Paymentprovider Nexi snijdt FSF Europe af van donaties na dataconflict

De Free Software Foundation Europe raakt inkomsten van vaste donateurs kwijt doordat betalingsprovider Nexi het contract ineens heeft opgezegd. Regelmatige donaties via credit- en debitcards komen daardoor niet meer automatisch bij de stichting terecht.

De opzegging eerder deze maand door de Europese betalingsverwerker raakt meer dan 450 donateurs, meldt de Free Software Foundation Europe (FSF Europe). De stichting voor vrije software heeft die mensen al gemaild over deze kwestie. Het gaat om directe donaties via debitkaarten en om terugkerende donaties via creditcards die voor 18 november 2025 zijn opgezet.

De stichting stapt over naar een andere betalingsverwerker. Daarbij is automatische migratie van bestaande accounts van supporters echter niet mogelijk.

Privéinformatie van donateurs

De financieel nu afgesneden stichting stelt dat Nexi het contract zonder voorafgaande notificatie verbrak. Daarbij geeft de organisatie aan dat het een lopend conflict had met het betalingsbedrijf. "Gedurende de afgelopen maanden verzocht onze voormalige betalingsprovider Nexi toegang tot privégegevens." Daarbij zou het gaan om specifiek de gebruikersnamen en wachtwoorden van supporters.

FSF Europe weigerde die verzoeken en vroeg om opheldering. Nexi zou niet hebben aangegeven waarvoor het die informatie nodig had en op welke juridische basis het meende dit te kunnen opvragen. Volgens de stichting gaf het bedrijf vage uitleg over 'een algemene behoefte voor risicoanalyse'.

'Misverstand'

Nexi stelt in een verklaring aan Heise dat de Free Software Foundation Europe niet op tijd informatie aanleverde in een proces waarbij de betalingsverwerker zijn klanten beter in kaart bracht. Het ontkent dat het om inloggegevens van gebruikers vroeg. Het zou slechts gaan om testgegevens waarmee Nexi de betalingsportaal wilde verifiëren. Dit was om er zeker van te zijn dat mensen afschrijvingen kunnen blokkeren zodat ze misleidende abonnementen kunnen vermijden. Volgens Nexi is er sprake van een misverstand en neemt het contact op met de FSF Europe.

Reacties (18)

[Lagonas]

Laat ik voorop stellen dat ik denk dat het een heel goed idee was om sowieso over te stappen naar een andere betalingsverwerker, maar, ik moet daar wel een kanttekening bij plaatsen. In het bron artikel staat wel iets duidelijker dat Nexi om informatie heeft gevraagd en "due to a lack of response from the client" het account heeft moeten opheven.

KYC is een verplichting waar banken en betaalverwerkers aan moeten voldoen van de wet. Doen ze dit niet, dan komen ze in grote problemen. Zijn de banken veels te voorzichtig? Ik vind van wel. Echter, na het lezen van het artikel van Heise krijg ik wel een iets genuanceerder beeld.

Nexi Germany GmbH told heise online: „The situation with our former client FSFE arose in the context of updating our KYC procedure, which could not be completed in this case and led to the termination of the account due to a lack of response from the client. As for requesting data: We would never, under any circumstances, ask for other users’ login credentials or passwords. In this specific case, we merely requested test login credentials to verify the portal and ensure that users could cancel their access to avoid subscription traps. This request for test access apparently led to a misunderstanding, for which we apologize to FSFE. Our Customer Service Team will be contacting FSFE shortly regarding this matter.“

Ik vind KYC ook wel iets anders dan "... in een proces waarbij de betalingsverwerker zijn klanten beter in kaart bracht"

[Reactie gewijzigd door Lagonas op 22 maart 2026 14:36]

[StefanJanssen]

In dit geval zijn er 2 klanten, namelijk FSF en de donateurs. Waarom zou FSF informatie moeten verstrekken over de donateurs als het gaat om KYC? Toen ik naar het buitenland verhuisde nam de Rabobank contact met mij op vanwege KYC, ze hebben niet mijn huisbaas gebeld om te vragen wat ik doe.

[downtime]

Zo te horen, als ik het een beetje welwillend interpreteer, heeft FSF Europe een portal waar donateurs zich kunnen aanmelden maar wilde Nexi in het kader van KYC controleren of donateurs zich via die portal ook op een simpele manier weer kunnen afmelden. En daar hebben ze (tijdelijk) een account op dat portal voor nodig.

Waarschijnlijk gewoon ongelukkig geformuleerd en interpreteerde de ontvanger bij FSF Europe het als een verzoek om passwords vrij te geven van bestaande donateurs terwijl Nexi eigenlijk alleen een testaccount met bijbehorend password wilde. Men praat langs elkaar heen en uiteindelijk heeft iemand besloten dat FSF gewoon niet mee wilde werken en heeft de bureaucratie zijn werk gedaan. "Want beleid..."

[Digimann]

Ik zou stellen dat er 1 klant is, namelijk FSF.

Simpeler situatie: Als je naar een winkel gaat en geld geeft aan het bedrijf in ruil voor goederen, dan zit daar een payement provider tussen (Molly, Adyen, etc). Sommige zijn OOK een bank, maar niet allemaal.
Als een payment provider onderzoek doet dan is dat naar de entiteit die de transacties verwerkt wil hebben, ofwel de winkel.
De payment provider een KYC onderzoek uitvoerd is dat dan ook de winkel en NIET de klanten van de winkel. Zo is het nu ook de klant is FSF en NIET de donateurs.

Een ander deel wat de betaal provider onderzoek is de transacties.
Stel de payment provider ziet in de transacties die langskoment een transactrie die niet logisch is voor de winkel. Dan kunnen ze aan de winkel navraag doen, wat en waarom die tranactie geweest is, en daaruit concluderen dat het wel OF niet een valide transactie is.

Nexi kan aan FSF opheldering vragen over specifieke situaties (bijvoorbeeld bijzondere transactie), vanuitgaande dat FSF weet heeft wat de oorspromg van de situatie is. In geval van de bijzondere transacties zal daar normaal gesproken ook corespondentie over zijn(Hoe wat waarom).

Hoe dan ook wat tussen FSF en Nexi gebeurt is wel bijzonder...

[R_Zwart]

Zoals het hierboven wordt beschreven kijken ze ook niet naar de klanten/donateurs van FSF maar naar hoe FSF de wettelijke zaken heeft ingeregeld voor hun gebruikers.

[WhatsappHack]

“Lack of response” moet je in deze situatie, als de lezing van FSF klopt, dus blijkbaar zien als “leverde niet de gevraagde privédata”, niet dat ze helemaal niet hebben gereageerd. KYC is een verplichting, maar ook dat is gewoon aan privacyregels gebonden.

[Lagonas]

Ik vind het een moeilijke hij zegt / zij zegt situatie. Aan de hand van hun statements zeggen ze eigenlijk beide dat wat de ander zegt niet klopt. Natuurlijk kan je dan simpel zeggen banken zijn slecht, zij zullen wel liegen, maar het is (voor mij dan) niet vast te stellen aan de hand van de info die er is.

[downtime]

Of er is gewoon heel slecht gecommuniceerd. Ik kom in m'n werk ook wel eens van die mailwisselingen tegen waarbij twee mensen wekenlang geen stap verder komen omdat ze elkaar mails gewoon niet goed lezen en niemand het initiatief neemt om gewoon even de telefoon te pakken.

[joezzt]

Dat excuus over test account is natuurlijk kul. Ze kunnen heus zelf een account maken, iets kopen en dan zelf testen of ze het kunnen cancellen. Als ik fsf was zou ik ook zeggen “doe het zelf“, geld zat.

[downtime]

Ze kunnen heus zelf een account maken, iets kopen en dan zelf testen of ze het kunnen cancellen.

Bij jouw werkgever is het misschien normaal dat medewerkers de bedrijfscreditcard voor zulke dingen kunnen gebruiken maar niet bij de werkgevers waar ik heb gewerkt. Dan kun je jezelf eerst langs drie lagen management vechten voor elke betaling die je wilt doen.

Het zou ook een dure grap worden als je voor alle controles op (duizenden?) klanten op die manier te werk gaat. Nu gaat het misschien om een paar euro voor een donatie maar ik kan situaties verzinnen waar het flink in de papieren kan lopen.

[Pietervs]

[i]Volgens Nexi is er sprake van een misverstand en neemt het contact op met de FSF Europe.[/i]

Zo te zien is het kwaad al geschied:

[i]De stichting stapt over naar een andere betalingsverwerker.[/i]

En terecht ook: al zou Nexi alleen maar de schijn hebben opgeworpen dat ze privé gegevens wilden hebben zou dat al aanleiding moeten zijn om weg te zijn bij die partij.

Om het af te doen als “foutje” of “misverstand” vind ik nogal twijfelachtig aangezien FSF aangeeft dat het conflict al maanden speelt.

[GertMenkel]

De FSF zegt:

All our attempts to clarify Nexi’s request, or to understand how their need for such information was necessary and legal, were met with what we consider to be vague and unsatisfactory explanations relating to a general need for risk analysis.

Een misverstand lijkt me dan ook onwaarschijnlijk, tenzij er aan een van beide kanten een supportpersoon niet zit op te letten en "testgegevens" met "echte gegevens om mee te testen" verwart.

Ik vraag me nu vooral af of dit "misverstand" bij andere klanten van Nexi tot een datalek heeft geleid. De kans bestaat natuurlijk dat een minder snuggere klant wel ecte gegevens heeft overhandigd.

[readefries]

Hmmn, Nexi is zelf ook al Europees, maar dan een corp. Liberapay is m.i. meer een match met FSF Europe, dat is ook een non-profit die gesponsord is om sponsoring te kunnen ontvangen. Via die weg kun je verschillende FOSS-projecten sponsoren, zoals F-droid.

[thomvh]

Liberpay is gewoon een platform rondom PayPal en Stripe voor zover ik weet, en ze maken het mogelijk donaties te ontvangen zonder dat je zelf een juridische entiteit hebt. Ik denk dat dat in dit geval beetje out of scope is voor FSF en überhaupt misschien ook niet willen vanwegen privacy redenen.

[kodak]

Uit niets laat het betalingsbedrijf blijken dat hun excuus werkelijk om een misverstand gaan.

Ze weerspreken de stellingen van FSF ook niet door te beweren dat het volgens hun slechts een misverstand zou zijn. Ze schuiven de verantwoordelijkheid zelfs af dat FSF niet gedaan zou hebben wat het betalingsbedrijf wilde. Maar ook dat onderbouwen ze niet.

Het verontschuldigen lijkt dus niet te gaan om een duidelijk misverstand maar om af te leiden van een situatie dat het betalingsbedrijf waarschijnlijk op meerdere punten zelf wettelijk nalatig is geweest. En als ze dat gaan erkennen dan kan dat juridische en financiële negatieve gevolgen hebben. Bijvoorbeeld verzwaard toezicht naar hun handelswijze bij deze en ook andere klanten.

[Merik]

In het artikel in Heise wordt een beveiligings-audit aangehaald, die die aan de bron van het probleem zit. Klinkt alsof daar iets mank loopt, wellicht hebben ze daarmee gewoon nog geen problemen gehad maar nu tegen een klant aanlopen die (terecht) moeilijk doet.

[kozue]

De datahonger is weer toegeslagen. Betalingsverwerkers denken tegenwoordig maar dat ze alles mogen weten. Helaas kunnen we ook geen hulp verwachten van overheden, want die zijn zelf net zo hard bezig het complete betaalverkeer inzichtelijk te krijgen. Big Brother is watching you...

[betwetor]

Mijn vrouw beheert de Klassekasse (algemene potje geld van ouders van een duitse middelbareschool klas) en kreeg van onze Nederlandse bank (Triodos nog wel) de vraag of we een van de ouders (Syrische afkomst) wilde vragen om identificatie.

En of we die via de mail zouden willen opsturen. anders zouden ze het geld niet vrijgeven.

Teruggemaild met de vraag of ze hun juridische afdeling hiervoor wel geconsulteerd hadden, en of ze wel eens van AvG wetgeving hadden gehoord.

Naar mijn idee een aardige overtreding om alleen al de vraag met voor en achternaam bij ons neer te leggen.

Laat staan om ons een kopie te laten sturen van een derde via de mail. En een indirecte dreiging van het niet vrijgeven van het geld.

Ze zoeken het maar lekker uit. Wij zijn geen vrijwillige opsporing eenheid. Ze hebben zelf de gegevens van de duitse bank. Ga maar kijken of die ethisch flexibel zijn.

Gegevens eisen van donateurs. Belachelijke weg om te bewandelen. Dat is niet de verantwoordelijkheid van de rekeninghouder.