Entscheidungsgründe:
Ein Kunde der beklagten Direktbank, der dem klagenden Verein für Konsumenteninformation seinen Anspruch zur gerichtlichen Geltendmachung abgetreten hat, unterhält seit Juli 2002 ein (Giro-)Konto mit Bankomatkarte. Die mit Abschluss des Kontoeröffnungsvertrags zwischen dem Kunden und der beklagten Partei vereinbarten „Kundenrichtlinien für das Maestro-Service und für das Quick-Service, Fassung November 2004" (im Folgenden nur AGB) der beklagten Partei enthalten u.a. folgende Klauseln:
1.7.1. Geldausgabeautomaten:
Der Karteninhaber ist berechtigt, an Geldausgabeautomaten im In- und Ausland, die mit einem auf der Bezugskarte angeführten Symbol gekennzeichnet sind, mit der Bezugskarte und dem persönlichen Code Bargeld bis zu dem vereinbarten Limit zu beziehen.
1.10.2.
Sofern der Karteninhaber die Bezugskarte einem Dritten überlässt oder sofern die Bezugskarte dem Karteninhaber abhanden kommt und ein unberechtigter Dritter infolge einer Sorgfaltswidrigkeit des Karteninhabers Kenntnis vom persönlichen Code erlangt, trägt der Kontoinhaber bis zur Wirksamkeit der Sperre der Bezugskarte alle Folgen und Nachteile infolge der missbräuchlichen Verwendung der Bezugskarte im Rahmen seines vereinbarten Limits.
1.10.3.
Für Schäden, die durch die Manipulation Dritter an Geldausgabeautomaten oder Bezugskarten verursacht wurden, haftet der Kontoinhaber nicht, soweit ihn und den Karteninhaber keine Sorgfaltswidrigkeiten treffen, welche die Manipulation ermöglicht haben.
1.3. Persönlicher Code:
Der persönliche Code, auch PIN genannt, ist eine Ziffernkombination, die der Karteninhaber in einem verschlossenen Kuvert erhält. Die Eingabe des persönlichen Codes ermöglicht die Benützung des Maestro-Service.
2.4. Pflichten des Karteninhabers:
Soweit in diesen Kundenrichtlinien Pflichten des Karteninhabers geregelt werden, ist nicht nur der Karteninhaber, sondern auch der Kontoinhaber verpflichtet, diese Bestimmungen einzuhalten und für die Einhaltung dieser Bestimmungen Sorge zu tragen.
Warnhinweis: Sowohl der Kontoinhaber als auch der Karteninhaber haben die in diesen Kundenrichtlinien angeführten Mitwirkungspflichten, insbesondere die nachfolgend angeführten Sorgfaltspflichten zu beachten. Deren Verletzung führt zu Schadenersatzpflichten oder zur Minderung von Schadenersatzansprüchen gegen das Kreditinstitut.
2.4.3. Verwahrung der Bezugskarte und Geheimhaltung des persönlichen Codes:
Der Karteninhaber ist auch im eigenen Interesse verpflichtet, die Bezugskarte sorgfältig zu verwahren. Nicht sorgfältig ist insbesondere die Aufbewahrung der Bezugskarte in einem abgestellten Fahrzeug. Eine Weitergabe der Bezugskarte an dritte Personen ist nicht zulässig.
Der persönliche Code ist geheim zu halten. Er darf nicht, insbesondere nicht auf der Bezugskarte, notiert werden.
Der persönliche Code darf niemandem, insbesondere auch nicht Mitarbeitern des Kreditinstituts, Familienangehörigen, Bekannten, anderen Kontoinhabern oder anderen Karteninhabern bekannt gegeben werden.
Bei der Verwendung des persönlichen Codes ist darauf zu achten, dass dieser nicht von Dritten ausgespäht wird.
2.7. Sperre:
2.7.4. Die mit der Sperre, deren Aufhebung bzw. mit der Ausstellung neuer Bezugskarten verbundenen Kosten trägt der Kontoinhaber. Dies gilt nicht für die Kosten für Sperren, deren Aufhebung bzw Kosten für die Ausstellung neuer Bezugskarten, die auf Grund von Manipulationen Dritter an Geldausgabeautomaten oder an Bezugskarten entstanden sind, falls die Manipulationen nicht durch die sorglose Verwahrung oder Weitergabe der Bezugskarte bzw des persönlichen Codes durch den Karteninhaber ermöglicht wurden.
Nachdem dem Kunden der beklagten Partei am 3. April 2004 in der Wiener U-Bahn-Linie U4 seine Geldbörse aus der rechten hinteren Gesäßtasche gestohlen worden war, in der sich auch die von der beklagten Partei zu seinem Konto ausgegebenen Bezugskarte (im Folgenden nur Bankomatkarte) befunden hatte, stellte die beklagten Partei dem Kunden nach Meldung des Diebstahls eine neue Bankomatkarte aus. Er prägte sich den aus einer vierstelligen Ziffernkombination bestehenden PIN-Code ein, der für die Behebung an den Geldausgabeautomaten (im Folgenden nur Bankomat) benötigt wird, notierte ihn aber nirgends und gab ihn auch keinem Dritten bekannt.
Am 23. Juni 2004 behob er um 14.31 Uhr bei einem Bankomaten am Parkring in Wien einen Betrag von 90 EUR. Während dieser Behebung beobachtete eine unbekannte Person den Kunden bei der Eingabe des PIN-Codes, es gelang ihr dabei, den PIN-Code des Kunden auszuspähen. Es kann nicht festgestellt werden, ob diese unbekannte Person dabei mit direkter Sicht auf die Tastatur des Bankomaten hinter oder neben dem Kunden stand oder ob ihr das Ausspähen des PIN-Codes aus einer größeren Entfernung mit Hilfe eines Fernrohrs oder anderer technischer Hilfsmittel wie Spiegel oder Kameras gelang, die im Bereich des Bankomaten montiert waren. Eine Manipulation am öffentlich aufgestellten und vom Gehsteig aus frei zugänglichen Bankomaten selbst erfolgte nicht. Der Kunde achtete während der Eingabe des PIN-Codes darauf, dass sich niemand im unmittelbaren Umkreis von rund 2 m befand. Da dem Kunden nicht auffiel, dass er beobachtet wurde, setzte er keine besonderen Vorsichtsmaßnahmen zur Abdeckung der Eingabetastatur des Bankomats. Steht der Behebende vor diesem Bankomat, schützt er die Eingabetastatur durch seinen Oberkörper zwar vor Blicken von hinter ihm stehenden Personen, nicht aber gegen Blicke von der Seite. Der Kunde deckte das Eingabefeld weder mit der Hand noch durch besonderes Vorbeugen des Oberkörpers gegen Einblicke vor allem von der Seite ab. Als Rechtshänder gab der Kunde den PIN-Code und den gewünschten Behebungsbetrag mit der rechten Hand ein. Während dessen bemerkte er das Vorbeigehen von Passanten hinter ihm. Dass einer dieser Passanten in seiner unmittelbaren Nähe stehen geblieben wäre, fiel ihm nicht auf. Nach Beendigung der Geldbehebung steckte der Kunde die behobenen 90 EUR und seine Bankomatkarte in seine Geldbörse, legte diese anschließend in das Hauptfach seines Rücksacks auf andere darin verwahrte Sachen oben darauf und schloss den Reißverschluss des Rucksackhauptfachs. Anschließend schulterte er den Rucksack über die rechte Schulter und ging gegen 14.30 Uhr zur Station der U-Bahnlinie U3, um einige Stationen zu fahren.
Nach dem Aussteigen bemerkte der Kunde, dass seine Geldbörse samt Bankomatkarte fehlte. Diese war ihm von einem unbekannten Täter zu einem nicht feststellbaren Zeitpunkt unter nicht feststellbaren näheren Umständen aus dem Rucksack gestohlen worden. Der Dieb hatte den Reißverschluss des Rucksacks geöffnet und die Geldbörse samt Bankomatkarte herausgenommen, ohne dass der Kunde dies bemerkte, obwohl er den Rucksack während der gesamten Zeit am Weg zur und während der Fahrt mit der U-Bahn am Rücken getragen und nirgends unbeaufsichtigt abgestellt hatte.
Der Kunde veranlasste sofort die Sperre der Bankomatkarte. Zuvor hatte aber bereits eine unbekannt gebliebene Person mit der Bankomatkarte des Kunden und dem ihr bekannten PIN-Code bei einem Bankomaten 310 EUR behoben. Ohne dass es zu einem Fehlversuch gekommen wäre, gab diese Person sofort den richtigen PIN-Code und den höchsten noch möglichen Geldbetrag, der an diesem Tag noch behoben werden konnte, ein. Für die Sperre der Bankomatkarte buchte die beklagte Partei vom Konto des Kunden die Sperrgebühr von 36,34 EUR ebenso ab wie den missbräuchlich behobenen Betrag von 310 EUR.
Die klagende Partei begehrte, die beklagte Partei zu verpflichten, auf das Konto des Kunden 346,34 EUR gutzuschreiben. Dieser habe den PIN-Code nirgends schriftlich festgehalten. Der unbekannte Täter habe aus der gestohlenen Geldbörse keinen Hinweis auf den PIN-Code erhalten können, sodass den Kunden kein Verschulden an der missbräuchlichen Geldbehebung einen unbekannten Dritten treffe.
Die beklagte Partei wendete ein, der Kunde habe den Schaden aus der missbräuchlichen Verwendung seiner Bankomatkarte selbst zu tragen, weil er fahrlässig die Ausspähung des PIN-Codes bei der dem Kartendiebstahl vorangegangenen Bargeldbehebung ermöglicht und überdies diese nicht sorgfältig (außerhalb seines Gesichtsfelds) verwahrt habe.
Das Erstgericht verhielt die beklagte Partei zur Gutschrift von 310 EUR auf das Konto des Kunden. In Ansehung der begehrten weiteren Gutschrift von 36,34 EUR wies es das Klagebegehren unangefochten ab. Dem Kunden falle weder bei der Geldbehebung im Hinblick auf das Schützen seines PIN-Codes noch bei der Verwahrung der Bankomatkarte im Rucksack ein Sorgfaltsverstoß zur Last. Er habe auch seine Geheimhaltungspflichten eingehalten.
Das Berufungsgericht wies auch das restliche Klagebegehren ab. Es stellte vorerst eingehend, zutreffend und unbestritten die Rechtslage zwischen dem Kunden und der beklagten Bank sowie das Bankomatsystem dar.
Die Missachtung der zwischen der beklagten Partei und ihrem Kunden vereinbarten AGB führe zu Schadenersatzpflichten oder zur Minderung von Schadenersatzansprüchen gegen die beklagte Partei. Aus den AGB lasse sich der Umkehrschluss ziehen, dass nach dem Willen der Vertragsparteien in jenen Fällen, in denen dem Konto- bzw. Karteninhaber weder in Bezug auf die Verwahrung der Bankomatkarte noch auf die Geheimhaltung des PIN-Codes eine Sorgfaltswidrigkeit vorzuwerfen sei, das Risiko einer missbräuchlichen Abhebung unter Verwendung der Originalkarte und des PIN-Codes die beklagte Partei zu tragen habe. Dafür spreche, dass die Verfügung des Kunden über die ihm gegen seine Bank zustehende Kontoforderung oder Kreditvereinbarung durch Behebung von Bargeld mittels Bankomatkarte und PIN-Code nur dann wirksam sei, wenn sie vom Berechtigten vorgenommen werde. Dem Kunden sei betreffend die Geheimhaltung des PIN-Codes und dessen Verwendung bei der konkreten Geldbehebung kein sorgfaltswidriges Verhalten vorzuwerfen.
Er habe aber durch Aufbewahrung der Bankomatkarte außerhalb seines Gesichtsfelds im Rucksack in der U-Bahn die in Punkt 2.4.3. der AGB normierte Pflicht zur sorgfältigen Verwahrung der Bankomatkarte verletzt. Bankomatkarte und PIN-Code seien eine untrennbare Einheit. Werde einem Dritten der PIN-Code bekannt, verwahre der Inhaber seine Karte aber sorgfältig, so sei ein Schaden wie der klagegegenständliche nicht denkbar. Die Möglichkeiten zur Ausspähung des PIN-Codes seien vielfältig und nur begrenzt beherrschbar. Es liege daher am Karteninhaber, einen Diebstahl durch entsprechende Maßnahmen zu verhindern. Es könne der beklagten Partei nicht unterstellt werden, eine Haftung nur für jene Fälle ausschließen zu wollen, in denen der PIN-Code einem Dritten durch eine Sorgfaltswidrigkeit des Kunden bekannt werde und die Bankomatkarte dem Karteninhaber durch Zufall, jedenfalls aber ohne sein Verschulden abhanden komme. Den Punkten 1.10. und 2.4. der AGB der beklagten Partei sei auch ein Haftungsausschluss für den umgekehrten Fall zu entnehmen, dass dem Dritten der PIN-Code ohne Verschulden des Karteninhabers bekannt werde, dieser allerdings die Bankomatkarte sorglos verwahre.
Die ordentliche Revision sei zulässig, weil Rsp des Obersten Gerichtshofs zur Auslegung der AGB der beklagten Partei sowie zu den Sorgfaltspflichten des Karteninhabers im Umgang mit Bankomatkarte und PIN-Code fehle, dies aber für eine Vielzahl von Vertragsverhältnissen von Bedeutung sei.
Die ordentliche Revision der klagenden Partei ist zulässig und berechtigt.