LGPD-Compliance: Leitfaden zum brasilianischen Datenschutzgesetz

Das LGPD (Lei Geral de Proteção de Dados Pessoais, Gesetz Nr. 13.709/2018) ist das Allgemeine Datenschutzgesetz Brasiliens und das erste umfassende Datenschutzgesetz des Landes. Es ist seit September 2020 in Kraft, seine Verwaltungssanktionen gelten seit dem 1. August 2021, und es wird von der ANPD, der nationalen Datenschutzbehörde Brasiliens, durchgesetzt. Jedes Unternehmen, das personenbezogene Daten von Personen in Brasilien verarbeitet, einschließlich Websites, die bei brasilianischen Besuchern Tracking-Cookies setzen, braucht einen Plan für die LGPD-Compliance.

Was ist das LGPD?

Das LGPD regelt die Erhebung, Nutzung, Speicherung und Weitergabe personenbezogener Daten in Brasilien. Es orientiert sich eng an der EU-DSGVO: Es definiert Verantwortliche und Auftragsverarbeiter, verlangt für jede Verarbeitung eine Rechtsgrundlage, gibt Einzelpersonen ("titulares") durchsetzbare Rechte und erlaubt der Aufsichtsbehörde, Bußgelder und andere Sanktionen zu verhängen.

Für wen gilt das LGPD?

Artikel 3 verleiht dem LGPD extraterritoriale Reichweite. Es gilt für jede Verarbeitung durch eine natürliche Person oder eine öffentliche oder private Organisation, unabhängig vom Sitz der Organisation oder vom Speicherort der Daten, wenn:

1. die Verarbeitung in Brasilien stattfindet;
2. die Verarbeitung dazu dient, Personen in Brasilien Waren oder Dienstleistungen anzubieten oder zu liefern, oder Daten von Personen in Brasilien zu verarbeiten; oder
3. die personenbezogenen Daten in Brasilien erhoben wurden (Daten gelten als in Brasilien erhoben, wenn sich die Person zum Zeitpunkt der Erhebung in Brasilien befand).

In der Praxis fallen Onlineshops, SaaS-Produkte, Publisher oder Apps außerhalb Brasiliens in den Anwendungsbereich, wenn sie brasilianische Nutzer ansprechen oder tracken. Das Gesetz gilt nicht für rein private, nicht wirtschaftliche Verarbeitung und nicht für Verarbeitung ausschließlich zu journalistischen, künstlerischen oder akademischen Zwecken, zur öffentlichen Sicherheit oder zur Landesverteidigung (Artikel 4).

Die 10 Rechtsgrundlagen für die Verarbeitung nach dem LGPD

Artikel 7 nennt zehn Rechtsgrundlagen (hipóteses). Für jeden Zweck brauchen Sie mindestens eine davon:

1. Einwilligung der betroffenen Person
2. Erfüllung einer rechtlichen oder regulatorischen Pflicht
3. Umsetzung öffentlicher Politiken durch die öffentliche Verwaltung
4. Studien durch Forschungseinrichtungen, nach Möglichkeit mit Anonymisierung
5. Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person
6. Regelmäßige Ausübung von Rechten in Gerichts-, Verwaltungs- oder Schiedsverfahren
7. Schutz des Lebens oder der körperlichen Unversehrtheit der betroffenen Person oder eines Dritten
8. Schutz der Gesundheit durch Gesundheitsfachkräfte, Gesundheitsdienste oder Gesundheitsbehörden
9. Berechtigte Interessen des Verantwortlichen oder eines Dritten, sofern nicht die Grundrechte der betroffenen Person überwiegen
10. Schutz des Kredits (Kreditsicherung)

Für sensible personenbezogene Daten, etwa Gesundheits-, biometrische, religiöse, politische oder ethnische Daten, sieht Artikel 11 eine engere Liste von Rechtsgrundlagen vor.

Einwilligungsanforderungen und Cookies nach dem LGPD

Wie eine gültige Einwilligung aussieht

Das LGPD definiert die Einwilligung als freie, informierte und unmissverständliche Willensbekundung für einen bestimmten Zweck. Artikel 8 ergänzt:

• Die Einwilligung muss sich auf bestimmte Zwecke beziehen. Pauschale Einwilligungen sind nichtig.
• Der Verantwortliche trägt die Beweislast dafür, dass die Einwilligung ordnungsgemäß eingeholt wurde.
• Die Einwilligung kann jederzeit kostenlos und über ein einfaches Verfahren widerrufen werden.
• Die Weitergabe von Daten an andere Verantwortliche auf Grundlage einer Einwilligung erfordert eine spezifische Einwilligung für diese Weitergabe.

Verlangt das LGPD eine Cookie-Einwilligung?

Cookies, die eine Person identifizieren oder identifizieren können, etwa Werbe-, Tracking- und viele Analyse-Cookies, sind eine Verarbeitung personenbezogener Daten im Sinne des LGPD. Im Oktober 2022 veröffentlichte die ANPD ihren Leitfaden zu Cookies und zum Schutz personenbezogener Daten (Guia Orientativo: Cookies e Proteção de Dados Pessoais). Danach gilt:

• Unbedingt erforderliche Cookies brauchen keine Einwilligung; das berechtigte Interesse kann eine geeignete Rechtsgrundlage sein.
• Nicht erforderliche Cookies (Werbung, Profilbildung und Ähnliches) sollten in der Regel auf einer Einwilligung beruhen. Das berechtigte Interesse ist kaum geeignet, wenn Cookie-Daten für Werbung genutzt werden.
• Analyse-Cookies, etwa zur Reichweitenmessung, können sich in manchen Fällen nach sorgfältiger Prüfung auf das berechtigte Interesse stützen.
• Gute Praxis ist ein gut sichtbarer Button, mit dem sich alle nicht erforderlichen Cookies sowohl im Banner der ersten Ebene als auch in den Einstellungen der zweiten Ebene ablehnen lassen.
• Zu vermeidende Praktiken sind unter anderem, die Nutzung der Website von der Annahme aller Cookies abhängig zu machen oder keinen einfachen Weg zum Widerruf der Einwilligung anzubieten.

Für die meisten Websites ist der sichere Weg ein Cookie-Banner auf Portugiesisch, das nicht essenzielle Cookies blockiert, bis der Besucher zustimmt, "Alle akzeptieren" und "Alle ablehnen" gleichwertig anbietet und es dem Besucher erlaubt, seine Wahl später zu ändern.

Betroffenenrechte nach dem LGPD

Artikel 18 gibt Einzelpersonen das Recht auf:

• Bestätigung, dass ihre Daten verarbeitet werden
• Zugang zu ihren Daten
• Berichtigung unvollständiger, unrichtiger oder veralteter Daten
• Anonymisierung, Sperrung oder Löschung unnötiger, übermäßiger oder rechtswidrig verarbeiteter Daten
• Übertragbarkeit an einen anderen Anbieter
• Löschung von Daten, die auf Grundlage einer Einwilligung verarbeitet werden
• Information über die öffentlichen und privaten Stellen, mit denen die Daten geteilt wurden
• Information über die Möglichkeit, die Einwilligung zu verweigern, und deren Folgen
• Widerruf der Einwilligung

Sie können außerdem einer Verarbeitung auf einer anderen Rechtsgrundlage als der Einwilligung widersprechen, wenn gegen das Gesetz verstoßen wird, und die Überprüfung von Entscheidungen verlangen, die ausschließlich auf automatisierter Verarbeitung beruhen (Artikel 20).

Antwortfristen: Nach Artikel 19 muss die Bestätigung der Verarbeitung oder der Zugang sofort in vereinfachter Form oder innerhalb von 15 Tagen ab Antragstellung als klare und vollständige Erklärung erfolgen. Anfragen sind kostenlos zu bearbeiten. Ein DSAR-Workflow oder ein Self-Service-Datenschutzportal hilft Ihnen, diese Fristen einzuhalten und jede Anfrage zu dokumentieren.

Ist ein DPO (Encarregado) nach dem LGPD erforderlich?

Artikel 41 verpflichtet Verantwortliche, einen encarregado zu benennen, das LGPD-Pendant zum Datenschutzbeauftragten (DPO). Identität und Kontaktdaten müssen veröffentlicht werden, vorzugsweise auf der Website des Verantwortlichen. Der encarregado nimmt Beschwerden betroffener Personen entgegen, bearbeitet Mitteilungen der ANPD und berät die Mitarbeitenden zu Datenschutzpraktiken.

Die ANPD hat diese Pflicht für kleinere Organisationen gelockert:

• Resolution CD/ANPD Nr. 2/2022 befreit kleine Verarbeitungsakteure (Kleinst- und Kleinunternehmen, Startups und ähnliche Einrichtungen) von der Benennung eines encarregado, sofern sie betroffenen Personen einen Kontaktkanal anbieten. Die Erleichterung gilt nicht für Verarbeitungen mit hohem Risiko.
• Resolution CD/ANPD Nr. 18/2024, die DPO-Verordnung, bestätigt, dass die Benennung für andere Verantwortliche verpflichtend und für kleine Verarbeitungsakteure und Auftragsverarbeiter freiwillig ist, und verlangt eine förmliche schriftliche Benennung.

Internationale Datenübermittlungen

Nach Artikel 33 dürfen personenbezogene Daten Brasilien nur über bestimmte Mechanismen verlassen, etwa einen Angemessenheitsbeschluss, Standardvertragsklauseln, spezifische Vertragsklauseln, globale Unternehmensregeln oder eine spezifische und hervorgehobene Einwilligung.

Resolution CD/ANPD Nr. 19/2024 (August 2024) hat die Verordnung über internationale Datenübermittlungen und Brasiliens eigene Standardvertragsklauseln (SCCs) verabschiedet. Unternehmen hatten bis zum 23. August 2025 Zeit, die ANPD-Klauseln in ihre Verträge aufzunehmen. Seitdem sind vertragliche Übermittlungen nur mit den ANPD-SCCs oder mit von der ANPD genehmigten spezifischen Klauseln gültig. EU-SCCs allein reichen für Übermittlungen aus Brasilien nicht aus.

Meldung von Datenschutzverletzungen

Artikel 48 verpflichtet Verantwortliche, die ANPD und betroffene Personen über einen Sicherheitsvorfall zu informieren, der ein relevantes Risiko oder einen relevanten Schaden verursachen kann. Resolution CD/ANPD Nr. 15/2024 (April 2024), die Verordnung zur Meldung von Sicherheitsvorfällen, legt die Frist auf 3 Werktage fest, gerechnet ab dem Zeitpunkt, an dem der Verantwortliche erfährt, dass der Vorfall personenbezogene Daten betroffen hat. Kleine Verarbeitungsakteure erhalten die doppelte Frist. Alle Vorfälle, auch nicht gemeldete, müssen dokumentiert und die Aufzeichnungen mindestens fünf Jahre aufbewahrt werden.

LGPD-Sanktionen und Bußgelder

Nach Artikel 52 kann die ANPD verhängen:

• eine Verwarnung mit Frist für Abhilfemaßnahmen
• ein einfaches Bußgeld von bis zu 2 % des Umsatzes des Unternehmens, der Gruppe oder des Konzerns in Brasilien im letzten Geschäftsjahr, ohne Steuern, begrenzt auf 50 Millionen R$ pro Verstoß
• ein tägliches Bußgeld, mit derselben Obergrenze
• die Veröffentlichung des Verstoßes
• die Sperrung oder Löschung der betroffenen personenbezogenen Daten
• die teilweise Aussetzung der Datenbank oder die Aussetzung der Verarbeitungstätigkeit für bis zu sechs Monate (einmal verlängerbar)
• das teilweise oder vollständige Verbot von Datenverarbeitungstätigkeiten

Sanktionen werden nach einem Verwaltungsverfahren verhängt, wobei die Schwere des Verstoßes, guter Glaube, Kooperation und die vom Unternehmen getroffenen Maßnahmen berücksichtigt werden.

LGPD vs. DSGVO: Die wichtigsten Unterschiede

Wenn Sie die DSGVO bereits einhalten, haben Sie eine solide Grundlage, brauchen aber trotzdem portugiesischsprachige Hinweise, die brasilianischen SCCs, einen encarregado und Prozesse für die kürzeren LGPD-Fristen. In unserer Übersicht zu globalen Datenschutzgesetzen sehen Sie, wie andere Länder im Vergleich abschneiden.

LGPD-Compliance-Checkliste für Websites

1. Daten erfassen. Listen Sie die personenbezogenen Daten, Cookies und Drittanbieter-Tags auf, die Ihre Website und Apps erheben, jeweils mit Zweck und Rechtsgrundlage.
2. Cookies scannen und klassifizieren. Ordnen Sie Cookies den Kategorien erforderlich, Analyse, funktional und Werbung zu.
3. Ein Einwilligungsbanner auf Portugiesisch einsetzen. Blockieren Sie nicht essenzielle Cookies vor der Einwilligung und stellen Sie "Alle akzeptieren" und "Alle ablehnen" gleichwertig dar.
4. Einwilligungsnachweise speichern. Bewahren Sie Einwilligungsdatensätze mit Zeitstempel, Auswahl und Bannerversion auf, denn der Verantwortliche trägt die Beweislast.
5. Widerruf einfach machen. Bieten Sie einen dauerhaften Link oder ein Präferenzzentrum an, über das Besucher ihre Wahl jederzeit ändern können.
6. Datenschutzhinweis aktualisieren. Erläutern Sie Zwecke, Rechtsgrundlagen, Datenweitergabe, internationale Übermittlungen, Speicherdauer, Rechte und den Kontakt zum encarregado.
7. Einen encarregado benennen (oder Ihre Befreiung als kleiner Verarbeitungsakteur prüfen) und dessen Kontaktdaten veröffentlichen.
8. Einen Prozess für Betroffenenanfragen einrichten, der die sofortige Frist und die 15-Tage-Frist einhält.
9. Verträge mit Dienstleistern und Übermittlungsverträge prüfen. Nehmen Sie die ANPD-Standardvertragsklauseln für Daten auf, die Brasilien verlassen.
10. Einen Incident-Response-Plan vorbereiten, mit dem Sie die ANPD und betroffene Personen innerhalb von 3 Werktagen benachrichtigen können, und ein Vorfallsregister führen.

Wie UniConsent Ihnen bei der LGPD-Compliance hilft

UniConsent ist eine Consent-Management-Plattform, die Websites und Apps hilft, die Anforderungen des LGPD schnell zu erfüllen:

• Cookie-Banner auf brasilianischem Portugiesisch, automatisch an die Sprache des Besuchers angepasst, mit Geo-Targeting, um für Besucher in Brasilien die richtigen Regeln anzuwenden.
• Vorabblockierung von Skripten und Cookies bis zur Einwilligung des Besuchers, mit automatischem Cookie-Scan und automatischer Kategorisierung.
• "Alle akzeptieren" und "Alle ablehnen" auf der ersten Ebene, im Einklang mit der guten Praxis der ANPD.
• Einwilligungsprotokolle, die die Entscheidungen jedes Besuchers aufzeichnen, damit Sie der ANPD eine gültige Einwilligung nachweisen können.
• Präferenzzentrum, in dem Besucher ihre Einwilligung jederzeit einsehen und widerrufen können.
• Datenschutzportal und DSAR-Verwaltung, um Betroffenenanfragen innerhalb der LGPD-Fristen zu empfangen, zu verfolgen und zu beantworten.
• Google Consent Mode v2 und IAB-TCF-Unterstützung, damit Ihre Analyse- und Werbetools mit Einwilligungssignalen weiter funktionieren.

Ein einziges Tag deckt das LGPD, die DSGVO, die Datenschutzgesetze der US-Bundesstaaten und mehr als 40 weitere Regelwerke ab. Kostenlos starten und in wenigen Minuten ein LGPD-konformes Cookie-Banner live schalten.