Am 15. Oktober 2026 hat der EuGH in der Rechtssache C-70/25 (Tukowiecka) eine Frage beantwortet, die sehr viele Banken und andere Zahlungsdienstleister (ZDL) in der EU betrifft: Darf ein Institut die sofortige Erstattung eines nicht autorisierten Zahlungsvorgangs mit der Begründung verweigern, dass der Zahler ihn durch eine grob fahrlässige Verletzung seiner Pflichten aus Art 69 PSD2 ermöglicht habe?

Und der zuständige Richtersenat in Luxemburg hat diese Frage nun verneint. Die Erstattungspflicht nach Art 73 Abs 1 PSD2 kenne nur eine Ausnahme, nämlich den begründeten Betrugsverdacht gegen den Kunden, wenn dieser der zuständigen nationalen Behörde schriftlich mitgeteilt wird. Der Einwand der groben Fahrlässigkeit des Kunden kann demnach erst später relevant werden, wenn die Bank ihren Schaden vom Kunden zurückfordert.

Für Österreich ist das Urteil überaus brisant, weil Banken bisweilen Erstattungen mit der Begründung ablehnen, der Kunde habe grob fahrlässig gehandelt, und mit ihren daraus resultierenden Schadenersatzansprüchen gegen den Kunden aufrechnen. Diese Praxis wird nun nicht mehr zulässig sein und kurzfristig besteht daher bei vielen Instituten Anpassungsbedarf, was den Umgang mit missbräuchlichen Zahlungen angeht.

Mittelfristig handelt es sich bei dieser Entscheidung aber wohl um ein One-Hit-Wonder, denn der aktuellste Entwurfstext der Zahlungsdiensteverordnung ("PSR", konkret Art 56 und 57 PSR) erlaubt Zahlungsdienstleistern, die Erstattung bei objektiv begründetem Verdacht auf Betrug oder grobe Fahrlässigkeit des Kunden auszusetzen. In weiterer Folge muss die Erstattung binnen 15 Geschäftstagen erfolgen, sie kann aber auch  begründet abgelehnt werden. Kommt die PSR in dieser Form, wovon wir angesichts des bereits erzielten politischen Kompromisses ausgehen, nimmt sie die Wirkung des Tukowiecka-Urteils für die Zukunft zurück.

Hier finden Sie mehr zum Hintergrund, dem Rechtsrahmen, der EuGH-Entscheidung, ihren Auswirkungen auf die Praxis und einen Ausblick:

Hintergrund

Beim Ausgangsfall handelte es sich um einen Phishing-Klassiker. Eine Kundin einer polnischen Bank hatte auf einer Online-Verkaufsplattform einen Gegenstand inseriert. Ein unbekannter Täter gab sich als Käufer aus und schickte ihr einen Link, der angeblich den Verkauf bestätigte, tatsächlich aber auf eine nachgebaute Seite ihres Online-Bankings führte. Mit den dort eingegebenen Zugangsdaten konnte der Täter rund EUR 700 auf ein eigenes Konto überweisen. Den SMS-Code zur Freigabe hatte er ebenfalls durch ein Täuschungsmanöver von der Kundin erlangt.

Die Kundin meldete den Vorfall am Folgetag der Bank und der Polizei. Die Bank verweigerte die Erstattung, weil die Kundin ihr Zahlungsinstrument grob fahrlässig nicht sorgfältig geschützt hatte. Nach Ansicht der Bank durfte sie selbst alle Haftungsvoraussetzungen prüfen und bei festgestellter grober Fahrlässigkeit ablehnen.

Das angerufene polnische Gericht legte dem EuGH die Frage vor, ob Art 73 Abs 1 und Art 74 Abs 1 PSD2 dahin auszulegen sind, dass ein Zahlungsdienstleister die unverzügliche Erstattung des Betrags eines nicht autorisierten Zahlungsvorgangs an einen Zahler mit der Begründung verweigern darf, dass dieser Zahler diesen Zahlungsvorgang durch eine grob fahrlässige Verletzung seiner Pflichten aus Art 69 PSD2 ermöglicht habe.

Rechtlicher Rahmen

Die Richtlinie (EU) 2015/2366 ("PSD2"), und dementsprechend das österreichische Zahlungsdienstegesetz 2018 ("ZaDiG 2018"), verteilen die Haftung bei nicht autorisierten Zahlungsvorgängen auf zwei Bestimmungen:

• Art 73 Abs 1 PSD2: Danach muss der ZDL dem Zahler den Betrag unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags. Ausgenommen ist nur der Fall, dass es einen berechtigten Grund für einen Betrugsverdacht gegen den Zahler gibt und die Bank dies der zuständigen nationalen Behörde schriftlich mitteilt.
• Art 74 Abs 1: „Abweichend von Artikel 73“ kann der Zahler Verluste bis 50 Euro tragen, die aus einem verlorenen oder gestohlenen oder missbräuchlich verwendeten Zahlungsinstrument entstehen. Bei Betrug oder bei vorsätzlicher oder grob fahrlässiger Verletzung der Pflichten nach Art 69 trägt er den gesamten Schaden. Art 69 verlangt insbesondere, die personalisierten Sicherheitsmerkmale sicher zu verwahren.

Bei Tukowiecka ging es im Wesentlichen "nur" um das Verhältnis zwischen Art 73 Abs 1 und 74 Abs 1 PSD2. 

Das Urteil des EuGH

Der EuGH folgt im Ergebnis den Schlussanträgen von Generalanwalt Rantos vom 5. März 2026, der ein Zwei-Phasen-Modell nach dem Motto "Zuerst erstatten, dann streiten" empfohlen hatte. Demnach ist im Falle einer nicht autorisierten Zahlung der Zahlungsdienstleister grundsätzlich verpflichtet, den Betrag dieser Transaktion unverzüglich, spätestens jedoch bis zum Ende des Geschäftstages, der auf den Tag folgt, an dem er die Transaktion festgestellt hat oder darüber informiert wurde, zurückzuerstatten, sofern der Kunde den Zahlungsdienstleister unverzüglich darüber in Kenntnis setzt. Es gibt nur eine Ausnahme von dieser Verpflichtung zur unverzüglichen Rückerstattung: wenn der Zahlungsdienstleister begründeten Verdacht auf einen vom Kunden begangenen Betrug hat und diesen Verdacht der zuständigen nationalen Behörde mitteilt.

Die Tatsache, dass der Zahlungsdienstleister der Ansicht ist, der Kunde habe die nicht autorisierte Transaktion durch grobe Fahrlässigkeit ermöglicht – insbesondere, indem er es versäumt hat, die erforderlichen Maßnahmen zum Schutz seiner personalisierten Sicherheitsmerkmale zu ergreifen –, berechtigt den Zahlungsdienstleister nicht dazu, die unverzügliche Rückerstattung zu verweigern.

Nach EU-Recht kann zwischen der Frage der Erstattung des Betrags der nicht autorisierten Zahlungstransaktion und der Frage unterschieden werden, wer letztendlich die mit dieser Transaktion verbundenen Verluste zu tragen hat. Somit sei der Zahlungsdienstleister laut EuGH zunächst verpflichtet, die unverzügliche Erstattung vorzunehmen. Anschließend könne er, sofern angemessen, vom Kunden Ersatz für die entstandenen Verluste verlangen, wenn er nachweist, dass diese Verluste darauf zurückzuführen sind, dass der Kunde vorsätzlich oder grob fahrlässig seinen Verpflichtungen nicht nachgekommen ist, insbesondere der Verpflichtung, seine personalisierten Sicherheitsmerkmale zu schützen. Es obliegt laut EuGH dem Zahlungsdienstleister, das Vorliegen einer solchen groben Fahrlässigkeit seitens des Kunden nachzuweisen.

Der EuGH stützt sich dabei auf den Wortlaut der PSD2, dessen systematische Auslegung, ihren Zweck und ihre Entstehungsgeschichte. Insbesondere weist der EuGH darauf hin, dass die PSD2 ein hohes Verbraucherschutzniveau gewährleisten will. Würde grobe Fahrlässigkeit von der Erstattung befreien, müsste der Zahler selbst sein Recht gerichtlich durchsetzen und die damit verbundenen Nachteile samt Verfahrenskosten tragen. Das sei laut EuGH mit dem Ziel eines hohen Verbraucherschutzes schwer vereinbar.

Interessant ist unseres Erachtens, dass das polnische Gericht die Vorlagefrage eng auf das Verhältnis von Art 73 und 74 PSD2 begrenzt hatte. Wie bereits Prof. Linardatos angemerkt hat, wurde dem EuGH nicht die Frage gestellt, ob mit der Pflicht zur unverzüglichen Erstattung eine nationale Regelung unvereinbar ist, die dem Zahlungsdienstleister eine Verteidigung gegen die treuwidrige Ausübung von subjektiven Rechten ermöglicht, welche zugunsten des Kunden unionsrechtlich durch die PSD2 festgelegt wurden. Ob andere nationale Einwendungen und Sicherungsrechte dem Erstattungsanspruch entgegengehalten werden dürfen, ist daher offen geblieben.

Es ist aber noch ein weiteres diesbezüglich interessantes Verfahren beim EuGH anhängig, Rs C-635/26 - Yurga, bei dem zumindest die Vorlagefragen die Möglichkeit bieten, auf das Verhältnis zwischen Art 73 PSD2 und nationalen Rechtsinstituten einzugehen. Wie dieses Verfahren ausgeht, bleibt freilich abzuwarten.

Auswirkungen auf die Praxis

Das Tukowiecka-Urteil bedeutet für die derzeitige Rechtslage, dass außerhalb der engen "Betrugsausnahme" Zahlungsdienstleister die Erstattung nicht mehr mit der Begründung verweigern dürfen, der Kunde habe seine Pflichten aus dem Vertragsverhältnis mit dem Zahlungsdienstleister grob fahrlässig verletzt. 

Für Österreich ist das Urteil besonders brisant, da derzeit ein Gerichtsverfahren beim OGH anhängig ist, das dieselbe Frage betrifft und aufgrund des Tukowiecka-Verfahrens unterbrochen wurde (siehe OGH 03.06.2025, 5 Ob 54/24p). Aufgrund der nun vorliegenden EuGH-Entscheidung rechnen wir mit einer baldigen Entscheidung in diesem Verfahren, die sich wohl eng an das EuGH-Urteil anlehnen wird. 

Für Banken stellen sich nach dem Tukowiecka-Urteil daher einige wichtige Praxisfragen:

Wann gilt ein Zahlungsvorgang als autorisiert?

Es ist unseres Erachtens wichtig zu betonen, dass das EuGH-Urteil nur nicht autorisierte Zahlungsvorgänge betrifft. Autorisiert der Kunde eine Überweisung selbst, greift die unverzügliche Erstattungspflicht hingegen nicht. Die ganz überwiegende Zahl der missbräuchlichen Zahlungstransaktionen betrifft mittlerweile autorisierte Zahlungstransaktionen, wie auch die österreichische Finanzmarktaufsichtsbehörde kürzlich aufzeigte. Demnach wurden zuletzt rund 98 % der betrügerischen Überweisungen von den Betroffenen selbst freigegeben, obwohl dafür eine starke Kundenauthentifizierung eingesetzt wurde (siehe den integrierten Bankvertriebsbericht 2026 der FMA). Das nunmehrige EuGH-Urteil rückt daher die trennscharfe Abgrenzung zwischen autorisierten und nicht autorisierten Zahlungen in den Fokus (siehe dazu zur Vertiefung auch unseren Fachartikel Fletzberger/Falke, Aktuelle Probleme bei missbräuchlichen Zahlungen - Autorisiert oder nicht autorisiert, das ist hier die Frage!, ZFR 2024, 364).

Welche Folgen hat das EuGH-Erkenntnis für die bestehenden Prozesse in Banken?

Zahlungsdienstleister müssen ihre Beschwerde- und Erstattungsprozesse bei missbräuchlichen Zahlungen anpassen, vor allem soweit sie bislang im Rahmen von nicht autorisierten Transaktionen die Erstattung wegen grober Fahrlässigkeit des Kunden ablehnen. Interne Prüfschritte, Ablehnungsschreiben, Rückforderungsschreiben, Kundeninformationen und auch die zugrundeliegenden AGB sollten überprüft und gegebenenfalls angepasst werden. Nachweise für spätere Rückforderungen müssen entsprechend gesichert werden.

Wir denken, dass auch die Regressmöglichkeit nach Art 92 PSD2 künftig eine größere Rolle spielen wird. Streitverkündigungen gegen das Empfängerinstitut werden vermutlich häufiger in Betracht gezogen werden.

Auch anhängige Altfälle müssen vor dem Hintergrund des Tukowiecka-Urteils neu bewertet werden.

Klar ist, dass die Betrugsausnahme mit Anzeige an die zuständige Behörde keine Standardlösung darstellt, denn meist ist der Kunde nur das Opfer: Selbst wenn er grob fahrlässig gehandelt hat, handelt er in aller Regel nicht betrügerisch.

Ausblick PSR

Art 57 des aktuellsten PSR-Entwurfs (Stand Oktober 2026) sieht vor, dass der Zahlungsdienstleister des Zahlers im Falle eines nicht autorisierten Zahlungsvorgangs dem Zahler den Betrag des nicht autorisierten Zahlungsvorgangs unverzüglich, spätestens jedoch bis zum Ende des folgenden Geschäftstages, nachdem er den nicht autorisierten Zahlungsvorgang festgestellt hat oder darüber informiert wurde, zu erstatten hat. Soweit, so gut. Hat der Zahlungsdienstleister des Zahlers jedoch objektiv begründete Anhaltspunkte für einen Verdacht, dass der Zahler vorsätzlich oder grob fahrlässig eine oder mehrere seiner Verpflichtungen gemäß Art 53 PSR nicht erfüllt hat, und teilt ihm diese Gründe schriftlich mit, dann greift die unverzügliche Erstattungspflicht nicht.

In dem Fall muss der Zahlungsdienstleister des Zahlers innerhalb von 15 Werktagen, nachdem er die Transaktion festgestellt hat oder darüber informiert wurde, eine der folgenden Maßnahmen ergreifen:

• entweder dem Zahler den Betrag des nicht autorisierten Zahlungsvorgangs erstatten, wenn der Zahlungsdienstleister des Zahlers nach weiterer Prüfung zu dem Schluss gekommen ist, dass der Zahler nicht betrügerisch gehandelt hat und auch nicht vorsätzlich oder grob fahrlässig eine oder mehrere der Verpflichtungen gemäß Art 53 PSR verletzt hat;
• oder dem Zahler eine Begründung für die Verweigerung der Rückerstattung vorlegen und die Stellen benennen, an die sich der Zahler gemäß den Art 100, 101, 103, 104 und 105 PSR wenden kann, falls der Zahler die angegebenen Gründe nicht akzeptiert, und, sofern der Zahlungsdienstleister zu dem Schluss gelangt, dass der Zahler betrügerisch gehandelt hat, die Gründe für diese Schlussfolgerung der zuständigen nationalen Behörde mitteilen.

Kommt die PSR in dieser Form, ist Tukowiecka wohl Geschichte, denn die PSR sieht eine deutlich vom nunmehrigen Zwei-Phasen-Modell "Zuerst erstatten, dann streiten!" abweichende Regelung vor, die unseres Erachtens auch praktikabler ist. Es ist etwa völlig praxisfremd anzunehmen, dass die bei missbräuchlichen Transaktionen oftmals auftretenden Sachverhaltsfragen innerhalb eines Tages gelöst werden können. Schon die 15-Tage-Frist sollte hier künftig zu besseren, richtigen Resultaten führen, sprich Entscheidungen der Zahlungsdienstleister auf Basis eines soliden Sachverhalts über die fragliche Transaktion. 

Wie können wir Ihnen helfen?

PFR berät Banken, E-Geldinstitute und Zahlungsinstitute bei Streitfällen mit Kunden wegen missbräuchlicher Zahlungen. Weiters unterstützen wir derzeit viele Institute bei der Vorbereitung auf PSR und PSD3.