Server-side tracking en toestemming

Wat is server-side tracking?

Bij gewone tracking doet de browser al het werk. Je pagina laadt scripts van Google, Meta en andere partijen, en elk script stuurt gegevens rechtstreeks vanuit de browser van je bezoeker naar de servers van die partij.

Bij server-side tracking stuurt de browser de gegevens eerst naar één plek: een server die jij beheert, meestal op een subdomein van je eigen website, zoals meten.voorbeeld.nl. Die server ontvangt het verzoek, maakt er events van en bepaalt wat hij doorstuurt naar welke partij. Het bekendste voorbeeld is server-side Google Tag Manager: een "servercontainer" die draait in Google Cloud of bij een gespecialiseerde hostingpartij, naast de gewone webcontainer in de browser. Veelgebruikt zijn GA4 via een servercontainer, Google Ads-conversies via de servercontainer en de Meta Conversions API, waarmee je server conversies direct naar Meta stuurt.

Het belangrijkste: in de meeste opstellingen draait er nog steeds een script in de browser van je bezoeker en stuurt de browser nog steeds de gegevens. Het verschil zit in waar ze als eerste naartoe gaan.

Heeft server-side tracking toestemming nodig?

Er gelden twee sets regels, net als bij elke andere vorm van tracking:

1. De cookiewet, artikel 11.7a van de Telecommunicatiewet: voor het opslaan van informatie op het apparaat van een bezoeker, of het uitlezen ervan, heb je toestemming nodig. Uitzonderingen zijn cookies die strikt noodzakelijk zijn voor de dienst waar de bezoeker om vraagt, en cookies om de kwaliteit of effectiviteit van je website te meten als dat geen of geringe gevolgen heeft voor de privacy. De ACM houdt toezicht op dit artikel. Meer daarover lees je in De cookiewet in Nederland.
2. De AVG: voor het verwerken van persoonsgegevens heb je een grondslag nodig, moet je mensen informeren en passende maatregelen nemen. Daarop houdt de Autoriteit Persoonsgegevens (AP) toezicht.

Server-side tracking haalt je niet onder de cookiewet uit. Die regel gaat over wat er op het apparaat gebeurt, niet over waar de gegevens terechtkomen. Hij geldt voor alle informatie, of het nu persoonsgegevens zijn of niet; dat bevestigde het Europese Hof in de Planet49-zaak (2019). De Europese privacytoezichthouders (EDPB) leggen in hun Richtsnoeren 2/2023 over de technische reikwijdte van de cookieregel uit dat:

• een website die met JavaScript de browser informatie laat versturen, toegang krijgt tot die informatie, en dat valt onder de regel;
• identifiers toevoegen aan URL's of trackingpixels een opdracht aan het apparaat is om die identifier terug te sturen, en ook als toegang telt;
• het verzamelen van een unieke identifier, zoals een gehasht e-mailadres, via code in de browser er ook onder valt;
• zelfs tracking op basis van alleen het IP-adres eronder kan vallen, tenzij je zeker weet dat het adres niet van het apparaat van de bezoeker komt.

Een server-side opstelling doet precies dat: de Google-tag in de browser stuurt events naar je server, en de servercontainer kan een cookie op je domein plaatsen om de bezoeker te herkennen. Een first-party cookie via een servercontainer heeft dus voor statistieken of marketing toestemming nodig, net als een cookie die een script plaatst. Of een analytische cookie onder de uitzondering voor "geen of geringe gevolgen" valt, hangt af van het doel en de instellingen, niet van de techniek. De AP schreef in november 2025 dat ze nog onderzoekt welke analytische cookies wel en niet onder die uitzondering vallen.

De AVG geldt ook op de server

Zodra de gegevens op je server zijn, geldt de AVG voor alles wat je ermee doet: doorsturen naar Google of Meta, aanvullen met bestel- of CRM-gegevens, doelgroepen bouwen. Je hebt per doel een grondslag nodig, en volgens de richtsnoeren van de EDPB over toestemming moet je, als toestemming de grondslag is, die toestemming hebben voordat de verwerking begint.

Voor advertenties en profilering is die grondslag in de praktijk toestemming. In de zaak Meta Platforms tegen Bundeskartellamt (C-252/21, 4 juli 2023) oordeelde het Europese Hof dat gepersonaliseerde advertenties de verwerking van gebruikersgegevens door Meta niet zonder toestemming als gerechtvaardigd belang kunnen rechtvaardigen. Een website die bezoekersgegevens naar een advertentieplatform stuurt voor targeting of conversiemeting, zal zich lastig op gerechtvaardigd belang kunnen beroepen als het platform zelf dat niet kan. De AP noemt het baseren van tracking op gerechtvaardigd belang in plaats van toestemming ook als veelgemaakte fout bij cookiebanners.

Wat server-side tracking wel verandert

Server-side tracking is geen manier om toestemming te omzeilen, maar het kan je tracking wel privacyvriendelijker en beter controleerbaar maken:

• Controle over wat leveranciers krijgen. Volgens Google heb alleen jij toegang tot de gegevens in de servercontainer, tot je ze zelf doorstuurt. Je kunt velden weghalen, URL's inkorten of events tegenhouden voordat ze je server verlaten.
• IP-adressen en identifiers. Je kunt ervoor kiezen het volledige IP-adres niet door te sturen, of identifiers te vervangen voordat je gegevens doorstuurt. Dat helpt bij dataminimalisatie (artikel 5, lid 1, onder c AVG).
• Minder verzoeken naar derden in de browser. Minder scripts van leveranciers op je pagina betekent minder partijen die rechtstreeks gegevens van het apparaat van je bezoeker kunnen uitlezen.
• Doorgifte buiten Europa. Draait je server in de EU en haal je er gegevens uit voordat je ze doorstuurt, dan komen er minder persoonsgegevens bij leveranciers buiten Europa. De Franse toezichthouder CNIL beschrijft zo'n "proxy" voor bezoekersstatistieken onder strenge voorwaarden: geen IP-adres doorsturen, de identifier vervangen, verwijzer en URL-parameters weghalen, geen identifiers over meerdere websites heen en hosting die doorgifte buiten de EU voorkomt. De CNIL ziet dat als een oplossing voor doorgifte, niet als reden om geen toestemming te vragen.

Zo stel je server-side tracking in met je cookiebanner en Consent Mode

De opzet die werkt is dezelfde als zonder servercontainer, met één extra stap:

1. Je cookiebanner vraagt de keuze en houdt statistiek- en marketingtags tegen tot de bezoeker toestemming geeft.
2. Google Consent Mode v2 geeft de keuze door (zie Google Consent Mode v2 uitgelegd). Volgens de documentatie van Google hoef je Consent Mode alleen in de webcontainer in te stellen: de Google-tag stuurt de consentstatus mee met elk verzoek aan de servercontainer.
3. De tags van Google in de servercontainer volgen die status. In de basismodus worden Analytics-tags helemaal geblokkeerd en worden er geen Analytics-cookies geplaatst of uitgelezen, niet in de browser en niet op de server. In de geavanceerde modus sturen Analytics-tags in plaats daarvan anonieme metingen. Zonder toestemming lezen of schrijven Google Ads-conversietags geen cookies, en worden verzoeken voor Google Ads-remarketing en Floodlight geblokkeerd.
4. Tags van andere leveranciers vragen je eigen aandacht. Google belooft dit alleen voor zijn eigen tags. Een tag voor de Meta Conversions API of een andere tag in de servercontainer moet alleen afgaan als de consentstatus dat toestaat; dat regel je zelf met triggers of voorwaarden.

Een cookiebanner zoals Cookie Confirm zet de standaardwaarden van Consent Mode voordat er een Google-tag laadt en past ze aan zodra de bezoeker kiest, zodat de consentstatus met elk verzoek bij de servercontainer aankomt. Hoe je met GA4 binnen de regels blijft, lees je in Google Analytics en de AVG.

De Meta Conversions API en toestemming

De Meta Conversions API verbindt je server met Meta, zodat je events van je website, zoals aankopen en leads, kunt doorsturen zonder alleen op de Meta-pixel in de browser te vertrouwen. Meta gebruikt die events om advertenties te meten en te optimaliseren.

Dat maakt het een verwerking voor advertenties. De Business Tools-voorwaarden van Meta eisen dat je alle benodigde rechten en een geldige grondslag hebt voor de gegevens die je deelt, en dat je in landen die toestemming vragen voor het opslaan van of toegang krijgen tot informatie op apparaten (de voorwaarden noemen de EU) aantoonbare toestemming van bezoekers krijgt. Volgens die voorwaarden ben jij in de EU de verwerkingsverantwoordelijke voor die gegevens. In de praktijk:

• stuur alleen events via de Conversions API door van bezoekers die marketing hebben geaccepteerd in je banner;
• gebruik de Conversions API niet om conversies "terug te halen" van bezoekers die hebben geweigerd;
• noem Meta en de Conversions API in je cookieverklaring en je privacyverklaring.

De optie "Limited Data Use" van Meta is bedoeld voor bepaalde privacywetten in Amerikaanse staten. Het is geen manier om in de EU toestemming te regelen.

Veelgemaakte fouten

• "Het is cookieloos, dus toestemming is niet nodig." De cookieregel gaat over meer dan cookies: scripts die de browser gegevens laten versturen, trackingpixels, identifiers in URL's en unieke identifiers vallen er volgens de EDPB allemaal onder. Ook artikel 11.7a gaat over alle informatie op het apparaat, niet alleen over cookies.
• "Het is nu first-party." De regel maakt geen onderscheid tussen first-party en third-party, of tussen cookies van een script en cookies van een server. Het doel bepaalt het.
• Gegevens versturen vóór de keuze. Stuurt je servercontainer paginaweergaven of conversies door voordat de bezoeker in de banner heeft gekozen, dan verwerk je gegevens zonder grondslag.
• "Een gehasht e-mailadres is anoniem." Een gehasht e-mailadres is gepseudonimiseerd, en dat blijft volgens de AVG een persoonsgegeven (overweging 26). Het wordt juist gehasht zodat een platform als Meta het aan een persoon kan koppelen.
• Tags van anderen dan Google vergeten. Consent Mode stuurt alleen de tags van Google aan. Elke andere tag in de servercontainer heeft een eigen consentcontrole nodig.
• Je cookieverklaring niet bijwerken. Bezoekers moeten weten welke partijen hun gegevens krijgen, ook als die eerst via jouw server gaan. Zie het voorbeeld van een cookieverklaring.

Bronnen

• Telecommunicatiewet, artikel 11.7a (wetten.overheid.nl)
• ACM: Cookies plaatsen
• AP: Heldere cookiebanners (vuistregels)
• AP: Ambtsbericht over Google Analytics (13 november 2025)
• Richtlijn 2002/58/EG (e-privacyrichtlijn, geconsolideerd), artikel 5, lid 3
• AVG, Verordening (EU) 2016/679 (EUR-Lex)
• EDPB: Guidelines 2/2023 on the technical scope of Art. 5(3) ePrivacy Directive
• EDPB: Richtsnoeren 05/2020 inzake toestemming
• Hof van Justitie EU, Planet49 (C-673/17)
• Hof van Justitie EU: Persbericht 113/23 over zaak C-252/21, Meta Platforms tegen Bundeskartellamt (4 juli 2023)
• Google: An introduction to server-side tagging
• Google: Implement consent mode with server-side Tag Manager
• Google: Custom domain for server-side tagging
• Meta for Developers: Conversions API
• Meta for Developers: Data Processing Options for US users
• Meta: Business Tools-voorwaarden
• CNIL: Bezoekersstatistieken en doorgifte van gegevens (Frans)