Cookie Confirm

Server-side tracking og samtykke

Hvad server-side tracking er, hvordan det adskiller sig fra tracking i browseren, og hvorfor server-side Google Tag Manager, GA4 via en servercontainer og Facebooks (Metas) Conversions API stadig kræver samtykke i Danmark. Plus hvad det koster, hvad det forbedrer, og hvordan du kobler det til dit cookiebanner.

Sidst tjekket 16 oktober 2026

Kort fortalt

  • Server-side tracking flytter en del af arbejdet fra den besøgendes browser til en server, du selv styrer. Det er stadig browseren, der sender dataene.
  • Cookiebekendtgørelsen handler om at gemme og læse oplysninger på brugerens udstyr. En førstepartscookie, der sættes via en servercontainer, kræver samtykke som enhver anden sporingscookie.
  • GDPR kræver også et retsgrundlag for det, der sker på serveren. Til annoncering og profilering er det i praksis samtykke.
  • Server-side tracking giver dig mere kontrol over, hvad leverandørerne får, men det er ingen vej uden om dit cookiebanner.

Hvad er server-side tracking?

Ved almindelig tracking (client-side) gør browseren alt arbejdet. Din side indlæser scripts fra Google, Meta og andre leverandører, og hvert script sender data direkte fra den besøgendes browser til leverandørens servere.

Ved server-side tracking sender browseren først dataene ét sted hen: en server, du selv styrer, som regel på et underdomæne af dit eget website, f.eks. metrics.ditdomæne.dk. Serveren modtager forespørgslen, laver den om til hændelser og bestemmer, hvad der sendes videre til hvilken leverandør. Det mest kendte eksempel er server-side Google Tag Manager: en "servercontainer", der kører i Google Cloud eller hos en specialiseret hostingudbyder, ved siden af den almindelige webcontainer i browseren. Typiske anvendelser er GA4 via en servercontainer og Metas Conversions API (Facebook server-side tracking), som lader din server sende konverteringer direkte til Meta.

Client-side Server-side
Hvor taggene kører I den besøgendes browser På en server, du styrer
Hvem får dataene først Hver leverandør direkte Din server, som sender dem videre
Cookies Sættes ofte af leverandørernes scripts Kan sættes af din server på dit eget domæne
Kontrol med, hvad leverandørerne får Lille: hvert script indsamler, hvad det vil Du kan fjerne eller ændre data, før de sendes

Det vigtige: i de fleste opsætninger kører den besøgendes browser stadig et script og sender stadig dataene. Forskellen er, hvor de havner først.

Kræver server-side tracking samtykke?

To sæt regler gælder, ligesom ved al anden tracking:

  1. Cookiebekendtgørelsen (bekendtgørelse nr. 1148 af 9. december 2011), der gennemfører artikel 5, stk. 3, i ePrivacy-direktivet. Efter § 3 kræver det samtykke at gemme oplysninger på brugerens udstyr eller få adgang til oplysninger, der allerede ligger der, medmindre det er påkrævet for at levere en tjeneste, som brugeren udtrykkeligt har bedt om. Digitaliseringsstyrelsen fører tilsyn. Mere i Cookiereglerne i Danmark.
  2. GDPR og databeskyttelsesloven: behandling af personoplysninger kræver et retsgrundlag, gennemsigtighed og garantier. Datatilsynet fører tilsyn.

Server-side tracking bringer dig ikke uden for cookiereglerne. De handler om, hvad der sker på udstyret, ikke om, hvor dataene ender. De gælder for alle oplysninger, uanset om det er personoplysninger, som EU-Domstolen bekræftede i Planet49 (2019), og den danske bekendtgørelse er teknologineutral: den dækker også pixels, fingerprinting og lignende teknologier. I sine retningslinjer 2/2023 om det tekniske anvendelsesområde for artikel 5, stk. 3, forklarer Det Europæiske Databeskyttelsesråd (EDPB), at:

  • et website, der bruger JavaScript til at få browseren til at sende oplysninger, får adgang til dem, og det er omfattet af reglen;
  • identifikatorer i URL'er eller i trackingpixels er en instruks til udstyret om at sende identifikatoren tilbage, og det tæller også som adgang;
  • indsamling af en unik identifikator, f.eks. en hashet e-mailadresse, via kode i browseren også er omfattet;
  • selv tracking, der kun bygger på IP-adressen, kan være omfattet, medmindre du kan sikre, at adressen ikke stammer fra den besøgendes udstyr.

En server-side opsætning gør præcis disse ting: Google-tagget i browseren sender hændelser til din server, og servercontaineren kan sætte en cookie på dit domæne for at genkende den besøgende. En førstepartscookie, der sættes via en servercontainer til statistik eller markedsføring, kræver derfor samtykke, ligesom en cookie sat af et script.

I modsætning til f.eks. Frankrig og Storbritannien har Danmark ingen undtagelse for statistik. Digitaliseringsstyrelsen og Datatilsynet skriver i deres fælles vejledning fra maj 2025, at du skal indhente samtykke, hvis du bruger cookies og lignende teknologier til f.eks. besøgsstatistik. Det gælder også, når statistikken går gennem din egen server.

GDPR gælder også på serveren

Når dataene når din server, gælder GDPR for alt, du gør med dem: at sende dem videre til Google eller Meta, berige dem med ordre- eller CRM-data eller bygge målgrupper. Du skal have et retsgrundlag for hvert formål, og EDPB's retningslinjer om samtykke siger, at samtykket, hvor det er grundlaget, skal indhentes før behandlingen begynder.

Til annoncering og profilering er grundlaget i praksis samtykke. I Meta Platforms mod Bundeskartellamt (C-252/21, 4. juli 2023) fastslog EU-Domstolen, at personaliseret annoncering ikke kan begrunde Metas behandling af brugeroplysninger som en legitim interesse uden brugerens samtykke. Datatilsynet fandt allerede i sagen om Den Blå Avis (januar 2022), at statistik med Google Analytics ikke kunne bygge på legitim interesse, fordi de besøgende ikke kan forvente, at deres oplysninger sendes til Google. Et website, der sender besøgsdata videre til en annonceplatform, står ikke stærkere, fordi dataene først passerer egen server.

"Danske hjemmesiders sporing af borgere" er desuden et af Datatilsynets fokusområder for tilsyn i 2026.

Hvad server-side tracking ændrer

Server-side tracking er ingen vej uden om samtykket, men det kan gøre din tracking mere privatlivsvenlig og lettere at styre:

  • Kontrol med, hvad leverandørerne får. Ifølge Google har kun du adgang til dataene i servercontaineren, indtil du vælger at sende dem videre. Du kan fjerne felter, forkorte URL'er eller droppe hændelser, før de forlader din server.
  • IP-adresser og identifikatorer. Du kan vælge ikke at sende den fulde IP-adresse videre eller at erstatte identifikatorer, før data sendes. Det understøtter dataminimering (GDPR artikel 5, stk. 1, litra c).
  • Færre tredjepartsforespørgsler i browseren. Færre leverandørscripts på siden betyder færre parter, der kan læse data direkte fra den besøgendes udstyr.
  • Overførsler uden for EU/EØS. Kører din server i EU og fjerner data, før de sendes videre, når færre personoplysninger leverandører uden for Europa. Det franske datatilsyn CNIL beskriver en sådan "proxy" til målgruppemåling under strenge betingelser: ingen IP-adresse sendes videre, identifikatoren erstattes, referrer og URL-parametre fjernes, ingen identifikatorer på tværs af websites, og hosting, der forhindrer overførsler uden for EU. CNIL præsenterer det som en løsning på overførslerne, ikke som en grund til at springe samtykket over.

Hvad koster server-side tracking?

Prisen afhænger af hosting og trafik. Hoster du servercontaineren selv i Google Cloud Run, anslår Google i sin opsætningsvejledning, at hver server koster cirka 45 USD om måneden (1 vCPU og 0,5 GB hukommelse), og anbefaler mindst to instanser for at mindske risikoen for datatab ved nedbrud. Ifølge Google håndterer 2 til 10 servere med autoskalering omkring 35 til 350 forespørgsler i sekundet, afhængigt af antallet af tags. Specialiserede udbydere af server-side hosting har deres egne prismodeller. Regn også med tid til opsætning, test og vedligeholdelse, og husk at cookiebanneret stadig skal være der.

Server-side tracking med cookiebanner og Consent Mode

Den opsætning, der virker, er den samme som uden servercontainer, med ét ekstra trin:

  1. Dit cookiebanner indhenter valget og blokerer statistik- og marketingtags, indtil den besøgende giver samtykke.
  2. Google Consent Mode v2 sender valget videre (se Google Consent Mode v2 forklaret). Ifølge Googles dokumentation skal du kun sætte Consent Mode op i webcontaineren: Google-tagget lægger samtykketilstanden ved hver forespørgsel, det sender til servercontaineren.
  3. Googles tags i servercontaineren følger tilstanden. I basic mode blokeres Analytics-tags helt, og der sættes eller læses ingen Analytics-cookies, hverken i browseren eller på serveren. I advanced mode sender Analytics-tags i stedet anonyme målinger. Uden samtykke læser eller skriver Google Ads' konverteringstags ingen cookies, og forespørgsler til remarketing i Google Ads og Floodlight blokeres.
  4. Tags fra andre leverandører kræver din opmærksomhed. Google lover kun dette for sine egne tags. Et tag til Metas Conversions API eller ethvert andet tag i servercontaineren må kun udløses, når samtykketilstanden tillader det; det skal du selv sætte op med triggere eller betingelser.

Et banner som Cookie Confirm sætter standardværdierne for Consent Mode, før noget Google-tag indlæses, og opdaterer dem, når den besøgende har valgt, så samtykketilstanden når servercontaineren med hver forespørgsel. Mere om GA4 og reglerne i Google Analytics og GDPR.

Facebook server-side tracking: Metas Conversions API

Conversions API forbinder din server med Meta, så du kan sende hændelser fra dit website, f.eks. køb og leads, uden kun at være afhængig af Meta Pixel i browseren. Meta bruger hændelserne til annoncemåling og optimering.

Det gør det til behandling til annoncering. Metas Business Tools Terms kræver, at du har alle nødvendige rettigheder og et lovligt grundlag for de data, du deler, og at du i lande, der kræver samtykke til at gemme eller tilgå oplysninger på udstyr (vilkårene nævner EU), indhenter et verificerbart samtykke fra de besøgende. Efter vilkårene er du dataansvarlig for de data i EU. I praksis:

  • send kun Conversions API-hændelser for besøgende, der har accepteret markedsføring i dit banner;
  • brug ikke Conversions API til at "redde" konverteringer fra besøgende, der har afvist;
  • nævn Meta og Conversions API i din cookiepolitik og din privatlivspolitik.

Metas indstilling "Limited Data Use" er beregnet til visse amerikanske delstaters privatlivslove. Den er ikke en samtykkemekanisme i EU.

Typiske fejl

  • "Det er cookieløst, så der kræves ikke samtykke." Reglerne dækker mere end cookies: scripts, der får browseren til at sende data, trackingpixels, identifikatorer i URL'er og unikke identifikatorer er alle omfattet ifølge EDPB, og cookiebekendtgørelsen er teknologineutral.
  • "Det er førsteparts nu." Reglerne skelner ikke mellem første- og tredjeparts eller mellem cookies sat af et script og af en server. Formålet afgør det.
  • Data sendes før valget. Sender din servercontainer sidevisninger eller konverteringer videre, før den besøgende har klikket i banneret, behandler du data uden retsgrundlag. Digitaliseringsstyrelsen tjekker netop, hvilke teknologier et website bruger, før brugeren har valgt.
  • "Hashet e-mail er anonym." En hashet e-mailadresse er pseudonymiserede data, som GDPR stadig behandler som personoplysninger (betragtning 26). Den hashes netop, så en platform som Meta kan matche den med en person.
  • Tags fra andre end Google glemmes. Consent Mode styrer kun Googles tags. Alle andre tags i servercontaineren skal have deres eget samtykketjek.
  • Cookiepolitikken opdateres ikke. De besøgende skal vide, hvilke leverandører der får deres data, også når dataene først går gennem din server.

Kilder

Ofte stillede spørgsmål

Hvad er server-side tracking?

Ved server-side tracking sender den besøgendes browser data til en server, du selv styrer, typisk på et underdomæne af dit eget website, i stedet for direkte til Google, Meta og andre leverandører. Serveren bestemmer, hvad der sendes videre til hvem. Det mest kendte eksempel er server-side Google Tag Manager.

Er server-side tracking GDPR-compliant?

Det kan det være, men ikke fordi det kører på en server. De samme regler gælder som ved tracking i browseren: samtykke efter cookiebekendtgørelsen til at gemme eller læse oplysninger på den besøgendes udstyr, et retsgrundlag efter GDPR, gennemsigtighed og, når data forlader EU/EØS, et gyldigt overførselsgrundlag. Server-side tracking gør noget af det lettere, f.eks. at fjerne data, før de når en leverandør, men det erstatter ikke samtykket.

Skal jeg have et cookiebanner, hvis jeg bruger server-side Google Tag Manager?

Ja, til statistik- og marketingtags. Google-tagget kører stadig i den besøgendes browser og sender data til din servercontainer, og servercontaineren kan sætte cookies på dit domæne. Begge dele er omfattet af cookiebekendtgørelsens § 3, og Danmark har ingen undtagelse for statistik. Banneret indhenter valget; Consent Mode sender det videre til servercontaineren.

Kræver Facebooks Conversions API samtykke?

Ja, når den bruges til annoncering. Metas Business Tools Terms gør dig ansvarlig for at have et lovligt grundlag og, hvor loven kræver det, et verificerbart samtykke. EU-Domstolen slog i 2023 fast, at Meta ikke kan bygge personaliseret annoncering på legitim interesse uden samtykke. Send kun hændelser for besøgende, der har accepteret markedsføring.

Hvad koster server-side tracking?

Det afhænger af, hvor du hoster servercontaineren, og hvor meget trafik du har. Ifølge Googles vejledning til Cloud Run koster hver server cirka 45 USD om måneden, og Google anbefaler mindst to instanser for at undgå datatab ved nedbrud. Specialiserede hostingudbydere har deres egne priser. Dertil kommer tiden til opsætning og vedligeholdelse.

Er førstepartscookies fra en server undtaget fra samtykke?

Nej. Cookiebekendtgørelsen skelner ikke mellem første- og tredjepartscookies eller mellem cookies sat af JavaScript og af en server. Det afgørende er, om teknologien er påkrævet for at levere en tjeneste, som brugeren udtrykkeligt har bedt om. En cookie, der genkender en besøgende til statistik eller annoncering, er ikke det.

Virker server-side tracking med Google Consent Mode v2?

Ja. Du sætter Consent Mode op i webcontaineren; Google-tagget lægger samtykketilstanden ved hver forespørgsel til servercontaineren, og Googles egne tags dér tilpasser sig. Tags fra andre leverandører i servercontaineren gør det ikke automatisk, så dem skal du selv få til at respektere valget.

Denne vejledning er generel information, ikke juridisk rådgivning. Vi tjekker den jævnligt, men love og vejledninger ændrer sig. I tvivl om din situation? Spørg en advokat.

Læs videre

Flere vejledninger

Alle vejledninger →

De første 7 dage helt gratis

Opret en gratis konto, og se, om Cookie Confirm passer til dig. Live på 5 minutter.

  • Intet betalingskort nødvendigt
  • Derefter 7,95 € pr. måned
  • Plug & play-installation
Start min gratis prøveperiode

4,9/5 5.000+ websites