Betaaldiensten

Een vergunning kan vereist zijn wanneer een onderneming in Nederland beroeps- of bedrijfsmatig betaaldiensten verleent. Het uitgangspunt is daarom of de relevante activiteiten kwalificeren als één of meer gereguleerde betaaldiensten onder PSD2 en de Wft, en of deze diensten beroeps- of bedrijfsmatig worden verleend.

In de praktijk is de analyse feitelijk van aard. Relevante vragen zijn onder meer of de onderneming geldmiddelen ontvangt of controleert, of zij betaalrekeningen beheert, of zij betalingstransacties initieert of uitvoert, of zij betaalinstrumenten uitgeeft of betalingstransacties accepteert, of zij geldtransfers verleent, of dat zij betaalinitiatie- of rekeninginformatiediensten verleent.

Het verlenen van diensten aan meerdere klanten of het actief promoten van betaaldiensten kan erop wijzen dat de diensten beroeps- of bedrijfsmatig worden verleend. Eenmalige of zeer incidentele activiteiten kunnen buiten de reikwijdte van het handelen als betaaldienstverlener vallen, maar die beoordeling moet zorgvuldig en aan de hand van het daadwerkelijke operationele model worden gemaakt.

Niet elke betalingsgerelateerde activiteit is een gereguleerde betaaldienst. PSD2 en de Wft bevatten een aantal uitzonderingen en vrijstellingen. Deze kunnen bijvoorbeeld relevant zijn voor puur technische dienstverleners, bepaalde handelsagentmodellen, intragroepbetalingsdiensten, instrumenten binnen een beperkt netwerk, bepaalde telecom- en digitalecontentmodellen en diensten zonder girale component.

PSD2 bevat verschillende uitzonderingen, vrijstellingen en uitsluitingen. Relevante uitzonderingen en vrijstellingen zijn onder meer:

• De handelsagentuitsluiting. Deze uitsluiting is vaak relevant voor platformen en marktplaatsmodellen, maar is geen algemene platformvrijstelling. De uitsluiting is van toepassing wanneer de handelsagent uitsluitend namens de betaler of uitsluitend namens de begunstigde handelt, contractueel bevoegd is om te onderhandelen over of de verkoop of aankoop van goederen of diensten te sluiten, en een commerciële relatie heeft die verder gaat dan het louter faciliteren van betalingen.

• De beperkt network uitzondering. Deze uitzondering is van toepassing op betaalinstrumenten die slechts op beperkte wijze kunnen worden gebruikt. Deze betaalinstrumenten moeten de houder in staat stellen goederen of diensten uitsluitend te verkrijgen in de bedrijfsruimten van de uitgever of binnen een beperkt netwerk van dienstverleners, of uitsluitend te worden gebruikt voor het verkrijgen van een zeer beperkt aanbod van goederen of diensten.

• Een vrijstelling voor kleine betaaldienstverleners. Bepaalde kleine betaaldienstverleners die geen geldtransfer, betaalinitiatie- of rekeninginformatiediensten verlenen en die aan verschillende voorwaarden voldoen, kunnen zijn vrijgesteld van de vergunningsvereisten. Deze voorwaarden omvatten onder meer dat de diensten uitsluitend in Nederland worden verleend en dat het gemiddelde totale transactiebedrag over de afgelopen twaalf maanden niet hoger is dan EUR 3 miljoen per maand.

Of een vergunning voor betaaldiensten kan worden verkregen, wordt niet alleen bepaald door de juridische kwalificatie. Een vergunningsaanvraag vereist een voldoende uitgewerkt bedrijfsmodel, een duidelijk programma van werkzaamheden, een geloofwaardige governance-structuur, adequate interne controles, voldoende financiële middelen en een werkbare safeguardingstructuur.

Voor fintech-ondernemingen is de betaalstroom doorgaans het centrale element van de analyse. De juridische kwalificatie hangt vaak af van de wijze waarop geldmiddelen bewegen tussen gebruikers, merchants, platformentiteiten, betaaldienstverleners en safeguardingrekeningen. Contractuele bewoordingen zijn relevant, maar zijn niet doorslaggevend indien de operationele werkelijkheid in een andere richting wijst.

Een ander belangrijk aandachtspunt is lokale substance. Vergunningaanvragers moeten in staat zijn de onderneming op een beheerste en integere wijze te voeren. Dit omvat duidelijke besluitvorming, voldoende personeel en expertise, passend toezicht op uitbesteding, betrouwbare systemen en een governance-structuur die effectief toezicht ondersteunt.

Een verder belangrijk aandachtspunt is safeguarding. Safeguarding moet vroeg in het proces worden geadresseerd. Vergunningaanvragers moeten hun safeguardingmethoden duidelijk documenteren. DNB erkent drie mogelijke methoden: een stichting derdengelden, een afgescheiden vermogensrekening of een verzekering of garantie. Onvolledige safeguardingdocumentatie kan de inhoudelijke beoordeling van de vergunningaanvraag vertragen of verhinderen.

Regelgeving inzake betaaldiensten kan ook relevant zijn voor crypto- en digital-assetmodellen. De toepasselijkheid van de Markets in Crypto-Assets Regulation (MiCA) sluit de toepassing van PSD2 niet automatisch uit. Een crypto-gerelateerd bedrijfsmodel kan een MiCA-vergunning, een vergunning voor betaaldiensten, een vergunning als elektronischgeldinstelling, een samenwerking met een vergunninghoudende betaaldienstverlener of een combinatie daarvan vereisen.

Dit is met name relevant wanneer het model fiat-betaalstromen, betaalrekeningen, custodial wallets met betaalfunctionaliteit, e-money tokens, merchant settlement of overdrachten waarbij geldmiddelen betrokken zijn omvat. In die gevallen mag de juridische analyse niet bij MiCA stoppen. De wisselwerking tussen MiCA, PSD2, de tweede richtlijn elektronisch geld (EMD2), de Transfer of Funds Regulation (TFR) en AML/CFT-vereisten moet gezamenlijk worden beoordeeld.

Het Europese kader voor betaaldiensten is eveneens in transitie. Het Europees Parlement en de Raad bereikten in november 2025 een voorlopig politiek akkoord over de verordening betaaldiensten (PSR) en de derde betaaldienstenrichtlijn (PSD3). Dit zal het Europese kader voor betaaldiensten verder harmoniseren, waarbij de overgang wordt gemaakt van een richtlijn die in nationale wetgeving moet worden geïmplementeerd naar een rechtstreeks toepasselijke verordening.

Betaalinstellingen moeten een duidelijke governance-structuur hebben. Dit omvat een transparante verdeling van verantwoordelijkheden, duidelijke rapportagelijnen, effectief toezicht door het management en een organisatie die de onderneming in staat stelt om op een beheerste en integere wijze te opereren.

Het leidinggevend orgaan en andere dagelijks beleidsbepalers moeten geschikt en betrouwbaar zijn. In de praktijk zal de toezichthouder ook kijken naar de lokale substance van de aanvrager, de onafhankelijkheid en effectiviteit van de internecontrolefuncties en de wijze waarop verantwoordelijkheden binnen een groepsstructuur zijn verdeeld.

Wanneer het bedrijfsmodel grensoverschrijdend, groepsgebaseerd of sterk afhankelijk is van uitbestede dienstverleners, wordt governance bijzonder belangrijk. De aanvrager moet controle houden over zijn gereguleerde activiteiten en kunnen aantonen dat hij toezicht kan houden op uitbestede functies, incidenten kan beheersen en kan reageren op verzoeken van toezichthouders.

In verschillende gevallen kan voor het verkrijgen van een vergunning als betaalinstelling een raad van commissarissen vereist zijn.

Een vergunningaanvraag als betaalinstelling vereist een coherent geheel van interne beleidsstukken en procedures. Deze moeten niet worden behandeld als op zichzelf staande documenten, maar als onderdeel van een breder operationeel model dat uitlegt hoe de onderneming in de praktijk betaaldiensten zal verlenen.

Afhankelijk van het model zal het beleidskader doorgaans de volgende onderwerpen bestrijken:

• Governance;
• Risicobeheer;
• Compliance;
• AML/CFT;
• Sancties;
• Safeguarding;
• Uitbesteding;
• Klachtenbehandeling;
• Incidentmanagement;
• Bedrijfscontinuïteit;
• ICT- en beveiligingsrisico;
• Gegevensbescherming;
• Operationele weerbaarheid; en
• Interne rapportage.

Voor betaalinstellingen is DORA inmiddels een belangrijk onderdeel van het operationele kader. DORA is sinds 17 januari 2025 van toepassing en introduceert vereisten voor ICT-risicobeheer, incidentrapportage, het testen van digitale operationele weerbaarheid en ICT-derdenrisico.

Een betaalinstelling moet een organisatie hebben die in staat is de gereguleerde diensten waarvoor vergunning wordt aangevraagd te ondersteunen. Dit omvat voldoende personeel, expertise, systemen, controles en operationele capaciteit.

De organisatie moet worden ingericht rondom de daadwerkelijke diensten die zullen worden verleend. Een aanbieder van betaalinitiatiediensten heeft bijvoorbeeld een ander operationeel risicoprofiel dan een betaalinstelling die cliëntgelden ontvangt en bewaart, betaalrekeningen beheert of acceptatiediensten aan merchants verleent.

Uitbesteding staat vaak centraal in fintech-betaalmodellen. Uitbesteding is toegestaan, maar draagt de regulatoire verantwoordelijkheid niet over. De aanvrager moet intern voldoende kennis, toezicht en besluitvormingscapaciteit behouden en ervoor zorgen dat uitbestedingsregelingen het vermogen van de toezichthouder om toezicht te houden op de instelling niet belemmeren.

Een betaalinstelling moet beschikken over een effectief compliance- en internecontrolekader. In de praktijk betekent dit dat de instelling juridische, regulatoire, operationele en integriteitsrisico’s doorlopend moet kunnen identificeren, beoordelen, monitoren en mitigeren.

AML/CFT en sancties moeten worden behandeld als kernonderwerpen in het vergunningtraject. Afhankelijk van het bedrijfsmodel kan de betaalinstelling cliëntenonderzoeksprocedures, transactiemonitoring, sanctiescreening, procedures voor het melden van ongebruikelijke transacties, risicobeoordelingen, escalatieprocessen en een duidelijke verdeling van verantwoordelijkheden nodig hebben.

Operationele en beveiligingsrisico’s zijn eveneens centraal. Betaalinstellingen moeten kunnen aantonen hoe zij betaaldienstgebruikers beschermen, frauderisico beheren, betaalgegevens beveiligen, incidenten afhandelen, continuïteit waarborgen en voldoen aan toepasselijke authenticatie- en communicatievereisten.

Een betaalinstelling moet voldoen aan toepasselijke aanvangskapitaal- en eigenvermogensvereisten. Het vereiste bedrag hangt af van de verleende betaaldiensten en de methode die wordt gebruikt voor de berekening van het doorlopende eigen vermogen.

De prudentiële analyse moet niet worden gereduceerd tot een formeel kapitaalbedrag. De toezichthouders zullen ook verwachten dat de aanvrager beschikt over een geloofwaardige financiële prognose, adequate financiering, realistische aannames en voldoende middelen om de organisatie tijdens en na het vergunningstraject in stand te houden.

Safeguarding van cliëntgelden is een afzonderlijk en belangrijk prudentieel onderwerp. Betaalinstellingen die geldmiddelen ontvangen voor de uitvoering van betalingstransacties moeten ervoor zorgen dat die geldmiddelen worden beschermd overeenkomstig de toepasselijke safeguardingregels. PSD2 vereist safeguarding van geldmiddelen die worden ontvangen door betaalinstellingen die bepaalde betaaldiensten verlenen, en toezichtguidance benadrukt het belang van het vroegtijdig selecteren en documenteren van de safeguardingmethode in het aanvraagproces.

Een vergunningaanvraag als betaalinstelling is een gestructureerd proces. De aanvrager moet eerst de exacte reikwijdte bepalen van de diensten waarvoor vergunning is vereist en een aanvraagdossier voorbereiden dat het bedrijfsmodel, het programma van werkzaamheden, governance, financiële positie, safeguardingregelingen, interne controles en het compliancekader uitlegt.

Het aanvraagproces bestaat uit twee fasen: een volledigheidstoets en een inhoudelijke beoordeling. De inhoudelijke beoordeling vindt pas plaats wanneer de aanvraag volledig is, en onvolledige aanvragen kunnen worden vertraagd of buiten behandeling worden gesteld.

De wettelijke beslistermijn voor een vergunningsaanvraag als betaalinstelling bedraagt drie maanden. DNB merkt echter op dat de totale doorlooptijd vaak langer is, omdat de wettelijke termijn pas begint te lopen wanneer alle informatie die nodig is voor een beslissing is ontvangen en kan worden opgeschort wanneer informatie ontbreekt of aanvullende vragen ontstaan.

In de praktijk is de kwaliteit van het aanvraagdossier cruciaal. DNB noemt volledigheid, juridische onderbouwing, een duidelijke beschrijving van diensten en geldstromen, governance, kapitaal, safeguarding, substance in Nederland en tijdige werving van sleutelfunctionarissen als belangrijke succesfactoren.

Bij Watsonlaw benaderen wij betaaldienstvraagstukken op een praktische en hands-on manier. Wij begrijpen dat betalingsondernemingen vaak opereren in snel veranderende en technisch complexe omgevingen, waarin juridisch advies duidelijk, commercieel werkbaar en afgestemd op het daadwerkelijke product en de operationele inrichting moet zijn.

Ons werk begint vaak met de kwalificatie van de relevante diensten en betaalstromen. Wij helpen cliënten te beoordelen of hun model binnen PSD2 valt, of een vergunning of melding vereist kan zijn, of een vrijstelling of uitzondering van toepassing is en of het model anders moet worden gestructureerd om binnen het regulatoire kader te passen.

Van daaruit ondersteunen wij bij het bredere vergunning- en implementatieproces. Dit omvat het voorbereiden van de juridische analyse, het structureren van safeguardingregelingen, het opstellen van interne beleidsstukken, het beoordelen van uitbestedings- en merchantafspraken, het voorbereiden van het vergunningsdossier en waar relevant het contact met toezichthouders.

Ons advies is toegesneden op het betreffende bedrijfsmodel. Of u nu een marktplaats, wallet, acquiringmodel, betaalinitiatiedienst, embedded payments-structuur of crypto-linked betaalproduct lanceert, wij helpen het toepasselijke kader en de praktische vervolgstappen te identificeren.

Er zijn verschillende manieren waarop cliënttegoeden op een platform in cliëntaccounts kunnen worden getoond zonder dat een vergunning als betaaldienstverlener vereist is. Eén manier van structureren is de uitgifte van een betaalinstrument onder de uitzondering voor beperkte netwerken. Hiervoor is geen vergunning vereist, maar wel een melding aan de toezichthouder nadat binnen twaalf maanden een drempel van EUR 1 miljoen aan transacties is bereikt.

Safeguarding kan op verschillende manieren worden gestructureerd, waaronder via een stichting derdengelden, een afgescheiden vermogensrekening of een verzekering of garantie. De passende methode hangt af van het bedrijfsmodel, de geldstroom, de rol van derde banken of betaaldienstverleners en de wijze waarop cliëntgelden worden ontvangen en aangehouden.

Niet altijd. Crypto-gerelateerde betaalmodellen kunnen ook vragen oproepen onder MiCA en EMD2. Wanneer een model zowel crypto-assets als fiat- of elektronischgeldstromen omvat, moet de vergunninganalyse alle relevante kaders gezamenlijk in aanmerking nemen.

Diensten van technische dienstverleners die de verlening van betaaldiensten ondersteunen, zonder dat zij op enig moment in het bezit komen van de over te maken gelden, vallen niet onder PSD2. Dit omvat de verwerking en opslag van gegevens, vertrouwens- en privacybeschermingsmechanismen, authenticatie van gegevens en entiteiten, de levering van informatie- en communicatietechnologie (IT) en communicatienetwerken, en de levering en het onderhoud van terminals en apparaten die voor betaaldiensten worden gebruikt. Indien de dienst echter kwalificeert als betaalinitiatiedienst of rekeninginformatiedienst, valt deze wel onder PSD2.