# HvJ-EU versterkt rechten van phishing-slachtoffers > HvJ-EU C-70/25. Arrest van 15-10-2026. HvJ-EU versterkt phishing-slachtoffers bij niet-geautoriseerde overboekingen. Source: https://www.mtrlegal.com/nl/hvj-eu-versterkt-rechten-van-phishing-slachtoffers/ · Language: nl · Updated: 2026-10-23 --- Het Hof van Justitie van de Europese Unie (HvJ) versterkt de rechten van bankklanten na phishingaanvallen aanzienlijk. Met arrest van 15 oktober 2026 (zaaknr. C-70/25) heeft het duidelijk gemaakt dat banken of andere betaaldienstverleners de terugbetaling van niet-geautoriseerde betalingstransacties niet mogen weigeren met als motivering dat de klant de fraude door grove nalatigheid mogelijk heeft gemaakt. Voor gedupeerden betekent dit een beslissende verbetering van hun rechtspositie: de bank moet in beginsel eerst terugbetalen. Of de klant de ontstane schade uiteindelijk zelf moet dragen, is een daarvan gescheiden vraag. ## Phishing via een vervalste banksite Aan de beslissing van het HvJ in zaak C-70/25 lag een typische phishingzaak ten grondslag. Een klant van een Poolse bank bood op een online verkoopplatform een artikel te koop aan. Een vermeende geïnteresseerde koper stuurde haar een link die de indruk wekte afkomstig te zijn van het verkoopplatform en bedoeld te zijn ter bevestiging van de verkoop. In werkelijkheid leidde de link naar een frauduleuze website die was nagebootst naar de website van haar bank. De klant voerde op de frauduleuze website haar toegangsgegevens voor internetbankieren in. De fraudeurs konden deze gegevens vervolgens gebruiken om geld van de rekening van de klant naar een eigen rekening over te boeken. ## Bank weigert terugbetaling De klant meldde het voorval al de volgende dag bij haar bank. Deze weigerde echter terugbetaling met als motivering dat de klant de niet-geautoriseerde betalingstransactie door grove nalatigheid mogelijk had gemaakt, doordat zij haar gepersonaliseerde veiligheidskenmerken onvoldoende had beschermd. **Mocht de bank de onmiddellijke terugbetaling weigeren?** De verwijzende Poolse rechter wilde van het HvJ weten of een betaaldienstverlener de terugbetaling van een niet-geautoriseerde betalingstransactie om deze reden mag weigeren. Het HvJ beantwoordde deze vraag ontkennend. Grove nalatigheid van de klant geeft de bank niet het recht om de terugbetaling te weigeren die volgens het Unierecht in beginsel onmiddellijk verschuldigd is. De vraag wie het financiële verlies definitief moet dragen, moet veeleer afzonderlijk worden beoordeeld. De werking van de beslissing is niet beperkt tot Polen, aangezien het HvJ de Richtlijn (EU) 2015/2366 betreffende betalingsdiensten bindend uitlegt voor alle lidstaten. Het arrest is daarom ook in Duitsland van belang. ## Terugbetalingsplicht van de bank Volgens art. 73 lid 1 van de Richtlijn (EU) 2015/2366 betreffende betalingsdiensten is de betaaldienstverlener bij een niet-geautoriseerde betalingstransactie in beginsel verplicht de betaler het bedrag onmiddellijk terug te betalen. De terugbetaling moet uiterlijk plaatsvinden aan het einde van de werkdag die volgt op de kennisneming respectievelijk melding van de betalingstransactie. Een uitzondering geldt met name wanneer de betaaldienstverlener gegronde redenen heeft om te vermoeden dat de betaler zelf fraude heeft gepleegd en hij deze redenen schriftelijk meedeelt aan de bevoegde nationale autoriteit. ## Grove nalatigheid De bank mag de terugbetaling daarentegen niet uitsluitend weigeren omdat zij de klant een grof nalatige schending van zijn verplichtingen uit art. 69 van de richtlijn verwijt. Deze bepaling verplicht betaaldienstgebruikers onder meer om hun gepersonaliseerde veiligheidskenmerken adequaat te beschermen. Een schending van deze verplichtingen kan aansprakelijkheidsrechtelijke gevolgen hebben. Zij neemt echter niet de voorafgaande terugbetalingsplicht van de betaaldienstverlener weg. ## HvJ scheidt twee juridisch verschillende vragen Het HvJ scheidt daarmee twee juridisch verschillende vragen: - **Terugbetalingsplicht:** Moet de bank het bedrag van de niet-geautoriseerde betalingstransactie eerst terugbetalen? - **Definitief dragen van het verlies:** Kan de bank vervolgens verlangen dat de klant het terugbetaalde bedrag wegens een opzettelijke of grof nalatige plichtsschending weer vergoedt? De beslissende vernieuwing ligt in de bindende scheiding van deze beide toetsingsstappen. De bank mag een aanspraak op terugbetaling niet eenvoudig afwijzen met de mededeling dat de klant bij de omgang met zijn toegangsgegevens grof nalatig heeft gehandeld. ## Gevolgen van het HvJ-arrest voor bankklanten In de praktijk wijzen banken de terugbetaling na phishingaanvallen vaak af met als motivering dat de klant door het doorgeven van toegangsgegevens, het invoeren van een TAN op een vervalste website of het bevestigen van een vermeend legitieme transactie grof nalatig heeft gehandeld. Deze argumentatie volstaat volgens het arrest van het HvJ niet om de onmiddellijke terugbetaling te weigeren. Voor getroffen bankklanten is dit van aanzienlijk belang. Zelfs als er een vermoeden van een grof nalatige plichtsschending bestaat, moet de bank eerst aan haar terugbetalingsplicht voldoen. Zij mag de beoordeling van de definitieve aansprakelijkheidsverdeling niet naar voren halen om de terugbetaling van het geld te verhinderen. ## § 675u BGB relevant Voor het Duitse recht is met name § 675u BGB (Duits Burgerlijk Wetboek) relevant. Volgens deze bepaling is de betaaldienstverlener bij een niet-geautoriseerde betalingstransactie in beginsel verplicht het betalingsbedrag onmiddellijk terug te betalen en de gedebiteerde betaalrekening, indien nodig, weer in de toestand te brengen waarin deze zich zonder de debitering zou hebben bevonden. ## Rekeninghouder niet in beginsel vrij van aansprakelijkheid Het HvJ-arrest betekent niet dat klanten na elke phishingaanval onder alle omstandigheden definitief van financiële verantwoordelijkheid zijn bevrijd. Art. 74 lid 1 van de richtlijn voorziet onder bepaalde voorwaarden in aansprakelijkheid van de betaler voor niet-geautoriseerde betalingstransacties wanneer deze opzettelijk of grof nalatig bepaalde verplichtingen heeft geschonden. De bank kan daarom na de terugbetaling in beginsel proberen het ontstane verlies van de klant terug te vorderen. Daarvoor moet zij echter de voorwaarden voor een desbetreffende aanspraak stellen en bewijzen. ## Aansprakelijkheid van de bankklant volgens § 675v BGB In het Duitse recht moet daarbij met name § 675v BGB (Duits Burgerlijk Wetboek) in aanmerking worden genomen. De bepaling regelt de aansprakelijkheid van de betaler bij misbruik van een betaalinstrument en maakt onder meer onderscheid naar de mate van schuld. Op grond daarvan komt aansprakelijkheid van de betaler voor de volledige ontstane schade in aanmerking wanneer hij de niet-geautoriseerde betalingstransactie met frauduleuze bedoeling mogelijk heeft gemaakt of zijn verplichtingen opzettelijk of grof nalatig heeft geschonden. Het HvJ verduidelijkte dat de betaaldienstverlener later van de klant vergoeding kan verlangen van de verliezen die aan diens grove nalatigheid zijn toe te rekenen. Het aanvankelijk terugbetaalde geld kan dus bij wijze van regres weer worden teruggevorderd, waarbij de voorwaarden voor deze aanspraak afzonderlijk moeten worden gesteld. De terugvordering is daarmee een eigen, in de tijd latere procedurele stap: de bank moet de schade eerst terugbetalen en kan het bedrag pas daarna langs afzonderlijke weg terugvorderen. Daarvoor moet zij echter wangedrag van de klant aantonen. De bewijslast voor opzet of grove nalatigheid ligt daarmee in deze tweede stap bij de bank, terwijl de klant in de tussentijd over het terugbetaalde bedrag beschikt. Voor de praktijk betekent dit: de vraag of een klant daadwerkelijk grof nalatig heeft gehandeld, blijft relevant. Zij beslist echter niet meer over de vraag of de bank de aanvankelijk verschuldigde terugbetaling mag weigeren, maar kan bepalend zijn voor de latere verdeling van de schade. ## Beoordeling per individueel geval vereist Daarbij moet steeds de concrete feitelijke situatie worden beoordeeld. Niet elke invoer van toegangsgegevens op een vervalste website vormt automatisch grove nalatigheid. In aanmerking moeten bijvoorbeeld worden genomen de vormgeving van de frauduleuze internetpresentatie, de wijze van contactopname, mogelijke waarschuwingen, de concrete transactiegoedkeuring en de herkenbaarheid van de misleiding. ## Arrest ook interessant voor oudere phishingzaken Het arrest is ook interessant voor bankklanten wier verzoek om terugbetaling al vóór 15 oktober 2026 werd afgewezen. Wie na een phishingaanval een afwijzing heeft ontvangen die in wezen was gebaseerd op het verwijt van grove nalatigheid, zou moeten laten toetsen of nog aanspraken geldend kunnen worden gemaakt. Het HvJ heeft in zijn beslissing geen temporele beperking van de werking van het arrest gelast. Dat pleit er in beginsel voor dat de uitleg van het Unierecht ook in nog lopende geschillen in aanmerking moet worden genomen. ## Niet alle zaken kunnen opnieuw worden geopend Daaruit volgt echter niet dat alle afgesloten zaken automatisch opnieuw kunnen worden geopend. Of een hernieuwde geldendmaking mogelijk is, hangt onder meer af van verjaring, de kracht van gewijsde van rechterlijke beslissingen, eventuele schikkingen en de overige omstandigheden van het individuele geval. Bij oudere zaken moet daarom met name worden onderzocht of de aanspraak nog afdwingbaar is en welke juridische stappen al zijn ondernomen. Dat geldt in het bijzonder voor oudere phishingzaken die uitsluitend met een verwijzing naar grove nalatigheid werden afgewezen, zolang zij niet verjaard zijn en evenmin onherroepelijk zijn beslist. Een hernieuwde navordering tegenover de betaaldienstverlener komt op grond daarvan met name in aanmerking wanneer de afwijzing uitsluitend op het verwijt van schuld was gebaseerd en de transactie onbetwist niet geautoriseerd was. ## Belangrijke stap ten gunste van phishing-slachtoffers Met zijn arrest van 15 oktober 2026 in zaak C-70/25 versterkt het HvJ de positie van bankklanten die slachtoffer zijn geworden van niet-geautoriseerde betalingstransacties. De centrale boodschap luidt: de bank mag de onmiddellijke terugbetaling niet uitsluitend weigeren met het argument dat de klant de fraude door grove nalatigheid mogelijk heeft gemaakt. Daarmee wordt voorkomen dat de terugbetaling aanvankelijk afhankelijk wordt gemaakt van een vaak complexe en betwiste schuldtoets. Het arrest betekent echter niet dat elke terugbetaling definitief bij de klant moet blijven. Een opzettelijke of grof nalatige plichtsschending kan onder de wettelijke voorwaarden nog steeds leiden tot aansprakelijkheid van de klant. Deze vraag moet echter gescheiden worden beoordeeld van de aanvankelijk bestaande terugbetalingsplicht. ## Duiding door MTR Legal Digitale aanvallen op bankrekeningen raken regelmatig aan vragen van bank- en betaaldienstenrecht, vaak verbonden met veeleisende afbakeningen ten aanzien van autorisatie en risicoverdeling. MTR Legal Rechtsanwälte begeleidt cliënten wanneer in verband met onduidelijke rekeningdebiteringen, toegangsincidenten of geblokkeerde toegang tot internetbankieren juridische vragen spelen en biedt [juridisch advies in het bankrecht](https://www.mtrlegal.com/rechtsberatung/bankrecht/) aan.