09. September 2026 von Martin Brandmüller
In unserem Blog hatten wir in einem früheren Artikel (hier nachzulesen) auf ein Urteil des OLG Schleswig-Holstein vom 18.12.2024, Az. 12 U 9/24, hingewiesen, welches beim Rechnungsversand eine Ende-zu-Ende-Verschlüsselung forderte und dem Rechnungsempfänger einen Schadensersatzanspruch aus Art. 82 DSGVO zubilligte, nachdem ein sog. „Man in the Middle" den E-Mailverkehr abgriff und die Bankverbindungsdaten zu seinen Gunsten abänderte.
Dieser Entscheidung diametral gegenüber steht nun eine aktuelle Entscheidung des LG Karlsruhe vom 20. Mai 2026, Az. 8 O 266/25.
Vergleichbar zum Fall vor dem OLG ging es vorliegend um einen Rechnungsversand über den Kauf mehrerer Goldbarren zwischen dem Kläger und der Beklagten. Wie auch im Fall des OLG war der Rechnungsversand nicht Ende-zu-Ende verschlüsselt. Beide Parteien sowie das LG gingen davon aus, dass die Bankverbindungsdaten durch unbefugte Dritte verfälscht wurden. Der tatsächliche Ablauf war nicht ermittelbar.
Analog zur Entscheidung des OLG Schleswig-Holstein stellt auch das LG Karlsruhe fest, dass durch die Überweisung auf das Konto der unbefugten Dritten keine Erfüllung der Zahlungspflicht aus dem Kaufvertrag eingetreten ist.
Der große Unterschied zur Entscheidung des OLG ist jedoch, dass das OLG dem Rechnungsempfänger einen Schadensersatzanspruch aus Art. 82 DSGVO in Höhe des falsch überwiesenen Rechnungsbetrages zugesprochen hatte.
LG Karlsruhe: Ein Anspruch aus Art. 82 DSGVO scheidet aus, weil nicht die personenbezogenen Daten des Betroffenen selbst manipuliert wurden.
Dieser Anspruch scheidet aus Sicht des LG Karlsruhe aus, da nicht die personenbezogenen Daten des Betroffenen selbst, sondern lediglich die Bankverbindungsdaten des Vertragspartners manipuliert wurden und dadurch der sachliche Anwendungsbereich der DSGVO nicht eröffnet sei, was zwingende Voraussetzung für die Bejahung eines Anspruchs nach Art. 82 DSGVO wäre.
In der Begründung stellt das LG klar, dass die Bankverbindungsdaten der gewerblichen Beklagten keine personenbezogenen Daten des Klägers darstellen würden, eine Betroffenheit der Adressdaten des Klägers sei „allenfalls zufällig". Der Schaden wäre nicht durch eine Veränderung der Daten des Klägers, sondern ausschließlich durch die Veränderung der Bankverbindungsdaten entstanden.
Des Weiteren führt das LG aus, dass selbst wenn eine Anwendbarkeit zu bejahen wäre, der Anspruch an einer mangelnden Pflicht zu einer Ende-zu-Ende-Verschlüsselung scheitere, da diese sich weder aus dem Normentext der DSGVO ergebe noch den üblichen Erwartungen im allgemeinen Geschäftsverkehr entspreche.
Hinzu käme ein fehlendes Sicherheitsbewusstsein auch auf Seiten der Kläger, welche den Rechnungsversand per E-Mail initiierten und die Bankverbindungsdaten nicht ausreichend geprüft hätten. Eine Ende-zu-Ende-Verschlüsselung erfordere zudem immer eine beidseitige Zusammenarbeit. Auch aufgrund der ungeklärten Frage, in welcher Sphäre (beim Kläger, beim Beklagten, während des Versands) die Kompromittierung stattfand, lehnte das LG Karlsruhe einen Anspruch aus Art. 82 DSGVO ab.
Für Rechnungsempfänger und Versender bleibt auf diesem Gebiet damit weiterhin eine gewisse Rechtsunsicherheit bestehen. Um einen Verstoß in der eigenen Sphäre möglichst auszuschließen und dies begründet gegenüber dem Gericht darlegen zu können, empfiehlt sich daher die Implementierung geeigneter und angemessener technischer und organisatorischer Maßnahmen.
Tipp: Sofern Sie bei der Implementierung geeigneter technischer und organisatorischer Maßnahmen Unterstützung benötigen, helfen wir Ihnen gerne weiter.