В игре слишком много факторов, чтобы ответить на этот вопрос.
Как быстро ваша база данных? Как быстро работает сеть? Насколько быстро подключение к сети конечных пользователей?
В целом: куки достаточно быстрые.
Но так же хорошо сконструирован вызов базы данных.
Я смотрю на другие факторы, когда звоню. Куки-файлы могут исчезнуть, время ожидания истекло, и вы, как правило, не можете их контролировать. Это проблема? Если да, то сделать sql. Если нет, то сделать куки. Является ли безопасность данных проблемой? Если да, тогда сделайте sql.
Кстати: большинство корзин, которые я делал, используют sql для большей части этих данных.