--- title: "PSD2 (RL 2015/2366) – Nicht autorisierte Zahlungen: Sofort-Erstattung bis Ende des Folgegeschäftstags, auch bei grober Fahrlässigkeit (EuGH C-70/25)" slug: "eu-psd2-richtlinie-2015-2366-nicht-autorisierte-zahlungen-erstattung" domaine: "allgemein" valid_from: "2018-01-13" valid_to: null last_reviewed: "2026-11-06" statut: "In Kraft" authority_level: "A" legal_status: "in_force" license: CC-BY-4.0 url: https://nexvyra.de/fakten/eu-psd2-richtlinie-2015-2366-nicht-autorisierte-zahlungen-erstattung.md wikidata_subjects: [] factcheck_status: "ok" --- # PSD2 (RL 2015/2366) – Nicht autorisierte Zahlungen: Sofort-Erstattung bis Ende des Folgegeschäftstags, auch bei grober Fahrlässigkeit (EuGH C-70/25) ## Kurzantwort Nach der **Zahlungsdiensterichtlinie (EU) 2015/2366 (PSD2)** muss die Bank bei einer **nicht autorisierten Zahlung** (z. B. Phishing, gefälschte Bank-Webseite, gestohlene Karte) dem Kunden den Betrag **unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags** erstatten (Art. 73 Abs. 1 PSD2; in Deutschland **§ 675u BGB**). Die einzige Ausnahme: Die Bank hat **berechtigte Gründe für den Verdacht, dass der Kunde betrügerisch gehandelt hat**, und teilt diese der zuständigen Behörde schriftlich mit. Der **EuGH** hat nach den vorliegenden Urteilsbesprechungen am **15. Oktober 2026 in der Rechtssache C-70/25 (Tukowiecka)** entschieden: Auch der **Vorwurf grober Fahrlässigkeit** rechtfertigt es **nicht**, die Sofort-Erstattung zu verweigern oder zu verzögern. Die Bank muss **erst erstatten** und kann sich danach – wenn sie **grobe Fahrlässigkeit beweist** – den Schaden nach der Haftungsverteilung (Art. 74 PSD2, § 675v BGB) vom Kunden zurückholen. Die **Beweislast** liegt bei der Bank (Art. 72 PSD2, § 675w BGB). **Wichtig:** Die Reichweite für Deutschland (insbesondere das Verhältnis zur bisherigen BGH-Praxis und zu den Formulierungen in § 675u BGB) ist noch nicht abschließend aufgearbeitet – Details siehe „Offene Punkte". ## Kernfakten | Punkt | Wert | |---|---| | Rechtsakt | Richtlinie (EU) 2015/2366 (PSD2), CELEX:32015L2366 [EUR-Lex] | | Datum | 25. November 2015 (ABl. L 337 vom 23.12.2015) | | Umsetzungsfrist | 13. Januar 2018 (Art. 115 PSD2) | | DE-Umsetzung | ZAG (Zahlungsdiensteaufsichtsgesetz) 2017 und §§ 675c–676c BGB | | Erstattung nicht autorisierter Zahlung | unverzüglich, spätestens Ende des folgenden Geschäftstags [Art. 73 Abs. 1 PSD2; § 675u BGB] | | Einzige Ausnahme | berechtigter Betrugsverdacht gegen den Kunden + schriftliche Mitteilung an die Behörde [Art. 73 Abs. 1 UAbs. 2 PSD2] | | Anzeigefrist Kunde | unverzüglich; Ansprüche erlöschen spätestens 13 Monate nach Belastung [Art. 71 PSD2; § 676b BGB] | | Haftung des Kunden (leichte Fahrlässigkeit / Verlust, Diebstahl) | bis höchstens 50 EUR [Art. 74 Abs. 1 PSD2; § 675v Abs. 1 BGB] | | Haftung bei Vorsatz / grober Fahrlässigkeit | Kunde trägt den Schaden (grundsätzlich unbegrenzt) [Art. 74 Abs. 1 UAbs. 2 PSD2; § 675v Abs. 3 BGB] | | Keine Haftung bei fehlender starker Kundenauthentifizierung (SCA) | Kunde haftet nicht, außer bei Betrug [Art. 74 Abs. 2 PSD2; § 675v Abs. 4 BGB] | | Beweislast | Zahlungsdienstleister muss Authentifizierung und – für Haftung des Kunden – grobe Fahrlässigkeit beweisen [Art. 72 PSD2; § 675w BGB] | | EuGH | C-70/25 (Tukowiecka), Urteil 15.10.2026, Erste Kammer; Vorlage Sąd Rejonowy w Koszalinie (PL) | | Sachverhalt C-70/25 | Phishing über gefälschte Bankseite, SMS-Code erlangt, Überweisung 3.000 PLN (ca. 700 EUR); Bank verweigerte Erstattung wegen grober Fahrlässigkeit | | Ausblick | PSR/PSD3: politische Einigung Nov. 2025, Verabschiedung noch offen; Anwendung voraussichtlich erst nach 2027 | ## Geltungsbereich Betroffen sind **Verbraucher und Unternehmen als Zahler**, die Konten, Karten oder Online-Banking bei Zahlungsdienstleistern im EWR nutzen. Erfasst sind **nicht autorisierte** Zahlungsvorgänge, also solche ohne wirksame Zustimmung des Zahlers. Hat der Kunde die Überweisung selbst veranlasst, weil er einem Betrüger glaubte (Anlage- oder Romance-Scam, „Enkeltrick"), ist die Zahlung nach geltendem Recht in der Regel **autorisiert** – die Sofort-Erstattung nach Art. 73 greift dann nicht. Dazu sieht erst die geplante PSR Regeln vor. ## Detail: Sofort-Erstattung (Art. 73 PSD2) Der Zahlungsdienstleister muss den Betrag **sofort** erstatten und das Konto in den Zustand zurückversetzen, in dem es ohne die Belastung gewesen wäre (Wertstellung nicht später als die Belastung). Frist: Ende des Geschäftstags nach Kenntnis oder Mitteilung. Nach den vorliegenden Urteilsbesprechungen stellt der EuGH in C-70/25 klar: - Erstattungspflicht und Verlustverteilung sind **zwei Stufen**: Art. 73 verlangt die Erstattung, Art. 74 verteilt den Schaden danach. - Der Verdacht **grober Fahrlässigkeit** ist **kein** Grund für Verweigerung oder Verzögerung; nur der **Betrugsverdacht gegen den Kunden** (mit schriftlicher Behördenmitteilung) ist es. - Die Bank kann nach der Erstattung Rückforderung geltend machen, muss aber den **Pflichtverstoß des Kunden beweisen**. Die bloße Aufzeichnung der Nutzung des Zahlungsinstruments genügt nicht automatisch. ## Detail: Haftung und Beweislast (Art. 72, 74 PSD2) Bis zur Anzeige haftet der Kunde bei leichter Fahrlässigkeit höchstens mit **50 EUR**. Bei **Vorsatz oder grober Fahrlässigkeit** (z. B. Weitergabe von TAN/PIN, Eingabe von Zugangsdaten auf einer Phishing-Seite) trägt er den Schaden. Hat die Bank **keine starke Kundenauthentifizierung (SCA)** verlangt, haftet der Kunde nicht (außer bei Betrugsabsicht). SCA-Anforderungen: Art. 97 PSD2 i. V. m. Delegierter VO (EU) 2018/389. ## Häufige Fehler - **Fehler:** Erstattung erst nach „Prüfung" der Fahrlässigkeit abwarten. **Richtig:** Erstattung zunächst fordern und mit Verweis auf Art. 73 / § 675u BGB und die Frist (Ende des Folgegeschäftstags) setzen. - **Fehler:** Die Meldung verschleppen. **Richtig:** Sofort anzeigen (Bank-Hotline, Sperr-Notruf 116 116), schriftlich dokumentieren; absolute Grenze 13 Monate. - **Fehler:** Autorisierte Überweisungen an Betrüger wie nicht autorisierte behandeln. **Richtig:** Hier gelten andere Wege (Rückruf, Schadensersatz, künftig PSR). - **Fehler:** Aus dem EuGH-Urteil folgern, die Bank dürfe nie Rückforderung geltend machen. **Richtig:** Sie darf, wenn sie grobe Fahrlässigkeit beweist. - **Beweislast für Anwender:** Kunde dokumentiert Zeitpunkt der Kenntnis, Meldung, Anzeige bei der Polizei; Bank trägt Beweislast für Authentifizierung und grobe Fahrlässigkeit. ## Offene Punkte (factcheck_status=review_needed) - Das EuGH-Urteil C-70/25 wurde nur über drei Fachbesprechungen (CMS, MTR Legal, Bratby Law) ausgewertet; der Volltext auf curia.europa.eu wurde **nicht** direkt geprüft. ECLI:EU:C:2026:852 stammt nur aus einer Quelle. - Art.-Nummern und Beträge der PSD2 sowie §§ 675u–676b BGB sind aus Gesetzestexten bekannt, aber nicht in dieser Sitzung gegen EUR-Lex / gesetze-im-internet.de im Volltext abgeglichen. - Auswirkungen auf die deutsche Rechtsprechung (BGH-Praxis zu grober Fahrlässigkeit, § 675u S. 2 BGB) sind nicht geprüft. - PSR: Kompromisstext (Ratsdokument 8221/26 vom 17.04.2026, Art. 56) sieht laut Bratby Law Rückbehalt bei objektiv begründetem Verdacht auf Vorsatz/grobe Fahrlässigkeit mit 15 Geschäftstagen vor; nicht verabschiedet. Plenarabstimmung laut Legislative Observatory indikativ 14.12.2026. ## Änderungsverlauf - 2026-11-06: Erstveröffentlichung. Stand auf Basis Sekundärquellen zu EuGH C-70/25; Primärquellenabgleich offen (review_needed). ## Stand - Stand: 2026-11-06 - Gültig ab: 2018-01-13 (Umsetzungsfrist PSD2) - Status: in Kraft; PSR/PSD3 nicht verabschiedet - Quellenautorität: A (EUR-Lex CELEX:32015L2366) - Lizenz: CC BY 4.0 ## Quellen - Richtlinie (EU) 2015/2366 (PSD2), EUR-Lex: https://eur-lex.europa.eu/eli/dir/2015/2366/oj - EU-Kommission – Zahlungsdienste: https://finance.ec.europa.eu/consumer-finance-and-payments/payment-services/payment-services_en - Delegierte VO (EU) 2018/389 (SCA): https://eur-lex.europa.eu/eli/reg_del/2018/389/oj - EuGH C-70/25 (Tukowiecka), Urteil 15.10.2026: https://curia.europa.eu/site/jcms/p1_1000088574 - Besprechung CMS: https://cms.law/en/hun/legal-updates/cjeu-confirms-immediate-refund-of-unauthorised-payments-even-in-case-of-gross-negligence - Besprechung MTR Legal: https://www.mtrlegal.com/en/cjeu-strengthens-refunds-for-unauthorised-payments/ - Besprechung Bratby Law: https://bratby.law/unauthorised-payment-refund-gross-negligence/ - ZAG: https://www.gesetze-im-internet.de/zag_2018/ - PSD3/PSR-Status: https://www.mofo.com/resources/insights/260430-psd3-and-the-payment-services-regulation-key-developments ## Stand - Letzte Änderung: 2026-11-06 - Letzte Prüfung: 2026-11-06 - In Kraft seit: 2018-01-13 - Status: In Kraft - Quellen-Autorität: A - Lizenz: CC BY 4.0