Das Oberlandesgericht Karlsruhe entschied, dass eine Bank für nicht autorisierte Zahlungsvorgänge haftet, wenn die Anforderungen an eine starke Kundenauthentifizierung nicht erfüllt wurden (Az. 17 U 113/23). Im Streitfall begehrte der Kläger von der beklagten Bank die Erstattung ohne Autorisierung abgebuchter Beträge in Höhe von rund 42.000 Euro, die Beklagte wendete dagegen Schadensersatzansprüche in gleicher Höhe ein. Das Landgericht Karlsruhe hat der Klage mit Ausnahme der Zinsforderung stattgegeben. Dem Kläger stehe gem. §§ 675f, 675u BGB ein Anspruch auf Gutschrift zu. Der Kläger habe die streitgegenständlichen 122 Zahlungsvorgänge nach der Überzeugung des Landgerichts nicht autorisiert. Maßgeblich sei, ob der einzelne Zahlungsvorgang autorisiert worden sei – auf die Einrichtung des Bezahlverfahrens vor der ersten Transaktion komme es in diesem Zusammenhang nicht an. Der beklagten Bank stehe kein Gegenanspruch aus § 675v Abs. 3 Nr. 2 BGB zu. Der Kläger habe nicht grob fahrlässig gegen seine Pflichten aus § 675l Abs 1 Satz 1 BGB oder den Allgemeinen Geschäftsbedingungen der Bank verstoßen. Der Kläger habe allenfalls leicht fahrlässig das Bezahlverfahren Apple Pay über die PushTAN-App auf seinem iPhone für das fremde iPhone des unbekannten Betrügers während eines Meetings mit seinem Chef und damit in einer besonderen Situation mit Ablenkungspotenzial versehentlich freigegeben, ohne dies zu bemerken und zu realisieren. Die Beklagte argumentierte, dass der Kläger grob fahrlässig gehandelt habe, indem er die Freigabe erteilte und seinen Kontostand nicht regelmäßig kontrollierte.
Das Oberlandesgericht Karlsruhe hat die Berufung der Beklagten zurückgewiesen. Es stellte fest, dass die Beklagte keine ausreichenden Maßnahmen zur starken Kundenauthentifizierung getroffen hatte, um sicherzustellen, dass die digitale Debitkarte ausschließlich auf einem Gerät des Klägers gespeichert wird. Die Beklagte wurde verpflichtet, dem Kläger über 42.000 Euro zu erstatten, die durch die nicht autorisierten Zahlungsvorgänge über Apple Pay abgebucht wurden. Der Kläger habe nicht grob fahrlässig gehandelt, obwohl er versehentlich einen Freigabe-Button betätigte. Das Oberlandesgericht stellte klar, dass die allgemeine Formulierung „Karte registrieren“ in der App für den Kläger nicht eindeutig erkennen ließ, dass er eine digitale Debitkarte auf einem fremden Gerät freigibt. Der Kläger habe die Freigabe versehentlich während eines Meetings erteilt, was angesichts der Ablenkung subjektiv entschuldbar sei. Des Weiteren sei der Kläger nicht verpflichtet gewesen, seinen Kontostand häufiger als alle zwei Wochen zu kontrollieren.
Allerdings wurde die Revision zum Bundesgerichtshof zugelassen, da die Frage, welche Anforderungen an das „Verlangen“ einer starken Kundenauthentifizierung durch Zahlungsdienstleister zu stellen sind, über den Einzelfall hinausgehend grundsätzliche Bedeutung hat.