Nexvyra

PSD2 (RL 2015/2366) – Nicht autorisierte Zahlungen: Sofort-Erstattung bis Ende des Folgegeschäftstags, auch bei grober Fahrlässigkeit (EuGH C-70/25) In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-11-06 · letzte Prüfung: 2026-11-06 · Quellen-Autorität A Fehler melden ✉
Kurzantwort Nach der Zahlungsdiensterichtlinie (EU) 2015/2366 (PSD2) muss die Bank bei einer nicht autorisierten Zahlung (z. B. Phishing, gefälschte Bank-Webseite, gestohlene Karte) dem Kunden den Betrag unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags erstatten (Art. 73 Abs. 1 PSD2; in Deutschland § 675u BGB). Die einzige Ausnahme: Die Bank hat berechtigte Gründe für den Verdacht, dass der Kunde betrügerisch gehandelt hat, und teilt diese der zuständigen Behörde schriftlich mit. Der EuGH hat nach den vorliegenden Urteilsbesprechungen am 15. Oktober 2026 in der Rechtssache C-70/25 (Tukowiecka) entschieden: Auch der Vorwurf grober Fahrlässigkeit rechtfertigt es nicht, die Sofort-Erstattung zu verweigern oder zu verzögern. Die Bank muss erst erstatten und kann sich danach – wenn sie grobe Fahrlässigkeit beweist – den Schaden nach der Haftungsverteilung (Art. 74 PSD2, § 675v BGB) vom Kunden zurückholen. Die Beweislast liegt bei der Bank (Art. 72 PSD2, § 675w BGB). Wichtig: Die Reichweite für Deutschland (insbesondere das Verhältnis zur bisherigen BGH-Praxis und zu den Formulierungen in § 675u BGB) ist noch nicht abschließend aufgearbeitet – Details siehe „Offene Punkte".

Kernfakten

PunktWert
RechtsaktRichtlinie (EU) 2015/2366 (PSD2), CELEX:32015L2366 [EUR-Lex]
Datum25. November 2015 (ABl. L 337 vom 23.12.2015)
Umsetzungsfrist13. Januar 2018 (Art. 115 PSD2)
DE-UmsetzungZAG (Zahlungsdiensteaufsichtsgesetz) 2017 und §§ 675c–676c BGB
Erstattung nicht autorisierter Zahlungunverzüglich, spätestens Ende des folgenden Geschäftstags [Art. 73 Abs. 1 PSD2; § 675u BGB]
Einzige Ausnahmeberechtigter Betrugsverdacht gegen den Kunden + schriftliche Mitteilung an die Behörde [Art. 73 Abs. 1 UAbs. 2 PSD2]
Anzeigefrist Kundeunverzüglich; Ansprüche erlöschen spätestens 13 Monate nach Belastung [Art. 71 PSD2; § 676b BGB]
Haftung des Kunden (leichte Fahrlässigkeit / Verlust, Diebstahl)bis höchstens 50 EUR [Art. 74 Abs. 1 PSD2; § 675v Abs. 1 BGB]
Haftung bei Vorsatz / grober FahrlässigkeitKunde trägt den Schaden (grundsätzlich unbegrenzt) [Art. 74 Abs. 1 UAbs. 2 PSD2; § 675v Abs. 3 BGB]
Keine Haftung bei fehlender starker Kundenauthentifizierung (SCA)Kunde haftet nicht, außer bei Betrug [Art. 74 Abs. 2 PSD2; § 675v Abs. 4 BGB]
BeweislastZahlungsdienstleister muss Authentifizierung und – für Haftung des Kunden – grobe Fahrlässigkeit beweisen [Art. 72 PSD2; § 675w BGB]
EuGHC-70/25 (Tukowiecka), Urteil 15.10.2026, Erste Kammer; Vorlage Sąd Rejonowy w Koszalinie (PL)
Sachverhalt C-70/25Phishing über gefälschte Bankseite, SMS-Code erlangt, Überweisung 3.000 PLN (ca. 700 EUR); Bank verweigerte Erstattung wegen grober Fahrlässigkeit
AusblickPSR/PSD3: politische Einigung Nov. 2025, Verabschiedung noch offen; Anwendung voraussichtlich erst nach 2027

Geltungsbereich

Betroffen sind Verbraucher und Unternehmen als Zahler, die Konten, Karten oder Online-Banking bei Zahlungsdienstleistern im EWR nutzen. Erfasst sind nicht autorisierte Zahlungsvorgänge, also solche ohne wirksame Zustimmung des Zahlers. Hat der Kunde die Überweisung selbst veranlasst, weil er einem Betrüger glaubte (Anlage- oder Romance-Scam, „Enkeltrick"), ist die Zahlung nach geltendem Recht in der Regel autorisiert – die Sofort-Erstattung nach Art. 73 greift dann nicht. Dazu sieht erst die geplante PSR Regeln vor.

Detail: Sofort-Erstattung (Art. 73 PSD2)

Der Zahlungsdienstleister muss den Betrag sofort erstatten und das Konto in den Zustand zurückversetzen, in dem es ohne die Belastung gewesen wäre (Wertstellung nicht später als die Belastung). Frist: Ende des Geschäftstags nach Kenntnis oder Mitteilung. Nach den vorliegenden Urteilsbesprechungen stellt der EuGH in C-70/25 klar:

Detail: Haftung und Beweislast (Art. 72, 74 PSD2)

Bis zur Anzeige haftet der Kunde bei leichter Fahrlässigkeit höchstens mit 50 EUR. Bei Vorsatz oder grober Fahrlässigkeit (z. B. Weitergabe von TAN/PIN, Eingabe von Zugangsdaten auf einer Phishing-Seite) trägt er den Schaden. Hat die Bank keine starke Kundenauthentifizierung (SCA) verlangt, haftet der Kunde nicht (außer bei Betrugsabsicht). SCA-Anforderungen: Art. 97 PSD2 i. V. m. Delegierter VO (EU) 2018/389.

Häufige Fehler

Offene Punkte (factcheck_status=review_needed)

Änderungsverlauf

Stand

Quellen

Letzte Änderung:
2026-11-06
Letzte Prüfung:
2026-11-06
In Kraft seit:
2018-01-13
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.