KYC voor verkopers op online marktplaatsen: DAC7 en DSA 2026

Online marktplaatsen die in Nederland actief zijn, zijn verplicht hun verkopers te identificeren, te verificeren en jaarlijks te rapporteren aan de Belastingdienst. DAC7 — de zevende wijziging van de Europese richtlijn administratieve samenwerking — is in Nederland geïmplementeerd via de Wet gemeenschappelijke rapportagestandaard (WGR) en de Wet implementatie DAC7. De eerste rapportage over verkoopgegevens uit 2023 moest vóór 31 januari 2024 worden ingediend. Platforms die hun KYC-processen voor verkopers nog niet op orde hebben, lopen een groeiend risico op verzuimboetes en reputatieschade.

Dit artikel is uitsluitend informatief en vormt geen juridisch advies. De regelgevende verwijzingen zijn actueel op de publicatiedatum. Raadpleeg een gekwalificeerde professional voor begeleiding die is afgestemd op uw situatie.

Wat is DAC7 en waarom moeten marktplaatsen hun verkopers verificeren?

DAC7 verplicht online platformoperators om de identiteit van verkopers vast te stellen, hun financiële activiteit bij te houden en die gegevens jaarlijks door te geven aan de belastingautoriteiten.

Richtlijn (EU) 2021/514 — ook wel DAC7 genoemd — breidde de bestaande EU-kaders voor automatische gegevensuitwisseling uit naar digitale platforms. De achterliggende redenering is rechttoe rechtaan: een groot deel van de economische activiteit op online marktplaatsen vond tot voor kort plaats buiten het zichtbereik van belastingdiensten. Verkopers op platforms als marktplaats, Bol, Vinted of vergelijkbare diensten genereerden inkomsten die zelden werden opgegeven. DAC7 sluit die lacune door de informatieverplichting te verleggen van de verkoper naar het platform zelf.

In Nederland is DAC7 omgezet via de Wet implementatie DAC7, die de bestaande Wet gemeenschappelijke rapportagestandaard (WGR) heeft gewijzigd. De Belastingdienst is aangewezen als ontvangende autoriteit en wisselt de ontvangen gegevens automatisch uit met belastingdiensten in andere EU-lidstaten. De eerste rapportageronde, over gegevens uit het jaar 2023, moest vóór 31 januari 2024 worden ingediend.

De verplichting raakt een breed spectrum van platformen: van klassieke e-commercemarktplaatsen tot verhuurplatforms voor onroerend goed, dienstverleningsplatforms en platforms voor het verlenen van freelancediensten. Bepalend is niet het businessmodel van het platform zelf, maar de vraag of het platform verkooptransacties van derden faciliteert.

Naast DAC7 geldt voor online marktplaatsen ook Verordening (EU) 2022/2065 inzake digitale diensten (Digital Services Act, DSA). Artikel 30 DSA verplicht online marktplaatsen om de identiteit van professionele verkopers te verifiëren voordat zij producten of diensten mogen aanbieden. De twee kaders vullen elkaar aan en samen dekken zij zowel de fiscale als de consumentenbeschermingsdimensie van verkoper-KYC.

Wie valt onder DAC7? Drempelwaarden en definities

DAC7 hanteert twee drempelwaarden: verkopers met meer dan 30 transacties of met meer dan €2.000 jaarlijkse opbrengst op het platform moeten worden geïdentificeerd en gerapporteerd.

Het onderscheid tussen rapporteerbare en niet-rapporteerbare verkopers is cruciaal voor de compliance-architectuur van een platform. Onderstaande tabel geeft de kernbepalingen weer:

Platforms zijn niet alleen verplicht de gegevens te verzamelen, maar ook te valideren. Een platform dat een BSN of KvK-nummer ontvangt zonder die informatie te verifiëren, voldoet niet aan DAC7. De verplichting tot actieve verificatie maakt KYC — en niet louter gegevensverzameling — tot de kern van de DAC7-compliance.

Verkopers die de drempelwaarden niet overschrijden, hoeven niet te worden gerapporteerd, maar platforms moeten hun transactievolumes monitoren om tijdig te kunnen vaststellen wanneer een drempel wordt bereikt.

Benodigde documenten voor verkoper-KYC

De documenten die een platform moet opvragen, verschillen naargelang de verkoper een particulier of een bedrijf is. De vereisten vloeien voort uit zowel DAC7 als DSA artikel 30.

Onderstaande tabel geeft een overzicht van de minimaal vereiste documentatie:

Bij zakelijke verkopers geldt de aanvullende verplichting om de uiteindelijk belanghebbende (UBO) vast te stellen. Dit sluit aan bij de verplichtingen onder de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft). Platforms die betalingen faciliteren, kunnen op grond van de Wwft aanvullende verplichtingen hebben op het gebied van cliëntenonderzoek en de melding van ongebruikelijke transacties.

Gegevens van de Kamer van Koophandel — zoals het KvK-nummer en de inschrijvingsstatus — zijn te raadplegen via de KvK-API. Platforms doen er goed aan KvK-uittreksels actief te verifiëren in plaats van alleen het opgegeven nummer op te slaan.

Alle verzamelde persoonsgegevens vallen onder de AVG (Algemene Verordening Gegevensbescherming). De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving in Nederland. Platforms moeten het beginsel van minimalisatie van de gegevensverwerking in acht nemen: alleen de gegevens verzamelen die strikt noodzakelijk zijn voor de identificatie- en rapportageverplichting.

Rapportageverplichtingen: tijdlijn en deadlines

Platformoperators dienen jaarlijks vóór 31 januari een rapportageformulier in te dienen bij de Belastingdienst met de gegevens van alle rapporteerbare verkopers over het voorgaande kalenderjaar.

Onderstaande tijdlijn geeft de belangrijkste data weer:

De rapportage wordt ingediend via het door de Belastingdienst vastgestelde rapportageformulier. De Belastingdienst verstrekt gedetailleerde instructies over het formaat en het indieningsproces. Na ontvangst wisselt de Belastingdienst de gegevens automatisch uit met belastingdiensten in andere EU-lidstaten waar de betreffende verkopers fiscaal ingezetene zijn.

Platforms moeten ook rekening houden met de bewaarplicht: de verzamelde verkopers- en transactiegegevens moeten gedurende de wettelijk voorgeschreven periode worden bewaard, zodat controles achteraf mogelijk zijn.

DSA artikel 30: verificatie van professionele verkopers

DSA artikel 30 verplicht online marktplaatsen om de identiteit van professionele verkopers te verifiëren voordat zij producten of diensten op het platform mogen aanbieden — ongeacht of de verkoper de DAC7-drempelwaarden overschrijdt.

De Digital Services Act introduceert een "ken uw zakelijke klant"-verplichting die breder is dan DAC7. Artikel 30 vereist dat platforms:

• De handelsnaam, het adres, het telefoonnummer en het e-mailadres van de professionele verkoper verzamelen en verifiëren;
• Het BTW-identificatienummer of een andere zakelijke identificatie opvragen;
• Een bankrekening- of betalingsgegevensverificatie uitvoeren.

De term "professionele verkoper" is ruim: het gaat om elke persoon of rechtspersoon die via het platform handelt in het kader van zijn beroeps- of handelsactiviteit. Particulieren die sporadisch tweedehandsartikelen verkopen, vallen doorgaans buiten deze definitie, maar zodra een patroon van commerciële activiteit zichtbaar wordt, verandert die kwalificatie.

DSA artikel 30 lid 3 bepaalt dat platforms professionele verkopers niet mogen toestaan producten of diensten aan te bieden als de verificatie niet succesvol is afgerond. Dit is een harde blokkadedrempel: in tegenstelling tot DAC7 — waarbij de rapportageplicht achteraf bestaat — is DSA-verificatie een voorwaarde voor toegang tot het platform.

Voor marktplaatsen die actief zijn in meerdere EU-lidstaten geldt de DSA rechtstreeks als verordening, zonder dat nationale omzetting vereist is. De handhaving in Nederland ligt bij de ACM (Autoriteit Consument en Markt) als coördinator van de DSA-handhaving.

Sancties bij niet-naleving

Niet-naleving van DAC7-rapportageverplichtingen kan leiden tot verzuimboetes van de Belastingdienst; schending van DSA artikel 30 kan resulteren in boetes tot 6% van de wereldwijde jaaromzet van het platform.

De handhavingsrisico's zijn tweeledig:

DAC7 — Belastingdienst:

De Belastingdienst kan verzuimboetes opleggen bij te late, onvolledige of onjuiste rapportage. De boetes worden vastgesteld conform de geldende boetebepalingen in de Algemene wet inzake rijksbelastingen (AWR). Bij herhaalde schendingen of opzettelijke niet-naleving kunnen hogere vergrijpboetes volgen. Platforms die structureel verzuimen, riskeren bovendien intensiever toezicht en controles.

DSA — ACM en Europese Commissie:

De Digital Services Act kent een getrapt handhavingsstelsel. Voor zeer grote onlineplatforms (VLOP's) — die meer dan 45 miljoen maandelijkse actieve gebruikers in de EU bedienen — ligt de primaire handhaving bij de Europese Commissie. Voor andere platforms is de ACM bevoegd. Maximumboetes bedragen 6% van de wereldwijde jaaromzet; bij herhaalde overtredingen kan de Commissie tijdelijke beperkingen opleggen.

Wwft — DNB en FIU:

Platforms die betalingen verwerken en daardoor onder de Wwft vallen, staan bloot aan toezicht door De Nederlandsche Bank (DNB) en zijn verplicht ongebruikelijke transacties te melden bij de Financial Intelligence Unit (FIU-Nederland). Structurele tekortkomingen in het cliëntenonderzoek kunnen leiden tot boetes en aanwijzingen door DNB.

AFM:

Platforms met financiële dienstverlening — zoals embedded betalingsdiensten of creditfaciliteiten — vallen tevens onder toezicht van de Autoriteit Financiële Markten (AFM).

Verkoper-KYC automatiseren op uw platform

Handmatige documentverificatie schaalt niet bij de volumes en verificatiediepte die DAC7 en DSA vereisen. Geautomatiseerde KYC-oplossingen stellen platforms in staat verkopers snel te verificeren zonder het onboardingproces te vertragen.

De verificatieketen voor verkoper-KYC omvat meerdere stappen die elk foutgevoelig zijn als zij handmatig worden uitgevoerd: identiteitsdocumenten controleren op echtheid, BSN-nummers valideren via de elfproef, KvK-uittreksels verifiëren, IBAN-nummers koppelen aan de opgegeven identiteit en het geheel documenteren voor audit- en rapportagedoeleinden.

CheckFile ondersteunt meer dan 3.200 documenttypen in 32 jurisdicties via een meerlaagse analyse — structureel, metadata en cross-documentvalidatie — waarmee platforms de volledige verificatiecyclus voor verkoper-KYC kunnen automatiseren:

• Identiteitsdocumentverificatie: Geautomatiseerde echtheidscontrole van paspoorten, rijbewijzen en andere identiteitsbewijzen, inclusief gegevensextractie en vergelijking met opgegeven informatie.
• BSN-validatie: Geautomatiseerde elfproefcontrole en formaatvalidatie voor Nederlandse burgerservicenummers.
• KvK-verificatie: Geautomatiseerde raadpleging van KvK-registratiegegevens en matching met door de verkoper opgegeven informatie.
• IBAN-verificatie: Structuurvalidatie en BIC-matching voor zowel persoonlijke als zakelijke bankrekeningen.
• Audit trails: Automatisch gegenereerde verificatielogboeken die aantonen welke stappen zijn doorlopen, met tijdstempels en uitkomsten per verificatiestap.

Voor banken en financiële instellingen die platformbetalingen verwerken en daardoor aanvullende KYC-verplichtingen hebben, biedt CheckFile gespecialiseerde KYC-oplossingen voor de bancaire sector. Meer informatie over tarieven en volumestaffels is beschikbaar op de tariefpagina.

De AVG-vereiste van minimalisatie van de gegevensverwerking is ingebouwd in het CheckFile-platform: alleen de gegevens die noodzakelijk zijn voor de verificatiedoelstelling worden verwerkt en bewaard. Meer informatie over beveiliging en gegevensbeheer is beschikbaar op de beveiligingspagina.

Voor de bredere context van documentcomplianceverplichtingen in Nederland verwijzen wij naar onze complete gids documentcompliance en naar het aanvullende artikel over KYC-vereisten in Nederland in 2026.

Veelgestelde vragen

Moet mijn platform alle verkopers verifiëren, ook degenen die de DAC7-drempelwaarden niet halen?

Voor DAC7-rapportage geldt de identificatieplicht alleen voor verkopers die meer dan 30 transacties of meer dan €2.000 jaaromzet op uw platform realiseren. Platforms zijn echter wel verplicht de transactievolumes van alle verkopers bij te houden om tijdig te kunnen vaststellen wanneer een drempel wordt bereikt. DSA artikel 30 gaat verder: de verificatieplicht voor professionele verkopers geldt ongeacht drempelwaarden, zodra er sprake is van commerciële activiteit.

Hoe gaan platforms om met verkopers die weigeren documenten aan te leveren?

Platforms mogen een verkoper die weigert de vereiste identificatiegegevens te verstrekken, niet toestaan via het platform te verkopen. Voor DAC7 geldt dat een platform dat niet kan rapporteren omdat een verkoper de medewerking heeft geweigerd, dit moet vastleggen in zijn administratie. DSA artikel 30 is expliciet: de verificatie is een voorwaarde voor toegang — geen medewerking betekent geen toegang tot het platform.

Valt mijn platform onder DAC7 als het buiten Nederland is gevestigd maar wel Nederlandse verkopers bedient?

DAC7 kent een ruime reikwijdte. Als een platform in een EU-lidstaat is geregistreerd of er een significante activiteit ontplooit, is het rapportage­plichtig. Platforms die buiten de EU zijn gevestigd maar EU-verkopers bedienen, kunnen onder de meldingsplicht vallen in de lidstaat waar de verkopers gevestigd zijn. De precieze reikwijdte hangt af van de specifieke omstandigheden; raadpleeg een specialist voor uw situatie.

Welke rol speelt de Autoriteit Persoonsgegevens bij verkoper-KYC?

De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de AVG in Nederland. Platforms die persoonsgegevens van verkopers verwerken in het kader van KYC-verificatie, moeten een geldige verwerkingsgrondslag hebben, de betrokkenen informeren over de gegevensverwerking en de bewaartermijnen vastleggen. De AP kan handhavend optreden bij structurele schendingen van de AVG, ongeacht of de verwerking plaatsvindt in het kader van DAC7, DSA of Wwft-verplichtingen.

Hoe verhoudt de DAC7-rapportage zich tot de due diligence voor zakelijke verkopers?

DAC7 vereist niet alleen identificatie, maar ook actieve verificatie van de opgegeven gegevens. Voor zakelijke verkopers betekent dit dat platforms KvK-gegevens moeten controleren, het BTW-nummer moeten valideren en de UBO moeten vaststellen als onderdeel van het due diligence-proces. Meer informatie over de stappen die bij bedrijfsverificatie komen kijken, is te vinden in onze due diligence checklist voor bedrijven.

Dit artikel is uitsluitend informatief en vormt geen juridisch advies.