Datalek bij cryptodiensten: schadevergoeding onder de AVG begint volgens het BGH bij zo’n 100 euro

Meldt een cryptoaanbieder een datalek, dan heb je als klant in de EU twee rechten die direct gelden: je mag op grond van artikel 15 AVG weten welke gegevens over jou zijn opgeslagen, en je kunt op grond van artikel 82 AVG schadevergoeding eisen. Het Duitse Bundesgerichtshof (BGH) heeft geoordeeld dat daarvoor al het enkele verlies van controle over je eigen gegevens volstaat, en heeft voor dat geval uitdrukkelijk een vergoeding in de orde van 100 euro goedgekeurd. Meer is mogelijk als je een concrete schade kunt aantonen.

De vraag is op dit moment zeer praktisch. Eind oktober bevestigden twee diensten uit de cryptosector een datalek, en bij beide gaat het om informatie die voor cryptobeleggers gevoeliger is dan een e-mailadres in een webwinkel. Deze gids legt uit wanneer een datalek een aanspraak oplevert, hoe je die geldend maakt en waarom de belangrijkste stap na een lek bij je munten ligt en pas daarna bij de advocaat.

Datalek bij Wagyu en Chainalysis: welke cryptogegevens eind oktober zijn uitgelekt

Het eerste geval betreft de ruildienst Wagyu. Een swapdienst ruilt de ene munt voor de andere zonder dat je een account met identiteitscontrole aanmaakt: je stuurt bijvoorbeeld bitcoin naar een stortingsadres en krijgt Monero (XMR) terug op een zelfgekozen adres. Volgens de analyse van beveiligingsbedrijf Hudson Rock, waarover vakmedium Forklog op 29 oktober berichtte, omvat de dataset 38.628 orderrecords en 10.139 unieke IP-adressen uit de periode van 18 juli tot 26 oktober 2026. In 4.580 als afgerond gemarkeerde Monero-orders staan stortingstransactie, ontvangstadres en IP-adres bij elkaar. Het team van de dienst heeft het lek bevestigd en verklaard dat klantgelden niet zijn getroffen. De details staan in ons bericht over het datalek bij Wagyu.

Het tweede geval speelt een niveau hoger. Blockchainanalysebedrijf Chainalysis meldde op 30 oktober in een eigen beveiligingsbericht dat een aanvaller toegang had gekregen tot gebruikers-ID’s, volledige namen, e-mailadressen en functieomschrijvingen van de mensen die bij klanten van het bedrijf met de software werken. Onderzoeksinhoud, wachtwoorden en sessiesleutels zijn volgens het bedrijf niet getroffen. Particuliere beleggers staan doorgaans niet in deze dataset. Het risico voor jou is indirect: echte namen van compliance-afdelingen zijn grondstof voor geloofwaardige phishingmails, zoals we in het artikel over het Chainalysis-incident hebben beschreven.

Beide gevallen laten het patroon zien waar deze gids over gaat: een aanbieder verliest gegevens, en de gevolgen komen eerst bij de klanten terecht.

Waarom een datalek bij cryptobeleggers zwaarder weegt dan bij een webwinkel

Een dataset uit een webwinkel verraadt wat je hebt gekocht. Een dataset uit de cryptosector verraadt vaak wat je bezit. Wie je walletadres kent, kan op de openbare blockchain nagaan welke bedragen daar staan en wanneer ze zijn verplaatst. Komen daar naam, woonadres of IP-adres bij, dan wordt een anoniem adres een persoon met een bekend vermogen.

Daaruit ontstaan drie risico’s die je uit elkaar moet houden:

• Phishing: valse mails, sms’jes of telefoontjes die zich baseren op echte details uit het lek en je willen verleiden je herstelzin in te voeren of een ‘veiligheidsoverboeking’ te doen.
• Deanonimisering: de koppeling tussen adres en identiteit blijft permanent bestaan. Juist bij Monero, dat als privacymunt op vertrouwelijkheid is ingericht, zet een lek bij de tussenpersoon de bescherming van de blockchain buitenspel.
• Fysieke dreiging: afpersing aan de voordeur, in het Engels ‘wrench attacks’ genoemd, veronderstelt dat de dader weet wie hoeveel bezit. Voor Frankrijk berichtten we op 10 oktober over meer dan 90 van zulke ontvoeringszaken in zeven maanden.

Juridisch speelt die zwaarte een rol, want ze bepaalt mee hoe hoog een schadevergoeding uitvalt. In de praktijk betekent ze: na een lek bescherm je eerst je vermogen, en om het geld van de aanbieder bekommer je je daarna.

Artikel 82 AVG: wanneer een datalek recht geeft op schadevergoeding

De basis staat in artikel 82, lid 1, van de Algemene verordening gegevensbescherming. Iedereen die door een inbreuk op de verordening materiële of immateriële schade heeft geleden, heeft recht op schadevergoeding van de verwerkingsverantwoordelijke. Verwerkingsverantwoordelijke is het bedrijf dat over doel en middelen van de gegevensverwerking beslist, bij een cryptobeurs dus de beurs zelf.

Voor een aanspraak moeten drie bouwstenen samenkomen:

1. Een inbreuk op de AVG. Bij een datalek is dat meestal de plicht uit artikel 32 AVG om persoonsgegevens met passende technische en organisatorische maatregelen te beschermen.
2. Schade. De inbreuk alleen volstaat niet. Dat heeft het Europese Hof van Justitie in mei 2023 in zaak C-300/21 verduidelijkt, maar het verwierp tegelijk een drempel van ernst: ook een kleine schade telt.
3. Een verband. De schade moet juist op deze inbreuk berusten.

Belangrijk voor jou is de bewijslast. Dat onbekenden gegevens hebben buitgemaakt, bewijst op zich nog niet dat de aanbieder zijn beschermingsplicht heeft geschonden. Zo oordeelde het Hof van Justitie in december 2023 in zaak C-340/21. Volgens hetzelfde arrest moet wel de aanbieder aantonen dat zijn beveiligingsmaatregelen passend waren. Hij is alleen niet aansprakelijk als hij op grond van artikel 82, lid 3, AVG bewijst dat hij op geen enkele wijze verantwoordelijk is voor het incident.

BGH-uitspraak VI ZR 10/24: controleverlies volstaat, de orde van grootte ligt bij 100 euro

De belangrijkste Duitse uitspraak dateert van 18 november 2024. In zaak VI ZR 10/24 ging het om de Facebook-scraping van 2021, waarbij gegevens van zo’n 533 miljoen gebruikers openbaar werden verspreid. Het Oberlandesgericht Köln had de vordering nog afgewezen, omdat het enkele verlies van controle geen schade zou zijn. Het Bundesgerichtshof zag dat anders, zoals zijn persbericht nr. 218/2024 vastlegt.

Controleverlies betekent: je gegevens zijn in vreemde handen geraakt, en je kunt niet meer bepalen wie ze gebruikt. Volgens het BGH kan al dit enkele, ook kortstondige verlies een immateriële schade zijn. Er hoeft geen concreet misbruik te hebben plaatsgevonden, en verdere merkbare gevolgen hoef je evenmin aan te tonen. Over de hoogte verklaarde de kamer dat er onder de omstandigheden van die zaak geen juridische bezwaren waren om de vergoeding voor het enkele controleverlies te bepalen op een orde van 100 euro.

Twee punten neem je daaruit mee. Ten eerste: de aanspraak is reëel, maar voor het enkele controleverlies klein. Ten tweede: je moet aantonen dat juist jouw gegevens zijn getroffen. Zonder bewijs dat je getroffen bent, is er geen aanspraak, en precies daarvoor heb je het inzagerecht uit de volgende paragraaf nodig. Het BGH erkende bovendien dat getroffenen kunnen laten vaststellen dat de aanbieder ook voor toekomstige schade aansprakelijk is. Bij cryptogegevens is dat waardevol, want een phishingaanval kan maanden na het lek komen.

Immateriële en materiële schade: wanneer meer dan 100 euro mogelijk is

Het verschil tussen beide soorten schade is bepalend voor de hoogte. Materiële schade is een meetbaar vermogensnadeel, zoals gestolen munten, kosten voor een nieuw identiteitsbewijs of advocaatkosten. Immateriële schade raakt welbevinden en levensloop, zoals angst, ergernis of de moeite om voortdurend verdachte berichten te moeten uitzoeken.

Boven de 100 euro uitkomen kan als je meer dan het enkele controleverlies kunt aantonen. Het Hof van Justitie erkende in zaak C-340/21 dat al de gegronde vrees voor toekomstig misbruik een immateriële schade kan zijn. Bij cryptobeleggers ligt die vrees meer voor de hand dan bij veel andere lekken, als naam, adres en bezit samen op straat liggen. Een puur hypothetisch risico volstaat echter niet. Rechters verlangen dat je de gevolgen voor jou concreet beschrijft.

Handig is daarom een lijst die je vanaf de eerste dag bijhoudt:

• elke phishingmail, elk sms’je of telefoontje met datum, afzender en inhoud, het liefst als schermafbeelding;
• kosten die je hebt gemaakt, met bewijs, bijvoorbeeld voor een nieuwe hardware wallet, een nieuw identiteitsbewijs of advies;
• tijd die je kwijt was aan het wijzigen van wachtwoorden, het verhuizen van je munten en correspondentie;
• bij een daadwerkelijk verlies de transactie-ID en de aangifte bij de politie.

Worden er na een lek daadwerkelijk munten gestolen, dan is dat materiële schade ter hoogte van hun waarde. Dan moet je wel aantonen dat de diefstal op het lek berust en niet bijvoorbeeld op een eigen fout bij het bewaren. Hoe je valse berichten na een lek herkent, behandelen we in een aparte gids over phishing na een datalek.

Inzagerecht volgens artikel 15 AVG: welke gegevens de aanbieder moet verstrekken

Voordat je iets eist, stel je vast wat er over jou is opgeslagen. Het inzagerecht uit artikel 15 AVG geeft je recht op een bevestiging of de aanbieder gegevens over jou verwerkt, en zo ja, op een kopie van die gegevens. Daartoe behoren de doeleinden van de verwerking, de ontvangers, de beoogde bewaartermijn en de herkomst van de gegevens, voor zover ze niet van jezelf afkomstig zijn. De eerste kopie is gratis.

De aanbieder moet op grond van artikel 12, lid 3, AVG onverwijld antwoorden, uiterlijk binnen een maand. Bij complexe verzoeken kan hij de termijn met twee maanden verlengen, maar dat moet hij je binnen de eerste maand met redenen meedelen.

Voor klanten van een cryptobeurs loont het om het verzoek gericht te formuleren. Vraag niet alleen naar ‘alle gegevens’, maar uitdrukkelijk naar deze punten:

• welke van je gegevens door het gemelde incident zijn getroffen;
• of walletadressen, transactiegegevens of saldi daartoe behoren;
• of kopieën van identiteitsbewijzen, selfies uit de identiteitscontrole of adresbewijzen zijn getroffen;
• aan welke dienstverleners de gegevens zijn doorgegeven, bijvoorbeeld voor identiteitscontrole of verzending.

Stuur het verzoek via een weg die de ontvangst aantoont, bijvoorbeeld per e-mail naar het adres uit de privacyverklaring en met een kopie aan de functionaris voor gegevensbescherming. Noteer de datum. Het antwoord is tegelijk je belangrijkste bewijsstuk als je later schadevergoeding eist.

Artikel 33 en 34 AVG: welke meldplichten de aanbieder na een datalek heeft

De AVG verplicht de aanbieder na een lek tot twee afzonderlijke meldingen. Volgens artikel 33 moet hij het datalek in de regel binnen 72 uur bij de bevoegde toezichthouder melden. Volgens artikel 34 moet hij jou als betrokkene onverwijld informeren als de inbreuk waarschijnlijk een hoog risico voor je rechten en vrijheden oplevert.

Die kennisgeving moet in duidelijke en eenvoudige taal beschrijven wat er is gebeurd, welke gevolgen waarschijnlijk zijn en welke maatregelen de aanbieder heeft genomen. Ook moet ze een contactpersoon noemen, bijvoorbeeld de functionaris voor gegevensbescherming. Een mail die alleen van een ‘beveiligingsincident’ spreekt en geen soorten gegevens noemt, voldoet nauwelijks aan die eisen.

Voor jou heeft de kennisgeving twee kanten. Enerzijds bewijst ze dat je gegevens zijn getroffen. Anderzijds is ze het favoriete werktuig van oplichters: na bijna elk groot lek duiken valse kennisgevingen op die naar een ‘accountcontrole’ op een nagemaakte website leiden. Controleer daarom elke kennisgeving via de weg die je zelf kent, dus via het opgeslagen adres van de beurs in je browser, nooit via een link in de mail.

Marktplaatsbeginsel: geldt de AVG ook voor cryptoaanbieders buiten de EU?

Veel cryptodiensten zijn buiten de Europese Unie gevestigd. Toch geldt de AVG vaak, namelijk via het marktplaatsbeginsel in artikel 3, lid 2. Daarom is de verordening ook van toepassing op bedrijven zonder vestiging in de EU die personen in de EU goederen of diensten aanbieden of hun gedrag in de EU volgen. Een dienst met een Duitstalige interface, betaalmogelijkheden in euro of gerichte reclame in Duitsland biedt zijn dienst zichtbaar daar aan.

Het probleem zit in de handhaving. Een aanbieder op een eiland in het Caribisch gebied betaalt niet alleen omdat een Duitse rechter hem veroordeelt. Bedrijven uit derde landen moeten op grond van artikel 27 AVG weliswaar een vertegenwoordiger in de EU aanwijzen, maar veel kleine diensten doen dat niet. Bij een swapdienst zonder account en zonder bekend bedrijfsadres is een aanspraak op papier vaak het eindpunt.

Hier ligt een concreet voordeel van aanbieders met zetel of vergunning in de EU. Wie onder de MiCA-verordening een vergunning heeft, heeft een adres in de EU waar je een procedure kunt aanspannen en een bevoegde toezichthouder waartoe je je kunt wenden. Een overzicht van platforms vind je in onze vergelijking om bitcoin te kopen. Ook bij het IP-adres helpt de rechtslage: het Hof van Justitie merkt dynamische IP-adressen sinds 2016 aan als persoonsgegevens, ze vallen dus onder de bescherming van de AVG.

Klacht bij de privacytoezichthouder en verjaring van de schadeclaim

Naast een civiele procedure heb je op grond van artikel 77 AVG het recht om een klacht in te dienen bij een toezichthouder. In Duitsland zijn voor private bedrijven de privacytoezichthouders van de deelstaten bevoegd, en je kunt je wenden tot de toezichthouder van je eigen deelstaat. De klacht kost niets. Geld levert ze je niet op, maar ze kan een boete en maatregelen tegen de aanbieder in gang zetten en levert soms informatie op die je bij een latere claim helpt.

Voor de schadevergoeding zelf geldt in Duitsland de gewone verjaringstermijn van drie jaar volgens § 195 BGB. Die termijn begint volgens § 199 BGB aan het einde van het jaar waarin de aanspraak is ontstaan en jij ervan op de hoogte bent geraakt. Voor een lek waarvan je in oktober 2026 hoorde, loopt de termijn dus tot eind 2029. Je hoeft niets te overhaasten, maar zet bewijs direct veilig zolang het vers is.

Of een procedure loont, hangt af van het geval. Bij een belang van een paar honderd euro overstijgen de kosten bij verlies snel de opbrengst. Een rechtsbijstandsverzekering met een module voor gegevensbescherming verkleint dat risico. Bovendien kunnen consumentenorganisaties in Duitsland sinds oktober 2023 met een collectieve herstelvordering de aanspraken van veel getroffenen gebundeld afdwingen. Bij grote lekken loont het om na te gaan of de Verbraucherzentrale zo’n procedure voert.

Phishing na het datalek: veilig bewaren beschermt je munten beter dan elke vergoeding

Afgezet tegen wat er op het spel staat, is 100 euro schadevergoeding weinig. Wie na een lek zijn herstelzin op een valse website intikt, verliest mogelijk zijn hele bezit, en dat vergoedt geen rechter. Daarom gaat de beveiliging voor de claim.

De belangrijkste regel luidt: geen serieuze aanbieder vraagt ooit naar je seed phrase. De seed phrase is de reeks van meestal 12 of 24 woorden waarmee alle sleutels van je wallet te herstellen zijn. Wie hem kent, bezit je munten. Elk bericht dat ernaar vraagt, is oplichting, hoe echt afzender en vormgeving ook lijken.

Staan je munten bij de aanbieder die het lek heeft gemeld, dan is dat geen reden tot paniek. Een datalek betekent in eerste instantie niet dat tegoeden in gevaar zijn. Het is wel een goede aanleiding om na te gaan of grotere bedragen op een beurs moeten staan. Met een hardware wallet blijven de privésleutels op een apparaat dat niet met internet is verbonden. Welke apparaten daarvoor in aanmerking komen, laat onze vergelijking van hardware wallets zien.

Kent de aanvaller je walletadres, dan helpt een verhuizing naar een nieuw adres. Het oude adres blijft in de dataset aan je naam gekoppeld, het nieuwe niet. Bij bitcoin kost zo’n verhuizing één transactievergoeding. Let erop dat je het nieuwe adres niet opnieuw via dezelfde dienst aan je identiteit koppelt. Hoe gerichte phishing na een lek eruitziet, hebben we laten zien aan de hand van de gegevens van Revolut; daar staat ook hoe de bank de kosten voor nieuwe identiteitsbewijzen heeft vergoed.

Schadevergoeding na een datalek: eerst de munten veiligstellen, dan binnen drie jaar eisen

1. Inzage vragen en bewijs veiligstellen. Stuur de aanbieder een verzoek op grond van artikel 15 AVG met de gerichte vragen van hierboven, noteer de datum en bewaar elk verdacht bericht. Bij aanbieders met een EU-vergunning weet je waar je naartoe schrijft en welke toezichthouder bevoegd is; welke platforms een vergunning hebben, zie je in onze vergelijking om bitcoin te kopen.
2. Bewaring controleren. Grotere bedragen horen niet permanent op een beurs. Zet ze over naar een eigen hardware wallet en een nieuw adres. Apparaten, prijzen en beveiligingskenmerken vergelijkt onze vergelijking van hardware wallets.
3. Dagelijkse wallet opnieuw inrichten. Voor kleinere bedragen die je vaak verplaatst, maak je een nieuwe softwarewallet met een nieuwe seed phrase aan, in plaats van het oude adres te blijven gebruiken. Kies daarvoor een app waarbij je de herstelzin zelf beheert. De schadevergoeding eis je daarna in alle rust; de termijn loopt drie jaar vanaf het einde van het jaar.

(Per 2 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)