Wat de browser laadt voordat iemand op „Accepteren” klikt

Voor elke site wordt een tweede, schone browsercontext geopend: geen cookie, geen opslag, geen geschiedenis. De context van de toegankelijkheidsscan zelf deugt daar niet voor, omdat die na de eerste pagina al cookies heeft verzameld. In die schone context wordt de startpagina precies één keer geladen. Alle uitgaande aanroepen en alle daarna geplaatste cookies worden vastgelegd. Gemeten wordt dus de toestand vóór elke toestemming.

Er wordt nergens op geklikt. Niet op „Accepteren” en niet op „Weigeren” — beide zouden een wilsverklaring in andermans naam zijn, en die maten wij ons voor niemand aan. Dat kost zeggingskracht: we weten niet wat er na een klik gebeurt. Maar het maakt de meting zuiver, want juist de toestand vóór de toestemming is die waar § 25 op ziet.

De run duurt per site tussen 3,5 en 5,2 seconden en loopt parallel aan de toegankelijkheidsscan; de totale duur van een scan verandert daardoor nauwelijks.

In plaats van „overtreding” zijn er vijf niveaus. Bevinding betekent: onderbouwd. Aanwijzing betekent: dubbelzinnig. Waarneming verwijt niets. Niets aangetroffen betekent dat er niets is gevonden. Niet toetsbaar betekent dat de grondslag ontbrak. Elk twijfelgeval wordt afgeschaald, nooit opgeschaald. En nergens staat „conform”: een schone verklaring zou net zo goed een juridisch oordeel over andermans onderneming zijn als een verwijt.

Tijdens de testfase vonden en verhielpen we drie eigen valse meldingen: Cloudflares botdetectiecookie __cf_bm gold als reclamecookie; ons eigen colofon gold als verwijzing naar het opgeheven geschillenplatform, terwijl het die opheffing juist uitlegt; en een lege winkelwagen met „0,00 €” op een informatiepagina gold als aanbod zonder btw-vermelding. We zeggen dat erbij, omdat een meting zonder bekende foutbronnen geen meting is maar een bewering.

Bij een outdoorwinkel registreerde de meting bij de eerste keer laden van de startpagina, in een schone browser en zonder enige interactie: 17 aanroepen naar diensten met een herkenbaar meet- of reclamedoel en 5 geplaatste cookies met een bekend meet- of reclamedoel. Er was daarbij een toestemmingsbanner zichtbaar.

De aangesproken diensten, met het aantal aanroepen: Google Ads (16), Google DoubleClick (16), Criteo (14), een advertentienetwerk voor realtime bieden (7), een DoubleClick-synchronisatiepunt (6, uitdrukkelijk een eindpunt voor gegevensoverdracht), een tweede RTB-netwerk (6), Microsoft Advertising (6) en een contentaanbevelingsnetwerk (6). Daarbij kwamen als dubbelzinnig ingedeelde aanroepen naar een tagmanager en naar een keurmerk.

Geplaatst werden onder meer test_cookie (doubleclick.net), _fbp (Meta-pixel), MUID (bing.com) en twee Criteo-cookies. In totaal stonden er na die ene lading 36 cookies in de browser — 4 met een bekende technische functie, 27 zonder voor ons bepaalbaar doel.

Wat wij daar niet uit afleiden. We zeggen niet dat deze site § 25 TDDDG overtreedt. Of een afzonderlijke opslag „strikt noodzakelijk” is in de zin van lid 2, hangt af van een doel dat alleen de beheerder kent. Wat we wél zeggen: dit is de toestand die een bezoeker aantreft voordat hij iets heeft beslist. Die constatering is toetsbaar — iedereen kan haar in twee minuten zelf nagaan.

De tagmanager vuurt los van de banner. Het vaakst voorkomende geval: het toestemmingsgereedschap is ingebouwd en werkt, maar één tag in de container is ingesteld op „alle pagina’s” in plaats van op de toestemmingsgebeurtenis. De banner verschijnt, de tag draait toch. Van buiten zijn beide niet te onderscheiden.

Onderdelen van derden brengen eigen netwerken mee. Een keurmerk, een chatvenster, een kaartweergave, een videospeler: elk daarvan laadt vaak nog meer hosts na, die in het eigen toestemmingsgereedschap helemaal niet voorkomen omdat ze pas tijdens de uitvoering opduiken.

Serverzijdige integraties gaan langs de toestemmingslaag. Wat via de eigen server loopt, ziet de browser niet als derde partij — de opslag in het eindapparaat vindt toch plaats, en daar ziet § 25 op.

En vooraf opgezette verbindingen tellen mee. preconnect- en dns-prefetch-aanwijzingen naar advertentienetwerken bouwen de verbinding op voordat de eigenlijke aanroep is beslist. Bedoeld is snelheid; gemeten wordt een aanroep.

Omdat een webwinkel aanzienlijk meer verschuldigd is dan toegankelijkheid — en omdat de hele concurrentie in dit veld uitsluitend toegankelijkheid toetst. Colofon (§ 5 van de Duitse wet digitale diensten), privacyverklaring (artikel 13 AVG), toestemming (§ 25 TDDDG), prijsaanduiding (§§ 3, 4 en 6 van de Duitse prijsaanduidingsverordening), herroepingsinformatie (§ 312d Duits Burgerlijk Wetboek juncto artikel 246a EGBGB): vijf normstelsels die op dezelfde pagina gelden als EN 301 549.

Bij ons loopt dat deel aanvullend in dezelfde run mee. Het toegankelijkheidsresultaat blijft daardoor onaangetast — dezelfde regelsets, dezelfde cijfers — en valt de plichtentoets uit, dan loopt de scan toch door.

Bewust niet getoetst worden daarentegen: het bestelproces en de knopaanduiding volgens § 312j Duits Burgerlijk Wetboek (daarvoor zou de winkelwagen gevuld moeten worden), de inhoudelijke juistheid van de juridische teksten, de geschillenvermelding volgens §§ 36 en 37 VSBG (vrij te formuleren en niet betrouwbaar te onderscheiden van een terloopse vermelding), productgebonden etiketteringsplichten en de vormgeving van de toestemmingsbanner in detail. Een „Weigeren” dat moeilijker te vinden is dan een „Accepteren” meten we niet — dat zou een beoordeling zijn, geen meting.