Rechtbank Amsterdam, 15 oktober 2026

Het verloop van de procedure blijkt uit:

De beschikking is bepaald op vandaag.

In de beschikking van 21 mei 2026 (hierna: de tussenbeschikking) heeft de rechtbank, kort gezegd, een voorlopig deskundigenbericht bevolen zover dat betrekking heeft op een onderzoek naar de kernvragen (i) of de persoonsgegevens van [verzoeker 1] en [verzoeker 2] betrokken zijn geweest bij het datalek bij Bitvavo van mei 2024 en (ii) welke medewerkers van Bitvavo wanneer en met welk reden inzage hebben gehad in de accounts van [verzoeker 1] en [verzoeker 2]. De rechtbank heeft daartoe zes vragen aan partijen voorgesteld:

Partijen hebben zich daarna bij akte uitgelaten. In deze beschikking gaat de rechtbank eerst in op de door Bitvavo gestelde procesafspraak en de door haar verzochte aanpassing van de tussenbeschikking. Daarna wordt de door [verzoeker 1] en [verzoeker 2] voorgestelde deskundige benoemd, bepaalt de rechtbank een vertrouwelijkheidsregime voor het onderzoek en worden de vragen voor de deskundige vastgesteld.

Volgens Bitvavo hebben partijen na de mondelinge behandeling van 2 april 2026 een procesafspraak gemaakt over het deskundigenonderzoek. Bitvavo verwijst daarvoor naar een e-mail van 7 april 2026 van de advocaat van Bitvavo aan de advocaat van [verzoeker 1] en [verzoeker 2] waarin hoofdlijnen van een gevoerd overleg zijn beschreven. [verzoeker 1] en [verzoeker 2] betwisten dat er een procesafspraak is gemaakt. Volgens hen is de weergave in het bericht van 7 april 2026 van wat er is besproken onjuist en dat hebben zij in hun bericht van 15 april 2026 aan Bitvavo laten weten. Bij deze stand van zaken kan de rechtbank niet vaststellen of partijen tot een procesafspraak zijn gekomen. In deze beschikking zal daarmee dan ook geen rekening worden gehouden.

In alinea 4.5 van de beschikking van 21 mei 2026 is vermeld dat niet in geschil is “dat op enig moment bij Bitvavo betrokken personen zich toegang hebben verschaft tot accounts van klanten zonder geëigende redenen”. Bitvavo heeft de rechtbank verzocht deze feitelijke omschrijving aan te passen. Volgens Bitvavo is het niet juist dat de betrokken personen ( [functies 1] waarvan twee [functies 2]) zonder geëigende reden toegang hadden tot de accouts van klanten. Zij hadden namelijk voor de uitvoering van hun operationele taken in de startupfase van Bitvavo toegang tot de accounts. De rechtbank ziet hierin geen aanleiding voor aanpassing. In alinea 1.22 van het verzoekschrift hebben [verzoeker 1] en [verzoeker 2] gesteld dat is gebleken dat een (te) grote groep van personenen langere tijd toegang heeft (gehad) tot persoonlijke gegevens en rekeningen van klanten en verwezen naar het artikel van 15 oktober 2025 in het FD. Weliswaar heeft Bitvavo tijdens de mondelinge behandeling weersproken dat het om een (te) grote groep mensen gaat, maar zij heeft niet betwist dat er mensen binnen Bitvavo zijn die in ieder geval in het verleden toegang hadden tot klantgegevens zonder dat daarvoor aanleiding bestond. De tussenbeschikking zal op dit punt dus niet worden gewijzigd.

Bitvavo heeft geen bezwaren tegen de door [verzoeker 1] en [verzoeker 2] voorgestelde deskundige (drs. W.A. (Wim) Verloop RFIN, manager cyber security unit bij DataExpert B.V.). De rechtbank zal hem daarom als zodanig benoemen in de beslissing (zie 3.1).

Volgens Bitvavo moet de privacy van haar medewerkers worden beschermd. Zij meent dat de rechtbank bij het geven van een bewijsopdracht de vereisten van de AVG[_7577799f-8292-4655-8e3d-3e224cd2296e] in acht moet nemen, onder meer waar het gaat om de noodzakelijkheid en proportionaliteit van de gegevensverwerking. Bitvavo verwijst hiervoor naar een uitspraak van 2 maart 2023 van het Europese Hof van Justitie.[_eb4a5898-fc82-4da0-9b8c-b097dcedb053] Volgens Bitvavo is het het bekend maken van de namen van haar medewerkers zonder beperkingen niet noodzakelijk voor het bereiken van het doel van het deskundigenonderzoek.

De rechtbank ziet evenwel geen aanleiding om terug te komen op haar belangenafweging in de tussenbeschikking. Het vermoeden van [verzoeker 1] en [verzoeker 2] is dat sprake is geweest van ‘rekeninggluren’ door medewerkers van Bitvavo. De rechtbank heeft in alinea 4.6 van de tussenbeschikking geoordeeld dat het belang van [verzoeker 1] en [verzoeker 2] om te weten welke medewerker wanneer in hun rekeningen heeft gekeken zwaarder weegt dan het privacybelang van de medewerkers van Bitvavo. Vooral het uitzonderlijke karakter van de informatie waarmee de fraudeurs [verzoeker 1] en [verzoeker 2] hebben benaderd, maakt dat die belangenafweging in het voordeel van [verzoeker 1] en [verzoeker 2] uitvalt. [verzoeker 1] en [verzoeker 2] hebben onweersproken naar voren gebracht dat zij whales waren; grote en weinig handelende cryptobezitters. Zij bezaten, voordat de fraude werd gepleegd, veel crypto voor de lange termijn en waren daarmee een interessant doelwit voor fraudeurs. De fraudeurs waren bekend met het exacte saldo van de cryptotegoeden van [verzoeker 1] en [verzoeker 2] en wisten om welke crypto’s het ging. Ook waren de fraudeurs op de hoogte van het type ledger van [verzoeker 2] en van het toegangsprotocol van [verzoeker 1]. De bekendheid met deze zeer specifieke gegevens is niet vergelijkbaar met informatie die fraudeurs bijvoorbeeld zouden hebben gekregen via een datalek bij een derde.

Niettemin onderkent de rechtbank dat bekendmaking van de persoonsgegevens van medewerkers van Bitvavo verstrekkende gevolgen heeft. Voor het deskundigenonderzoek zullen de persoonsgegevens van alle medewerkers van Bitvavo die om welke reden dan ook - dus ook als daarvoor een geëigende reden was - vanaf 1 januari 2024 tot en met 1 september 2025 toegang hebben gehad tot de rekeningen van [verzoeker 1] en [verzoeker 2] bekend worden. Hierin schuilt een publicitair risico voor Bitvavo en haar medewerkers, terwijl het [verzoeker 1] en [verzoeker 2] voor een eventuele aansprakelijkstelling slechts gaat om de persoonsgegevens van de medewerkers die zonder geëigende reden toegang hebben gehad. De rechtbank oordeelt daarom dat een vertrouwelijkheidsregime passend is. Dit zal worden beheerst door een door partijen af te stemmen geheimhoudingsovereenkomst. In de geheimhoudingsovereenkomst zal in ieder geval moeten worden opgenomen dat de persoonsgegevens van de medewerkers van Bitvavo door [verzoeker 1] en [verzoeker 2] niet voor een ander doel zullen worden gebruikt dan bewijsvoering in deze procedure en niet met derden zullen worden gedeeld. Het ligt op de weg van Bitvavo om binnen één week na deze beschikking een voorstel voor een geheimhoudingsovereenkomst aan [verzoeker 1] en [verzoeker 2] voor te leggen. Als partijen niet binnen vier weken tot overeenstemming komen over de inhoud van de geheimhoudingsovereenkomst, neemt de rechtbank op verzoek van de meeste gerede partij een beslissing over de geschilpunten tussen partijen. De deskundige zal geen partij hoeven worden bij enige geheimhoudingsoveereenkomst, omdat hij vanuit zijn hoedanigheid al tot geheimhouding is gehouden. Evenwel vindt het deskundigenonderzoek niet eerder plaats nadat partijen geheimhouding zijn overeengekomen. De rechtbank wijst erop dat het bevel tot een voorlopig deskundigenonderzoek zoals besloten in de tussenbeschikking, door deze beslissing niet wordt aangetast.

[verzoeker 1] en [verzoeker 2] hebben voorgesteld de volgende aanvullende vragen aan de deskundige voor te leggen:

De rechtbank is van oordeel dat voor de vragen 7, 9 en 10 niet duidelijk is welk belang [verzoeker 1] en [verzoeker 2] hierbij hebben en verwijst daarvoor ook naar wat zij heeft geoordeeld in alinea 4.2 van de tussenbeschikking. Door de algemene en brede formulering van de vragen is sprake van een fishing expedition waarvoor voorlopige bewijsverrichtingen niet zijn bedoeld. Bij de vragen 8 en 11 ligt dit anders. Voor [verzoeker 1] en [verzoeker 2] is het voor een eventuele aansprakelijkstelling nodig om te weten of bij het datalek van mei 2024 de specifieke gegevens waarover de fraudeurs de beschikking hadden, zijn blootgesteld. De bevestiging van Bitvavo dat wallettype, cryptosaldo, transactiehistorie of volledige telefoonnummers daarbij niet betrokken waren, doet hieraan niet af. Omdat voor [verzoeker 1] en [verzoeker 2] niet duidelijk is waarop Bitvavo dit baseert, hebben zij er belang bij om dit door een deskundige te laten onderzoeken. Dat geldt ook voor de specifieke gegevens waarin de medewerkers van Bitvavo inzage hebben gehad. Bitvavo wordt niet gevolgd in haar standpunt dat deze vraag niet nodig is omdat het antwoord op deze aanvullende vraag (11) al uit de door de rechtbank geformuleerde vragen naar voren komt. De formulering van de vragen van de rechtbank is daarvoor te beperkt. De rechtbank voegt ambtshalve nog een vraag voor de deskundige toe, te weten: Als u meent dat andere dan in de vragen betrokken zaken van belang zijn, wilt u dit dan melden? Het voorgaande leidt tot de in de beslissing in alinea 3.5 vermelde vragen voor de deskundige.

De rechtbank wijst erop dat partijen wettelijk verplicht zijn om mee te werken aan het onderzoek door de deskundige. De rechtbank zal deze verplichting uitwerken hierna in in de beslissing in alinea 3.9. e.v. Wordt aan één van deze verplichtingen niet voldaan, dan kan de rechtbank daaraan de gevolgen verbinden die de rechtbank geraden acht, ook in het nadeel van de betreffende partij.

Als een partij op verzoek van de deskundige of op eigen initiatief schriftelijke opmerkingen en verzoeken aan de deskundige toestuurt, moet zij daarvan direct een afschrift aan de wederpartij verstrekken.

De rechtbank ziet geen aanleiding om af te wijken van het uitgangspunt van de wet, dat het voorschot op de kosten van de deskundige in beginsel door de verzoekende partij moet worden gedeponeerd. Dit voorschot zal daarom door [verzoeker 1] en [verzoeker 2] moeten worden betaald.

De rechtbank wijst [verzoeker 1] en [verzoeker 2] erop dat de kosten die voor de verstrekking van de gegevens moeten worden gemaakt, door [verzoeker 1] en [verzoeker 2] moeten worden gedragen.

De rechtbank zal bepalen dat door [verzoeker 1] en [verzoeker 2] een voorschot voor de kosten van het verstrekken van de gegevens moet worden betaald. De deskundige zal dit voorschot nog moeten vaststellen.

bepaalt dat de griffier een kopie van deze beschikking aan de deskundige stuurt,

bepaalt dat voordat het deskundigenonderzoek plaatsvindt partijen geheimhouding moeten overeenkomen over de persoonsgegevens van de medewerkers van Bitvavo. In deze overeenkomst is in ieder geval opgenomen dat de persoonsgegevens van die medewerkers door [verzoeker 1] en [verzoeker 2] niet voor een ander doel zullen worden gebruikt dan bewijsvoering in deze procedure en niet met derden zullen worden gedeeld. Bitvavo zal uiterlijk binnen één week na deze beschikking een geheimhoudingsovereenkomst aan [verzoeker 1] en [verzoeker 2] voorleggen,

bepaalt dat als partijen niet binnen vier weken na deze beschikking overeenstemming bereiken over de inhoud van de geheimhoudingsovereenkomst, de rechtbank op verzoek van de meest gerede partij een beslissing zal nemen over de punten van de geheimhoudingsovereenkomst waarover partijen het niet eens zijn. Partijen zullen hiertoe de rechtbank in dat geval uiterlijk op 12 november 2026 bij gezamenlijke akte berichten,

beveelt een voorlopig onderzoek door een deskundige voor de beantwoording van de volgende vragen:

bepaalt voor de vaststelling van het voorschot op de kosten van de deskundige het volgende:

bepaalt dat [verzoeker 1] en [verzoeker 2] het voorschot moet overmaken binnen twee weken na de datum van de nog te ontvangen nota met betaalinstructies van het Landelijk Dienstencentrum voor de Rechtspraak,

bepaalt dat [verzoeker 1] en [verzoeker 2] - na vaststelling van het voorschot en na bereiken van overeenstemming over de geheimhoudingsovereenkomst - het procesdossier in afschrift aan de deskundige moeten sturen,

bepaalt dat de deskundige vervolgens het onderzoek zelfstandig zal instellen op de door hem in overleg met partijen te bepalen tijd en plaats,

wijst de deskundige erop dat hij:

bepaalt dat partijen nadere inlichtingen en gegevens aan de deskundige moeten verstrekken als hij daarom vraagt, hem toegang moeten geven tot voor het onderzoek noodzakelijke plaatsen, en hem ook voor het overige de gelegenheid moeten geven om het onderzoek te verrichten,

draagt de deskundige op om uiterlijk drie maanden na het schriftelijk bericht van de griffier over de betaling van het voorschot een schriftelijk en ondertekend rapport in drievoud op de griffie van de rechtbank in te leveren, met een gespecificeerde declaratie,

wijst de deskundige erop dat:

bepaalt dat partijen bij de deskundige geen gelegenheid hebben om op elkaars opmerkingen en verzoeken naar aanleiding van het concept-rapport te reageren,

wijst af het meer of anders verzochte.