Wie in Nederland een cookiemelding op zijn website heeft gezet, heeft grote kans dat het Cookiebot is. In ons onderzoek naar 7.817 Nederlandse websites was Cookiebot de meest gebruikte cookietool met een naam: we vonden hem op 365 sites, meer dan Complianz, Cookie Notice of CookieYes.
Maar een banner die netjes verschijnt, zegt nog niets over wat er op de achtergrond gebeurt. Gaat Google Analytics pas aan nadat je bezoeker op "Toestaan" klikt? Blijft de Meta Pixel echt stil na "Weigeren"? Aan de banner zelf zie je dat niet. Je moet het meten.
Waarom dit nu speelt
De Autoriteit Persoonsgegevens (AP) heeft aangekondigd dat zij cookiebanners controleert.
Ons Nederlandse onderzoek (oktober 2026, 7.817 websites van kleine en middelgrote bedrijven) laat zien waarom dat relevant is:
- 42,3% laadde trackers vóór toestemming, 26,1% zelfs een advertentiepixel.
- Slechts 25,9% toonde überhaupt een cookiebanner, het laagste aandeel van de zeven landen die we onderzochten.
- 58,3% van de banners had geen "Weigeren"-knop in de eerste laag.
- Van de 845 sites mét zo'n knop stuurde 18,6% na "Weigeren" nog steeds trackingdata door.
Een banner hebben is dus al een stap verder dan de meeste Nederlandse sites. De vraag is of die banner ook doet wat hij belooft.
Wat we bij Cookiebot hebben gemeten
Cookiebot zelf bekeken we in een tweede scan: 10.944 websites van kleine en middelgrote bedrijven in negen EU-landen in Midden- en Oost-Europa (31 oktober tot 1 november 2026), waarvan 367 met Cookiebot. Een echte browser opende elke site als nieuwe bezoeker, klikte nergens op en legde alle verzoeken vast. Bij een "Weigeren"-knop in de eerste laag klikten we die aan en maten we opnieuw.
Van de 367 Cookiebot-sites:
- 56,9% laadde trackers of trackingcookies voordat de bezoeker een keuze had gemaakt.
- 50,1% vuurde een advertentiepixel af vóór toestemming, het vaakst de Meta Pixel (140 sites) en Google Ads (111).
- 27,0% laadde Google Analytics of Google Tag Manager vóór toestemming.
- 68,4% laadde Google Fonts rechtstreeks van Google.
- Van de 153 sites met een "Weigeren"-knop in de eerste laag stuurde 41,2% na "Weigeren" nog steeds data naar derden.
- Van de sites met Google Consent Mode stond bij 9,5% al vóór de eerste klik "granted".
Die sites staan niet in Nederland, maar de oorzaken zijn technisch en overal hetzelfde. En bijna altijd ligt het niet aan Cookiebot, maar aan hoe het is ingebouwd.
De 6 meest voorkomende oorzaken
1. Het Cookiebot-script laadt niet als eerste
Cookiebot kan alleen tegenhouden wat ná het script wordt geladen. Staat er in de <head> al een Google-tag of een pixel uit een andere plugin, dan is dat verzoek al verstuurd voordat de banner bestaat.
2. Handmatige modus zonder markering
Cookiebot kent automatische blokkering (in het script data-blockingmode="auto") en een handmatige modus. In de handmatige modus blokkeert Cookiebot alleen scripts die je zelf hebt gemarkeerd, met type="text/plain" en data-cookieconsent="statistics", "marketing" of "preferences". Een nieuwe pixel zonder markering draait gewoon mee.
3. Cookiebot en Google Tag Manager zonder toestemmingsvoorwaarde
Loopt je tracking via Google Tag Manager, dan beslist GTM wanneer een tag afgaat, niet de banner. Een tag op "All Pages" zonder toestemmingsvoorwaarde vuurt gewoon af. Cookiebot heeft een eigen template in de GTM-templategalerij en stuurt toestemmingsevents naar de dataLayer. Elke trackingtag heeft dus een trigger nodig die op toestemming wacht, of juiste instellingen via Consent Mode. In onze ervaring is dit de grootste afzonderlijke oorzaak.
4. Cookiebot op WordPress: caching- en optimalisatieplugins
Bijna de helft van de Cookiebot-sites in onze scan draaide op WordPress (161 van 367). Ook in Nederland is WordPress veruit het grootste platform (3.790 sites). Plugins die JavaScript samenvoegen, uitstellen of verplaatsen, kunnen het Cookiebot-script naar achteren schuiven of de markering wissen. Ook bekend: Cookiebot dubbel laden, via de WordPress-plugin én handmatig in het thema. Sluit Cookiebot uit van samenvoegen en uitstellen en test na elke wijziging.
5. Webshop- en trackingplugins met eigen code
WooCommerce-extensies, marketingkoppelingen en webshop-apps plaatsen vaak hun eigen trackingcode, los van je cookiemelding. Heeft zo'n plugin ook nog een eigen toestemmingsinstelling, dan is snel onduidelijk welk systeem welke tag vrijgeeft. Dan helpt alleen meten.
6. Google Fonts, YouTube en kaarten
Google Fonts wordt meestal via CSS geladen, niet via een script, dus scriptblokkering grijpt daar niet in. Bij elke aanroep van fonts.googleapis.com gaat het IP-adres van je bezoeker naar Google. Host lettertypes daarom lokaal. YouTube-video's en Google Maps horen pas na toestemming te laden; Cookiebot heeft daar plaatshouders voor, maar die moet je wel inrichten.
En Google Consent Mode v2?
Sinds maart 2024 eist Google Consent Mode v2 voor bezoekers uit de EER. Cookiebot ondersteunt Consent Mode en zet de signalen voor je. Waar het om draait is de standaardwaarde: vóór elke klik moeten ad_storage, analytics_storage, ad_user_data en ad_personalization op "denied" staan. Staat er bij het laden al "granted", dan denkt Google dat je bezoeker akkoord is, terwijl hij nog nergens op klikte. Dat zagen we bij 9,5% van de Cookiebot-sites met Consent Mode. In Nederland had bovendien 67,7% van de 3.092 sites met een Google-tag helemaal geen Consent Mode.
Cookiebot testen in 2 minuten
Zelf, met je browser:
- Open je website in een privévenster, zodat er geen eerdere toestemming is opgeslagen.
- Open de ontwikkelaarstools (F12), ga naar het tabblad "Netwerk" en herlaad de pagina, zonder iets in de banner aan te klikken.
- Zoek in het filter op
google-analytics,googletagmanager,facebook,doubleclick,fonts.googleapisenclarity. - Elk verzoek dat nu al verschijnt, ging de deur uit vóór toestemming.
- Klik daarna op "Weigeren" en herlaad de pagina. Wat er dan nog verschijnt, vuurt af ondanks je weigering.
Of automatisch: de gratis cookiescan van Bannerproof opent je website als een nieuwe bezoeker uit de EU, controleert vóór toestemming en na "Weigeren", leest de Consent Mode-signalen uit en laat elk gevonden verzoek zien als bewijs. Alleen Consent Mode? Gebruik de Consent Mode-checker. We controleren het resultaat, niet de tool, dus het werkt met Cookiebot net zo goed als met elke andere banner.
Checklist voor Cookiebot
- Cookiebot-script als eerste in de
<head>, en maar één keer geladen - Automatische blokkering aan, of in de handmatige modus elk trackingscript gemarkeerd
- In Google Tag Manager: elke trackingtag met een toestemmingsvoorwaarde
- Consent Mode v2: alle vier de signalen standaard op "denied"
- Optimalisatieplugins: Cookiebot uitgesloten van samenvoegen en uitstellen
- Google Fonts lokaal, YouTube en kaarten pas na toestemming
- Na elke thema-update, nieuwe plugin of nieuwe pixel: opnieuw testen
Veelgestelde vragen
Is Cookiebot AVG-proof? Cookiebot is een hulpmiddel. Of jouw website aan de regels voldoet, hangt af van hoe het is ingebouwd en of er echt niets laadt vóór toestemming. Dat kun je meten. Een juridische beoordeling van jouw situatie vervangt het niet.
Is de Cookiebot-scan niet genoeg? De Cookiebot-scan is vooral bedoeld om de cookies op je site te vinden en te beschrijven in je cookieverklaring. Of tags al vóór toestemming afgaan, zie je alleen door de pagina als nieuwe bezoeker te laden en naar de netwerkverzoeken te kijken.
Werkt Cookiebot gratis anders? Cookiebot heeft een gratis variant voor kleine websites. Of trackers vóór toestemming laden, hangt ook dan af van de plek van het script, de blokkeermodus en je Tag Manager.
Ik gebruik Cookiebot met WordPress. Waar moet ik op letten? Op caching- en optimalisatieplugins, en op dubbel inladen via plugin én thema (oorzaak 4). Bij een webshop ook op plugins met eigen trackingcode (oorzaak 5).
Test je Cookiebot-installatie
Start de gratis cookiescan. In ongeveer twee minuten zie je of er vóór toestemming of na "Weigeren" nog iets laadt, en wat precies.
Methode: eigen scans van Bannerproof. Nederland: oktober 2026, 7.817 websites van kleine en middelgrote bedrijven. Cookiebot: 31-10 tot 1-11-2026, 10.944 succesvol geladen websites van kleine en middelgrote bedrijven in Tsjechië, Roemenië, Hongarije, Slowakije, Kroatië, Slovenië, Litouwen, Letland en Bulgarije; 367 daarvan met Cookiebot. Server-side tracking is voor een browser niet zichtbaar. Dit is geen juridisch advies; we noemen geen individuele websites. Cookiebot is een handelsmerk van Usercentrics A/S; Bannerproof is niet verbonden aan Usercentrics.
