Begründung:
I. Zur Berichtigung:römisch eins. Zur Berichtigung:
[1] Die S* Aktiengesellschaft, *, wurde als übertragende Gesellschaft mit der E* AG, *, als übernehmende Gesellschaft verschmolzen. Dies wurde am 1. 8. 2025 im Firmenbuch eingetragen. Die Parteienbezeichnung der Beklagten ist daher gemäß § 235 Abs 5 ZPO zu berichtigen. Die S* Aktiengesellschaft, *, wurde als übertragende Gesellschaft mit der E* AG, *, als übernehmende Gesellschaft verschmolzen. Dies wurde am 1. 8. 2025 im Firmenbuch eingetragen. Die Parteienbezeichnung der Beklagten ist daher gemäß Paragraph 235, Absatz 5, ZPO zu berichtigen.
II. Zur Unterbrechung:römisch zwei. Zur Unterbrechung:
[2] Der Kläger ist Inhaber eines Giro- und eines Sparkontos bei der beklagten Bank.
[3] Die Beklagte bietet Online-Banking namens „*“ an. Dafür benötigte man im November 2023 die Verfügernummer und als Freigabemethode die an ein bestimmtes Gerät gebundene App „S-Identity“. Um in das Online-Banking einzusteigen, musste man die „*“-App öffnen, seine Verfügernummer eingeben und daraufhin über „S-Identity“ den Einstieg in das Online-Banking freigeben. Um Überweisungen vorzunehmen, war ebenfalls die Freigabe über „S-Identity“ erforderlich, die innerhalb eines gewissen Zeitraums durch Eingabe eines Codes bzw Face-ID oder Fingerprint zu erfolgen hatte.
[4] Um ein neues Gerät, etwa ein neues Mobiltelefon, mit „S-Identity“ zu verbinden, konnte über „*“ die Übermittlung eines QR-Codes auf das bisherige Gerät angefordert werden. Um das neue Gerät zu aktivieren, benötigte man diesen nur zu diesem Zweck generierten QR-Code, der nach einigen Minuten ungültig wurde. Von diesem QR-Code konnte aufgrund technischer Vorsichtsmaßnahmen kein Screenshot angefertigt werden; versuchte man dies, wurde der QR-Code ungültig und es erschien ein Warnhinweis, dass der QR-Code nicht weitergegeben werden durfte. Im Zuge der Anbindung eines neuen Geräts wurde ein neuer Code für die Freigabe mit diesem Gerät festgelegt, entweder mit Face-ID, Fingerprint oder durch Eingabe eines Codes. Dabei wurde nur das neue Gerät als solches, nicht aber der Ort erkannt, von dem aus die Autorisierung erfolgt war.
[5] Im Zuge des Verkaufs eines Golfsets auf einer Kleinanzeigenplattform gab der Kläger seine Handynummer bekannt. Am 27. 11. 2023 erhielt er von einem ihm unbekannten Interessenten eine Textnachricht, in der der Unbekannte für eine schnellere Überweisung des Kaufpreises um Übermittlung der Verfügernummer des Klägers sowie eines QR-Codes zur Verbindung eines neuen Geräts mit dem Online-Banking ersuchte. Daraufhin übermittelte ihm der Kläger diese Daten, wobei er dreimal einen solchen QR-Code abfotografierte und weiterleitete. Dadurch ermöglichte es der Kläger dem Unbekannten, ein weiteres Gerät mit seinem Online-Banking zu verbinden.
[6] Aufgrund dessen und der Kenntnis der Verfügernummer des Klägers war es dem Unbekannten möglich, zunächst drei Umbuchungen im Betrag von insgesamt 110.000 EUR vom Spar- auf das Girokonto des Klägers und in der Zeit von 21:12 Uhr des 27. 11. 2023 bis 7:11 Uhr des Folgetags 57 Überweisungen im Betrag von 20 EUR bis 7.931,86 EUR, insgesamt 135.298,72 EUR zu Lasten des Kontos des Klägers durchzuführen. Davon wurden Überweisungen im Betrag von insgesamt 3.635,25 EUR zurückgebucht.
[7] Bei den Zielländern der genannten Überweisungen handelte es sich vorrangig um Deutschland und teilweise um die Niederlande, Zypern, etc. Die Zielländer der Überweisungen scheinen auf keiner Liste der FATF auf.
[8] Der Kläger hatte bereits vor dem 27./28. 11. 2023 entsprechende Überweisungen in EU-Staaten und Drittländer von seinem Konto durchgeführt, sodass die streitgegenständlichen Überweisungen einzeln betrachtet nicht unüblich oder auffällig waren. So hatte er hauptsächlich nach Irland, Großbritannien, Deutschland, Schweden etc überwiesen.
[9] Die Beklagte hatte im Juni und Oktober 2023 vor ähnlichen Betrugsszenarien über Kleinanzeigenplattformen gewarnt. Diese Hinweise hatte der Kläger gelesen.
[10] In den zwischen den Parteien vereinbarten Bedingungen für die Nutzung von Internetbanking „*“, Fassung Jänner 2021, ist unter Punkt 3. „Sorgfaltspflicht“ angeführt:
„Der Kunde hat alle zumutbaren Vorkehrungen zu treffen, die personalisierten Sicherheitsmerkmale (insbesondere PIN-Code) vor unbefugtem Zugriff zu schützen.“
[11] Der Kläger begehrt 131.663,47 EUR samt Zinsen und Kosten sowie die Feststellung, dass die Beklagte hinsichtlich der 57 Überweisungen im Gesamtausmaß von 135.298,72 EUR keine ordnungsgemäße elektronische Transaktionsüberwachung durchgeführt habe. Ein für den Fall der Abweisung des Zahlungsbegehrens gestelltes Eventualbegehren ist auf Berichtigung des Kontos hinsichtlich des abgebuchten Betrags von 131.663,47 EUR per 28. 11. 2023, indem die Abbuchungen gelöscht werden gerichtet. Die Zahlungen seien nicht von ihm autorisiert worden, weshalb die Beklagte verschuldensunabhängig nach § 67 ZaDiG 2018 hafte. Da die Beklagte einen Gegenanspruch nach § 68 ZaDiG 2018 behaupte, aber aus rechtlichen Gründen im gegenständlichen Verfahren nicht einwenden könne, habe er ein rechtliches Interesse an der Feststellung, dass das Transaktionsüberwachungssystem nicht einmal die minimalen Anforderungen aufgewiesen habe, weil die Überweisungen deutlich von seinen bisherigen Zahlungsgewohnheiten (Anzahl, Zeitpunkt und Empfängerstaat) stark abwichen. Der Kläger begehrt 131.663,47 EUR samt Zinsen und Kosten sowie die Feststellung, dass die Beklagte hinsichtlich der 57 Überweisungen im Gesamtausmaß von 135.298,72 EUR keine ordnungsgemäße elektronische Transaktionsüberwachung durchgeführt habe. Ein für den Fall der Abweisung des Zahlungsbegehrens gestelltes Eventualbegehren ist auf Berichtigung des Kontos hinsichtlich des abgebuchten Betrags von 131.663,47 EUR per 28. 11. 2023, indem die Abbuchungen gelöscht werden gerichtet. Die Zahlungen seien nicht von ihm autorisiert worden, weshalb die Beklagte verschuldensunabhängig nach Paragraph 67, ZaDiG 2018 hafte. Da die Beklagte einen Gegenanspruch nach Paragraph 68, ZaDiG 2018 behaupte, aber aus rechtlichen Gründen im gegenständlichen Verfahren nicht einwenden könne, habe er ein rechtliches Interesse an der Feststellung, dass das Transaktionsüberwachungssystem nicht einmal die minimalen Anforderungen aufgewiesen habe, weil die Überweisungen deutlich von seinen bisherigen Zahlungsgewohnheiten (Anzahl, Zeitpunkt und Empfängerstaat) stark abwichen.
[12] Die Beklagte beantragte die Abweisung der Klagebegehren. Die Zahlungen seien durch den Kläger autorisiert, weil das Überlassen der Zugangsdaten samt Ermöglichen der Verbindung eines weiteren Geräts einer Bevollmächtigung oder zumindest einer Anscheinsvollmacht durch den Kläger gleichzuhalten sei. Für den Fall der Anwendbarkeit des § 67 ZaDiG 2018 stehe der Beklagten ein Schadenersatzanspruch nach § 68 ZaDiG 2018 in gleicher Höhe zu, den sie als Gegenrecht, hilfsweise im Wege der Aufrechnung dem Klagsanspruch entgegenhalte. Den Kläger treffe ein grobes Verschulden, weil er sämtliche Warnhinweise missachtet und sogar eine technische Sperre dadurch umgangen habe, dass er den QR-Code abfotografiert habe. Das automatische Transaktionsüberwachungssystem habe ordnungsgemäß funktioniert, die Überweisungen wichen nicht von den bisherigen Zahlungsgewohnheiten des Klägers ab. Die Beklagte beantragte die Abweisung der Klagebegehren. Die Zahlungen seien durch den Kläger autorisiert, weil das Überlassen der Zugangsdaten samt Ermöglichen der Verbindung eines weiteren Geräts einer Bevollmächtigung oder zumindest einer Anscheinsvollmacht durch den Kläger gleichzuhalten sei. Für den Fall der Anwendbarkeit des Paragraph 67, ZaDiG 2018 stehe der Beklagten ein Schadenersatzanspruch nach Paragraph 68, ZaDiG 2018 in gleicher Höhe zu, den sie als Gegenrecht, hilfsweise im Wege der Aufrechnung dem Klagsanspruch entgegenhalte. Den Kläger treffe ein grobes Verschulden, weil er sämtliche Warnhinweise missachtet und sogar eine technische Sperre dadurch umgangen habe, dass er den QR-Code abfotografiert habe. Das automatische Transaktionsüberwachungssystem habe ordnungsgemäß funktioniert, die Überweisungen wichen nicht von den bisherigen Zahlungsgewohnheiten des Klägers ab.
[13] Das Erstgericht wies die Klagebegehren ab. Die Überweisungen seien entsprechend einer starken Kundenauthentifizierung freigegeben worden, sodass eine Haftung der Beklagten für nicht autorisierte Überweisungen ausscheide. Der Kläger habe einem Unbekannten vollen Zugang zu seinem Konto ermöglicht, was eine grob fahrlässige Verletzung seiner Sorgfaltspflichten darstelle. Das Kontrollsystem der Beklagten sei den gesetzlichen Vorgaben entsprechend ausgestaltet. Ein Sorgfaltsverstoß der Beklagten gegenüber dem Kläger sei nicht ersichtlich.
[14] Das Berufungsgericht bestätigte diese Entscheidung. Mit ausführlicher Begründung ging es von einer nicht autorisierten Zahlung aus. Die Beklagte könne ihren Anspruch nach § 68 ZaDiG 2018 in Form eines Gegenrechts gegen den klägerischen Anspruch nach § 67 ZaDiG 2018 einwenden, einer Aufrechnung bedürfe es dazu nicht. Den Kläger treffe an den unautorisierten Zahlungen ein grobes Verschulden. Zum Transaktionsüberwachungssystem wertete das Berufungsgericht eine Aussage des Erstgerichts im mit „Rechtliche Beurteilung“ überschriebenen Teil der Urteilsbegründung als dislozierte Tatsachenfeststellung, wonach das „Kontrollsystem den gesetzlichen – ohnehin sehr strengen – Vorgaben entsprechend ausgestaltet“ sei. Das Berufungsgericht bestätigte diese Entscheidung. Mit ausführlicher Begründung ging es von einer nicht autorisierten Zahlung aus. Die Beklagte könne ihren Anspruch nach Paragraph 68, ZaDiG 2018 in Form eines Gegenrechts gegen den klägerischen Anspruch nach Paragraph 67, ZaDiG 2018 einwenden, einer Aufrechnung bedürfe es dazu nicht. Den Kläger treffe an den unautorisierten Zahlungen ein grobes Verschulden. Zum Transaktionsüberwachungssystem wertete das Berufungsgericht eine Aussage des Erstgerichts im mit „Rechtliche Beurteilung“ überschriebenen Teil der Urteilsbegründung als dislozierte Tatsachenfeststellung, wonach das „Kontrollsystem den gesetzlichen – ohnehin sehr strengen – Vorgaben entsprechend ausgestaltet“ sei.
[15] Das Berufungsgericht ließ die ordentliche Revision zu. Zu klären sei, unter welchen Voraussetzungen von einer Zustimmung zu einen Zahlungsvorgang durch einen Zahler iSd § 58 Abs 1 ZaDiG 2018 auszugehen sei, und ob und in welchem Umfang dabei rechtsgeschäftliche Grundprinzipien wie die Haftung für einen Rechtsschein, dass der berechtigte Kontoinhaber selbst und nicht ein Dritter einen Zahlungsauftrag erstattete (Anscheinsvollmacht bzw Erklärungsfahrlässigkeit), heranzuziehen seien. Erforderlich sei auch eine Klarstellung dahin, wer die Behauptungs- und Beweislast für die Haftungseinschränkung des § 68 Abs 5 ZaDiG 2018 (darunter auch die Verwendung eines den gesetzlichen Vorgaben entsprechenden Transaktions-
überwachungsystems) trage. Schließlich bedürfe es einer höchstgerichtlichen Klärung der Frage, ob die Bank einem Anspruch des Kunden nach § 67 Abs 1 ZaDiG 2018 einen eigenen Schadensersatzanspruch nach § 68 ZaDiG 2018 entgegenhalten kann, und wenn ja, in welcher zeitlichen Abfolge (Zweistufigkeit oder materielle Gleichwertigkeit) und auf welche Art und Weise (rechtsvernichtender Einwand oder Gegenforderung). Das Berufungsgericht ließ die ordentliche Revision zu. Zu klären sei, unter welchen Voraussetzungen von einer Zustimmung zu einen Zahlungsvorgang durch einen Zahler iSd Paragraph 58, Absatz eins, ZaDiG 2018 auszugehen sei, und ob und in welchem Umfang dabei rechtsgeschäftliche Grundprinzipien wie die Haftung für einen Rechtsschein, dass der berechtigte Kontoinhaber selbst und nicht ein Dritter einen Zahlungsauftrag erstattete (Anscheinsvollmacht bzw Erklärungsfahrlässigkeit), heranzuziehen seien. Erforderlich sei auch eine Klarstellung dahin, wer die Behauptungs- und Beweislast für die Haftungseinschränkung des Paragraph 68, Absatz 5, ZaDiG 2018 (darunter auch die Verwendung eines den gesetzlichen Vorgaben entsprechenden Transaktions-, überwachungsystems) trage. Schließlich bedürfe es einer höchstgerichtlichen Klärung der Frage, ob die Bank einem Anspruch des Kunden nach Paragraph 67, Absatz eins, ZaDiG 2018 einen eigenen Schadensersatzanspruch nach Paragraph 68, ZaDiG 2018 entgegenhalten kann, und wenn ja, in welcher zeitlichen Abfolge (Zweistufigkeit oder materielle Gleichwertigkeit) und auf welche Art und Weise (rechtsvernichtender Einwand oder Gegenforderung).
[16] Mit seiner Revision strebt der Kläger die Aufhebung der Entscheidungen der Vorinstanzen zur Verfahrensergänzung an; hilfsweise begehrt er die Klagsstattgebung.