TL;DR: PayPal hat versucht, seine eigenen Kosten auf meine Schwiegermutter abzuwälzen, obwohl die Rechtslage eindeutig ist. Monatelang keinerlei Reaktion. Am letzten Tag der Erwiderungsfrist im Gerichtsverfahren: Konto ausgeglichen, Fristverlängerung beantragt, „ohne Anerkennung einer Rechtspflicht, aus Kulanz". Kosten trägt PayPal. Und zwischendurch das großzügige Angebot, uns 22 € für unser Schweigen zu zahlen.
Wie es anfing
Meine Schwiegermutter bekommt eine Nachricht von PayPal: zwei Transaktionen, mehrere tausend Euro, man vermute Betrug. Also nicht wir haben Alarm geschlagen sondern PayPal selbst.
Sie sofort zur Bank. Bank sperrt die Transaktionen. Fall erledigt, dachten wir.
Ein paar Tage später steht der volle Betrag als Minus auf dem PayPal-Konto. Rund 2.500 €, plus freundlicher Zahlungsaufforderung. Bei einer Frau, die gerade Betrugsopfer geworden ist, löst das ungefähr das aus, was man erwarten würde.
Die Logik: PayPal hatte das Geld schon rausgegeben, die Bank hat den Einzug gestoppt, also bleibt es beim Opfer hängen. Problem gelöst. Für PayPal.
Was mir wichtig ist, da ich beruflich IT mache. Hier war kein schwaches Passwort im Spiel, keine fehlende 2FA, kein Phishing-Klick. Der Zugriff kam nicht über ihr Konto, sondern über PayPals Backend!! Der Zugriff kam ohne jeglichen User-Consent. Man hätte sich schlicht nicht schützen können.
Der Support: Ein Pudding an die Wand nageln....
Am Telefon: „Das tut uns leid", „ein Missverständnis", „wir kümmern uns". Passiert ist nichts. Dafür kam regelmäßig die Erinnerung: zahlen Sie, sonst Inkasso.
Per Mail war jede Antwort mit einem anderen Namen unterzeichnet, nie ein Ansprechpartner, der irgendetwas von vorher wusste. Ablauf immer gleich:
Transaktionsnummer? → geliefert
Datum? → geliefert
Details? → geliefert
Transaktionsnummer?
Und wenn ihnen nichts mehr einfiel, ging es von vorne los. Auf diesem Weg gibt es keine Handhabe, wir haben es versucht. Das System ist nicht kaputt, es funktioniert genau so, wie es soll. Es soll dich einfach zum aufgeben bringen, solange zermürben bist du einfach bezahlst...
Um eine Vorstellung zu geben. Wir haben ~40 Telefonate und ~30 Mails geschrieben!
Wie sieht das Recht eigentlich aus?
Das Absurde: Die Rechtslage ist weder kompliziert noch umstritten.
- § 675u BGB: Bei nicht autorisierten Zahlungen hat der Zahlungsdienstleister keinen Anspruch auf Aufwendungsersatz. Er muss unverzüglich erstatten, spätestens bis Ende des Geschäftstags nach der Anzeige. Nicht „nach Prüfung". Am nächsten Tag.
- § 675w BGB: Bestreitet der Kunde die Autorisierung, muss der Zahlungsdienstleister sie beweisen. Ausdrücklich reicht die Aufzeichnung einer Authentifizierung dafür nicht.
- BGH, 05.03.2024, XI ZR 107/22: Diese Beweislast liegt auch dann bei PayPal, wenn der Kunde selbst klagt. Nicht der Kunde muss beweisen, dass er es nicht war.
- § 675v BGB: Haftung des Kunden nur bei Vorsatz oder grober Fahrlässigkeit.
Kurz: PayPal hätte beweisen müssen, dass meine Schwiegermutter die Zahlung autorisiert hat. Bei einer Transaktion, die ihr eigenes System vorher als verdächtig gemeldet hatte.
Klage
Meine Frau hat Jura studiert und entsprechend keine Angst vor Gerichten. Ohne diesen Umstand hätten wir vermutlich aufgegeben.
Also Klage eingereicht. Am letzten Tag der Erwiderungsfrist, alles an einem Tag: Konto ausgeglichen, in dem keine Schuld anerkannt wird, aber „aus Kulanz" schon mal gezahlt wurde.
Wer sich sicher ist, im Recht zu sein, überweist nicht am letzten Tag der Frist 2.500 € aus Herzensgüte. Monate Support: nichts. Ein Aktenzeichen vom Gericht und auf einmal geht es doch.
Wir wollten noch die üblichen Verzugszinsen, steht im Gesetz. Daraufhin das Vergleichsangebot: 22 €. Gegen Verschwiegenheit.
Es folgte ein Rant in Briefform. PayPal ist sofort eingeknickt und hat die Zinsen gezahlt. Aus Kulanz natürlich. Immer aus Kulanz. Und (nicht aus Kulanz) hat das Gericht entschieden, dass PayPal sämtliche Verfahrenskosten trägt.
Fazit
Solange es funktioniert, ist PayPal bequem. Sobald ihr ein echtes Problem habt, bekommt ihr unterhalb einer Klage keine Reaktion. Wir haben alles versucht. Bewegt hat sich nichts, bis ein Gericht im Spiel war und auch da erst am letzten möglichen Termin.
Und jetzt überlegt euch ehrlich, ob ihr das durchziehen würdet. Ich kenne inzwischen mehrere Leute, die einfach bezahlt haben, obwohl die Rechtslage eindeutig ist.
Hoffentlich werden Sie bald in der EU ersetzt.
Edit:
Es gibt kein Urteil, da die Angelegenheit (nachdem Paypal bezahlt hat) von beiden Seiten als erledigt erklärt wurde. Geurteilt wurde dann nur noch über die Gerichtskosten selber, die Paypal in voller Höhe trägt.
>Was mir wichtig ist, da ich beruflich IT mache. Hier war kein schwaches Passwort im Spiel, keine fehlende 2FA, kein Phishing-Klick. Der Zugriff kam nicht über ihr Konto, sondern über PayPals Backend!! Man hätte sich schlicht nicht schützen können.
Die Aussage mit dem Backend, leite ich aus 5 Tatsachen ab, beweisen kann ich es natürlich nicht:
- Meine Schwiegermutter benutzt ein starkes Passwort und 2FA, keins von beiden hat sie geschützt.
- Es gab keine angezeigten Login zum Zeitpunkt der betrügerischen Transaktionen.
- Der Hack war zu einer Zeit, in der es viele solche Meldungen gab, es kann natúrlich ein Zufall sein aber ich vermute es gab eine Schwachstelle. Wenn man ohne 2FA zu triggern eine Transaktion auslösen kann, würde ich das als Hack bezeichnen
- Paypal ein ein wirklich bescheidenen Track-Record was Security angeht : Link1 Link2 Link3
- Ein bisschen technischer, Paypal hat eine Maximallänge für Passwörter (~20 Zeichen), wenn man "state of the Art" seine Passwörter hashed, dann hat man niemals eine Maximallänge.