Rechtbank Amsterdam, 21-05-2026 (C/13/779919)

RECHTBANK Amsterdam Civiel recht Zaaknummer / rekestnummer: C/13/779919 / HA RK 25-436 Beschikking van 21 mei 2026 in de zaak van 1 [verzoeker 1] , wonende in [woonplaats 1], hierna: [verzoeker 1], 2. [verzoeker 2] , wonende in [woonplaats 2], hierna te noemen: [verzoeker 2], verzoekende partijen, hierna samen te noemen: [verzoeker 1] en [verzoeker 2], advocaat: mr. M.A. Hupkes, tegen BITVAVO B.V. , gevestigd in Amsterdam, verwerende partij, hierna te noemen: Bitvavo, advocaat: mr. O.J.W. Schotel. Waar gaat de zaak over? [verzoeker 1] en [verzoeker 2] zijn slachtoffer geworden van helpdeskfraude waarbij ruim 2,7 miljoen euro aan cryptovaluta is buitgemaakt. [verzoeker 1] en [verzoeker 2] vermoeden dat de informatie die hiervoor is gebruikt van Bitvavo afkomstig is en overwegen Bitvavo aansprakelijk te stellen. [verzoeker 1] en [verzoeker 2] verzoeken de rechtbank een voorlopig getuigenverhoor en een voorlopig deskundigenbericht te bevelen. Bitvavo verweert zich tegen de verzoeken van [verzoeker 1] en [verzoeker 2]. De rechtbank wijst het verzoek om een voorlopig getuigenverhoor af en het verzoek om een voorlopig deskundigenbericht toe. 1 De procedure 1.1. Het verloop van de procedure blijkt uit: - het verzoekschrift, met producties, - het verweerschrift, met producties, - de mondelinge behandeling van 2 april 2026, waarvan de zittingsaantekeningen van de griffier aan het dossier zijn toegevoegd. 1.2. De beschikking is bepaald op vandaag. 2 De feiten 2.1. [verzoeker 1] en [verzoeker 2] zijn klant bij Bitvavo. Via het platform van Bitvavo hebben zij cryptovaluta gekocht. [verzoeker 1] en [verzoeker 2] hebben beide een eigen ledger (een hardware kluis). De door hen via Bitvavo aangekochte cryptovaluta hebben zij steeds naar hun eigen ledger overgeheveld en worden daarin bewaard. Voor het geval de ledger of pincode zoekraakt, bestaat er voor herstel een recovery seed phrase van ten minste 12 wachtwoorden. 2.2. In mei 2024 heeft een datalek bij Bitvavo plaatsgevonden. 2.3. Op 19 november 2024 heeft [verzoeker 2] de volgende sms ontvangen: “ U heeft Ledger Live gekoppeld aan uw Bitvavo API. Als u dit niet heeft gedaan, kunt u contact opnemen met de ondersteuning via [telefoonnummer 1] ”. Daarna heeft [verzoeker 2] contact opgenomen met het telefoonnummer en contact gehad een persoon die zich voordeed als een medewerker van Bitvavo. Bij deze persoon was bekend dat [verzoeker 2] een offline wallet van het type Trezor had. De persoon liet aan [verzoeker 2] weten dat er was geprobeerd in te breken in zijn wallet en dat hij zijn Trezor hardware-key moest updaten door zijn recovery seed phrase op een website in te vullen. Toen dit niet lukte, heeft [verzoeker 2] zijn recovery seed phrase telefonisch aan de persoon doorgegeven. Daarna zijn al zijn Bitcoins, met een waarde van € 1.679.844,55, van de wallet van [verzoeker 2] overgeboekt naar een voor hem onbekende wallet. 2.4. Op 11 augustus 2025 heeft [verzoeker 1] de volgende sms ontvangen: “ Er is om 16:49 ingelogd vanuit Antwerpen. Herken je dit niet? Bel direct [telefoonnummer 2] ”. De persoon waarmee [verzoeker 1] vervolgens contact had deed zich voor als een medewerker van Bitvavo. Deze fraudeur was bekend met het crypto adres van [verzoeker 1] bij Bitvavo en het exacte saldo van de crypto van [verzoeker 1] en de soorten crypto in zijn ledger. [verzoeker 1] kreeg te horen dat zij account bij Bitavo was gehackt en dat ze malware op zijn ledger hadden ontdekt. Dit zou zijn te verhelpen door verandering van zijn recovery seed phrase, waarna [verzoeker 1] zijn bestaande recovery seed phrase desgevraagd heeft ingevuld op de website [internetsite]. Vervolgens zijn alle Bitcoins en Ethereums, met een waarde van € 1.004.500,00, van de wallet van [verzoeker 1] overgeboekt naar een voor hem onbekende wallet. 2.5. Op [datum] 2025 heeft het Financieele Dagblad (hierna: FD) een artikel gepubliceerd waarin is geschreven dat directie en aandeelhouders van Bitvavo toegang hadden tot klantgegevens. 2.6. Op 6 februari 2026 heeft Bitvavo aan [verzoeker 1] en [verzoeker 2] laten weten dat zij naar haar beste weten niet betrokken zijn geweest bij het datalek. Daarna heeft Bitvavo [verzoeker 1] en [verzoeker 2] laten weten dat de activiteiten van medewerkers van Bitvavo in de accounts van [verzoeker 1] en [verzoeker 2] zijn geadministreerd, die activiteiten tot 6 maanden voorafgaand aan de fraude zijn gecheckt en dat alle activiteiten te herleiden zijn tot duidelijke triggers, zoals helpdesk tickets van [verzoeker 1] en [verzoeker 2] zelf. 3 Het verzoek en het verweer 3.1. [verzoeker 1] en [verzoeker 2] verzoeken de rechtbank een voorlopig getuigenverhoor te bevelen, waarbij de voormalige en huidige head of legal van Bitvavo worden gehoord over: ( a) het beleid van Bitvavo bij het datalek van mei 2024, ( b) de wijze waarop Bitvavo personen selecteert en aanschrijft van wie persoonsgegevens openbaar zijn geworden als gevolg van een datalek en de wijze waarop concreet is vastgesteld welke klanten slachtoffer zijn van het bekende datalek, ( c) het beleid bij Bitvavo voor inzage in klantgegevens door personeel, ( d) het beleid bij Bitvavo voor de registratie van het raadplegen van klantgegevens door medewerkers (de logfiles), en ( e) het beleid bij Bitvavo voor het verhelpen en dichten van datalekken. Ook verzoeken [verzoeker 1] en [verzoeker 2] de rechtbank een voorlopig deskundigenbericht te bevelen. Zij willen dat een deskundige: ( a) onderzoek doet naar de ICT-systemen van Bitvavo en het datalek, ( b) onderzoekt of de persoonsgegevens van verzoekers betrokken zijn geweest bij een datalek. 3.2. Bitvavo meent dat de verzoeken moeten worden afgewezen en wil dat [verzoeker 1] en [verzoeker 2] in de kosten van het geding worden veroordeeld. 3.3. Op de standpunten van partijen wordt hierna, voor zover nodig, verder ingegaan. 4 De beoordeling 4.1. Een verzoek om een voorlopige bewijsverrichting te bevelen wijst de rechter op grond van artikel 196 van het Wetboek van Rechtsvordering (Rv) toe, tenzij a) de informatie die verlangd wordt, niet voldoende bepaald is, b) onvoldoende belang bij de voorlopige bewijsverrichting bestaat, c) het verzoek om voorlopige bewijsverrichtingen in strijd is met de goede procesorde, d) sprake is van misbruik van bevoegdheid of d) andere gewichtige redenen bestaan die zich verzetten tegen de voorlopige bewijsverrichting. Dit betekent dat als er geen afwijzingsgronden zijn en het verzoekschrift aan de vereisten voldoet, het verzoek wordt toegewezen. 4.2. De rechtbank stelt voorop dat het [verzoeker 1] en [verzoeker 2] primair gaat om de vraag of hun gegevens zijn gelekt bij Bitvavo en of er sprake is geweest van rekening gluren door medewerkers van Bitvavo. Zij vermoeden dat de fraudeurs via die weg aan de bij hen bekende informatie over de cryptovaluta van [verzoeker 2] en [verzoeker 1] zijn gekomen. Dat zijn door Bitvavo betwiste feiten die zich voor bewijslevering lenen. Dat ligt anders bij wat [verzoeker 2] en [verzoeker 1] met hun verzoeken willen achterhalen over (i) het beleid van Bitvavo omtrent – kort gezegd – datalekken en de toegang tot klantgegevens en (ii) de ICT-systemen van Bitvavo. Deze vragen (zeer) algemeen en breed ingestoken en niet toegespitst op verzoekers. Welk concreet belang zij hierbij op dit moment hebben, is niet voldoende toegelicht. Daarnaast roepen deze brede en algemeen geformuleerde verzoeken het beeld op dat sprake is van een zoektocht naar mogelijke verwijten en dat kwalificeert als een fishing expedition waarvoor voorlopige bewijsverrichtingen niet zijn bedoeld. In zoverre is er tevens sprake van misbruik van recht. Dit betekent dat het verzoek van [verzoeker 1] en [verzoeker 2] om een voorlopig getuigenverhoor wordt afgewezen en dat geldt ook voor het verzoek voor een voorlopig deskundigenbericht voor zover dat betrekking heeft op een algemeen onderzoek naar de ICT-systemen van Bitvavo en het datalek. 4.3. Het verzoek van [verzoeker 1] en [verzoeker 2] om een voorlopig deskundigenbericht te bevelen wordt wel toegewezen voor zover dat betrekking heeft op een onderzoek naar de in al. 3.11 van het verzoekschrift genoemde kernvragen (i) of de persoonsgegevens van verzoekers betrokken zijn geweest bij het datalek van mei 2024 en (ii) welke medewerkers van Bitvavo wanneer en met welk reden inzage hebben gehad in de accounts van verzoekers. Ter toelichting geldt het volgende. 4.4. Bitvavo vindt dat het verzoek moet worden afgewezen omdat zij al heeft verklaard dat [verzoeker 1] en [verzoeker 2] niet betrokken zijn bij het datalek van mei 2024. Bitvavo heeft de klanten die wel betrokken zijn geweest al geïnformeerd over dat datalek en zij heeft [verzoeker 1] en [verzoeker 2] op 6 februari 2026 desgevraagd laten weten dat zij niet bij het datalek betrokken zijn. Daarom ontbreekt volgens Bitvavo het vereiste belang bij dit verzoek. Dit standpunt gaat niet op. [verzoeker 1] en [verzoeker 2] hebben de mededeling van Bitvavo op geen enkele manier kunnen verifiëren en daarnaast hebben zij concrete feiten aangevoerd op basis waarvan zij vermoeden dat de informatie waarover de fraudeurs beschikten bij Bitvavo vandaan is gekomen. Zij hebben erop gewezen dat de personen door wie [verzoeker 1] en [verzoeker 2] telefonisch zijn benaderd specifieke informatie hadden die naast verzoekers alleen bekend was bij Bitvavo, waaronder het type ledger van [verzoeker 2] (Trezor), het actuele cryptotegoed van [verzoeker 1], de soorten crypto in zijn wallet en het protocol voor toegang dat [verzoeker 1] volgde. Dat gegevens van [verzoeker 1] en [verzoeker 2] ook onderdeel zijn geweest van datalekken bij andere bedrijven die zijn gehackt, zoals door Bitvavo naar voren is gebracht, legt geen gewicht in de schaal omdat de koppeling met de gegevens van de door verzoekers via Bitvavo verrichte cryptotransacties daarbij niet (voldoende) is gelegd. Naar het oordeel van de rechtbank hebben [verzoeker 1] en [verzoeker 2] dus voldoende belang om door een deskundige te laten verifiëren of hun gegevens onderdeel hebben uitgemaakt van het datalek bij Bitvavo van mei 2024. Het is daarnaast duidelijk waarop het onderzoek moet zien en van strijd met de procesorde of misbruik van recht is op dit onderdeel geen sprake. Dat laatste is anders voor zover het verzoek ziet op een onderzoek naar “enig ander datalek”. Dit geldt als een ongeoorloofde fishing expedition naar het bestaan van mogelijke andere datalekken en wordt daarom afgewezen. 4.5. Daarnaast meent Bitvavo dat het verzoek niet toewijsbaar is omdat zij al heeft verklaard dat – kort gezegd – van ongeoorloofde toegang tot de accounts van [verzoeker 1] en [verzoeker 2] door haar medewerkers geen sprake is. Ook dit wordt niet gevolgd. [verzoeker 1] en [verzoeker 2] hebben om te beginnen niet kunnen vaststellen dat de activiteiten van medewerkers van Bitvavo in hun accounts zijn vastgelegd in logfiles. De logfiles, die volgens Bitvavo wel bestaan, zijn niet aan [verzoeker 1] en [verzoeker 2] verstrekt. [verzoeker 1] en [verzoeker 2] kunnen dus niet controleren welke medewerker wanneer toegang heeft gehad tot hun accounts en met welk doel, terwijl zij wel concreet hebben gemaakt waarom zij menen dat de informatie waarover de fraudeurs beschikten bij Bitvavo vandaan komt (zie hiervoor onder 4.4). Daarnaast is niet in geschil dat op enig moment bij Bitvavo betrokken personen zich toegang hebben verschaft tot accounts van klanten zonder geëigende reden, hetgeen binnen de systemen van Bitvavo dus kennelijk mogelijk was. Dit alles maakt dat [verzoeker 1] en [verzoeker 2] belang hebben bij hun verzoek om dit door een deskundige laten onderzoeken. Het is daarnaast duidelijk wat onderzocht moet worden en van strijd met de goede procesorde of misbruik van recht is geen sprake. 4.6. Voor zover de rechtbank Bitvavo zo moet begrijpen dat zij met het beroep op het belang van privacy van haar medewerkers bedoelt aan te voeren dat gewichtige redenen zich tegen toewijzing van het verzoek verzetten, faalt dit. Van bedrijfsgevoelige informatie is op dat punt geen sprake en daarnaast weegt het belang van [verzoeker 2] en [verzoeker 1] om te weten wie er mogelijk zonder aanwijsbare reden toegang heeft gehad tot hun klantgegevens zodat zij die perso(o)n(en) mogelijk daarover kunnen bevragen, zwaarder dan het belang van Bitvavo om de privacy van haar medewerkers te beschermen. De rechtbank onderkent de door Bitvavo ook aangevoerde belangen om de privacy van haar andere klanten te beschermen en dat geheimhouding wordt betracht over bepaalde bedrijfsgevoelige informatie en meent tegelijk dat deze zorg voldoende kan worden ondervangen door afbakening van het deskundigenonderzoek, zoals hierna in 4.9 uiteengezet wordt. Ook dit staat dus niet aan toewijzing van dit deel van het verzoek in de weg. De deskundige en het onderzoek 4.7. Door [verzoeker 1] en [verzoeker 2] is drs. W.A. (Wim) Verloop RFIN, manager cyber security unit bij DataExpert B.V., voorgesteld als deskundige. Bitvavo heeft in haar verweerschrift aangegeven zich te willen uitlaten over de persoon van de deskundige, maar hierover verder tijdens de mondelinge behandeling niets naar voren gebracht. Tijdens de mondelinge behandeling heeft de rechtbank aan partijen voorgelegd dat zij geen bezwaren ziet in de door [verzoeker 1] en [verzoeker 2] voorgestelde deskundige en dat deze heeft laten weten dat het hem vrijstaat de opdracht te aanvaarden. De door [verzoeker 1] en [verzoeker 2] voorgestelde deskundige zal daarom als zodanig worden benoemd, tenzij partijen bij de hierna in 5.2 genoemde akte gezamenlijk verzoeken een andere deskundige te benoemen. 4.8. De rechtbank geeft partijen de gelegenheid om bij voorkeur eenstemmig de vragen voor de deskundige te formuleren en stelt in ieder geval de volgende vragen voor: - Zijn de gegevens van [verzoeker 1] en/of [verzoeker 2] betrokken bij het datalek in mei 2024? - Welke medewerkers van Bitvavo hebben toegang gehad tot de accounts van [verzoeker 1] en/of [verzoeker 2] in de periode van 1 januari 2024 tot en met 1 september 2025? - Wat was de functie van de betreffende medewerker? - Wat was de aanleiding van de toegang van de betreffende medewerker? - Met welk doel heeft de medewerker toegang gehad? - Indien één van de voorgaande vragen niet te beantwoorden is, wat is daarvan de reden? 4.9. De wijze waarop de deskundige zijn onderzoek uitvoert is - met inachtneming van de Leidraad deskundigen in civiele zaken - in beginsel aan zijn expertise overgelaten, dit geldt ook voor de informatie die de deskundige (naast het procesdossier) voor het onderzoek verlangt. De rechtbank ziet in de door Bitvavo geuite zorgen over inzage in bedrijfsgevoelige informatie die bij openbaarmaking kan worden misbruikt, reden om de opdracht voor de deskundige duidelijk af te bakenen. Het onderzoek zal in een afgeschermde omgeving plaatsvinden. Ook krijgt de deskundige geen toegang tot de indicatoren voor transactiemonitoring. Daarnaast zal Bitvavo op grond van artikel 23 leden 1 en 2 Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) de deskundige geen toegang hoeven geven tot de informatie waarover zich beschikt met betrekking tot eventuele acties van of contacten met de Financial Intelligence Unit (FIU). De deskundige zal daarnaast zal geen namen van klanten van Bitvavo mogen openbaren anders dan die van [verzoeker 1] en [verzoeker 2]. Deze laatste beperking geldt niet voor medewerkers van Bitvavo. Zoals hiervoor in 4.6 is toegelicht, weegt het belang van [verzoeker 1] en [verzoeker 2] om van de deskundige niet alleen te vernemen dat iemand toegang heeft gehad tot hun accounts maar ook wie dat is geweest, zwaarder dan de privacy van die medewerkers. 5 De beslissing De rechtbank 5.1. beveelt een onderzoek door een deskundige voor de (gemotiveerde) beantwoording van de nog vast te stellen vragen, 5.2. verwijst de zaak naar de roldatum van 11 juni 2025 voor het nemen van een akte, bij voorkeur eenstemmig en anders door [verzoeker 1] en [verzoeker 2] en 4 weken later door Bitvavo, voor het onder 4.7 en 4.8 omschreven doel, 5.3. houdt iedere verdere beslissing aan. Deze beschikking is gegeven door mr. B.M. Visser, rechter, bijgestaan door mr. N. Noordmans, griffier en in het openbaar uitgesproken op 21 mei 2026.