Prüfpunkt dsgvo-cookie-lifetimeGrundlagen
Wie lange darf ein Cookie gesetzt bleiben?
Jedes Cookie trägt ein Ablaufdatum. Manche gelten nur für die Sitzung und verschwinden mit dem Schließen des Browsers, andere bleiben Monate oder Jahre. Für Cookies, die eine Einwilligung brauchen — Analyse, Werbung, Reichweitenmessung —, haben Aufsichtsbehörden und Gerichte eine Obergrenze etabliert: Nach etwa 13 Monaten soll die Einwilligung erneuert werden, und ein Cookie, das länger gilt, spricht dagegen. Der Prüfbereich Datenschutz liest das Ablaufdatum jedes Cookies, das beim Seitenaufruf gesetzt wird, und meldet Laufzeiten über diesem Wert.
Was gemessen wird
Bei der Messung liest der Prüfbereich alle Cookies, die die Seite in einem frischen Browser setzt — vor jeder Interaktion mit dem Banner und noch einmal nach dem Klick auf Ablehnen. Für jedes Cookie wird die Restlaufzeit in Tagen berechnet. Cookies, die als essenziell erkannt werden — Sitzung, Warenkorb, der Einwilligungsspeicher selbst —, bleiben außer Betracht: Für sie gilt die Obergrenze nicht, weil sie keine Einwilligung brauchen. Alle anderen Cookies mit mehr als 395 Tagen Laufzeit, also gut 13 Monaten, ergeben einen Befund mit Name und Laufzeit in Monaten. Der Befund verändert den Punktwert nicht; er steht als eigener Hinweis im Bericht, damit ausgestellte Siegel ihre Bedeutung behalten.
Warum 13 Monate
Die Zahl stammt aus der Praxis der französischen Aufsichtsbehörde CNIL und wurde von anderen Behörden und im Europäischen Datenschutzausschuss aufgegriffen: Eine Einwilligung ist eine Entscheidung im Moment; wer sie vor Jahren gegeben hat, hat sie heute nicht mehr vor Augen. Deshalb soll die Abfrage nach spätestens 13 Monaten wiederholt werden, und das Cookie, das die Einwilligung dokumentiert oder aus ihr folgt, soll nicht länger gelten. Ein Analyse-Cookie mit zwei Jahren Laufzeit ist technisch die Voreinstellung vieler Werkzeuge — und genau deshalb ein häufiger Befund, den niemand absichtlich gesetzt hat. Die Korrektur ist meist eine Einstellung im Analyse- oder Consent-Werkzeug.
So gehen Sie es an
- Prüfen Sie im Analyse-Werkzeug die Einstellung zur Cookie-Laufzeit und setzen Sie sie auf höchstens 13 Monate.
- Stellen Sie das Consent-Werkzeug so ein, dass es die Einwilligung nach spätestens 13 Monaten erneut abfragt.
- Lassen Sie essenzielle Cookies wie Sitzung oder Einwilligungsspeicher unangetastet — für sie gilt die Grenze nicht.
- Prüfen Sie nach einem Werkzeugwechsel erneut; neue Voreinstellungen bringen oft lange Laufzeiten mit.
Weiter im Prüfbereich Daten & Recht
- Welche US-Anbieter kontaktiert meine Website beim Seitenaufruf?Schriften, Videos, Karten, Analyse: Viele Dienste sitzen in den USA. Der Prüfbereich listet sie beim Seitenaufruf auf — als Information für die Datenschutzerklärung.
- Was ist ein Einwilligungs-Signal und warum braucht mein Tag-Manager eines?Ein Banner allein reicht nicht: Google Consent Mode v2 und IAB TCF geben die Entscheidung des Besuchers an die Dienste weiter. Wie der Prüfbereich das erkennt.
- Wann ist ein Cookie-Banner ein Dark Pattern?Großer Akzeptieren-Knopf, winziger Ablehnen-Link: Der Prüfbereich misst, ob Ablehnen so leicht ist wie Zustimmen — sonst ist die Einwilligung nicht freiwillig.
- Dürfen Cookies schon vor der Einwilligung gesetzt werden?Tracking-Cookies dürfen erst nach der Zustimmung gesetzt werden. Die Prüfung liest in einem frischen Browser aus, was Ihre Website vorher schon anlegt.
Dieser Prüfpunkt gehört zum Prüfbereich Daten & Recht; dort stehen alle Prüfpunkte im Überblick. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren. Alle Prüfbereiche im Überblick: Wissensbasis.
Foto: Sylwia Bartyzel, CC0
