Bank-API's en Portfolio Trackers: Waarom Je Broker Verbinden Riskanter Is dan Je Denkt
Kernpunten
▸Portfolio trackers met bank-API's bezitten persistente inloggegevens die op elk moment de volledige financiële geschiedenis kunnen ophalen.
▸Alleen-lezen-toegang betekent nog steeds dat de volledige transactiegeschiedenis onbeperkt op een server van derden wordt opgeslagen.
▸Gratis apps monetariseren vaak via het delen van gegevens met aggregatoren, adverteerders of financiële databedrijven.
▸De meeste beleggers hebben vergeten API-verbindingen die nog actief zijn bij hun broker — controleer en trek ze regelmatig in.
▸Alleen een API-vrije architectuur (uitsluitend CSV-import) maakt echte privacy by design mogelijk, niet slechts by policy.
Elke week verbinden duizenden beleggers hun brokerage-accounts via bank-API's of Open Banking-tokens met portfolio-trackingapps. De belofte is verleidelijk: posities synchroniseren automatisch, zonder handmatige invoer. Maar achter dat gemak schuilen gegevenstoegangsrechten die de meeste beleggers nooit hebben gelezen — en die veel meer kunnen blootstellen dan alleen het portfoliosaldo.
Deze gids legt precies uit wat bank-API's zijn, hoe portfolio trackers ze gebruiken, welke gegevens ze kunnen openen wanneer je je broker verbindt, en waarom een API-vrije aanpak de enige architectuur is die echte privacy by design biedt.
Wat Zijn Bank-API's en Hoe Gebruiken Portfolio Trackers Ze?
Een API (Application Programming Interface) is een gestandaardiseerd kanaal waarmee het ene softwaresysteem gegevens opvraagt bij het andere. In de context van portfolio tracking stelt een bank- of broker-API een externe app — de tracker — in staat om accountgegevens rechtstreeks van de broker-servers te lezen, zonder dat je handmatig iets hoeft te exporteren of uploaden.
De meeste portfolio trackers met broker-connectiviteit gebruiken een van drie methoden:
1. Open Banking (PSD2 in Europa): een regelgevingskader dat banken en brokers verplicht read-API's beschikbaar te stellen aan geautoriseerde derden. Je authenticeert eenmalig via OAuth en de derde partij ontvangt een langlevend toegangstoken om periodiek accountgegevens op te halen.
2. Screen scraping via aggregatoren: diensten als Plaid, Salt Edge of Yapily fungeren als tussenpersoon. Je geeft hen je brokerinloggegevens (of een OAuth-token) en zij halen de gegevens namens jou op.
3. Directe API-sleutels: sommige brokers (Interactive Brokers, Degiro, Alpaca) bieden ontwikkelaars-API's. Een portfolio tracker kan je vragen een API-sleutel aan te maken in je brokeraccount en deze in de tracker te plakken.
In alle drie gevallen is het resultaat hetzelfde: een derde partij beschikt over een persistente toegangssleutel die op elk moment gebruikt kan worden om je financiële gegevens op te halen.
Welke Gegevens Kan een Portfolio Tracker Via een API Eigenlijk Benaderen?
Hier worden de meeste beleggers verrast. Ze nemen aan dat de tracker alleen ziet wat hij weergeeft — posities en saldi. De werkelijkheid hangt af van de reikwijdte van het verleende OAuth-token of de API-sleutel.
Veelvoorkomende gegevensvelden die toegankelijk zijn via broker-API's:
— Alle huidige posities (naam, ISIN, hoeveelheid, actuele waarde)
— Volledig transactieoverzicht (elke aan- en verkoop, dividend, kosten sinds opening)
— Kassaldi op alle subaccounts
— Openstaande orders
— Persoonlijke identificatiegegevens (naam, adres, geboortedatum, BSN in sommige gevallen)
— Gekoppelde bankrekening (IBAN voor opnames)
— KYC-documenten bij sommige integraties
Het transactieoverzicht is het gevoeligste element: het onthult niet alleen wat je vandaag bezit, maar elke financiële beslissing van de afgelopen jaren. Dit zijn gedragsfinancieringsgegevens — veel waardevoller voor adverteerders, datamakelaars en verzekeraars dan een eenvoudige saldomomentopname.
Wat Zijn de Werkelijke Privacyrisico's van API-toegang?
De risico's vallen uiteen in vier categorieën:
1. Datahandel en delen met derden
Veel gratis portfolio-trackingapps monetariseren via data. Transactiegeschiedenis en gedragspatronen worden verkocht aan advertentienetwerken, financiële dataaggregators of verzekeraars. Zelfs geanonimiseerde data kan worden geheridentificeerd op basis van unieke combinaties van activa, bedragen en tijdstippen.
2. Blootstelling aan datalekken op aggregatorniveau
Als je je broker via een aggregator hebt verbonden (Plaid, Salt Edge, etc.), worden je inloggegevens of token opgeslagen in de infrastructuur van die aggregator. Een datalek bij de aggregator treft alle verbindingen van alle apps die er gebruik van maken. Plaid trof in 2022 een schikking van 58 miljoen dollar vanwege ongeautoriseerde opslag van inloggegevens.
3. Tokenpersistentie en vergeten verbindingen
OAuth-tokens blijven geldig totdat ze expliciet worden ingetrokken. Beleggers die een app niet meer gebruiken, denken zelden aan het intrekken van het token.
4. Scopeuitbreiding en herautoriseringsverzoeken
Sommige apps vragen periodiek opnieuw te authenticeren of rechten uit te breiden — gepresenteerd als een gemakverbetering, zelden als privacyafweging.
Hoe Controleer en Trek je Actieve API-verbindingen bij Je Broker In?
Voor PSD2/Open Banking-verbindingen:
— Log in op de accountinstellingen van je broker of bank
— Zoek naar "Verbonden apps", "Toegang derden" of "Open Banking-rechten"
— Trek verbindingen in die je niet actief gebruikt
— Stel een agenda-herinnering in om verbindingen elke 6 maanden te controleren
Voor directe API-sleutels:
— Verwijder sleutels van apps die je niet meer gebruikt
— Roteer sleutels van actief gebruikte apps minimaal jaarlijks
Voor aggregator-verbindingen (Plaid, Salt Edge, etc.):
— Controleer de privacyinstellingen van elke portfolio-app die je gebruikt
— Gebruik het portaal van de aggregator (bv. my.plaid.com) om verbindingen te bekijken en te verbreken
— Dien AVG-verwijderverzoeken in bij apps die je niet meer gebruikt
De ongemakkelijke waarheid: de meeste beleggers hebben 3 tot 8 actieve derdepartijverbindingen met hun financiële accounts — de meeste vergeten.
Waarom DonkyCapital Geen API-verbindingen Gebruikt — en Waarom Dat Telt
DonkyCapital is vanaf dag één ontworpen zonder broker-API-connectiviteit. Dit is geen beperking — het is een bewuste architectuurkeuze voor echte privacy by design, niet slechts by policy.
Hoe DonkyCapital werkt:
— Je importeert je portfolio via een CSV-bestand (de meeste brokers exporteren er een in seconden) of handmatige invoer
— De gegevens staan in je DonkyCapital-account — nooit verbonden met je broker
— We slaan nooit API-sleutels, OAuth-tokens of brokerinloggegevens op
— We kunnen geen nieuwe gegevens ophalen van je broker zonder jouw expliciete actie
— Een datalek bij DonkyCapital kan je brokerinloggegevens niet blootstellen, want we hebben ze nooit
In de praktijk: je brokeraccount is nooit blootgesteld aan opslag van inloggegevens bij een derde partij; geen persistent token dat je gebruik overleeft; als je stopt met DonkyCapital is er niets in te trekken bij je broker.
De afweging is reëel: je moet handmatig opnieuw importeren bij nieuwe trades. Voor langetermijnbeleggers die weinig handelen, is dit een operatie van 2 minuten elke paar weken — een kleine prijs voor een fundamenteel privatere architectuur.
Veelgestelde Vragen over Bank-API's en Privacy
Is Open Banking veilig voor portfolio tracking?
Open Banking onder PSD2 is een gereguleerd kader met sterke technische normen — het risico zit niet in de regulering zelf, maar in wat geautoriseerde derden met de gegevens doen. Een app kan PSD2-conform zijn en toch transactiegegevens verkopen aan adverteerders.
Wat is het verschil tussen alleen-lezen API-toegang en volledige toegang?
Alleen-lezen-toegang stelt de app in staat accountgegevens op te halen maar kan geen orders plaatsen of geld verplaatsen. Voor portfolio trackers is alleen-lezen de norm — maar betekent nog steeds dat je volledige financiële geschiedenis onbeperkt op een derde server wordt opgeslagen.
Kan een portfolio-app mijn financiële gegevens verkopen?
Ja, tenzij uitdrukkelijk verboden in het privacybeleid. Lees altijd het gedeelte over gegevensdeling voordat je je broker verbindt.
Wat gebeurt er met mijn gegevens als een portfolio-app sluit of wordt overgenomen?
Bij een overname worden gegevensactiva doorgaans overgedragen aan de overnemende partij. Actieve OAuth-tokens blijven geldig bij je broker totdat je ze handmatig intrekt.
Is CSV-import echt privacyvriendelijker dan een API-verbinding?
Ja. Een CSV-import stuurt een momentopname op een specifiek moment — de tracker heeft geen permanente inloggegevens voor je broker. Als je stopt met de service, is er niets in te trekken.
Wat is het AVG-recht op verwijdering en geldt het voor portfolio-apps?
Op grond van AVG Artikel 17 hebben EU-ingezetenen het recht om verwijdering van hun persoonsgegevens te verzoeken bij elk bedrijf dat deze verwerkt. Het bedrijf moet binnen 30 dagen reageren.
Hoe weet ik of een portfolio tracker mijn gegevens voor advertenties gebruikt?
Lees de secties "Gegevensdeling" en "Derden" van het privacybeleid — niet de marketingsamenvatting. Als de app gratis is, vraag je af hoe ze geld verdienen.
Volg Je Portfolio Zonder Je Broker Te Verbinden
DonkyCapital biedt professionele portfolioanalyses via CSV-import — geen API-sleutels, geen OAuth-tokens, geen brokerinloggegevens op onze servers. Jouw gegevens blijven van jou.
