German law basically dictates that if you tell someone they won a prize, you have to give them that prize, no ifs or buts:
§ 661a Gewinnzusagen
Ein Unternehmer, der Gewinnzusagen oder vergleichbare Mitteilungen an Verbraucher sendet und durch die Gestaltung dieser Zusendungen den Eindruck erweckt, dass der Verbraucher einen Preis gewonnen hat, hat dem Verbraucher diesen Preis zu leisten.
If it was a technical mistake (which it seems it was), Paypal should be able to avoid payment (again, not a lawyer. But yes. A clusterfuck (and one with the potential of much lulz).
TL;DR PayPal Germany seems to have sent mass-emails claiming German customers have won 500,- EUR when they have in fact not. Kaspersky Labs have verified emails as legit, coming from PayPal.
§ 661a Gewinnzusagen Ein Unternehmer, der Gewinnzusagen oder vergleichbare Mitteilungen an Verbraucher sendet und durch die Gestaltung dieser Zusendungen den Eindruck erweckt, dass der Verbraucher einen Preis gewonnen hat, hat dem Verbraucher diesen Preis zu leisten.