Wat is KYC bij crypto? De vijf gegevens zonder welke geen exchange je laat handelen

KYC staat voor ‘Know Your Customer’, ofwel ‘ken je klant’, en is de identiteitscontrole die elke vergunninghoudende crypto-exchange uitvoert voor je eerste aankoop. Je geeft je naam, geboortedatum, geboorteplaats, nationaliteit en woonadres op, en de exchange vergelijkt die gegevens met een officieel identiteitsbewijs. Zonder deze controle mag geen aanbieder een rekening voor je openen, ook niet als je maar 20 euro in Bitcoin wilt omzetten.

De plicht vloeit voort uit de antiwitwaswet (Geldwäschegesetz, GwG). Sinds de Europese cryptoverordening MiCA geldt, noemt de GwG aanbieders van cryptoactivadiensten uitdrukkelijk als meldingsplichtige instellingen, op één lijn met banken, betaalinstellingen en beleggingsondernemingen. Dat betekent: de identiteitscontrole is geen verdienmodel van de exchange en geen pesterij, maar een wettelijke voorwaarde. Wie een exchange met een nette vergunning zoekt, vindt in de vergelijking van gereguleerde crypto-exchanges de aanbieders met licentie, en die vragen allemaal om KYC.

Deze gids legt uit welke gegevens je afgeeft, welke procedures er zijn, wat na het openen van de rekening nog wordt gecontroleerd en wat er tot juli 2027 verandert. Sta je nog helemaal aan het begin, lees dan eerst het overzicht Wat is een cryptomunt?

KYC eenvoudig uitgelegd: Know Your Customer in de antiwitwaswet

KYC is de verzamelnaam voor alle stappen waarmee een financiële onderneming vaststelt wie haar klant is en of de zakelijke relatie bij hem past. In de GwG heten deze stappen ‘algemene zorgvuldigheidsverplichtingen’ en ze staan in artikel 10. Ze omvatten vier kerntaken:

• Identificatie: de exchange legt je persoonsgegevens vast en controleert ze aan de hand van een document.
• Uiteindelijk belanghebbende: de exchange gaat na of je voor jezelf handelt of voor iemand anders. De uiteindelijk belanghebbende is degene aan wie het geld uiteindelijk werkelijk toebehoort.
• Doel van de zakelijke relatie: je geeft aan waarvoor je de rekening wilt gebruiken, bijvoorbeeld voor periodiek beleggen of af en toe een aankoop.
• PEP-controle: de exchange controleert of je een politiek prominent persoon bent. Zo heten mensen met een vooraanstaand publiek ambt, en ook hun familieleden en naaste medewerkers.

Daarbij komt de doorlopende monitoring. KYC eindigt dus niet met de foto van je identiteitsbewijs. De controle begeleidt je rekening zolang die bestaat. Artikel 10, lid 9, van de GwG trekt een duidelijke grens: kan de exchange aan deze verplichtingen niet voldoen, dan mag zij de zakelijke relatie niet aangaan of moet zij die beëindigen.

Vijf verplichte KYC-gegevens volgens artikel 11 en welke identiteitsbewijzen gelden

Welke gegevens de exchange moet vastleggen, schrijft artikel 11, lid 4, van de GwG precies voor. Voor een natuurlijk persoon zijn het vijf gegevens:

1. Voornaam en achternaam
2. Geboorteplaats
3. Geboortedatum
4. Nationaliteit
5. Woonadres

Deze gegevens controleert de exchange volgens artikel 12 van de GwG aan de hand van een geldig officieel identiteitsbewijs met foto, in de praktijk dus je identiteitskaart of paspoort. Een rijbewijs volstaat volgens deze wet niet, omdat het niet aan de identificatieplicht voldoet. Daarnaast legt de exchange volgens artikel 8 vast om welk document het gaat, welk nummer het heeft en welke instantie het heeft afgegeven. Van het getoonde identiteitsbewijs maakt zij een kopie of legt ze het digitaal vast; de wet geeft haar daartoe uitdrukkelijk het recht en de plicht.

Veel exchanges vragen meer dan deze vijf punten: telefoonnummer, e-mailadres, beroep, het bedrag dat je wilt beleggen of de herkomst van je geld. Een deel daarvan dient de risico-inschatting, een ander deel de communicatie met jou. Strikt verplicht zijn alleen de vijf gegevens en de controle aan de hand van het document.

Video-identificatie, online-ID en handtekening: de procedures van de KYC-controle

De wet laat meerdere manieren toe om je identiteit te controleren. Welke een exchange aanbiedt, bepaalt zij zelf. De drie meest gebruikte op een rij:

Video-identificatie

Bij video-identificatie houd je je identiteitsbewijs voor de camera van je smartphone of laptop, kantel je het op verzoek zodat de echtheidskenmerken zichtbaar worden, en laat je je gezicht zien voor de vergelijking met de pasfoto. Veel aanbieders werken daarvoor samen met gespecialiseerde dienstverleners, waarvan je de naam tijdens het proces ziet.

Online-identificatiefunctie (eID)

De elektronische identiteitsfunctie van de identiteitskaart leest de gegevens rechtstreeks uit de chip van je kaart. Je hebt daarvoor een smartphone met NFC en je zescijferige pincode nodig. Het voordeel: er is geen videogesprek, en omdat de gegevens rechtstreeks van de chip komen, zijn typefouten uitgesloten.

Gekwalificeerde elektronische handtekening

Minder gebruikelijk is de controle via een gekwalificeerde elektronische handtekening volgens de Europese eIDAS-verordening. In dat geval moet de eerste transactie bovendien afkomstig zijn van een betaalrekening op jouw naam. Daarom vragen sommige aanbieders om een eerste overboeking vanaf je eigen betaalrekening.

KYC en AML: waar de identiteitscontrole eindigt en de witwascontrole begint

De begrippen KYC en AML worden vaak door elkaar gehaald. AML staat voor ‘Anti-Money Laundering’, de bestrijding van witwassen. AML is het doel, KYC een van de instrumenten daarvoor. De identiteitscontrole beantwoordt de vraag wie je bent. De witwascontrole beantwoordt de vraag of je transacties passen bij wat de exchange over je weet.

Daarom blijft de exchange ook na het openen van de rekening opletten. Artikel 10 van de GwG verlangt een doorlopende monitoring van de zakelijke relatie, inclusief de transacties. Koop je jarenlang elke maand voor 50 euro en stort je plotseling 80.000 euro, dan valt dat op. Dat betekent niet dat er iets mis is, alleen dat de exchange navraag moet doen.

Herkomst van middelen en PEP-status: wanneer de exchange meer bewijs vraagt

Ziet de exchange een hoger risico, dan gelden de verscherpte zorgvuldigheidsverplichtingen van artikel 15 van de GwG. Typische aanleidingen zijn grote stortingen, een PEP-status of overboekingen uit landen met een verhoogd witwasrisico. De exchange vraagt dan naar de herkomst van de middelen, in vaktaal ‘source of funds’. Dat is het bewijs waar het concrete geld vandaan komt dat je stort.

Als bewijs dienen afhankelijk van het geval loonstroken, een koopovereenkomst van een verkochte woning, een verklaring van erfrecht of rekeningafschriften van een andere aanbieder waar je cryptoactiva hebt verkocht. Houd zulke documenten bij de hand voordat je grotere bedragen verplaatst. Een exchange die een storting bevriest tot alles is opgehelderd, handelt volgens de wet en niet uit willekeur.

Travel Rule sinds december 2024: KYC-gegevens reizen mee met elke cryptotransfer

Sinds 30 december 2024 geldt in de EU Verordening (EU) 2023/1113 betreffende bij geldovermakingen en overdrachten van bepaalde cryptoactiva te voegen informatie, kortweg TFR of Travel Rule. De verordening past een regel uit het klassieke betalingsverkeer toe op cryptoactiva: wie coins van de ene exchange naar de andere stuurt, geeft de gegevens van de verzender en de ontvanger mee. Daartoe horen de naam, het walletadres of rekeningnummer en afhankelijk van het geval het adres of de geboortedatum.

Anders dan bij bankoverschrijvingen geldt er bij transfers tussen twee cryptodienstverleners geen minimumbedrag. De gegevens reizen dus ook mee bij een overboeking van 30 euro. Daarom vraagt je exchange je voor een opname naar een ander platform vaak wie de ontvanger is en bij welke aanbieder die zijn rekening heeft. Kloppen de gegevens niet, dan kan de ontvangende exchange het bedrag tegenhouden tot de gegevens zijn aangevuld.

Eigen wallet en de grens van 1.000 euro: het bewijs bij zelf gehoste adressen

Een zelf gehost adres is een wallet waarvan je de private keys zelf bewaart, bijvoorbeeld op een hardware wallet of in een wallet-app zonder exchange-rekening erachter. Voor transfers daarheen gelden eigen regels. Volgens artikel 14 van de verordening moet de exchange bij een transfer naar een zelf gehost adres van meer dan 1.000 euro passende maatregelen nemen om vast te stellen of het adres van jou is of onder jouw controle staat.

Hoe de exchange dat controleert, bepaalt zij zelf. Gangbaar zijn een bevestiging in de app, een met de private key ondertekend bericht of een bewijs rechtstreeks uit de walletsoftware. Plan je eerste grote opname naar je hardware wallet daarom niet op het laatste moment, want de controle kan enige tijd duren. Zelfbewaring blijft toegestaan; de regel vraagt alleen om het bewijs.

Wat er bij crypto aan belasting speelt, staat in onze gids over crypto en belasting.

Privacy bij KYC: vijf jaar bewaren en het risico van datalekken

Veel lezers vragen wat er na de controle met de kopie van hun identiteitsbewijs en de video-opname gebeurt. Het antwoord staat in artikel 8, lid 4, van de GwG: de exchange moet de vastleggingen vijf jaar bewaren. De termijn begint aan het einde van het kalenderjaar waarin de zakelijke relatie eindigt. Hef je je rekening op in juni 2027, dan blijven je gegevens dus tot eind 2032 opgeslagen. Uiterlijk na tien jaar moeten ze worden vernietigd.

De exchange mag de KYC-gegevens alleen gebruiken voor de doeleinden van de antiwitwaswet en de wettelijke meldplichten. Daarnaast geldt de Algemene Verordening Gegevensbescherming, je hebt dus inzagerecht. Verwijdering voor het verstrijken van de termijn kun je daarentegen niet eisen, omdat de wettelijke bewaarplicht voorgaat.

Er blijft een restrisico: identiteitsgegevens zijn waardevol voor fraudeurs, en datalekken bij financiële dienstverleners komen voor. Een voorbeeld is het datalek bij Revolut, waarna de bank nieuwe identiteitsbewijzen voor 680 getroffen klanten betaalt. Je verkleint het risico door alleen bij aanbieders met een EU-vergunning een rekening te openen, rekeningen die je niet meer nodig hebt op te heffen en je identiteitsbewijs nooit per e-mail of messenger te versturen als iemand er zogenaamd namens een exchange om vraagt.

Bestaat er een MiCA-exchange zonder identiteitscontrole?

Onder MiCA hebben aanbieders van cryptoactivadiensten in de EU een vergunning nodig, en met de vergunning komen de verplichtingen van het antiwitwasrecht. Welke eisen de verordening aan bedrijven stelt, valt onder de vergunningsplichten voor cryptobedrijven die MiCA regelt. Een vergunninghoudende exchange zonder KYC bestaat daarom niet. Een aanbieder die je een rekening helemaal zonder identiteitsbewijs belooft en tegelijk met een EU-vergunning adverteert, verdient wantrouwen.

Wegen zonder identiteitsbewijs zijn er toch, alleen niet via een vergunninghoudende exchange: decentrale exchanges waarop je rechtstreeks vanuit je wallet handelt, peer-to-peerhandel of een swap in een wallet-app. Welke mogelijkheden er onder MiCA nog zijn en waar hun grenzen liggen, laat de gids Crypto-exchanges zonder KYC zien. De koopweg voor Bitcoin in het bijzonder beschrijft Bitcoin kopen zonder verificatie. Bedenk daarbij dat je zonder gereguleerde aanbieder ook geen aanspreekpunt hebt als er iets misgaat.

Wat gebeurt er als de KYC mislukt?

Wijst de exchange je verificatie af, dan ligt dat meestal aan formaliteiten: een verlopen identiteitsbewijs, een woonadres dat niet bij het document past, een onscherpe foto of een naam die anders gespeld is dan op je betaalrekening. Controleer deze punten voordat je een tweede poging doet. Een uitgebreide toelichting krijg je niet altijd, want bij een vermoeden van witwassen mag de exchange je daarover volgens de GwG niet informeren.

AMLR vanaf juli 2027: de EU verbiedt dan uitdrukkelijk anonieme cryptorekeningen

De volgende stap staat al in het Publicatieblad. De EU-antiwitwasverordening, kortweg AMLR, Verordening (EU) 2024/1624, geldt vanaf 10 juli 2027 rechtstreeks in alle lidstaten en vervangt grote delen van het nationale antiwitwasrecht. Artikel 79 verbiedt kredietinstellingen, financiële instellingen en aanbieders van cryptoactivadiensten dan om anonieme cryptoactivarekeningen aan te houden of rekeningen die transacties in hoge mate verhullen, ook via anonimiteitsverhogende cryptomunten. Bedoeld zijn privacy coins, waarvan de transacties op de blockchain niet te volgen zijn.

Voor houders van een gewone exchange-rekening verandert er daardoor weinig, omdat hun KYC nu al volledig is. Merkbaar wordt de AMLR vooral op twee punten: de regels zijn in de hele EU gelijk, en de nieuwe Europese antiwitwasautoriteit AMLA in Frankfurt am Main houdt straks rechtstreeks toezicht op geselecteerde grote aanbieders. Een KYC bij een exchange in Frankrijk volgt dan dezelfde eisen als bij een Nederlandse aanbieder.

KYC-controle: identiteitsbewijs en woonadres bij de hand

Voordat je je bij een exchange registreert, loont een korte blik op je documenten. Dat bespaart je een afgebroken videogesprek en dagen in de wachtrij.

1. Kies een exchange met vergunning: vergelijk aanbieders met een EU-vergunning op kosten en verificatieprocedure. Let erop of de exchange de online-identificatiefunctie aanbiedt als je geen videogesprek wilt voeren.
2. Bereid de opname naar je eigen wallet voor: wil je je coins later zelf bewaren, richt dan de hardware wallet in voor de eerste grote transfer. Apparaten en prijzen vind je in de vergelijking van hardware wallets.

(Per 5 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)