Recht und Steuern
Manipulierte Rechnung per E-Mail: Wer trägt das Risiko?
Der Versand von Rechnungen per E-Mail gehört zum Geschäftsalltag. Dabei wird häufig unterschätzt, welche Haftungsrisiken bestehen, wenn Zahlungsinformationen durch Dritte gezielt manipuliert werden und Kunden infolgedessen auf ein falsches Konto überweisen.
In der Praxis verlaufen solche Betrugsfälle oft nach einem ähnlichen Muster: Ein Unternehmen versendet eine Rechnung als PDF-Anhang per Mail. Unbefugte Dritte greifen die Nachricht ab und verändern insbesondere die angegebene Bankverbindung. Der Kunde überweist daraufhin den Rechnungsbetrag auf ein falsches Konto, ohne den Betrug zu erkennen.
Rechtlich führt eine solche Zahlung an den unbefugten Dritten grundsätzlich nicht zur Erfüllung der Forderung. Der Vergütungsanspruch des Unternehmers entfällt nicht. Allerdings kann der Kunde Schadensersatz (nach Art. 82 DSGVO) vom Unternehmer verlangen, wenn das Unternehmen in Zusammenhang mit dem Rechnungsversand per Mail gegen datenschutzrechtliche Vorgaben verstoßen hat.
Ein Verstoß gegen datenschutzrechtliche Vorschriften wird dann angenommen, wenn personenbezogene Daten rechtswidrig verarbeitet wurden und dem Kunden aufgrund dessen ein Schaden entstanden ist.
Bereits die Versendung der Rechnung mit Angaben zum Kunden per Mail stellt eine Verarbeitung personenbezogener Daten dar. Um eine Schadensersatzpflicht zu vermeiden ist daher maßgeblich, ob die vom Unternehmen ergriffenen Sicherheitsmaßnahmen dem erforderlichen Schutzniveau der Verarbeitung (nach Art. 32 DSGVO) entsprechen. Dieses richtet sich nach dem konkreten finanziellen Risiko des Einzelfalls.
Das OLG Schleswig-Holstein hat in einer Entscheidung hierzu klargestellt, dass bei höheren Beträgen (im entscheidenden Fall: 15.000 €) weitergehende technische Maßnahmen als eine bloße Transportverschlüsselung erforderlich sind, wie etwa eine Ende-zu-Ende Verschlüsselung.
Den Nachweis dafür, dass ein angemessenes Sicherheitsniveau eingehalten wurde und der Schaden nicht etwa auf einem eigenen unzureichendem IT-System beruht, liegt beim Unternehmen. Dieser Nachweis dürfte in der Praxis häufig nur schwer zu führen sein.
Dies führt zu einem erheblichen Haftungsrisiko des Unternehmers: Der Kunde kann dem Vergütungsanspruch des Unternehmers einen Schadensersatzanspruch als Einrede entgegenhalten, mit der möglichen Folge, dass der Unternehmer wirtschaftlich leer ausgeht.
Ein Mitverschulden des Kunden greift in solchen Fällen nur unter engen Voraussetzungen (je nach Erkennbarkeit der Fälschung, Vorwarnungen, Abweichungen von bekannten Kontodaten). Eine Pflicht zur detaillierten Überprüfung von Rechnungen besteht regelmäßig nicht. Insbesondere, wenn eine Manipulation schwer erkennbar ist, scheidet ein Mitverschulden aus.
Unternehmer sollten daher ihre bestehenden Prozesse beim Versand von Rechnungen per E-Mail überprüfen und das Sicherheitsniveau risikoorientiert und einzelfallbezogen anpassen, um Haftungsfälle zu vermeiden. Zudem sollten entsprechende risikobasierte Maßnahmen nach Art. 32 DSGVO dokumentiert werden.