Virtuelle Kreditkarten für Unternehmen: Rechtsrahmen, Haftung und Compliance in Deutschland

Virtuelle Kreditkarten ermöglichen Unternehmen, Zahlungen ohne körperliche Karte abzuwickeln. Sie kommen etwa für Softwareabonnements, Onlinebeschaffungen, Geschäftsreisen und projektbezogene Ausgaben in Betracht. Je nach Produkt lassen sich Zahlungsberechtigungen einzelnen Beschäftigten oder Verwendungszwecken zuordnen und technisch begrenzen. Rechtlich entsteht durch die ausschließlich digitale Bereitstellung jedoch kein eigenständiger, vom allgemeinen Zahlungsrecht losgelöster Kartentyp.

Entscheidend ist vielmehr, wer die Karte ausgibt, wer Vertragspartner wird, wie die Zahlungen finanziert werden und welche Personen darüber verfügen dürfen. Hinzu kommen Fragen der Haftung bei Missbrauch, der steuerlichen Dokumentation, des Beschäftigtendatenschutzes und der betrieblichen Mitbestimmung. Im Unternehmensverkehr dürfen bestimmte gesetzliche Schutzregeln vertraglich verändert werden. Erwartungen aus privaten Kreditkartenverträgen lassen sich deshalb nicht ohne Weiteres übertragen.

Der folgende Beitrag behandelt den Einsatz virtueller Unternehmenskarten unter deutschem Recht und den einschlägigen unionsrechtlichen Vorgaben. Bei grenzüberschreitenden Angeboten müssen zusätzlich das anwendbare Recht, der räumliche Anwendungsbereich einzelner Vorschriften und die vertragliche Aufgabenverteilung untersucht werden.

Begriffsklärung und wirtschaftliche Funktionsweise

Was eine virtuelle Kreditkarte rechtlich ausmacht

Eine virtuelle Kreditkarte besteht regelmäßig aus elektronisch bereitgestellten Kartendaten, insbesondere Kartennummer, Ablaufdatum und Sicherheitsmerkmalen. Sie kann für wiederholte Zahlungen eingerichtet oder auf bestimmte Transaktionen beschränkt sein. Je nach Produkt lassen sich Betragsgrenzen, Gültigkeitszeiträume oder zulässige Zahlungsempfänger festlegen. Nicht jedes Angebot unterstützt sämtliche Einschränkungen; auch deren technische Reichweite kann unterschiedlich sein.

Die Bezeichnung „Kreditkarte“ beantwortet nicht, ob tatsächlich Kredit gewährt wird. Manche Produkte belasten unmittelbar ein Zahlungskonto, andere rechnen Umsätze gesammelt ab. Weitere Modelle setzen ein zuvor eingezahltes Guthaben voraus. Bei einer Kreditgewährung kann neben dem Zahlungsdienstevertrag ein Darlehensverhältnis nach § 488 BGB bestehen. Die rechtliche Einordnung richtet sich nach der Vertragsgestaltung und nicht allein nach der Produktbezeichnung.

Auch die Unterscheidung zwischen einer eigenständigen virtuellen Karte und einer digital hinterlegten physischen Karte ist relevant. Die Speicherung einer vorhandenen Karte in einer digitalen Geldbörse begründet nicht notwendig einen neuen Kartenvertrag. Ein technischer Ersatzwert für Kartendaten kann lediglich die bereits bestehende Zahlungsberechtigung abbilden. Zusätzliche Verträge mit dem Betreiber der digitalen Geldbörse sind gleichwohl möglich.

Beteiligte und Vertragsbeziehungen

Typischerweise bestehen mehrere rechtlich getrennte Beziehungen: zwischen Unternehmen und Kartenherausgeber, zwischen Unternehmen und Händler sowie gegebenenfalls zwischen Unternehmen und einer Ausgabenplattform. Zusätzlich können kontoführende Institute, weitere Zahlungsdienstleister und technische Dienstleister beteiligt sein.

Diese Trennung ist für die Anspruchsprüfung zentral. Eine mangelhafte Softwareleistung betrifft zunächst den Vertrag mit dem Softwareanbieter. Eine fehlerhaft ausgeführte Zahlung betrifft dagegen das Zahlungsdienstverhältnis. Beide Probleme können zusammen auftreten, lösen aber nicht notwendig dieselben Rechtsfolgen aus. Auch die vertraglichen Ansprechpartner können verschieden sein.

Beschäftigte sind häufig lediglich nutzungsberechtigte Personen. Daraus folgt nicht automatisch eine eigene Zahlungspflicht gegenüber dem Kartenherausgeber. Umgekehrt können Produkte persönliche Vertragsbindungen oder zusätzliche Haftungserklärungen vorsehen. Maßgeblich sind die tatsächlichen Vertragsunterlagen. Die betriebliche Bezeichnung als Firmenkarte schließt eine persönliche Verpflichtung weder aus noch begründet sie eine solche.

Rechtlicher Rahmen und einschlägige Normen

Zahlungsdiensterecht des BGB

Den zivilrechtlichen Ausgangspunkt bilden die §§ 675c ff. BGB. Der Zahlungsdiensterahmenvertrag nach § 675f BGB regelt die laufende Erbringung von Zahlungsdiensten. Er wird regelmäßig durch Kartenbedingungen, Preisverzeichnisse und technische Nutzungsregeln konkretisiert.

Von besonderer Bedeutung sind:

• § 675j BGB für die Zustimmung zu einem Zahlungsvorgang;
• § 675l BGB für Pflichten des Zahlers beim Umgang mit Zahlungsinstrumenten;
• § 675u BGB für die Haftung des Zahlungsdienstleisters bei nicht autorisierten Zahlungen;
• § 675v BGB für mögliche Ersatzpflichten des Zahlers;
• § 675w BGB für Nachweisfragen bei bestrittenen Zahlungsvorgängen;
• § 676b BGB für die Anzeige nicht autorisierter oder fehlerhaft ausgeführter Zahlungsvorgänge und den Ausschluss bestimmter Ansprüche.

Diese Vorschriften unterscheiden zwischen der technischen Verarbeitung einer Zahlung und einer rechtlich wirksamen Zustimmung. Dass ein Zahlungssystem die Transaktion akzeptiert hat, beantwortet daher noch nicht abschließend, ob das Unternehmen sie autorisiert hat.

Bei internationalen Zahlungen sind die gesetzlichen Anwendungsgrenzen zu berücksichtigen. Welche Vorschriften uneingeschränkt gelten, kann unter anderem von den beteiligten Zahlungsdienstleistern, deren Ansässigkeit und der verwendeten Währung abhängen.

Besonderheiten bei Unternehmensverträgen

Zahlungsdienstnutzer, die keine Verbraucher sind, genießen nicht durchgehend denselben zwingenden Schutz wie Verbraucher. Nach § 675e Abs. 4 BGB können die Vertragsparteien die Anwendung bestimmter gesetzlicher Vorschriften ganz oder teilweise ausschließen. Außerdem dürfen sie eine andere als die in § 676b Abs. 2 BGB vorgesehene Anzeigefrist vereinbaren.

Diese Möglichkeit betrifft insbesondere bestimmte Haftungs- und Nachweisregeln. Sie eröffnet jedoch keine uneingeschränkte Vertragsfreiheit für das gesamte Zahlungsdiensterecht. § 675u BGB gehört nicht zu den in § 675e Abs. 4 BGB ausdrücklich zur Abbedingung freigegebenen Vorschriften. Eine Klausel, nach der das Unternehmen ausnahmslos jede Kartenbelastung tragen soll, ist deshalb nicht allein wegen des unternehmerischen Vertragszwecks wirksam. Gesetzliche Sonderregelungen, etwa für bestimmte Kleinbetragsinstrumente nach § 675i BGB, müssen gegebenenfalls gesondert geprüft werden.

Zusätzlich bleibt die Kontrolle Allgemeiner Geschäftsbedingungen relevant. § 307 BGB gilt grundsätzlich auch im unternehmerischen Geschäftsverkehr. Dabei sind die Besonderheiten des § 310 BGB zu berücksichtigen. Insbesondere darf die Inhaltskontrolle nicht schematisch mit derjenigen bei Verbraucherverträgen gleichgesetzt werden.

Ob ein Einzelunternehmer als Verbraucher oder Unternehmer handelt, richtet sich nach dem Zweck des konkreten Rechtsgeschäfts. Eine selbstständige Tätigkeit führt nicht dazu, dass sämtliche privaten Verträge dieser Person Unternehmensverträge sind.

Aufsichtsrechtliche Einordnung

Die Ausgabe von Zahlungsinstrumenten und die Erbringung von Zahlungsdiensten können dem Zahlungsdiensteaufsichtsgesetz unterliegen. Ausgangspunkte sind die Begriffsbestimmungen des § 1 ZAG und die einschlägigen Erlaubnisvorschriften. Welche aufsichtsrechtlichen Anforderungen gelten, hängt vom Geschäftsmodell, möglichen gesetzlichen Ausnahmen und dem Status des Leistungserbringers ab.

Bei einer Ausgabenplattform ist deshalb zu unterscheiden, ob sie selbst regulierte Zahlungsdienste erbringt, als eingebundener Vermittler tätig wird oder lediglich technische Leistungen erbringt. Die Bezeichnung als Softwareanbieter entscheidet diese Frage nicht. Umgekehrt benötigt nicht jeder technische Dienstleister eine eigene Erlaubnis zur Erbringung von Zahlungsdiensten.

Ein in einem anderen Staat des Europäischen Wirtschaftsraums zugelassener Anbieter kann unter den gesetzlichen Voraussetzungen grenzüberschreitend in Deutschland tätig werden. Ein deutscher Unternehmenssitz ist daher nicht zwingend erforderlich. Daraus folgt jedoch keine allgemeine Berechtigung beliebiger ausländischer Anbieter.

Bei Guthabenmodellen verdient die Absicherung eingezahlter Gelder Aufmerksamkeit. Aufsichtsrechtliche Sicherungspflichten, insbesondere nach § 17 ZAG, sind nicht mit gesetzlicher Einlagensicherung gleichzusetzen. Ob Einlagen, E-Geld oder anderweitig gesicherte Kundengelder vorliegen, bestimmt sich nach der konkreten rechtlichen Struktur.

Autorisierung, Sicherheitsverfahren und Rechtsprechungslinien

Zustimmung ist nicht gleich technische Freigabe

Nach § 675j BGB ist ein Zahlungsvorgang gegenüber dem Zahler grundsätzlich nur wirksam, wenn dieser zugestimmt hat. Die Art und Weise der Zustimmung wird zwischen Zahler und Zahlungsdienstleister vereinbart. Für ein Unternehmen kann eine vertretungsberechtigte oder entsprechend bevollmächtigte Person handeln.

Eine interne Budgetfreigabe und die zahlungsdiensterechtliche Autorisierung sind unterschiedliche Vorgänge. Die Geschäftsleitung kann eine Ausgabe intern untersagt haben, obwohl die handelnde Person im Außenverhältnis noch über ausreichende Befugnisse verfügt. Umgekehrt kann ein technisch erfolgreicher Vorgang ohne wirksame Zustimmung zustande kommen.

Für die Einordnung müssen daher Vertragslage, Vertretungsmacht, technische Berechtigungen und konkrete Freigabehandlungen gemeinsam untersucht werden. Auch die Frage, ob eine Zustimmung für eine einzelne Zahlung oder eine Reihe von Zahlungsvorgängen erteilt wurde, kann entscheidend sein. Eine technische Dauerberechtigung ist nicht ohne Weiteres mit einer rechtlich unbegrenzten Zustimmung gleichzusetzen.

Starke Kundenauthentifizierung

§ 55 ZAG enthält Anforderungen an die starke Kundenauthentifizierung. Ergänzende Vorgaben ergeben sich aus der Delegierten Verordnung (EU) 2018/389. Vereinfacht geht es um mindestens zwei voneinander unabhängige Elemente aus den Kategorien Wissen, Besitz und Inhärenz, also Eigenschaften, die der Person selbst zugeordnet sind.

Nicht jede Zahlung verlangt eine neue, für den Nutzer sichtbare Freigabehandlung. Das europäische Regelwerk kennt Ausnahmen; außerdem unterliegt nicht jede technisch als Kartenbelastung erscheinende Konstellation denselben Anforderungen. Für bestimmte sichere Unternehmenszahlungsverfahren enthält Art. 17 der Delegierten Verordnung (EU) 2018/389 eine besondere Ausnahme. Sie setzt die dort beschriebenen Voraussetzungen einschließlich der aufsichtsbehördlichen Beurteilung eines vergleichbaren Sicherheitsniveaus voraus und gilt nicht automatisch für sämtliche Firmenkarten.

Unternehmen sollten klären, welche Zahlungsvorgänge authentifiziert werden, welche Ausnahmen der Anbieter nutzt und wie Freigaben dokumentiert werden. Das Fehlen einer zusätzlichen Sicherheitsabfrage beweist für sich genommen weder einen Rechtsverstoß noch eine wirksame Autorisierung.

Gerichtliche Maßstäbe zur Beweisführung

Die Digitalisierung des Zahlungsinstruments begründet keinen eigenständigen gerichtlichen Beweismaßstab. Maßgeblich können insbesondere die gesetzlichen Nachweisregeln und die Rechtsprechung zu Zahlungsinstrumenten, Onlinebanking und missbräuchlichen Transaktionen sein.

Der Bundesgerichtshof hat sich im Urteil vom 26. Januar 2016 – XI ZR 91/14 – mit dem Anscheinsbeweis beim Onlinebanking befasst. Für dessen Anwendung sind insbesondere die Sicherheit des eingesetzten Verfahrens und seine ordnungsgemäße Anwendung und Funktion im konkreten Fall von Bedeutung. Der bloße Verweis auf die technische Nutzung eines Authentifizierungsverfahrens ersetzt diese Prüfung nicht.

Die Entscheidung betrifft nicht speziell virtuelle Unternehmenskarten. Ihre Übertragung verlangt deshalb eine Prüfung des jeweiligen Sachverhalts und der maßgeblichen Gesetzesfassung. Aus ihr lässt sich insbesondere keine allgemeine Regel ableiten, wonach jede erfolgreich authentifizierte Zahlung dem Kontoinhaber zuzurechnen wäre.

Für virtuelle Karten sind Protokolle wichtige, aber auslegungsbedürftige Beweismittel. Zu untersuchen sind etwa Benutzerzuordnung, Gerätezugriff, Sicherheitsverfahren und mögliche Kompromittierungen. Im Unternehmensverkehr ist zusätzlich zu prüfen, ob gesetzliche Nachweisregeln wirksam vertraglich verändert wurden.

Vertretungsmacht, interne Zuständigkeiten und Vertragsgestaltung

Wer darf für das Unternehmen handeln?

Die Einrichtung eines Kartenkontos, die Bestellung weiterer Karten und die Erhöhung von Ausgabenlimits können rechtsgeschäftliche Erklärungen darstellen. Es gelten die allgemeinen Vertretungsregeln der §§ 164 ff. BGB, ergänzt durch gesellschafts- und handelsrechtliche Vorschriften.

Technische Administratorrechte dürfen deshalb nicht ungeprüft mit rechtsgeschäftlicher Vertretungsmacht gleichgesetzt werden. Wer im System eine Funktion bedienen kann, ist nicht notwendig befugt, jede damit verbundene Vertragsänderung für das Unternehmen vorzunehmen. Umgekehrt können die Einrichtung und Kommunikation solcher Rechte für die Auslegung erteilter Vollmachten erheblich sein.

Auch tatsächliches Auftreten und geduldete Abläufe können unter den Voraussetzungen einer Duldungs- oder Anscheinsvollmacht rechtliche Bedeutung gewinnen. Ob diese Voraussetzungen vorliegen, hängt vom Einzelfall ab. Unternehmen sollten ausdrücklich festlegen, wer Verträge abschließt, Benutzer anlegt, Vollmachten erteilt und verbindliche Erklärungen gegenüber dem Anbieter abgeben darf.

Grenzen interner Ausgabenrichtlinien

Eine interne Richtlinie kann Privatkäufe verbieten, Belegpflichten festlegen und Freigabeschwellen bestimmen. Sie verändert aber nicht automatisch die Rechtsbeziehungen zum Händler oder Zahlungsdienstleister.

Überschreitet eine beschäftigte Person ein internes Budget, bleibt gesondert zu prüfen, ob der Vertrag mit dem Händler wirksam zustande gekommen ist und ob die Zahlung autorisiert war. Ein bloßer Verstoß gegen interne Weisungen macht eine Belastung nicht notwendig rückforderbar. Umgekehrt können erkennbare Vollmachtsgrenzen oder besondere Missbrauchskonstellationen die Beurteilung beeinflussen.

Technische Beschränkungen können die Durchsetzung interner Regeln unterstützen. Sie ersetzen jedoch keine rechtliche Zuständigkeitsordnung. Zudem ist zu kontrollieren, ob Kategorienfilter und Empfängerbindungen tatsächlich die gewünschten Zahlungen erfassen. Eine technische Händlerkategorie erlaubt nicht in jedem Fall verlässliche Rückschlüsse auf den konkret erworbenen Gegenstand.

Wichtige Vertragsklauseln

Besondere Aufmerksamkeit verdienen Klauseln über Haftung, Meldefristen, Sperrungen, Sicherheitsanforderungen, Datenexport und Vertragsbeendigung. Hinzu kommen Regelungen über Entgelte, Währungsumrechnung, Rückerstattungen und mögliche Belastungen nach Kartenschließung.

Bei internationalen Angeboten sind außerdem Rechtswahl und Gerichtsstand zu prüfen. Eine deutschsprachige Benutzeroberfläche bedeutet nicht, dass ausschließlich deutsches Recht gilt. Umgekehrt beseitigt eine ausländische Rechtswahl nicht ohne Weiteres alle zwingenden gesetzlichen Vorgaben. Rechtswahl, gerichtliche Zuständigkeit und aufsichtsrechtlicher Status sind rechtlich unterschiedliche Fragen.

Vertragsunterlagen sollten außerdem erkennen lassen, welche Gesellschaft welche Leistung schuldet. Eine einheitliche Benutzeroberfläche kann mehrere Vertragsverhältnisse verdecken, ohne deren rechtliche Selbstständigkeit aufzuheben.

Datenschutz und betriebliche Mitbestimmung

Personenbezogene Zahlungsdaten

Transaktionsdaten sind personenbezogen, sobald sie einer identifizierten oder identifizierbaren natürlichen Person zugeordnet werden können. Das betrifft insbesondere personalisierte Firmenkarten sowie Auswertungen nach Beschäftigten, Reiseorten oder Nutzungszeiten. Rein unternehmensbezogene Daten ohne Bezug zu natürlichen Personen fallen dagegen nicht allein wegen ihres wirtschaftlichen Inhalts unter die DSGVO.

Art. 5 DSGVO verlangt unter anderem Zweckbindung, Datenminimierung und Speicherbegrenzung. Jede Verarbeitung benötigt eine tragfähige Rechtsgrundlage. Im Beschäftigungsverhältnis kann insbesondere § 26 BDSG einschlägig sein. Seine Anwendung muss den unionsrechtlichen Anforderungen genügen; die Vorschrift stellt keine pauschale Erlaubnis für sämtliche betrieblichen Kontrollen dar. Je nach Verarbeitungszweck sind Rechtsgrundlagen aus Art. 6 DSGVO zu prüfen.

Die notwendige Abrechnung betrieblicher Ausgaben rechtfertigt nicht automatisch umfassende Verhaltensanalysen. Ebenso wenig ist eine Einwilligung eine allgemeine Lösung für zusätzliche Auswertungen. Ihre Freiwilligkeit muss unter Berücksichtigung des Abhängigkeitsverhältnisses besonders sorgfältig beurteilt werden.

Beschäftigte sind nach den einschlägigen Vorgaben der Art. 13 und 14 DSGVO zu informieren. Die bloße Existenz einer internen Ausgabenrichtlinie erfüllt diese Informationspflichten nicht notwendig vollständig.

Rollenverteilung und Dienstleister

Ob ein Anbieter Auftragsverarbeiter oder eigenständig Verantwortlicher ist, richtet sich nach seinen tatsächlichen Aufgaben und Entscheidungsspielräumen. Ein Zahlungsinstitut erfüllt regelmäßig eigene gesetzliche und vertragliche Aufgaben und ist insoweit nicht lediglich weisungsgebundener Datenverarbeiter.

Für zusätzliche Analyse-, Speicher- oder Verwaltungsleistungen kann dagegen Auftragsverarbeitung nach Art. 28 DSGVO vorliegen. Auch eine gemeinsame Verantwortlichkeit ist bei entsprechender Aufgabenverteilung zu prüfen. Die datenschutzrechtlichen Rollen müssen für die einzelnen Verarbeitungsvorgänge bestimmt werden; ein pauschales Etikett für die gesamte Geschäftsbeziehung genügt nicht immer.

Bei Datenübermittlungen in Drittländer sind Art. 44 ff. DSGVO zu beachten. Allgemeine Hinweise auf internationale Sicherheitsstandards ersetzen die Prüfung einer zulässigen Übermittlungsgrundlage nicht. Erforderlich sind außerdem angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO, etwa nachvollziehbare Zugriffsberechtigungen und ein risikogerechter Schutz der Konten.

Beteiligung des Betriebsrats

Nach § 87 Abs. 1 Nr. 6 BetrVG besteht unter den gesetzlichen Voraussetzungen ein Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen zur Überwachung von Verhalten oder Leistung. Nach der arbeitsgerichtlichen Auslegung kann bereits die objektive Eignung zur Überwachung maßgeblich sein; eine ausdrücklich erklärte Überwachungsabsicht ist nicht notwendig.

Eine Kartenplattform mit personenbezogenen Auswertungen kann deshalb mitbestimmungspflichtig sein, obwohl ihr Hauptzweck die Buchhaltung ist. Voraussetzung ist insbesondere, dass das Betriebsverfassungsgesetz anwendbar ist und ein zuständiger Betriebsrat besteht. Ob weitere Beteiligungsrechte eingreifen, hängt von den vorgesehenen Regeln ab.

Eine Betriebsvereinbarung kann Zugriffsrechte, Auswertungszwecke, Kontrollanlässe und Löschkonzepte festlegen. Auch sie muss jedoch die datenschutzrechtlichen Anforderungen einhalten. Die Beteiligung des Betriebsrats beseitigt nicht die Pflicht, Erforderlichkeit und Verhältnismäßigkeit der Verarbeitung eigenständig zu prüfen.

Buchführung, Steuerrecht und digitale Nachweise

Kartenabrechnung und Rechnung sind zu unterscheiden

Eine Kartenabrechnung dokumentiert zunächst Zahlungsvorgänge. Sie enthält nicht notwendig sämtliche Angaben einer steuerlich ordnungsgemäßen Rechnung und belegt nicht allein, dass die abgerechnete Leistung tatsächlich für das Unternehmen erbracht wurde.

Für den Vorsteuerabzug sind insbesondere § 15 UStG und die jeweils einschlägigen Rechnungsanforderungen der §§ 14 und 14a UStG relevant. Zu berücksichtigen sind mögliche Sonder- und Vereinfachungsregelungen. Die Zahlung mit einer Unternehmenskreditkarte begründet für sich genommen keinen Vorsteuerabzugsanspruch. Entscheidend sind unter anderem Leistungsbezug, unternehmerische Verwendung und die gesetzlich erforderlichen Nachweise.

Auch für die ertragsteuerliche Behandlung muss die betriebliche Veranlassung nachvollziehbar sein. Ein Kartenumsatz kann hierfür ein Beweismittel sein, reicht aber nicht in jeder Konstellation aus. Besondere Anforderungen können etwa bei Bewirtungen, Reisen oder gemischt veranlassten Aufwendungen entstehen.

Soweit die gesetzlichen Vorgaben zur elektronischen Rechnung greifen, sind zudem Format und strukturierter Rechnungsinhalt zu beachten. Eine bloße PDF-Datei ist nicht ohne Weiteres eine elektronische Rechnung im hierfür maßgeblichen umsatzsteuerrechtlichen Sinn. Anwendungsbereich, Ausnahmen und Übergangsregelungen sind gesondert zu prüfen.

Ordnungsmäßigkeit und Aufbewahrung

Handelsrechtliche Anforderungen ergeben sich insbesondere aus §§ 238, 239 und 257 HGB, steuerrechtliche aus §§ 145 bis 147 AO. Dabei ist zunächst festzustellen, welche Buchführungs- und Aufzeichnungspflichten das konkrete Unternehmen treffen. Nicht jedes Unternehmen unterliegt sämtlichen handelsrechtlichen Buchführungsvorschriften.

Hinzu kommen die vom Bundesministerium der Finanzen veröffentlichten Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff, die GoBD. Sie sind Verwaltungsanweisungen und kein eigenständiges Gesetz. Ihre praktische Bedeutung liegt insbesondere darin, wie die Finanzverwaltung gesetzliche Anforderungen an elektronische Aufzeichnungen konkretisiert.

Rechtlich relevant sind nicht nur Belegbilder, sondern auch Nachvollziehbarkeit, Zuordnung und die Erkennbarkeit nachträglicher Änderungen. Eine automatische Übertragung in die Buchhaltung ersetzt deshalb nicht die notwendigen Kontrollen auf fehlende Belege, Doppelbuchungen und fehlerhafte Zuordnungen. Bei strukturierten elektronischen Rechnungen ist regelmäßig auch der strukturierte Inhalt aufbewahrungsrelevant.

Aufbewahrungsfristen richten sich nach Unterlagenart, maßgeblicher Gesetzesfassung und möglichen Übergangs- oder Sonderregelungen. § 257 HGB, § 147 AO und § 14b UStG enthalten unterschiedliche Anknüpfungen. Gesetzliche Aufbewahrungspflichten rechtfertigen umgekehrt nicht die unbegrenzte Speicherung sämtlicher Analyse- und Beschäftigtendaten.

Anbieterwechsel und Datenzugriff

Vor einem Anbieterwechsel ist sicherzustellen, dass aufbewahrungspflichtige Unterlagen und erforderliche Strukturinformationen weiterhin verfügbar bleiben. Ein zusammenfassender Export einzelner Monatsumsätze kann unzureichend sein, wenn dadurch Belegbeziehungen, erforderliche Einzelinformationen oder prüfungsrelevante Daten verloren gehen.

Zu berücksichtigen sind insbesondere Rechnungen, Transaktionskennungen, Zuordnungen, Erstattungen und relevante Änderungsinformationen. Welche Daten im Einzelnen aufbewahrt werden müssen, richtet sich nach ihrer Funktion im Buchführungs- und Nachweisverfahren.

Der Vertrag sollte klären, welche Exportformate bereitgestellt werden und ob nach Vertragsende noch Zugriff möglich ist. Das Unternehmen bleibt für die Erfüllung seiner eigenen gesetzlichen Aufbewahrungspflichten verantwortlich; ein Verweis auf die technische Ausgestaltung des Anbieters genügt nicht.

Typische Fallkonstellationen

Missbrauch nach einem Sicherheitsvorfall

Werden Zugangsdaten durch eine Phishing-Nachricht erlangt und anschließend Karten erzeugt, stellt sich zunächst die Frage nach der Autorisierung der einzelnen Zahlungen. Für nicht autorisierte Vorgänge ist § 675u BGB im jeweiligen gesetzlichen Anwendungsbereich der zentrale Ausgangspunkt.

Davon zu unterscheiden sind mögliche Gegenansprüche des Zahlungsdienstleisters wegen verletzter Sicherheitspflichten. Im Unternehmensverkehr kann der vertraglichen Risikoverteilung erhebliche Bedeutung zukommen. Zu prüfen sind außerdem Angriffsmethode, vorhandene Freigaben, vereinbarte Sicherheitsanforderungen und die Reaktion nach Entdeckung.

Ein technischer Login unter dem Namen eines Beschäftigten beweist nicht ohne Weiteres, dass diese Person selbst gehandelt oder sämtliche nachfolgenden Transaktionen gebilligt hat. Ebenso begründet nicht jede erfolgreiche Täuschung automatisch grobe Fahrlässigkeit. Die Bewertung hängt von den konkreten Umständen ab.

Private Nutzung durch Beschäftigte

Verwendet eine beschäftigte Person eine Firmenkarte entgegen den geltenden Regeln für private Einkäufe, können arbeitsrechtliche Pflichtverletzungen und Ersatzansprüche vorliegen. Ist Privatnutzung dagegen ausdrücklich erlaubt, kommt es auf die vereinbarten Abrechnungs- und Rückzahlungsregeln an.

Ob ein Straftatbestand erfüllt ist, hängt von zusätzlichen Voraussetzungen ab. Betrug nach § 263 StGB erfordert insbesondere die gesetzlichen Merkmale einer Täuschung, eines dadurch verursachten Irrtums und einer vermögensschädigenden Verfügung. Untreue nach § 266 StGB setzt insbesondere eine entsprechend qualifizierte Vermögensbetreuungspflicht voraus. Die bloße Überlassung einer Karte belegt eine solche Pflicht nicht automatisch.

Auch eine Kündigung ist keine zwingende Folge jedes Regelverstoßes. Erforderlich sind Sachverhaltsaufklärung, Interessenabwägung und die Beachtung weiterer Voraussetzungen, etwa einer gegebenenfalls notwendigen Abmahnung. Besteht ein zuständiger Betriebsrat, ist dessen Anhörung nach § 102 BetrVG zu beachten.

Gegenüber dem Kartenherausgeber kann die Zahlung gleichwohl autorisiert sein, wenn die beschäftigte Person über eine ausreichende Zahlungsbefugnis verfügte. Interner Missbrauch und externe Nichtautorisierung sind nicht gleichbedeutend.

Abonnements nach Kartensperrung

Die Sperrung oder Löschung einer virtuellen Karte beendet grundsätzlich nicht den zugrunde liegenden Vertrag mit dem Händler. Ein Softwareabonnement kann deshalb weiterlaufen, obwohl die bisherige Zahlungsweise nicht mehr funktioniert.

Soll das Vertragsverhältnis beendet werden, muss eine wirksame Beendigung nach den gesetzlichen oder vereinbarten Voraussetzungen herbeigeführt werden. Dazu kann eine fristgerechte Kündigung erforderlich sein. Ohne wirksame Beendigung können weitere Entgeltansprüche entstehen. Die Folgen ausbleibender Zahlungen hängen wiederum von den Voraussetzungen des jeweiligen Anspruchs ab.

Umgekehrt erlaubt eine fortbestehende Forderung nicht jede beliebige Belastung über frühere Kartendaten. Zu trennen sind die Forderung aus dem Grundgeschäft, eine gegebenenfalls fortbestehende Zahlungsautorisierung und die technischen Möglichkeiten der Abrechnung.

Insolvenz eines beteiligten Anbieters

Bei einer Insolvenz ist zunächst festzustellen, welche Gesellschaft betroffen ist. Der Ausfall einer Verwaltungsplattform ist rechtlich anders zu beurteilen als die Insolvenz des kontoführenden oder kartenausgebenden Instituts. Gleichwohl können technische Abhängigkeiten dazu führen, dass auch bei Insolvenz eines bloßen Plattformbetreibers praktische Zugriffsprobleme entstehen.

Für vorausgezahlte Guthaben sind Vertragsstruktur, aufsichtsrechtliche Sicherung und insolvenzrechtliche Zuordnung entscheidend. Aus den Bezeichnungen „Firmenkonto“ oder „Kartenguthaben“ lässt sich kein allgemeiner Anspruch gegen ein Einlagensicherungssystem ableiten. Ebenso garantiert eine aufsichtsrechtlich vorgesehene Sicherung nicht in jeder Konstellation sofortigen und ungehinderten Zugriff auf die Gelder.

Praktisch relevant ist außerdem, ob Rechnungen und Abrechnungsdaten weiterhin verfügbar sind. Ein rechtmäßig angelegter und ausreichend geschützter Datenbestand außerhalb der laufenden Plattformverfügbarkeit kann deshalb zur Risikovorsorge beitragen.

Rechtsfolgen und Haftungsrisiken

Außenhaftung und Erstattungsansprüche

Bei nicht autorisierten Zahlungen sieht § 675u BGB grundsätzlich die Erstattung des Zahlungsbetrags und bei einer Kontobelastung die gesetzlich vorgesehene Wiederherstellung des Kontostands vor. Mögliche Ersatzansprüche gegen das Unternehmen sind davon rechtlich zu unterscheiden. Ihr Bestehen richtet sich nach den einschlägigen gesetzlichen und wirksamen vertraglichen Regeln.

Bei autorisierten Zahlungen lässt sich nicht allein wegen eines späteren Streits mit dem Händler eine Erstattung nach § 675u BGB verlangen. Hier stehen regelmäßig Rechte aus dem Grundgeschäft im Vordergrund. Welche Rechtsbehelfe bestehen, hängt vom Vertragstyp und der Pflichtverletzung ab. Neben gesetzlichen Ansprüchen können kartensystembezogene Rückbelastungsmöglichkeiten bestehen.

Weitere Risiken entstehen durch Vertragsverletzungen, unzureichende Dokumentation und Datenschutzverstöße. Je nach Sachverhalt kommen behördliche Maßnahmen, Bußgelder oder Ansprüche betroffener Personen in Betracht. Eine zivilrechtliche Schadensersatzpflicht setzt die jeweils erforderlichen Anspruchsmerkmale voraus; ein Organisationsmangel oder Datenschutzverstoß allein beweist noch keinen ersatzfähigen Schaden.

Innenhaftung und Organisationspflichten

Geschäftsleiter müssen im Rahmen ihrer gesetzlichen und vertraglichen Pflichten für eine angemessene Organisation sorgen. Für Geschäftsführer einer GmbH ist insbesondere § 43 GmbHG, für Vorstandsmitglieder einer Aktiengesellschaft § 93 AktG relevant. Welche Kontrollen erforderlich sind, hängt unter anderem von Unternehmensgröße, Zahlungsvolumen, Aufgabenverteilung und erkennbaren Risiken ab.

Bei Beschäftigten können die Grundsätze des innerbetrieblichen Schadensausgleichs eingreifen, wenn der Schaden bei einer betrieblich veranlassten Tätigkeit verursacht wurde. Verschuldensgrad und weitere Umstände beeinflussen die Haftungsverteilung. Nicht jeder Bedienungsfehler rechtfertigt deshalb einen vollständigen Rückgriff. Bei eigenmächtigen Privatgeschäften ist dagegen bereits gesondert zu prüfen, ob überhaupt eine betrieblich veranlasste Tätigkeit vorliegt.

Pauschale Verpflichtungen, sämtliche Kartenverluste unabhängig von Verschulden und Umständen zu ersetzen, sind rechtlich überprüfungsbedürftig. Behauptete Ersatzansprüche dürfen auch nicht ohne Beachtung der Aufrechnungs- und Pfändungsschutzregeln vom Arbeitsentgelt abgezogen werden.

Verfahren und Fristen bei beanstandeten Zahlungen

Sofortmaßnahmen und Anzeige

Nach Entdeckung eines verdächtigen Vorgangs sollten betroffene Zahlungsinstrumente und Zugänge unverzüglich gesichert werden. Dazu können Kartensperrung, Beendigung aktiver Sitzungen, Änderung kompromittierter Zugangsdaten und Sicherung relevanter Protokolle gehören. Maßnahmen zur Beweissicherung dürfen notwendige Schutzmaßnahmen nicht unangemessen verzögern.

§ 675l BGB enthält insbesondere Pflichten zur unverzüglichen Anzeige des Verlusts, Diebstahls, der missbräuchlichen Verwendung oder einer sonstigen nicht autorisierten Nutzung eines Zahlungsinstruments, sobald der Zahler davon Kenntnis erlangt.

Nach § 676b BGB muss der Zahlungsdienstnutzer einen nicht autorisierten oder fehlerhaft ausgeführten Zahlungsvorgang nach Feststellung unverzüglich anzeigen, um die dort geregelten Rechte geltend machen zu können. Die gesetzliche Ausschlussfrist beträgt grundsätzlich 13 Monate nach dem Tag der Belastung. Der Fristbeginn hängt allerdings davon ab, ob und wann die gesetzlich vorgesehenen Informationen bereitgestellt wurden.

Für Nichtverbraucher kann eine andere Frist vereinbart sein. Die gesetzliche Dreizehnmonatsfrist ist deshalb kein Ersatz für die Vertragsprüfung und erst recht keine allgemeine Erlaubnis, einen bereits erkannten Vorfall zunächst unbearbeitet zu lassen.

Erstattung, Rückbelastung und Händlerstreit

§ 675u BGB sieht grundsätzlich eine unverzügliche Erstattung vor, spätestens bis zum Ende des Geschäftstags, der auf die Anzeige oder anderweitige Kenntnis des Zahlungsdienstleisters folgt. Zu beachten ist die gesetzliche Ausnahme bei berechtigten Gründen für den Verdacht eines betrügerischen Verhaltens des Zahlers, wenn der Zahlungsdienstleister diese Gründe der zuständigen Behörde schriftlich mitgeteilt hat. Ein allgemeiner Verdacht auf einen Angriff durch unbekannte Dritte ist damit nicht gleichzusetzen.

Davon unterscheidet sich ein Rückbelastungsverfahren nach den Regeln eines Kartensystems, häufig als Chargeback bezeichnet. Voraussetzungen und Fristen können vom Reklamationsgrund, dem maßgeblichen Regelwerk und den vertraglichen Vereinbarungen abhängen. Es handelt sich nicht um einen einheitlichen gesetzlichen Rückerstattungsanspruch für sämtliche Kartenumsätze.

Eine Strafanzeige oder Beschwerde bei einer Aufsichtsbehörde ersetzt weder die erforderliche Anzeige beim Zahlungsdienstleister noch die zivilrechtliche Anspruchsverfolgung. Auch die bloße Einleitung eines Chargeback-Verfahrens sichert nicht automatisch sämtliche gesetzlichen Ansprüche.

Beweise und weitere Fristen

Gesichert werden sollten insbesondere Transaktionsdaten, Benutzerrechte, Freigabeprotokolle, Nachrichten, maßgebliche Vertragsfassungen und der Zeitpunkt der ersten Kenntnis. Wichtig sind außerdem Nachweise über Meldungen und Sperrungen. Dabei sind Datenschutz, Zugriffsrechte und Integrität der gespeicherten Daten zu beachten.

Neben zahlungsdiensterechtlichen Ausschlussfristen können Verjährungsfristen gelten, insbesondere nach §§ 195 und 199 BGB. Beide Fristarten erfüllen unterschiedliche Funktionen. Verhandlungen können unter den Voraussetzungen des § 203 BGB die Verjährung hemmen; eine bloße einseitige Zahlungsaufforderung oder sonstige Korrespondenz gewährleistet dies jedoch nicht.

Liegt zugleich eine Verletzung des Schutzes personenbezogener Daten vor, ist Art. 33 DSGVO zu prüfen. Der Verantwortliche muss eine meldepflichtige Verletzung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Datenschutzaufsicht melden. Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Bei verspäteter Meldung verlangt die Vorschrift eine Begründung der Verzögerung.

Nicht jeder Kartenmissbrauch ist eine personenbezogene Datenschutzverletzung. Umgekehrt können bei einem hohen Risiko zusätzlich Benachrichtigungspflichten gegenüber betroffenen Personen nach Art. 34 DSGVO bestehen.

Praktische Handlungsschritte für Unternehmen

Auswahl und Einführung

Vor der Einführung sollte das Unternehmen seine Zahlungsabläufe, Vertragsbeziehungen und erforderlichen Berechtigungen erfassen. Anschließend sind insbesondere folgende Punkte zu prüfen:

• Identität und aufsichtsrechtlicher Status der beteiligten Anbieter;
• Finanzierung, rechtliche Behandlung von Guthaben und mögliche persönliche Haftung;
• vertragliche Abweichungen vom gesetzlichen Haftungs- und Nachweismodell;
• Sicherheitsverfahren, Sperrwege und erreichbare Ansprechpartner;
• Datenschutzrollen und gegebenenfalls eingebundene Unterauftragsverarbeiter;
• Drittlandübermittlungen und erforderliche Übermittlungsgrundlagen;
• Datenexport, Aufbewahrung und Zugriff nach Vertragsende;
• gegebenenfalls notwendige Beteiligung des Betriebsrats.

Die Prüfung sollte nicht auf allgemeine Produktbeschreibungen beschränkt bleiben. Maßgeblich sind die verbindlichen Vertragsunterlagen und die tatsächlich eingesetzten Funktionen. Ein Registereintrag oder eine aufsichtsrechtliche Zulassung belegt zudem nicht automatisch, dass jedes angebotene Zusatzprodukt rechtlich oder wirtschaftlich risikolos ist.

Laufender Betrieb und Ausscheiden von Beschäftigten

Im laufenden Betrieb sind Berechtigungen risikogerecht zu überprüfen. Wo Umfang und Gefährdung der Zahlungen es rechtfertigen, können Kartenausgabe, Limiterhöhung und Freigabe organisatorisch getrennt werden. Individuelle Benutzerkonten erleichtern die Zuordnung von Handlungen gegenüber gemeinsam genutzten Administratorzugängen.

Eine interne Richtlinie sollte erlaubte Ausgaben, Belegpflichten, Freigaben und Meldewege verständlich festlegen. Beschäftigte müssen außerdem wissen, wie sie auf verdächtige Freigabeaufforderungen, kompromittierte Zugangsdaten oder verlorene Endgeräte reagieren sollen. Kontrollmaßnahmen müssen ihrerseits arbeits- und datenschutzrechtlich zulässig sein.

Beim Ausscheiden einer Person genügt die Löschung ihres betrieblichen E-Mail-Kontos nicht zwingend. Karten, aktive Sitzungen, Administratorrechte und hinterlegte Zahlungszugänge sind gesondert zu prüfen. Interne Verantwortlichkeiten für laufende Verträge müssen gegebenenfalls neu zugeordnet werden. Ist die ausscheidende Person selbst Vertragspartner eines Anbieters, kann dagegen eine rechtsgeschäftliche Vertragsänderung oder ein neuer Vertrag erforderlich sein.

Offene Streitfragen und Entwicklungsbedarf

Automatisierte Beschaffung und Zahlungsfreigabe

Automatisierte Systeme können Zahlungen anhand vorab definierter Regeln auslösen. Rechtlich bleibt zu bestimmen, wie weit eine zuvor erteilte Zustimmung reicht und wann eine zusätzliche Autorisierung erforderlich ist.

Eine interne Automatisierungsregel beantwortet diese Frage nicht allein. Entscheidend sind die vertraglich vereinbarte Zustimmung, die Systemgestaltung und die rechtliche Zurechnung der Einrichtung und Nutzung des Verfahrens. Bei Änderungen von Empfängern, Beträgen oder Verwendungszwecken können zusätzliche Abgrenzungsprobleme entstehen.

Automatisierung beseitigt zudem nicht die Trennung zwischen Beschaffungsvertrag und Zahlungsvorgang. Ein wirksam ausgelöster Zahlungsvorgang beweist nicht notwendig, dass der zugrunde liegende Vertrag wirksam geschlossen oder ordnungsgemäß erfüllt wurde. Ebenso ersetzt die Zustimmung zu einer Beschaffung nicht in jeder Konstellation die erforderliche Zahlungsautorisierung.

Risikoverteilung und technische Nachweise

Einzelfallabhängig bleibt häufig, welche Risiken durch Allgemeine Geschäftsbedingungen wirksam auf Unternehmen verlagert werden können. Besonders prüfungsbedürftig sind Klauseln, die die Nutzung bestimmter Zugangsdaten mit einer unwiderlegbar verbindlichen Autorisierung gleichsetzen sollen. Dabei sind die gesetzlichen Abweichungsmöglichkeiten, verbleibendes zwingendes Recht und die Inhaltskontrolle gemeinsam zu berücksichtigen.

Auch technische Protokolle werfen Bewertungsfragen auf. Ein protokollierter Zugriff kann von einem berechtigten Benutzer, einem Angreifer oder einem automatisierten Prozess stammen. Für eine rechtlich belastbare Bewertung sind daher Entstehung, Integrität, Vollständigkeit und Aussagekraft der Daten entscheidend.

Virtuelle Karten können die Steuerbarkeit von Zahlungen verbessern. Sie beseitigen aber weder die Notwendigkeit rechtlicher Zurechnung noch die Anforderungen an eine sachgerechte Beweiswürdigung.

Zusammenfassung

Virtuelle Kreditkarten für Unternehmen unterliegen grundsätzlich den rechtlichen Strukturen elektronischer Zahlungsinstrumente. Entscheidend sind die konkreten Vertragsbeziehungen, die Autorisierung der Zahlungsvorgänge und die Verteilung von Vertretungs- und Nutzungsbefugnissen. Die digitale Form schafft für sich genommen keinen eigenständigen Haftungsmaßstab.

Besondere Aufmerksamkeit verlangt der Unternehmensverkehr, weil bestimmte gesetzliche Schutzregeln vertraglich verändert werden dürfen. Diese Abweichungsmöglichkeiten sind jedoch begrenzt. Kartenbedingungen, Meldefristen und Sicherheitsvorgaben müssen deshalb konkret geprüft werden. Interne Ausgabenverstöße, nicht autorisierte Zahlungen und Streitigkeiten mit Händlern sind rechtlich auseinanderzuhalten.

Daneben bestehen eigenständige Anforderungen aus Datenschutz, betrieblicher Mitbestimmung, Buchführung und Steuerrecht. Eine Kartenabrechnung ersetzt nicht automatisch eine erforderliche Rechnung. Personenbezogene Auswertungen sind nicht allein wegen ihres betrieblichen Nutzens zulässig, und gesetzliche Aufbewahrungspflichten rechtfertigen keine unbegrenzte Speicherung sämtlicher Plattformdaten.

Eine rechtlich angemessene Organisation verlangt insbesondere klare Zuständigkeiten, risikogerechte Berechtigungen, verfügbare Nachweise und geregelte Verfahren für Sicherheitsvorfälle. Technische Kontrollen und rechtliche Organisation ergänzen einander, können sich aber nicht gegenseitig ersetzen.