Afgørelse

Indsigelse mod at hæfte for korttransaktioner gennemført som betalinger med et virtuelt betalingskort via Google Pay. Indrullering af et betalingskort i tredjemands Wallet ved brug af en aktiveringskode sendt via SMS til klagerens telefonnummer.

Sagsnummer:	30/2026
Dato:	14-08-2026
Ankenævn:	Kristian Korfits Nielsen, Jonas Thestrup Nielsen, Kritte Sand Nielsen, Rolf Høymann Olsen og Poul Erik Jensen.
Klageemne:	Betalingstjenester - ikke-vedkendte hævninger Betalingstjenester - spørgsmål om groft uforsvarlig adfærd
Ledetekst:	Indsigelse mod at hæfte for korttransaktioner gennemført som betalinger med et virtuelt betalingskort via Google Pay. Indrullering af et betalingskort i tredjemands Wallet ved brug af en aktiveringskode sendt via SMS til klagerens telefonnummer.
Indklagede:	Danske Bank
Øvrige oplysninger:
Senere dom:
	Pengeinstitutter

Klager medhold.

Indledning

Sagen vedrører indsigelse mod at hæfte for op til 8.000 DKK af korttransaktioner gennemført som betalinger med et virtuelt betalingskort via Google Pay. Indrullering af et betalingskort i tredjemands Google-Wallet ved brug af en aktiveringskode sendt via SMS til klagerens telefonnummer.

Sagens omstændigheder

Klageren var kunde i Danske Bank, hvor han blandt andet havde en konto, -163, med et tilknyttet betalingskort, -238. Klageren havde adgang til netbank/mobilbank.

Den 6. november 2025 kl. 12:15 modtog klageren en SMS fra en afsender, som udgav sig for at være Postnord, hvoraf fremgik, at en pakke til klageren skulle toldbehandles, og at klageren skulle udfylde en formular ved at trykke på et link i SMS’en. Klageren har oplyst, at han ikke udleverede nogle oplysninger til afsenderen.

Samme dag kl. 13:22 blev betalingskort -238 indrulleret i en Google-Wallet med token -961 på en Xiaomi mobiltelefon. Af en udskrift fra bankens system fremgår blandt andet, at indrulleringen blev foretaget fra IP-adresse .114, lokaliseret i Spanien.

Klageren modtog i forbindelse med indrulleringen af hans betalingskort en SMS fra banken, hvoraf blandt andet en aktiveringskode til Google Pay fremgår. Det fremgår endvidere af SMS’en, at klageren ikke skulle dele aktiveringskoden med andre, og hvis han ikke havde bestilt en aktiveringskode, skulle han spærre sit betalingskort med det samme og kontakte banken.

Banken har oplyst, at indrulleringen af betalingskort -238 i en Google-Wallet skete uden anvendelse af stærk kundeautentifikation.

Den 6. november 2025 kl. 13:31:02 spærrede klageren betalingskort -238 via mobilbanken. Samme dag kl. 13:31:41 ophævede klageren kortspærringen via mobilbanken. Klageren spærrede kortet igen klokken 13:32 via mobilbanken.

Den 8. november 2025 kl. 15:37 ophævede klageren kortspærringen.

Samme dag kl. 15:38 bestilte klageren en vare for 979,90 DKK fra betalingsmodtager N. Af bestillingsbekræftelsen fremgår blandt andet:

”Log på din PayPal-konto for at se betalingsoplysningerne […] Tak, fordi du bruger PayPal.”

Klageren har fremlagt en kvittering for købet, hvoraf blandt andet fremgår, at betalingen blev foretaget med betalingskort -671.

Klageren har oplyst, at han forsøgte at betale via PayPal, hvilket blev afvist. Han tilmeldte sig herefter Google Pay, som han anvendte til at gennemføre betalingen med.

Klageren har oplyste, at han modtog den bestilte vare nogle dage senere.

Han spærrede herefter betalingskortet. Herefter undersøgte han, om der var foretaget nogle mistænkelige transaktioner på hans betalingskort, hvilket der ikke var. Han ophævede herefter kortspærringen. Han spærrede herefter sit betalingskort, hvorefter han ophævede spærringen igen.

Den 8. november 2025 kl. 19:53 blev der med Google Pay forsøgt at gennemføre en korttransaktion på 100,41 EUR svarende til 750,51 DKK til betalingsmodtager W.

Klageren modtog i den forbindelse en SMS fra banken kl. 19:54, hvoraf blandt andet fremgår:

”… Vi har afvist betalingen på 100,41 EUR til [betalingsmodtager W] og spærret kortet for at beskytte dig.

Hvis betalingsforsøget var korrekt, beklager vi. Du kan åbne dit kort igen i Mobilbanken og gennemføre betalingen.

Hvis betalingsforsøget ikke er foretaget af dig, skal du erstatte dit kort i Mobilbanken. …”

Samme dag klokken kl. 20:03 ophævede klageren kortspærringen via mobilbanken, hvorefter betalingen på 100,41 EUR til betalingsmodtager W blev gennemført.

Samme dag i tidsrummet mellem kl. 20:12 og 20:42 blev der gennemført yderligere 15 kortbetalinger med Google Pay til betalingsmodtagerne W, G, P, S, U og X på i alt 5.957,46 DKK.

Samme dag klokken 20:47 blev klagerens betalingskort spærret af banken på grund af en mistænkelig kortbetaling på 319,98 EUR til betalingsmodtager X. Klageren blev informeret om betalingsforsøget via en SMS.

Klageren har oplyst, at han først ved modtagelsen af SMS klokken 20:47 blev opmærksom på SMS modtaget klokken 19:54. Han kontaktede banken straks herefter.

Den 13. november 2025 gjorde klageren indsigelse imod de 16 korttransaktioner på i alt 6.707,97 DKK. Han anførte i sin indsigelse, at han ikke havde foretaget transaktionerne, og at betalingskortet var i hans besiddelse på tidspunkterne, hvor de ikke-godkendte korttransaktioner blev foretaget.

Den 14. november 2025 indsatte banken 6.707,97 DKK på klagerens konto med forbehold for, at beløbet kunne blive trukket tilbage, hvis indsigelsen blev afvist.

Den 12. december 2025 afviste banken indsigelsen med henvisning til, at klageren selv havde muliggjort misbruget ved at ophæve spærringen på hans betalingskort på trods af bankens advarsel. Banken trak i den forbindelse 6.707,97 DKK tilbage fra klagerens konto.

Den 15. december 2025 klagede klageren over bankens afvisning.

Den 12. januar 2026 afviste banken klagen.

Parternes påstande

Den 15. januar 2026 har klageren indbragt sagen for Ankenævnet med påstand om, at Danske Bank skal godtgøre ham 6.707,97 DKK samt eventuelle gebyrer.

Danske Bank har nedlagt påstand om frifindelse.

Parternes argumenter

Klageren har blandt andet anført, at han først senere om aftenen den 8. november 2025 så SMS’en fra banken, som var blevet sendt kl. 19:54, om, at en kortbetaling var blevet afvist, og at hans betalingskort var blevet spærret.

Han var ikke klar over, at hans betalingskort var blevet kompromitteret. Da han kl. 20:03 ophævede kortspærringen, havde han således ingen viden om, at der var foretaget eller ville blive foretaget uautoriserede betalinger med hans betalingskort. Han ophævede derfor kortspærringen i god tro.

SMS'erne fra banken indeholdt ikke oplysninger om, at der var konstateret misbrug, men var betinget formuleret, ”hvis denne betaling ikke var foretaget af dig”. Banken har ikke dokumenteret, at han forstod eller burde have forstået, at ophævelsen af kortspærringen ville medføre risiko for misbrug.

De uautoriserede betalinger kan ikke i sig selv statuere grov uagtsomhed fra hans side.

Han har ikke udleveret sine kortoplysninger, koder eller MitID.

Da banken vidste, at der forelå en risiko for misbrug, burde banken have spærret betalingskortet på en sådan måde, så det ikke var muligt for ham at ophæve spærringen.

Danske Bank har blandt andet anført, at klageren den 6. november 2025 kl. 13:22 modtog en SMS om aktivering af hans betalingskort i en Google Wallet tilknyttet en ny enhed.

Den 8. november 2024 kl. 19:54 modtog klageren en SMS fra banken om, at en kortbetaling på 100,41 EUR var blevet afvist, og at hans betalingskort var blevet spærret med henblik på at beskytte ham imod misbrug. Klageren blev gjort opmærksom på, at han alene skulle genåbne betalingskortet, hvis han kunne genkende betalingen og ønskede den gennemført.

På trods af bankens SMS ophævede klageren samme aften kl. 20:03 kortspærringen, hvorefter de 16 ikke-vedkendte kortbetalinger blev gennemført.

Klageren må have været bekendt med indholdet i SMS’en på tidspunktet for ophævelse af kortspærringen. Klageren handlede derfor groft uforsvarligt ved at ophæve kortspærringen på trods af forløbet den 6. november 2025 og bankens advarsel den 8. november 2025.

Alle 16 kortbetalinger er korrekt registeret og bogført samt korrekt godkendt ved brug af Google Pay.

Banken har ikke handlet ansvarspådragende i forbindelse med behandlingen af kundens indsigelsessag.

Banken er således ikke forpligtet til at godtgøre klageren 6.707,97 DKK

Klageren anerkender, at han selv har indrulleret sit betalingskort i en Google-Wallet den 6. november 2025. Hvis denne forklaring lægges til grund, gør banken gældende, at klageren ikke har godtgjort, at der er sket tredjemandsmisbrug i forbindelse med gennemførelsen af de 16 korttransaktioner via Google Pay.

Ankenævnets bemærkninger

Klageren var kunde i Danske Bank, hvor han blandt andet havde en konto -163 og et betalingskort -238.

Banken har oplyst, at indrulleringen af betalingskort -238 i en Google-Wallet skete uden anvendelse af stærk kundeautentifikation.

Samme dag kl. 13:32 spærrede klageren betalingskort -238 via mobilbanken.

Den 8. november 2025 kl. 15:37 ophævede klageren kortspærringen via mobilbanken.

Samme dag kl. 19:53 blev der med Google Pay forsøgt gennemført en korttransaktion på 100,41 EUR svarende til 750,51 DKK til betalingsmodtager W. Klageren modtog i den forbindelse en SMS fra banken kl. 19:54 med oplysning om, at kortbetalingen på 100,41 EUR til betalingsmodtager W var blevet afvist, og at klagerens betalingskort var blevet spærret af banken med henblik på at beskytte klageren imod misbrug. Klageren blev gjort opmærksom på, at han alene skulle genåbne sit betalingskort, hvis han kunne genkende betalingen og ønskede den gennemført. Klokken 20:03 ophævede klageren kortspærringen via mobilbanken, hvorefter betalingen blev gennemført.

Samme dag i tidsrummet mellem kl. 20:12 og 20:42 blev der gennemført yderligere 15 kortbetalinger med Google Pay til betalingsmodtagerne W, G, P, S, U og X på i alt 5.957,46 DKK.

Den 13. november 2025 gjorde klageren indsigelse imod de 16 korttransaktioner på i alt 6.707,97 DKK.

Den 12. december 2025 afviste banken indsigelsen med henvisning til, at klageren selv havde muliggjort misbruget ved at ophæve spærringen på betalingskort -238 på trods af bankens advarsel herom.

Klageren har oplyst, at han den 8. november 2025 tilmeldte sit betalingskort Google-Pay i forbindelse med et køb på internettet.

Banken har blandt andet anført, at klageren handlede groft uagtsomt, da han ophævede kortspærringen på trods af bankens advarsel om risiko for misbrug, og at klageren ikke har godtgjort, at der skete tredjemandsmisbrug i forbindelse gennemførelsen af de 16 korttransaktioner.

Det lægges til grund, at transaktionerne er korrekt registreret og bogført og ikke er ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98, stk. 1. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.

Ankenævnet lægger til grund, at der er tale om tredjemandsmisbrug.

Det følger af betalingslovens § 128, stk. 1, nr. 3, at en udbyder af betalingstjenester skal anvende stærk kundeautentifikation, når en bruger udfører handlinger gennem en enhed til fjernkommunikation, der kan indebære risiko for misbrug.

Stærk kundeautentifikation indebærer efter betalingslovens § 7, nr. 30, at betalingstjenesteudbydere skal forlange, at kunderne bruger minimum to ud af tre mulige sikkerhedselementer; noget kunden ved, f.eks. et kodeord, noget kunden besidder, f.eks. en app eller SMS-engangskode modtaget via et SIM-kort, og noget kunden er, f.eks. et fingeraftryk. Kortdata er synlige på kortet og dermed ikke hemmelige og udgør derfor ikke et gyldigt sikkerhedselement.

Ankenævnet finder, at indrullering af et betalingskort i en Wallet udgør en situation omfattet af betalingslovens § 128, stk. 1, nr. 3. Kravet til stærk kundeautentifikation er kun opfyldt, hvis minimum to sikkerhedselementer vedrører samme kunde.

Ved indrullering af et betalingskortkort i en Wallet bruges i praksis to forskellige løsninger, henholdsvis via kortholderens mobilbank eller via en Wallet-app. Ved indrullering via en Wallet-app ved brug af en SMS-engangskode er kravet til stærk kundeautentifikation kun opfyldt, hvis der tillige bliver anvendt et andet sikkerhedselement, som tilhører kortholderen. Ved indrullering via kortholderens mobilbank er kravet til stærk kundeautentifikation opfyldt, hvis kortholderen efter pålogning anvender en ny stærk kundeautentifikation til at indrullere betalingskortet.

Ifølge betalingslovens § 100, stk. 1, hæfter betalerens udbyder af betalingstjenester i forhold til betaleren for tab som følge af andres uberettigede anvendelse af en betalingstjeneste, medmindre andet følger af stk. 2-5. Ifølge betalingslovens § 100, stk. 7, hæfter betalingsudbyderen uanset betalingslovens § 100, stk. 3-5, hvis udbyderen ikke kræver stærk kundeautentifikation, medmindre betaleren har handlet svigagtigt. Det følger herudover af betalingslovens bilag 1, pkt. 5, at udstedelse eller indløsning af betalingsinstrumenter udgør en betalingstjeneste.

Formålet med betalingslovens bestemmelser om krav om stærk kundeautentifikation, herunder § 100, stk. 7, og § 128, stk. 1, er blandt andet at højne sikkerheden og øge forbrugerbeskyttelsen ved at iværksætte foranstaltninger til at beskytte fortroligheden og integriteten af betalingstjenestebrugeres personaliserede sikkerhedsoplysninger og anvendelse af betalingstjenesten.

Ankenævnet lægger til grund, at tredjemand anvendte klagerens kortoplysninger og den SMS-engangskode, som blev sendt til klageren den 6. november 2025, for at indrullere klagerens betalingskort i sin Google-Wallet. Ankenævnet finder, at SMS-engangskoden er en personlig sikkerhedsforanstaltning til betalingskortet, jf. betalingsloven § 7, nr. 31, og at klagerens kortoplysninger ikke udgør en personlig sikkerhedsforanstaltning.

Selv om der blev foretaget to processer for at gennemføre misbruget af klagerens betalingskort, nemlig indrulleringen af klagerens kort i tredjemands Google-Wallet og tredjemands brug af Wallet-løsningen, finder vi, at de to processer i relation til hæftelsesspørgsmålet må betragtes samlet, hvorfor misbruget er omfattet af betalingslovens § 100, stk. 7, eller denne bestemmelses analogi.

Ankenævnet har herved lagt vægt på den nære sammenhæng mellem de to processer, idet misbruget af klagerens betalingskort blev muliggjort ved indrulleringen af dette i tredjemands Google-Wallet og på formålet med betalingslovens § 100.

Ankenævnet finder det ikke godtgjort, at indrulleringen skete ved stærk kundeautentifikation. Vi har herved lagt vægt på, at SMS-engangskoden og indtastning af kortoplysningerne ikke udgør to uafhængige sikkerhedselementer, som opfylder kravene til stærk kundeautentifikation.

Da indrulleringen ikke er sket med stærk kundeautentifikation, og da der ikke efter sagens oplysninger er grundlag for at antage, at klageren har handlet svigagtigt, finder vi, at banken hæfter for tredjemands misbrug af klagerens betalingstjeneste, jf. betalingslovens § 100, stk. 7.

Ankenævnets afgørelse

Danske Bank skal inden 30 dage tilbageføre 6.707,97 DKK til klagerens konto med valør fra datoen for debitering af transaktionerne.

Klageren får klagegebyret tilbage.

Kontakt

Indsigelse mod at hæfte for korttransaktioner gennemført som betalinger med et virtuelt betalingskort via Google Pay. Indrullering af et betalingskort i tredjemands Wallet ved brug af en aktiveringskode sendt via SMS til klagerens telefonnummer.