Die Speicherdauer von Cookies gehört zu den am häufigsten falsch konfigurierten Punkten. Viele Website-Betreiber verwechseln drei verschiedene Uhren: die Lebensdauer des Cookies im Browser, die Gültigkeit der Einwilligung und die Aufbewahrung der erhobenen Daten auf den Servern des Anbieters. Für jede gelten eigene Regeln. Dieser Leitfaden erklärt den Rechtsrahmen, die passende Dauer je Cookie-Kategorie, die Konfiguration von Google Analytics 4 und Ihrer CMP sowie die typischen Fehler.
Was sagt das Recht zur Cookie-Laufzeit?
Es gibt keine universelle Höchstdauer, aber einen klaren Grundsatz: Die Speicherdauer muss dem Zweck des Cookies angemessen sein. Ein Cookie, das seinen Zweck nicht mehr erfüllt, sollte nicht mehr existieren.
Mehrere Regelwerke greifen gleichzeitig:
- die ePrivacy-Richtlinie (2002/58/EG), in Deutschland umgesetzt durch § 25 TDDDG (früher TTDSG), die eine Einwilligung vor dem Speichern oder Auslesen nicht notwendiger Informationen auf dem Endgerät verlangt;
- die DSGVO, insbesondere der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e) und die Transparenzpflicht, nach der Sie Besuchern die Laufzeit jedes Cookies mitteilen müssen;
- die Leitlinien der Aufsichtsbehörden, die diese Grundsätze in konkrete Werte übersetzen.
Die deutschen Aufsichtsbehörden nennen keine feste Zahl und verlangen eine dem Zweck angemessene, begründete Dauer. Am konkretesten sind die Leitlinien und die Empfehlung der CNIL von 2020. Weil sie die strengsten veröffentlichten Richtwerte enthalten, gelten sie für Websites mit europäischem Publikum inzwischen als Marktstandard.
Die 13-Monats-Regel erklärt
Die CNIL empfiehlt, die Lebensdauer von Trackern auf dem Endgerät auf 13 Monate zu begrenzen. Darüber hinaus gilt ein nicht notwendiges Cookie als unverhältnismäßig, sofern Sie keine Begründung vorweisen können.
Für Reichweitenmessung, die ohne Einwilligung laufen darf (die Ausnahme der CNIL), sind die Bedingungen noch genauer: Lebensdauer von höchstens 13 Monaten, keine automatische Verlängerung bei jedem neuen Besuch und eine Aufbewahrung der erhobenen Daten von höchstens 25 Monaten.
Empfehlung oder Pflicht?
Die 13 Monate sind eine Empfehlung, keine eigenständige Rechtsnorm. Die CNIL nutzt sie aber als Prüfkriterium bei Kontrollen, und auch in Deutschland müssen Sie eine längere Dauer begründen können. Wer Analyse-Cookies ohne Begründung auf 2 Jahre setzt, riskiert Beanstandungen. In der Praxis sollten Sie 13 Monate als Obergrenze behandeln und jede Ausnahme dokumentieren.
Die Standardwert-Falle: GA4 und Werbepixel
Viele Tools überschreiten die 13 Monate bereits ab Werk. Google Analytics 4 setzt _ga und _ga_<ID> standardmäßig mit einer Laufzeit von 2 Jahren, die bei jedem Besuch verlängert wird. Werbeplattformen (Meta Pixel, Google Ads, LinkedIn Insight Tag) nutzen oft 1 bis 2 Jahre. Ihre CMP entscheidet, ob diese Cookies gesetzt werden, kontrolliert aber nicht die vom Drittanbieter festgelegte Laufzeit: Verkürzen Sie sie im Tool, wo möglich, und deklarieren Sie sie andernfalls genau so, wie der Drittanbieter sie festlegt. Details zu den einzelnen Google-Cookies finden Sie in _ga, _gid und _gat erklärt.
Empfohlene Laufzeit je Cookie-Kategorie
Unbedingt erforderliche Cookies
Keine feste Grenze, aber eine angemessene Dauer. Ein Authentifizierungs-Cookie läuft meist mit der Sitzung ab oder nach einer vernünftigen Frist, etwa 30 Tagen für eine Option „angemeldet bleiben“. Ein Cookie für die Spracheinstellung darf berechtigterweise 1 Jahr bestehen. Diese Cookies brauchen keine Einwilligung, müssen aber mit ihrer Laufzeit in der Cookie-Richtlinie stehen.
Funktionale Cookies
Die Dauer hängt vom Zweck ab. Ein Warenkorb-Cookie kann 30 Tage bestehen, ein Cookie zur Personalisierung der Oberfläche bis zu 1 Jahr. Ein funktionales Cookie mit einem Jahr Laufzeit ohne technische Begründung ist fragwürdig. Die Regel: die kürzeste Dauer, mit der der Dienst funktioniert.
Analyse-Cookies
Höchstens 13 Monate, ohne automatische Verlängerung, wenn Sie sich auf eine Einwilligungsausnahme stützen. Matomo, etracker, Adobe Analytics oder GA4 nutzen Cookies mit unterschiedlichen Laufzeiten: Prüfen Sie jedes einzeln, statt den Standardwerten zu vertrauen.
Werbe- und Retargeting-Cookies
Ebenfalls höchstens 13 Monate. Diese Cookies überschreiten die Empfehlung am häufigsten, weil die Werbeplattform ihre Laufzeit festlegt. Verkürzen Sie, was möglich ist, und deklarieren Sie den Rest präzise.
Session-Cookies
Cookies ohne Ablaufdatum werden beim Schließen des Browsers gelöscht. Prüfen Sie, ob es wirklich Session-Cookies sind: Manche als solche bezeichneten Cookies sind in Wahrheit persistent.
Gültigkeit der Einwilligung: warum etwa 6 Monate
Cookie-Lebensdauer und Gültigkeit der Einwilligung sind zwei verschiedene Dinge, und ihre Verwechslung ist der häufigste Fehler.
- Die Lebensdauer des Cookies ist die Zeit, in der die Datei auf dem Endgerät bleibt.
- Die Gültigkeit der Einwilligung ist der Zeitraum, in dem Sie die Entscheidung des Besuchers als aktuell betrachten dürfen, ohne erneut zu fragen.
Die CNIL hält eine Einzelfallbewertung je nach Website und Publikum für nötig und betrachtet 6 Monate als angemessene Praxis. Konkret: Hat eine Besucherin am 1. Januar Cookies akzeptiert, sollte das Banner um den 1. Juli herum erneut erscheinen, sofern sie ihre Einstellungen nicht zwischenzeitlich geändert hat.
Dasselbe gilt für eine Ablehnung. Wer auf „Ablehnen“ geklickt hat, darf nicht bei jedem Seitenaufruf erneut gefragt werden: Speichern Sie die Ablehnung für einen vergleichbaren Zeitraum, danach dürfen Sie erneut fragen. Zu häufiges Nachfragen setzt Besucher unter Druck, gefährdet die Freiwilligkeit der Einwilligung und verstärkt die Consent Fatigue, statt bewusste Entscheidungen zu fördern. Die übrigen Bedingungen einer wirksamen Einwilligung erklärt unser Leitfaden zu den Voraussetzungen der DSGVO-Einwilligung.
Andere Behörden lassen mehr Spielraum: Die spanische AEPD etwa hält eine Einwilligung von höchstens 24 Monaten für vertretbar. Für ein europäisches Publikum decken 6 Monate die strengste Auslegung ab. Fragen Sie außerdem früher erneut, wenn sich etwas Wesentliches ändert: ein neuer Zweck, ein neuer Anbieter oder ein deutlich verändertes Banner.
Die dritte Uhr: Datenaufbewahrung beim Anbieter
Die 13 Monate betreffen die Datei auf dem Endgerät. Die über das Cookie erhobenen Daten, etwa GA4-Ereignisse, haben eine eigene Aufbewahrungsdauer auf den Servern von Google oder des jeweiligen Analyse-Anbieters. Sie unterliegt der DSGVO und den Nutzungsbedingungen des Dienstes.
In GA4 lässt sich die Datenaufbewahrung für Standard-Properties auf 2 Monate oder 14 Monate einstellen (Verwaltung > Datenerhebung und -änderung > Datenaufbewahrung). Wählen Sie den kürzesten Wert, der Ihren Auswertungsbedarf deckt, und dokumentieren Sie ihn. Die grundsätzliche Frage beantwortet unser Artikel Ist Google Analytics DSGVO-konform?.
Laufzeiten in der Praxis konfigurieren
Google Analytics 4
GA4 erlaubt es, die Cookie-Einstellungen eines Web-Datenstroms zu überschreiben: Unter Verwaltung > Datenströme > Ihr Datenstrom > Tag-Einstellungen konfigurieren finden Sie die Option zum Überschreiben der Cookie-Einstellungen, mit der Sie eine kürzere Ablaufzeit festlegen. Mit gtag.js bestimmt der Parameter cookie_expires (in Sekunden) die Lebensdauer: 13 Monate entsprechen etwa 34128000 Sekunden (395 Tage). Mit cookie_update auf false wird die Ablaufzeit nicht bei jedem Besuch verlängert, was der Bedingung der CNIL für ausgenommene Messung entspricht.
Ihre CMP
Ihre CMP speichert die Entscheidung des Besuchers in einem Cookie oder im localStorage. Dieser Einwilligungsdatensatz braucht eine eigene, stimmige Laufzeit, und die CMP muss:
- das Banner bei Ablauf der Einwilligung erneut anzeigen (6 Monate empfohlen);
- Ablehnungen ebenso speichern wie Zustimmungen, um nicht bei jedem Besuch nachzufragen;
- gespeicherte Entscheidungen ungültig machen, wenn sich Ihre Konfiguration ändert (neuer Anbieter, neuer Zweck);
- Datum, Banner-Version und Dauer jeder Entscheidung protokollieren, damit Sie sie nachweisen können.
Eine CMP wie FlowConsent ermöglicht die Konfiguration der Einwilligungsgültigkeit und steuert die erneute Anzeige des Banners automatisch, während Zeitstempel, Version und Dauer jeder Einwilligung aufgezeichnet werden. Serverseitig liefert das FlowConsent Server-SDK einen Grund wie expired oder version_mismatch, wenn eine gespeicherte Entscheidung nicht mehr verwendbar ist, und kann Entscheidungen von vor einer Konfigurationsänderung ungültig machen. Wie Sie belastbare Nachweise führen, erklärt unser Artikel zum Nachweis der Cookie-Einwilligung.
Ihre Cookie-Richtlinie
Jedes in Ihrer Cookie-Richtlinie aufgeführte Cookie muss seine Laufzeit nennen, exakt oder als Spanne je Kategorie. Fehlt sie, verletzen Sie die Transparenzpflicht. In FlowConsent wird die Cookie-Deklaration aus Ihren aktiven Diensten erzeugt, mit der Laufzeit jedes Cookies so, wie sie Besuchern angezeigt werden muss; eigene First-Party-Cookies ergänzen Sie mit denselben Feldern.
Häufige Fehler
Standardlaufzeiten von Drittanbietern übernehmen. GA4, Meta Pixel und LinkedIn nutzen 1 bis 2 Jahre. Konfigurieren Sie jedes Tool, soweit es das zulässt.
Cookie-Laufzeit und Einwilligungsgültigkeit verwechseln. 13 Monate für das Cookie, etwa 6 Monate für die Entscheidung: zwei getrennte Parameter, getrennt einzustellen.
Cookie-Laufzeit und Datenaufbewahrung verwechseln. Das eine betrifft die Datei auf dem Endgerät, das andere die Daten auf den Servern des Betreibers oder Auftragsverarbeiters.
Die Einwilligung nie erneuern. Eine einmal eingeholte und nie erneuerte Einwilligung verliert mit der Zeit an Wert. Das Banner muss bei Ablauf für zustimmende Besucher erneut erscheinen.
Nach einer Ablehnung bei jedem Besuch erneut fragen. Eine Ablehnung muss genauso lange gespeichert werden wie eine Zustimmung.
Allen Cookies dieselbe Laufzeit geben. Funktionale Cookies brauchen die kürzeste ausreichende Dauer; Analyse- und Werbe-Cookies dürfen 13 Monate nicht überschreiten.
Cookies eingebetteter Skripte vergessen. Videoplayer, Widgets und Teilen-Buttons setzen oft eigene, langlebige Cookies. Nur ein Scan der Live-Website deckt sie auf.
Laufzeiten nicht dokumentieren. Keine Laufzeit in der Cookie-Richtlinie oder eine Liste, die nicht mehr dem entspricht, was die Website tatsächlich setzt.
Checkliste zur Cookie-Speicherdauer
- Prüfen Sie alle aktiven Cookies der Website und notieren Sie ihre tatsächliche Ablaufzeit (Browser-DevTools oder Scanner). Unser vollständiger Cookie-Audit-Leitfaden beschreibt die Methode.
- Stellen Sie sicher, dass Analyse- und Werbe-Cookies 13 Monate nicht überschreiten, und verkürzen Sie die Standardwerte von GA4 und anderen Tools.
- Wenn Sie eine Einwilligungsausnahme nutzen, deaktivieren Sie die automatische Verlängerung des Analyse-Cookies.
- Setzen Sie die Einwilligungsgültigkeit in der CMP auf etwa 6 Monate, für Zustimmungen wie für Ablehnungen.
- Prüfen Sie, dass das Banner bei Ablauf der Einwilligung und bei Änderungen von Zwecken oder Anbietern automatisch erneut erscheint.
- Stellen Sie die GA4-Datenaufbewahrung auf den kürzesten Wert, der Ihren Bedarf deckt.
- Kontrollieren Sie, dass Session-Cookies beim Schließen des Browsers tatsächlich ablaufen.
- Nennen Sie die Laufzeit jedes Cookies, oder eine Spanne je Kategorie, in der Cookie-Richtlinie.
- Achten Sie darauf, dass die Einwilligungsnachweise Datum und Ablauf jeder Entscheidung enthalten.
- Dokumentieren Sie die Begründung der gewählten Laufzeiten in Ihrem Verzeichnis von Verarbeitungstätigkeiten.
- Prüfen Sie die Laufzeiten nach jedem Update der CMP, des Analyse-Tools oder der Skripte der Website erneut.
Prüfen Sie, was Ihre Website tatsächlich setzt
Die Regeln zur Cookie-Laufzeit sind nicht kompliziert, sie halten aber nur, wenn die Konfiguration der Realität entspricht. Eine Compliance-Prüfung mit FlowConsent lädt Ihre Seiten in einem echten Browser, lehnt die Einwilligung ab und listet die nicht notwendigen Cookies auf, die trotzdem gesetzt werden; der datierte Nachweisbericht zeigt für jedes Cookie Domain und Ablauf. Jedes vom Scan erkannte, aber nicht deklarierte Cookie löst zudem eine Warnung aus, die Sie mit einem Klick beheben.
Beginnen Sie damit, Ihre Website zu scannen, um die tatsächliche Laufzeit jedes Cookies zu sehen und jene zu finden, die 13 Monate überschreiten.