Der Kunde verbrachte seine Ferien zusammen mit Freunden auf einer bekannten Ferieninsel im fernen Ausland. Kurz vor seiner Heimreise ging er abends in eine Disco-Bar in der Nähe seines Hotels. Am anderen Morgen, in sein Hotelzimmer zurückgekehrt, stellte er fest, dass in seinem Portemonnaie die ganzen Barmittel fehlten. Seine Kreditkarte sei zwar noch vorhanden gewesen, habe sich aber nicht mehr in dem üblichen von ihm verwendeten Fach befunden. Misstrauisch geworden, habe er sofort die Hotline der die Karte ausgebenden Bank angerufen und die Karte sperren lassen. Bei dieser Gelegenheit habe er erfahren, dass von ihm nicht getätigte Belastungen von rund 3000 CHF verbucht waren.
Nach seiner Rückkehr in die Schweiz habe er sich an die Bank gewandt und das Schadenformular ausgefüllt. Er sei sich sicher gewesen, die Kreditkarte nie verwendet zu haben, habe er doch einen bedeutenden Bargeldbetrag auf sich getragen. Daraus und aus den Umständen — er habe sich an nichts mehr erinnern können — schloss er, dass man ihm in der besagten Bar ein seine Wahrnehmungen trübendes Mittel verabreicht haben müsse. Da er auch den PIN-Code der Karte nicht im Portemonnaie notiert habe, war er der Meinung, seine Sorgfaltspflichten erfüllt zu haben, und forderte von der Bank die Übernahme des Schadens. Die Bank wies darauf hin, dass die Kartenbelastungen mit Eingabe des korrekten PIN-Codes erfolgt seien. Damit sei die Sorgfaltspflicht vom Kunden nicht eingehalten worden. Aus Kulanzgründen sei sie jedoch bereit, einen Anteil von 1000 CHF am Schaden zu übernehmen. Der Kunde empfand dieses Angebot als ungenügend und gelangte an den Ombudsman.
In ihrer Stellungnahme nahm die Bank den Standpunkt ein, es sei zwar unbestritten, dass in diesem Fall ein Missbrauch der Kreditkarte des Kunden durch eine Drittperson vorliege. Der Ablauf der betrügerischen Transaktion lasse jedoch auf eine Sorgfaltspflichtverletzung des Kunden schliessen. Die Abklärungen der Bank hätten ergeben, dass die beanstandeten Transaktionen — diese seien in zwei verschiedenen Bars getätigt worden — vor Sperrung der Karte erfolgt und durch die Eingabe des zur Karte gehörenden PIN-Codes autorisiert gewesen seien. Es könne zudem einwandfrei nachgewiesen werden, dass der PIN-Code bei allen Transaktionen auf Anhieb korrekt eingegeben worden sei.
Da sich die Täterschaft offensichtlich mit dem richtigen PIN-Code legitimieren konnte, müsse davon ausgegangen werden, dass dieser für die Betrüger leicht eruierbar gewesen oder ihnen vom Kunden zugänglich gemacht worden sei. Auf dem Chip der Karte seien lediglich die Kartennummer, das Ablaufdatum und der Kundenname gespeichert. Es sei daher nicht möglich, den PIN-Code aus der Karte auszulesen. Die Bank wies sodann auch auf die Allgemeinen Geschäftsbedingungen für den Gebrauch der Karte hin, welchen sich der Kunde unterzogen habe. Daselbst sei festgehalten, dass Transaktionen, welche mit dem korrekten PIN-Code getätigt wurden, grundsätzlich als vom Kunden genehmigt gelten. Weiter sei dort unter Sorgfalts- und Mitwirkungspflicht des Kunden ausdrücklich erwähnt, dass dieser den PIN-Code geheim zu halten und geschützt einzugeben habe und dass dieser Code nicht aus einer leicht zu eruierenden Kombination bestehen dürfe. Auch die Karte selber sei sorgfältig aufzubewahren. Wenn — wie im vorliegenden Fall — der Code durch Dritte auf Anhieb korrekt eingegeben werden könne, müsse von einer Verletzung der Sorgfaltspflicht seitens des Kunden ausgegangen werden. Gestützt auf diese Überlegungen sehe sich die Bank nicht veranlasst, dem Kunden über die aus Kulanz und ohne Anerkennung einer Rechtspflicht angebotene Rückerstattung von 1000 CHF hinaus entgegenzukommen.
Dem Ombudsman liegen keine Erkenntnisse vor, dass es gemäss dem heutigen Stand der verwendeten Technik möglich wäre, den für die Nutzung einer Kreditkarte erforderlichen PIN-Code aus der Karte auszulesen. Aufgrund des Umstandes, dass die vom Kunden beanstandeten Belastungen offenbar unter Verwendung der Originalkarte und des PIN-Codes veranlasst wurden, und des vom Kunden geschilderten Geschehens verblieben folgende denkbaren Alternativen: Entweder hatte ein Dritter den PIN-Code von einer Notiz des Kunden abgelesen oder vom Kunden, dessen Zustand ausnutzend, den Code mitgeteilt erhalten, oder aber der Kunde hatte die Belastungen in einem Zustand der Urteilsunfähigkeit mit seinem Code selber autorisiert. Wie dem auch genau gewesen sein mag, hatte sich dieses Geschehen klar ausserhalb jeglichen Einflussbereichs der Bank abgespielt. Damit stand die Frage eines unvorsichtigen Verhaltens des Kunden im Raum. Angesichts dieser Sachlage vermochte der Ombudsman die von der Bank eingenommene Position und ihre Offerte, dem Kunden eine Zahlung von 1000 CHF zu leisten und damit rund einen Drittel des Schadens zu übernehmen, weder unter rechtlichen noch unter Billigkeitsaspekten zu beanstanden. Er empfahl dem Kunden daher, das Angebot der Bank anzunehmen, was dieser ablehnte.