Hinweis: über diese Betrugsmasche haben wir bereits berichtet, siehe hier.
Als im Handwerksunternehmen kein Geld einging und sich die Manipulation herausstellte, verlangte das Handwerksunternehmen die erneute Zahlung.
Das Landgericht entschied in erster Instanz, dass die Zahlung an den unbekannten Dritten die Zahlungspflicht des Kunden nicht erfülle (§ 362 Abs. 2 BGB). Das Unternehmen habe keine Pflichten verletzt und die Mail über die Transportverschlüsselung SMTP (Simple Mail Transfer Protocol) über TLS (Transport Layer Security) verschickt. Dies reiche im Geschäftsverkehr aus.
In der zweiten Instanz beurteilte das OLG zwar die Erfüllung der Forderung bei Zahlung auf ein falsches Konto identisch – die Forderung sei dadurch nicht ausgeglichen. Allerdings sprach es dem Kunden auch einen Schadensersatzanspruch (bspw. aus Artikel 82 Abs. 2 DSGVO) in Höhe der Überweisung zu (§ 242 BGB).
Dazu müssen drei Bedingungen erfüllt sein: eine schuldhafte unrechtmäßige Datenverarbeitung und ein entstandener Schaden. Zudem muss ein ursächlicher Zusammenhang bestehen. In dem beschriebenen Fall hatte das Unternehmen nur eine ungenügende Transportverschlüsselung gewählt, die nach der DSGVO im Rahmen der technisch und organisatorischen Maßnahmen (TOM´s) ungeeignet sei. Jedes Unternehmen müsse gewährleisten, dass es nach Artikel 5 Abs. 2, Artikel 24 und 32 DSGVO angemessene Sicherheitsmaßnahmen für den Versand personenbezogener Daten trifft. Das stelle nur eine End-to-End-Verschlüsselung wirklich sicher, wofür der Versender in der Beweispflicht ist. Jedem Unternehmen ist der technische und finanzielle Aufwand für den Transportweg per E-Mail zumutbar. Der Kunde hat jedoch evtl. ein Mitverschulden, wenn Abweichungen in der E-Mail zu erkennen waren.
(OLG Schleswig-Holstein, Urteil vom 18.12.2024, Az. 12 U 9/24).
Unser Hinweis:
Verschlüsselte e-mails zu Kunden zu senden, dürfte sich in der Praxis als aufwändig erweisen. Denn immerhin muss der Kunde ja auch einen Schlüssel erhalten. Bei Bauvorhaben mit mehreren Rechnungen (wie im entschiedenen Fall) mag dieser Aufwand noch sinnvoll sein; bei Einzelrechnungen ist dies doch eher schwierig.
In naher Zukunft werden E-Rechnungsplattformen und Netzwerke (bspw. Peppol) die sichere Übermittlung bei Rechnungen unter Unternhemen gewährleisten. Im Zuge der E-Rechnung werden der Empfang und Versand von PDF-Rechnungen per E-Mail im B2B-Bereich ab 2028 Vergangenheit sein. Ab dann werden EU-weit E-Rechnungen ausnahmslos über die Plattform ViDA (Vat in the Digital Age) verschickt und empfangen. ViDA wird den Rechnungsdatenabgleich in Echtzeit und die digitale Meldung der Umsatzsteuer umfassen.
Bei Rechnungen B2C (also Rechnungen vom Betrieb an Verbraucher) gilt die E-Rechnung hingegen ja nicht. Hier wäre zu überlegen, entweder auf Verschlüsselung zu setzen oder Rechnungen im Papierform zu versenden. Auch in Bayern gab es schon entsprechende Fälle im Handwerk. Da der Kunde letztlich die abgefangene Rechnung nur mit veränderter Bankverbindung erhält, wird dieser Fehler in aller Regel kaum auffallen. Das Risiko ist für den Betrieb also momentan recht hoch, dass er am Ende keine Bezahlung erhält, weil der Kunde gegen die Rechnungsforderung mit einem Schadenersatzanspruch in gleicher Höhe aufrechnen kann.