Wat de GDPR van je vraagt
De GDPR (Algemene Verordening Gegevensbescherming, in Nederland de AVG) regelt hoe je met persoonsgegevens mag omgaan. In combinatie met de ePrivacy-regels komt het erop neer: voordat je niet-noodzakelijke cookies plaatst of gebruikers volgt, heb je hun toestemming nodig.
Belangrijk is het onderscheid tussen soorten cookies. Functionele cookies (die nodig zijn om de site te laten werken, zoals een winkelmandje) mogen zonder toestemming. Analytics- en marketingcookies (die volgen wie je bent en wat je doet) mogen dat niet zomaar.
De toestemming moet bovendien echt vrij zijn. Een bezoeker moet even makkelijk kunnen weigeren als accepteren. Een cookiebanner waar alleen een grote "Accepteren"-knop staat en weigeren verstopt zit, voldoet niet aan de regels.
Waarom dit meer is dan een banner
Veel MKB'ers denken dat een cookiebanner het probleem oplost. Maar een banner die verschijnt terwijl de tracking al draait, is schijnveiligheid: dan heb je de data al verzameld voordat er toestemming was. De banner moet de tracking dus daadwerkelijk tegenhouden tot er akkoord is.
Er zijn twee gevolgen als je dit fout doet. Ten eerste een juridisch risico: de Autoriteit Persoonsgegevens kan handhaven en boetes opleggen. Ten tweede, en voor veel ondernemers concreter, verlies je data-integriteit: als je tracking niet klopt, kloppen je cijfers niet, en dan neem je beslissingen op basis van ruis.
De vraag is dus niet alleen "heb ik een banner?" maar "activeert mijn analytics pas na toestemming, en klopt mijn data nog?". Dat vraagt om een doordachte setup, niet om een plugin die je aanzet en vergeet.
Google Analytics 4 en toestemming
Google Analytics 4 is de meestgebruikte analytics-tool, maar het plaatst cookies en verwerkt data die onder de GDPR valt. Je mag GA4 dus niet zomaar laten draaien zonder toestemming. Er zijn twee manieren om het correct in te richten.
Consent Mode via een cookiebanner
Google's Consent Mode laat GA4 pas volledig meten nadat de bezoeker toestemming heeft gegeven. Zonder toestemming stuurt GA4 hooguit geanonimiseerde, cookieloze signalen. Je koppelt dit aan een consent-tool (zoals Cookiebot of Complianz) die de banner beheert.
Server-side en anonimisering
Geavanceerder is een server-side opzet via Google Tag Manager, waarbij je meer controle hebt over welke data wordt doorgestuurd. Dit vraagt technische kennis en is voor veel kleine MKB-sites overkill. Voor de meesten volstaat consent mode met een goede banner.
Het nadeel: dataverlies
Omdat een deel van de bezoekers weigert, mis je hun data in GA4. In de praktijk accepteert vaak 50 tot 80 procent, dus je meet een deel van je verkeer niet. Dat is de prijs van correcte naleving met GA4.
Privacy-vriendelijke alternatieven zonder banner
Er is een andere route die steeds populairder wordt: analytics-tools die zo zijn gebouwd dat ze geen persoonsgegevens verwerken en geen tracking-cookies plaatsen. Als een tool geen persoonsgegevens verzamelt en niemand individueel volgt, is toestemming vaak niet nodig, en kun je de cookiebanner soms helemaal weglaten.
Dat heeft twee grote voordelen: je hoeft geen bezoekers om toestemming te vragen (dus geen dataverlies door weigeringen), en je site oogt schoner zonder opdringerige banner. De data is wat minder gedetailleerd dan GA4, maar voor de meeste MKB'ers ruim voldoende.
- Plausible Analytics: lichtgewicht, cookieloos, geen persoonsgegevens. Vaak geen banner nodig.
- Matomo: kan cookieloos worden ingesteld, je host de data zelf en houdt volledige controle.
- Piwik PRO: GA4-achtige functies met sterke privacy-focus en Europese hosting.
- Let op: check per tool en configuratie of je echt zonder banner mag. De regels hangen af van hoe de tool is ingesteld, niet alleen van de naam.
Welke setup past bij jou?
De juiste keuze hangt af van wat je nodig hebt en hoeveel complexiteit je aankunt. Grofweg zijn er drie profielen.
Je wilt diepe integratie met Google Ads en advertising. Dan is GA4 met consent mode logisch, ondanks het dataverlies, omdat de koppeling met Google's advertentie-ecosysteem sterk is. Zorg dan dat je banner correct de tracking tegenhoudt tot akkoord.
Je wilt vooral begrijpen hoeveel bezoekers je hebt en waar ze vandaan komen. Dan is een privacy-vriendelijke tool als Plausible vaak de betere keuze: eenvoudiger, geen banner-gedoe, geen dataverlies door weigeringen.
Je wilt maximale controle en eigen data-eigenaarschap. Dan is een zelf-gehost Matomo interessant, mits je de technische kant aankunt of laat regelen.
De vraag is niet welke analytics-tool het populairst is, maar welke past bij hoeveel je meet, hoeveel je aan Google gekoppeld wilt zijn, en hoeveel banner-gedoe je je bezoekers wilt aandoen.
Praktijkvoorbeeld: van fout naar goed
Neem een MKB-webshop die GA4 draait met een standaard cookieplugin. De banner staat er, maar bij inspectie blijkt de GA4-tag al te vuren voordat de bezoeker iets heeft aangeklikt. Dat is technisch niet compliant, en de eigenaar weet het niet.
Stap 1: de tracking wordt gekoppeld aan de consent-status, zodat GA4 pas meet na akkoord. Consent mode zorgt dat er tot die tijd hooguit geanonimiseerde signalen zijn.
Stap 2: de banner wordt aangepast zodat weigeren net zo makkelijk is als accepteren, conform de regels.
Resultaat: de setup is nu compliant. De keerzijde: circa 30 procent van de bezoekers weigert, dus de cijfers in GA4 dalen. De eigenaar overweegt daarom Plausible ernaast, om een compleet beeld van de bezoekersaantallen te houden zonder het weigeraars-gat.
De les: compliant worden kan je data kosten. Dat is geen reden om het niet te doen, maar wel om vooraf te kiezen welke tool bij je past.
Checklist voor een correcte setup
Loop deze punten langs om te controleren of jouw analytics-setup klopt onder de GDPR:
- Vuurt je tracking pas na toestemming? Controleer of GA4 niet al draait voordat er is geklikt.
- Is weigeren even makkelijk als accepteren? Geen verstopte weiger-knop.
- Heb je een verwerkersovereenkomst met je analytics-leverancier waar dat vereist is?
- Staat het in je privacyverklaring? Beschrijf welke data je verzamelt en waarom.
- Overweeg een cookieloze tool als je diepe Google-integratie niet nodig hebt.
- Meet je nog betrouwbaar? Check of je cijfers kloppen na het inregelen van consent.
Eerlijk over de grenzen van dit artikel
Wij zijn een SEO- en hostingteam, geen juristen. Dit artikel geeft een praktische, actuele uitleg, maar de precieze toepassing van de AVG op jouw situatie kan verschillen. Voor grote of gevoelige verwerkingen is juridisch advies verstandig.
Wat wij wel kunnen: de technische kant correct inregelen, zodat je tracking pas na toestemming vuurt en je analytics-setup betrouwbare data geeft. Dat is waar de meeste MKB'ers in de knel komen: niet bij de wet, maar bij de uitvoering.
Wil je weten of jouw huidige setup klopt? Onze site-check signaleert de meest voorkomende problemen, zodat je weet waar je staat voordat er iemand op de deur klopt.