Server-side tagging maakt je meting niet vanzelf AVG-proof. Je krijgt er wel meer controle mee: jij bepaalt welke gegevens je server-container doorstuurt naar Google Ads, GA4 of je CRM, en welke daar blijven. De wettelijke basis verandert niet. Plaats je trackingcookies of gebruik je vergelijkbare technieken, dan heb je vooraf toestemming van de bezoeker nodig. In dit artikel lees je wat server-side tagging juridisch en technisch verandert, waar de grens ligt en hoe je het inricht als je met Google Ads leads werft.
TL;DR
- Server-side tagging is een technische inrichting en geen juridische vrijbrief. Voor trackingcookies blijft ondubbelzinnige toestemming vooraf nodig.
- Het voordeel zit in controle: je kunt persoonsgegevens filteren of weglaten voordat er data naar derden gaat.
- Consent Mode v2 blijft nodig. De toestemmingsstatus moet ook door je server-container heen worden gerespecteerd.
- Voor leadgeneratie is server-side tagging vooral waardevol omdat je formulier- en CRM-data betrouwbaar en netjes kunt koppelen, alleen binnen de toestemming die de bezoeker heeft gegeven.
- Laat de juridische kant (grondslag, verwerkersovereenkomsten, privacyverklaring) toetsen door je functionaris gegevensbescherming of een privacyjurist.
Inhoudsopgave
- Wat server-side tagging technisch verandert
- Waarom server-side tagging niet automatisch AVG-proof is
- Wat de Autoriteit Persoonsgegevens verwacht bij toestemming
- Consent Mode v2 in een server-side opzet
- GA4 en de doorgifte van data naar de VS
- Wat je in de servercontainer wel kunt regelen
- Waarom dit voor leadgeneratie extra zwaar weegt
- Zo pak je het aan: een stappenplan
- Onze kijk op AVG en server-side tagging
- Meting en campagnes in één hand
- Veelgestelde vragen
- Bronnen
Wat server-side tagging technisch verandert
Bij de klassieke inrichting draait alles in de browser. Op je website staat een Google Tag Manager-container die tags van Google Ads, GA4, LinkedIn of Microsoft Ads laadt. Elke tag stuurt zelf data naar het eigen platform, vanuit de browser van de bezoeker.
Bij server-side tagging komt er een tweede container bij, die op een server draait. Volgens de uitleg van Google over client-side en server-side tagging stuurt de browser de meetdata naar die servercontainer. Pas daar wordt bepaald wat er naar welk platform gaat. Draai je die container op een subdomein van je eigen site (bijvoorbeeld meten.jouwbedrijf.nl), dan praat de browser met jouw domein en niet rechtstreeks met tien externe partijen.
In de praktijk levert dat drie dingen op:
- Minder externe scripts in de browser. Er draaien minder third-party scripts die zelf data verzamelen.
- Een filter tussen bezoeker en platform. Je kunt velden weglaten, IP-adressen inkorten of e-mailadressen weghalen voordat iets je server verlaat.
- Eén plek om alles te beheren. Je ziet precies welke events binnenkomen en waar ze naartoe gaan.
In ons artikel over wat een GTM server container precies doet lees je de technische opbouw stap voor stap. Dezelfde afweging tussen snelheid en privacy zie je ook buiten de marketingwereld. Een Nederlands radioplatform beschrijft bijvoorbeeld hoe het in een nieuwe versie snelheid en privacy tegelijk verbeterde. Ook daar gaat het om minder onnodige dataverkeer, niet om het buitenspel zetten van regels.
Waarom server-side tagging niet automatisch AVG-proof is
Op veel websites van bureaus lees je dat server-side tagging “AVG-proof” of “cookieloos” zou zijn. Dat klopt niet, en wie daarop vertrouwt, loopt risico.
De AVG kijkt naar wat je met persoonsgegevens doet, niet naar de plek waar je code draait. De Autoriteit Persoonsgegevens (AP) zegt in haar uitleg over heldere cookiebanners dat je ervan uit kunt gaan dat je persoonsgegevens verwerkt als je trackingcookies of vergelijkbare trackingtechnieken gebruikt. Een first-party cookie die via jouw servercontainer wordt gezet, blijft een cookie op het apparaat van de bezoeker. Een event dat via jouw subdomein loopt en daarna toch bij Google Ads terechtkomt, blijft een verwerking voor advertentiedoeleinden.
Wat verschuift, is de rol die jij speelt. Je verzamelt en verwerkt de data zelf voordat die doorgaat. Daardoor ben je beter in staat om dataminimalisatie toe te passen. Tegelijk ben je ook verantwoordelijk voor wat je server doorlaat. Een slecht ingerichte servercontainer kan zelfs méér doorsturen dan een browsertag, omdat de bezoeker er niets van ziet en adblockers het niet tegenhouden.
De vuistregel die wij hanteren: server-side tagging regelt het hoe, de AVG regelt het of. Mag je meten voor advertentiedoeleinden? Dan helpt server-side tagging om dat netjes en minimaal te doen. Heb je geen toestemming? Dan verandert een servercontainer daar niets aan.
Wat de Autoriteit Persoonsgegevens verwacht bij toestemming
Voor trackingcookies, die gedrag over meerdere websites heen volgen, is volgens de AP altijd toestemming vereist. Die toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn, en je vraagt haar voordat je iets plaatst. De Europese toezichthouders werken die eisen verder uit in de EDPB-richtsnoeren 05/2020 over toestemming, onder meer over de regel dat intrekken net zo makkelijk moet zijn als geven.
Voor je cookiebanner betekent dat concreet:
- Geen vooraf aangevinkte vakjes.
- Een weigerknop die even zichtbaar is als de accepteerknop.
- Geen tags die afgaan voordat de bezoeker heeft gekozen.
- Een duidelijke uitleg welke partijen data ontvangen, ook als dat via je eigen server loopt.
Een cookiewall, waarbij bezoekers je site alleen te zien krijgen als ze tracking accepteren, is volgens de AP niet toegestaan. Voor een B2B-dienstverlener is dat ook commercieel logisch: een inkoper die je site niet kan lezen, vraagt ook geen offerte aan.
Toestemming is één van de grondslagen uit de AVG. De AP legt op de pagina over de grondslag toestemming uit wanneer je die gebruikt en waaraan ze moet voldoen. Twijfel je of een bepaalde meting onder een andere grondslag kan vallen, leg dat dan voor aan je functionaris gegevensbescherming of een privacyjurist. Dat is maatwerk en geen keuze die je in Tag Manager maakt.
En analytische cookies?
De AP maakt onderscheid tussen trackingcookies en beperkt analytische cookies, die bijvoorbeeld het aantal bezoekers en de meest bezochte pagina’s meten. Voor die laatste groep gelden lichtere regels, mits je ze privacyvriendelijk inricht. Zodra je analysedata koppelt aan advertentieplatformen of gebruikt voor remarketing, val je niet meer in die lichte categorie.
Consent Mode v2 in een server-side opzet
Voor adverteerders met verkeer uit de Europese Economische Ruimte vraagt Google dat je de EU-gebruikerstoestemmingsrichtlijn volgt als je wilt blijven meten en personaliseren via tags die data naar Google sturen. Consent Mode v2 is het mechanisme waarmee je de keuze van de bezoeker aan Google doorgeeft.
De consenttypes in de referentie van Google zijn:
| Consenttype | Wat het regelt |
|---|---|
| ad_storage | Opslag (zoals cookies) voor advertentiedoeleinden |
| analytics_storage | Opslag voor analysedoeleinden |
| ad_user_data | Of gebruikersdata voor advertenties naar Google mag |
| ad_personalization | Of data gebruikt mag worden voor gepersonaliseerde advertenties |
In een server-side opzet moet die toestemmingsstatus mee van browser naar server en daar opnieuw worden gerespecteerd. Hier gaat het in de praktijk vaak mis. De webcontainer leest de cookiebanner keurig uit, maar de servercontainer stuurt alles door, ook bij een weigering. Controleer daarom in de preview van je servercontainer wat er gebeurt als je op “weigeren” klikt. Tag Manager heeft daarvoor ingebouwde functies voor toestemmingsbeheer, zoals een consent-initialisatietrigger en per tag ingestelde toestemmingsvereisten.
Meer over de inrichting lees je in Consent Mode v2: wat het regelt voor Nederlandse adverteerders en in onze implementatiehandleiding voor GA4 Consent Mode v2.
GA4 en de doorgifte van data naar de VS
Jarenlang was de grootste AVG-vraag rond Google Analytics de doorgifte van gegevens naar de Verenigde Staten. In een ambtsbericht van de AP over Google Analytics staat dat die doorgifte mogelijk is onder het EU-VS Data Privacy Framework, mits aan de voorwaarden wordt voldaan. Dezelfde bron maakt duidelijk dat de toestemmingsplicht voor het plaatsen en uitlezen van informatie op het apparaat van de bezoeker daarmee niet verdwijnt.
Server-side tagging helpt hier op twee punten. Je kunt IP-adressen en andere identificerende velden in je eigen container verwijderen of inkorten voordat data naar Google gaat. Daarnaast kun je de servercontainer hosten in een Europese regio. Dat is dataminimalisatie die je aantoonbaar kunt maken, al blijft het een maatregel binnen je beleid en geen vervanging ervan. Een Europees gehoste servercontainer die volledige data naar een Amerikaans platform doorzet, verandert weinig aan de doorgifte zelf.
Wat je in de servercontainer wel kunt regelen
De winst van server-side tagging zit in wat je zelf kunt filteren en sturen. Volgens de Tag Manager-documentatie verwerk je de data in een container die jij beheert, waardoor je bepaalt wat derden ontvangen. Voor leadgeneratie zijn dit de maatregelen die wij standaard nalopen:
- PII uit URL’s en events halen. Formulieren die naam of e-mailadres in de URL zetten (bijvoorbeeld op een bedankpagina) lekken die gegevens naar elk platform. In de servercontainer haal je zulke parameters weg.
- IP-adressen inkorten of weglaten voordat een event naar een advertentieplatform gaat.
- Per bestemming bepalen welke velden mee mogen. GA4 krijgt iets anders dan Google Ads, en je CRM iets anders dan Microsoft Ads.
- Toestemming per bestemming afdwingen. Geen ad_user_data, dan ook geen gehashte gebruikersgegevens naar Google Ads.
- Logging beperken. Ook de logs van je eigen server bevatten persoonsgegevens. Bewaar ze niet langer dan nodig.
Leg deze keuzes vast. Een verwerkingsregister en een actuele privacyverklaring horen bij de AVG-verplichtingen, en een servercontainer is een nieuwe schakel die daarin thuishoort.
Waarom dit voor leadgeneratie extra zwaar weegt
Bij een webshop draait meting om transacties. Bij leadgeneratie meet je formulieren, telefoongesprekken en afspraken, en die bevatten bijna altijd persoonsgegevens. Een offerteaanvraag voor een dakrenovatie bevat een naam, telefoonnummer en adres. Een intakeformulier bij een tandartspraktijk kan zelfs aanwijzingen over gezondheid bevatten, en dat zijn bijzondere persoonsgegevens met strengere regels. Die gegevens horen nooit in een meetevent.
Tegelijk wil je weten welke klik een waardevolle lead opleverde. Dat is precies waar server-side tagging sterk is, mits je het netjes inricht:
- Het formulier stuurt een event met alleen een technische ID en de conversie-actie, zonder inhoud van de velden.
- Je CRM koppelt die ID later aan de leadstatus (gekwalificeerd, offerte, getekend).
- Via offline conversie-import geef je Google Ads de commerciële waarde terug, alleen voor bezoekers die daar toestemming voor gaven.
Zo optimaliseer je op leadkwaliteit in plaats van op formulierinvullingen, zonder dat er inhoudelijke gegevens bij een advertentieplatform terechtkomen. In server-side vs client-side tagging voor leadconversies vergelijken we beide routes op betrouwbaarheid, en in cookieless attributie lees je hoe je leads meet als cookies ontbreken.
Een voorbeeld uit de praktijk
Neem een adviesbureau dat via Google Ads offerteaanvragen binnenhaalt. Het oude formulier stuurde na verzending door naar een bedankpagina met het e-mailadres van de aanvrager in de URL. Elke tag op die pagina kreeg dat adres mee, ook als de bezoeker tracking had geweigerd. Na de overstap verwijdert de servercontainer die parameter, en de conversie gaat alleen bij gegeven toestemming naar Google Ads. Het aantal gemeten conversies daalt. De meting die overblijft is wel schoon, en de toestemmingsstatus is aantoonbaar gerespecteerd.
Zo pak je het aan: een stappenplan
Wil je server-side tagging invoeren zonder AVG-risico’s, houd dan deze volgorde aan:
- Inventariseer wat je nu meet. Welke tags draaien er, welke data sturen ze en naar wie? Kijk ook naar formulieren, chatwidgets en belscripts.
- Bepaal per doel de grondslag. Laat dit toetsen door je functionaris gegevensbescherming of privacyjurist, zeker als je met gezondheidsgegevens of juridische dossiers werkt.
- Richt je cookiebanner goed in. Gelijkwaardige keuze, geen cookiewall, geen tags vóór de keuze.
- Koppel Consent Mode v2 aan je banner en controleer alle vier de consenttypes.
- Zet de servercontainer op op een eigen subdomein, bij voorkeur gehost in een Europese regio.
- Bouw filters in voor PII, IP-adressen en velden die een bestemming niet nodig heeft.
- Test weigeren én accepteren in de preview van zowel web- als servercontainer.
- Werk je documentatie bij: privacyverklaring, verwerkingsregister en verwerkersovereenkomsten.
De technische kant van stap 5 en 6 staat uitgewerkt in onze handleiding voor een GA4 server-side implementatie.
Onze kijk op AVG en server-side tagging
Wij werken sinds 2010 uitsluitend aan Google Ads en Microsoft Ads voor leadgeneratie, en server-side tracking via GTM en GA4 is bij ons standaard. Niet omdat het een AVG-vrijbrief is, want dat is het niet. We doen het omdat je zonder schone meting geen goede biedingen kunt zetten.
Wij bieden handmatig, zonder Smart Bidding. Dat betekent dat elke conversie die we meten direct invloed heeft op onze beslissingen. Een conversie die dubbel telt, een spamformulier dat als lead meetelt, of een event dat zonder toestemming binnenkomt, vervuilt die beslissingen. Een algoritme merkt dat niet op. Wij wel, omdat we dagelijks naar zoektermen en conversies kijken.
We zien regelmatig accounts van bedrijven die bij een breed geautomatiseerde aanpak vandaan komen. De meting is daar vaak “maximaal” ingericht: alles wat kan, gaat door. Dat levert mooie cijfers op in het dashboard, maar geen inzicht in welke lead commercieel iets waard was. Bovendien is het juridisch kwetsbaar.
Onze les: meet minder, maar meet het goed. Een kleinere set betrouwbare, toestemmingsconforme conversies, gekoppeld aan CRM-data over leadkwaliteit, stuurt een campagne beter dan een grote stapel twijfelachtige signalen.
— Arno Kooijman
Meting en campagnes in één hand
Bij Adworth hoort server-side tracking bij het campagnebeheer, niet ernaast. We richten GTM- en GA4-meting in, koppelen formulieren en CRM-status, en sturen daarop handmatig je Google Ads-campagnes bij in een strakke SKAG-structuur. We werken met maximaal 25 klanten tegelijk, en elk account staat onder persoonlijke regie van Arno Kooijman. Ben je teleurgesteld in de geautomatiseerde aanpak en wil je weten welke leads echt iets opleveren? Bekijk dan onze diensten voor SEA en Google Analytics of lees hoe we werken met Google Ads Control.
Veelgestelde vragen
Heb ik met server-side tagging nog een cookiebanner nodig?
Ja, zodra je trackingcookies of vergelijkbare technieken gebruikt. Server-side tagging verandert de route van de data, niet de toestemmingsplicht. Alleen voor beperkt analytische cookies die privacyvriendelijk zijn ingericht gelden lichtere regels.
Mag ik first-party cookies via mijn eigen domein zonder toestemming plaatsen?
Niet als je ze gebruikt om bezoekers te volgen of voor advertentiedoeleinden. De AP kijkt naar het doel en de verwerking, niet naar het domein waarvan de cookie komt. Laat bij twijfel een privacyjurist meekijken naar je specifieke opzet.
Werkt Consent Mode v2 ook met een servercontainer?
Ja, maar je moet het goed doorzetten. De toestemmingsstatus moet van de browser naar de servercontainer gaan en daar per tag worden gerespecteerd. Test dit altijd door in de preview op weigeren te klikken en te controleren dat er niets naar advertentieplatformen gaat.
Is server-side tagging de moeite waard voor een kleiner bedrijf?
Voor bedrijven die serieus adverteren op leads meestal wel, omdat je meting betrouwbaarder wordt en je leadkwaliteit kunt koppelen aan je CRM. Het vraagt wel een eenmalige inrichting en doorlopende serverkosten. Bij een klein advertentiebudget weegt dat niet altijd op tegen de winst.
Mogen formuliergegevens naar Google Ads?
Alleen met de juiste toestemming en in beperkte, gehashte vorm, en nooit de inhoud van het formulier. Gevoelige gegevens, zoals medische informatie uit een tandartsformulier, horen niet in meetdata. Laat de grondslag toetsen door je functionaris gegevensbescherming.
Bronnen
- Autoriteit Persoonsgegevens: Cookies
- Autoriteit Persoonsgegevens: Tracking cookies
- Autoriteit Persoonsgegevens: Heldere cookiebanners
- Autoriteit Persoonsgegevens: Grondslag toestemming
- Autoriteit Persoonsgegevens: Ambtsbericht Google Analytics
- EDPB: Guidelines 05/2020 on consent
- Google Tag Manager Help: Client-side tagging vs. server-side tagging
- Google Tag Manager Help: Updates to consent mode for traffic in the EEA
- Google Tag Manager Help: Consent mode reference
- Google Tag Manager Help: Tag Manager consent mode support
