Citation: 4A_516/2018 E. A

A.a. Die St. Galler Amtsbürgschaftsgenossenschaft, St. Gallen, (Genossenschaft, Beklagte, Beschwerdeführerin) ist eine im Handelsregister des Kantons St. Gallen eingetragene Genossenschaft. Sie bezweckt namentlich das Erbringen von Sicherheitsleistungen nach Massgabe der kantonalen Gesetzgebung. Nach Art. 1 ihrer Statuten ist sie eine Genossenschaft im Sinne von Art. 828 - 926 OR. Mitglied können gemäss Art. 3 der Statuten werden (a) der Kanton St. Gallen, (b) die öffentlich-rechtlichen juristischen Personen im Sinne von Art. 43 des Einführungsgesetzes zum ZGB und (c) die privatrechtlichen juristischen Personen und Stiftungen mit Sitz im Kanton St. Gallen, wenn sie vorwiegend öffentliche Aufgaben erfüllen. Die Genossenschaft leistet für ihre Mitglieder im Sinne der jeweiligen kantonalen Gesetzgebung Bürgschaft und Amtskaution, die für sog. eingeschlossene Personen gelten, nämlich für Behördenmitglieder, Beamte und Angestellte gemäss Art. 7 des Gesetzes des Kantons St. Gallen über die Haftung der öffentlich-rechtlichen Körperschaften und Anstalten und die Verantwortlichkeit der Behörden und öffentlichen Angestellten (VG/SG; sGS 161.1). Nach Art. 7 Abs. 1 VG/SG sind Behördenmitglieder und Beamte für den Schaden verantwortlich, den sie der öffentlich-rechtlichen Körperschaft oder Anstalt durch vorsätzliche oder grobfahrlässige Verletzung der Dienstpflicht zufügen. Unter dem Titel "Bürgschaften" bestimmt Art. 11 Abs. 2 der Statuten der Genossenschaft: "Die Genossenschaft ersetzt bis zur Höhe der Garantiesumme Vermögensschäden der Mitglieder, welche die eingeschlossenen Personen in Ausübung ihrer Amts- oder Dienstgeschäfte vorsätzlich oder grobfahrlässig verursachen." Art. 11bis Abs. 3 der Statuten bestimmt sodann: "Die Genossenschaft erbringt keine Leistung, wenn das Mitglied den Schaden selbst grobfahrlässig durch mangelhafte Kontroll- und Sicherheitsmassnahmen ermöglicht hat (vgl. auch Art. 503,2 OR)." Der Kanton St. Gallen (Mitglied, Kläger, Beschwerdegegner) ist Mitglied der Genossenschaft. Die Genossenschaft verpflichtete sich gemäss Bürgschaftsurkunde vom 1. Januar 1999, dem Mitglied Solidarbürgschaft im Rahmen der gesetzlichen Bestimmungen und nach Massgabe der Statuten für eine Garantiesumme von Fr. 1'000'000.-- zu leisten. A.b. A.________ (Angestellter) war als Rechnungsführer im Amt für Berufsbildung des Kantons St. Gallen angestellt. Er hatte die Aufgabe, die Rechnungen ausserkantonaler Schulen zu überprüfen, welche diese im Zusammenhang mit der Ausbildung von im Kanton St. Gallen wohnhaften Studierenden stellten, und die erforderlichen Daten zu erfassen. Der Angestellte schädigte zwischen September 1999 und April 2009 seinen Arbeitgeber. Er sammelte die Wohnsitzbestätigungen derjenigen Studierenden, die sich für ein ausserkantonales Studium gemeldet hatten, jedoch das Studium nicht aufnahmen. Aufgrund der Personalien in den Wohnsitzbestätigungen erstellte er auf offiziellen Formularen der Interkantonalen Fachschulvereinigung Meldelisten für ausserkantonale Studierende. Auf diesen Meldelisten trug er in den Jahren 1999 bis 2002 als Schulnamen jeweils "ABW Uster" ein, ab 2003 bis 2009 verwendete er die Bezeichnungen "Allgemeine Berufsschule Zürich" oder "Allgem. Gewerbliche Berufsschule". Unter den Bezeichnungen "ABW Uster" und "AGZ Zürich" eröffnete er zwei Postkonti, über die er selbst verfügte. Den mit der Unterschrift einer fiktiven Schulleiterin versehenen Meldelisten legte er die echten Wohnsitzbestätigungen bei. Sein Vorgesetzter erteilte daraufhin die Zahlungsfreigabe. Den vom Angestellten eröffneten Postkonti wurden so zwischen Fr. 19'000.-- und Fr. 255'000.-- jährlich gutgeschrieben. Die Geldbeträge verwendete der Angestellte für eigene Zwecke. Am 16. November 2009 erstattete der Angestellte Selbstanzeige. Er wurde am 18. Mai 2011 vom Kreisgericht St. Gallen im abgekürzten Verfahren wegen mehrfachen gewerbsmässigen Betrugs und mehrfacher Urkundenfälschung im Amt verurteilt. Den Schadenersatzanspruch des Kantons St. Galllen anerkannte er im Umfang von Fr. 1'075'461.95. A.c. Mit Schadensanzeige vom 2. März 2010 forderte das Mitglied von der Genossenschaft erstmals die Bezahlung der Garantiesumme aus Solidarbürgschaft. Die Genossenschaft verweigerte die Zahlung in der Folge mit der Begründung, das Mitglied habe den Schaden durch mangelhafte Kontroll- und Sicherheitsmassnahmen grobfahrlässig ermöglicht. Die Parteien konnten sich nicht einigen.