Das Wichtigste
- Der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) gilt für in Cookies gespeicherte Kennungen.
- Die französische CNIL empfiehlt für Reichweiten- und Werbetracker höchstens 13 Monate, eine weithin genutzte Richtgröße.
- Viele Tools setzen standardmäßig Kennungen mit zwei Jahren Laufzeit: Das ist ein Befund und meist nur eine Einstellung.
Der Grundsatz
Der Grundsatz der Speicherbegrenzung der DSGVO (Art. 5 Abs. 1 lit. e) verlangt, personenbezogene Daten nicht länger aufzubewahren, als es für ihren Zweck erforderlich ist. Ein Cookie, das eine Kennung enthält, ist ein solches Datum, daher muss seine Speicherdauer seinem Zweck entsprechen.
Die Richtgröße von 13 Monaten
Die französische Aufsichtsbehörde CNIL empfiehlt in ihren Leitlinien und ihrer Empfehlung zu Cookies aus dem Jahr 2020, dass Tracker für Reichweitenmessung oder Werbung höchstens 13 Monate gespeichert werden und die Entscheidung des Besuchers nach einem angemessenen Zeitraum erneut abgefragt wird. Aufsichtsbehörden in anderen Ländern, auch in Deutschland, beurteilen die Speicherdauer nach demselben Grundsatz im Einzelfall; der Wert von 13 Monaten dient dabei weithin als Richtgröße.
session_id_hjSessionconsent_gaWas wir markieren
Seqlense GDPR misst die Speicherdauer jedes dauerhaften Cookies, das eine Seite setzt, und markiert diejenigen, die länger als 13 Monate (400 Tage) gespeichert werden. Sitzungscookies, die beim Schließen des Browsers verschwinden, werden gesondert ausgewiesen.
Typische Befunde
- Analyse- oder Werbekennungen, die standardmäßig für zwei Jahre gesetzt werden.
- Cookies von Einwilligungstools, die weit länger gespeichert werden, als es die darin festgehaltene Entscheidung rechtfertigt.
- Dauerhafte Cookies, die ohne das Secure-Attribut übertragen werden.
Checkliste
- Jedes dauerhafte Cookie mit seiner Speicherdauer auflisten, auf jeder wichtigen Seite.
- Für Analyse- und Werbekennungen eine Speicherdauer von höchstens 13 Monaten (prüfen Sie die Tool-Einstellungen: Viele sind standardmäßig auf zwei Jahre eingestellt).
- Einwilligungsentscheidungen nach einem angemessenen Zeitraum erneut abfragen.
- Die in der Cookie-Richtlinie angegebenen Speicherdauern entsprechen dem, was der Browser tatsächlich erhält.
Quellen
- Art. 5 Abs. 1 lit. e DSGVO (Speicherbegrenzung).
- CNIL, Beschlüsse Nr. 2020-091 (Leitlinien) und 2020-092 (Empfehlung) vom 17. September 2020 zu Cookies und anderen Trackern.
Allgemeine Informationen, keine Rechtsberatung. Lassen Sie Ihre konkrete Situation von Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung prüfen.