| Sagsnummer: | 205/2025 |
| Dato: | 10-10-2025 |
| Ankenævn: | Katrine Waagepetersen, Inge Kramer, Signe Kjørup Carlsson, Rolf Høymann Olsen, Ann-Mari Faldt Agerlin |
| Klageemne: | Betalingstjenester - ikke-vedkendte hævninger Afvisning - bevis § 5, stk. 3, nr. 4 |
| Ledetekst: | Indsigelse mod hæftelse for korttransaktioner på bar i Budapest gennemført som betalinger med virtuelt kort via Apple Pay. Fysisk kort bortkommet. |
| Indklagede: | Lunar Bank A/S |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod hæftelse for korttransaktioner på bar i Budapest gennemført som betalinger med virtuelt kort via Apple Pay. Fysisk kort bortkommet.
Sagens omstændigheder
Klageren var kunde i Lunar Bank, hvor han havde en konto med et tilknyttet betalingskort.
Klageren har oplyst, at han den 13. januar 2025 var på ferie i Budapest. Han var med en ven på en bar, hvor de købte et par øl. Han har transaktioner fra baren frem til kl. 23:02 den 13. januar 2025. De besøgte ikke andre barer efterfølgende.
Den 14. januar 2025 i tidsrummet fra kl. 00:03 til kl. 00:15 blev klagerens Apple Pay anvendt til at foretage tre kortbetalinger til en betalingsmodtager, BM, på henholdsvis 100.000 HUF (ungarske forinth), 474.000 HUF og 470.000 HUF, svarende til henholdsvis 1.841,02 DKK, 8.726,44 DKK og 8.652,79 DKK, som klageren ikke kan vedkende sig.
Klageren har anført, at han ikke har kendskab til de tre betalinger eller betalingsmodtageren.
Banken har oplyst, at betalingerne var korrekt registreret og bogført og ikke var ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98.
Banken har endvidere oplyst, at der ved opsætning af Apple Pay genereres et unikt digitalt token (D_TKN-nummer) for hver device, hvilket muliggør identifikation af den specifikke enhed anvendt til transaktioner. Banken har fremlagt udskrift vedrørende den ikke-vedkendte transaktion på 474.000 HUF den 14. januar 2025 og en vedkendt transaktion i en forretning på 142 DKK den 13. januar 2025, hvor der ud fra begge transaktioner er angivet ”<<WALLET TYPE >> ApplePay” og ”DTKN […] 9352”. Banken har anført, at udskriften viser, at betalingerne skete fra samme enhed.
Banken har yderligere oplyst, at der ved brug af Apple Pay kræves, at brugeren enten indtaster sin adgangskode eller anvender biometrisk godkendelse (Face ID eller Touch ID), før en betaling kan gennemføres.
Banken har fremlagt udskrift vedrørende login på klagerens konto (tidszone UCT, hvortil der skal lægge en time til dansk vintertid). Det fremgår heraf, at der blev logget på klagerens konto (dansk tid) den 12. januar kl. 19:47 samt den 14. januar 2025 kl. 00:15 og kl. 00:45, og at alle login skete fra device-id (enhed) -222.
Den 14. januar 2025 kl. 00:47 skrev klageren til bankens chatfunktion:
”Jeg har fået stjålet min pung i Budapest, og der er blevet brugt 17.500 på mit kort.”
Klageren blev derefter vejledt om at lukke sit betalingskort. Banken har oplyst, at kortet blev lukket den 14. januar 2025 kl. 00:48.
Den 21. januar 2025 indgav klageren indsigelse til banken over de tre ikke-vedkendte betalinger og anførte:
|
Beskriv hvad der er sket: […] |
|
Jeg er i Budapest med en af mine venner, og vi sidder på en bar og tager et par øl. Og så ligger jeg mærke til der er blevet trukket 19.000 kr fra min konto. Mit fysiske kort er blevet stjålet i løbet af aftenen, og da jeg finder ud af det her, spærrer jeg mit kort med det samme. |
|
|
|
Havde du kortet på købstidspunktet? […] |
|
Nej, jeg havde mistet mit kort. |
|
|
|
Vælg […] |
|
Mit kort er blevet stjålet |
|
|
|
Ved du hvem der har haft adgang til dit kort? […] |
|
Nej |
|
|
|
Hvor opbevarede du dit kort? […] |
|
I min pung |
|
|
Den 5. februar 2025 skrev banken til klageren:
” Du beskriver at dit kort er blevet stjålet, hvorfor det er blevet misbrugt.
Men transaktionerne er betalt med applepay, er dette heller ikke noget du kan vedkende dig?.”
Klageren svarede, at han ikke havde kendskab til betalingerne.
Den 10. april 2025 afviste banken klagerens indsigelse. Banken anførte blandt andet, at de ikke-vedkendte transaktioner var gennemført fra samme device/enhed, som klageren tidligere havde anvendt til betalinger med kortet.
Parternes påstande
Den 7. maj 2025 har klageren indbragt sagen for Ankenævnet med påstand om, at Lunar Bank A/S skal refundere de ikke-vedkendte transaktioner.
Lunar Bank A/S har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at hans betalingskort blev stjålet under ferie i Budapest.
Han var om aftenen den 13. januar 2025 med en ven på en bar, hvor de blev hele aftenen. Han har transaktioner fra baren frem til kl. 23:02. De besøgte ikke andre barer efterfølgende.
Han var opmærksom på sine betalinger i løbet af aftenen, og det kom som et chok, da han så de tre store beløb trukket fra sin konto. Han spærrede sit kort med det samme og indgav en indsigelse.
Han anmeldte sagen til det lokale politi.
Banken afviste indsigelsen og anførte, at beløbene var trukket via Apple Pay, og at transaktionerne skulle være foretaget fra samme device som tidligere transaktioner på hans kort. På den baggrund konkluderede banken, at det måtte være hans egen telefon, der blev brugt, og at transaktionerne dermed ikke kunne være foretaget af en tredjepart.
Han har ikke godkendt disse beløb. Han ved ikke, hvordan pengene er blevet trukket. Han har underskrevet en tro- og love erklæring, som han står inde for. Han kender intet til de tre betalinger på i alt 19.220,25 DKK. Han ved ikke, hvordan disse transaktioner er blevet gennemført via hans Apple Pay. Han har ikke godkendt betaling af så høje beløb hverken med kode, Face ID eller på anden vis.
Han har ikke delt sin telefon, adgangskoder eller kortoplysninger med andre. Han har ikke modtaget nogen aktiveringskode via SMS i forbindelse med tilføjelse af sit kort til Apple Pay, og han har ikke selv tilføjet kortet til en ny enhed.
Device-data alene kan ikke anses som tilstrækkelig dokumentation for, at det var ham, der gennemførte betalingerne, særligt da kortet var meldt stjålet og spærret straks efter tyveriet. Han har desuden ikke givet tredjepart adgang til hverken sin telefon eller sine kortoplysninger.
Han havde forud for rejsen med vilje kun et lille beløb stående på sit kort, men på trods af det blev hans kort overtrukket med 15.000 DKK.
Lunar Bank A/S har til støtte for frifindelsespåstanden anført, at banken på baggrund af de foreliggende omstændigheder anser det for godtgjort, at transaktionerne ikke er foretaget fra en ny device, men derimod fra klagerens device. Ved opsætning af Apple Pay genereres et unikt digitalt token (D_TKN-nummer) for hver device, hvilket muliggør identifikation af den specifikke enhed anvendt til transaktioner.
De fremlagte tekniske data viser, at det er samme device D_TKN-nummer: -9352), der er anvendt til de påståede uautoriserede transaktioner, som til en transaktion dagen forinden, som klageren ikke har gjort indsigelse imod. De fremlagte tekniske data viser, at der ikke har været nye enheder eller devices (telefoner) logget ind på klagerens Lunar konto.
Det er alene klagerens betalingskort, der er meldt stjålet og ikke klagerens telefon. Klageren har ikke oplyst, at klagerens telefonen skulle være kommet i tredjemands besiddelse. Klagerens telefonen er ikke meldt mistet.
Forud for gennemførelse af en Apple Pay-transaktion kræves der godkendelse med enten kode eller biometri. Adgang til klagerens telefon er en forudsætning for transaktionerne. Det fremstår derfor uklart, hvordan transaktionerne har kunnet gennemføres.
Ifølge bankens systemlog loggede klageren på sin konto i umiddelbar forbindelse med den sidste af de anfægtede betalinger den 14. januar kl. 00:15. Dette rejser spørgsmålet om, hvorfor klageren ikke reagerede på transaktionerne ved dette login, særligt set i lyset af at der på dette tidspunkt allerede var gennemført flere uautoriserede betalinger.
For at kunne benytte Apple Pay skal betalingskortet først tilføjes enhedens digitale tegnebog (“wallet”). Tilføjelse af et kort til Apple Pay kræver adgang til klagerens telefon, enten via SMS-kode eller godkendelse i Lunar-appen. Tilføjelse kan ske på to måder: 1. Ved manuelt at indtaste kortoplysninger og derefter godkende tilføjelsen med en personlig SMS-kode. 2. Ved at godkende tilføjelsen direkte i Lunar-appen på den pågældende enhed. Denne metode kræver, at man har adgang til både telefonen og den personlige kode til Lunar-kontoen. Begge metoder forudsætter derfor adgang til klagerens telefon enten for at modtage og anvende SMS-koden eller for at godkende tilføjelsen direkte i appen. Det fremstår derfor som tvivlsomt, hvordan tredjemand skulle have fået adgang til både telefonen og de nødvendige koder, eller hvordan en tilføjelse til en anden enhed skulle kunne lade sig gøre uden denne adgang.
Banken har til støtte for afvisningspåstanden anført, at sagen alene kan afgøres på baggrund af yderligere bevisførelse i form af parts- og vidneforklaringer. Bevisførelsen er nødvendig for at fastlægge sagens faktiske omstændigheder, hvilket har betydning for hæftelsesspørgsmålet. Sådan bevisførelse kan ikke finde sted i Ankenævnet, men alene ved domstolene, hvorfor sagen bør afvises jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Klageren var kunde i Lunar Bank, hvor han havde en konto med et tilknyttet betalingskort.
Den 14. januar 2025 i tidsrummet fra kl. 00:03 til kl. 00:15 blev klagerens Apple Pay anvendt til at foretage tre kortbetalinger til en betalingsmodtager, BM, på henholdsvis 100.000 HUF (ungarske forinth), 474.000 HUF og 470.000 HUF, svarende til henholdsvis 1.841,02 DKK, 8.726,44 DKK og 8.652,79 DKK, som klageren ikke kan vedkende sig.
Banken har anført, at transaktionerne blev godkendt med klagerens Face ID, Touch ID eller adgangskode.
Ankenævnet lægger til grund, at de ikke-vedkendte transaktioner er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl. Af betalingslovens § 98 følger, at registrering af brug af et betalingsinstrument ikke i sig selv er bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Afgørelsen af sagen beror på, om der må antages at være tale om tredjemandsmisbrug. Ankenævnet finder, at en stillingtagen til sagen forudsætter yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men i givet fald må finde sted ved domstolene. Ankenævnet afviser derfor sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.