Cookie-Laufzeit und Speicherdauer: Was ist erlaubt?

Cookies sind ein zentrales Werkzeug moderner Websites. Ob für Login-Funktionen, Analysezwecke oder Werbenetzwerke: Nahezu jede Website setzt Cookies. Weniger bekannt ist jedoch, wie lange diese Cookies gespeichert bleiben dürfen und welche Auswirkungen die Laufzeit auf die Einwilligungspflicht hat.

Was ist die Cookie-Laufzeit?

Die Laufzeit eines Cookies bezeichnet den Zeitraum, nach dem der Browser den Cookie automatisch löscht. Technisch wird sie über das Attribut Expires oder Max-Age im HTTP-Header gesetzt. Fehlen diese Angaben, handelt es sich um einen sogenannten Session-Cookie, der beim Schließen des Browser-Tabs oder -Fensters gelöscht wird.

Persistente Cookies hingegen überleben das Schließen des Browsers. Sie können Laufzeiten von wenigen Stunden bis hin zu mehreren Jahren haben. Bekannte Beispiele sind Tracking-Cookies von Werbenetzwerken, die häufig auf 13 Monate oder länger eingestellt sind.

Welche Laufzeiten sind datenschutzrechtlich vertretbar?

Weder die DSGVO noch das TDDDG (ehemals TTDSG) legen eine konkrete Maximaldauer für Cookies fest. Stattdessen gilt das Prinzip der Datensparsamkeit aus Artikel 5 Abs. 1 lit. e DSGVO: Personenbezogene Daten dürfen nicht länger gespeichert werden, als es für den jeweiligen Verarbeitungszweck notwendig ist.

Für die Praxis bedeutet das:

• Technisch notwendige Cookies (etwa Session-IDs für Warenkörbe) sollten nur so lange leben, wie der technische Zweck es erfordert.
• Analyse-Cookies werden von vielen Datenschutzbehörden bei einer Laufzeit von 6 bis 13 Monaten als vertretbar angesehen.
• Werbe-Cookies unterliegen denselben Grundsätzen, jedoch sind hier die Begründungsanforderungen höher.

Die französische CNIL hat in einer Empfehlung 13 Monate als Richtwert für Analyse-Cookies genannt. Andere Aufsichtsbehörden orientieren sich daran, ohne es als absolute Grenze zu verstehen.

Session-Cookies und ihre Sonderstellung

Session-Cookies haben eine besondere Stellung: Da sie keine persistente Speicherung vornehmen, gelten sie in vielen Fällen als technisch notwendig. Sie müssen nicht in die Einwilligungspflicht einbezogen werden, sofern sie ausschließlich dem Betrieb der Website dienen.

Beispiele für technisch notwendige Session-Cookies:

• Login-Status während einer Sitzung
• Warenkorbinhalte in Online-Shops
• CSRF-Tokens zur Absicherung von Formularen

Sobald ein Session-Cookie Analysedaten oder Tracking-Informationen enthält, entfällt diese Privilegierung.

Die Einwilligungsdauer und die Cookie-Laufzeit

Oft wird übersehen, dass die Laufzeit des Cookies und die Laufzeit der Einwilligung zwei verschiedene Konzepte sind. Ein Cookie kann technisch 24 Monate gespeichert sein, aber wenn die Einwilligung nur für 12 Monate erteilt wurde, muss nach Ablauf des Einwilligungszeitraums erneut gefragt werden.

Seriöse Consent-Management-Plattformen speichern daher nicht nur den Cookie selbst, sondern auch einen Einwilligungs-Cookie mit Zeitstempel und Ablaufdatum. Nach Ablauf dieses Zeitraums zeigt die Plattform den Consent-Banner erneut an.

Praktische Empfehlungen

Für die technische Umsetzung empfiehlt sich folgendes Vorgehen:

1. Alle eingesetzten Cookies dokumentieren und deren tatsächliche Laufzeit prüfen.
2. Laufzeiten auf das fachlich notwendige Minimum reduzieren.
3. Den Einwilligungszeitraum auf maximal 12 Monate begrenzen und danach erneut fragen.
4. Technisch notwendige Cookies von einwilligungspflichtigen trennen und separate Laufzeiten setzen.

Mit dem Generator auf dieser Website lässt sich eine vollständige Cookie-Dokumentation erstellen, die auch die Speicherdauer jedes einzelnen Cookies enthält. Diese Angaben können direkt in die Datenschutzerklärung übernommen werden.

Fazit

Die Cookie-Laufzeit ist kein rein technisches Detail. Sie hat direkte datenschutzrechtliche Relevanz und muss im Einklang mit dem Verarbeitungszweck stehen. Kurze Laufzeiten sind aus Datenschutzsicht vorzuziehen, auch wenn dies bedeutet, dass Nutzer häufiger um erneute Einwilligung gebeten werden müssen. Eine sorgfältige Dokumentation aller gesetzten Cookies ist die Grundlage für einen rechtskonformen Betrieb.