Das Oberlandesgericht (OLG) Karlsruhe hat mit einem aktuellen Urteil eine wegweisende Entscheidung in Bezug auf die Haftung im Zusammenhang mit gehackten E-Mail-Accounts gefällt. Der zugrundeliegende Sachverhalt hätte aus einem Lehrbuch für Juristen und Juristinnen stammen können. In dem speziellen Fall ging es um einen Autohändler, dessen E-Mail-Account von einem Betrüger gehackt wurde, was dazu führte, dass der Käufer den Kaufpreis auf ein falsches Konto überwies.
Hintergrund des Falls
Der Fall begann damit, dass der Geschäftsführer eines Unternehmens ein Auto telefonisch für 13.500 EUR kaufte und die Rechnung per E-Mail anforderte. Der Käufer erhielt zwei auf den ersten Blick identische E-Mails, in denen die Rechnung für das Auto enthalten war. Bei genauerem Hinsehen bemerkte er jedoch, dass die zweite E-Mail eine abweichende Bankverbindung enthielt. Trotz einiger auffälliger sprachlicher Fehler in dieser zweiten E-Mail und der Verwendung von formeller Sprache, zahlte der Käufer den Betrag von 13.500 EUR auf das fremde Konto. Der Verkäufer erhielt jedoch nie das Geld, da die zweite E-Mail von einem Computerbetrüger stammte, der den E-Mail-Account des Autohändlers gehackt und die Bankverbindung auf der Rechnung manipuliert hatte. Wie genau es dazu kommen konnte, blieb im weiteren Verlauf unklar.
In der ersten Instanz entschied das Landgericht Mosbach, dass der Käufer nicht erneut zur Zahlung verpflichtet ist und der Händler den Kaufpreis daher nicht verlangen konnte. Der Autohändler war mit dieser Entscheidung jedoch nicht einverstanden und zog vor das OLG Karlsruhe.
Die Entscheidung des OLG Karlsruhe
Das OLG Karlsruhe argumentierte, dass die Zahlung des Kaufpreises auf das fremde Konto nicht als Erfüllung der Forderung gemäß § 362 BGB betrachtet werden könne. Das Geld wurde auf ein Konto überwiesen, das dem Verkäufer nicht gehört und somit den Leistungserfolg nicht herbeiführen kann.
Das Gericht stellte fest, dass ein Verstoß gegen Sicherheitsvorkehrungen beim Versand einer geschäftlichen E-Mail höchstens einen Schadensersatzanspruch gemäß § 280 Abs. 1 BGB begründen könnte. Dieser Schadensersatzanspruch könnte dann dem Autohändler im Wege der “dolo-agit-Einrede” entgegengehalten werden. Die Richter des OLG lehnten jedoch einen solchen Verstoß ab und sahen keine Verpflichtung des Autohändlers, besondere Sicherheitsvorkehrungen gegen das Hacken seiner E-Mails zu treffen.
Die Richter:innen wiesen darauf hin, dass die Vertragspartner keine spezifischen Sicherheitsvorkehrungen für den E-Mail-Verkehr besprochen hatten. Die Datenschutz-Grundverordnung sei in diesem Fall genauso wenig anwendbar wie die Orientierungshilfe des Arbeitskreises Technische und organisatorische Datenschutzfragen. Entscheidend sei vielmehr, welche berechtigten Sicherheitserwartungen die beteiligten Parteien in diesem konkreten Fall hatten.
Das OLG Karlsruhe kam zu dem Schluss, dass der Käufer nicht erwarten könne, dass der Verkäufer besondere Sicherheitsmaßnahmen gegen das Hacken seiner E-Mails ergreift. Die von ihm vorgeschlagenen Maßnahmen, wie die Verschlüsselung des E-Mail-Verkehrs oder der Einsatz von Transportverschlüsselung, seien im Geschäftsverkehr nicht üblich und nicht verpflichtend.
Bewertung für die Praxis
Rechtlich betrachtet musste der Käufer eine Niederlage hinnehmen: Die Zahlung auf das falsche Konto führte nicht zur Erfüllung der Kaufpreisforderung, und der Käufer konnte auch keinen Schadensersatzanspruch gegen den Verkäufer geltend machen.
Das Urteil des OLG Karlsruhe verdeutlicht, dass die Haftung für Schäden, die durch gehackte E-Mail-Accounts entstehen, nicht automatisch beim Inhaber des Accounts liegt. Die Entscheidung hängt von den konkreten Umständen und den Sicherheitserwartungen der beteiligten Parteien ab.
