Elke marketingtag op je site is een verwerker die je nooit hebt aangenomen

Vraag een ondernemer hoeveel verwerkers het bedrijf heeft, en er komt een lijst op tafel die verdacht veel op de crediteurenadministratie lijkt. Het boekhoudpakket, de mailtool, de hostingpartij, het CRM. Allemaal geteld, allemaal gecontracteerd, allemaal netjes in het verwerkingsregister. Ondertussen staat op de website een tagmanager waarin in de loop van jaren scripts zijn bijgezet door mensen die er allang niet meer werken, en weet niemand nog waarom ze aan staan.

Mijn stelling: je aansprakelijkheid volgt de gegevensstroom, niet je leverancierslijst. Elke pixel, chatwidget en A/B-test op je site leest mee met je bezoeker, en voor vrijwel geen van die stromen is ooit een verwerkersovereenkomst getekend of een regel in een register gezet. Wie de tag plaatste, is niet wie ervoor aansprakelijk is.

Verwerker word je door wat je doet, niet door wat je tekent

Een marketingtag is een stuk code van een derde partij dat in de browser van je bezoeker draait en daar gegevens verzamelt en doorstuurt: het IP-adres, het apparaat, de bezochte pagina’s, soms wat er in een formulier stond. Onder de AVG is dat een verwerking van persoonsgegevens waarvoor jij verantwoordelijk bent, ook als die gegevens jouw server nooit raken en jij ze zelf nooit te zien krijgt.

Er zijn maar twee rollen mogelijk voor de partij achter zo’n tag. Of het is een verwerker die uitsluitend in jouw opdracht handelt, en dan schrijft artikel 28 een verwerkersovereenkomst voor. Of die partij bepaalt het doel mede, en dan ben je gezamenlijk verwerkingsverantwoordelijke onder artikel 26, met een vastgelegde onderlinge regeling en een informatieplicht richting de bezoeker. Een derde categorie, "dat is van marketing" of "dat regelt het bureau", bestaat niet.

Het Hof van Justitie sprak zich daar in 2019 al over uit in een zaak die precies hierover ging. De Duitse webshop Fashion ID had een Facebook-like-knop op zijn productpagina’s staan. Fashion ID zag de gegevens die daarmee naar Facebook gingen zelf nooit en had er ook niets aan. Toch oordeelde het Hof dat de beheerder van zo’n site samen met de aanbieder van de plugin verantwoordelijk is voor het verzamelen en doorsturen van de bezoekersgegevens, en dat de toestemming en de informatieplicht voor die fase bij de sitebeheerder liggen. Het arrest ging nog over de voorloper van de AVG, maar het begrip verwerkingsverantwoordelijke is ongewijzigd meeverhuisd.

Je hoeft dus niets te tekenen om verantwoordelijk te zijn. Je hoeft alleen die ene regel code te plakken.

Meta zegt het zelf, in zijn eigen voorwaarden. Wie de Meta-pixel of een andere Business Tool gebruikt, aanvaardt een Controller Addendum waarin staat dat de adverteerder en Meta Ireland gezamenlijk verwerkingsverantwoordelijk zijn onder artikel 26 voor het verzamelen en doorsturen van de gegevens, en dat de adverteerder degene is die de bezoeker daarover informeert. Dat is geen kleine letter die je kunt wegonderhandelen. Het is de rolverdeling die je accepteerde op het moment dat je de pixel installeerde.

Je plaatste één tag en opende een keten

Het probleem is niet dat je tien tags hebt. Het probleem is dat tien tags er geen tien blijven.

Van de webpagina’s die het HTTP Archive jaarlijks meet, laadt minstens 90 procent ten minste één derde partij. Interessanter dan dat aantal is de diepte. De mediane insluitketen telt drie niveaus, wat betekent dat de meeste derde partijen op een pagina zelf weer een derde partij binnenhalen. De diepste keten die de editie van 2025 tegenkwam, telde 2.285 niveaus.

Vertaald naar jouw site: jij koos een tagmanager, de tagmanager laadt de pixel die marketing wilde, en die pixel haalt een partner binnen die jij nooit hebt gezien. De Autoriteit Persoonsgegevens beschrijft het gevolg zonder omhaal. De gegevens die bij tracking vrijkomen worden volgens de toezichthouder vaak gedeeld met tientallen of honderden andere partijen, buiten het zicht van de mensen om wie het gaat.

Dat is geen theorie. Toen onderzoekers het platform van e-mailmarketingbedrijf Klaviyo doorlichtten, bleek dat het openen van een klantprofiel de naam en het e-mailadres van die klant doorstuurde naar Sift, Gainsight PX en Google Analytics, drie partijen die op Klaviyo’s eigen subverwerkerslijst van 27 namen ontbraken.

Zet die twee naast elkaar. In jouw register stond één regel: Klaviyo, verwerker, overeenkomst getekend. Klaviyo’s eigen lijst noemde 27 subverwerkers. De gegevens gingen naar partijen die op geen van beide lijsten stonden. Je register was niet fout op papier. Het was fout over de werkelijkheid.

Een tag is geen gegevensstroom, het is een sleutel

Er is een tweede reden waarom dit meer is dan papierwerk, en die heeft met de AVG weinig te maken.

Een tag is uitvoeringsrecht. Je geeft een derde partij toestemming om code te draaien in de browser van je bezoeker, onder jouw domeinnaam, en die code mag elke dag veranderen zonder dat iemand het merkt. Wat dat waard is, liet Adform zien: het trackingscript van het advertentiebedrijf stond ingebed op de sites van zo’n 14.000 klanten en serveerde ruim een week lang een cryptostealer die gekopieerde walletadressen verving. Geen van die 14.000 servers was aangeraakt, geen enkel CMS was gekraakt, en de bezoeker zag in de adresbalk alleen de domeinnaam van de website-eigenaar.

Wie zijn tags nooit heeft geteld, kan ze ook niet beveiligen. Artikel 32 van de AVG vraagt om maatregelen die passen bij het risico, en een risico dat niet in kaart staat, weeg je niet.

Blijft de vraag wie er als eerste aan de bel trekt. Bij de Belastingdienst was dat een beveiligingsonderzoeker. Adobe Analytics stond aan in de betaalomgeving van belastingdienst.nl, zonder geldige grondslag en zonder toestemming, waarna de dienst de tracker stopzette en een datalek meldde bij de Autoriteit Persoonsgegevens. Wat de dienst daarna wilde regelen voordat er weer analytics aanging: een DPIA en een verwerkersovereenkomst. Precies de twee stappen die vooraf hadden gehoord.

Om eerlijk te zijn valt er veel tegenin te brengen

Drie tegenwerpingen, en alle drie zijn ze goed.

De eerste gaat over handhaving. Geen Nederlandse mkb’er is ooit beboet voor een vergeten pixel, de toezichthouder heeft beperkte capaciteit en richt zich op de zichtbare kant: de cookiebanner. Dat klopt. De richting is alleen eenduidig. Sinds april 2025 controleert de AP structureel of websites op de juiste manier toestemming vragen, ruim 200 sites kregen een waarschuwing over hun banner, ongeveer driekwart paste die aan, en tegen de weigeraars zijn in november 2025 handhavingsstappen gezet.

Belangrijker: de boete is zelden de trigger. Bij Klaviyo was het een onderzoeksbureau, bij Adform een beveiligingsonderzoeker, bij de Belastingdienst een melder. Het eerste dat je over je eigen tags hoort, komt meestal van iemand die ze al heeft bekeken.

De tweede tegenwerping is scherper. Met Google of Meta valt niet te onderhandelen. Je vinkt hun voorwaarden aan of je gebruikt de tool niet, dus "een verwerkersovereenkomst sluiten" is grotendeels een fictie. Ook dat klopt. Alleen vroeg de AVG je nooit om te onderhandelen. Ze vraagt je om te weten en het te kunnen aantonen, en dat ligt volledig binnen je eigen muren. Meta’s rolverdeling kun je niet veranderen. Je kunt wel weten dat je hem hebt geaccepteerd, en hem opschrijven.

De derde: zonder meten vliegt je marketing blind. Waar. Maar meten en volgen zijn niet hetzelfde. Vicevoorzitter Monique Verdier van de AP zei het radicaler dan ik zou durven, namelijk dat de eenvoudigste manier om die vrije keuze te respecteren is om geen volgsoftware te gebruiken, want dan is er ook geen cookiebanner nodig. Er bestaan analytics-opstellingen zonder cookies die je zonder toestemmingsbanner mag draaien, en voor de meeste bedrijven leveren die ruim voldoende inzicht. De keuze is dus niet meten of niet meten. De keuze is wie er meekijkt terwijl je meet.

Het register hoort te beginnen bij de stroom, niet bij de factuur

Er leeft een hardnekkig misverstand dat een klein bedrijf helemaal geen verwerkingsregister nodig heeft. De AVG kent inderdaad een uitzondering onder de 250 medewerkers, maar die vervalt zodra de verwerking niet incidenteel is, en de AP tekent daarbij aan dat verwerkingen in de praktijk zelden incidenteel zijn. Een pixel die bij elke paginaweergave afgaat, is het tegenovergestelde van incidenteel.

Datzelfde register vraagt om iets wat vrijwel niemand invult: de naam van elke organisatie met wie je gezamenlijk het doel en de middelen van een verwerking hebt vastgesteld. Dat is exact de rol die Meta in zijn eigen voorwaarden claimt. De wet vraagt je dus letterlijk om die naam op te schrijven, en op die plek staat in de meeste registers een regel die "marketing" heet.

De omkering die daaruit volgt is klein en oncomfortabel. Een register dat je opbouwt vanuit je contracten mist per definitie alles waarvoor je nooit een contract kreeg. Een register dat je opbouwt vanuit de gegevensstroom begint bij een lege browser en de verzoeken die één pagina afvuurt. Dezelfde vraag die je bij data-residency stelt over waar je klantdata mag staan en met wie je daarvoor iets moet vastleggen, geldt in de browser van je bezoeker: niet alleen waar je database draait, maar waar het IP-adres van die bezoeker naartoe reist voordat de pagina is opgebouwd.

De grondslag waar veel van dit op rust wordt bovendien zelf wankeler. Er verschijnen browserextensies die de cookiebanner namens de bezoeker beantwoorden, en agents die dat straks routineus doen. Wie zijn toestemming moet kunnen aantonen, krijgt binnen afzienbare tijd de vraag wiens klik dat eigenlijk was.

Wat je nooit hebt aangenomen, ontsla je ook nooit

Een medewerker neem je aan met een contract, een introductie en een rol, en op een dag met een afscheid. Een tag neem je aan met copy-paste. Geen gesprek, geen proeftijd, en vooral geen offboarding: ik ben nog geen bedrijf tegengekomen dat een pixel formeel heeft opgezegd.

Dat is het echte probleem, en het is geen juridisch probleem maar een boekhoudkundig probleem in de verkeerde boekhouding. Je telt je verwerkers op de plek waar geld naar buiten gaat, terwijl de gegevens ergens anders naar buiten lopen. Het AVG-risico zit zelden in de techniek zelf en vrijwel altijd in de dataroute die niemand heeft vastgelegd, en een tagmanager is de zuiverste vorm daarvan die ik ken: een personeelsbestand aan gegevensverwerkers dat niemand ooit heeft aangenomen, in dienst van een afdeling die het niet meer beheert.

Begin dus niet bij je contractenmap. Begin bij één pagina van je eigen site, en tel wie er meekijkt.