Also ich würde hier davon ausgehen, dass die Bank hier zum Austausch verpflichtet ist.
Aus der Urteilsbegründung zu BGH-Urteil, XI ZR 166/14:
"[FONT="]Es trifft den Zahlungsdienstleister (Bank) nach der Sperrung der Erstkarte und Wegfall der Sperrgründe die gesetzliche Nebenpflicht, dem Kunden ein neues Zahlungsauthentifizierungsinstrument (Zahlungskarte) auszustellen, wenn – wie im Falle des Abhandenkommens oder des Diebstahls der Erstkarte – die bloße Entsperrung nicht in Betracht kommt. Für die Erfüllung dieser gesetzlichen Nebenpflicht kann der Zahlungsdienstleister mangels gesetzlicher Anordnung im Sinne von § 675f Abs. 4 Satz 2 BGB kein Entgelt verlangen."
[/FONT]Ich sehe keinen Grund, warum das Abhandenkommen der Daten hier anders behandelt werden sollte, als das Abhandenkommen der physischen Karte. Der einzige Fall, bei dem sie den Austausch nicht übernehmen müssten ist imho, wenn sie selbst keine Sperrgründe sehen. Dann liegt aber auch das Risiko bei Missbrauch bei der Bank, die Meldepflichten des Kunden sollten erfüllt sein.