Wie crypto heeft bij een Nederlands platform, krijgt deze weken een verzoek om persoonlijke gegevens aan te vullen. Je fiscale woonland, je burgerservicenummer of buitenlands fiscaal nummer, soms je nationaliteit. De Telegraaf meldt dat klanten van Bitvavo die dat niet doen tijdelijk niet kunnen handelen. Dat klinkt als een fiscus die op jacht gaat, maar het zit iets anders in elkaar.
Achter die berichten zitten twee afkortingen, CARF en DAC8. Wie snapt wat die regelen en vooral wanneer, ziet ook meteen wat er de komende maanden wel en niet met zijn gegevens gebeurt.
Wat CARF en DAC8 zijn
CARF staat voor Crypto-Asset Reporting Framework, een internationale standaard van de OESO. Die beschrijft welke gegevens cryptodienstverleners over hun klanten moeten verzamelen en hoe belastingdiensten van verschillende landen die met elkaar uitwisselen. DAC8 is de Europese richtlijn die een groot deel van die standaard omzet in bindende regels voor alle EU-landen. Hij werd op 17 oktober 2023 aangenomen en geldt sinds 1 januari 2026.
Volgens een uitleg van Nextens van 28 oktober 2026 heeft Nederland de richtlijn dit jaar ingevoerd, met terugwerkende kracht tot 1 januari. Platforms moeten daardoor van elke klant naam, adres, fiscale woonplaats en fiscaal identificatienummer hebben. Voor een Nederlandse particulier is dat doorgaans het BSN. Bitvavo schrijft op zijn hulppagina dat nieuwe klanten sinds januari bij het aanmelden al hun fiscale gegevens invullen. Bestaande klanten krijgen nu de vraag om aan te vullen wat nog ontbreekt.
Daarnaast leggen platforms je transacties vast. Het gaat om aan- en verkopen van crypto tegen euro’s, het omwisselen van de ene munt in de andere, bepaalde overboekingen naar een eigen wallet en grote betalingen met crypto. Per transactie gaat het om het soort munt, de hoeveelheid en de waarde. Ook stablecoins en sommige NFT’s vallen eronder.
Wanneer de Belastingdienst iets ziet
Hier zit het deel dat in de berichtgeving vaak ontbreekt. Het verzamelen gebeurt nu, maar de Belastingdienst krijgt de gegevens pas volgend jaar.
| Moment | Wat er gebeurt |
|---|---|
| 1 januari 2026 | DAC8 geldt, platforms leggen gegevens over 2026 vast |
| najaar 2026 | bestaande klanten moeten ontbrekende fiscale gegevens aanvullen |
| uiterlijk 31 januari 2027 | Nederlandse platforms leveren de gegevens over 2026 aan de Belastingdienst |
| uiterlijk 30 september 2027 | eerste uitwisseling tussen EU-landen over 2026 |
| daarna | elk jaar opnieuw |
Wie bij een Nederlands platform zit en in Nederland woont, merkt het dus voor het eerst bij de aangifte over 2026, of later als de Belastingdienst gegevens gaat vergelijken. Wie bij een platform in een ander EU-land zit, komt via de uitwisseling in de loop van 2027 in beeld.
Een nieuwe belasting is het niet
DAC8 verandert niets aan hoe crypto belast wordt. Bij particulieren valt crypto gewoon in box 3, gewaardeerd op 1 januari van het belastingjaar. Of je iets betaalt, hangt af van je totale vermogen, je schulden en het heffingsvrije vermogen. Veel handelen betekent ook niet automatisch veel belasting. Wie zijn crypto al netjes opgaf, hoeft volgens Nextens niets anders te doen.
Wie dat niet deed, heeft wel iets om over na te denken. Zodra de gegevens binnen zijn, kan de Belastingdienst ze naast eerdere aangiften leggen. Verschillen kunnen dan leiden tot een navordering, en soms belastingrente of een boete. De termijnen daarvoor veranderen niet door DAC8. Ik vind dat eerlijk gezegd het belangrijkste punt van dit hele verhaal. Het verzoek van je platform is geen verdenking, maar het is wel een goed moment om je eigen aangiften van de afgelopen jaren na te lopen.
Crypto in een eigen wallet valt niet direct onder de meldplicht van het platform. Een overboeking van een platform naar zo’n wallet kan wel worden gemeld, en de aangifteplicht blijft gewoon gelden.
Echt verzoek of phishing?
Een golf echte verzoeken om persoonsgegevens is een cadeau voor oplichters. Dat zagen we eerder dit najaar, toen oplichters de Europese cryptoregels van MiCA misbruikten met nagemaakte migratieberichten. Met DAC8 ligt hetzelfde scenario klaar. Een mail die zegt dat je account wordt bevroren als je niet binnen 24 uur je BSN invult, is precies wat iemand met slechte bedoelingen zou sturen.
Het verschil zit in de plek waar je het verzoek afhandelt. Een echt verzoek kun je altijd terugvinden als je zelf de app opent of zelf naar de website van je platform gaat, zonder op een link in een mail of sms te klikken. Staat het daar niet, dan is het bericht niet echt. Je wachtwoord, je herstelzin of een code uit je authenticator-app hoort nooit bij zo’n verzoek.
Bitvavo schrijft dat het aanvullen voor de meeste klanten een paar minuten kost, omdat het grotendeels gaat om gegevens bevestigen die het platform al heeft. Wie het uitstelt, loopt volgens de Telegraaf het risico dat handelen tijdelijk niet lukt. Een vervelende drempel, maar wel een die je in de app zelf oplost, nooit via een bericht dat jou de weg wijst.
