RETTEN I VIBORG DOM afsagt den 23. juni 2023 Sag BS-34279/2020-VIB Sagsøger (advokat Torben Jensen) mod Jyske Bank A/S (advokat Erik Bertelsen) Denne afgørelse er truffet af Dommer 1, Dommer 2 og Domm

§ 100, stk.

7. 11 I det omfang Retten finder, at Jyske Bank har opfyldt sine forpligtelser til stærk kundeautentifikation og screening af overførsler gøres det gældende, at Jyske Bank hæfter for Sagsøgers fulde tab jfr.

§ 100, stk.

1. Det gøres gældende, at Sagsøger har nægtet at have auto-riseret eller iværksat de i sagen omhandlede betalingstransaktioner, der førte til Sagsøgers tab. Det bestrides, at Sagsøger har anvendt sine personlige sikkerhedsforanstaltninger i forbin-delse med betalingstransaktionerne, og det gøres i den forbindelse lige-ledes gældende, at Sagsøger den
2. marts 2018 har un-derskrevet tro- og loveerklæring til Jyske Bank, hvoraf dette frem går. Det gøres således gældende i medfør af

§ 98, stk.

2, at der ikke foreligger noget bevis for de påstande, som Jyske Bank har an-ført vedrørende benyttelse af sikkerhedsforanstaltningerne. Det gøres samlet gældende, at det er Jyske Bank, der har bevisbyrden for, at der foreligger forhold, hvorefter Sagsøger selv skulle hæfte for sit tab helt eller delvist. Denne bevisbyrde har Jyske Bank ikke løftet. Det bestrides, at Sagsøger selv har fore-taget overførslerne, ligesom det bestrides, at Sagsøger på nogen måde har handlet svigagtig eller på anden måde ansvarspådragende. Det bestrides, at tro- og love erklæringen er underskrevet for sent, såle-des som Jyske Bank har gjort gældende. I den forbindelse henvises til

§ 97

. Det gøres gældende, at tidspunktet for, hvornår man afgav tro- og love erklæring, alene ville have haft betydning, idet der var sket yderligere misbrug efter det tidspunkt, hvor Sagsøger opdagede de to uberettigede overførsler på hhv. 50.000 euro og 9.800 euro. Det gøres ligeledes i den forbindelse gældende, at

regler – her § 97 – er præceptive i forbrugerrelationer, hvorfor en eventuel bestemmelse i Jyske Banks kundeaftaler, der stiller Sagsøger ringere, end det der følger af loven, ikke er gæl-dende. Jyske Bank har anført, at den omstændighed, at Sagsøger tidligere end den

1. marts 2018 havde foretaget investeringer skulle medføre, at Sagsøger efter Jyske Banks opfattelse har væ-ret uforsigtig eller på anden måde handlet, således at Jyske Bank ikke skal dække hendes tab. Disse antagelser afvises, og det bestrides i det hele, at det har nogen betydning for sagens bedømmelse, at Sagsøger tidligere har investeret midler via udenlandske selskaber. Sagsøgers computer er blevet renset efter anmodning og anvisning fra Vidne 1 i Jyske Banks Fraud Afdeling. Jyske Bank har således, efter at misbruget var opdaget, rådgivet Sagsøger til at få fjernet muligheden for at fremfinde historikken i, hvad der er fo-retaget på computeren. Dette skal komme Jyske Bank til skade. 12 Jyske Banks antagelser om, at der ikke er andre muligheder for, at overførslen har kunnet finde sted, end at Sagsøger selv har fo-retaget disse, bestrides i sin helhed, og disse påstande og hypoteser fra Jyske Bank er fuldstændig udokumenteret. Det bemærkes, at Jyske Bank igennem alle sine processkrifter har forsøgt at mistænkeliggøre Sagsøger og dybest set anklager hende for at være krimi-nel. Sagsøger tager på det kraftigste afstand herfra. Hele forløbet omkring overførslerne den
2. marts 2018 (de uberettigede overførsler, som sagen drejer sig om) vil nærmere udførligt blive gennem-gået under forklaringerne under hovedforhandlingen. De uberettigede transaktioner har kunnet finde sted, fordi Jyske Banks systemer ikke har sikret, at dette ikke kunne ske, og henset til at Green-fields Capitals medarbejdere har udført svindel. Hvorledes denne svin-del de facto er foregået kan være vanskeligt på nuværende tidspunkt at fastslå, bl.a. fordi Jyske Bank har rådgivet min klient om at lade alt på sin computer slette. En af svindelmetoderne er, at den såkaldte RAT-metode, som er ud-bredt blandt svindlere, og som med stor sandsynlighed er den metode, hvor på Sagsøger er blevet svindlet. En sådan metode har den egenskab, at betaleren, d.v.s. i dette tilfælde Sagsøger, ikke har nogen mistanke om, at hvad der foregår, før det er for sent. Det bemærkes i øvrigt i den forbindelse, at Jyske Banks hængelås på hjemmesiden til log-in er en generisk hængelås, som nemt lader sig kopiere via RAT-metoden, hvor man bl.a. anvender falske hjemmesi-der. Dette vil nærmere blive beskrevet under proceduren i hovedfor-handlingen, og muligvis vil Vidne 2, Jyske Banks vidne, lige-ledes kunne medvirke til oplysning om, hvorledes RAT-metoden fak-tisk fungerer. Jyske Bank har bl.a. gjort gældende, at Sagsøger er den der har den letteste og naturligste adgang til at sikre sig bevis for, at der ikke er sket uberettiget (svindel) overførsler. Dette er en ukorrekt anta-gelse fra Jyske Bank. Jyske Bank er klart den part, der har nemmest ved at bevise sine påstande. Jyske Bank har ikke løftet denne bevisbyrde el-ler på nogen måde sandsynliggjort, at Sagsøger skulle have handlet på en sådan måde, at Jyske Bank ikke hæfter for det tab, Sagsøger har lidt. Det bestrides i sin helhed, at

§ 100, stk.

5 finder anvendelse, således som Jyske Bank har gjort gældende. Det bestrides i det hele, at Sagsøger har handlet uansvarligt eller i øvrigt har anvendt sin personlige sikkerhedsforanstaltning (Nem-ID) i forbindelse med overførslerne. Såfremt Retten skulle være uenig heri, gøres det, som det fremgår af den subsidiære påstand, gældende, at der alene skal ske fradrag på kr. 375 i erstatning, som Sagsøger skal have udbetalt af Jyske Bank. Der henvises i den forbindelse til

§ 100, stk.

3, og under alle omstændigheder vil der maksimalt kunne ske fradrag på kr. 8.000 jfr.

§ 100, stk.

4. 13 Under alle omstændigheder bestrides det som nævnt, at Sagsøger har handlet på en sådan måde, således at der skal ske fradrag i hendes udbetaling på erstatning, hverken fradrag jfr. Beta-lingslovens § 100 stk. 3 eller

§ 100, stk.

4. Samlet gøres det gældende, at Sagsøger er blevet franar-ret sin personlige sikkerhedsforanstaltninger af Greenfields Capital, el-ler at Greenfields Capital på anden måde har kunnet sætte sig i besid-delse heraf. Jyske Bank har ikke godtgjort, at betingelserne for, at Sagsøger hæfter efter de udvidede ansvarsbestemmelser i

§ 100

. er opfyldt, og det gøres således gældende, at Jyske Bank skal betale erstatning svarende til det tab Sagsøger har lidt ved de uberettigede overførsler. …” Jyske Bank A/S har i det væsentlige procederet efter sit påstandsdokument, hvori er anført følgende: ”… 2.1 Sagens hændelsesforløb Sagsøger kom i slutningen af 2017 i kontakt med et udenlandsk sel-skab, GreenFields Capital, som ifølge Sagsøger skulle foretage inve-steringer på hendes vegne. Hun havde herefter e-mail-korrespondance med selskabet i de følgende ca. 4 måneder, jf. Bilag A. I perioden fra den

1. december 2017 og indtil de omtvistede betalinger blev foretaget den
2. marts 2018, foretog Sagsøger mere end ti over-førsler af samme karakter, som de omtvistede overførsler, dvs. over-førsler til udenlandske selskaber i investeringsøjemed, hvor Sagsøger efterfølgende anmodede Jyske Bank om at forsøge at få hendes overførsler tilbageført, jf. Bilag 4, s.
3. Overførslerne blev foretaget dels til GreenFields Capital eller selskaber, som ifølge Sagsøger selv frem-stod som foretaget til GreenFields Capital (EVG Trading Limited og Premium Peak), jf. stævningen (s. 2), dels til andre investeringsselska-ber, som det ikke er klart, hvorvidt fremstod som GreenFields Capital eller ej (idet Sagsøger ikke har besvaret Jyske Banks opfordring (c), jf. duplikken (s. 3)). For en oversigt over overførslerne henvises til Støtte-bilag A (dokumenteret ved Bilag E). Det bemærkes, at Sagsøger ubestridt selv har foretaget alle de over-førsler, som fremgår af Støttebilag A, men bestrider at have foretaget de to i sagen omtvistede overførsler, jf. stævningen (s. 2), Bilag 4 (s. 2-3 og 5-7) og replikken (s. 1-2). 14 De af Sagsøger foretagne overførsler af samme karakter som de omt-vistede overførsler udgjorde i alt DKK 237.777,39, jf. Støttebilag A. Efter den første overførsel til GreenFields Capital den
4. december 2017 spærrede Sagsøger sit Dankort, da GreenFields Capital kontaktede hende pr. telefon og mail og bad hende overføre flere penge. Ifølge Sagsøger gjorde denne henvendelse hende utryg ved situationen, jf. Sagsøgers klage til Det Finansielle Ankenævn (Bilag H, s. 2). Som det fremgår samme sted fortsatte Sagsøger imidlertid kontakten med og overførslerne til GreenFields Capital og andre investeringsselskaber. De mange overførsler, som ubestridt er foretaget af Sagsøger selv frem-går af Støttebilag A. Den
5. marts 2018 forsøgte Sagsøger at overføre EUR 4.000 via kortbetaling, hvilket blev afvist, da beløbet oversteg det maksimale beløb, som kunne overføres via kortet. Sagsøger overførte herefter 2 x EUR 1.000, mens et fjerde forsøg på at overføre EUR 1.000 mere også blev af-vist som følge af, at betalingen oversteg maksimum. Overførslerne på 2 x EUR 1.000 blev foretaget klokken 15.59 og 16.00 og fremgår af kon-toudskrift indhentet fra Nets (Bilag B). Sagsøger har anført, at overførslerne i Bilag B både blev foretaget som en "forsikring" for, at de tidligere indbetalte penge kunne blive ud-/tilbagebetalt (stævningen, s. 2) og for at Sagsøger kunne få udbetalt bonus (replikken, s. 3). Samme dag, den
6. marts 2018, klokken 16.23, blev der foretaget en overførsel på EUR 50.000 fra Sagsøgers konto til GreenFields Capital. Overførslen blev godkendt ved indtastning af NemID-loginoplysninger (brugernavn og kodeord) samt NemID-nøglekortkode (den kode fra Sagsøgers fysiske papnøglekort, som passede til et automatisk og randomiseret udvalgt nummer på kortet), ligesom der af NemID blev udstedt en skjult sessionsnøgle, som blev lagret i kundens browser og kunne anvendes til efterfølgende betalinger i samme "flow". Klokken 16.30 ligeledes den
7. marts 2018 blev foretaget endnu en overførsel på EUR 9.800 fra Sagsøgers konto til GreenFields Capital. Overførslen blev godkendt ved brug af NemID-loginoplysninger (bru-gernavn og kodeord) samt anvendelse af den nævnte skjulte sessions-nøgle. Der blev således ikke anvendt NemID-nøglekortkode ved denne betaling, idet der i stedet blev anvendt en skjult sessionsnøgle (som gi-ver mulighed for at foretage flere betalinger i samme "flow" uden at skulle bruge en nøglekortkode hver gang, men samtidig opretholder betalingernes sikkerhedsniveau). 15 Det er disse to betalinger, som udgør sagens stridspunkt. Jyske Banks elektroniske registreringer af gennemførelsen af overførs-lerne den
8. marts 2018 samt anvendelsen af NemID fremgår af Bilag 1 (overførslerne blev gennemført af systemet den
9. marts), og en forkla-ring vedrørende forløbet med betaling via NemID fra Vidne 2, IT Architect i Jyske Banks leverandør af ITsystem, Bankdata, frem-går af Bilag C. Til overførslerne blev anvendt samme IP-adresse som blev anvendt ved tidligere overførsler af samme karakter, og Jyske Bank gør på denne baggrund gældende, at det er Sagsøgers IP-adresse, som er blevet anvendt i forbindelse med de omtvistede overførsler, jf. Bilag G og ud-dybende herom nedenfor i afsnit 3.2.
10. Efter overførslerne den
11. marts 2018 stod stadig et større beløb på cirka DKK 73.000 på Sagsøgers konto, jf. Bilag D. Sagsøger havde efter de omtvistede overførsler korrespondance med repræsentanter fra GreenFields Capital i perioden fra den
12. marts 2018 til den
13. marts 2018, jf. Bilag A, hvor hun forsøgte at få tilbageført de to betalinger foretaget den
14. marts 2018 på EUR 50.000 og EUR 9.
15. Først den
16. marts 2018 kontaktede Sagsøger Jyske Bank, som spær-rede Sagsøgers NemID, netbank og betalingskort som følge af for-modning for investeringssvindel. 2.2 Parternes hovedanbringender Sagsøger gør gældende, at overførslerne den
17. marts 2018 på EUR 50.000 henholdsvis EUR 9.800 er foretaget uden hendes medvirken, vi-den eller samtykke (stævningen, s. 2). Sagsøger gør samtidig gæl-dende, at hun ikke har videregivet sine NemID-oplysninger og/eller nøglekort (stævningen, s. 6) og at hun i det hele ikke har haft noget med overførslerne at gøre. Jyske Bank gør heroverfor principalt gældende, at Sagsøger selv har foretaget de to af Sagsøger bestridte overførsler og dermed selv hæf-ter for det fulde beløb, jf.

§ 82

og modsætningsvis § 100, hvorefter hæftelsesreglerne i

§ 100alene finder anven-delse ved uautoriserede betalinger, idet Sagsøgers forklaring om ikke at have videregivet sine Nem

ID-oplysninger medfører, at overførs-lerne ikke kan være foretaget af andre end Sagsøger selv, når denne 16 forklaring sammenholdes med NemID-nøglekortets karakteristika som et fysisk papnøglekort samt de kendte metoder for svindel med NemID. NemID-nøglekortet kan således kun misbruges, hvis indehaveren selv medvirker ved at videregive nøglerne fra nøglekortet. I tillæg hertil gør Jyske Bank gældende, at det taler for, at Sagsøger selv har foretaget overførslerne, • • • • • • at Sagsøger ubestridt foretog flere overførsler af samme karak-ter, herunder til samme selskab, i perioden op til de omtvistede overførsler; at der ikke blev gennemført yderligere overførsler efter de omtvi-stede overførsler, selvom der fortsat var et større beløb på kontoen (ca. DKK 73.000); at Sagsøgers IP-adresse blev anvendt til at foretage overførs-lerne; at Sagsøger ventede tre uger med at kontakte Jyske Bank, idet den naturlige adfærd efter at have fået stjålet næsten en halv mil-lion kroner ville være at kontakte sin bank straks efter at være ble-vet opmærksom herpå; at Sagsøgers korrespondance med GreenFields Capital i perio-den fra den 9. marts 2018 til den 26. marts 2018, taler for, at der har været tale om en frivillig investeringsoverførsel foretaget af Sagsøger selv; og at Sagsøger tidligere har forklaret, at hun selv har foretaget overførslerne mens repræsentanter fra GreenFields Capital var med på hendes computer via TeamViewer. Såfremt retten mod forventning måtte finde, at Sagsøger ikke selv har foretaget de omtvistede overførsler, gør Jyske Bank (i) subsidiært gældende, at Sagsøger alligevel hæfter fuldt ud for beløbet, da Sagsøger indsigelse er indgivet for sent, jf.

§ 97, (ii) mere subsidiært gældende, at Sagsøger hæfter fuldt ud for beløbet, da Sagsøger med forsæt har oplyst sine Nem

ID-oplysninger til den, der har foretaget den uberettigede anvendelse, og at det er sket under omstæn-digheder, hvor Sagsøger indså eller burde have indset, at der var ri-siko for misbrug, jf.

§ 100, stk.

5, og (iii) mest subsidiært gældende, at Sagsøger hæfter for DKK 8.000, da Sagsøger enten har overgivet den personlige sikkerhedsforanstaltning med forsæt (uden at Sagsøger indså eller burde have indset, at der var risiko for misbrug, jf. § 100, stk. 5), eller Sagsøger ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, jf.

§ 100, stk.

4. 17 Retten skal på baggrund af ovenstående således for det første tage stil-ling til, hvorvidt Sagsøger selv har foretaget de i sagen omtvistede overførsler, idet Sagsøger i dette tilfælde selv hæfter fuldt ud, jf. be-talingslovens § 82 og modsætningsvis § 100, hvorefter hæftelsesreglerne i

§ 100alene finder anvendelse ved uautoriserede beta-linger.

Hvis retten ikke finder, at Sagsøger selv har foretaget over-førslerne, skal retten tage stilling til, hvorvidt Sagsøger hæfter efter

regler, som regulerer spørgsmålet om hæftelse i tilfælde af misbrug af betalingstjenester. 3. SAGEN FALDER UDEN FOR

ANVENDELSESOMRÅDE De for denne sag relevante bestemmelser i

regulerer den situation, hvor en person uberettiget har fået misbrugt en betalings-tjeneste, jf.

§ 82og § 100, som omhandler uautoriserede betalinger, dvs.

betalinger, hvor der ikke er givet samtykke. Jyske Bank gør principalt gældende, at Sagsøger selv har foretaget de to i sagen omtvistede overførsler, hvorfor sagen falder uden for

anvendelsesområde, og Sagsøger derfor selv hæfter fuldt ud for de omtvistede overførsler. Dette uddybes i dette afsnit

1. 3.1 Sagsøgers forklaring sammenholdt med NemID-nøglekortets karakteristika samt kendte metoder til svindel medfører, at overførslen umuligt kan være foretaget af andre end Sagsøger selv Sagsøger har anført, at hun ikke har videregivet sine NemID-oplys-ninger og/eller nøglekort og at hun ikke har haft noget med overførs-lerne at gøre eller kendskab til dem før efterfølgende (stævning, s. 6, vo-res understregning): "Sagsøger ved ikke hvordan Greenfields Capital/EVG Trading Ltd har fået adgang til hendes loginoplysninger og oplysningerne på hendes nøg-lekort og kan derfor ikke forklare hvordan misbruget fandt sted. Sagsøger kan blot konstatere, at hun ikke har videregivet sine Nem- ID-oplysninger og/eller nøglekort, men at de tilsyneladende alligevel blev benyttet til at iværksætte 2 store omtvistede overførsler fra hendes konto…" På tidspunktet for de omtvistede betalinger krævede login i Jyske Banks netbank anvendelse af NemID-loginoplysninger (et brugerid og en adgangskode). Ved første betaling/overførsel krævedes NemID-bru-gernavn og -adgangskode samt kode fra det fysiske nøglekort. Ved log- 18 in blev der samtidigt lagret en skjult sessionsnøgle i kundens browser, så der kunne foretages yderligere betalinger (udover første betaling) ved brug af NemID-brugernavn og -adgangskode samt den skjulte ses-sionsnøgle i samme "flow" (uden brug af en kode fra det fysiske nøgle-kort), jf. Bilag C. 3.1.1 NemID-nøglekortets karakteristika Det NemID-nøglekort, som er blevet anvendt i forbindelse med de omtvistede overførsler, er et fysisk papnøglekort. Det ligger dermed i selve nøglekortets karakteristika, at kortet kun kan misbruges, hvis indehave-ren selv medvirker til en overførsel enten ved selv at indtaste koderne eller ved at videregive koderne fra nøglekortet. Da Sagsøger ifølge hende selv ikke har videregivet koderne fra nøg-lekortet, kan de omtvistede overførsler ikke være foretaget af andre end Sagsøger selv. Der henvises i denne forbindelse til utrykt dom afsagt af Retten i Roskilde den
2. oktober 1987 i sag SS nr. 140/1987 B (sagen er trykt i Bryde Andersen: Edb-ret: lovgivning, retsafgørelser, kontrakter

regler om en banks hæftelse for overførsler foretaget fra en kundes konto kun vedrører den situation, hvor en kunde har fået misbrugt en betalingstjeneste og ikke den situation, hvor kunden selv har foretaget (autoriseret) en overførsel, jf.

§ 82

og modsætningsvis § 100, hvorefter hæftelsesreglerne i

§ 100alene finder an-vendelse ved uautoriserede betalinger.

4. FULD HÆFTELSE FOR Sagsøger INDEN FOR

ANVENDELSESOMRÅDE Hvis retten finder, at Sagsøger ikke selv har foretaget de omtvistede overførsler, falder sagen inden for

anvendelsesområde, da

§ 97

og § 100 regulerer den situation, hvor en person uberettiget har fået misbrugt en betalingstjeneste, dvs. f.eks. hvis andre end en NemID-indehaver har anvendt NemID-indehaverens NemID-kort og oplysninger, jf.

§ 82

. Hvis retten mod forventning finder, at Sagsøger ikke selv har foretaget de omtvistede overførsler, gør Jyske Bank (i) subsidiært gældende, at Sagsøger alligevel hæfter fuldt ud for beløbet, da Sagsøgers indsigelse er indgivet for sent, jf.

§ 97, (ii) mere subsidiært gældende, at Sagsøger hæfter fuldt ud for beløbet, da Sagsøger med forsæt har oplyst sine Nem

ID-oplysninger til den, der har 26 foretaget den uberettigede anvendelse, og at det er sket under omstændigheder, hvor Sagsøger indså eller burde have indset, at der var risiko for misbrug, jf.

§ 100, stk.

5, og (iii) mest subsidiært gældende, at Sagsøger hæfter for DKK 8.000, da Sagsøger enten har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, med forsæt (uden at Sagsøger indså eller burde have indset, at der var risiko for mis-brug, jf. § 100, stk. 5), eller Sagsøger ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, jf.

§ 100, stk.

4). Dette uddybes i det følgende. 4.1 Sagsøgers indsigelse er indgivet for sent og hun hæfter derfor for det fulde beløb De i sagen omtvistede overførsler blev foretaget den

1. marts 2018 og Sagsøger kontaktede først Jyske Bank den
2. marts 2018, altså tre uger efter overførslerne blev foretaget, og desuden 20 dage efter den
3. marts 2018, hvor hun ifølge eget udsagn fik kendskab til overførslerne, jf. Bilag 1 (s. 5) (det bemærkes vedrørende sidstnævnte, at det er Jyske Banks opfattelse, at Sagsøgers medvirken har været nødvendig for at foretage overførslerne, jf. afsnit 4.2-4.3 nedenfor, og Jyske Bank er der-for af den opfattelse, at Sagsøger fik kendskab til overførslerne alle-rede den
4. marts 2018). Jyske Bank gør på denne baggrund gældende, at Sagsøger har mistet sin ret til at gøre sin indsigelse om misbrug af NemID gældende, jf. be-talingslovens §
5. Det fremgår af

§ 97

, at indsigelser mod uautoriserede eller fejlbehæftede betalingstransaktioner skal være udbyderen i hænde, "snarest muligt " efter at betaleren har konstateret en sådan beta-lingstransaktion og senest 13 måneder efter debiteringen af den pågæl-dende betalingstransaktion. Jyske Bank gør gældende, at Sagsøger ved at vente 20 dage med at fremsætte sin indsigelse ikke har fremsat den "snarest muligt ". Der henvises i denne forbindelse til Forbrugerombudsmanden notat af 25. november 2014 om indsigelsesfristen for uautoriserede og fejlbehæf-tede betalingstransaktioner i

§ 97(opdateret 1.

januar 2018) (s. 7), hvoraf fremgår, at en indsigelse indgivet inden for 14 dage vil opfylde betingelsen om "snarest muligt ". Dette må efter Jyske Banks opfattelse siges at være en meget vid udstrækning af begrebet " snarest muligt ", og da Sagsøger end ikke indgav sin indsigelse inden for 14 27 dage, må indsigelsen efter

§ 97anses for at være indgi-vet for sent.

Det understreges desuden, at intet har forhindret Sagsøger i at tage kontakt til Jyske Bank i perioden på tre uger fra overførslerne blev fore-taget til Sagsøger faktisk tog kontakt til banken. Og på den anden side har Sagsøger ikke haft noget problem med at tage fat i GreenFi-elds Capital umiddelbart efter overførslen blev foretaget. Sagsøger anførte i stævningen (s. 6), at det ikke skulle have betyd-ning, at Sagsøger først rettede henvendelse til Jyske Bank den

1. marts 2018, da tidspunktet for henvendelsen alene kunne have haft be-tydning, hvis der var sket yderligere misbrug efter det tidspunkt, hvor Sagsøger fik kendskab til de to uberettigede overførsler. Dette bestrides, idet følgende fremgår af forarbejderne til betalingslo-vens § 97 (lovforslag nr. 157 af
2. marts 2017, FT 2016-17, tillæg A, s. 233, højre spalte, vores understregning): "Selvom der efter bestemmelsen gælder en frist på højest 13 måneder til at gøre indsigelser gældende, kan brugeren af betalingstjenester fortabe denne ret på et tidligere tidspunkt på grund af passivitet, eksempelvis, hvis brugeren ved at der er foretaget en uautoriseret eller fejlbehæftet transaktionen og underlader at underrette udbyderen herom."

§ 97

regulerer altså selve retten til at gøre indsigelser gældende og konsekvensen af bestemmelsen er dermed, at kunden hæfter for hele beløbet, hvis kunden ikke gør indsigelsen gældende "snarest muligt ". I tillæg hertil bemærkes det, at det er muligt, at Jyske Bank kunne have stoppet overførslerne, hvis Sagsøger havde kontaktet Jyske Bank snarest muligt efter, at overførslerne var blevet foretaget, jf. afsnit 3.2.4 ovenfor. Det er således ikke, heller ikke rent faktuelt, uden betydning, at Sagsøger ventede tre uger med at kontakte banken. Jyske Bank gør på baggrund af ovenstående gældende, at Sagsøger har mistet sin ret til at gøre sin indsigelse gældende, jf.

§ 97

. 4.2 Sagsøger hæfter for det fulde beløb i henhold til

§ 100, stk.

5 28 Hvis retten mod forventning finder, at Sagsøger har indgivet sin ind-sigelse rettidigt, gør Jyske Bank mere subsidiært gældende, at Sagsøger hæfter ubegrænset for de omtvistede overførsler, jf. betalingslo-vens § 100, stk. 5.

§ 100, stk.

5 er sålydende: "Betaleren hæfter uden beløbsbegrænsning for tab, der opstår som følge af andres uberettigede anvendelse af betalingstjenesten, når den til beta-lingstjenesten hørende personlige sikkerhedsforanstaltning har været an-vendt og betalerens udbyder godtgør, at betaleren med forsæt har oplyst den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, og at det er sket under omstændigheder, hvor betaleren indså eller burde have indset, at der var risiko for misbrug." Den første betingelse for bestemmelsens anvendelse er, at den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt. Det fremgår af

§ 7, nr.

31, at en personlig sikkerhedsforanstaltning er "[p]ersonaliserede elementer, som udbyderen stiller til rådighed for brugeren med henblik på at foretage autentifika-tion" og det fremgår direkte af forarbejderne til § 7, nr. 31, at NemID er et eksempel på en personlig sikkerhedsforanstaltning (lovforslag nr. 157 af 15. marts 2017, FT 2016-17, tillæg A, s. 106, højre spalte). Det fremgår af Bilag 1, at NemID er blevet anvendt til at godkende overførslerne, og betingelsen er dermed opfyldt. Den anden betingelse for anvendelsen af

§ 100, stk.

5 er, at Sagsøger med forsæt har oplyst den personlige sikkerhedsfor-anstaltning til den, der har foretaget den uberettigede anvendelse. Som nævnt i afsnit 3.1 medfører selve NemID-nøglekortets karakteristika som et fysisk papnøglekort, at kortet kun kan misbruges af andre, hvis indehaveren selv medvirker ved at videregive nøglerne fra nøglekortet. Som nævnt samme sted kræver alle kendte metoder til at begå svindel med NemID, at kunden foretager en fysisk handling. Det bemærkes i denne forbindelse, at det ikke (som ved fysisk kortbetaling) er muligt at "aflure" NemID-nøglekortoplysninger, som ifølge Sagsøger skulle være tilfældet, jf. stævningen (s. 6). NemID's nøglekort-koder er således engangskoder, som er ubrugelige, når de først er brugt én gang, og svindel med NemID fordrer således adgang til nøglekortet. I nærværende sag har repræsentanterne fra GreenFields Capital alene haft telefonisk og digital kontakt med Sagsøger, ligesom det på intet tidspunkt er konstateret, at nøglekortet har været væk. 29 Repræsentanterne fra GreenFields Capital kan på denne baggrund ikke have fået oplysningerne fra Sagsøgers NemID-nøglekort på anden måde, end at Sagsøger forsætligt har overgivet dette til dem (hvis retten altså finder, at det ikke er Sagsøger selv, som har foretaget overførslerne, jf. afsnit 3 ovenfor). Betingelsen er dermed opfyldt. Den tredje betingelse for anvendelsen af

§ 100, stk.

5 er, at overgivelsen er sket under omstændigheder, hvor Sagsøger indså eller burde have indset, at der var risiko for misbrug. På det tidspunkt, hvor overførslerne blev foretaget, havde Sagsøger kort forinden overført EUR 2.000 som "forsikring" for at få tilbagebetalt sine penge, jf. stævningen (s. 2). Hun må eller burde derfor på dette tidspunkt have indset risikoen for, at svindlerne misbrugte NemID-op-lysningerne, når hun overgav oplysningerne til dem, idet hun var villig til at overføre EUR 4.000 - næsten DKK 30.000 - og rent faktisk overførte EUR 2.000 – DKK 15.000 - som "forsikring" for at komme ud af et enga-gement. Vedrørende det forhold, at Sagsøger efterfølgende igen foretog over-førsler (de omtvistede overførsler), selv om hun havde betalt for at komme ud af engagementet, henvises til at Sagsøger ifølge eget ud-sagt havde været utryg ved GreenFields Capital allerede i december 2017 og af den grund fik spærret sit Dankort, jf. Sagsøgers klage ved Det Finansielle Ankenævn (Bilag H, s. 2), men herefter fortsatte kontak-ten med og overførslerne til selskabet i flere måneder. Det bemærkes, at Sagsøger i sagen ændrede forklaring og anførte, at "forsikringen" på EUR 2.000 blev betalt for at der kunne udbetales bonus og ikke for at tidligere indbetalte beløb skulle tilbagebetales, jf. replikken (s. 3). Uanset om dette skulle være tilfældet, gør Jyske Bank gældende, at Sagsøger indså eller burde have indset risikoen for, at svindlerne mis-brugte NemIDoplysningerne, når hun overgav oplysningerne til dem. Der henvises i den forbindelse til længden på den periode, som Sagsøger har haft kontakt til GreenFields Capital (tre måneder) samt at Sagsøger ifølge eget udsagn havde været utryg ved GreenFields Capital allerede i december 2017 og af den grund fik spærret sit Dankort, jf. Sagsøgers klage ved Det Finansielle Ankenævn (Bilag H, s. 2 (men her-efter altså fortsatte kontakten med og overførslerne til selskabet i flere måneder)). 30 I tillæg til ovenstående bemærker Jyske Bank, at det er en betingelse for, at Sagsøger hæfter efter § 100, stk. 5 (og desuden stk. 4, jf. nedenfor), at transaktionen er korrekt registreret og bogført, jf.

§ 100, stk.

1,

1. pkt. Jyske Bank gør gældende, at denne betingelse er op-fyldt og dokumenteret ved udskrifterne af Jyske Banks elektroniske re-gistreringer i betalingssystemet af overførslerne, jf. Bilag
2. Dette er i øvrigt ubestridt af Sagsøger. Jyske Bank gør på baggrund af ovenstående gældende, at samtlige betingelser for at anvende

§ 100, stk.

5, er opfyldt og at Sagsøger derfor hæfter ubegrænset for det tab, som er opstået på baggrund af de to omtvistede overførsler. Jyske Bank skal derfor frifin-des for den af Sagsøger nedlagte påstand. 4.3 Sagsøger hæfter for DKK 8.000 efter

§ 100, stk.

4 Såfremt retten mod forventning måtte finde, at Sagsøger ikke hæfter ubegrænset, jf.

§ 100, stk.

5, gør Jyske Bank mest subsi-diært gældende, at Sagsøger hæfter for DKK 8.000 af det omtvistede beløb, jf.

§ 100, stk.

4, nr. 2 eller 3, da den til betalings-tjenesten hørende personlige sikkerhedsforanstaltning har været an-vendt, jf. afsnit 4.2 ovenfor, samt da Sagsøger enten har overgivet den personlige sikkerhedsforanstaltning med forsæt, jf. afsnit 4.2 oven-for (uden at Sagsøger indså eller burde have indset, at der var risiko for misbrug, jf. stk. 5), eller Sagsøger ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse. Der henvises i det hele til argumentationen nævnt i afsnit 4.2 ovenfor. 4.4

§ 100, stk.

8 finder ikke anvendelse Jyske Bank bemærker afslutningsvis vedrørende

§ 100, stk.

4 og 5, at Sagsøger i stævningen (s. 6) gør gældende, at betalings-lovens § 100, stk. 8 finder anvendelse, hvorefter Sagsøger ikke hæf-ter, hvis tabet, tyveriet eller den uberettigede tilegnelse af det til beta-lingstjenesten hørende betalingsinstrument ikke kunne opdages af Sagsøger forud for den uberettigede anvendelse. Dette bestrides med henvisning til det i afsnit 3.1, 4.1 og 4.2 anførte, hvorefter det ikke er muligt, at den uberettigede tilegnelse ikke kunne opdages af Sagsøger, idet hun selv er nødt til at have været medvirkende til at over-give sine NemID-oplysninger. Jyske Bank gør på denne baggrund gæl-dende, at

§ 100, stk.

8, ikke finder anvendelse. 31 4.5 Jyske Bank har anvendt stærk kundeautentifikation og hæfter derfor ikke Sagsøger gør gældende, at Jyske Bank hæfter som følge af, at Jyske Bank ikke har anvendt stærk kundeautentifikation ved overførslerne, jf.

§ 100, stk.

7 og stævningen (s. 4-5). Jyske Bank gør heroverfor gældende, at Jyske Bank har anvendt stærk kundeautentifika-tion. Det fremgår af

§ 100, stk.

7, at betalingsudbyderen hæf-ter, såfremt denne ikke har krævet stærk kundeautentifikation. Bestem-melsen skal ifølge forarbejderne (lovforslag nr. 157 af 15. marts 2017, FT 2016-17, tillæg A, s. 239, venstre spalte) læses i sammenhæng med beta-lingslovens § 128, som fastslår, at der altid skal anvendes stærk kun-deautentifikation ved iværksættelsen af en elektronisk betaling (det be-mærkes, at § 128 i lovforslaget som fremsat var foreslået som § 127). Som nævnt i afsnit 2.1 vedrørende sagens hændelsesforløb, blev den første af de to omtvistede overførsler (overførslen på EUR 50.000) gen-nemført ved anvendelse af NemID-login ved indtastning af både bru-gernavn og kodeord samt en kode fra nøglekortet, ligesom der blev ud-stedt en skjult sessionsnøgle, mens den anden transaktion på EUR 9.800 blev gennemført ved indtastning af NemID-brugernavn og -kodeord samt anvendelse af den netop forinden udstedte sessionsnøgle, da over-førslerne blev foretaget i samme "flow".

§ 7, nr.

30 definerer stærk kundeautentifikation som en autentifikation, som er baseret på anvendelsen af to eller flere elementer ("to faktor-godkendelse"), der er karakteriseret som viden, besiddelse og iboende egenskab, der er uafhængige, så brud på et element ikke svækker pålideligheden af de andre elementer, og er designet på en sådan måde, at fortroligheden af autentifikationsdata beskyttes. Det fremgår af forarbejderne til § 7, nr. 30 (lovforslag nr. 157 af

1. marts 2017, FT 2016-17, tillæg A, s. 106, højre spalte), at viden er karakteriseret som noget, som kun brugeren ved (f.eks. et kodeord) og at besiddelse er karakteriseret som noget, som kun brugeren besidder (f.eks. en NemID-engangskode). Det fremgår desuden direkte af forarbejderne til § 128 (lovforslag nr. 157 af
2. marts 2017, FT 2016-17, tillæg A, s. 275, højre spalte), at anvendelse af NemID til at gennemføre en kontoover-førsel fra netbank er et eksempel på stærk kundeautentifikation. Jyske Bank gør på denne baggrund gældende, at der er anvendt stærk kundeautentifikation ved overførslerne. 32 Dette gælder begge overførsler, idet NemID brugernavn og kodeord (videnselement) og NemID-nøglekortkoden (besiddelseselement) ud-gjorde de to faktorer ved den første overførsel (EUR 50.000) mens Ne-mID brugernavn og kodeord (videns-element) og NemID-sessionsnøg-len (besiddelseselement) udgjorde de to faktorer ved den anden over-førsel (EUR 9.800), jf. også beskrivelsen heraf i Bilag C. Begge overførs-ler levede dermed op til kravet om to faktor-godkendelse. Sagsøger gør gældende, at kravet om stærk kundeautentifikation ikke skulle være opfyldt som følge af, at Sagsøger ikke modtog en SMS-kode ved godkendelsen af betalingen, jf. stævningen (s. 5). Dette er i nærværende sag uden betydning for, om kravet om stærk kundeautentifikation er opfyldt, idet betalingerne er gennemført ved brug af NemID og allerede derfor opfylder kravet om stærk kundeau-tentifikation (to faktor-godkendelse). SMS-koden kunne udgøre den ene faktor i en to faktor-godkendelse, f.eks. ved online kortbetaling, hvor kortoplysningerne i så fald ville ud-gøre den anden faktor, men i nærværende sag er to faktor-godkendel-sen opfyldt allerede som følge af brug af NemID-loginoplysninger (bru-gernavn og kodeord) samt engangskoden fra NemID-nøglekortet hen-holdsvis den skjulte sessionsnøgle. Jyske Bank gør på baggrund af ovenstående gældende, at Jyske Bank har anvendt stærk kundeautentifikation ved overførslerne. 4.5.1 Jyske Banks undertrykkelsesfunktion (Bilag 7) har ingen relevans for sagen Sagsøger anførte i replikken (s. 11-12), at Bilag 7, som er en redegø-relse fra Finanstilsynet vedrørende Jyske Banks såkaldte undertrykkel-sesfunktion (funktionen forklares umiddelbart nedenfor), skulle tjene som bevis for, at Jyske Bank ikke har anvendt stærk kundeautentifika-tion. Jyske Bank bestrider, at dette skulle være tilfældet. Jyske Banks undertrykkelsesfunktion nævnt i Bilag 7 er en funktionali-tet, der bruges til at undertrykke alarmer på kunder, der anvender ban-ken på en for dem naturlig og legal måde, men hvis transaktioner dan-ner alarmer i bankens overvågningsscenarier. De alarmer, som dannes i bankens kontantovervågningsscenarier ved sådanne kunders kontan-tindsættelser, kan undertrykkes i en kortere periode, således at de ikke skal undersøges manuelt af en medarbejder. 33 Bankens overvågningssystem fungerer på den vis, at det screener kun-dernes transaktioner efter, at transaktionerne er foretaget og gennem-ført. De alarmer, der dannes i overvågningssystemet, har Jyske Bank via sin undertrykkelsesfunktion mulighed for at undgå at få ud til manuel behandling. Funktionen anvendes på de kunder, som banken har et dybdegående kendskab til, men hvis forretningsmodel for eksempel indebærer regelmæssige større kontantindsættelser, eksempelvis fra den daglige om-sætning i et større supermarked. Den overvågning, som undertrykkel-sesfunktionen angår, er således en efterfølgende overvågning og har in-gen betydning i nærværende sag. Jyske Bank kan i øvrigt oplyse, at undertrykkelsesfunktionen nævnt i Bilag 7 aldrig har været anvendt på en overførsel foretaget af Sagsøger, og at systemet dermed ikke har undertrykt nogen alarmer vedrø-rende overførsler foretaget af Sagsøger. Finanstilsynets redegørelse - og den overvågningsfunktion, som det vedrører - har således ingen relevans i nærværende retssag, og Jyske Bank gør på denne baggrund gældende, at Bilag 7 ikke har noget som helst at gøre med Jyske Banks forpligtelse til at anvende stærk kundeautentifikation.
3. BEVISBYRDE 5.1 Sagsøger har bevisbyrden for, at der er sket uberettiget brug, jf.

§ 98

Jyske Bank gør gældende, at Sagsøger har bevisbyrden for, at hun ikke selv har foretaget de omtvistede overførsler, jf.

§ 98

.

§ 98

er sålydende (vores understregning): "Hvor en betaler nægter at have autoriseret eller iværksat en betalingstransaktion, har udbyderen af betalingstjenesten bevisbyrden for, at betalingstransaktionen er korrekt registreret og bogført og ikke er ramt af tekniske svigt eller andre fejl, jf. dog stk.

1. Ved brug af et betalingsinstrument har udbyderen endvidere bevisbyrden for, at den til betalingsinstrumentet hørende personlige sikkerhedsforanstaltning er blevet anvendt i forbindelse med betalingstransaktionen. 34 Stk.
2. Hvor en betaler nægter at have autoriseret eller iværksat en beta-lingstransaktion, er registrering af brug af betalingsinstrumentet ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser."

§ 98, stk.

1, bestemmer således vedrørende bevisbyr-den for, at

§ 97

og § 100 om misbrug af betalingstjene-ster finder anvendelse, at hvor en betaler nægter at have autoriseret el-ler iværksat en betalingstransaktion, har udbyderen af betalingstjene-sten (dvs. Jyske Bank) bevisbyrden for, at betalingstransaktionen er kor-rekt registreret og bogført og ikke er ramt af tekniske svigt eller andre fejl. Jyske Bank gør gældende, at Jyske Bank har løftet denne bevisbyrde ved udskrifterne af Jyske Banks elektroniske registreringer i betalings-systemet af overførslerne, jf. Bilag 1. Det bemærkes i øvrigt, at det ikke bestrides af Sagsøger, at transaktionerne er korrekt registreret og bogført.

§ 98, stk. 2 bestemmer, at hvis Jyske Bank har løftet sin bevisbyrde efter stk. 1, er selve registreringen af, at Nem

ID'et er blevet brugt ikke i sig selv bevis for, at Sagsøger har godkendt transaktio-nen, handlet svigagtigt, eller har undladt at opfylde sine forpligtelser.

§ 98, stk.

2, bestemmer dermed alene, at det forhold, at Jyske Bank har løftet sin bevisbyrde vedrørende korrekt registrering i stk. 1, ikke automatisk medfører, at Sagsøger skal anses for at have foretaget de to omtvistede overførsler. Bestemmelsen siger imidlertid ikke herudover noget om bevisbedøm-melsen, som må foretages på baggrund af sagens omstændigheder i øv-rigt, jf. bestemmelsens forarbejder (lovforslag nr. 157 af 15. marts 2017, FT 2016-17, tillæg A, s. 234, højre spalte, vores understregning): "Denne bestemmelse finder ifølge sin ordlyd kun anvendelse på betalingsinstrumenter og fastslår, at selve brugen af et betalingsinstrument ikke kan betragtes som bevis for de forhold, der er beskrevet i bestemmel-sen. Brug af et betalingsinstrument kan derimod godt indgå . som et led i bevisbedømmelsen i en sag, hvor det skal vurderes, om betaleren har handlet svigagtigt. Bestemmelsen indfører herudover ikke regler for bevisbedømmelsen. Hvis en bruger af betalingstjenester bestrider at have brugt et betalingskort, uanset at udbyderen kan bevise, at kortet og den til kortet hørende per- 35 sonlige sikkerhedsforanstaltninger har været anvendt i forbindelse med betalingstransaktionen, vil det derfor være op til det relevante ankenævn, eksempelvis pengeinsti-tutankenævnet eller teleankenævnet, eller domstolene at tage stilling til, om brugen af kortet kan anses for foretaget af brugeren på baggrund af sagens omstændigheder." Som det fremgår af forarbejderne til bestemmelsen, indfører § 98, stk. 2 ikke regler for bevisbedømmelsen, udover at registrering af brug af betalingstjenesten ikke i sig selv er bevis for, at betaleren har godkendt transaktionen. Jyske Bank gør netop gældende, at Sagsøger selv har foretaget over-førslen med henvisning til brugen af NemID, herunder NemID's karak-teristika, sammenholdt med sagens øvrige omstændigheder, herunder Sagsøgers egen forklaring om, at hun ikke har videregivet sine Ne-mID-oplysning og/eller nøglekort og i øvrigt ikke ved, hvad der er sket, samt sagens øvrige faktiske forhold, som tilsiger, at Sagsøger selv har foretaget betalingerne. Jyske Bank har således netop fremført yder-ligere forhold end kun det forhold, at betalingstjenesten er blevet brugt, og alle disse forhold tilsiger, at Sagsøger selv har foretaget betalin-gen. Herudover gælder de almindelige bevisbyrderegler, hvorefter der ved vurderingen af bevisbyrden tages hensyn til, dels hvilken part, der havde den letteste og naturligste adgang til at sikre sig beviset, og dels at den part, der påstår noget usædvanligt i forhold til sædvanlige aftale-og kontraktvilkår, må bevise det, jf. Gomard og Kistrup: Civilprocessen

§ 98

er formuleret, som den er; at banken kun har bevisbyrden for, at overførslen er korrekt re-gistreret og bogført og ikke er ramt af tekniske svigt eller andre fejl). Jyske Bank gør desuden gældende, at Sagsøger påstår noget usæd-vanligt, idet sagens faktiske forhold tilsiger, at hun selv har foretaget overførslerne, jf. afsnit 3.1 og 3.2 ovenfor. 36 I tillæg hertil henvises til dom afsagt af Københavns Byrets den

1. november 2013, der vedrører den tidligere bestemmelse i § 62 i lov om betalingstjenester og elektroniske penge, som svarer til § 100 i betalingsloven (s. 16, vores understregning): "Efter vidnet, M's, forklaring på baggrund af listen over transaktioner foretaget på sagsøgers MasterCard i perioden
2. september 2011 til den
3. september 2011 lægger retten til grund, at de omtvistede transaktioner på i alt 98.912,12 kr. er sket under anvendelse af MasterCardets chip og korrekt PIN-kode. Det påhviler herefter sagsøger at påvise, at der forelå en uberettiget anvendelse af betalingskortet, jf. § 62 i lov om betalingstjenester og elektroniske penge." Sagsøger var i sagen en bankkunde, der gjorde gældende, at han var blevet udsat for misbrug af sit MasterCard, ligesom Sagsøger gør gældende vedrørende NemID i nærværende sag. Retten fandt, at Ma-sterCardets chip og korrekt PIN-kode var blevet anvendt, og at det her-efter påhvilede kortindehaveren at føre bevis for, at der havde fundet misbrug sted. Der henvises i denne forbindelse desuden til Jan Trza-skowski m.fl.: Internetretten

§ 100, stk.

1, 2. pkt., jf. § 98, stk. 1, påhviler det betaleren [Sagsøger] at bevise – som betin-gelse for anvendelse af ansvars- og tabsbegrænsningsreglerne i § 100 – at der har fundet “uberettiget anvendelse” af betalingsinstrumentet sted. Har betaleren selv – eller nogen med hans bemyndigelse – initieret den debiterede transaktion, hæfter betaleren fuldt ud, jf. ovenfor." Mine tilfø-jelser i "[ ]". Jyske Bank gør på baggrund af ovenstående gældende, at Sagsøger har bevisbyrden for, at der har fundet misbrug sted, samt at Sagsøger på baggrund af det i afsnit 3 anførte ikke har løftet denne bevis-byrde. På denne baggrund finder hæftelsesreglerne i

§ 100

ikke anvendelse, hvorfor Jyske Bank som nævnt ikke kan hæfte for de overførte beløb og derfor skal frifindes for den af Sagsøger ned-lagte påstand. 5.2 Sagsøgers bemærkninger vedrørende Jyske Banks ageren er ikke korrekte og i øvrigt uden relevans for sagen 37 Sagsøger betvivlede både i replikken (s. 4 og 9-10) og i sit afsluttende processkrift (s. 3) Jyske Banks behjælpelighed i forbindelse med at få de i sagen omtvistede beløb tilbage til Sagsøger, ligesom Sagsøger i replikken (s. 4) anførte, at Jyske Bank har rådgivet Sagsøger til at få renset sin computer og at Jyske Bank dermed har "medvirket til at fjerne yderligere dokumentation af hændelsesforløbet og hvorledes svindlen fra Green-fields Capital er foregået". Hertil bemærker Jyske Bank indledende, at Jyske Bank ikke kan se disse bemærkningers relevans for sagens substans, men det synes ifølge Sagsøger at relatere sig til bevisbyrden, idet Sagsøger altså har an-ført, at Jyske Banks ageren skulle have ført til, at visse beviser i sagen ikke eksisterer. Jyske Bank vil derfor nedenfor kort redegøre for Jyske Banks ageren i sagen, idet det bestrides at Jyske Bank ikke har været be-hjælpelige, ligesom det bestrides, at der skulle være beviser i sagen, som ikke eksisterer, idet Sagsøger ikke har redegjort for hvilke bevi-ser, der skulle være at finde på hendes computer, som er blevet fjernet ved rensningen af Sagsøgers computer. Herudover bestrides det - for det tilfælde, at der skulle være beviser, som ikke eksisterer − at det skyldes forhold, som kan tilskrives Jyske Bank, at sådanne beviser ikke eksisterer. Vedrørende Jyske Banks behjælpelighed har Jyske Bank foretaget alle de skridt, som Jyske Bank kunne for at få de omtvistede beløb tilbage. Der henvises til, at Jyske Bank allerede fra den

1. marts 2018 (altså da-gen efter Sagsøger henvendte sig til banken) via SWIFT-meddelelser til forbindelsesbanken Deutsche Bank har haft forbindelse til modtager-banken DBS Bank i Hong Kong, og anmodet om, at overførslerne tilba-gekaldes, jf. Bilag F. Herudover har Jyske Bank haft adskillige samtaler med Sagsøger fra hun henvendte sig den
2. marts 2018 frem til
3. december 2018, hvor banken på forskellig vis har forsøgt at hjælpe Sagsøger, jf. i det hele Bilag
4. Jyske Bank bemærker i denne henseende i øvrigt, at Sagsøger selv har forværret mulighederne for, at Jyske Bank ved sine henvendelser til Deutsche Bank og DBS Bank kunne få pengene tilbageført, idet Sagsøger først henvendte sig til Jyske Bank tre uger efter overførslerne var foretaget, jf. afsnit 3.2.4 ovenfor. Vedrørende spørgsmålet om rensning af Sagsøgers computer be-mærker Jyske Bank, at såfremt en kunde har været i kontakt med for-modede kriminelle og potentielt har givet dem adgang til sin computer (f.eks. via TeamViewer, som Sagsøger indledende oplyste til banken var tilfældet) eller til at installere programmer eller såfremt der er mi-stanke herom, så er det best practice – og helt logisk – at anbefale, at 38 kunden sikrer, at der ikke er uvedkommende, der (fortsat) har uret-mæssig adgang til de relevante enheder, før de anvendes igen. Dette henset til, at der ellers er risiko for, at denne adgang kan misbruges. Jyske Bank oplyser i den forbindelse kunden om, at kunden skal have enhederne renset eller nulstillet/formateret men først efter, at kunden har spurgt myndighederne, om de ønsker at undersøge for eventuelle beviser. Alternativt kan man helt undlade at anvende enhederne og sikre dem som beviser. Hvilken løsning kunden vælger, er helt op til kunden og ikke noget, Jy-ske Bank blander sig i, men det er vigtigt, at kunden er opmærksom på, at det er noget, som kunden skal forholde sig til som en del af at ”standse ulykken” . Det er denne besked, Sagsøger har fået, idet hun ved henvendelsen til banken oplyste, at der har været en eller flere per-soner med på hendes computer for at hjælpe hende med at investere. Herudover bemærker Jyske Bank i øvrigt vedrørende hændelsesforlø-bet og rensning af Sagsøgers computer, at Sagsøger henvendte sig første gang til Jyske Bank den
5. marts 2018, hvor hun blev anbefalet politianmeldelse (Bilag 4, side 5). Sagsøger kontaktede Jyske Bank igen den
6. april 2018, da hun var blevet kontaktet af svindlerne igen (mellem den
7. marts 2018 og
8. april 2018) og havde fået oplyst, at hun kunne få ført EUR 40.000 til-bage, hvis Sagsøger lod svindlerne være med på TeamViewer (hvil-ket er baggrunden for, at Sagsøger blev anbefalet at rense sine enhe-der). Sagsøger blev således henvist til politiet en uge forinden hun var ble-vet anbefalet at rense sin computer, og politiet kunne have oplyst Sagsøger om, at hun skulle vente med at rense sine enheder. Herudover fremgår det af Bilag 4 (s. 1-2), at Sagsøger først oplyste til Jyske Bank, at hun havde været til teknikker og fået skiftet sin harddisk den
9. december 2018, altså længe efter hun både havde været hos banken og politiet (og i øvrigt advokat, som også kunne have oplyst hende om at sikre eventuelle beviser, og som hun henvendte sig til før den
10. april 2018, jf. Bilag 4 (s. 4)). Det er altså tvivlsomt, om Sagsøger overhovedet har fået renset sin computer før længe efter Jyske Bank anbefalede at rense hendes computer og på et tidspunkt, hvor både politi og advokat kunne have sikret beviser. 39 I forlængelse heraf bemærker Jyske Bank, at Sagsøger ved kontakten til banken den
11. december 2018 oplyste, at hun havde haft sin compu-ter inde hos en teknikker, der havde skiftet harddisken. Jyske Bank un-drer sig over, at teknikeren i så fald ikke tog kopi af harddisken eller at Sagsøger ikke stadig har den tidligere harddisk, som blev skiftet ud. Jyske Bank har i duplikken (s. 6) ved opfordring (f) forsøgt at få Sagsøger til at redegøre for og dokumentere, hvornår hun har fået renset sin computer. Sagsøger har ikke besvaret denne opfordring, men i processkrift 1 (s. 4) blot anført, at "Sagsøger fik som anført ovenfor renset sin computer umiddelbart efter svindlen eller i hvert fald kort tid derefter. " Jy-ske Bank anser hverken opfordringen for besvaret eller udsagnet for dokumenteret og gør gældende, at retten dermed kan lægge til grund, at Sagsøger først fik renset sin computer på et senere tidspunkt om-kring den
12. december 2018, jf. bilag 4 (s. 1-2), og altså længe efter, at hun havde været hos banken og desuden på et tidspunkt, hvor hun havde været ved både politi og advokat, som kunne have sikret eventu-elle beviser (såfremt sådanne måtte eksisterer, hvilket Jyske Bank altså også bestrider, jf. indledningen til nærværende afsnit 5.2). Jyske Bank bemærker og understreger dog, at det fortsat ikke fremgår af Sagsøgers processkrifter, hvilken betydning dette skulle have for den retlige bedømmelse af sagen. …” Rettens begrundelse og resultat Sagsøger har gjort gældende, at to udenlandske transaktioner fra hendes konto i Jyske Bank foretaget den
13. marts 2018 kl. 16.23.31 og kl. 16.30.05 på henholdsvis 50.000 euro og 9.800 euro til EVG Trading Limited ikke er auto-riseret af hende, og at Jyske Bank A/S derfor hæfter for det tab, hun har lidt som følge af tredjemands uberettigede overførsel af beløbene, jf.

§ 100

. Af

§ 82, stk.

1, fremgår, at en betalingstransaktion kun er autori-seret, hvis betaleren har meddelt samtykke til at gennemføre transaktionen. En betalingstransaktion anses for uautoriseret, hvis der ikke er meddelt samtykke. Det fremgår at

§ 98, stk.

1, at hvis en betaler nægter at have autoriseret eller iværksat en betalingstransaktion, har udbyderen af betalingstje-nesten bevisbyrden for, at betalingstransaktionen er korrekt registreret og bogført og ikke er ramt af tekniske svigt eller andre fejl, jf. dog stk.

1. Ved brug af et betalingsinstrument har udbyderen endvidere bevisbyrden for, at den til betalingsinstrumentet hørende personlige sikkerhedsforanstaltning er blevet anvendt i forbindelse med betalingstransaktionen. Registrering af brug 40 af betalingsinstrumentet er efter bestemmelsens stk. 2, ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser. På baggrund af de fremlagte udskrifter fra Jyske Banks elektroniske registrerin-ger af transaktionerne lægger retten til grund, at betalingstransaktionerne er korrekt registreret og ikke er ramt af tekniske svigt eller andre fejl. Retten lægger efter logoplysningerne, der er understøttet af forklaringen fra Vidne 2, videre til grund, at der i forbindelse med de to transaktioner er anvendt 2-faktor godkendelse, idet der ved transaktionen foretaget kl. 16.23.31 er anvendt en adgangskode og en nøgle fra et nøglekort eller en kode-viser, og at der inden for samme session er anvendt en adgangskode til transak-tionen kl. 16.30.
2. Sagsøger har forklaret, at hun ikke har anvendt sit NemID i for-bindelse med de to overførsler, og at hun ikke har videregivet oplysningerne fra sit nøglekort. Hun har videre forklaret, at medarbejderen fra Greenfields Capi-tal ikke var med på TeamViewer, da overførslerne blev foretaget. Det kan lægges til grund, at Sagsøger på trods af sin intention om alene at investere 135.000 kr. over en periode fra den
3. december 2017 til den
4. marts 2018 umiddelbart op til de to omtvistede overførsler har foretaget 11 ind-betalinger og samlet investeret for ca. 212.000 kr. Hun har erkendt, at hun den
5. marts 2018 – kort forinden de omtvistede overførsler – to gange overførte 1.000 euro, uagtet at hun ønskede at afslutte arrangementet. De to overførsler på 1.000 euro er foretaget fra samme IP-adresse og med de samme oplysninger om anvendt styresystem, browser, teleselskab og geografisk lokation i Danmark, som de to omtvistede overførsler. På den baggrund og sammenholdt med Sagsøgers forklaring om karakteren af telefonsamtalerne med medarbejderen fra Greenfields Capital den
6. marts 2018 og indholdet af den efterfølgende mailkorrespondance, at hun ikke før den
7. marts 2018 henvendte sig til Jyske Bank og oplyste, at der var tale om uautoriserede overførelser, samt forklaringen fra Vidne 1 om hans notater i Jyske Banks system fra samtalen med Sagsøger, lægger retten til grund, at betalingerne er sket med Sagsøgers medvirken og samtykke. Det er herefter ikke godtgjort, at der er tale om uautoriserede overførsler. Den omstændighed, at Sagsøger meget sikkert har forklaret, at hun ikke har godkendt de to transaktioner med sit NemID, at hun efterfølgende har underskrevet en tro- og love erklæring, og at hun formentlig er blevet mani-puleret til at foretage overførelserne, kan ikke føre til et andet resultat. 41 Da hæftelsesreglerne i

§ 100

alene finder anvendelse på uautoriserede betalinger, tager retten derfor Jyske Banks påstand om frifindelse til følge. Sagsøger har tabt sagen og skal betale sagsomkostninger til Jyske Bank A/S. På baggrund af sagens værdi, omfang og forløb fastsættes sagens omkostninger til 50.000 kr. Beløbet, der er til dækning af Jyske Bank A/S’ udgifter til advokat-bistand, er uden moms, da det er oplyst, at Jyske Bank A/S er momsregistreret. THI KENDES FOR RET: Jyske Bank A/S frifindes. Sagsøger skal til Jyske Bank A/S betale sagsomkostninger med 50.000 kr. Sagsomkostningerne skal betales inden 14 dage og forrentes efter rentelovens § 8 a.