Volltextveröffentlichungen (4)

• Justiz Schleswig-Holstein

  § 242 BGB, § 254 BGB, § 280 Abs 1 BGB, § 362 Abs 2 BGB, § 631 BGB
  Sicherheitsvorkehrungen beim Versand von Emails mit angehängten Rechnungen im Geschäftsverkehr; Schadensersatzanspruch nach der Datenschutzgrundverordnung

• rechtsportal.de(Abodienst, kostenloses Probeabo)

  Email; Manipulation einer Email; Erfüllung; Erfüllung durch Leistung an einen Dritten; Überweisung; Sicherheitsvorkehrungen beim Versand von Emails im Geschäftsverkehr; Datenschutzgrundverordnung ; Transportverschlüsselung; End-to-End-Verschlüsselung; Mitverschulden; ...

• rechtsportal.de

  Sicherheitsvorkehrungen beim Versand von Emails mit angehängten Rechnungen im Geschäftsverkehr; Erneute Zahlung der Werklohnforderung wegen Gutschrift des Überweisungsbetrags nach Manipulation der Rechnung durch kriminell handelnde Dritte auf dem Konto eines Unbekannten

• ibr-online(Abodienst, kostenloses Probeabo, Leitsatz frei)

  Schlussrechnungsversand per E-Mail nur mit End-to-End-Verschlüsselung!

Kurzfassungen/Presse (6)

• schleswig-holstein.de (Pressemitteilung)

  Werklohnrechnung gehackt und unbefugt verändert

• beckmannundnorda.de (Kurzinformation)

  Unternehmen müssen E-Mail-Rechnungen mit Ende-zu-Ende-Verschlüsselung versenden - andernfalls Schadensersatz aus Art. 82 DSGVO bei Man-in-the-Middle-Angriff

• Rechtslupe (Kurzinformation/Zusammenfassung)

  Die per Mail versandte und gehackte Werklohnrechnung

• beck-aktuell.de (Kurzinformation)

  Manipulierte Rechnungs-E-Mail: Unternehmer bleibt auf Schaden sitzen

• otto-schmidt.de (Kurzinformation)

  Wer haftet, wenn die Werklohnrechnung gehackt und unbefugt verändert wird?

• dr-bahr.com (Kurzinformation)

  Im B2C-Bereich beim Rechnungsversand per E-Mail Transportverschlüsselung unzureichend, Ende-zu-Ende-Verschlüsselung erforderlich

Besprechungen u.ä.

• ibr-online(Abodienst, kostenloses Probeabo) (Entscheidungsbesprechung)

  Rechnungsversand per E-Mail nur mit End-to-End-Verschlüsselung! (IBR 2025, 171)

Verfahrensgang

• LG Kiel, 29.12.2023 - 9 O 110/23
• OLG Schleswig, 18.12.2024 - 12 U 9/24

Wird zitiert von ... (4)Zitiert selbst (10)

alle Zitatstellen anzeigen
• EuGH, 14.12.2023 - C-340/21

  Natsionalna agentsia za prihodite - DSGVO: Bereits Angst vor Datenmissbrauch kann …

  Auszug aus OLG Schleswig, 18.12.2024 - 12 U 9/24

  Ein Verstoß gegen die Vorschriften der Datenschutzgrundverordnung durch den Verantwortlichen kann in diesem Zusammenhang nicht schon allein deswegen angenommen werden, weil ein unbefugter Zugriff auf personenbezogene Daten durch Dritte im Sinne von Art. 4 Nr. 10 DSGVO stattgefunden hat (vgl. EuGH…, Urteil vom 25. Januar 2024 - C-687/21, juris Rn. 45; EuGH, Urteil vom 14. Dezember 2023 - C-340/21, juris Rn. 22ff., 31-39).

  Umgekehrt ist nach der Rechtsprechung des Europäischen Gerichtshofs der Verantwortliche aber auch nicht gem. Art. 82 Abs. 3 DSGVO von seiner nach Art. 82 Abs. 1 und 2 DSGVO bestehenden Pflicht zum Ersatz des einer Person entstandenen Schadens allein deswegen befreit, weil dieser Schaden die Folge eines unbefugten Zugangs zu personenbezogenen Daten durch einen Dritten ist (vgl. EuGH, Urteil vom 14. Dezember 2023 - C-340/21, juris Rn. 65ff., 74).

  Vielmehr hat der Verantwortliche die Möglichkeit, aber auch die Verpflichtung, nach dem in Art. 5 Abs. 2 DSGVO formulierten und in Art. 24 DSGVO konkretisierten Grundsatz seiner Rechenschaftspflicht darzulegen und zu beweisen, dass die von ihm getroffenen Sicherheitsmaßnahmen geeignet waren, um die personenbezogenen Daten entsprechend dem von der Datenschutzgrundverordnung verlangten Sicherheitsniveau vor dem Zugriff Unbefugter zu schützen (vgl. EuGH…, Urteil vom 25. Januar 2024 - C-687/21, juris Rn. 40ff; ebenso EuGH, Urteil vom 14. Dezember 2023 - C-340/21, juris Rn. 48ff., 57).

  Der Europäische Gerichtshof hat die Anforderungen des Art. 32 DSGVO dahingehend ausgelegt, dass die Geeignetheit der vom Verantwortlichen nach diesem Artikel getroffenen technischen und organisatorischen Maßnahmen vor den nationalen Gerichten konkret zu beurteilen ist, wobei die mit der betreffenden Verarbeitung verbunden Risiken zu berücksichtigen sind und zu beurteilen ist, ob Art, Inhalt und Umsetzung dieser Maßnahmen diesen Risiken angemessen sind (vgl. EuGH, Urteil vom 14. Dezember 2023 - C-340/21, juris Rn. 40ff., 47).

  Ist bei dem Versand von geschäftlichen Emails kein ausreichendes Schutzniveau zur Sicherung der personenbezogenen Daten des Kunden eingehalten, obliegt dem Verantwortlichen der Beweis dafür, dass der dem Kunden entstandene Schaden nicht durch sein Fehlverhalten entstanden ist (EuGH, Urteil vom 14. Dezember 2023 - C-340/21, juris Rn. 72).

  Denn dies allein reicht nach der Rechtsprechung des Europäischen Gerichtshofs nicht aus, um gleichzeitig davon auszugehen, dass die technischen und organisatorischen Maßnahmen des für die Verarbeitung Verantwortlichen nicht "geeignet" im Sinne von Art. 24 und 32 DSGVO waren, vgl. EuGH, Urteil v. 25.01.2024 - C-687/21 -, juris Rn. 45; EuGH, Urteil v. 14.12.2023 - C-340/21, juris Rn. 22ff., 31-39).

  Rn. 71 (bb) Umgekehrt ist nach der Rechtsprechung des Europäischen Gerichtshofs der Verantwortliche aber auch nicht gem. Art. 82 Abs. 3 DSGVO von seiner nach Art. 82 Abs. 1 und 2 DSGVO bestehenden Pflicht zum Ersatz des einer Person entstandenen Schadens allein deswegen befreit, weil dieser Schaden die Folge eines unbefugten Zugangs zu personenbezogenen Daten durch einen Dritten ist (vgl. EuGH, Urteil v. 14.12.2023 - C-340/21, juris Rn. 65ff., 74).

  Rn. 72 (cc) Vielmehr hat der Verantwortliche die Möglichkeit, aber auch die Verpflichtung, nach dem in Art. 5 Abs. 2 DSGVO formulierten und in Art. 24 DSGVO konkretisierten Grundsatz seiner Rechenschaftspflicht darzulegen und zu beweisen, dass die von ihm getroffenen Sicherheitsmaßnahmen geeignet waren, um die personenbezogenen Daten entsprechend dem von der Datenschutzgrundverordnung verlangten Sicherheitsniveau vor dem Zugriff Unbefugter zu schützen (…vgl. EuGH, Urteil v. 25.01.2024 - C-687/21, juris Rn. 40Ff; ebenso EuGH, Urteil v. 14.12.2023 - C-340/21, juris Rn. 48ff., 57).

  Rn. 77 Der Europäische Gerichtshof hat die Anforderungen des Art. 32 DSGVO dahingehend ausgelegt, dass die Geeignetheit der vom Verantwortlichen nach diesem Artikel getroffenen technischen und organisatorischen Maßnahmen vor den nationalen Gerichten konkret zu beurteilen ist, wobei die mit der betreffenden Verarbeitung verbunden Risiken zu berücksichtigen sind und zu beurteilen ist, ob Art, Inhalt und Umsetzung dieser Maßnahmen diesen Risiken angemessen sind (vgl. EuGH, Urteil v. 14.12.2023 - C-340/21, juris Rn. 40ff., 47).

  Rn. 100 Da nach den obigen Darlegungen die Klägerin bei Versand ihrer Email mit der angehängten Rechnung kein ausreichendes Schutzniveau zur Sicherung der personenbezogenen Daten der Beklagten eingehalten hat, obliegt ihr der Beweis dafür, dass der der Beklagten entstandene Schaden nicht durch ihr Fehlverhalten entstanden ist (EuGH, Urteil v. 14.12.2023 - C-340/21, juris Rn. 72).

• EuGH, 25.01.2024 - C-687/21

  MediaMarktSaturn - Vorlage zur Vorabentscheidung - Schutz natürlicher Personen …

  Auszug aus OLG Schleswig, 18.12.2024 - 12 U 9/24

  - drittens einen Kausalzusammenhang zwischen der rechtswidrigen Verarbeitung und diesem Schaden (vgl. EuGH, Urteil vom 25. Januar 2024 - C-687/21, juris Rn. 58; EuGH…, Urteil vom 04. Mai 2023 - C-300/21, juris Rn. 36).

  Ein Verstoß gegen die Vorschriften der Datenschutzgrundverordnung durch den Verantwortlichen kann in diesem Zusammenhang nicht schon allein deswegen angenommen werden, weil ein unbefugter Zugriff auf personenbezogene Daten durch Dritte im Sinne von Art. 4 Nr. 10 DSGVO stattgefunden hat (vgl. EuGH, Urteil vom 25. Januar 2024 - C-687/21, juris Rn. 45; EuGH…, Urteil vom 14. Dezember 2023 - C-340/21, juris Rn. 22ff., 31-39).

  Vielmehr hat der Verantwortliche die Möglichkeit, aber auch die Verpflichtung, nach dem in Art. 5 Abs. 2 DSGVO formulierten und in Art. 24 DSGVO konkretisierten Grundsatz seiner Rechenschaftspflicht darzulegen und zu beweisen, dass die von ihm getroffenen Sicherheitsmaßnahmen geeignet waren, um die personenbezogenen Daten entsprechend dem von der Datenschutzgrundverordnung verlangten Sicherheitsniveau vor dem Zugriff Unbefugter zu schützen (vgl. EuGH, Urteil vom 25. Januar 2024 - C-687/21, juris Rn. 40ff; ebenso EuGH…, Urteil vom 14. Dezember 2023 - C-340/21, juris Rn. 48ff., 57).

  Rn. 68 (vgl. EuGH, Urteil v. 25.01.2024 - C-687/21, juris Rn. 58;… EuGH, Urteil v. 04.05.2023 - C-300/21 -, juris Rn. 36).

  Denn dies allein reicht nach der Rechtsprechung des Europäischen Gerichtshofs nicht aus, um gleichzeitig davon auszugehen, dass die technischen und organisatorischen Maßnahmen des für die Verarbeitung Verantwortlichen nicht "geeignet" im Sinne von Art. 24 und 32 DSGVO waren, vgl. EuGH, Urteil v. 25.01.2024 - C-687/21 -, juris Rn. 45; EuGH, Urteil v. 14.12.2023 - C-340/21, juris Rn. 22ff., 31-39).

  Rn. 72 (cc) Vielmehr hat der Verantwortliche die Möglichkeit, aber auch die Verpflichtung, nach dem in Art. 5 Abs. 2 DSGVO formulierten und in Art. 24 DSGVO konkretisierten Grundsatz seiner Rechenschaftspflicht darzulegen und zu beweisen, dass die von ihm getroffenen Sicherheitsmaßnahmen geeignet waren, um die personenbezogenen Daten entsprechend dem von der Datenschutzgrundverordnung verlangten Sicherheitsniveau vor dem Zugriff Unbefugter zu schützen (vgl. EuGH, Urteil v. 25.01.2024 - C-687/21, juris Rn. 40Ff;… ebenso EuGH, Urteil v. 14.12.2023 - C-340/21, juris Rn. 48ff., 57).

• EuGH, 04.05.2023 - C-300/21

  Der bloße Verstoß gegen die DSGVO begründet keinen Schadenersatzanspruch

  Auszug aus OLG Schleswig, 18.12.2024 - 12 U 9/24

  - drittens einen Kausalzusammenhang zwischen der rechtswidrigen Verarbeitung und diesem Schaden (vgl. EuGH…, Urteil vom 25. Januar 2024 - C-687/21, juris Rn. 58; EuGH, Urteil vom 04. Mai 2023 - C-300/21, juris Rn. 36).

  Rn. 68 (…vgl. EuGH, Urteil v. 25.01.2024 - C-687/21, juris Rn. 58; EuGH, Urteil v. 04.05.2023 - C-300/21 -, juris Rn. 36).

• LG Mainz, 12.11.2021 - 3 O 12/20

  Rechtswidrige Schufa-Meldung - Haftung

  Auszug aus OLG Schleswig, 18.12.2024 - 12 U 9/24

  Verantwortung ist dabei das Verschulden im Sinne der deutschen Rechtsterminologie und nicht die datenschutzrechtliche Verantwortung (LG Mainz, Urteil vom 12. November 2021 - 3 O 12/20, juris Rn. 73;… Quaas, in: Wolff/Brink, BeckOK Datenschutzrecht, 50. Edition, Stand 01.08.2024, Art. 82 DSGVO Rn. 17 und 17.2; Geissler/Ströbel, in: NJW 2019, 3414 (3415)).

  Verantwortung ist dabei das Verschulden im Sinne der deutschen Rechtsterminologie und nicht die datenschutzrechtliche Verantwortung (LG Mainz, Urteil vom 12.11.2021 - 3 O 12/20, juris Rn. 73;… Quaas, in: Wolff/Brink, BeckOK Datenschutzrecht, 50. Edition, Stand 01.08.2024, Art. 82 DSGVO Rn. 17 und 17.2; Geissler/Ströbel, in: NJW 2019, 3414 (3415)).

• LG Kiel, 29.12.2023 - 9 O 110/23

  Erfüllung einer Werklohnforderung für Installationsarbeiten durch eine …

  Auszug aus OLG Schleswig, 18.12.2024 - 12 U 9/24

  Auf die Berufung der Beklagten wird das Urteil des Landgerichts Kiel vom 29.12.2023, Az. 9 O 110/23 , abgeändert.

  Rn. 37 das Urteil des Landgerichts Hamburg vom 29.12.2023, Az. 9 O 110/23 abzuändern und die Klage abzuweisen.

• OLG Karlsruhe, 27.07.2023 - 19 U 83/22

  Sicherheitsvorkehrungen im Zusammenhang mit dem Versand geschäftlicher E-Mails

  Auszug aus OLG Schleswig, 18.12.2024 - 12 U 9/24

  Die Leistung an einen nichtberechtigten Dritten - wie hier wegen der Manipulation der Kontodaten - erlangt hingegen grundsätzlich erst dann erfüllende Wirkung, wenn der nicht empfangsbefugte Dritte die Leistung entsprechend den Weisungen des Schuldners an den Gläubiger weiterleitet oder der Gläubiger die Leistungserbringung an den Dritten ausdrücklich oder schlüssig genehmigt (vgl. OLG Karlsruhe, Urteil v. 27.07.2023 - 19 U 83/22, juris;… auch BGH NJW 2023, 1287, 1288f. Rn. 29;… Grüneberg/Grüneberg, BGB, 83. Aufl., § 362 Rn. 6).
• EuGH, 21.12.2023 - C-667/21

  Krankenversicherung Nordrhein - Vorlage zur Vorabentscheidung - Schutz …

  Auszug aus OLG Schleswig, 18.12.2024 - 12 U 9/24

  Rn. 95 Nach der Rechtsprechung des Europäischen Gerichtshofs ist einer kombinierten Analyse der verschiedenen Bestimmungen von Art. 82 DSGVO zu entnehmen, dass dieser Artikel ein Haftungsregime für Verschulden vorsieht, bei dem die Beweislast nicht der Person obliegt, der ein Schaden entstanden ist, sondern dem Verantwortlichen (EuGH, Urteil v. 21.12.2023 - C-667/21, juris Rn. 92 ff.).
• BGH, 17.03.2004 - VIII ZR 161/03

  Erfüllungswirkung einer Zahlung nach Mitteilung einer geänderten Bankverbindung

  Auszug aus OLG Schleswig, 18.12.2024 - 12 U 9/24

  Rn. 54 Auch in der von der Berufung zitierten Entscheidung des Bundesgerichtshofs (BGH, Urteil v. 17.03.2004 - VIII ZR 161/03, juris Rn 17) hat dieser keine Erfüllung angenommen.
• BGH, 14.02.2023 - XI ZR 537/21

  Widerruf eines mit einem Fahrzeugkaufvertrag verbundenen …

  Auszug aus OLG Schleswig, 18.12.2024 - 12 U 9/24

  Die Leistung an einen nichtberechtigten Dritten - wie hier wegen der Manipulation der Kontodaten - erlangt hingegen grundsätzlich erst dann erfüllende Wirkung, wenn der nicht empfangsbefugte Dritte die Leistung entsprechend den Weisungen des Schuldners an den Gläubiger weiterleitet oder der Gläubiger die Leistungserbringung an den Dritten ausdrücklich oder schlüssig genehmigt (vgl. OLG Karlsruhe, Urteil v. 27.07.2023 - 19 U 83/22, juris; auch BGH NJW 2023, 1287, 1288f. Rn. 29;… Grüneberg/Grüneberg, BGB, 83. Aufl., § 362 Rn. 6).
• BGH, 28.10.1998 - VIII ZR 157/97

  Erfüllung einer Geldschuld durch Banküberweisung

  Auszug aus OLG Schleswig, 18.12.2024 - 12 U 9/24

  Rn. 7 Der zur Erfüllung erforderliche Leistungserfolg sei bei einer Überweisung erzielt, wenn der Gläubiger - vorliegend also die Klägerin - den geschuldeten Betrag endgültig zur freien Verfügung erhalte, mithin bei einer Gutschrift auf dem Konto des Gläubigers (vgl. BGH, Urteil vom 28.10.1998, VIII ZR 157/97 = NJW 1999, 210 f.).

alle Zitatstellen anzeigen
• LG Karlsruhe, 20.05.2026 - 8 O 266/25

  Überweisung auf ein Fremdkonto nach Manipulation einer Rechnung; Anforderungen an …

  Denn bei einer hier in der mündlichen Verhandlung vorgetragenen Attacke auf eine E-Mail, in der der Angreifer zwischen den Kommunikationspartnern steht, muss dieser die E-Mail im Telekommunikationsnetz abfangen, verändern und unbemerkt einspeisen, was extrem hohen technischen Aufwand erfordert (vgl. Veeck, ZD 2025, 284).

  Zwar hatte das Oberlandesgericht Schleswig mit Urteil vom 18.12.2024 (12 U 9/24) in einem grundsätzlich vergleichbaren Fall, in dem der Überweisungsbetrag von 14.924,20 EUR nach Manipulation einer Rechnung durch kriminell handelnde Dritte auf das Konto eines Dritten gutgeschrieben wurde, dem Werkbesteller einen Schadensersatz in Höhe des Überweisungsbetrages gem. Art. 82 DSGVO zugesprochen, der der nicht erfüllten Werklohnforderung des Werkunternehmers gem. § 242 BGB entgegengehalten werden kann.

  Diese unterfallen jedoch nicht dem Schutzbereich der Datenschutzgrundverordnung, zumal es sich bei der Beklagten schon nicht um eine natürliche Person im Sinne vorgenannter Vorschrift handelt (vgl. auch Veeck, ZD 2025, 284).

  Zwar ist es zutreffend, dass das Datenschutzrecht nicht die zu verarbeitenden Informationen an sich schützt, sondern die natürliche Person, deren Daten verarbeitet werden sollen (so Hessel/Prgomet in Rdi 2025, 221), dies setzt aber auch hiernach voraus, dass die Daten der natürlichen Person auch verarbeitet worden sein müssen.

  Rn. 68 b) Selbst wenn man aber eine Anwendbarkeit der DSGVO unterstellte (so etwa Hessel/Prgomet in Rdi 2025, 221;… BeckOK DatenschutzR/Quaas, 55. Ed. 1.2.2026, DS-GVO Art. 82 Rn. 13b, beck-online), läge jedenfalls kein Verstoß gegen die der Beklagten obliegenden Pflichten vor.

  Da die DSGVO selbst aber keine Klarheit darüber bietet, welche konkreten Standards anzuwenden sind (so auch OLG Schleswig, Urteil vom 18.12.2024 - 12 U 9/24 Rn. 67), ist dieses Maß unter Abwägung der genannten Interessen zu bestimmen ist, wobei auch die berechtigten Sicherheitserwartungen des Verkehrs unter Berücksichtigung der Zumutbarkeit ( OLG Karlsruhe, Urteil vom 27.07.2023, 19 U 83/22 ) eine nicht zu vernachlässigende Rolle spielen.

  Dabei kann für eine wirksame Einwilligung auch nicht vorausgesetzt werden, dass der Betroffene die Risiken vollumfänglich überblickt (so indes Hessel/Prgomet in Rdi 2025, 221), denn letztlich muss es dem Einzelnen überlassen bleiben, ob und wie er sich in den Geschäftsverkehr begibt.

  Für einen substantiierten Vortrag bei einer veränderten oder manipulierten E-Mail muss von den Klägern schlüssig vorgetragen und anschließend gegebenenfalls technisch festgestellt werden, ob und bei welchem Kommunikationspartner der Angriff stattgefunden hat - entweder auf der Seite des Empfängers oder des Versenders (Veeck, ZD 2025, 284).

  Bei dritter Variante wäre die E-Mail beim Empfänger also bei den Klägern schon angekommen und wäre dann unverschlüsselt dem Angriff preisgeben (vgl. Veeck ZD 2025, 284).

• LG Koblenz, 26.03.2025 - 8 O 271/22

  Zum Mitverschulden eines Unternehmens bei Hackerangriff auf dessen E-Mail-Account …

  Der Kläger war daher gemäß Art. 5 Abs. 2 f), Art. 24 Abs. 2 DSGVO verpflichtet, bei der Verarbeitung der personenbezogenen Daten geeignete Sicherheitsmaßnahmen zu treffen, um diese vor dem unbefugten Zugriff Dritter zu schützen (SchleswigHolsteinisches Oberlandesgericht, Urteil vom 18.12.2024 - 12 U 9/24 m.w.N.).
• OLG Frankfurt, 20.11.2025 - 5 U 15/24

  Wirksame Kündigung eines GmbH-Geschäftsführers wegen unzulässiger Begünstigung …

  Der Rückgewähreinwand setzt dabei voraus, dass die im Fall der Durchsetzung der Forderung entstehende Gegenforderung denselben Leistungsgegenstand betrifft (Kähler in: beck-online GrossKomm. BGB, Stand: 1.6.2025, § 242 Rn. 1437. Das ist beispielsweise bei einem Schadensersatzanspruch wegen pflichtwidriger Verursachung (Aufklärungspflichtverletzung) von Telefongebühren und der eben diese Gebühren betreffenden vertraglichen Forderung (s. BGH, Urt. v. 24.5. 1976 - III ZR 145/74, NJW 1976, 1631) oder bei einem Schadensersatzanspruch gegen die klageweise geltend gemachte Werklohnforderung wegen pflichtwidriger Verhinderung der Erfüllung dieser Werklohnforderung der Fall (vgl. OLG Schleswig, Urt. v. 18.12.2024 - 12 U 9/24, MMR 2025, 369).
• LG Oldenburg, 24.10.2025 - 2 O 811/25
  4) Der Beklagte hat gegen die Klägerin auch keinen Schadensersatzanspruch wegen Verletzung einer Nebenpflicht gem. §§ 280 Abs. 1, 241 Abs. 2 BGB in der auf das Drittkonto getätigten Überweisungshöhe von 16.800 EUR, den er der Klageforderung als dolo-agit-Einwendung gem. § 242 BGB entgegenhalten könnte (…vgl. dazu OLG Karlsruhe, MMR 2023, 761, 763 [OLG Karlsruhe 27.07.2023 - 19 U 83/22], Rn. 23; OLG Schleswig, Urteil vom 18.12.2024 - 12 U 9/24 Rn. 52ff.).

  Anders als im Falle des OLG Schleswig (OLG Schleswig, Urteil vom 18.12.2024 - 12 U 9/24 zit. n. juris) enthielt die übersandte E-Mail hier allerdings keinerlei personenbezogene Daten des Beklagten, es wurden schlicht und allein die IBAN-Daten der Klägerin übersandt, diese wurden dann auf dem Versandweg verfälscht.