Spørgsmål om indsigelse mod ikke-vedkendte kortbetalinger med MasterCard blev fremsat for sent. Betalingsloven § 97. Spørgsmål om passivitet.
| Sagsnummer: | 276/2025 |
| Dato: | 21-04-2026 |
| Ankenævn: | Bo Østergaard, Jonas Thestrup Nielsen, Majken Christoffersen, Rolf Høymann Olsen og Martin Hare Hansen. |
| Klageemne: |
Afvisning - bevis § 5, stk. 3, nr. 4
Betalingstjenester - ikke-vedkendte hævninger Betalingstjenester - passivitet Passivitet - hæftelse |
| Ledetekst: | Spørgsmål om indsigelse mod ikke-vedkendte kortbetalinger med MasterCard blev fremsat for sent. Betalingsloven § 97. Spørgsmål om passivitet. |
| Indklagede: | Danske Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Spørgsmål om indsigelse mod ikke-vedkendte kortbetalinger med MasterCard blev fremsat for sent. Betalingsloven § 97. Spørgsmål om passivitet.
Sagens omstændigheder
Klageren var kunde i Danske Bank, hvor hun blandt andet havde en konto - 884 med et tilknyttet MasterCard Direct - 242 og mobilbankadgang.
Klageren er dansk og brasiliansk statsborger og bosiddende i Brasilien.
Af bankens kortbestemmelser fremgår blandt andet, at der er en beløbsgrænse på 350 kr. for kontaktøse betalinger uden brug af pinkode, og at der er beløbsgrænser for, hvor meget der kan hæves på kortet pr. døgn. Af kortbestemmelserne fremgår endvidere:
”… 2.8 Kontrol af posteringer
Du har pligt til løbende at kontrollere posteringerne på din konto. Hvis du opdager transaktioner, som ikke stemmer overens med dine kvitteringer, eller du ikke mener at have foretaget, eller du ikke kan vedkende dig, skal du hurtigst muligt kontakte os. Du skal i den forbindelse være opmærksom på fristerne i pkt. 2.9 og 2.10.
…
2.10 Tilbageførsel af betalinger, som du ikke har godkendt
Hvis du mener, at der er gennemført en eller flere betalinger med dit kort, som du ikke har godkendt, medvirket til eller foretaget, skal du kontakte os hurtigst muligt, efter du er blevet opmærksom på det.
Når vi vurderer, om du har kontaktet os rettidigt, lægger vi vægt på din pligt til løbende at kontrollere posteringerne på din konto, jf. pkt. 2.8. Under alle omstændigheder skal du senest kontakte os 13 måneder, efter beløbet er trukket på din kortkonto. …”
I perioden fra den 1. oktober 2022 til den 14. maj 2024 blev der foretaget 1.161 kortbetalinger på i alt 525.259,65 kr. med klagerens MasterCard Direct til betalingsmodtager B, som klageren ikke kan vedkende sig.
Klageren har oplyst, at hun ikke har en præcis erindring om, hvad der skete i oktober 2022. Hun formoder, at en af hendes bekendte tilføjede hendes betalingskort i sin app hos betalingsmodtager B, der via en app-baseret platform formidler levering af mad. Dette skete formentlig ved simpel afluring af kortoplysningerne i forbindelse med, at hun overnattede i samme lejlighed i Danmark som sin bekendte. Hun kan også have tilbudt at betale for noget mad via betalingsmodtager B som en engangsforeteelse, hvorefter hendes bekendte lagde hendes kortoplysninger ind i appen og undlod at fjerne dem igen. Hendes bekendte stillede også hendes kortoplysninger til rådighed for sin daværende kæreste, da de to efter sigende brugte samme brugerkonto hos betalingsmodtager B og samme kort. Hun autoriserede ikke fremtidige køb eller accepterede deling af sine kortoplysninger.
Klageren har endvidere oplyst, at der hverken blev anvendt MitID, da hendes betalingskort blev lagt ind i betalingsmodtager B’s app, eller ved de efterfølgende transaktioner. Hendes far har efterfølgende registreret et betalingskort hos betalingsmodtager B, hvilket skete uden brug af stærk kundeautentifikation.
Banken har oplyst, at klagerens MasterCard Direct blev tilføjet betalingsmodtager B’s app, og at betalingerne herefter blev gennemført med kundens MasterCard Direct via appen uden brug af stærk kundeautentifikation.
Banken har endvidere oplyst, at det fremgår af bankens systemer, at klageren i perioden med betalingerne til betalingsmodtager B tilgik sin mobilbank flere gange, herunder 24 gange i perioden fra den 24. april 2023 til den 17. maj 2024. Klageren benyttede blandt andet forbrugsoverblikket, kontooverblikket og så på specifikke transaktioner i forbindelse med, at hun tilgik mobilbanken. Af bankens systemer fremgår eksempelvis, at klageren tilgik mobilbanken den 17. maj 2023, hvor hun tilgik forbrugsoverblikket, de seneste transaktioner på kontoen og transaktionsdetaljer. Herved blev hun præsenteret for sine forskellige forbrugskategorier, saldo og de seneste transaktioner i mobilbanken. Klageren tilgik også mobilbanken den 19. april 2023, hvor hun blandt andet tilgik forbrugsoverblikket, de seneste transaktioner på kontoen og transaktionsdetaljer. Klageren tilgik endvidere oplysninger om en specifik transaktion på kontoen den 1. februar 2023, den 19. og 22. april 2023, den 17. maj 2023, den 1. juni 2023 og den 23. september 2023.
Klageren har oplyst, at hun den 17. maj 2023 loggede på sin mobilbank for at tjekke, om der var gået penge ind fra et aktiesalg. Klageren har fremlagt et skærmbillede fra sin mobilbank, hvoraf fremgår, at hun den 17. maj 2023 modtog et beløb fra et aktiesalg.
Af bankens log over klagerens brug af mobilbanken i 2023 fremgår blandt andet:
|
DateTime |
Action |
Object |
Status |
|
… |
|
|
|
|
2023-02-01-02.23.10. |
Transactio |
getTransDe |
Received |
|
2023-02-01-02.23.10. |
Transactio |
getTransDe |
Ok |
|
… |
|
|
|
|
2023-04-19-01.59.51. |
AccountsSe |
AccListV5 |
Received |
|
2023-04-19-01.59.51. |
AccountsSe |
AccListV5 |
Ok |
|
2023-04-19-01.59.53. |
SpendingCo |
GetV1 |
Received |
|
2023-04-19-01.59.53. |
SpendingCo |
GetV1 |
Ok |
|
… |
|
|
|
|
2023-04-19-02.00.07. |
SpendingCo |
GetV1 |
Received |
|
2023-04-19-02.00.07. |
SpendingCo |
GetV1 |
Ok |
|
2023-04-19-02.00.07. |
SpendingCa |
GetCategor |
Received |
|
2023-04-19-02.00.07. |
SpendingCa |
GetCategor |
Received |
|
… |
|
|
|
|
2023-04-19-02.04.33. |
Transactio |
getTransDe |
Received |
|
2023-04-19-02.04.33. |
Transactio |
getTransDe |
Ok |
|
… |
|
|
|
|
2023-04-22-21.15.26. |
SpendingCo |
GetV1 |
Ok |
|
2023-04-22-21.17.03. |
Transactio |
getTransDe |
Received |
|
2023-04-22-21.17.03. |
Transactio |
getTransDe |
Ok |
|
2023-04-22-21.20.34. |
Transactio |
getTransDe |
Received |
|
2023-04-22-21.20.34 |
Transactio |
getTransDe |
Ok |
|
… |
|
|
|
|
2023-04-22-21.25.52. |
Transactio |
getTransDe |
Received |
|
2023-04-22-21.25.52. |
Transactio |
getTransDe |
Ok |
|
… |
|
|
|
|
2023-05-17-14.34.43. |
AccountsSe |
AccListV5 |
Received |
|
2023-05-17-14.34.43. |
AccountsSe |
AccListV5 |
Ok |
|
… |
|
|
|
|
2023-05-17-14.35.06. |
SpendingCo |
GetV1 |
Received |
|
2023-05-17-14.35.06. |
SpendingCo |
GetV1 |
Ok |
|
… |
|
|
|
|
2023-05-17-14.42.30. |
AccountsSe |
AccListV5 |
Received |
|
2023-05-17-14.42.30. |
AccountsSe |
AccListV5 |
Ok |
|
… |
|
|
|
|
2023-05-17-14.42.33. |
SpendingCo |
GetV1 |
Received |
|
2023-05-17-14.42.33. |
SpendingCo |
GetV1 |
Ok |
|
2023-05-17-14.42.54. |
Transactio |
getTransDe |
Received |
|
2023-05-17-14.42.54. |
Transactio |
getTransDe |
Ok |
|
… |
|
|
|
|
2023-06-01-22.48.26. |
Transactio |
getTransDe |
Received |
|
2023-06-01-22.48.26. |
Transactio |
getTransDe |
Ok |
|
… |
|
|
|
|
2023-09-23-19.00.30. |
Transactio |
getTransDe |
Received |
|
2023-09-23-19.00.30. |
Transactio |
getTransDe |
Ok |
|
… |
|
|
|
Banken har oplyst, at kolonnen ”Action” beskriver kundernes handlinger i mobilbanken, hvorunder ”AccountsSe” henviser til det første skærmbillede i mobilbanken, hvor kunderne kan se en liste over deres konti samt deres saldo. ”SpendingCa” betyder, at kunden har tilgået sit forbrugsoverblik, der viser kundens betalinger og hvilken kategori, som betalingen tilhører. ”SpendingCo” betyder, at kunden har tilgået en specifik konto, hvor de seneste posteringer på kontoen kan ses, og ”Transactio” betyder, at kunden har tilgået oplysninger om en specifik transaktion på kontoen.
Banken har endvidere oplyst, at den betaling, som klageren tilgik i transaktionsdetaljer den 19. april 2023, var en betaling til betalingsmodtager B på 151,80 kr. bogført på kontoen den 18. april 2023. Banken har fremlagt en udskrift fra sit system, hvoraf blandt andet fremgår:
|
”[-076] |
Apr 19, 2023 @ 02:55:50.922 -> Apr 19, 2023 @ 03:06:51.526 |
|||
|
… |
|
|
|
|
|
Apr 19, 2023 |
Response: POST ”/transactions/transaction/api/transaction/details” returned 200 |
/transaction/transaction/api/transaction/details |
Web ApiSideCar |
Audit Default |
Og:
|
Field |
Value |
|
dataCenter |
DK1 |
|
Host |
Apiebank3.danskebank.com |
|
Internal/Customer |
[-076] |
|
IPAddress |
[xxx] |
|
Level |
Information |
|
Message |
Response: POST “/transactions/transaction/api/transaction/details” returned 200 |
|
MessageTemplate |
Response: {Method:I} (Path) returned {StatusCode} |
|
Method |
POST |
|
Path |
/transactions/transaction/api/transaction/details |
|
Payload |
…”[betalingsmodtager B] … ”Beløb I”,”value”:”-151.8000000” … ”Dato”,”value”:”20230418” |
Klageren har oplyst, at der er uoverensstemmelse i tidsangivelserne i bankens log over hendes brug af mobilbanken og udskriften fra bankens system. I den ene log er registreret stilstand i et minut og 31 sekunder, hvorimod der i den anden log er registreret stilstand i to minutter og 23 sekunder, før hun gik videre til det sidste skærmbillede.
Banken har oplyst, at den har forstået klageren sådan, at hun har forsøgt at beregne tidsforskellen mellem tidspunktet for, at hun den 19. april 2023 tilgik transaktionsdetaljer for en betaling til betalingsmodtager B og tidspunktet for det skærmbillede, som hun tilgik lige inden transaktionsdetaljerne. Klagerens beregning for udskriften fra bankens system er forskellen mellem tidspunktet, hvor hun tilgik transaktionsdetaljer for betalingen til betalingsmodtager B og et tidspunkt, hvor der skete en forlængelse af login på mobilbanken. Klagerens beregning for bankens log over hendes brug af mobilbanken er derimod forskellen mellem tidspunktet, hvor hun tilgik transaktionsdetaljer for betalingen til betalingsmodtager B, og tidspunktet, hvor hun forinden tilgik sit forbrugsoverblik. Klagerens beregninger for forskellen i henholdsvis bankens log over hendes brug af mobilbanken og udskriften fra bankens system er derfor et udtryk for to forskellige ting. Loggen og udskriften er desuden dokumentation fra forskellige systemer, og de viser derfor forskellige forhold. Forskellen mellem tidspunktet for, at klageren den 19. april 2023 tilgik transaktionsdetaljer for en betaling til betalingsmodtager B og tidspunktet for det skærmbillede, som hun tilgik lige inden transaktionsdetaljerne, er i øvrigt ikke relevant for sagen.
Banken har endvidere oplyst, at der er en times forskel på tidsangivelserne, da udskriftet fra bankens systemer vedrørende klagerens tilgang til mobilbanken den 19. april 2023 er udskrevet fra en pc med en anden tidszone end bankens log over klagerens tilgang til mobilbanken.
Klageren har fremlagt et skærmbillede af ”Forbrugsoverblik” (”SpendingCA”) i hendes mobilbank, hvoraf blandt andet fremgår:
|
|
Forbrugsoverblik |
|
|
|
|
|
|
|
August 2025 |
|
|
|
-2.174,75 |
|
|
Indtægter |
|
Udgifter |
|
10.955,40 |
|
-8.780,65 |
|
… |
|
|
|
Udgifter |
|
-8.780,65 |
|
55 betalinger |
|
|
Klageren har oplyst, at forbrugsoverblikket ikke viser individuelle posteringer.
Banken har oplyst, at forbrugsoverblikket viser indtægter og udgifter for en given måned (eller år, hvis dette vælges), samt en samlet balance mellem udgifter og indtægter. I bunden af billedet vises udgifter desuden som et samlet beløb og antal betalinger. Da klageren eksempelvis tilgik forbrugsoverblikket den 19. april 2023, vil forbrugsoverblikket have vist, at der var foretaget 18 betalinger fra kontoen i perioden 1. til 19. april 2023.
Klageren har oplyst, at hun første gang lagde mærke til transaktionerne til betalingsmodtager B den 14. maj 2024 under et log-in på mobilbanken, der startede kl. 18:54 dansk tid, da hun sammen med sin far ledte efter andre bankoplysninger. Det var hendes far, der først lagde mærke til en af posteringerne. Hun loggede herefter på mobilbanken samme dag kl. 20:06, 20:16 og 20:58, kl. 03:58, 04:21, 15:05 og 17:03 den 15. maj 2024 samt kl. 16:26, 16:35, 17:40 og 20:17 den 16. maj 2024.
Den 14. maj 2024 kl. 19:06 spærrede klageren sit MasterCard Direct.
Banken har fremlagt en kontoudskrift fra klagerens konto -884 for perioden 1. april 2023 til 30. juni 2023, hvoraf blandt andet fremgår:
|
Bogført dato |
Rentedato |
|
Indsat + Hævet - |
Indestående + Gæld - |
|
|
|
Saldo pr. 31.03.2023 |
|
235.836,08 + |
|
03.04 |
03.04 |
Korttransaktion |
157,00 - |
235.679,08 + |
|
03.04 |
03.04 |
Korttransaktion |
167,00 - |
235.512,08 + |
|
03.04 |
03.04 |
Korttransaktion |
128,00 - |
235.384,08 + |
|
05.04 |
05.04 |
Korttransaktion |
157,00 - |
235.227,08 + |
|
11.04 |
11.04 |
Korttransaktion |
250,00 - |
234.977,08 + |
|
11.04 |
11.04 |
Korttransaktion |
385,00 - |
234.592,08 + |
|
11.04 |
11.04 |
Korttransaktion |
180,00 - |
234.412,08 + |
|
12.04 |
12.04 |
Korttransaktion |
347,00 - |
234.065,08 + |
|
14.04 |
14.04 |
Korttransaktion |
137,00 - |
233.928,08 + |
|
17.04 |
17.04 |
Korttransaktion |
190,00 - |
233.738,08 + |
|
17.04 |
17.04 |
Korttransaktion |
298,00 - |
233.440,08 + |
|
17.04 |
17.04 |
Korttransaktion |
322,00 - |
233.118,08 + |
|
17.04 |
17.04 |
Korttransaktion |
106,00 - |
233.012,08 + |
|
17.04 |
17.04 |
Korttransaktion |
108,00 - |
232.904,08 + |
|
17.04 |
17.04 |
Korttransaktion |
173,00 - |
232.731,08 + |
|
18.04 |
18.04 |
Korttransaktion |
151,80 - |
232.579,28 + |
|
19.04 |
19.04 |
Korttransaktion |
167,00 - |
232.412,28 + |
|
19.04 |
19.04 |
Korttransaktion |
273,00 - |
232.139,28 + |
|
… |
|
|
|
|
Banken har oplyst, at alle 18 betalinger mellem den 1. april 2023 og 19. april 2023 var betalinger til betalingsmodtager B.
Ved tro- og loveerklæring af 23. maj 2024 gjorde klageren indsigelse til banken mod 1.106 betalinger til betalingsmodtager B foretaget i fra den 23. april 2023 til den 14. maj 2024, idet klageren bestred at have godkendt betalingerne. Klageren anførte blandt andet, at betalingskortet var i hendes besiddelse på tidspunktet for de ikke-godkendte betalinger.
Klageren og banken har opgjort summen af de 1.106 betalinger forskelligt, men er under klagesagen nået til enighed om en sum på i alt 510.309,10 kr.
Klageren har oplyst, at hun i sin indsigelse undlod betalinger til betalingsmodtager B, der blev foretaget før den 23. april 2023, da disse betalinger var ældre end 13 måneder. Da hun gjorde indsigelse, var hun ikke klar over, at det var debiteringsdatoen, der var gældende og ikke købstidspunktet. Hun kan derfor have undladt enkelte transaktioner, som burde have været med. Desuden var bankens indsigelsessystem indrettet sådan, at hun manuelt skulle indtaste de enkelte transaktioner, og at hun ikke automatisk fik en sum over de beløb, hun gjorde indsigelse mod.
Den 16. juli 2024 afviste banken klagerens indsigelse med henvisning til, at hun havde udvist passivitet. Banken skrev blandt andet:
”… Ifølge bankens systemer loggede du på din netbank 23 gange i 2023 på følgende datoer; 4. januar, 15. januar, 17 januar, 22. januar, 25. januar, 1. februar, 2. februar, 7.februar, 19. april, 22. april, 17. maj, 1. juni, 15. juli, 5. september, 12. september, 23. september, 5. oktober, 4. november, 3. december, 9. december og 14. december.
I den forbindelse har vi dokumenteret, at handlinger såsom "vis transaktioner", "se forbrugsoversigt", "kortoversigt", "detaljer om visse individuelle transaktioner" blandt andet blev tilgået i din netbank ved hvert login.
For 2024 viser bankens systemer, at du er logget ind på din netbank på følgende datoer; 10. februar, 20. februar og 10. marts. Nogle af de samme ovennævnte funktioner var tilgået.
På baggrund af ovenstående finder vi, at du var bekendt med transaktionerne og det pågældende forbrug. Derudover bemærker vi, at du kontaktede Danske Bank 16 måneder efter dit første login den 4. januar 2023, hvor du blev gjort opmærksom på kontooversigten, forskellige enkelttransaktioner, kortoversigt osv. Dette betragtes ikke som et "kontakt hurtigst muligt efter, at du er blevet bekendt med den uautoriseret betaling”. Din indsigelse er således blevet rejst for sent på grund af den passivitet, du har vist. …”
Ved e-mail af 28. juli 2024 skrev klageren til banken, at hun først den 14. maj 2024 blev bekendt med de uautoriserede transaktioner. Hun anmodede samtidig banken om at oplyse det præcise tidspunkt for hendes logins den 14. maj 2024.
Den 30. juli 2024 fastholdt banken sin afvisning.
I perioden herefter korresponderede banken og klageren, i hvilken forbindelse banken på opfordring fra klageren sendte oplysninger om hendes logins på mobilbanken fra den 14. maj til 25. maj 2024.
Den 11. december 2024 klagede klageren til banken over afvisningen af hendes indsigelse, og den 11. februar 2025 afviste banken klagen med henvisning til passivitet.
Klageren har oplyst, at de personer, der misbrugte hendes betalingskort, er identificerede, og at de har tilbagebetalt 54.596 kr. til hende. Sagen er desuden meldt til politiet.
Klageren har henvist til Forbrugerombudsmandens notat af 2014, hvoraf blandt andet fremgår:
”… 3.1 Betalingslovens § 97
…
Som det fremgår [af ordlyden af betalingslovens § 97], skal betaleren fremsætte sin indsigelse over for udbyderen snarest muligt efter, at betaleren har konstateret en uautoriseret betalingstransaktion, dvs. har positiv viden om den uautoriserede eller fejlbehæftede transaktion. Det er fra dette tidspunkt, at indsigelsesfristen løber.
3.2 Kortholders positive viden
I relation til begrebet positiv viden er det nærliggende at spørge, hvor meget der skal til, før det må lægges til grund, at brugeren har positiv viden om en uautoriseret eller fejlbehæftet transaktion.
Er det således tilstrækkeligt, at udbyderen ved fremsendelse af kontoudtog har sat brugeren i stand til at gøre sig bekendt med transaktionen? Eller skal brugeren have konkret kendskab hertil? Og kan brugeren holde sig i bevidst uvidenhed, uden at indsigelsesfristen begynder at løbe?
Efter betalingslovens § 93, stk. 1, nr. 2 (tidligere betalingstjenestelovens § 59, stk. 1, nr. 2), er betaleren forpligtet til at anvende betalingsinstrumentet i overensstemmelse med betingelserne for udstedelse og brug af betalingsinstrumentet.
Kortbestemmelserne vil typisk derudover forpligte brugeren til ved modtagelsen at gennemgå og kontrollere bankens kontoudtog, der som oftest udsendes en gang om måneden, jf. betalingslovens § 77, stk. 2 (tidligere betalingstjenestelovens § 53, stk. 2).
Ovenstående kan rejse det spørgsmål, om der gælder et lovkrav for brugeren om at kontrollere modtagne kontoudtog.
Det er Forbrugerombudsmandens klare opfattelse, at dette ikke er tilfældet. Betalingslovens § 93, stk. 1, nr. 2, relaterer sig således efter ordlyden kun til udstedelsen og selve brugen af betalingsinstrumentet, og ikke den efterfølgende handling det er at gennemse et kontoudtog. Videre følger det af betalingslovens § 6, stk. 3 (tidligere betalingstjenestelovens § 5), at § 97 ikke ved aftale kan fraviges til skade for brugeren af betalingstjenester, herunder f.eks. ved bankens kortbestemmelser.
…
3.3 Snarest muligt
…
I relation til indsigelsesfristen i betalingslovens § 97 er det Forbrugerombudsmandens opfattelse, at indsigelser fremsat indtil 14 dage efter konstateringen af den uautoriserede transaktion under alle omstændigheder vil opfylde kriteriet snarest muligt.
…
3.4 Retsfortabende passivitet
…
Betalingslovens § 97 skal fortolkes direktivkonformt. Det er derfor Forbrugerombudsmandens opfattelse - i overensstemmelse med Pengeinstitutankenævnets nyeste praksis (se PIA sag nr. 307/2012) - at der i relation til betalingslovens § 97 som hovedregel kun kan statueres passivitet på et tidspunkt efter betalerens konstatering af den uautoriserede eller fejlbehæftede transaktion (positiv viden).
Med andre ord kan betaleren som udgangspunkt ikke fortabe retten til at gøre indsigelse som følge af passivitet ved, at betaleren på et tidligere tidspunkt burde have konstateret den uautoriserede transaktion, f.eks. i forbindelse med modtagelse af kontoudtog eller betalingsoversigter (burde viden).
Hertil kommer, at det under alle omstændigheder er en betingelse for at gøre passivitet gældende, at brugeren har bragt udbyderen i en berettiget forventning om, at kravet ikke vil blive gjort gældende. Den forløbne tid er som udgangspunkt ikke tilstrækkelig til at statuere passivitet.
…
I relation til betalingslovens § 97 vil betaleren efter Forbrugerombudsmandens opfattelse således som hovedregel først kunne fortabe retten til at gøre indsigelse, hvis betaleren ikke reagerer snarest muligt efter den positive viden. …”
Parternes påstande
Den 17. juni 2025 har klageren indbragt sagen for Ankenævnet med påstand om, at Danske Bank skal betale 455.338,10 kr. til hende, subsidiært et beløb på 447.713,10 kr.
Danske Bank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har blandt andet anført, at bankens afvisning ikke er berettiget ifølge betalingsloven, Forbrugerombudsmandens notat af 2014 om emnet og retningslinjerne udstukket af Konkurrence- og Forbrugerstyrelsen.
Der blev ikke brugt stærk kundeautentifikation ved registreringen af hendes MasterCard Direct i betalingsmodtager B’s app, ligesom der heller ikke blev brugt stærk kundeautentifikation i forbindelse med de efterfølgende køb via betalingsmodtager B. Dette er i modstrid med bankens egne generelle regler for og oplysninger om brugen af Mastercard. Det fremgår heraf, at der automatisk bruges stærk kundeautentifikation ved indkøb online. Det har ikke været tilfældet, hvilket banken har bekræftet.
Da hun har fået delvis tilbagebetaling på 54.596 kr., udgør hendes krav på godtgørelse indsigelsesbeløbet på 511.826,94. Hun kan acceptere en opgørelse af summen af de 1.106 betalinger til i alt 510.309,10 kr., hvorefter hendes krav udgør 455.338,10 kr. (510.309,10 kr. fratrukket 54.596 kr. og selvrisikoen på 375 kr.), alternativt 447.713,10 (hvor det er en selvrisiko på 8000 kr., der er fratrukket).
Hun gjorde indsigelse indenfor 14-dages fristen, da hun gjorde indsigelse ti dage efter, at hun den 14. maj 2024 opdagede og fik positiv forståelse for de uautoriserede transaktioner. Fristen i betalingslovens § 97 regnes fra det tidspunkt, hvor forbrugeren har fået en positiv viden om det hændte og ikke fra det tidspunkt, hvor forbrugeren gennem et eller flere log-ins har haft mulighed for at opdage de uautoriserede transaktioner.
Transaktionerne omfattet af indsigelsen ligger indenfor de seneste 13 måneder før indsigelsestidspunktet. Hun har ikke mistet indsigelsesretten, fordi hun efter bankens opfattelse burde have lagt mærke til transaktionerne på et tidligere tidspunkt.
Banken har flere gange ændret perioden for opgørelse over antallet af log-ins, som hun har foretaget i sin mobilbank, og den manipulerer med antallet af log-ins på mobilbanken ved at inkludere log-ins før og efter hændelsesforløbet. Banken anfører, at hun ”løbende har holdt sig orienteret om transaktionerne”, men ser bort fra, at der reelt kun har været ganske få log-ins, der potentielt kunne have skabt forståelse for det hændte.
I e-mail af 11. februar 2025 skrev banken, at hun i perioden fra den 24. april 2023 til den 17. maj 2024 tilgik mobilbanken 24 gange og herved blev bekendt med misbruget. I betalingsloven bruges udtrykket ”konstateret” og ikke ”bekendt”. I Forbrugerombudsmandens notat bruges ordet ”bekendt” heller ikke. Halvdelen af de 24 log-ins foretog hun den 14. maj 2024, hvor hun fik positiv forståelse for transaktionerne, og i de følgende dage. Hun arbejdede i de dage på at kortlægge misbruget manuelt. Hun spærrede sit kort 12 minutter efter, at hun opdagede misbruget. Den 17. maj 2023 tilgik hun kun sin mobilbank for at se, om der var gået penge ind fra aktiesalget. Selvom hun loggede ind på sin konto, tjekkede hun ikke nødvendigvis alle detaljer og posteringer, hvilket hun ikke var forpligtet til, jf. Forbrugerombudsmandens notat fra 2014.
I e-mail af 16. juli 2024 nævnte banken 21 datoer og 23 log-ins i 2023 og tre datoer i 2024. Banken medtog her ti log-ins, der lå forud for de transaktioner, som hun har gjort indsigelse imod. På seks-syv af datoerne loggede hun ind på mobilbanken for at se, om der var gået penge ind fra et aktiesalg. Tilbage er ganske få log-ins på ganske få datoer, hvor hun kan have logget ind af andre årsager, f.eks. for at tjekke sin saldo, uden at have bidt mærke i de uautoriserede transaktioner. Banken inkluderede seks-syv log-ins, der fandt sted på et tidspunkt uden transaktioner til betalingsmodtager B og nævner ikke, at der over en periode på 16 måneder fra februar 2023 til maj 2024 kun var i alt 14 log-ins, hvoraf halvdelen var for at se, om pengene fra aktiesalget var gået ind. ”Forbrugsoverblikket” (SpendingCA) viser ikke individuelle posteringer.
Banken skrev endvidere, at hun den 4. januar 2023 ”blev gjort opmærksom på” kontooversigt, transaktioner mv. Hun blev ikke aktivt gjort opmærksom på noget. Hverken banken eller Nets kontaktede hende for at tjekke, om hun stod bag de mange indkøb via betalingsmodtager B. Banken vidste med sine årlige hvidvask-tjek, at hun bor i udlandet og kun opholder sig i Danmark på ferier. En kunde, der bor i udlandet, men pludselig via en dansk app får leveret et stort antal indkøb på danske adresser, burde være blevet fanget i bankens sikkerhedssystemer.
Hverken i bankens log eller i udskriften fra bankens system er der oplysning om, hvor længe det sidste skærmbillede var fremme på skærmen under hendes log-in den 19. april 2023. Det fremgår dog, at hun ikke efterfølgende søgte yderligere oplysninger i mobilbanken. Dette indikerer, at hun ikke herved opnåede kendskab eller positiv forståelse for en eller flere af de uautoriserede transaktioner.
Af hendes mobilbankhistorik fremgår, at hun den 9. december 2023 tilgik mobilbanken i 38 sekunder og klikkede igennem 25 links, altså med gennemsnitligt et sekund til hvert skærmbillede. Det vidner ikke om en fokuseret gennemgang af transaktioner, som banken lægger op til, at alle log-ins er. I andre tilfælde er der brugt længere tid, men hun kan have lagt telefonen fra sig eller været optaget af en samtale, mens hun tilgik mobilbanken. Hun har kun ved seks log-ins i løbet af 2023 klikket på koden ”transactio”, der ifølge banken betyder, at hun har bedt om at se en specifik transaktion. Det viser dog ikke, hvilken transaktion, eller om hun kiggede i særlig grad på det efterfølgende skærmbillede, eller om hun uden at fokusere hurtigt gik videre.
De seks log-ins, hvor koden ”transactio” er registreret, harmonerer ikke med bankens e-mail af 16. juli 2024, hvor banken skrev, at hun ved 23 lejligheder i 2023 tilgik ”detaljer om visse individuelle transaktioner”. Det skete kun ved seks lejligheder (1. februar 2023, 19. april 2023, 22. april 2023, 17. maj 2023, 1. juni 2023 og 23. september 2023). Banken har ikke fremlagt historikken for 2024, hvor der kun var tale om tre log-ins forud for den 14. maj 2024.
Banken anfører, at hun ved sine log-ins på mobilbanken havde mulighed for at lægge mærke til transaktionerne, og konkluderer derfor, at hun var ”bekendt” med disse. Banken fører intet bevis for, hvad hun har haft fremme på sin skærm, hvilket heller ikke ville være nok til at påvise, at hun havde lagt mærke til transaktionerne og slet ikke, at hun havde opnået positiv viden om dem. Under hele forløbet loggede hun i øvrigt kun ind via sin mobiltelefon, hvor skærmbilledet kun viser tre til fem transaktioner ad gangen.
Betalingsmodtager B har ikke en filial i Brasilien, hvor hun bor, og hun vidste ikke, hvem betalingsmodtager B var. På kontoposteringerne står kun ”betalingsmodtager B”, og hun kan derfor have haft en enkelt eller to af posteringerne oppe på sin skærm uden at forstå, hvad det var. Hun kunne i princippet tro, at der var tale om et gebyr fra banken. Hun kan også have haft posteringerne fremme på skærmen uden at lægge mærke til dem, fordi hun havde fokus på noget andet.
Danske Bank har til støtte for frifindelsespåstanden anført, at klageren ikke har gjort indsigelse rettidigt i henhold til betalingslovens § 97, og hun har derfor fortabt adgangen til at gøre indsigelse mod betalingerne. Banken har i øvrigt ikke handlet ansvarspådragende.
Kortbetalingerne er korrekt registeret og bogført.
Betalingerne til betalingsmodtager B udgjorde hovedparten af klagerens brug af betalingskortet.
Klageren har igennem hele perioden løbende holdt sig orienteret om transaktionerne på kontoen. Klageren blev bekendt med betalingerne til betalingsmodtageren B i forbindelse med hendes brug af mobilbanken.
Klageren konstaterede løbende og senest den 17. maj 2023, hvor hun tilgik mobilbanken, de igangværende uautoriserede betalinger til betalingsmodtager B. På dette tidspunkt var 32 ud af de seneste 34 transaktioner på kontoen i perioden mellem den 1. maj 2023 og den 17. maj 2023 kortbetalinger til betalingsmodtager B.
Da klageren tilgik mobilbanken den 19. april 2023, var alle 18 transaktioner på kontoen i perioden mellem den 1. april 2023 og den 19. april 2023 kortbetalinger til betalingsmodtager B.
Klageren anfører, at hun ikke har haft adgang til alle informationer om forbruget i mobilbanken, og at hun kun fra sin bankudskrift ved, at der er tale om indkøb via betalingsmodtager B. Det er uklart for banken, hvilke oplysninger om betalingerne til betalingsmodtager B, som klageren ikke mener, at hun har haft adgang til på sin mobilbank. Det er bankens opfattelse, at klageren har været fuldt bekendt med betalingerne til betalingsmodtager B i hele perioden.
Det forhold, at klageren ikke umiddelbart er bekendt med en betalingsmodtager eller forstår, hvad en betaling vedrører, fritager ikke klageren for at reagere, når hun opdager ukendte transaktioner på sin konto. Givet antallet af betalinger til betalingsmodtager B forekommer det i øvrigt usandsynligt, at klageren har været af den opfattelse, at betalingerne til betalingsmodtager B var gebyr til banken.
Klageren har udvist passivitet i hele perioden, hvori de uautoriserede betalinger har fundet sted.
Klagerens passivitet har medført, at de uautoriserede betalinger kunne forsætte.
Banken forstår klagen således, at klageren mener, at hendes brug af mobilbanken forud for den 23. april 2023 er irrelevant for sagen, da hun kun har gjort indsigelse mod betalinger til betalingsmodtager B, der blev foretaget fra den 23. april 2023 og fremefter. Klagerens klage må forstås således, at hun mener, at alle betalinger til betalingsmodtager B, inklusive betalinger, der er foretaget før den 23. april 2023, er uautoriserede, og at det alene er på grund af 13 måneders fristen i betalingslovens § 97, at hun ikke medtog disse betalinger i sin indsigelse. Klagerens passivitet skal imidlertid vurderes på baggrund af hele perioden, hvor de uautoriserede betalinger til betalingsmodtager B blev foretaget, dermed også i perioden før den 23. april 2023.
Klageren hævder, at betalingerne til betalingsmodtager B burde været fanget i bankens sikkerhedssystemer. Banken var ikke forpligtet til at stoppe betalingerne eller rette henvendelse til klageren for at kontrollere disse.
Klageren anfører endvidere, at hun som udlandsdansker ikke kunne åbne nye konti eller produkter i banken, og at det derved ikke var muligt for hende at flytte sine penge i sikkerhed på en konto uden et kort tilknyttet. Dette udsagn underbygger, at klageren konstaterede betalingerne til betalingsmodtager B i løbet af perioden, hvor betalingerne foregik, da der ellers ikke ville være behov for at flytte pengene i sikkerhed. Klageren kunne i øvrigt til enhver tid have spærret sit betalingskort.
Klagerens kort var et MasterCard Direct og dermed omfattet af beløbsgrænserne for MasterCard Direct kort, jf. bankens kortbestemmelser for MasterCard Direct.
Af afsnit 2.8 i kortbestemmelserne for MasterCard Direct fremgår, at kunden har pligt til løbende at kontrollere posteringerne på sin konto. Hvis kunden opdager transaktioner, som kunden ikke kan vedkende sig, skal kunden hurtigst muligt kontakte banken. Klageren har accepteret kortbestemmelserne i forbindelse med, at hun indgik aftale om MasterCard Direct med banken.
Danske Bank har til støtte for afvisningspåstanden anført, at klagerens påstand om, at hun først konstaterede de uautoriserede betalinger den 14. maj 2024, ikke hænger sammen med bankens oplysninger om klagerens brug af mobilbanken, herunder hendes brug af forbrugsoverblik, kontooverblik og transaktionsdetaljer i mobilbanken.
En vurdering af sagen vil derfor kræve yderligere bevisførelse i form af vidne - og/eller partsafhøring, der ikke kan ske for Ankenævnet, hvorfor Ankenævnet bør afvise at behandle klagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Klageren var kunde i Danske Bank, hvor hun blandt andet havde en konto med et tilknyttet MasterCard Direct og mobilbankadgang. Klageren er dansk og brasiliansk statsborger og bosiddende i Brasilien.
I perioden fra den 1. oktober 2022 til den 14. maj 2024 blev der foretaget i alt 1.161 betalinger svarende til i alt 525.259,65 kr. med klagerens MasterCard Direct til betalingsmodtager B, som klageren ikke kan vedkende sig.
Banken har oplyst, at det fremgår af bankens systemer, at klageren i perioden med betalingerne til betalingsmodtager B tilgik sin mobilbank flere gange.
Klageren har oplyst, at hun første gang lagde mærke til betalingerne til betalingsmodtager B den 14. maj 2024 kl. 18:54 dansk tid.
Den 14. maj 2024 kl. 19:06 dansk tid spærrede klageren sit MasterCard Direct.
Den 23. maj 2024 gjorde klageren indsigelse til banken mod 1.106 betalinger til betalingsmodtager B foretaget fra den 23. april 2023 til den 14. maj 2024, idet klageren bestred at have godkendt betalingerne. Klageren og banken er under klagesagen nået til enighed om, at summen af betalingerne kan opgøres til i alt 510.309,10 kr. I indsigelsen medtog klageren ikke de betalinger til betalingsmodtager B, der var ældre end 13 måneder.
Det følger af betalingslovens § 97, stk. 1, at indsigelser mod uautoriserede betalingstransaktioner skal være udbyderen (banken) i hænde snarest muligt efter betaleren har konstateret en sådan betalingstransaktion og senest 13 måneder efter debiteringen af den pågældende transaktion. Fristen regnes fra det tidspunkt, hvor udbyderen har meddelt oplysning om transaktionerne eller stillet oplysninger til rådighed, f.eks. på netbank eller via kontoudtog.
Ankenævnet finder, at det på det foreliggende grundlag ikke er muligt at afgøre, hvornår klageren blev opmærksom på betalingerne til betalingsmodtager B, som hun ikke kan vedkende sig.
Ankenævnet finder, at det kun vil være muligt at træffe afgørelse i sagen efter mundtlige forklaringer fra parterne og relevante vidner under strafansvar. En afgørelse af sagen vil således kræve en bevisførelse, der ikke kan ske for Ankenævnet, men som i givet fald må finde sted ved domstolene. Ankenævnet afviser derfor sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.