Vorsicht beim Versand von Rechnungen per E-Mail

Urteil. Das Oberlandesgericht (OLG) Schleswig-Holstein hat entschieden, dass Kunden nicht erneut zahlen müssen, wenn eine per E-Mail versandte Rechnung von Hackern manipuliert und auf ein falsches Konto umgeleitet wird.

Der Sachverhalt

Ein Handwerksunternehmen (Klägerin) verschickte drei Teilrechnungen per E-Mail an eine Kundin (Beklagte).

• Die ersten beiden Rechnungen wurden korrekt überwiesen.
• Bei der dritten Rechnung, die zugleich die Schlussrechnung war, griffen Hacker ein und änderten die Kontodaten.
• Die Beklagte überwies daraufhin den Betrag auf ein fremdes Konto.

Daraufhin verlangte die Klägerin die erneute Zahlung des Werklohns.

Entscheidung des Landgerichts Kiel

Das Landgericht verurteilte die Beklagte zunächst zur erneuten Zahlung.

• Begründung: Die Überweisung an einen Dritten erfülle die Schuld nicht.
• Zudem habe die Klägerin keine Pflicht verletzt, da sie beim Versand eine Transportverschlüsselung (SMTP über TLS) nutzte und damit ausreichende Sicherheitsmaßnahmen getroffen habe.

Berufung vor dem OLG Schleswig-Holstein

Die Beklagte legte Berufung ein – mit Erfolg. Das OLG wies die Klage ab.

• Zwar bestätigte das Gericht, dass die Zahlung auf das falsche Konto die Schuld nicht tilgte.
• Dennoch sei die Beklagte nicht verpflichtet, erneut zu zahlen.
• Grund: In Höhe des fehlgeleiteten Betrags bestehe ein Schadensersatzanspruch der Beklagten gegen die Klägerin (§ 242 BGB). Es wäre widersprüchlich, wenn die Klägerin Zahlung verlangen würde, obwohl sie denselben Betrag als Schadensersatz schuldet.

Datenschutzrechtliche Bewertung

Das OLG stützte den Schadensersatzanspruch zusätzlich auf Art. 82 DSGVO.

• Die Klägerin habe beim Versand der Rechnung personenbezogene Daten verarbeitet.
• Dabei habe sie gegen die Grundsätze der DSGVO (Art. 5, 24, 32) verstoßen.
• Die verwendete Transportverschlüsselung sei nicht ausreichend, um die Daten wirksam zu schützen.

Konsequenz für Unternehmen

Unternehmen müssen beim Versand von Rechnungen per E-Mail für einen sicheren Schutz personenbezogener Daten sorgen. Wenn dies nicht gewährleistet werden kann, empfiehlt das Gericht, Rechnungen weiterhin klassisch per Post zu verschicken.

Quelle:
Oberlandesgericht Schleswig-Holstein vom 18.12.2024, AZ.: 12 U 9/24