Een oprichter omschrijft het bedrijf als een betrouwbare brug. Klanten leveren gegevens aan, goedgekeurde gebruikers krijgen toegang en het platform ontvangt een vergoeding voor het mogelijk maken van die uitwisseling. Vervolgens stelt iemand een nieuw product voor: benchmarking op basis van alle informatie die door het systeem stroomt.
Het idee kan commercieel verstandig zijn. Tegelijkertijd verandert het de governancevraag.
De Autoriteit Consument & Markt (ACM) heeft Hanah Ecosystem B.V. geregistreerd als dienst voor gegevensbemiddeling onder de Europese datagovernanceverordening. In juni 2026 wees de ACM de registratieaanvraag van Abykys B.V. af. Samen laten deze besluiten zien dat het Nederlandse toezicht zich inmiddels uitstrekt tot de praktische kwalificatie van afzonderlijke diensten.
Voor oprichters is de vraag niet simpelweg of het bedrijf iets met gegevens doet. Dat doet vrijwel ieder modern bedrijf. De werkelijke vraag is of het partijen bij elkaar brengt voor het commercieel delen van gegevens en daarbij onafhankelijk blijft van de rechten op die gegevens.
The role must match the reality
De datagovernanceverordening is van toepassing sinds 24 september 2023. De ACM houdt sinds 19 november 2024 toezicht op de naleving in Nederland. Zij noemt datamarktplaatsen, diensten voor het beheer van persoonsgegevens en coöperaties of gegevenspools waarin leden gegevens delen als mogelijke diensten voor gegevensbemiddeling.
Die voorbeelden beslissen de kwalificatie niet. Een softwareleverancier kan technische hulpmiddelen aanbieden, terwijl de partijen zelf contact leggen en de gegevensuitwisseling regelen. Dat verschilt van een dienst die de commerciële relatie tot stand brengt waarbinnen gegevens worden gedeeld.
Het onderscheid bereikt al snel de bestuurskamer. Een Nederlandse registratie bevat de rechtsvorm van de onderneming, de eigendomsstructuur, relevante dochterondernemingen, het handelsregisternummer, een beschrijving van de dienst en de startdatum. De ACM kijkt naar een identificeerbare onderneming, niet naar een losse productcategorie.
De gereguleerde rol kan daarom niet alleen worden vastgelegd in een privacyverklaring die pas na de ontwikkeling van het product wordt opgesteld. Die rol moet aansluiten bij de onderneming waarmee klanten daadwerkelijk te maken hebben. De website, verkooppresentatie, contracten, technische toegang en het verdienmodel moeten hetzelfde bedrijf beschrijven.
De registratie van Hanah geeft bestuurders een nuttige aanleiding tot reflectie. Registratie plaatst een dienst in een positie onder toezicht. Zij vervangt niet de voortdurende inspanning om de beschreven rol, het product en de omgang met gegevens op elkaar afgestemd te houden.
Trust has an operating cost
Ga terug naar het voorstel van de oprichter voor benchmarking. Het platform begon met het verbinden van twee partijen en het in rekening brengen van een vergoeding voor die verbinding. Nu wil het toevertrouwde informatie combineren, sectorinzichten creëren en het resultaat verkopen.
De kans kan reëel zijn. Toch moet de onderneming beslissen of zij nog steeds optreedt als neutrale tussenpersoon of de gegevensstroom inmiddels als haar eigen commerciële vermogensbestanddeel is gaan beschouwen.
Een nieuwe toestemmingsbepaling lost die vraag zelden op. Het praktische antwoord hangt af van de vraag wie de relevante rechten bezit, wat aan de aanleverende partijen is beloofd, welke groepsmaatschappij de analyse uitvoert, wie toegang heeft tot de ruwe informatie en hoe de nieuwe inkomsten worden verdeeld.
De ACM verlangt dat de partij die gegevens beschikbaar stelt, het recht heeft om die gegevens te delen. Voor een klein platform biedt een brede verklaring bij onboarding weinig zekerheid als niemand kan uitleggen of die bevoegdheid bij de leverancier, werkgever, klant of het coöperatielid ligt.
Het optionele EU-label voor geregistreerde tussenpersonen laat zien hoeveel diepgang schuilgaat achter een geloofwaardige vertrouwensbelofte. In haar besluit uit 2025 over fairsfair B.V. beoordeelde de ACM alle vijftien voorwaarden van artikel 12 van de datagovernanceverordening. Zij onderzocht documenten, stelde aanvullende vragen, voerde gesprekken en raadpleegde de Nederlandse privacytoezichthouder omdat persoonsgegevens betrokken waren.
Voor die dienst stelde de ACM vast dat sprake was van onafhankelijkheid en neutraliteit, eerlijke en niet-discriminerende toegang, passende beveiliging en waarborgen tegen misbruik van toevertrouwde gegevens. Het besluit had betrekking op de eigen dienst van fairsfair. De praktische les is breder: neutraliteit moet blijken uit de bedrijfsvoering.
Growth can change the answer
Jonge platforms veranderen vaak sneller dan hun oorspronkelijke overeenkomsten. Ze voegen dashboards, geautomatiseerde scores, AI-functies, groepsrapportages of nieuwe investeerders toe. Elke stap kan op zichzelf logisch zijn. Samen kunnen ze ertoe leiden dat de oorspronkelijke dienstbeschrijving achterhaald raakt.
Daar bewijst governance haar waarde. Voordat het bestuur een nieuwe functie goedkeurt, moet het de gegevensstroom in gewone taal kunnen volgen. Wie levert de gegevens aan? Wie ontvangt ze? Wat gebeurt er daartussen? Gebruikt het platform de gegevens voor een ander doel? Welke werknemers, leveranciers of gelieerde ondernemingen kunnen ze inzien?
De beoordeling moet ook de financiële administratie omvatten. Inkomsten uit gegevensbemiddeling moeten te onderscheiden zijn van inkomsten uit analytics, verrijking of hergebruik. Als toekomstige inkomsten afhangen van het benutten van gebundelde informatie, heeft het bestuur helder zicht nodig op de vraag of dat model nog past bij de neutrale rol die aan klanten en de ACM wordt gepresenteerd.
Slecht op elkaar afgestemde antwoorden kosten al geld voordat een toezichthouder betrokken raakt. Een serieuze klant, kredietverstrekker of koper zal vragen stellen over eigendom, toegang, beveiliging en toegestaan gebruik. Als de website, het contract en de technische toelichting verschillende kanten op wijzen, verloopt onboarding trager. Juristen halen oude formuleringen weer open. Verkopers doen toezeggingen op maat. Vertrouwen wordt dan duur om te bieden.
Terug aan de tafel van de oprichter hoeft het idee voor benchmarking niet te worden opgegeven. Eerst is kwalificatie nodig, daarna ontwikkeling; ook moet de prijs rekening houden met de kosten van beheersing en moet het idee worden getoetst aan bestaande toezeggingen. De zuivere oplossing kan een afzonderlijk product zijn, strengere toegangsgrenzen of een andere contractuele positie. Soms past het oorspronkelijke idee niet meer.
Een gegevensbemiddelaar verkoopt meer dan alleen een verbinding. Hij verkoopt het vertrouwen dat zijn positie tussen twee partijen niet ongemerkt een voordeel ten opzichte van beide partijen wordt. Binnen het Nederlandse regime van de datagovernanceverordening moet dat vertrouwen bestand zijn tegen veranderingen in software, eigendom en ambities.
De sterkste platforms zullen geen zo ruim mogelijke claims over vertrouwen doen. Hun contracten, systemen, facturen en besluiten zullen dezelfde bescheiden belofte uitdragen — en die ook nakomen.
Unsure whether your data service, contracts, and revenue model tell the same story? We can help identify the gaps
The data, sourcing, and analysis behind this article were conducted by Paolo Maria Pavan. AI was not used to identify sources, build the factual basis, or produce the analytical judgment contained here. AI was used only as a drafting aid. The final English text was personally reviewed, edited, and approved by Paolo Maria Pavan before publication.
References
- Besluit databemiddelingsdienst onder de Data Governance Act Hanah Ecosystem | ACM
- Autoriteit Consument & Markt - DGA scope and registration file
- Autoriteit Consument & Markt - What full proof looks like for the EU label
- Autoriteit Consument & Markt - Recent refusal confirms that scope is assessed case by case
- Wettenbank - Dutch supervisory and enforcement position
- Autoriteit Consument & Markt - Keep the DGA separate from the Data Act
- Autoriteit Consument & Markt
- Autoriteit Consument & Markt
