Indsigelse mod at hæfte for op til 8.000 DKK af korttransaktion, der blev godkendt i MitID-app. Indsigelse om manglende levering.
| Sagsnummer: | 437/2025 |
| Dato: | 27-11-2025 |
| Ankenævn: | Helle Korsgaard Lund-Andersen, Christina Bryanth Konge, Janni Visted Hansen, Morten Bruun Pedersen og Elizabeth Bonde. |
| Klageemne: |
Betalingstjenester - ikke-vedkendte hævninger
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for op til 8.000 DKK af korttransaktion, der blev godkendt i MitID-app. Indsigelse om manglende levering. |
| Indklagede: | Nordea Danmark, filial af Nordea Bank Abp, Finland |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for op til 8.000 DKK af korttransaktion, der blev godkendt i MitID-app. Indsigelse om manglende levering.
Sagens omstændigheder
Klageren var kunde i Nordea Danmark, hvor hun havde en konto med et tilknyttet Nordea Pay betalingskort -0620.
Den 18. juli 2025 kl. 07:29 blev der gennemført en kortbetaling på 900 EUR, svarende til 6.751,26 DKK, med klagerens betalingskort til betalingsmodtager Y, som klageren ikke kan vedkende sig.
Klageren har oplyst, at hun i forbindelse med køb af en digital vignet til Østrig til en pris på 9 EUR blev bedt om at bekræfte transaktionen via MitID. Dette gjorde hun. Hun modtog umiddelbart derefter en meddelelse fra MitID om, at hun havde godkendt en betaling på 900 EUR til en anden virksomhed, som hende bekendt ikke har nogen forbindelse til hendes køb af vignetten.
Banken har anført, at kortbetalingen blev godkendt i klagerens MitID-app -5191. Banken har fremlagt uddrag af MitID-log, hvoraf det fremgår, at klagerens MitID-app -5191 blev aktiveret den 23. oktober 2023, og at der den 18. juli 2025 kl. 07:29 skete autentificering fra MitID-app nr. -5191.
Banken har fremlagt en udskrift fra RA/MitID-portalen med teksten, der blev sendt til klagerens MitID-app i forbindelse med godkendelsen af kortbetalingen, hvoraf fremgik:
”Betal 900 EUR til [betalingsmodtager Y] fra kort xx0620”
Banken har oplyst, at kortbetalingen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl.
Banken har endvidere fremlagt en udskrift fra MitID-log og RA/MitID-portalen vedrørende en betaling på 9,30 EUR den 30. juni 2025 til betalingsmodtager S. Af MitID loggen fremgår, at der den 30. juni 2025 kl. 04:53 skete autentificering fra MitID-app nr. -5191. Af RA/MitID-portalen fremgår, at følgende tekst blev sendt til klagerens MitID-app i forbindelse med godkendelse af denne kortbetaling:
”Betal 9,30 EUR til [betalingsmodtager S] fra kort xx0620”
Den 20. juli 2025 gjorde klageren indsigelse overfor banken mod kortbetalingen på 900 EUR i kategorien ”Jeg har købt en vare/ydelse som ikke er modtaget/leveret”. I indsigelsesblanketten anførte klageren blandt andet:
”… Jeg gik ind på en hjemmeside for at købe en vignet til Østrig, og jeg skulle betale 9 euro. Jeg indtastede mine kortoplysninger, og blev bedt om at godkende betalingen via MitID, hvilket jeg gjorde. Umiddelbart efter godkendelsen blev der trukket 900 euro. Jeg er blevet hacket, da jeg ikke har modtaget nogen kvittering med beløbet eller information om, hvad jeg har betalt 900 euro for. …
Hvilken vare/service har du købt?
Det ved jeg ikke, jeg blev hacked …
Hvad svarede forretningen da du forsøgte at kontakte dem for at løse sagen efter den forventede leveringsdato? …
Jeg har intet information om firmaet …”
Klageren udfyldte ikke indsigelsesblankettens svarrubrikker til spørgsmålene ”Hvilken dato forventede du at modtage varen/servicen?” og ”Hvilken dato rykkede du for den manglende vare/service?”.
Banken har oplyst, at den forgæves søgte at lave chargeback gennem kortselskabet. Den 8. september 2025 meddelte banken klageren, at den ikke kunne få beløbet retur fra forretningen, og at den afviste klagerens indsigelse.
Parternes påstande
Den 17. september 2025 har klageren indbragt sagen for Ankenævnet, der har forstået klagerens påstand således, at Nordea Danmark skal tilbageføre den omtvistede betaling til hende.
Nordea Danmark har nedlagt påstand om frifindelse.
Parternes argumenter
Klageren har anført, at hun i forbindelse med køb af en digital vignet til Østrig til en pris på 9 EUR blev bedt om at bekræfte transaktionen via MitID, hvilket hun gjorde. Hun modtog umiddelbart derefter en meddelelse fra MitID om, at hun havde godkendt en betaling på 900 EUR til en anden virksomhed, som hende bekendt ikke har nogen forbindelse til hendes køb af vignetten.
Hun modtog ikke nogen form for ordrebekræftelse, kvittering eller information om, hvilket produkt eller ydelse denne betaling skulle dække. Derfor kontaktede hun straks banken og fik spærret sit kort.
Hun anmoder om at få tilsendt al tilgængelig dokumentation vedrørende transaktionen. Hun har ingen former for dokumenter, da hun aldrig har modtaget noget fra forhandlerens side. Det eneste, der findes, er kontoen, hvortil pengene blev overført. Der findes ingen bevis for køb af nogen genstand, tjeneste eller noget som helst, kun dokumentation for hævningen af pengene fra kontoen. Hun har brug for oplysninger om firmaet, der har modtaget beløbet, og hvordan hun kan komme i kontakt med dem. De skal have beviser vedrørende transaktionen.
Hun anmoder banken om at få pengene tilbage fra forhandleren, da hun ikke har modtaget noget produkt til værdi af pengene. Banken må kunne tage kontakt til forhandleren. Hun ønsker konkret dokumentation for, præcis hvad hun har betalt for, og om der er et produkt eller en ydelse leveret af forhandleren. Hvis dette ikke er tilfældet, anmoder hun om at få beløbet tilbagebetalt.
Banken oplyser, at chargeback-anmodningen blev afvist af kortselskabet, men hun har ikke modtaget dokumentation for afslaget eller en begrundelse for, hvorfor transaktionen ikke kan refunderes. Det fremgår, at banken kun har begrænsede oplysninger om betalingsmodtageren. Dette understreger, at der er tale om en tvivlsom transaktion. Banken burde derfor have ydet bedre beskyttelse eller foretaget yderligere undersøgelse.
Hun anmoder Ankenævnet om at vurdere, om banken har opfyldt sine forpligtelser, herunder til at bistå kunden i tilfælde af uautoriserede eller fejlagtige betalinger.
Nordea Danmark har anført, at klageren selv godkendte betalingen på 900 EUR, hvorfor hun hæfter med op til 8.000 DKK. Banken formoder i øvrigt, at klageren må have forvekslet sine kortbetalinger, da hendes betaling på 9,30 EUR blev foretaget allerede den 30. juni 2025, og derfor ikke kan tillægges betydning i denne sag.
Det fremgår af de fremlagte udskrifter, at betalingen blev godkendt med klagerens identifikationsmiddel -5191, som blev oprettet den 23. oktober 2023. Det kan derfor lægges til grund, at kortbetalingen blev godkendt med klagerens egen personlige sikkerhedsforanstaltning i form af MitID brugernavn og adgangskode samt godkendelse i klagerens MitID-nøgleapp.
De fremlagte udskrifter viser også, at klageren blev præsenteret for følgende tekst, som var tydelig omkring beløb, betalingsmodtager samt kortnummer: ’’Betal 900,00 EUR til [Y] fra kort xx0620”.
Når klageren valgte at godkende et beløb på 900 EUR, som hun var tydeligt oplyst om, hvad angik, og efterfølgende ikke vil vedkende sig, så var selve godkendelsen af betalingen i MitID-app groft uforsvarlig adfærd fra klagerens side, hvorfor hun hæfter med en selvrisiko på op til 8.000 DKK, jf. betalingslovens § 100, stk. 4, nr. 3.
Banken forsøgte at lave chargeback fra forretningen gennem kortselskabet, men den blev afvist. Bankens oplysninger om betalingsmodtageren er sparsomme, men banken formoder, at klageren vil kunne kontakte betalingsmodtageren via dennes hjemmeside.
Banken bemærker, at betalingslovens § 112 ikke finder anvendelse i denne sag, da den omhandler spørgsmålet om eventuel hæftelse for en selvrisiko for en uautoriseret transaktion.
Ankenævnets bemærkninger
Klageren var kunde i Nordea Danmark, hvor hun havde en konto med et tilknyttet Nordea Pay betalingskort -0620.
Den 18. juli 2025 blev der gennemført en kortbetaling på 900 EUR, svarende til 6.751,26 DKK, med klagerens betalingskort til betalingsmodtager Y, som klageren ikke kan vedkende sig.
Klageren har oplyst, at hun i forbindelse med køb af en digital vignet til Østrig til en pris på 9 EUR blev bedt om at bekræfte transaktionen via MitID. Dette gjorde hun. Hun modtog umiddelbart derefter en meddelelse fra MitID om, at hun havde godkendt en betaling på 900 EUR til en anden virksomhed, som hende bekendt ikke har nogen forbindelse til hendes køb af vignetten.
Banken har anført, at kortbetalingen blev godkendt med stærk kundeautentifikation i klagerens MitID-app -5191, og at klageren inden sin godkendelse blev præsenteret for følgende godkendelsestekst: ”Betal 900,00 EUR til [Y] fra kort xx0620”.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5 (§ 100, stk. 4, nr. 2), eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse (§ 100, stk. 4, nr. 3).
Ankenævnet lægger til grund, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste. Ankenævnet finder, at betalingslovens § 112, stk. 1 nr. 2, om manglende levering ved fjernsalg ikke finder anvendelse i nærværende sag, hvor der er tale om misbrug af klagerens kort. Ankenævnet finder, at det må lægges til grund, at der er ikke tale om, at klageren har købt en vare eller ydelse hos betalingsmodtager Y.
Tre medlemmer – Helle Korsgaard Lund-Andersen, Christina Bryanth Konge og Janni Visted Hansen – udtaler:
Efter de foreliggende oplysninger finder vi det godtgjort, at klageren må have godkendt betalingen på 900 EUR, svarende til 6.751,26 DKK, med sit MitID.
Vi finder, at banken har godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da hun burde have reageret på teksten i MitID, hvor hun fik oplysninger om beløbet på 900 EUR og betalingsmodtageren, og at klageren som følge heraf hæfter med op til 8.000 DKK.
Vi stemmer derfor for, at klageren ikke får medhold i klagen.
To medlemmer – Morten Bruun Pedersen og Elizabeth Bonde – udtaler:
Som ovenfor anført finder vi det godtgjort, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Vi finder, at der er tale om organiseret professionel svindel.
Forbrugere har forskellige forudsætninger for at gennemskue professionel svindel. Det må aldrig blive utrygt for den almindelige forbruger at anvende de digitale løsninger og betalingstjenester, der er nødvendige for at fungere i vores samfund.
Vi finder derfor ikke, at klageren, ved at blive snydt af en professionel svindler, har udvist groft uforsvarlig adfærd. Det må forudsættes, at såfremt klageren havde forudsætninger for at gennemskue svindlen, ville klageren ikke have godkendt transaktionen.
Hertil bemærkes et generelt forbehold for så vidt angår systemfejl. Det kan ikke udelukkes, at der i sager med phishing, er tale om raffineret systemteknisk misbrug, hvor svindleren er lykkedes med at udvikle tekniske løsninger, som muliggjorde svindlen.
Vi finder ikke, at banken har godtgjort, at betingelserne for, at klageren hæfter efter de udvidede ansvarsbestemmelser i betalingslovens § 100, stk. 4, er opfyldt.
Vi finder, at banken er nærmest til at bære risikoen for, at det betalingssystem, forbrugerne anvender, er tilstrækkelig sikkert og tydeligt til at hindre svindel.
Da den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, hæfter klageren for 375 DKK af tabet, jf. betalingslovens § 100, stk. 3.
Vi stemmer derfor for, at banken skal tilbageføre 6.376,26 DKK til klageren.
Sagen afgøres efter stemmeflertallet.
Ankenævnets afgørelse
Klageren får ikke medhold i klagen.