Werkunternehmer gehackt: Auf­trag­geber muss auf­passen, wohin er den Wer­k­lohn über­weist

Das Landgericht (LG) Koblenz hatte einen Fall zu entscheiden, in dem Werkvertrags- und Datenschutzrecht aufeinanderprallen. Das Gericht hatte u. a. die Frage klären müssen, wer haftet, wenn der Auftraggeber wegen eines Hacker-Angriffs auf das E-Mail-Konto des beauftragten Unternehmers den geschuldeten Werklohn fälschlicherweise an einen Betrüger überweist (Urt. v. 26.03.2025, Az. 8 O 271/22).

In dem Fall ging es um einen Zaun, den die Firma des klagenden Werkunternehmens zum vereinbarten Pauschalpreis von 11.000 Euro errichtet hatte. Nach Rechnungsstellung am 9. Juli 2022 schickte der beklagte Auftraggeber dem Chef der Firma per WhatsApp Screenshots, weil es zum Streit gekommen war. In den Screenshots zu sehen zwei Überweisungen: einmal über 6.000 Euro, einmal über 5.000 Euro. Das Blöde: Die Zahlung ging an eine Bankverbindung, die dem klagenden Werkunternehmer gar nicht gehörte. Der Name des Zahlungsempfängers lautete "Ronald Serge B.", ein Dritter, der mit dem Zaunbau gar nichts zu tun hatte und bei dem es sich mutmaßlich um den Betrüger handelte. Der Werkunternehmer jedenfalls hatte kein Geld erhalten und klagte deshalb gegen den Auftraggeber auf Zahlung.

Der Auftraggeber erklärte vor Gericht, er habe am 11. Juli 2022 eine E-Mail von der Adresse des Werkunternehmers erhalten, in der eine geänderte Bankverbindung angekündigt worden sei. Er habe auf die Mail reagiert und daraufhin am 15. Juli eine weitere Mail mit der neuen Kontoverbindung erhalten. Die Überweisungen erfolgten laut dem beklagten Auftraggeber auf Grundlage dieser gefälschten Nachricht.

Gericht erkennt Zahlungspflicht überwiegend an

Die 8. Zivilkammer des LG Koblenz urteilte, dass der klagende Werkunternehmer grundsätzlich weiterhin Anspruch auf den Werklohn habe. Anspruchsgrundlage sei § 631 Abs. 1 des Bürgerlichen Gesetzbuches (BGB), der die wesentlichen Pflichten im Werkvertragsrecht regelt. In der Überweisung an ein fremdes Konto sei keine Erfüllung der Zahlungspflicht zu sehen, so das LG. Sie reiche nicht aus, um die Forderung als beglichen anzusehen.

Selbst wenn die E-Mails von dem Account des klagenden Werkunternehmers tatsächlich von einem hackenden Betrüger versandt worden sein sollten, lasse sich daraus nicht zweifelsfrei ableiten, dass sie auch mit Wissen oder Willen des Werkunternehmers verschickt wurden. Das Gericht verwies in diesem Zusammenhang auf die allgemeine Gefahr von E-Mail-Betrug und Konto-Hacking – ein Risiko, das beide Parteien bei digitaler Kommunikation bewusst in Kauf nähmen. 

Schadensersatz wegen Datenschutzverstoßes aufrechenbar

Gleichzeitig gestand das Gericht dem beklagten Auftraggeber einen Anspruch auf Schadensersatz zu, welcher dann gegen den Anspruch des Klägers aufgerechnet werden konnte. Grundlage dafür sei ein Verstoß gegen die Datenschutzgrundverordnung (DSGVO), so das Gericht.

Der Anspruch folgte konkret aus Art. 82 DSGVO. Nach dieser Vorschrift hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Der Werkunternehmer habe es versäumt, personenbezogene Daten wie die E-Mail-Adresse und Rechnungsdetails des beklagten Auftraggebers ausreichend zu schützen, so das Gericht.

Auftraggeber trägt mehr Schuld als der Unternehmer

Allerdings traf laut LG auch den beklagten Auftraggeber ein erhebliches Verschulden an der Schadensentstehung. Die Mail, in der auf einmal eine neue Kontoverbindung zugunsten eines fremden Dritten mitgeteilt wurde, hätte zwingend Anlass zur kritischen Prüfung geben müssen, so das LG. Mindestens eine einfache Rückfrage beim Werkunternehmer sei in so einem Fall angemessen, die der Auftraggeber aber nicht unternommen habe.

Auch dass der Auftraggeber Screenshots der Überweisungen per WhatsApp übermittelte, genügte laut Gericht nicht, um den Verschuldensvorwurf auf den klagenden Werkunternehmer vollständig abzuwälzen, führt das Gericht weiter aus. Whatsapp-Nachrichten seien in der Regel für schnelle, mobile Kommunikation gedacht und erlaubten keine gründliche Prüfung sensibler Daten. 

Zwar hätte der Werkunternehmer laut Gericht anhand der Screenshots erkennen können, dass die Zahlung an einen falschen Empfänger getätigt worden ist. Eine entsprechende Prüfungspflicht obliege ihm allerdings nicht. Das Risiko der Zahlung liege vielmehr beim beklagten Auftraggeber.

Das Gericht sprach dem klagenden Werkunternehmer im Ergebnis einen Anspruch auf Zahlung von 8.250 Euro (75 Prozent der ursprünglichen Forderung) zu. Der beklagte Auftraggeber durfte 25 Prozent – also 2.750 Euro – mit dem eigenen Schadensersatzanspruch aus der DSGVO verrechnen.

pa/LTO-Redaktion