Consent management platform (CMP): waar je op moet letten

Wat is een consent management platform?

Een consent management platform, kortweg CMP, is de software die op je website de toestemming van bezoekers vraagt, opslaat, aantoonbaar maakt en doorgeeft aan alle gekoppelde diensten. Zichtbaar is alleen de cookiebanner. Daarachter gebeurt het eigenlijke werk: de CMP zorgt ervoor dat Google Analytics, Google Ads, de Meta-pixel en andere diensten pas cookies plaatsen of data versturen als de bezoeker dat heeft toegestaan. Vaak heet het ook consent manager of consent management tool. Het gaat altijd om hetzelfde.

De juridische basis in Duitsland is § 25 van de Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), die tot mei 2024 TTDSG heette. Dat artikel regelt wanneer iemand toegang mag hebben tot het apparaat van een gebruiker, dus wanneer cookies geplaatst of uitgelezen mogen worden. Voor alles wat niet strikt noodzakelijk is, is doorgaans toestemming nodig. De Algemene verordening gegevensbescherming (AVG) eist in artikel 7 bovendien dat je die toestemming kunt aantonen en dat intrekken net zo eenvoudig is als toestemming geven. Dit artikel is geen juridisch advies, het legt de techniek uit.

Welke taken heeft een consent manager?

Een consent manager vervult zes taken die nauw samenhangen. Valt er één weg, dan krijg je privacyproblemen of gaten in je cijfers.

• Vragen: de banner legt de doelen begrijpelijk uit en biedt accepteren en weigeren als gelijkwaardige keuzes aan.
• Opslaan: de keuze wordt in de browser opgeslagen, zodat de banner niet bij elke paginaweergave opnieuw verschijnt.
• Aantonen: elke toestemming wordt vastgelegd met tijdstip, versie van de banner en gekozen doeleinden.
• Doorgeven: de keuze gaat naar Google Consent Mode en naar alle andere tags die ervan afhangen.
• Intrekken mogelijk maken: bezoekers kunnen hun keuze altijd wijzigen, bijvoorbeeld via een link in de footer.
• Scannen: een cookiescan laat zien welke cookies en diensten echt op de website voorkomen.

→ Cookiebanner met Consent Mode v2: compliant, zonder maandelijkse licentie

Consent management en Google Consent Mode v2

Voor Google is de belangrijkste taak van de CMP het doorgeven aan Google Consent Mode v2, de interface waarmee Google-tags de keuze van de bezoeker te weten komen. Consent Mode kent vier signalen: ad_storage en analytics_storage bepalen of cookies voor advertenties en analyse geplaatst mogen worden. ad_user_data bepaalt of gebruikersgegevens voor advertentiedoeleinden naar Google mogen, en ad_personalization of gepersonaliseerde advertenties zijn toegestaan. Bij het laden van de pagina zet de CMP alle vier op een standaardwaarde, in de EU meestal “denied”. Na een klik op een knop stuurt de CMP een update met de werkelijke keuze.

Sinds maart 2024 verwacht Google voor bezoekers uit de Europese Economische Ruimte dat deze signalen worden doorgegeven als data voor advertenties en remarketing worden gebruikt. Ontbreken ze, dan kan Google Ads doelgroepen en conversies maar beperkt gebruiken. Google onderscheidt twee varianten. Bij de basisimplementatie laden Google-tags pas na toestemming. Bij de geavanceerde implementatie laden ze direct met de standaardwaarde “denied” en sturen ze zonder toestemming alleen metingen zonder cookies, waarmee Google ontbrekende waarden schat. Welke variant past, is een afweging die je bewust moet maken.

Andere diensten hebben eigen mechanismen. Microsoft Advertising ondersteunt voor Universal Event Tracking (UET) een eigen toestemmingssignaal. Voor Meta, LinkedIn, TikTok of Pinterest stel je de tag in Google Tag Manager meestal zo in dat hij pas afgaat na toestemming voor marketing. Een goede CMP levert daarvoor in de Google Tag Manager-container een eigen gebeurtenis of variabele waarop de triggers kunnen reageren.

De cookiescan is nog een taak van een CMP. Die opent je pagina's automatisch en geeft een lijst van de cookies, lokale opslag en diensten die daar echt voorkomen. Dat is belangrijk, omdat websites voortdurend veranderen: een nieuwe plugin voegt een kaart toe, een video komt van een extern platform, een chatvenster plaatst eigen cookies. Staat een dienst wel in de scan, maar niet in de banner, dan vraagt de banner geen toestemming voor iets wat toch gebeurt. De resultaten van de scan horen bovendien in de cookietabel van je privacyverklaring, zodat bezoekers kunnen nalezen waarvoor ze toestemming geven.

Hoe je een goede CMP herkent

Een goede CMP herken je aan de techniek en aan hoe die zich in de praktijk gedraagt, niet aan het uiterlijk van de banner. Deze punten helpen bij de keuze, of je nu een kant-en-klare consent management tool gebruikt of een oplossing laat inrichten.

• Consent Mode v2 is direct ingebouwd en zet de standaardwaarde voordat er ook maar één tag afgaat.
• “Alles weigeren” staat gelijkwaardig op het eerste niveau, niet verstopt in de instellingen.
• De banner laadt snel: weinig bestanden en geen extra code van veel externe servers.
• Toestemmingsbewijzen worden zuinig met gegevens opgeslagen, bij voorkeur zonder IP-adres.
• De koppeling met Google Tag Manager is gedocumenteerd en werkt zonder eigen code.
• De teksten zijn beschikbaar in alle talen van je website.

De laadtijd van een CMP wordt bij de keuze vaak vergeten. Omdat de CMP heel vroeg moet laden, zodat de standaardwaarde vóór alle andere tags staat, vertraagt elk extra bestand de start van de meting en vaak ook de opbouw van de pagina. Controleer daarom op een testpagina hoeveel bestanden de banner laadt en wanneer hij zichtbaar wordt. Een banner die op de telefoon pas na een paar seconden verschijnt, kost bezoekers en verslechtert de Core Web Vitals.

→ Google Consent Mode v2 correct instellen: geen waarschuwing in Tag Assistant

Typische fouten en hoe je ze herkent

Een veelgemaakte fout bij een CMP is een banner die wel verschijnt, maar niets aanstuurt. De tags in Google Tag Manager gaan af bij het laden van de pagina, ongeacht de keuze. Je ziet dat als je in een privévenster op “Alles weigeren” klikt en in de ontwikkelaarstools onder Applicatie toch cookies zoals _ga of _fbp vindt. Een tweede fout is een ontbrekende standaardwaarde: Consent Mode krijgt pas na de klik een signaal, dus de eerste hits worden zonder toestemmingsstatus verstuurd.

Het komt ook voor dat de toestemming wel wordt opgeslagen, maar nooit als update aan Consent Mode wordt doorgegeven. Dan blijft alles op “denied” en toont Google Analytics nauwelijks data, terwijl veel bezoekers akkoord gaan. Ook verkeerd ingedeelde categorieën komen vaak voor: de Meta-pixel hangt onder “Statistieken” in plaats van “Marketing”, of een dienst staat helemaal niet in de banner. In de voorbeeldmodus van Google Tag Manager zie je op het tabblad voor toestemming welke status op welk moment gold.

Voorbeeld uit de praktijk: kleine webshop met WooCommerce

Een webshop voor koffieaccessoires gebruikt WooCommerce, Google Analytics 4, Google Ads en de Meta-pixel. De banner is jaren geleden via een plugin ingebouwd, de tags kwamen later via Google Tag Manager. Bij de test blijkt: de banner vraagt netjes om toestemming, maar de Meta-pixel staat ook nog vast in het thema en laadt altijd. Tegelijk ontbreekt de standaardwaarde voor Consent Mode, waardoor Google Ads bijna geen conversies uit de EU ziet.

De oplossing bestaat uit drie stappen. De pixel wordt uit het thema verwijderd en gaat alleen nog af in Google Tag Manager, met een trigger op toestemming voor marketing. De CMP zet de standaardwaarde “denied” helemaal aan het begin. Daarna wordt elke route getest: zonder keuze, met weigeren en met accepteren. Pas als in alle drie de gevallen het juiste gebeurt, gaat de wijziging live.

Consent management laten inrichten

Trackum richt de toestemming zo in dat die in de Google Tag Manager van je bedrijf echt werkt: Consent Mode v2 met standaardwaarde, triggers voor elk advertentieplatform en een test in de voorbeeldmodus met en zonder toestemming, voordat er iets live gaat. De inrichting met Google Analytics 4 en Consent Mode v2 kost eenmalig € 150. De cookiebanner van Trackum, één bestand van 6,6 KB dat niets bijlaadt, is een extra voor € 50 plus € 4,90 per maand en zit in het abonnement van € 19 per maand inbegrepen. Alle prijzen zijn exclusief btw.

Wil je eerst weten of je huidige CMP goed werkt? De gratis check (€ 0, zonder registratie) test de pagina in een echte browser met en zonder toestemming en laat je de bevindingen zien, met een vaste prijs om ze op te lossen.