PSD2 en je banktransacties: wat een kredietverstrekker ziet en bewaart

Bij een aanvraag bij een snelle kredietverstrekker word je vrijwel altijd op een moment gevraagd om inzage in je zakelijke banktransacties. Je logt in via de omgeving van je eigen bank, bevestigt dat een derde partij je betaalgegevens mag lezen, en binnen een paar minuten heeft de verstrekker een beeld van je bedrijf. Veel ondernemers klikken daar doorheen zonder precies te weten wat ze delen, hoe lang die inzage doorloopt en hoe ze hem weer stopzetten.

Deze pagina legt dat uit. Eerst wat PSD2 precies is en waarom verstrekkers er steeds vaker op beoordelen in plaats van op jaarcijfers. Daarna welke aanbieders op deze site erom vragen, wat een verstrekker uit je transacties leest, wat er met die data gebeurt, en hoe je je er als ondernemer slim op voorbereidt. De regels rond toestemming zijn gecontroleerd op wetten.overheid.nl, bij de AFM en bij de Autoriteit Persoonsgegevens (AP) op 25 augustus 2026.

Wat PSD2 is en waarom verstrekkers het gebruiken

PSD2 is een Europese richtlijn voor het betalingsverkeer, sinds 19 februari 2019 in Nederland van kracht. De AFM omschrijft waar de regels zijn ondergebracht: in de Wet op het financieel toezicht, in het Burgerlijk Wetboek (Boek 7, Titel 7B) en in onder meer het Besluit prudentiele regels Wft. Voor de aanvraag van een krediet is vooral dit onderdeel relevant: een bank is sindsdien verplicht om een derde partij toegang te geven tot je betaalrekening, mits jij daar uitdrukkelijk mee instemt. Artikel 26j lid 1 van het Besluit prudentiele regels Wft zegt het zo: "Een rekeninginformatiedienstverlener verricht zijn diensten alleen met uitdrukkelijke instemming van de betaaldienstgebruiker." Die derde partij heeft daarvoor een vergunning nodig; in Nederland verleent De Nederlandsche Bank (DNB) die aan betaaldienstverleners, en een vergunning uit een andere EU-lidstaat werkt hier ook.

Voor een kredietverstrekker is die bankkoppeling aantrekkelijk om twee redenen die direct met elkaar samenhangen. Een jaarrekening is een terugblik: tegen de tijd dat hij definitief is, is de informatie al snel zes tot achttien maanden oud. Banktransacties laten zien wat er nu gebeurt. En het lezen ervan kost geen weken wachten op je boekhouder, maar seconden. Daarom werkt een verstrekker als 5in5 met een automatische uitlezing via Nordigen en krijgt de aanvrager naar eigen zeggen binnen vijf minuten een aanbod. De actuele data vervangen in die gevallen de papieren jaarcijfers volledig, zie ook zakelijk krediet zonder jaarcijfers.

Welke aanbieders op deze site om bankdata vragen

Niet elke verstrekker werkt op dezelfde manier. Sommige koppelen je rekening live via PSD2, andere vragen om een export die je eenmalig aanlevert. De aanbieders hieronder zijn actief op deze site en benoemen zelf dat ze op banktransacties beoordelen. De gegevens zijn overgenomen uit de aanbiedersinformatie, gecontroleerd op de websites van de aanbieders zelf.

Twee aanvullingen. Finom is in feite een zakelijke rekening met een kredietlijn: je bouwt transactiegeschiedenis op in de eigen rekening of koppelt je andere bankrekeningen via multibankieren. Creddo is geen verstrekker maar een bemiddelaar die je aanvraag met een MT940-bestand doorzet naar aangesloten geldverstrekkers. Qeld beoordeelt eveneens zonder dat je een volledige jaarrekening hoeft aan te leveren, maar publiceert minder over de methode. Wat elke aanbieder precies aan documenten vraagt, staat in het overzicht van acceptatie-eisen per aanbieder.

Wat een verstrekker uit je transacties leest

Een transactielijst is meer dan een optelsom van inkomsten en uitgaven. Uit de afzonderlijke boekingen kan een verstrekker patronen afleiden die je in een jaarrekening niet ziet. De belangrijkste signalen:

• Omzetpatroon: hoe regelmatig er geld binnenkomt, van hoeveel verschillende klanten, en of de omzet groeit of juist krimpt.
• Seizoenspieken: een verstrekker herkent een kwartaal dat structureel goed is tegenover een eenmalige uitschieter, en andersom.
• Andere financieringen: aflossingen of leasetermijnen aan andere partijen zijn direct zichtbaar en tellen mee in wat je er maandelijks nog bij kunt dragen.
• Incassoverkeer: gestorneerde of teruggeboekte incasso's van je eigen klanten wijzen op debiteuren die niet betalen.
• Belastingafdrachten: of je btw en loonheffing op tijd betaalt, zegt iets over je administratieve discipline.
• Rood staan: hoe vaak en hoe diep je de rekening onder nul trekt, leest een verstrekker als een teken van krap kasmiddelbeheer.

Niet elke verstrekker weegt al deze signalen even zwaar, en geen enkele publiceert zijn algoritme. Waar het om gaat: de verstrekker ziet geen losse samenvatting maar de hele lijst boekingen, en kan daar meer uit afleiden dan de meeste ondernemers verwachten. Hoe dat beoordelingsproces er bij banken uitziet, beschrijven we in hoe kredietverstrekkers je aanvraag beoordelen.

Wat er met je data gebeurt: eenmalig of doorlopend

Hier zit het verschil waar ondernemers het vaakst over struikelen. Er zijn twee routes, en die moet je uit elkaar houden.

Bij een eenmalige uitlezing geef je via je eigen bankomgeving toestemming, leest de verstrekker de transacties van de afgelopen periode uit en houdt het daarbij. Bij doorlopende toegang blijft de koppeling staan, zodat de verstrekker later opnieuw kan kijken, bijvoorbeeld bij een herbeoordeling van je kredietlijn.

Over de toestemming zelf geldt een aantal regels die voor alle aanbieders dezelfde zijn, ongeacht of ze eenmalig of doorlopend lezen. Voor een rekeninginformatiedienst, wat de bankkoppeling technisch is, geef je die toestemming via een autorisatie in je eigen bankomgeving. Je deelt daarbij nooit je inloggegevens zelf: je logt in bij je eigen bank en bevestigt daar de koppeling. Reageer je niet op het verzoek, dan krijgt de partij geen toegang.

90 dagen en 180 dagen zijn twee verschillende dingen

Hier gaat het online bijna overal mis, ook op pagina's van instanties. Er circuleren twee getallen, en geen van beide is een houdbaarheidsdatum van je toestemming.

180 dagen is de authenticatieklok. Gedelegeerde Verordening (EU) 2022/2360, die artikel 10 bis toevoegt aan Verordening (EU) 2018/389 en van toepassing is sinds 25 juli 2023, regelt wanneer een bank een rekeninginformatiedienst mag vrijstellen van sterke clientauthenticatie. Die vrijstelling vervalt zodra sinds de laatste sterke clientauthenticatie "meer dan 180 dagen" zijn verstreken. Er is geen bepaling die de duur van je toestemming zelf op 180 dagen maximeert. Praktisch betekent het dus niet dat je toestemming verloopt, maar dat je na 180 dagen opnieuw bij je bank moet inloggen om de koppeling te laten doorlopen. Voor 25 juli 2023 stond die termijn op 90 dagen; dat getal is vervallen.

90 dagen is de datascope. Dezelfde bepaling laat de vrijstelling alleen toe als de toegang beperkt blijft tot het saldo of tot "de betalingstransacties die de laatste negentig dagen zijn uitgevoerd via een of meer aangewezen betaalrekeningen". Wil een verstrekker meer historie zien dan 90 dagen, en dat willen partijen die op 12 maanden beoordelen, dan valt dat buiten de vrijstelling en is sterke clientauthenticatie gewoon vereist. Dat is precies waarom je bij zo'n aanvraag vaak alsnog je bankpas of app erbij moet pakken.

Let op: de AP-pagina over uitdrukkelijke toestemming bij betaaldiensten spreekt nog van een autorisatie die maximaal 90 dagen geldig is. Dat is op twee punten achterhaald, en het is de reden dat dit getal overal blijft rondzingen.

Intrekken doe je bij de verstrekker, niet bij je bank

Intrekken kan op elk moment, en moet volgens de AVG (artikel 7 lid 3) net zo eenvoudig zijn als het geven ervan; de AP houdt betaaldienstverleners daaraan en eist bovendien dat ze je voor het aangaan van de overeenkomst al vertellen hoe je intrekt. Waar je moet zijn, verrast veel ondernemers: de toestemming is van jou aan de dienstverlener, dus je trekt hem in bij die dienstverlener. De Europese Commissie bevestigt in een Q&A van de EBA dat alleen de gebruiker het recht heeft de toestemming in te trekken en dat de bank die niet kan intrekken. Je bank heeft doorgaans wel een overzicht van verleende toegangen, en kan de toegang op objectieve gronden weigeren bij een vermoeden van fraude, maar dat is juridisch iets anders dan intrekken. Wil je zeker weten dat het stopt, doe het dan bij de verstrekker en controleer het daarna in je bankomgeving.

Een verstrekker mag de data bovendien alleen gebruiken voor de dienst waar je uitdrukkelijk om vroeg: hij gebruikt, benadert en bewaart gegevens uitsluitend daarvoor, en heeft alleen toegang tot de rekeningen die je hebt aangewezen. Dat staat in artikel 26j van het Besluit prudentiele regels Wft, en daarnaast geldt de AVG. De uitlezing zelf loopt vaak via een gespecialiseerde vergunninghouder: bij 5in5 is dat Nordigen, bij Floryn werkt de koppeling met een eigen DNB-vergunning als betaaldienstverlener.

Een kanttekening voor onze lezer: de toelichting van de AP is geschreven voor consumenten. Voor zakelijke klanten laat PSD2 op onderdelen ruimte om contractueel af te wijken. Ga er dus niet van uit dat je als ondernemer exact dezelfde bescherming hebt als een particulier, en lees wat je in de kredietovereenkomst over de bankkoppeling tekent.

Praktisch: welke maanden je laat zien, en waarom opschonen loont

Omdat de verstrekker op een relatief korte periode beoordeelt, bepaal je zelf voor een deel welk beeld hij ziet. Drie zaken maken het verschil.

Laat omzet via de zakelijke rekening lopen, niet via een privérekening. Verstrekkers kijken naar de rekening die je koppelt; omzet die ergens anders staat, telt simpelweg niet mee.

Laat een aaneengesloten, recent beeld zien. Een verstrekker wil de afgelopen zes tot twaalf maanden kunnen lezen, zonder gaten. Een eenmalige slechte maand door bijvoorbeeld een late grote factuur is minder erg dan een onregelmatig patroon dat geen verklaring heeft.

Ruim eerst drie maanden op voordat je aanvraagt. Dat klinkt als wachten, maar loont. Betaal in die periode rekeningen en belastingafdrachten op tijd, voorkom onnodige storno's, laat de rekening niet structureel rood staan en zorg dat betalingen via de zakelijke rekening binnenkomen. Het beeld van de laatste drie maanden weegt bij een korte databeoordeling zwaar, en dat beeld kun je beïnvloeden voordat je de koppeling legt.

Wanneer je beter kiest voor een aanbieder op jaarcijfers

Bankdata lenen is een uitruil. Je wint snelheid en een lage drempel, maar je levert doorgaans in op prijs. Wie wel recente jaarcijfers heeft, kan vaak elders goedkoper terecht. New10, een dochter van ABN AMRO, vraagt naast 12 maanden bankafschriften ook een recente definitieve jaarrekening (behalve bij een eenmanszaak die minder dan 100.000 euro leent) en publiceert daar een vaste rente van 6 tot 12 procent tegenover. Qredits vraagt van bestaande bedrijven jaarcijfers. Ter vergelijking: Yeaz, dat op 12 maanden banktransacties beoordeelt, rekent een jaarlijks kostenpercentage van 19,5 tot 32,5 procent.

De vuistregel: bij een klein, kortlopend bedrag waar snelheid belangrijker is dan de rente, is een verstrekker op bankdata logisch. Bij grotere bedragen en langere looptijden telt het renteverschil in euro's hard door, en dan loont het om je administratie op orde te brengen en de route met jaarcijfers te kiezen. Zet de opties naast elkaar in de vergelijking, en bekijk voor de partijen die op bankdata beoordelen de voorwaarden bij bijvoorbeeld 5in5 en Finom. Ben je al afgewezen op basis van je bankdata of jaarcijfers? Welke route daarna nog openstaat, hangt af van de reden; dat overzicht staat in afgewezen voor krediet: de routes per reden.

Veelgestelde vragen

Deelt de verstrekker mijn inloggegevens met de bank?

Nee. Je geeft nooit je wachtwoord of pincode aan de verstrekker. Je logt in de omgeving van je eigen bank in en bevestigt daar de koppeling. De verstrekker krijgt daarna alleen leestoegang tot de betaalgegevens waarvoor je toestemming gaf, en mag die alleen voor het afgesproken doel gebruiken.

Verloopt mijn toestemming voor bankinzage na 180 dagen?

Nee. De 180 dagen is geen geldigheidsduur van je toestemming maar de termijn waarna opnieuw sterke clientauthenticatie nodig is: je logt dan opnieuw bij je bank in om de koppeling te laten doorlopen. Daarnaast bestaat een tweede getal, 90 dagen, en dat gaat over de hoeveelheid data: de vrijstelling van sterke clientauthenticatie geldt alleen voor je saldo en de transacties van de laatste 90 dagen. Wil een verstrekker meer historie zien, dan moet je hoe dan ook opnieuw authenticeren. Wil je eerder stoppen, dan trek je de toestemming in bij de verstrekker aan wie je die gaf.

Kan ik ook krediet aanvragen zonder mijn bankrekening te koppelen?

Deels. Sommige aanbieders accepteren een upload van bankafschriften of een MT940-export in plaats van een live koppeling, zoals Floryn, BridgeFund en Creddo. Wie helemaal geen inzage wil geven, komt uit bij partijen die op jaarcijfers beoordelen, zoals New10 of Qredits, maar daar gelden strengere eisen aan omzet en bestaansduur.