläger wirksam vereinbarten AGB sind weder konkret vorgetragen noch sonst ersichtlich.
4. Ob einem etwaigen Schadensersatzanspruch nach § 675v Abs. 3 BGB der Beklagten die Voraussetzungen des Ausschlusstatbestands des § 675v Abs. 4 BGB entgegenstünden, kann letztlich dahinstehen. Dies könnte allerdings – mangels Geräteerkennung – im streitgegenständlichen Schadenszeitraum der Fall gewesen sein.
Eine starke Kundenauthentifizierung (vgl. auch Art. 4 Nr. 30 ZDRL) ist nach § 1 Abs. 2 ZAG eine Authentifizierung, die so ausgestaltet ist, dass die Vertraulichkeit der Authentifizierungsdaten geschützt ist und diese unter Heranziehung von mindestens zwei der in dem Sinne voneinander unabhängigen Elemente,,Wissen“, ,,Besitz“ und,,Inhärenz“ geschieht, dass die Nichterfüllung eines Kriteriums die Zuverlässigkeit der anderen nicht in Frage stellt (MüKoBGB/ Jungmann, g. Aufl., BGB S 675j Rn. 66). Zur Kategorie ,,Wissen“ zählen Daten, die nur der Zahlungsdienstnutzer kennt (2.8. PIN und TAN), zur Kategorie ,,Besitz“ zählen Gegenstände, die nur der Nutzer besitzt (2.8. Zahlkarte) und zur Kategorie ,,lnhärenz“ gehören Merkmale, die dem Zahlungsdienstnutzer innewohnen (2.8. biometrische Merkmale wie Fingerabdruck) (Grüneberg/ Grüneberg, BGB, 82. Aufl., § 675v Rn. 10). Der Kategorie ,,Besitz“ lassen sich auch Mobiltelefone zuordnen, soweit diese für den Empfang von TAN venruendet werden (Staudinger/ Omlor (2020) BGB S 675v Rn. 39; Hoffmann, VuR 2Q16,243i Baumann, GWR 2017,275). Dies gilt jedoch nur, wenn durch eine individuelle Registrierung des konkreten Geräts bei der das Konto führenden Bank die Zuordnung dieses Geräts zum Nutzer überprüft wird (Ellenberger/ Bunte, BankR-HdB, S 33 Rn. 83, 391). Dies war hier nicht der Fall. Eine Geräteerkennung setzte die Beklagte damals nicht ein.
5. Die zugesprochenen Zinsen rechtfertigen sich unter dem Gesichtspunkt des Verzugs (§§ 286, 288 Abs. 1 BGB). Die Beklagte hat sich mit der nachdrücklichen und endgültigen Ablehnung der Ersatzansprüche des Klägers selbst in Verzug gesetzt (sog. Selbstmahnung; Anlage K 3).
6. Auch die nachfolgende Beauftragung der Prozessbevollmächtigten des Klägers mit seiner vorgerichtlichen lnteressenwahrnehmung war danach unter Verzugsgesichtspunkten gerechtfertigt (Anlagen K 3, K 4). Mithin steht dem Kläger auch der zuerkannte Betrag zum Ersatz der Aufwendungen für die vorgerichtliche Rechtsverfolgung in Höhe von 1.877,11 € nebst der zuerkannten Zinsen zu, welche die Beklagte der Höhe nach nicht in Zweifel zieht.
Die Kostenentscheidung folgt aus §§ 91 Abs. 1, 92 Abs. ZPO
Die Entscheidung über die vorläufige Vollstreckbarkeit hat § 709 ZPO zur Grundlage
Vorsitzender Richter am Landgericht
(gegen das Urteil ist Berufung eingelegt worden OLG Karlsruhe Az. 17 U 113/23 – Ausgang des Verfahrens unbekannt)