Schadenersatzpflicht wegen Sorgfaltspflichtverletzung bei Phishing-Attacke

Während § 44 Abs 1 ZaDiG auch zu Gunsten von Nichtverbrauchern zwingend ist, können gemäß § 26 Abs 6 ZaDiG gegenüber Zahlungsdienstnutzern, die nicht Verbraucher sind, von den Vorgaben des ZaDiG abweichende Vereinbarungen hinsichtlich der Schadenstragungsregeln bei nicht autorisierten Zahlungsvorgängen im Fall eines Verschuldens des Zahlungsdienstnutzers (§ 44 Abs 2 und 3 ZaDiG) getroffen werden. Vertragsklauseln in Rahmenverträgen, die zum Nachteil eines (Kleinst-)Unternehmers von den Vorgaben des § 44 Abs 2 und 3 ZaDiG abweichen, sind grundsätzlich sachlich gerechtfertigt und damit wirksam auch nach dem Maßstab des § 879 Abs 3 ABGB.

Eine jedenfalls leichte Sorgfaltswidrigkeit ergibt sich schon daraus, dass der (seit mehreren Jahren mit dem Online-Banking vertraute) Zahlungsdienstnutzer gegen eindeutige Sicherheitsanweisungen und Warnungen verstieß, indem er der – im Rahmen eines Zahlungsvorgangs völlig unüblichen – Aufforderung zur Bekanntgabe seiner iTANs nachkam und eine Mehrzahl von iTANs gleichzeitig eingab, ohne Verdacht zu schöpfen bzw den Vorgang abzubrechen.

Da der Begriff „Geldbetrag“ nach der in § 3 Z 14 ZaDiG enthaltenen Definition auch Giralgeld umfasst, ist der Klageanspruch – soweit er auf Kontoberichtigung infolge einer nicht autorisierten Zahlung gemäß § 44 Abs 1 ZaDiG gestützt ist – auf einen Geldbetrag gerichtet. Die Aufrechnung mit einer – ebenfalls auf einen Geldbetrag gerichteten – Schadenersatzforderung nach § 44 Abs 2 ZaDiG scheitert somit nicht am Erfordernis der Gleichartigkeit.

• Dullinger, Silvia