> Wie lange dürfen Cookies und Einwilligungen gelten? 13-Monats-Regel, 6 Monate Einwilligung, Laufzeiten je Kategorie, GA4-Einstellungen und Checkliste.
>
> Canonical: https://www.flowconsent.com/de/blog/cookie-speicherdauer-dsgvo-13-monate

[Rechtliches](https://www.flowconsent.com/de/blog?category=regulation)

# Cookie-Speicherdauer nach DSGVO: die 13-Monats-Regel erklärt

Veröffentlicht am 7. Juli 2026 · Aktualisiert am 2. Oktober 2026 · 8 Min. Lesezeit

Kurz gesagt

Kein europäischer Rechtstext legt eine einheitliche Höchstdauer für alle Cookies fest. Die Referenz, an der sich der Markt orientiert, stammt von der französischen Aufsichtsbehörde CNIL: höchstens **13 Monate** Lebensdauer für Analyse- und Werbe-Cookies und eine gespeicherte Einwilligungsentscheidung von etwa **6 Monaten**, bevor das Banner erneut fragt. Dahinter steht ein Grundsatz der DSGVO: Jedes Cookie und jedes damit erhobene Datum darf nur so lange gespeichert werden, wie der Zweck es erfordert, und diese Dauer muss in Ihrer Cookie-Richtlinie stehen.

Die Speicherdauer von Cookies gehört zu den am häufigsten falsch konfigurierten Punkten. Viele Website-Betreiber verwechseln drei verschiedene Uhren: die Lebensdauer des Cookies im Browser, die Gültigkeit der Einwilligung und die Aufbewahrung der erhobenen Daten auf den Servern des Anbieters. Für jede gelten eigene Regeln. Dieser Leitfaden erklärt den Rechtsrahmen, die passende Dauer je Cookie-Kategorie, die Konfiguration von Google Analytics 4 und Ihrer CMP sowie die typischen Fehler.

## Was sagt das Recht zur Cookie-Laufzeit?

Es gibt keine universelle Höchstdauer, aber einen klaren Grundsatz: Die Speicherdauer muss dem Zweck des Cookies angemessen sein. Ein Cookie, das seinen Zweck nicht mehr erfüllt, sollte nicht mehr existieren.

Mehrere Regelwerke greifen gleichzeitig:

- die **ePrivacy-Richtlinie** (2002/58/EG), in Deutschland umgesetzt durch § 25 TDDDG (früher TTDSG), die eine Einwilligung vor dem Speichern oder Auslesen nicht notwendiger Informationen auf dem Endgerät verlangt;
- die **DSGVO**, insbesondere der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e) und die Transparenzpflicht, nach der Sie Besuchern die Laufzeit jedes Cookies mitteilen müssen;
- die **Leitlinien der Aufsichtsbehörden**, die diese Grundsätze in konkrete Werte übersetzen.

Die deutschen Aufsichtsbehörden nennen keine feste Zahl und verlangen eine dem Zweck angemessene, begründete Dauer. Am konkretesten sind die Leitlinien und die Empfehlung der CNIL von 2020. Weil sie die strengsten veröffentlichten Richtwerte enthalten, gelten sie für Websites mit europäischem Publikum inzwischen als Marktstandard.

## Die 13-Monats-Regel erklärt

Die CNIL empfiehlt, die Lebensdauer von Trackern auf dem Endgerät auf **13 Monate** zu begrenzen. Darüber hinaus gilt ein nicht notwendiges Cookie als unverhältnismäßig, sofern Sie keine Begründung vorweisen können.

Für Reichweitenmessung, die ohne Einwilligung laufen darf (die Ausnahme der CNIL), sind die Bedingungen noch genauer: Lebensdauer von höchstens 13 Monaten, **keine automatische Verlängerung** bei jedem neuen Besuch und eine Aufbewahrung der erhobenen Daten von höchstens **25 Monaten**.

### Empfehlung oder Pflicht?

Die 13 Monate sind eine Empfehlung, keine eigenständige Rechtsnorm. Die CNIL nutzt sie aber als Prüfkriterium bei Kontrollen, und auch in Deutschland müssen Sie eine längere Dauer begründen können. Wer Analyse-Cookies ohne Begründung auf 2 Jahre setzt, riskiert Beanstandungen. In der Praxis sollten Sie 13 Monate als Obergrenze behandeln und jede Ausnahme dokumentieren.

### Die Standardwert-Falle: GA4 und Werbepixel

Viele Tools überschreiten die 13 Monate bereits ab Werk. Google Analytics 4 setzt `_ga` und `_ga_<ID>` standardmäßig mit einer Laufzeit von **2 Jahren**, die bei jedem Besuch verlängert wird. Werbeplattformen (Meta Pixel, Google Ads, LinkedIn Insight Tag) nutzen oft 1 bis 2 Jahre. Ihre CMP entscheidet, _ob_ diese Cookies gesetzt werden, kontrolliert aber nicht die vom Drittanbieter festgelegte Laufzeit: Verkürzen Sie sie im Tool, wo möglich, und deklarieren Sie sie andernfalls genau so, wie der Drittanbieter sie festlegt. Details zu den einzelnen Google-Cookies finden Sie in [\_ga, \_gid und \_gat erklärt](https://www.flowconsent.com/de/blog/ga-cookie-gid-gat-erklaert-dsgvo).

## Empfohlene Laufzeit je Cookie-Kategorie

### Unbedingt erforderliche Cookies

Keine feste Grenze, aber eine angemessene Dauer. Ein Authentifizierungs-Cookie läuft meist mit der Sitzung ab oder nach einer vernünftigen Frist, etwa 30 Tagen für eine Option „angemeldet bleiben“. Ein Cookie für die Spracheinstellung darf berechtigterweise 1 Jahr bestehen. Diese Cookies brauchen keine Einwilligung, müssen aber mit ihrer Laufzeit in der Cookie-Richtlinie stehen.

### Funktionale Cookies

Die Dauer hängt vom Zweck ab. Ein Warenkorb-Cookie kann 30 Tage bestehen, ein Cookie zur Personalisierung der Oberfläche bis zu 1 Jahr. Ein funktionales Cookie mit einem Jahr Laufzeit ohne technische Begründung ist fragwürdig. Die Regel: die kürzeste Dauer, mit der der Dienst funktioniert.

### Analyse-Cookies

Höchstens 13 Monate, ohne automatische Verlängerung, wenn Sie sich auf eine Einwilligungsausnahme stützen. Matomo, etracker, Adobe Analytics oder GA4 nutzen Cookies mit unterschiedlichen Laufzeiten: Prüfen Sie jedes einzeln, statt den Standardwerten zu vertrauen.

### Werbe- und Retargeting-Cookies

Ebenfalls höchstens 13 Monate. Diese Cookies überschreiten die Empfehlung am häufigsten, weil die Werbeplattform ihre Laufzeit festlegt. Verkürzen Sie, was möglich ist, und deklarieren Sie den Rest präzise.

### Session-Cookies

Cookies ohne Ablaufdatum werden beim Schließen des Browsers gelöscht. Prüfen Sie, ob es wirklich Session-Cookies sind: Manche als solche bezeichneten Cookies sind in Wahrheit persistent.

## Gültigkeit der Einwilligung: warum etwa 6 Monate

Cookie-Lebensdauer und Gültigkeit der Einwilligung sind zwei verschiedene Dinge, und ihre Verwechslung ist der häufigste Fehler.

- Die **Lebensdauer des Cookies** ist die Zeit, in der die Datei auf dem Endgerät bleibt.
- Die **Gültigkeit der Einwilligung** ist der Zeitraum, in dem Sie die Entscheidung des Besuchers als aktuell betrachten dürfen, ohne erneut zu fragen.

Die CNIL hält eine Einzelfallbewertung je nach Website und Publikum für nötig und betrachtet **6 Monate** als angemessene Praxis. Konkret: Hat eine Besucherin am 1. Januar Cookies akzeptiert, sollte das Banner um den 1. Juli herum erneut erscheinen, sofern sie ihre Einstellungen nicht zwischenzeitlich geändert hat.

Dasselbe gilt für eine **Ablehnung**. Wer auf „Ablehnen“ geklickt hat, darf nicht bei jedem Seitenaufruf erneut gefragt werden: Speichern Sie die Ablehnung für einen vergleichbaren Zeitraum, danach dürfen Sie erneut fragen. Zu häufiges Nachfragen setzt Besucher unter Druck, gefährdet die Freiwilligkeit der Einwilligung und verstärkt die [Consent Fatigue](https://www.flowconsent.com/de/blog/consent-fatigue-cookie-banner-ignoriert), statt bewusste Entscheidungen zu fördern. Die übrigen Bedingungen einer wirksamen Einwilligung erklärt unser Leitfaden zu den [Voraussetzungen der DSGVO-Einwilligung](https://www.flowconsent.com/de/blog/dsgvo-einwilligung-voraussetzungen-leitfaden).

Andere Behörden lassen mehr Spielraum: Die spanische AEPD etwa hält eine Einwilligung von höchstens 24 Monaten für vertretbar. Für ein europäisches Publikum decken 6 Monate die strengste Auslegung ab. Fragen Sie außerdem früher erneut, wenn sich etwas Wesentliches ändert: ein neuer Zweck, ein neuer Anbieter oder ein deutlich verändertes Banner.

## Die dritte Uhr: Datenaufbewahrung beim Anbieter

Die 13 Monate betreffen die Datei auf dem Endgerät. Die über das Cookie erhobenen Daten, etwa GA4-Ereignisse, haben eine eigene Aufbewahrungsdauer auf den Servern von Google oder des jeweiligen Analyse-Anbieters. Sie unterliegt der DSGVO und den Nutzungsbedingungen des Dienstes.

In GA4 lässt sich die Datenaufbewahrung für Standard-Properties auf **2 Monate oder 14 Monate** einstellen (Verwaltung > Datenerhebung und -änderung > Datenaufbewahrung). Wählen Sie den kürzesten Wert, der Ihren Auswertungsbedarf deckt, und dokumentieren Sie ihn. Die grundsätzliche Frage beantwortet unser Artikel [Ist Google Analytics DSGVO-konform?](https://www.flowconsent.com/de/blog/ist-google-analytics-dsgvo-konform).

## Laufzeiten in der Praxis konfigurieren

### Google Analytics 4

GA4 erlaubt es, die Cookie-Einstellungen eines Web-Datenstroms zu überschreiben: Unter Verwaltung > Datenströme > Ihr Datenstrom > Tag-Einstellungen konfigurieren finden Sie die Option zum **Überschreiben der Cookie-Einstellungen**, mit der Sie eine kürzere Ablaufzeit festlegen. Mit gtag.js bestimmt der Parameter `cookie_expires` (in Sekunden) die Lebensdauer: 13 Monate entsprechen etwa `34128000` Sekunden (395 Tage). Mit `cookie_update` auf `false` wird die Ablaufzeit nicht bei jedem Besuch verlängert, was der Bedingung der CNIL für ausgenommene Messung entspricht.

### Ihre CMP

Ihre CMP speichert die Entscheidung des Besuchers in einem Cookie oder im localStorage. Dieser Einwilligungsdatensatz braucht eine eigene, stimmige Laufzeit, und die CMP muss:

- das Banner bei Ablauf der Einwilligung erneut anzeigen (6 Monate empfohlen);
- Ablehnungen ebenso speichern wie Zustimmungen, um nicht bei jedem Besuch nachzufragen;
- gespeicherte Entscheidungen ungültig machen, wenn sich Ihre Konfiguration ändert (neuer Anbieter, neuer Zweck);
- Datum, Banner-Version und Dauer jeder Entscheidung protokollieren, damit Sie sie nachweisen können.

Eine CMP wie FlowConsent ermöglicht die Konfiguration der Einwilligungsgültigkeit und steuert die erneute Anzeige des Banners automatisch, während Zeitstempel, Version und Dauer jeder Einwilligung aufgezeichnet werden. Serverseitig liefert das [FlowConsent Server-SDK](https://www.flowconsent.com/de/doc/server-sdk) einen Grund wie `expired` oder `version_mismatch`, wenn eine gespeicherte Entscheidung nicht mehr verwendbar ist, und kann Entscheidungen von vor einer Konfigurationsänderung ungültig machen. Wie Sie belastbare Nachweise führen, erklärt unser Artikel zum [Nachweis der Cookie-Einwilligung](https://www.flowconsent.com/de/blog/nachweis-cookie-einwilligung-speichern).

### Ihre Cookie-Richtlinie

Jedes in Ihrer [Cookie-Richtlinie](https://www.flowconsent.com/de/blog/cookie-richtlinie-dsgvo-leitfaden) aufgeführte Cookie muss seine Laufzeit nennen, exakt oder als Spanne je Kategorie. Fehlt sie, verletzen Sie die Transparenzpflicht. In FlowConsent wird die [Cookie-Deklaration](https://www.flowconsent.com/de/doc/cookie-declaration) aus Ihren aktiven Diensten erzeugt, mit der Laufzeit jedes Cookies so, wie sie Besuchern angezeigt werden muss; eigene First-Party-Cookies ergänzen Sie mit denselben Feldern.

## Häufige Fehler

**Standardlaufzeiten von Drittanbietern übernehmen.** GA4, Meta Pixel und LinkedIn nutzen 1 bis 2 Jahre. Konfigurieren Sie jedes Tool, soweit es das zulässt.

**Cookie-Laufzeit und Einwilligungsgültigkeit verwechseln.** 13 Monate für das Cookie, etwa 6 Monate für die Entscheidung: zwei getrennte Parameter, getrennt einzustellen.

**Cookie-Laufzeit und Datenaufbewahrung verwechseln.** Das eine betrifft die Datei auf dem Endgerät, das andere die Daten auf den Servern des Betreibers oder Auftragsverarbeiters.

**Die Einwilligung nie erneuern.** Eine einmal eingeholte und nie erneuerte Einwilligung verliert mit der Zeit an Wert. Das Banner muss bei Ablauf für zustimmende Besucher erneut erscheinen.

**Nach einer Ablehnung bei jedem Besuch erneut fragen.** Eine Ablehnung muss genauso lange gespeichert werden wie eine Zustimmung.

**Allen Cookies dieselbe Laufzeit geben.** Funktionale Cookies brauchen die kürzeste ausreichende Dauer; Analyse- und Werbe-Cookies dürfen 13 Monate nicht überschreiten.

**Cookies eingebetteter Skripte vergessen.** Videoplayer, Widgets und Teilen-Buttons setzen oft eigene, langlebige Cookies. Nur ein Scan der Live-Website deckt sie auf.

**Laufzeiten nicht dokumentieren.** Keine Laufzeit in der Cookie-Richtlinie oder eine Liste, die nicht mehr dem entspricht, was die Website tatsächlich setzt.

## Checkliste zur Cookie-Speicherdauer

1. Prüfen Sie alle aktiven Cookies der Website und notieren Sie ihre tatsächliche Ablaufzeit (Browser-DevTools oder Scanner). Unser [vollständiger Cookie-Audit-Leitfaden](https://www.flowconsent.com/de/blog/cookie-audit-website-vollstaendige-methode) beschreibt die Methode.
2. Stellen Sie sicher, dass Analyse- und Werbe-Cookies 13 Monate nicht überschreiten, und verkürzen Sie die Standardwerte von GA4 und anderen Tools.
3. Wenn Sie eine Einwilligungsausnahme nutzen, deaktivieren Sie die automatische Verlängerung des Analyse-Cookies.
4. Setzen Sie die Einwilligungsgültigkeit in der CMP auf etwa 6 Monate, für Zustimmungen wie für Ablehnungen.
5. Prüfen Sie, dass das Banner bei Ablauf der Einwilligung und bei Änderungen von Zwecken oder Anbietern automatisch erneut erscheint.
6. Stellen Sie die GA4-Datenaufbewahrung auf den kürzesten Wert, der Ihren Bedarf deckt.
7. Kontrollieren Sie, dass Session-Cookies beim Schließen des Browsers tatsächlich ablaufen.
8. Nennen Sie die Laufzeit jedes Cookies, oder eine Spanne je Kategorie, in der Cookie-Richtlinie.
9. Achten Sie darauf, dass die Einwilligungsnachweise Datum und Ablauf jeder Entscheidung enthalten.
10. Dokumentieren Sie die Begründung der gewählten Laufzeiten in Ihrem Verzeichnis von Verarbeitungstätigkeiten.
11. Prüfen Sie die Laufzeiten nach jedem Update der CMP, des Analyse-Tools oder der Skripte der Website erneut.

## Prüfen Sie, was Ihre Website tatsächlich setzt

Die Regeln zur Cookie-Laufzeit sind nicht kompliziert, sie halten aber nur, wenn die Konfiguration der Realität entspricht. Eine [Compliance-Prüfung mit FlowConsent](https://www.flowconsent.com/de/doc/compliance-verification) lädt Ihre Seiten in einem echten Browser, lehnt die Einwilligung ab und listet die nicht notwendigen Cookies auf, die trotzdem gesetzt werden; der datierte Nachweisbericht zeigt für jedes Cookie Domain und Ablauf. Jedes vom Scan erkannte, aber nicht deklarierte Cookie löst zudem eine Warnung aus, die Sie mit einem Klick beheben.

Beginnen Sie damit, [Ihre Website zu scannen](https://www.flowconsent.com/de/scan), um die tatsächliche Laufzeit jedes Cookies zu sehen und jene zu finden, die 13 Monate überschreiten.

[Zurück zum Blog](https://www.flowconsent.com/de/blog)

Artikel teilen · [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.flowconsent.com%2Fde%2Fblog%2Fcookie-speicherdauer-dsgvo-13-monate) · [X](https://twitter.com/intent/tweet?url=https%3A%2F%2Fwww.flowconsent.com%2Fde%2Fblog%2Fcookie-speicherdauer-dsgvo-13-monate)

Fragen

## Häufige Fragen zu diesem Thema.

Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.

[Schreiben Sie uns](https://www.flowconsent.com/de/demo)

### Was ist die 13-Monats-Regel für Cookies?

Die französische Datenschutzbehörde CNIL verlangt, dass die Cookie-Einwilligung mindestens alle 13 Monate erneuert wird. Wenn ein Nutzer vor 13 Monaten Cookies akzeptiert hat und seitdem das Einwilligungsbanner nicht mehr gesehen hat, gilt seine Einwilligung als abgelaufen und muss erneut eingeholt werden. Diese Regel soll sicherstellen, dass die Einwilligung aktuell bleibt und die tatsächlichen Präferenzen des Nutzers widerspiegelt.

### Gilt die 13-Monats-Regel für alle Cookies?

Die 13-Monats-Regel betrifft speziell die Erneuerung der Einwilligung. Sie gilt für alle einwilligungspflichtigen Cookies, d.h. analytische und Werbe-Cookies. Unbedingt notwendige Cookies (die für den Betrieb der Website wesentlich sind) benötigen keine Einwilligung und unterliegen daher nicht dieser Beschränkung. Die technische Speicherdauer von Cookies ist von der Einwilligungserneuerungsfrist zu unterscheiden.

### Wie implementiere ich die 13-Monats-Erneuerung technisch?

Ihre CMP (Consent-Management-Plattform) sollte das Einwilligungsdatum jedes Nutzers zusammen mit seiner Wahl speichern. Wenn ein wiederkehrender Nutzer Ihre Website besucht, prüft die CMP, ob 13 Monate seit seiner letzten Einwilligung vergangen sind. Falls ja, zeigt sie das Banner erneut an, um eine neue Einwilligung einzuholen. Die meisten konformen CMPs handhaben dies automatisch, aber es lohnt sich zu überprüfen, ob dieser Mechanismus korrekt konfiguriert ist.

### Gilt die 13-Monats-Regel europaweit oder nur in Frankreich?

Die 13-Monats-Regel ist spezifisch für die Leitlinien der französischen CNIL. Andere europäische Datenschutzbehörden können unterschiedliche Vorgaben haben: Einige empfehlen Erneuerungsfristen von 6 oder 12 Monaten oder befassen sich mit anderen Aspekten der Einwilligungsdauer. Nach DSGVO lautet der allgemeine Grundsatz, dass die Einwilligung freiwillig, spezifisch, informiert und aktuell bleiben muss. Konsultieren Sie die Leitlinien der Behörde in Ihrem Niederlassungsland.

### Welche Risiken bestehen, wenn die Einwilligung nach 13 Monaten nicht erneuert wird?

Die Nichterlangung der Einwilligung nach 13 Monaten stellt einen Verstoß gegen die CNIL-Leitlinien dar und könnte im Falle einer Kontrolle oder Beschwerde zu einer formellen Mahnung oder finanziellen Sanktion führen. Allgemeiner gesagt, verletzt die Verwendung von Cookies auf Basis einer abgelaufenen Einwilligung den DSGVO-Grundsatz der wirksamen Einwilligung. Es handelt sich daher sowohl um ein rechtliches als auch um ein Reputationsrisiko, insbesondere im Kontext einer zunehmenden regulatorischen Durchsetzung.

Weiterlesen

## Mehr zum Thema.

[Alle Artikel](https://www.flowconsent.com/de/blog)

[Marketing-Tools · 1. Juli 2026](https://www.flowconsent.com/de/blog/ga-cookie-gid-gat-erklaert-dsgvo)

### [Die Cookies \_ga, \_gid und \_gat erklärt: Zweck, Laufzeit und Einwilligung nach DSGVO](https://www.flowconsent.com/de/blog/ga-cookie-gid-gat-erklaert-dsgvo)

[Was die Google-Analytics-Cookies \_ga, \_ga\_\<container-id>, \_gid und \_gat tun, wie lange sie gespeichert bleiben, warum § 25 TDDDG eine Einwilligung verlangt und was Consent Mode v2 ändert.](https://www.flowconsent.com/de/blog/ga-cookie-gid-gat-erklaert-dsgvo)

[Artikel lesen ](https://www.flowconsent.com/de/blog/ga-cookie-gid-gat-erklaert-dsgvo)·

[Rechtliches · 10. Oktober 2026](https://www.flowconsent.com/de/blog/cookie-banner-text-vorlagen-dsgvo)

### [Cookie-Banner-Text: Vorlagen nach DSGVO zum Kopieren](https://www.flowconsent.com/de/blog/cookie-banner-text-vorlagen-dsgvo)

[Was ein Cookie-Banner-Text enthalten muss, mit Vorlagen nach Website-Typ, Beschriftungen für Schaltflächen, Kategoriebeschreibungen und der CCPA-Variante.](https://www.flowconsent.com/de/blog/cookie-banner-text-vorlagen-dsgvo)

[Artikel lesen ](https://www.flowconsent.com/de/blog/cookie-banner-text-vorlagen-dsgvo)·

[Rechtliches · 16. März 2026](https://www.flowconsent.com/de/blog/cookie-wall-dsgvo-zulaessig-alternativen)

### [Cookie Wall: Was ist das, ist sie nach der DSGVO zulässig und welche Alternativen gibt es?](https://www.flowconsent.com/de/blog/cookie-wall-dsgvo-zulaessig-alternativen)

[Eine Cookie-Wall blockiert den Zugang zu Inhalten, solange Cookies nicht akzeptiert werden. Rechtsrahmen der DSGVO, Positionen der Behörden und konforme Alternativen für Ihre Website.](https://www.flowconsent.com/de/blog/cookie-wall-dsgvo-zulaessig-alternativen)

[Artikel lesen](https://www.flowconsent.com/de/blog/cookie-wall-dsgvo-zulaessig-alternativen)

## Machen Sie Ihre Website noch heute konform.

Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.

[Mein Banner erstellen](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Meine Website scannen](https://www.flowconsent.com/de/scan)