TUKOWIECKA-Verfahren – EuGH-Entscheidung zur Erstattungsplicht von Banken bei nicht autorisierten Zahlungsvorgängen

Erstellt von Mag. Sylvia Unger |
Bankenrecht , Zahlungsverkehrsrecht , Vortrag/Vorträge

Am 15. Oktober 2026 traf der EuGH eine Entscheidung, auf welche die Bankenbran-che schon gespannt wartete: In der Rechtssache Tukowiecka befasste sich der EuGH mit der Frage, ob eine Bank in ihrer Eigenschaft als Zahlungsdienstleister auch dann verpflichtet ist, den Betrag eines nicht autorisierten Zahlungsvorgangs unverzüglich zu erstatten, wenn sie der Ansicht ist, dass der Kunde grob fahrlässig gehandelt hat, und bejahte diese.

 

1. Worum geht es?

Der Entscheidung liegt ein Betrug durch Phishing zugrunde, bei welchem eine Kundin durch einen betrügerischen Link auf einer Website, die jener ihrer Bank glich, ihre Zahlungsdaten eingab. Dies führte dazu, dass die Betrüger Zugang auf ihr Konto hatten und Überweisungen, die nicht von der Kontoinhaberin selbst autorisiert wurden, durchführten. 

Die Kundin meldete den Vorgang am darauffolgenden Tag, jedoch verweigerte die Bank die Erstattung mit der Begründung, dass die Kundin den Zahlungsvorgang durch grob fahrlässiges Verhalten selbst ermöglicht hätte. Sie wäre ihrer Pflicht, ihre personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen, nicht ausreichend nachgekommen. Die Kundin klagte die Bank daraufhin auf Zahlung des entsprechenden Betrages.

 

2. Was sind die rechtlichen Grundlagen der Entscheidung?

Relevant für diese Entscheidung ist insb die Payment Services Direktive 2 (RL (EU) 2015/2366, PSD 2):

  • Art 73 Abs 1 PSD 2 sieht vor, dass der Zahlungsdienstleister einen nicht autorisierten Zahlungsvorgang unverzüglich, spätestens jedoch bis zum Ende des folgenden Geschäftstags, erstatten muss. Die einzige Ausnahme besteht für den Fall, dass die Bank berechtigte Gründe für den Verdacht auf einen Betrug durch den Kunden hat und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt.

  • Art 74 Abs 1 PSD 2 regelt die Haftung des Zahlers, wonach ein Kunde, der seine Pflichten vorsätzlich oder grob fahrlässig verletzt, grundsätzlich den entstandenen Verlust selbst tragen muss. 

  • Art 69 PSD 2 verpflichtet Zahlungsdienstnutzer unter anderem die personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen.

 

3. Wie lautete die Vorlagefrage? 

Dem EuGH wurde in einem Vorabentscheidungsersuchen die Frage vorgelegt, ob eine Bank in ihrer Eigenschaft als Zahlungsdienstleister gemäß PSD 2 verpflichtet ist, den Betrag eines nicht autorisierten Zahlungsvorgangs unverzüglich zu erstatten, selbst wenn sie der Ansicht ist, dass der Kunde grob fahrlässig gehandelt habe.

 

4. Wie entschied der EuGH? 

Der EuGH bejahte die Frage des polnischen Gerichts: Liegt ein nicht autorisierter Zahlungsvorgang vor, ist der Zahlungsdienstleister bei ordnungsgemäßer Meldung des Vorfalls, grundsätzlich verpflichtet, den jeweiligen Betrag unverzüglich, spätestens jedoch bis zum Ende des folgenden Geschäftstags, zu erstatten. 

Laut EuGH

  • ist der Zahlungsdienstleister zur unverzüglichen Erstattung verpflichtet und

  • kann der Zahlungsdienstleister erst in einem weiteren Schritt ggf vom Kunden die Erstattung verlangen, wenn er nachweist, dass der Kunde vorsätzlich oder grob fahrlässig seine Pflichten, insb die Pflicht, seine personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen, verletzt hat. Die Beweislast trifft den Zahlungsdienstleister.

Demnach ist die Frage der Erstattung des Betrags des nicht autorisierten Zahlungsvorgangs von der Frage, wer die Verluste zu tragen hat, zu trennen. 

 

5. Bedeutung für österreichische Banken? 

Diese Entscheidung ist auch für den österreichischen Banksektor von Bedeutung: Derzeit ist vor dem OGH ein Gerichtsverfahren anhängig, das sich mit der gleichen Fragestellung befasst und aufgrund des Tukowiecka-Verfahrens unterbrochen wurde (OGH 03.06.2025, 5 Ob 54/24p). Aufgrund der EuGH-Entscheidung ist nun mit einer baldigen Fortsetzung sowie Entscheidung zu rechnen.

 

6. Welche Fragen ergeben sich für den Bankensektor?

  • Wann gilt ein Zahlungsvorgang als autorisiert?

  • Welche Schritte sind zu setzen, wenn sich ein Kunde weigert, die Zahlung seiner Bank zu erstatten? 

  • Wie wirkt sich diese Entscheidung auf die Prozesse und Abläufe in Banken aus?

  • Was bringt die PSR in diesem Zusammenhang Neues?

  • Welche Betrugsszenarien unterstützt diese Entscheidung?

Diese und weitere Fragen zu dieser Entscheidung darf ich am 16. November 2026 im Zuge des vom imh-Institut veranstalteten Spezialtag zu PSD 3 und PSR erörtern. Weitere Informationen sowie die Möglichkeit zur Anmeldung finden Sie hier.

 

Zur Autorin:

Frau Mag. Sylvia Unger ist seit über 25 Jahren Rechtsanwältin und gründete 2011 ihre eigene Kanzlei „Unger Rechtsanwälte“.

Ihre Schwerpunkte liegen im Arbeits-, Gesellschafts-, Vertrags- und Zahlungsverkehrsrecht. Sie ist (Mit)Autorin mehrerer Fachbücher, hält Vorträge zu Arbeits-, Gesellschafts- und Zahlungsverkehrsrecht und berät Unternehmen aus verschiedensten Branchen.