BECKMANN UND NORDA - Rechtsanwälte Bielefeld

LG Düsseldorf
Urteil vom 04.12.2024
2a O 112/23

Das LG Düsseldorf hat entschieden, dass Google nach Art. 6 Digital Services Act als Störer für rechtswidrige Google Ads ab Kenntnis von der Rechtsverletzung haftet.

Aus den Entscheidungsgründen:
Die Verfügungsklägerin hat einen Verfügungsanspruch und einen Verfügungsgrund hinreichend glaubhaft gemacht, §§ 935, 940, 936, 916 ff. ZPO.

I. Die Verfügungsklägerin hat hinreichend glaubhaft gemacht, dass ihr aus der Verfügungsmarke ein Unterlassungsanspruch gegen die Verfügungsbeklagte aus Artikel 9 Absatz 1, Absatz 2 lit. a), Artikel 130 Absatz 1 der Unionsmarkenverordnung (UMV) zusteht. Denn die Verfügungsbeklagte hat trotz vorangegangener Hinweise der Verfügungsklägerin auf Markenrechtsverletzungen von Dritten durch Verwendung des angegriffenen Zeichens auf der von ihr betriebenen Plattform nicht effektiv dafür gesorgt, dass gleichartige Verstöße beseitigt und effektiv verhindert werden.

Gemäß Artikel 9 Absatz 1, Absatz 2 lit. a) UMV erwirbt der Inhaber einer Unionsmarke mit ihrer Eintragung ein ausschließliches Recht, das es ihm unbeschadet der von Inhabern vor dem Zeitpunkt der Anmeldung oder dem Prioritätstag der Unionsmarke erworbenen Rechte gestattet, es Dritten zu verbieten, ohne seine Zustimmung im geschäftlichen Verkehr ein Zeichen für Waren oder Dienstleistungen zu benutzen, wenn das Zeichen mit der Unionsmarke identisch ist und für Waren oder Dienstleistungen benutzt wird, die mit denjenigen identisch sind, für die die Unionsmarke eingetragen ist.

1. Die Verfügungsklägerin ist als Markeninhaberin aktivlegitimiert.

2. Das angegriffene Zeichen wurde – wie aus dem Screenshot unter Ziffer I. des Verfügungstenors des Beschlusses vom 20.06.2023 sowie der in Bezug genommenen Anlage und der Anlage AS 16 ersichtlich – von Dritten markenmäßig im geschäftlichen Verkehr benutzt.

Von einer kennzeichenmäßigen beziehungsweise markenmäßigen Verwendung ist auszugehen, wenn ein nicht unerheblicher Teil des angesprochenen Verkehrs in einem Zeichen den Hinweis auf die Herkunft einer Ware oder Dienstleistung aus einem bestimmten Unternehmen sieht (BGH, Urteil vom 07.03.2019 – I ZR 195/17 – GRUR 2019, 522 – SAM; Urteil vom 05.02.2009 – I ZR 167/06 – GRUR 2009, 484, Randnummer 61 – METROBUS). Unter die markenmäßige beziehungsweise kennzeichenmäßige Benutzung fällt insbesondere nicht der Gebrauch einer beschreibenden Angabe oder eine Zeichenverwendung, bei der ausgeschlossen ist, dass die benutzte Marke im Verkehr als betriebliches Herkunftszeichen aufgefasst wird (BGH, Urteil vom 13.03.2008 – I ZR 151/05 – GRUR 2008, 912, Randnummer 19 – Metrosex, mit weiteren Nachweisen; Europäischer Gerichtshof (EuGH), Urteil vom 18.06.2009 – C-487/07 – GRUR 2009, 756 Randnummer 61 – L’ORÉAL/BELLURE; Urteil vom 12.11.2002 – C-206/01 – GRUR 2003, 55 Randnummer 54 – ARSENAL FOOTBALL CLUB; Urteil vom 14.05.2002 – C-2/00 – GRUR 2002, 692 Randnummer 17 – Hölterhoff). Bei der Beurteilung, ob der Verkehr in der konkret in Rede stehenden Verwendung eines Zeichens einen Herkunftshinweis sieht, ist auf die Kennzeichnungsgewohnheiten in dem maßgeblichen Warensektor abzustellen, insbesondere die Art und Weise, in der Kennzeichnungsmittel bei den betreffenden Waren üblicherweise verwendet werden (BGH, Urteil vom 07.03.2019 – I ZR 195/17 – GRUR 2019, 522 – SAM; vergleiche auch BGH, Urteil vom 22.07.2004 – I ZR 204/01 – GRUR 2004, 865, 866 Randnummer 33 – Mustang). Dabei wird die Verkehrsauffassung auch durch die konkrete Aufmachung bestimmt, in der die angegriffene Bezeichnung dem Publikum entgegentritt (BGH, Urteil vom 07.03.2019 – I ZR 195/17 – GRUR 2019, 522 Randnummer 42 – SAM).

Nach den vorstehenden Grundsätzen liegt hier eine markenmäßige Benutzung durch Dritte vor, da der durchschnittliche Internetnutzer – der von einer fehlenden Verbindung von Markeninhaber und Werbenden keine Kenntnis hat – aufgrund der konkreten Ausgestaltung der streitgegenständlichen Anzeige jedenfalls nicht erkennen kann, ob der jeweils Werbende im Verhältnis zur Verfügungsklägerin als Markeninhaberin Dritter oder mit dieser wirtschaftlich verbunden ist. In der vorliegenden Anzeige beabsichtigten die Benutzer vielmehr dem angesprochenen Verkehr nicht nur eine Alternative zu dem Angebot der Verfügungsklägerin darzubieten, sondern diesen glauben zu machen, dass die Anzeige von der Verfügungsklägerin als Markeninhaberin selbst stammt. Da die Phishingseitenbetreiber das angegriffene Zeichen aufgrund der konkreten Verwendung für Waren und Dienstleistungen benutzt haben, indem sie ihre Werbung an die Verwendung des Kennzeichens geknüpft haben, wird das angegriffene Zeichen zweifelsfrei als Herkunftshinweis verstanden. Die Verfügungsmarke wurde vollständig in die Werbeanzeige übernommen in der Absicht, bei dem angesprochenen Verkehr den falschen Eindruck zu erwecken, sie stamme von der Verfügungsklägerin. Denn durch den Verweis auf die Homepage der Verfügungsklägerin (www.s.com)  soll und wird der angesprochene Verkehr die Anzeige der Verfügungsklägerin zuordnen.

3. Es liegt Doppelidentität im Sinne des Artikels 9 Absatz 2 lit. a) UMV vor.

Es besteht zum einen Zeichenidentität, da die Verfügungsmarke „S.“ von den Phishingseitenbetreibern identisch übernommen worden ist. Zudem liegt Dienstleistungsidentität vor, da suggeriert wird, dass unter dem angegriffenen Zeichen über die streitgegenständlichen Anzeigen beziehungsweise mit den über sie verlinkten Websites so genannte „Skins“ (virtuelle Gegenstände) für Computerspiele beworben, angeboten und vertrieben werden und die Verfügungsmarke für eben diese Dienstleistungen – Einzelhandelsdienstleistungen in Bezug auf Computersoftware; Dienstleistungen für elektronische Spiele, die über das Internet bereitgestellt werden – Schutz genießt.

4. Die Verfügungsbeklagte ist als Störerin passivlegitimiert.

a. Sie haftet vorliegend nicht als Täterin oder Teilnehmerin.

Sie erfüllt durch die Zurverfügungstellung ihrer Online-Suchmaschine mit der Möglichkeit, Werbeanzeigen zu schalten, nicht selbst den Tatbestand einer Markenverletzung gemäß Artikel 9 Absatz 2 lit. a) UMV. Denn sie betreibt weder die angegriffenen Phishingwebsites unter Nutzung des angegriffenen Zeichens, noch benutzt sie diese in Werbeanzeigen (vergleiche BGH GRUR 2007, 708 Randnummer 28 – INTERNET-VERSTEIGERUNG II).

Auch eine Haftung als Teilnehmerin an der Markenverletzung der Phishingseitenbetreiber scheidet aus. Eine solche setzt für die in Betracht kommende Gehilfenstellung zumindest einen bedingten Vorsatz voraus, der das Bewusstsein der Rechtswidrigkeit einschließen muss (vergleiche BGHZ 158, 236 [250] = GRUR 2004, 860 = NJW 2004, 3102 - Internet-Versteigerung I; GRUR 2007, 708 Randnummer 31 – INTERNET-VERSTEIGERUNG II). Nach dem unbestrittenen Vortrag der Verfügungsbeklagten erfolgt indes vor Inserierung keine Überprüfung der Werbeanzeigen hinsichtlich etwaiger Markenrechtsverletzungen. Dass die Verfügungsbeklagte vor den Hinweisen der Verfügungsklägerin Kenntnis von den konkreten Verstößen gehabt hätte, ist weder vorgetragen noch ersichtlich. Der Umstand, dass die Verfügungsbeklagte allgemein Kenntnis von möglichen Gesetzesverstößen auf ihrer Plattform gehabt und/oder damit gerechnet haben mag, dass es dort zu vergleichbaren Rechtsverletzungen kommt, begründet noch keinen bedingten Vorsatz in Bezug auf die ihr nicht konkret zur Kenntnis gelangten Gesetzesverstöße Dritter (BGH GRUR 2022, 1324 Randnummer 26 – uploaded II).

b. Die Verfügungsbeklagte haftet jedoch vorliegend als Störerin.

Die Störerhaftung steht in Einklang mit den Vorgaben des nunmehr geltenden Artikel 6 Absatz 1 Digital Services Act (VO (EU) Nr. 2022/2065) (DSA).

Bei der Verfügungsbeklagten handelt es sich um einen Vermittlungsdienstleister im Sinne des Artikels 2 Absatz 1 DSA, weil sie einen „Hosting“- Dienst betreibt, der darin besteht, von einem Nutzer bereitgestellte Informationen in dessen Auftrag zu speichern (Artikel 3 lit. g) iii) DSA). Es ist weder vorgetragen noch ersichtlich, dass die Verfügungsbeklagte beim Generieren von Werbeanzeigen mit der Google Ads-Funktion ihre neutrale Rolle verlassen und eine aktive Rolle eingenommen hätte (vergleiche Erwägungsgrund 18 Satz 1 DSA), indem sie bewusst mit einem Nutzer zusammenarbeitet, um rechtswidrige Tätigkeiten auszuüben (vergleiche Erwägungsgrund 18 Satz 1 DSA). Allein die Bereitstellung der technischen Infrastruktur samt Such- und Rankingfunktion ist nicht geeignet, eine aktive Rolle des Diensteanbieters zu begründen (vergleiche EuGH GRUR 2021, 1054 Randnummern 95, 107 fortfolgende – YouTube und Cyando).

Nach Artikel 8 DSA wird Anbietern von Vermittlungsdiensten keine allgemeine Verpflichtung auferlegt, die von ihnen übermittelten oder gespeicherten Informationen zu überwachen oder aktiv nach Umständen zu forschen, die auf eine rechtswidrige Tätigkeit hindeuten. Diese Regelung entspricht der vormals einschlägigen Haftungsprivilegierung der Diensteanbieter nach Artikeln 12 bis 15 der e-commerce-Richtlinie 2000/31/EG und §§ 7 bis 10 Telemediengesetz. Danach war anerkannt, dass Betreiber von Internetplattformen mit Blick auf fremde Inhalte keiner allgemeinen, proaktiven Prüfungspflicht unterliegen, sondern erst tätig werden müssen, wenn sie auf eine klare Rechtsverletzung hingewiesen worden sind (vergleiche EuGH, Urteil vom 12.07.2011 – C-324/09).

Artikel 6 Absatz 1 DSA sieht für das sogenannte Hosting nunmehr vor, dass bei der Durchführung eines Dienstes der Informationsgesellschaft, der in der Speicherung der von einem Nutzer bereitgestellten Informationen besteht, der Diensteanbieter nicht für die im Auftrag eines Nutzers gespeicherten Informationen haftet, sofern er keine tatsächliche Kenntnis von einer rechtswidrigen Tätigkeit oder rechtswidrigen Inhalten hat und sich in Bezug auf Schadenersatzansprüche auch keiner Tatsachen oder Umstände bewusst ist, aus denen eine rechtswidrige Tätigkeit oder rechtswidrige Inhalte offensichtlich hervorgehen (Buchstabe a), oder sobald er diese Kenntnis oder dieses Bewusstsein erlangt, zügig tätig wird, um den Zugang zu den rechtswidrigen Inhalten zu sperren oder diese zu entfernen (Buchstabe b).
Jedoch wird nach Artikel 6 Absatz 4 DSA die Möglichkeit unberührt gelassen, dass eine Justiz- oder Verwaltungsbehörde nach dem Rechtssystem eines Mitgliedstaats vom Diensteanbieter verlangt, eine Zuwiderhandlung abzustellen oder zu verhindern.

Da die UMV für den Unterlassungsanspruch eine eigenständige abschließende Regelung in Artikel 130 Absatz 1 UMV enthält, kann zwar weder für die Voraussetzungen noch den Umfang des Anspruchs unmittelbar auf das nationale Recht zurückgegriffen werden. Jedoch wird der Inhalt dieses autonomen Unterlassungsanspruchs durch Artikel 11 Satz 3 der Richtlinie 2004/48/EG zur Durchsetzung der Rechte des geistigen Eigentums (Durchsetzungsrichtlinie) im Hinblick auf die Haftung von „Mittelspersonen“ näher bestimmt, nach deren Artikel 9 die Mitgliedstaaten sicherzustellen haben, dass Rechtsinhaber im Falle der (drohenden) Verletzung eines Rechts des geistigen Eigentums eine gerichtliche Anordnung gegen Mittelspersonen beantragen können, deren Dienste von einem Dritten zwecks dieser Rechtsverletzung in Anspruch genommen werden (vergleiche BGH GRUR 2007, 708 Randnummer 35 – INTERNET-VERSTEIGERUNG II).

Als Störer kann bei der Verletzung absoluter Rechte – zu denen auch Marken zählen – auf Unterlassung in Anspruch genommen werden, wer – ohne Täter oder Teilnehmer zu sein – in irgendeiner Weise willentlich und adäquat-kausal zur Verletzung des geschützten Rechtsguts beigetragen hat. Die Haftung als Störer darf nach ständiger höchstrichterlicher Rechtsprechung aber nicht über Gebühr auf Dritte erstreckt werden, welche die rechtswidrige Beeinträchtigung nicht selbst vorgenommen haben. Sie setzt deshalb die Verletzung von Verhaltenspflichten, insbesondere von Prüfpflichten, voraus. Deren Umfang bestimmt sich danach, ob und inwieweit dem als Störer in Anspruch Genommenen nach den Umständen des Einzelfalls eine Verhinderung der Verletzung zuzumuten ist. Das richtet sich nach den jeweiligen Umständen des Einzelfalls unter Berücksichtigung der Funktion und Aufgabenstellung des als Störer in Anspruch Genommenen sowie mit Blick auf die Eigenverantwortung desjenigen, der die rechtswidrige Beeinträchtigung selbst unmittelbar vorgenommen hat (vergleiche auch BGH, Urteil vom 27.02.2018 – VI ZR 489/16 – Internetforum; BGH, Urteil vom 01.03. 2016 – VI ZR 34/15 – jameda.de II).
Vor dem Hintergrund der vorstehenden Ausführungen lösten das anwaltliche Abmahnschreiben der Verfügungsklägerin vom 25.05.2023 (vergleiche Anlage AS 13a) sowie deren anwaltliche E-Mail vom 30.05.2023 (vergleiche Anlage AS 15) eine Störerhaftung der Verfügungsbeklagten als Suchmaschinenbetreiberin aus. Hierdurch wurde die Verfügungsbeklagte hinreichend konkret von den klaren Rechtsverletzungen in Kenntnis gesetzt, so dass sie für die weiter fortwährenden – kerngleichen – Verletzungen als Störerin haftet. Dies gilt umso mehr, als die Verfügungsklägerin die Verfügungsbeklagte im Rahmen ihres Abmahnschreibens vom 25.05.2023 ausdrücklich und umfänglich auf die Art der zu unterlassenden Werbeanzeigen hingewiesen und zudem konkret auf die Werbeanzeige des „A. G., Türkei“ Bezug genommen hat, sodass es der Verfügungsbeklagten zum einen möglich war, die konkret angegriffene Werbeanzeige ausfindig zu machen und es zum anderen für sie ohne Weiteres erkennbar war, auf welche Art von Werbeanzeigen sich ihre Prüfpflichten erstrecken und welche Verletzungshandlungen zu unterlassen sind (vergleiche zu dem Umfang insoweit im Einzelnen Ströbele/Hacker/Thiering, MarkenG, 14. Auflage 2024, § 14 Randnummer 500 folgende).
Dabei ist die Kenntniserlangung nicht dahingehend auszulegen, dass jede einzelne, obwohl kerngleiche Verletzung erst zur Kenntnis gebracht werden muss, da ein solches Erfordernis einen effektiven Schutz des Markeninhabers, der jede Markenverletzung zunächst hinzunehmen hätte, ins Leere laufen lassen würde. So wird auch im Urheberrecht eine mit dem vorliegenden Sachverhalt vergleichbare Verantwortlichkeit eines Providers angenommen, wenn ein Nutzer in großem Umfang urheberrechtlich geschützte Musikstücke auf dem Rechner des Hostproviders für jedermann zum Download bereitstellt und der Provider zwar die einzelnen Musikstücke nicht kennt, wohl aber weiß, dass sie vom Nutzer ohne Zustimmung des Rechteinhabers öffentlich zugänglich gemacht werden (vergleiche zu § 10 TMG bereits MüKoStGB/Altenhain TMG, § 10 Randnummer 10). Vor diesem Hintergrund kann auch dahinstehen, ob die weiteren angegriffenen Anzeigen einschließlich der des Werbetreibenden „A. A.“ der Verfügungsbeklagten vorab in geeigneter Form zur Kenntnis gebracht worden sind.
Unter Abwägung der widerstreitenden Interessen der Parteien stellt sich diese Auslegung mit Blick auf einen effektiven Markenschutz bei kerngleichen Verletzungen als verhältnismäßig dar. Denn es kann auch vorliegend nicht zulasten der Verfügungsklägerin gehen, dass Phishingseitenbetreiber das durch die Verfügungsbeklagte bereitgestellte System ausnutzen, indem sie nach Sperrung einer Website sogleich neue Anzeigen unter Verwendung beispielsweise anderer Identitäten oder Landing-Pages schalten. Demgegenüber wird der Verfügungsbeklagten hierdurch keine allgemeine Prüfpflicht auferlegt, da ihr keine allgemeine Unterlassungsverpflichtung zur Nutzung des angegriffenen Zeichens auferlegt wird. Diese bezieht sich vielmehr lediglich auf Werbeanzeigen, welche die konkret benannte, markenrechtsverletzende Domain s.com ausweisen, jedoch nicht auf die Landing-Page s.com verlinken. Dabei ist auch zu berücksichtigten, dass die Verfügungsbeklagte im Rahmen der Google-Ads Anzeigen mit Gewinnerzielungsabsicht handelt und vor diesem Hintergrund das Ergreifen geeigneter Maßnahmen zur Unterbindung ihr bekannter Markenrechtverletzungen beispielsweise durch Anpassung der automatisierten Prozesse zur Anzeigenerstellung keine unzumutbare Belastung darstellt.

5. Es liegt auch Wiederholungsgefahr vor. Zwar ist der Betreiber einer Internethandelsplattform und entsprechend auch ein Suchmaschinenbetreiber wie die Verfügungsbeklagte grundsätzlich nicht gehalten, jedes Angebot beziehungsweise jedes Suchergebnis vor der in einem automatisierten Verfahren erfolgenden Veröffentlichung im Internet auf eine mögliche Rechtsverletzung hin zu untersuchen. Wird er allerdings – wie die Verfügungsbeklagte im Streitfall – auf eine klare Rechtsverletzung hingewiesen, muss er nicht nur das konkrete Angebot unverzüglich sperren, sondern auch Vorsorge treffen, dass es möglichst nicht zu weiteren derartigen Markenrechtsverletzungen kommt (vergleiche hierzu im Einzelnen BGH, Urteil vom 17. 8. 2011 – I ZR 57/09 – Stiftparfüm). Daraus ergibt sich, dass eine Verhaltenspflicht des Betreibers, deren Verletzung eine Wiederholungsgefahr begründen kann, erst nach Erlangung der Kenntnis von der Rechtsverletzung entstehen kann. Damit kann in derjenigen Verletzungshandlung, die Gegenstand einer Abmahnung oder sonstigen Mitteilung ist, mit welcher der Betreiber des Online-Marktplatzes erstmalig Kenntnis von einer Rechtsverletzung erlangt, keine Verletzungshandlung gesehen werden, die eine Wiederholungsgefahr im Sinne eines Verletzungsunterlassungsanspruchs begründet (BGH, Urteil vom 17.08.2011 – I ZR 57/09 – Stiftparfüm). Für die Annahme von Wiederholungsgefahr ist vielmehr eine vollendete Verletzung nach Begründung der Pflicht zur Verhinderung weiterer derartiger Rechtsverletzungen erforderlich (vergleiche BGH, Urteil vom 12.07.2007 – I ZR 18/04 – Jugendgefährdende Medien bei eBay).

Dies ist hier jedoch der Fall, da die Verfügungsbeklagte eben diesen Pflichten – nach erstmaliger Kenntniserlangung der Rechtsverletzung Ende Mai 2023 – nicht nachgekommen ist, sondern weitere – kerngleiche - Verletzungshandlungen begangen wurden (vergleiche Anlage AS 16). Die Verfügungsbeklagte hat die durch die Verletzung indizierte Wiederholungsgefahr nicht durch die Abgabe einer strafbewehrten Unterlassungs- und Verpflichtungserklärung ausgeräumt.

II. Der gemäß §§ 935, 940 Zivilprozessordnung erforderliche Verfügungsgrund ist gegeben.
Der Erlass einer vollstreckbaren Entscheidung aufgrund eines bloß summarischen Verfahrens bedarf einer besonderen Rechtfertigung. Den Nachteilen, die der Verfügungsklägerin aus einem Zuwarten bis zu einer Entscheidung in der Hauptsache entstehen können, sind die Nachteile gegenüber zu stellen, die der Verfügungsbeklagten aus der Anordnung drohen. Das Interesse der Verfügungsklägerin muss so sehr überwiegen, dass der beantragte Eingriff in die Sphäre der Verfügungsbeklagten aufgrund eines bloß summarischen Verfahrens gerechtfertigt ist (Oberlandesgericht Düsseldorf, GRUR-RR 2012, 146, 147 – E-Sky; Berneke/Schüttpelz, Die einstweilige Verfügung in Wettbewerbssachen, 4. Auflage 2018, Randnummer 110).

Ein solches Überwiegen der Interessen der Verfügungsklägerin ist vorliegend gegeben. Bei der fortgesetzten Verwendung der streitgegenständlichen Werbeanzeigen droht ihr als Markeninhaberin eine nachhaltige Schädigung der Kennzeichnungskraft und Wertschätzung ihrer Verfügungsmarke, die nachträglich nicht mehr beseitigt werden kann. Dem Erlass der einstweiligen Verfügung stehen schutzwürdige Belange der Verfügungsbeklagten nicht entgegen.
Hinsichtlich der Dringlichkeit der einstweiligen Verfügung bestehen keine Bedenken. Diese wird nach Artikel 129 Absatz 2 UMV, § 140 Absatz 3 Markengesetz vermutet.

Den Volltext der Entscheidung finden Sie hier:

LG Hagen
Urteil vom 15.10.2024
9 O 258/23

Das LG Hagen hat entschieden, dass eine Cyberversicherung nicht bei Schäden durch betrügerische E-Mails greift, da es in solchen Fällen an der dafür notwendigen IT-Sicherheitsverletzung fehlt.

Aus den Entscheidungsgründen:
Die Klägerin hat keinen Anspruch auf Zahlung in Höhe von 85.000,00 € gegen die Beklagte aus dem zwischen den Parteien bestehenden Versicherungsvertrag über eine Cyber-Versicherung in Verbindung mit § 1 VVG.

1. Es liegt kein Versicherungsfall vor, weil es an einer Informationssicherheitsverletzung im Sinne des Teil A Ziff. 4 der AVB fehlt. Weder liegt eine Verletzung datenschutzrechtlicher Bestimmungen (Teil A Ziffer 3.1 AVB) noch eine Vertraulichkeitsverletzung (Teil A Ziffer 3.2 AVB) noch eine Netzwerksicherheitsverletzung (Teil A Ziffer 3.3 AVB) vor.

a) Eine Verletzung datenschutzrechtlicher Bestimmungen liegt schon deshalb nicht vor, weil die Klägerin als Versicherungsnehmerin keinen Verstoß gegen datenschutzrechtliche Bestimmungen begangen hat.

Für eine Vertraulichkeitsverletzung im Sinne der AVB fehlt es an einer Verletzung der Vertraulichkeit Daten Dritter durch die Klägerin.

b) Auch eine Netzwerksicherheitsverletzung liegt nicht vor. Dies ergibt die Auslegung der zugrundeliegenden AVB, hier Teil A Ziffer 3.3. der AVB.

Allgemeine Versicherungsbedingungen sind so auszulegen, wie ein durchschnittlicher, um Verständnis bemühter Versicherungsnehmer sie bei verständiger Würdigung, aufmerksamer Durchsicht und unter Berücksichtigung des erkennbaren Sinnzusammenhangs versteht. Dabei kommt es auf die Verständnismöglichkeiten eines Versicherungsnehmers ohne versicherungsrechtliche Spezialkenntnisse und damit auch auf seine Interessen an. In erster Linie ist vom Bedingungswortlaut auszugehen. Der mit dem Bedingungswerk verfolgte Zweck und der Sinnzusammenhang der Klauseln sind zusätzlich zu berücksichtigen, soweit sie für den Versicherungsnehmer erkennbar sind (BGH r+s 2020, 163 Rn. 9, beck-online m.w.N.).

Ein solcher Versicherungsnehmer wird die entsprechende Klausel dahin verstehen, dass es zu einer Verletzung der Sicherheit des Netzwerkes der Klägerin gekommen sein muss und eine derartige Verletzung bei dem Empfang von E-Mails, die von einem anderen als dem in den E-Mails angegebenen Absender stammen, nicht gegeben ist. Allein der Umstand, dass aufgrund der unautorisierten Verwendung des E-Mail Exchange Servers des Lieferanten möglicherweise eine nicht zu erkennende Täuschung vorgelegen hat, stellt keinen direkten Angriff auf die Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme der Klägerin dar. Die informationstechnischen Systeme – auch das E-Mail System der Klägerin – und letztlich auch das Netzwerk der Klägerin funktionierten wie vorgesehen. Mails konnten auf normale Weise und unverändert empfangen und gesendet werden. Betroffen von dem Cyber-Angriff war lediglich ein Netzwerk eines Dritten.

Berücksichtigt werden müssen bei einer Auslegung der Versicherungsbedingungen weiterhin die – nicht abschließenden – Regelbeispiele aus Teil A Ziff. 3.3.1., in denen es auszugsweise heißt:

Keine Netzwerksicherheitsverletzung liegt vor, wenn

(3) Beeinträchtigungen der oben genannten Art in Netzwerken Dritter stattfinden, die Auswirkungen jedoch auch beim Versicherungsnehmer auftreten (z. B. man-in-the-middle Angriff bei Zulieferer);

(4) kein Eingriff in das Netzwerk des Versicherungsnehmers stattgefunden hat (z. B. fake president Angriffe mittels nachgebildeter E-Mail-Adresse).

Aus diesen Regelbeispielen kann ein durchschnittlicher und verständiger Versicherungsnehmer erkennen, dass der vorliegende Fall, der zu den eben genannten Regelbeispielen Ähnlichkeiten aufweist, nicht zu den versicherten Risiken zählt. Voraussetzung des Versicherungsschutzes bleibt eine Netzwerksicherheitsverletzung bei dem Versicherungsnehmer selbst, die nicht vorliegt. Beeinträchtigungen bei Dritten sind keine Netzwerksicherheitsverletzung bei der Klägerin. In Abgrenzung zu einem Cyber-Angriff handelt es sich im vorliegenden Fall einer dem „normalen“ Betrug nahen Tat.

Auch im Übrigen ist dieses Verständnis der AVB sachgerecht. Denn im vorliegenden Fall ist die Klägerin auf eine betrügerische E-Mail hereingefallen. Dieses Risiko ist heute allgegenwärtig und nichts, was notwendigerweise durch eine Cyber-Versicherung abzusichern wäre. Andernfalls wäre jedweder E-Mail-Verkehr mit Spam- oder Phishing-Mails eine Netzwerksicherheitsverletzung bei dem Versicherungsnehmer. Das versicherte Risiko würde sich auf den weltweiten E-Mail-Verkehr ausweiten.

c) Auch liegt kein Versicherungsfall nach der Vertrauensschadenversicherung nach Teil D. Ziff. 1 AVB vor. Der Versicherungsfall ist ergänzend in der Vertrauensschadenversicherung zunächst unter Teil D. Ziff.1 wie folgt definiert:

Versicherungsschutz besteht für den Versicherungsnehmer wegen eines Versicherungsfalles im Sinne von Teil A Ziffer 4, wenn die Informationssicherheitsverletzung vorsätzlich und rechtswidrig erfolgte und nach den gesetzlichen Bestimmungen über unerlaubte Handlungen zum Schadenersatz verpflichtet und der Versicherungsnehmer unmittelbar dadurch einen Vermögensschaden erleidet. Es ist dabei unerheblich, ob die Informationssicherheitsverletzung von Mitarbeitern des Versicherungsnehmers oder von Dritten erfolgte.

Weiterhin besteht Versicherungsschutz auch für einen eingetretenen „Täuschungsschaden“ (Teil D. Ziff. 1.2.):

Versicherungsschutz besteht für den mittelbar entstandenen Vermögensschaden, wenn ein Mitarbeiter des Versicherungsnehmers auf Grund einer Informationssicherheitsverletzung gemäß Teil A Ziffer 3, welche einen Straftatbestand im Sinne des Strafgesetzbuches erfüllt, dazu verleitet wurde, Zahlungen / Überweisungen zu veranlassen.

Zwar umfasst der Versicherungsschutz des Teil D der AVB dem Wortlaut und auch dem Sinn und Zweck nach betrügerische Handlungen die das Vertrauen des Versicherungsnehmers ausnutzen. Die Vertrauensschadenversicherung bietet – je nach Ausgestaltung – gerade auch Versicherungsschutz für vorsätzliche Eingriffe in informationsverarbeitende Systeme des Versicherungsnehmers, durch eine Vertrauensperson oder Dritte, und dadurch unmittelbar verursachte Schäden (Schilbach, r+s 2024, 581 Rn. 49, beck-online).

Da allerdings immer auch eine Informationssicherheitsverletzung erforderlich ist, ist der Anwendungsbereich der Vertrauensschadenversicherung nicht eröffnet.

2. Entgegen der Auffassung der Klägerin sind die streitgegenständlichen AVB in den relevanten Auszügen nicht gem. § 307 BGB unwirksam.

a) Zum einen stellen sowohl Teil A. Ziff. 4 AVB, als auch Teil D Ziff. 1.2 Leistungsbeschreibungen des versicherten Risikos dar und unterliegen gem. § 307 Abs. 3 S. 1 BGB nicht der Inhaltskontrolle im Hinblick auf das Kriterium der unangemessenen Benachteiligung. Die Formulierungen in Teil A Ziff. 3 und Teil D Ziff. 1 AVB stellen keine Einschränkungen des zuvor festgelegten Versicherungsumfangs dar, sondern legen erst die vom Versicherer geschuldete Leistung fest (vgl. auch BGH NJW 2023, 208).

b) Die Leistungsbeschreibungen verstoßen auch nicht gegen das – sich gem. § 307 Abs. 3 S. 2 BGB auch auf das Hauptleistungsversprechen erstreckende (vgl. BGH VersR 2014, 625) – Transparenzgebot des § 307 Abs. 1 S. 2 BGB.

aa) Nach dem Transparenzgebot ist der Verwender allgemeiner Geschäftsbedingungen gehalten, Rechte und Pflichten seines Vertragspartners möglichst klar und durchschaubar darzustellen. Dabei kommt es nicht nur darauf an, dass die Klausel in ihrer Formulierung für den durchschnittlichen Versicherungsnehmer verständlich ist. Vielmehr gebieten Treu und Glauben, dass die Klausel die wirtschaftlichen Nachteile und Belastungen soweit erkennen lässt, wie dies nach den Umständen gefordert werden kann. Dem Versicherungsnehmer soll bereits im Zeitpunkt des Vertragsschlusses vor Augen geführt werden, in welchem Umfang er Versicherungsschutz erlangt und welche Umstände seinen Versicherungsschutz gefährden. Nur dann kann er die Entscheidung treffen, ob er den angebotenen Versicherungsschutz nimmt oder nicht (vgl. BGH NJW 2023, 208). Maßgebend sind die Verständnismöglichkeiten des typischerweise bei Verträgen der geregelten Art zu erwartenden Durchschnittskunden. Insoweit gilt kein anderer Maßstab als derjenige, der auch bei der Auslegung von Versicherungsbedingungen zu beachten ist (BGH aaO.).

bb) Nach diesen Grundsätzen sind die Leistungsbeschreibungen der AVB nicht intransparent. Denn für eine Cyber-Versicherung ist typisch und für den Durchschnittskunden erkennbar, dass nur das Risiko der eigenen IT-Systeme geschützt werden soll und nicht weltweite Hacker-Angriffe, die in mittelbarer Weise Auswirkungen gegenüber dem Versicherungsnehmer haben können. Andernfalls wäre bereits die Teilnahme am E-Mail-Verkehr an sich ein großes Risiko, da niemand vor – auch gut gefälschten – Phishing Mails geschützt ist. Die Versicherungsbedingungen sind insoweit klar und verständlich formuliert, dass im Rahmen der Netzwerksicherheitsverletzung gerade eine Beeinträchtigung der eigenen Netzwerke vorliegen muss.

Den Volltext der Entscheidung finden Sie hier:

OLG Zweibrücken
Urteil vom 18.08.2022
4 U 198/21

Das OLG Zweibrücken hat entschieden, dass keine Haftung des GmbH-Geschäftsführers gem. § 43 Abs. 2 GmbHG bei Schaden durch eine Phishing-Mail vorliegt, wenn die Überweisung auf das in der Phishing-Mail genannte Konto mit Einverständnis des Alleingesellschafters erfolgte.

Aus den Entscheidungsgründen:
Das verfahrensrechtlich bedenkenfreie und somit zulässige Rechtsmittel der Klägerin hat in der Sache keinen Erfolg. Die Entscheidung des Erstgerichts ist im Ergebnis richtig. Es fehlt bereits an der Verletzung einer Pflicht, die eine Organwalterhaftung der Beklagten nach § 43 Abs. 2 GmbHG zu begründen vermöchte.

Zutreffend ist das Erstgericht im Ausgangspunkt von der Doppelfunktion des § 43 Abs. 1 GmbHG als Verschuldensmaßstab und Pflichtenquelle ausgegangen (ganz h.M.: vgl. nur MüKoGmbHG/Fleischer, 3. Aufl. 2019, GmbHG § 43 Rn. 10).

Die Beklagte hat keine sie gerade aus ihrer Stellung als Geschäftsführerin der Klägerin treffende (spezifische) Pflicht als Organwalterin der Gesellschaft verletzt. Zwar hat die Beklagte bei den Überweisungen (leicht) fahrlässig gehandelt, da ihr bei Wahrung der im geschäftlichen Zahlungsverkehr bei der Überweisung höherer Geldbeträge erforderlichen Sorgfalt der „Buchstabendreher“ in den zu den jeweiligen Geldüberweisungen auffordernden Phishing-Mails hätte auffallen können und müssen. Dies führt jedoch nicht zu der Annahme einer Pflichtverletzung im Sinne von § 43 Abs. 2 GmbHG (1.). Die Beklagte haftet der Klägerin auch nicht aus § 280 Abs. 1 BGB oder nach § 823 BGB (2.).

Im Einzelnen gilt dazu Folgendes:

1. Für eine Haftung des Organwalters nach § 43 Abs. 2 GmbHG ist nach Auffassung des Senats eine Verletzung einer - hier nicht zu bejahenden - spezifisch organschaftlichen Pflicht erforderlich.

Was unter den „Pflichten“ im Sinne des § 43 Abs. 2 GmbHG im Einzelnen zu verstehen ist, wird in der Rechtsprechung und im Schrifttum unterschiedlich beurteilt.

a. Eine eindeutige Rechtsprechung des Bundesgerichtshofs zu der konkreten Fragestellung des § 43 Abs. 2 GmbHG besteht nach dem Verständnis des erkennenden Senats nicht. Die Entscheidungen des Bundesgerichtshofs (Urteil vom 28.4.2008 – II ZR 264/06, BGHZ 176, 204 Rn. 38 = NJW 2008, 2437; Urteil vom 27.9.1956 – II ZR 144/55, BGHZ 21, 354 (357) (AG) = NJW 1956, 1753; so beispielhaft: MüKoGmbHG/Fleischer, 3. Aufl. 2019, GmbHG § 43) verhalten sich jeweils nicht zu § 43 GmbHG, sondern betreffen eine Haftung nach § 826 BGB oder Spezialregelungen aus dem AktG.

b. Auch die obergerichtliche Rechtsprechung dazu ist nicht eindeutig.

aa. So hat sich der 8. Zivilsenat des Pfälzischen Oberlandesgerichts Zweibrücken zu einer Fallgestaltung wie der hier vorliegenden letztlich nicht äußern müssen. Er konnte es insoweit dabei belassen, dass „bei der Bestimmung und Abgrenzung der einem Geschäftsführer obliegenden Pflichten … sich insoweit Schwierigkeiten (ergeben), als das Gesetz einerseits den Umfang dieser Pflichten nicht abschließend regelt, andererseits diese Pflichten grundsätzlich durch den Gesellschaftsvertrag, den Anstellungsvertrag oder durch einzelne Gesellschafterbeschlüsse erweitert bzw. eingeschränkt werden“ (PfOLG Zweibrücken, Urteil vom 22.12.1998, 8 U 98/98, NZG 1999, 506). Für die dortige Fallgestaltung (sog. Risikogeschäft) ist die Meinung in der Rechsprechung und Literatur auch einhellig (vgl. BGHZ 135, 244, 253; ThürOLG DStR 2001, 863, beck-online).

Um ein solches Risikogeschäft handelte es sich bei den Geldüberweisungen der Beklagten zum Zwecke der Bezahlung von Lieferantenrechnungen indes nicht.

bb. Das OLG Koblenz hat – ohne nähere Ausführungen zu der Problematik der Verletzung einer organschaftlichen Pflicht – eine Haftung gemäß § 43 Abs. 2 GmbHG für einen Fall eines durch einen Geschäftsführer grob fahrlässig verursachten Verkehrsunfalls bejaht. Der Geschäftsführer habe in Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden (OLG Koblenz, Urteil vom 14. Mai 1998 – 5 U 1639/97 –, Rn. 14, juris).

Ein Fall grob fahrlässigen Handelns der Beklagten ist vorliegend jedoch zu verneinen.

c. Im Schrifttum zu § 43 GmbHG wird die Frage unterschiedlich beantwortet.

aa. Teilweise wird vertreten, der Geschäftsführer hafte dafür, dass er „die allgemeinen Verhaltensanforderungen aus Abs. 1 verletzt hat, also seine Sorgfaltspflicht i.e.S. oder seine Legalitätspflicht - jeweils einschließlich der damit verbundenen Pflichten zur Überwachung der Geschäftsführerkollegen und nachgeordneten Mitarbeiter - oder auch seine organschaftliche Treuepflicht. Sie kann sich ferner aus der Verletzung spezieller Pflichten des Geschäftsführers ergeben, die das Gesetz dem Geschäftsführer in gesonderten Vorschriften zuweist“ (Verse in: Scholz, GmbHG, 12. Aufl. 2018 ff., § 43 GmbHG, Rn. 257). Für den Fall einer sich nicht aus der organschaftlichen Stellung ergebenden Pflichtverletzung schließe dies „aber nicht aus, dass sie auch bei Schädigungen eingreift, die in gleicher Weise von einer Person verursacht werden könnten, die nicht Geschäftsführer ist (z.B. Verkehrsunfall mit dem Dienstwagen). Im Schrifttum wird jedoch meist betont, dass in diesem Fall nicht der organspezifische Sorgfaltsmaßstab des § 43 Abs. 1, sondern der allgemeine Sorgfaltsmaßstab des § 276 BGB gelte. Zu demselben Ergebnis gelangt man indes auch, wenn man Abs. 1 anwendet und in diesem Rahmen anerkennt, dass von einem ordentlichen Geschäftsleiter bei der Teilnahme am Straßenverkehr oder vergleichbaren nicht organspezifischen Tätigkeiten keine Anforderungen erwartet werden, die über den allgemeinen Maßstab des § 276 Abs. 1 BGB hinausgehen. Für eine Haftungsprivilegierung entsprechend den arbeitsrechtlichen Grundsätzen zum innerbetrieblichen Schadensausgleich ist auch bei solchen nicht organspezifischen Handlungen kein Raum.“ (Verse in: Scholz, GmbHG, 12. Aufl. 2018 ff., § 43 GmbHG, Rn. 259).

Nach dieser Auffassung wäre hier eine Pflichtverletzung unter Anwendung der allgemeinen Sorgfaltspflichten (§ 276 BGB) zu bejahen.

bb. Nach anderer, wohl überwiegender Auffassung, der sich der erkennende Senat anschließt, sind „vier größere Pflichtenkreise zu unterscheiden: Erstens ist jeder Geschäftsführer gehalten, die im GmbH-Gesetz, der Satzung und der Geschäftsordnung niedergelegten Organpflichten zu erfüllen und die das Unternehmen betreffenden Rechtsvorschriften des allgemeinen Zivilrechts, des Straf- und Ordnungswidrigkeitenrechts und des öffentlichen Rechts zu beachten (sog. Legalitätspflicht). Zweitens muss ein Geschäftsführer die ihm übertragene Unternehmensleitung innerhalb des gesetzlich vorgegebenen Pflichtenrahmens umfänglich wahrnehmen und sein Amt mit der erforderlichen Sorgfalt führen (sog. Sorgfaltspflicht im engeren Sinne). Drittens obliegt es dem Geschäftsführer, sich in geeigneter Weise von dem recht- und zweckmäßigen Verhalten nachgeordneter Unternehmensangehöriger und seiner Geschäftsführerkollegen zu überzeugen (sog. Überwachungspflicht). Viertens hat sich in jüngerer Zeit aus der allgemeinen Überwachungspflicht eine besondere Pflicht herausgebildet, Gesetzesverstöße von Unternehmensangehörigen schon im Vorfeld durch geeignete und zumutbare Schutzvorkehrungen zu verhindern (sog. Compliance-Pflicht ; MüKoGmbHG/Fleischer, 3. Aufl. 2019, GmbHG § 43 Rn. 12).

In diese Richtung argumentiert auch Kleindiek, nach welchem § 43 Abs. 1 GmbHG „einen Verschuldensmaßstab (umschreibt), aber zugleich den Maßstab für die Konkretisierung der dem Geschäftsführer obliegenden Organpflichten (liefert), soweit sie nicht schon gesetzlich ausformuliert sind. Denn die Verhaltenspflichten gegenüber der Gesellschaft (§ 43 Abs. 2 spricht von „Obliegenheiten“) lassen sich nur vor dem Hintergrund des in § 43 Abs. 1 umschriebenen Sorgfaltsmaßstabs eingrenzen. Auch wenn man § 43 Abs. 1 nicht schon unmittelbar die Funktion einer Pflichtenquelle zubilligen mag, wird in der Systematik des Gesetzes die Pflicht des Geschäftsführers zur ordnungsgemäßen (dem Standard der „Sorgfalt eines ordentlichen Geschäftsmannes“ entsprechenden) Unternehmensleitung doch vorausgesetzt.“ (Kleindiek in: Lutter/Hommelhoff, GmbH-Gesetz Kommentar, 20. Aufl. 2020, § 43 GmbHG, Rn. 10).

Danach gelten für Tätigkeiten, die lediglich bei Gelegenheit der Geschäftsführung vorgenommen werden (zB das Fahren eines Geschäfts-Pkw) der Pflichten-, Sorgfalts- und Haftungsmaßstab aus den allgemeinen Regeln. Das Verhalten des Geschäftsführers ist in solchen Fällen „an §§ 280 ff., 823 BGB und am Sorgfaltsmaßstab des § 276 II BGB zu messen“ (Noack/Servatius/Haas/Beurskens, 23. Aufl. 2022, GmbHG § 43 Rn. 6; ebenso: MHLS/Ziemons, 3. Aufl. 2017, GmbHG § 43 Rn. 57; Henssler/Strohn GesR/Oetker, 5. Aufl. 2021, GmbHG § 43 Rn. 3).

Ähnlich sieht es wohl Wicke, wenn er ausführt, der Anstellungsvertrag könne besondere Bedeutung „erlangen, wenn Vertragspflichten verletzt werden, die in keinem Zusammenhang zur Organstellung stehen, oder wenn der Anstellungsvertrag mit einem Dritten geschlossen wurde oder drittschützende Wirkung entfaltet (MüKoGmbHG/Fleischer Rn. 8; Henssler/Strohn/Oetker Rn. 3).“ (Wicke, 4. Aufl. 2020, GmbHG § 43 Rn. 2), wenn er auch - inkonsequent - Haftungsmilderungen erwägt bei einer Tätigkeit, die nicht die Erfüllung typischer Geschäftsführerpflichten zum Gegenstand hat wie, zB bei einer Fahrt mit dem Dienst-PKW (Wicke, 4. Aufl. 2020, GmbHG § 43 Rn. 4).

Der erkennende Senat entscheidet dahin, dass der Sorgfaltspflichtverstoß der Beklagten, der in der Beauftragung von Geldüberweisungen aufgrund einer (gefälschten) Mitteilung einer geänderten Kontoverbindung des Empfängers W. bestand, nicht als Verletzung einer spezifisch organschaftlichen Pflicht anzusehen ist. Denn diese Tätigkeit wäre üblicherweise eine solche der Buchhaltung gewesen. Die der Beklagten als Geschäftsführerin übertragene Unternehmensleitung als solche ist hiervon nicht berührt, auch nicht in Form einer Verletzung von Überwachungspflichten.

Dieses Ergebnis findet nach Auffassung des Senats Bestätigung in § 93 AktG, dem § 43 Abs.2 GmbHG nachgebildet ist. Denn bei der Beurteilung der Verantwortlichkeit von Vorstandsmitgliedern nach § 93 AktG wird die vom Senat für zutreffend erachtete Auffassung übereinstimmend geteilt:

„Als Pflichtverletzungen iSd § 93 Abs. 2 kommen nur organbezogene Tätigkeiten in Betracht. Wo das Verhalten eines Vorstandsmitglieds in keinem Sachzusammenhang mit seinen dienstlichen Pflichten steht, scheidet eine Organhaftung aus. Dies gilt insbesondere für Tätigkeiten „bei Gelegenheit“ der Geschäftsführung, die ebenso gut von einem Dritten hätten vorgenommen werden können. Paradigmatisches Beispiel ist die Fahrt mit dem Dienstwagen. In solchen Fällen greift statt § 93 Abs. 1 der allgemeine Sorgfaltsmaßstab des § 276 BGB ein.“ (BeckOGK/Fleischer, 1.9.2021, AktG § 93 Rn. 240 mit weiteren Nachweisen).

Sonach scheidet eine Haftung der Beklagten auf Schadensersatz aus § 43 Abs. 2 GmbHG aus.

2. Auch eine Haftung der Beklagten aus § 280 Abs. 1 BGB wegen Verletzung der sie aus dem Anstellungsvertrag als Geschäftsführerin treffenden Dienstpflichten oder aus § 823 BGB besteht nicht.

Dabei kann dahinstehen, ob von der Beklagten nach dem Anstellungsvertrag die Sorgfalt verlangt werden kann, die ein ordentlicher Geschäftsmann in verantwortlich leitender Position bei selbstständiger Wahrnehmung fremder Vermögensinteressen zu beachten hat (Altmeppen, 10. Aufl. 2021, GmbHG § 43 Rn. 3 mit weiteren Nachweisen), was über den von jedermann zu beachtenden Sorgfaltsmaßstab in § 276 BGB hinaus geht (BeckOK GmbHG/Pöschke, 49. Ed. 1.8.2021, GmbHG § 43 Rn. 287 unter Verweis auf OLG Koblenz aaO).

Denn die (wenn auch geringfügige) Abweichung der Absenderadresse bei den Phishing-Mails („film.com“ zu „flim.com“) hätte von der Beklagten bei einem höheren Maß an Aufmerksamkeit durchaus bemerkt werden können.

Unabhängig von der Verneinung einer spezifisch organschaftlichen Pflichtverletzung der Beklagten greift aber - die Klageabweisung selbständig tragend - im vorliegenden Fall zu Gunsten der Beklagten eine Haftungsmilderung in Anlehnung an die Grundsätze der Haftung von Arbeitnehmern im Rahmen des innerbetrieblichen Schadensausgleichs nach den arbeitsrechtlichen Grundsätzen der betrieblich veranlassten Tätigkeit (dazu Wilhelmi, NZG 2017, 681, 686f; Fritz, NZA 2017, 673, 678f). Danach ist hier - unter weiterer Berücksichtigung gerade auch der von dem Senat als glaubhaft erachteten Angaben der Beklagten in ihrer formlosen Parteianhörung zu ihren faktisch beschränkten Entscheidungskompetenzen in dem Unternehmen der Klägerin - sowohl eine Haftung der Beklagten aus § 280 Abs. 1 BGB i.V.m. dem Anstellungsvertrag als auch nach § 823 BGB und auch eine solche nach § 43 Abs. 2 GmbHG ausgeschlossen.

Eine Haftungsmilderung kommt nach herrschender Meinung im Bereich der Organfunktion zwar nicht in Betracht (Altmeppen, 10. Aufl. 2021, GmbHG § 43 Rn. 5 mit Darstellung des Streitstandes). Eine Ausnahme wird teilweise als möglich erachtet, wenn der Geschäftsführer wie jeder beliebige Dritte am Rechtsverkehr teilnimmt. In diesen Fällen sei eine analoge Anwendung der arbeitsrechtlichen Grundsätze zur innerbetrieblichen Schadensteilung je nach Umständen des Einzelfalls möglich, die umso eher ausscheidet, je autonomer der Geschäftsführer handeln kann, und umso mehr in Betracht kommt, je mehr er in seinem Handeln – etwa als Geschäftsführer einer konzernabhängigen GmbH – gebunden ist (vgl. Lutter, GmbHR 2000, 301, 312, juris). Klassischer Beispielsfall ist die Beschädigung eines gesellschaftseigenen Dienstwagens durch den Geschäftsführer (Lutter, GmbHR 2000, 301, 312; aA OLG Koblenz, aaO).

Legt man - wie nach Auffassung des Senats geboten - diesen Maßstab an das Handeln der Beklagten an, scheidet ihre Haftung auf Schadensersatz aus, weil sie bei den Fehlüberweisungen bloß leicht fahrlässig gehandelt hat (vgl. auch BAG NZA 1999, 263):

So wurden bei den Phishing-Mails, mit welchen die Beklagte getäuscht wurde, lediglich eine geringfügige Änderung der korrekten E-Mail-Adresse des langjährigen Geschäftspartners der Klägerin W. vorgenommen. Es wurden von dem oder den Tätern keine Änderung von Namen bei den (angeblich) für W. handelnden Personen vorgenommen und zudem war zeitlich vor den Überweisungen in Betrugsabsicht eine Änderung von Kontoverbindungen angekündigt worden. Die übersandten Rechnungen in den E-Mails waren plausibel sowohl nach der Art der Darstellung als auch in ihrer Höhe. Hinzu kommt die Art des Phishing-Angriffs, der nicht einmalig, sondern durch fortgesetzten E-Mail-Kontakt erfolgte, wobei jeweils Bezug auf die bestehende Kommunikation genommen wurde (auch auf solche vor Beginn der Phishing-Attacke). Insgesamt ergibt sich daraus das Bild eines sehr professionellen Handelns durch den oder die Phishing-Täter, auf welches die Beklagte als Betrugsopfer „hereingefallen“ ist.

Hiergegen ließe sich letztlich nur einwenden, dass Summen ab einer bestimmten Größenordnung nur nach intensiver Überprüfung und unter Wahrung des Vier-Augen-Prinzips überwiesen werden sollten. Angesichts der von der Beklagten glaubhaft geschilderten Ausgestaltung der (von dem Alleingesellschafter vorgegebenen) tatsächlichen Abläufe im Unternehmen der Klägerin war eine solche Gegenkontrolle für die Beklagte allerdings nicht leistbar. Die im Einzelnen überwiesenen Summen waren zudem nach im Prozess vorgelegten Kontoauszügen nicht außergewöhnlich, sondern alltäglich.

Damit scheidet in Übertragung der Grundsätze der Haftungsprivilegierung für Arbeitnehmer auf die Haftung des GmbH-Geschäftsführers eine Haftung der Beklagten hier insgesamt aus.

3. Damit kann dahinstehen, ob einer Haftung der Beklagten weiter auch die Berücksichtigung des relativen Verschuldensmaßstabes des § 43 GmbHG entgegen steht.

Die Ausgestaltung des anzulegenden Verschuldensmaßstabes ist durch die besondere Lage des Einzelfalles geprägt (so BGHZ 129, 30 = NJW 1995, 1290 – offenlassend, ob die arbeitsrechtlichen Grundsätze gelten; BeckOK GmbHG/Pöschke, 49. Ed. 1.8.2021, GmbHG § 43 Rn. 290). Bei der gebotenen Berücksichtigung des Einzelfalls müssten die oben genannten Argumente Berücksichtigung finden. Danach wäre eine Haftung der Beklagten zu verneinen.

4. Letztlich scheidet eine Haftung der Beklagten auch wegen Kenntnis der Klägerin in der Person ihres Alleingesellschafters und Mitgeschäftsführers R. von den tatsächlichen Geschehnissen im Zusammenhang mit den durch Betrugshandlungen Dritter veranlassten Geldüberweisungen aus.

Aus den im Prozess vorgelegten E-Mails wird deutlich, dass der Alleingesellschafter R. von der Beklagten in deren Email-Kommunikation mit (vermeintlich) W. jeweils in CC gesetzt bzw. ausdrücklich über die (angeblich) geänderten Kontoverbindungen informiert wurde. Dennoch unterblieb – entgegen dem Vorbringen der Klägerin – eine ausdrückliche Anweisung, keine Gelder zu überweisen oder die Geschäftsbeziehungen mit W. zu beenden. Anderes ergibt sich auch nicht aus der von der Klägerin vorgelegten Whatsapp-Nachricht (Blatt 233 der eAkte erster Instanz). Damit liegt ein sog. informelles Einverständnis der Klägerin mit der Handlungsweise der Beklagten vor, das die Haftung der Beklagten entfallen lässt. Denn der Befolgung eines Gesellschafterbeschlusses steht es gleich, wenn Geschäftsführer ohne förmliche Beschlussfassung im - auch stillschweigenden - Einverständnis aller Gesellschafter handeln (Verse in: Scholz, GmbHG, 12. Aufl. 2018 ff., § 43 GmbHG, Rn. 265).

Auch danach ist eine Haftung der Beklagten zu verneinen, da die Überweisungen auf eine geänderte Kontoverbindung (insoweit nicht wegen Übersehen der veränderten E-Mail-Adresse) mit dem zumindest informellen Einverständnis des Allein-Gesellschafters erfolgten.

Den Volltext der Entscheidung finden Sie hier:

BGH
Urteil vom 26.01.2016
XI ZR 91/14

Der BGH hat sich in dieser Entscheidung mit den Beweisgrundsätzen bei streitigen Zahlungsaufträgen im Online-Banking befasst und entschieden, dass trotzt bestehender Sicherheitsbedenken beim Verwendung von PIN und smsTan ein Anscheinsbeweis zu Gunsten der Bank / Sparkasse bestehen kann. Voraussetzung ist - so der BGH - jedoch, dass das eingesetzte Sicherungssystem im Zeitpunkt der Vornahme des Zahlungsvorgangs im Allgemeinen praktisch unüberwindbar war, im konkreten Einzelfall ordnungsgemäß angewendet worden ist und fehlerfrei funktioniert hat. Der BGH hat die Sache an die Vorinstanz zurückverwiesen.

Die Pressemitteilung des BGH:

Bundesgerichtshof entscheidet zu Beweisgrundsätzen bei streitigen Zahlungsaufträgen im Online-Banking

Der für das Bankrecht zuständige XI. Zivilsenat des Bundesgerichtshofs hat heute entschieden, dass § 675w Satz 3 BGB* die Anwendung der Grundsätze des Anscheinsbeweises im Online-Banking bei Erteilung eines Zahlungsauftrags unter Einsatz der zutreffenden PIN und TAN nicht verbietet. Es muss aber geklärt sein, dass das eingesetzte Sicherungssystem im Zeitpunkt der Vornahme des strittigen Zahlungsvorgangs im Allgemeinen praktisch unüberwindbar war und im konkreten Einzelfall ordnungsgemäß angewendet worden ist und fehlerfrei funktioniert hat. Bei einer missbräuchlichen Nutzung des Online-Bankings spricht kein Beweis des ersten Anscheins für ein grob fahrlässiges Verhalten des Kontoinhabers.

Die beklagte GmbH unterhielt bei der klagenden Sparkasse u.a. ein Geschäftsgirokonto, mit dem sie seit März 2011 am Online-Banking teilnahm. Der Geschäftsführer der Beklagten erhielt dazu eine persönliche Identifikationsnummer (PIN), mit der er u.a. auf das Geschäftsgirokonto zugreifen konnte. Zur Freigabe einzelner Zahlungsvorgänge wurde das smsTAN-Verfahren (Übermittlung der Transaktionsnummer durch SMS) über eine Mobilfunknummer des Geschäftsführers der Beklagten vereinbart. Nachdem es zu Störungen im Online-Banking-System der Klägerin gekommen war, wurden am 15. Juli 2011 aus nicht geklärten Umständen dem Geschäftskonto der Beklagten fehlerhaft Beträge von 47.498,95 EUR und 191.576,25 EUR gutgeschrieben. Die Klägerin veranlasste am 15. und 17. Juli 2011 entsprechende Stornierungen, die aufgrund des Wochenendes erst am Montag, dem 18. Juli 2011, ausgeführt wurden. Am Freitag, dem 15. Juli 2011, um 23:29 Uhr wurde unter Verwendung der zutreffenden PIN und einer gültigen smsTAN eine Überweisung von 235.000 EUR vom Konto der Beklagten zugunsten des Streithelfers der Klägerin – eines Rechtsanwalts – in das Online-Banking-System der Klägerin eingegeben. Die Überweisung wurde am Montagmorgen, dem 18. Juli 2011, mit dem ersten Buchungslauf ausgeführt. Da zeitgleich die fehlerhaften Gutschriften berichtigt wurden, ergab sich ein Sollbetrag auf dem Geschäftskonto der Beklagten.

Nachdem die Klägerin die Beklagte erfolglos zum Ausgleich des Kontos aufgefordert hatte, kündigte sie die Geschäftsbeziehung fristlos und fordert mit der vorliegenden Klage den Schlusssaldo von 236.422,14 € nebst Zinsen. Sie hatte in beiden Tatsacheninstanzen Erfolg.

Der XI. Zivilsenat hat auf die Revision der Beklagten das Berufungsurteil aufgehoben und die Sache zur erneuten Verhandlung und Entscheidung an das Berufungsgericht zurückverwiesen. Dabei waren im Wesentlichen folgende Überlegungen maßgeblich:

Ist die Zustimmung (Autorisierung) des Kontoinhabers zu einem Zahlungsvorgang strittig, hat das ausführende Kreditinstitut (Zahlungsdienstleister) bei Verwendung eines Zahlungsauthentifizierungsinstruments (hier das Online-Banking-Verfahren) nach § 675w Satz 2 BGB nachzuweisen, dass dieses einschließlich seiner personalisierten Sicherheitsmerkmale (hier: PIN und smsTAN) genutzt und dies mithilfe eines Verfahrens überprüft worden ist. Diesen Nachweis hat die klagende Bank nach den bindenden Feststellungen des Berufungsgerichts geführt. Dies genügt aber nach § 675w Satz 3 BGB "nicht notwendigerweise", um den dem Zahlungsdienstleister obliegenden Beweis der Autorisierung des Zahlungsvorganges durch den Zahlungsdienstnutzer (hier: Kontoinhaberin) zu führen. Das schließt nicht aus, dass sich der Zahlungsdienstleister auf einen Anscheinsbeweis berufen kann. Dem Wortlaut des § 675w Satz 3 BGB ist nämlich genügt, da die Grundsätze des Anscheinsbeweises weder eine zwingende Beweisregel noch eine Beweisvermutung begründen.

Voraussetzung für die Anwendung der Grundsätze des Anscheinsbeweises auf die Autorisierung eines Zahlungsvorgangs bei Verwendung eines Zahlungsauthentifizierungsinstruments ist aber die allgemeine praktische Sicherheit des eingesetzten Authentifizierungsverfahrens und dessen Einhaltung im konkreten Einzelfall. Zudem bedarf die Erschütterung des Anscheinsbeweises nicht zwingend der Behauptung und ggf. des Nachweises technischer Fehler des dokumentierten Authentifizierungsverfahrens durch den Kontoinhaber.

Trotz allgemein bekannt gewordener, erfolgreicher Angriffe auf Sicherheitssysteme des Online-Bankings fehlt nach Auffassung des Senats nicht in jedem Fall eine Grundlage für die Anwendung des Anscheinsbeweises, da entsprechende Erkenntnisse nicht zu allen im Online-Banking genutzten Authentifizierungsverfahren vorliegen.

Diese Voraussetzungen hat das Berufungsgericht verkannt und die notwendigen Feststellungen zur praktischen Unüberwindbarkeit des konkret eingesetzten Sicherungssystems sowie zu den zur Erschütterung eines eventuell eingreifenden Anscheinsbeweises vorgetragenen Umständen nicht getroffen, weshalb das Berufungsurteil aufzuheben war.

Das Urteil des Berufungsgerichts stellt sich auch nicht aus anderen Gründen als zutreffend dar.

Die Grundsätze der Anscheinsvollmacht finden zulasten der Beklagten keine Anwendung. Es fehlt jedenfalls an einer Erkennbarkeit des Handelns des vermeintlichen Vertreters durch den Zahlungsdienstleister sowie bei einem einmaligen Missbrauchsfall im Online-Banking an der erforderlichen Dauer und Häufigkeit des Handelns des Scheinvertreters.

Auch ein Anscheinsbeweis für eine grob fahrlässige Verletzung einer Pflicht aus § 675l BGB** durch die Beklagte und damit ein Anspruch der Klägerin aus § 675v Abs. 2 BGB** scheiden auf Grundlage der bisherigen Feststellungen aus. Im Falle des Missbrauchs des Online-Bankings besteht angesichts der zahlreichen Authentifizierungsverfahren, Sicherungskonzepte, Angriffe und daran anknüpfender denkbarer Pflichtverletzungen des Nutzers kein Erfahrungssatz, der auf ein bestimmtes typisches Fehlverhalten des Zahlungsdienstnutzers hinweist.

Vorinstanzen:

Landgericht Lübeck - Urteil vom 7. Juni 2013 - 3 O 418/12

Schleswig-Holsteinisches Oberlandesgericht in Schleswig - Beschluss vom 22. Januar 2014 - 5 U 87/13

Karlsruhe, den 26. Januar 2016

§ 675w BGB

Nachweis der Authentifizierung

Ist die Autorisierung eines ausgeführten Zahlungsvorgangs streitig, hat der Zahlungsdienstleister nachzuweisen, dass eine Authentifizierung erfolgt ist und der Zahlungsvorgang ordnungsgemäß aufgezeichnet, verbucht sowie nicht durch eine Störung beeinträchtigt wurde. Eine Authentifizierung ist erfolgt, wenn der Zahlungsdienstleister die Nutzung eines bestimmten Zahlungsauthentifizierungsinstruments, einschließlich seiner personalisierten Sicherheitsmerkmale, mit Hilfe eines Verfahrens überprüft hat. Wurde der Zahlungsvorgang mittels eines Zahlungsauthentifizierungsinstruments ausgelöst, reicht die Aufzeichnung der Nutzung des Zahlungsauthentifizierungsinstruments einschließlich der Authentifizierung durch den Zahlungsdienstleister allein nicht notwendigerweise aus, um nachzuweisen, dass der Zahler

1. den Zahlungsvorgang autorisiert,

2. in betrügerischer Absicht gehandelt,

3. eine oder mehrere Pflichten gemäß § 675l verletzt oder

4. vorsätzlich oder grob fahrlässig gegen eine oder mehrere Bedingungen für die Ausgabe und Nutzung des Zahlungsauthentifizierungsinstruments verstoßen hat.

** § 675l BGB

Pflichten des Zahlers in Bezug auf Zahlungsauthentifizierungsinstrumente

Der Zahler ist verpflichtet, unmittelbar nach Erhalt eines Zahlungsauthentifizierungsinstruments alle zumutbaren Vorkehrungen zu treffen, um die personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen. Er hat dem Zahlungsdienstleister oder einer von diesem benannten Stelle den Verlust, den Diebstahl, die missbräuchliche Verwendung oder die sonstige nicht autorisierte Nutzung eines Zahlungsauthentifizierungsinstruments unverzüglich anzuzeigen, nachdem er hiervon Kenntnis erlangt hat.

*** § 675v BGB

Haftung des Zahlers bei missbräuchlicher Nutzung eines Zahlungsauthentifizierungsinstruments

(…)

(2) Der Zahler ist seinem Zahlungsdienstleister zum Ersatz des gesamten Schadens verpflichtet, der infolge eines nicht autorisierten Zahlungsvorgangs entstanden ist, wenn er ihn in betrügerischer Absicht ermöglicht hat oder durch vorsätzliche oder grob fahrlässige Verletzung

1. einer oder mehrerer Pflichten gemäß § 675l oder

2. einer oder mehrerer vereinbarter Bedingungen für die Ausgabe und Nutzung des Zahlungsauthentifizierungsinstruments herbeigeführt hat.

(...)

LG Oldenburg
Urteil vom 15.01.2016
8 O 1454/15

Das LG Oldenburg hat eine Bank dazu verurteilt, ihrem Kunden den durch eine Phishing-Attacke beim Online-Banking entstandenen Schaden zu ersetzen. Das Gericht weist dabei darauf hin, dass die Bank beweisen muss, dass der Kunde eine Zahlung autorisiert hat. Es gibt - so das Gericht zutreffend - mangels ausreichender Sicherheit keinen Anscheinsbeweis beim mTan-Verfahren.

Landgericht Oldenburg verurteilt Bank zum Ausgleich des Schadens aufgrund einer Phishing-Attacke beim Online-Banking

Mit Urteil vom 15.01.2016 hat die 8. Zivilkammer des Landgerichts Oldenburg eine Bank aus Lohne zum Ausgleich des Schadens verurteilt, den der Nutzer des Online-Banking-Verfahrens aufgrund einer Phishing-Attacke erlitten hat.

Der Kläger nutzte seit 15 Jahren das von der beklagten Bank angebotene Online Banking System und zwar zuletzt in Form des mTan-Verfahrens. Dort erhält der Kunde von der Bank zur Freigabe seines Bankauftrags eine SMS an sein Mobiltelefon, mittels derer er sich am PC als Berechtigter legitimieren kann.

In der Zeit vom 09.03.2015 bis 13.03.2015 sei es zu 44 unberechtigten Überweisungen von den Konten des Klägers gekommen mit einem Gesamtschaden von 11.244,62 €. Der Kläger verlangte von der Beklagten - vereinfacht dargestellt - Schadensersatz in dieser Höhe. Die Beklagte weigerte sich mit der Begründung, der Kläger habe grob fahrlässig gehandelt, insbesondere habe er App´s auf sein Mobiltelefon heruntergeladen, die nicht aus sicheren Quellen herrührten.

Nach durchgeführter Beweisaufnahme hat das Landgericht der Klage stattgegeben. Die Beklagte hat nachzuweisen, dass es sich bei den streitgegenständlichen Zahlungsvorgängen um solche gehandelt hat, die der Kläger autorisiert hat. Nicht der Kläger hat zu beweisen, dass er Opfer einer Phishing-Attacke wurde und somit die Zahlungsvorgänge durch unberechtigte Dritte erfolgten. Dafür ist es nicht ausreichend, dass die Bank die Zahlungsvorgänge elektronisch aufzeichnet. Auch spricht kein Anscheinsbeweis für eine autorisierte Zahlung, wenn die Legitimation unter Verwendung der dem Kläger zur Verfügung gestellten Benutzernamen, PIN und TAN erfolgt.

Das Urteil ist noch nicht rechtskräftig. Az.: 8 O 1454/15

BGH
Urteil vom 24.04.2012
XI ZR 96/11
BGB § 276 Cc


Die Entscheidung des BGH zur Haftung des Bankkunden bei Pharming- und Phishing-Angriffen beim Online-Banking liegt im Volltext vor. Wir hatten bereits über die Entscheidung berichtet.

Leitsatz des BGH:
Ein Bankkunde, der im Online-Banking Opfer eines Pharming-Angriffs wird, handelt
fahrlässig, wenn er beim Log-In-Vorgang trotz ausdrücklichen Warnhinweises gleichzeitig zehn TAN eingibt.

BGH, Urteil vom 24. April 2012 - XI ZR 96/11 - LG Düsseldorf - AG Düsseldorf

Den Volltext der Entscheidung finden Sie hier:

BGH
Urteil vom 24.04.2012
XI ZR 96/11

Der BGH hat entschieden, dass Bankkunden gegenüber der Bank für Schäden durch Pharming oder Phishing beim Online-Banking haften können. Im vorliegenden Fall war ein Schaden vom 5.000 EURO entstanden, nachdem ein Bankkunde auf einer gefälschten Online-Banking-Seite seine Daten nebst TAN-Nummern eingegeben hatte.

Aus der Pressemitteilung des BGH:

"Der Kläger ist nach dem in seiner Strafanzeige vorgetragenen Sachverhalt Opfer eines Pharming-Angriffs geworden, bei dem der korrekte Aufruf der Website der Bank technisch in den Aufruf einer betrügerischen Seite umgeleitet worden ist. Der betrügerische Dritte hat die so erlangte TAN genutzt, um der Bank unbefugt den Überweisungsauftrag zu erteilen. Der Kläger hat sich gegenüber der Bank durch seine Reaktion auf diesen Pharming-Angriff schadensersatzpflichtig gemacht. Er hat die im Verkehr erforderliche Sorgfalt außer Acht gelassen, indem er beim Log-In-Vorgang, also nicht in Bezug auf einen konkreten Überweisungsvorgang, trotz des ausdrücklichen Warnhinweises der Bank gleichzeitig zehn TAN eingegeben hat. Für die Haftung des Kunden reicht im vorliegenden Fall einfache Fahrlässigkeit aus, weil § 675v Abs. 2 BGB, der eine unbegrenzte Haftung des Kunden bei missbräuchlicher Nutzung eines Zahlungsauthentifizierungsinstruments nur bei Vorsatz und grober Fahrlässigkeit vorsieht, erst am 31. Oktober 2009 in Kraft getreten ist."


Die Pressemitteilung des BGH finden Sie hier: "BGH: Bankkunden können gegenüber der Bank für Schäden durch Pharming oder Phishing beim Online-Banking haften" vollständig lesen

Der stark umstrittene § 202c StGB ist nach der Veröffentlichung im Bundesgesetzblatt nunmehr in Kraft getreten. Damit werden nunmehr auch sog. Hackertools kriminalisiert.

§ 202c StGB
Vorbereiten des Ausspähens und Abfangens von Daten

(1) Wer eine Straftat nach § 202a oder § 202b vorbereitet, indem er 1. Passwörter oder sonstige Sicherungscodes, die den Zugang zu Daten (§ 202a Abs. 2) ermöglichen, oder
2. Computerprogramme, deren Zweck die Begehung einer solchen Tat ist, herstellt, sich oder einem anderen verschafft, verkauft, einem anderen überlässt, verbreitet oder sonst zugänglich macht, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.
(2) § 149 Abs. 2 und 3 gilt entsprechend.