Die General Data Protection Regulation (GDPR) und Brasiliens Lei Geral de Proteção de Dados Pessoais (LGPD) sind zwei bedeutende Datenschutz-Regelwerke für die Erhebung, Verwendung, Speicherung und Weitergabe personenbezogener Daten. Beide Regelwerke beruhen auf Grundsätzen wie Transparenz, Zweckbindung, Sicherheit, Rechenschaftspflicht und Rechten der betroffenen Personen. GDPR und LGPD unterscheiden sich jedoch bei Rechtsgrundlagen, regulatorischer Struktur, Rechten der betroffenen Personen, Meldepflichten bei Datenschutzverletzungen, internationalen Datenübermittlungen, Daten von Kindern und Durchsetzungsmechanismen. Für Organisationen, die in Europa und Brasilien tätig sind, ist das Verständnis dieser Unterschiede entscheidend, um ein Datenschutzprogramm aufzubauen, das beiden Regelwerken gerecht wird, ohne Compliance-Aufwand unnötig zu verdoppeln.
Direkter Vergleich: GDPR vs. LGPD
| Dimension | 🇪🇺 GDPR | 🇧🇷 LGPD |
|---|---|---|
| Zentrales Gesetz | Verordnung (EU) 2016/679 | Gesetz Nr. 13.709/2018 |
| Inkrafttreten | 25. Mai 2018 | Wesentliche Bestimmungen seit August 2020 in Kraft; Verwaltungssanktionen seit August 2021 |
| Aufsichtsbehörde | Aufsichtsbehörden der EU/des EWR, koordiniert über den EDPB | Autoridade Nacional de Proteção de Dados (ANPD) |
| Regulierte Stelle | Verantwortlicher | Verantwortlicher |
| Auftragsverarbeiter | Auftragsverarbeiter | Operator |
| Einzelperson | Betroffene Person | Betroffene Person / Titular |
| Rechtsgrundlagen | Sechs Rechtsgrundlagen nach Artikel 6 + Bedingungen nach Artikel 9 für besondere Kategorien | Mehrere Rechtsgrundlagen nach Artikel 7 sowie besondere Regeln für sensible personenbezogene Daten nach Artikel 11 |
| Berechtigte Interessen | Ausdrücklich anerkannt nach Artikel 6 Abs. 1 lit. f | Als eine der Rechtsgrundlagen der LGPD nach Artikel 7 anerkannt |
| DPO | Unter bestimmten Voraussetzungen erforderlich | Es gilt das Encarregado-Rahmenwerk nach Maßgabe der LGPD und der ANPD-Regeln, einschließlich der Regeln für kleine Verarbeitungsakteure |
| Sensible Daten | Besondere Kategorien nach Artikel 9 | Sensible personenbezogene Daten nach Artikel 5 und Artikel 11 |
| Daten von Kindern | Besondere Schutzvorkehrungen; Artikel 8 betrifft bestimmte einwilligungsbasierte Dienste der Informationsgesellschaft | Besonderer Schutz nach Artikel 14 |
| Recht auf Datenübertragbarkeit | Ja | Ja |
| Automatisierte Entscheidungsfindung | Besondere Rechte nach Artikel 22 | Recht, die Überprüfung von Entscheidungen zu verlangen, die ausschließlich auf automatisierter Verarbeitung beruhen (Artikel 20) |
| Internationale Übermittlungen | Angemessenheit, SCCs, BCRs und weitere Mechanismen nach Kapitel V | Angemessenheitsbeschlüsse, vertragliche Mechanismen und weitere Mechanismen nach Artikel 33 gemäß den ANPD-Regeln |
| Meldung der Datenschutzverletzung | Soweit erforderlich, in der Regel innerhalb von 72 Stunden an die Aufsichtsbehörde | An die ANPD und die betroffenen Personen in der Regel innerhalb von 3 Werktagen bei meldepflichtigen Vorfällen gemäß Resolution Nr. 15/2024 |
| Maximales Bußgeld | Bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes bei bestimmten Verstößen | Bis zu 2 % des Umsatzes in Brasilien im vorangegangenen Geschäftsjahr, begrenzt auf R$50 Millionen je Verstoß |
| Lokaler Vertreter | Artikel 27 kann für bestimmte Organisationen außerhalb der EU einen EU-Vertreter vorschreiben | Keine direkte Entsprechung zu Artikel 27 GDPR |
Was ist die GDPR?
Die General Data Protection Regulation (GDPR) ist das umfassende Datenschutzregelwerk der Europäischen Union.
Sie regelt die Verarbeitung personenbezogener Daten durch Verantwortliche und Auftragsverarbeiter und legt Anforderungen in folgenden Bereichen fest:
- Rechtmäßigkeit und Verarbeitung nach Treu und Glauben
- Transparenz
- Zweckbindung
- Datenminimierung
- Richtigkeit
- Speicherbegrenzung
- Sicherheit
- Rechenschaftspflicht
- Rechte der betroffenen Personen
- Internationale Datenübermittlungen
Die GDPR kann auch für Organisationen außerhalb der EU gelten, wenn die Voraussetzungen ihres räumlichen Anwendungsbereichs erfüllt sind.
Was ist die LGPD?
Brasiliens Lei Geral de Proteção de Dados Pessoais (LGPD), eingeführt durch das Gesetz Nr. 13.709/2018, regelt die Verarbeitung personenbezogener Daten durch öffentliche und private Organisationen.
Die LGPD legt Pflichten fest für:
- Verantwortliche
- Operatoren
- Datenschutzbeauftragte / Encarregados
- Organisationen, die personenbezogene Daten verarbeiten
- Organisationen, die sensible personenbezogene Daten verarbeiten
Die Autoridade Nacional de Proteção de Dados (ANPD) ist Brasiliens nationale Datenschutzbehörde. Die ANPD hat Vorschriften unter anderem zum Encarregado, zur Meldung von Sicherheitsvorfällen, zu internationalen Datenübermittlungen, zu Sanktionen und zu Regeln für kleine Verarbeitungsakteure erlassen.
GDPR vs. LGPD: Die wichtigsten Unterschiede
1. Räumlicher Anwendungsbereich
GDPR
Die GDPR kann für Organisationen mit Sitz innerhalb oder außerhalb der EU gelten, wenn die Voraussetzungen von Artikel 3 erfüllt sind.
Dazu können bestimmte Organisationen außerhalb der EU gehören, die:
- Personen in der EU Waren oder Dienstleistungen anbieten
- Das Verhalten von Personen in der EU beobachten
- Über eine Niederlassung in der EU tätig sind
LGPD
Die LGPD kann gelten, wenn:
- Die Verarbeitung in Brasilien erfolgt
- Die Verarbeitung darauf abzielt, Personen in Brasilien Waren oder Dienstleistungen anzubieten oder bereitzustellen
- Die personenbezogenen Daten in Brasilien erhoben wurden
Die Anwendung des brasilianischen Datenschutzrechts auf internationale Übermittlungen wird zudem im Rahmenwerk der ANPD für internationale Übermittlungen geregelt.
Wesentlicher Unterschied: Sowohl die GDPR als auch die LGPD können für Organisationen außerhalb ihres jeweiligen Hoheitsgebiets gelten, die gesetzlichen Kriterien sind jedoch nicht identisch.
2. Verantwortlicher vs. Verantwortlicher
GDPR
Die GDPR verwendet den Begriff „Verantwortlicher“ (Controller) für eine Organisation, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.
Die GDPR verwendet:
- Auftragsverarbeiter
LGPD
Die LGPD definiert den Verantwortlichen (Controlador) in ähnlicher Weise als die Stelle, die für Entscheidungen über die Verarbeitung personenbezogener Daten zuständig ist.
Die LGPD verwendet:
- Operator
Die Terminologie liegt daher relativ nah beieinander, auch wenn sich Rechte, Pflichten und regulatorisches Rahmenwerk unterscheiden. Beide Konzepte des Auftragsverarbeiters betreffen grundsätzlich Stellen, die personenbezogene Daten im Auftrag einer anderen Organisation verarbeiten; die vertraglichen und gesetzlichen Verantwortlichkeiten sollten jedoch nach dem jeweils anwendbaren Recht beurteilt werden.
3. Rechtsgrundlagen der Verarbeitung
Dies ist ein wichtiger Bereich mit Gemeinsamkeiten und Unterschieden.
GDPR
Artikel 6 GDPR sieht sechs wesentliche Rechtsgrundlagen vor:
- Einwilligung
- Vertrag
- Rechtliche Verpflichtung
- Lebenswichtige Interessen
- Öffentliche Aufgabe
- Berechtigte Interessen
Für besondere Kategorien personenbezogener Daten gelten zusätzliche Bedingungen nach Artikel 9.
LGPD
Artikel 7 LGPD sieht mehrere Rechtsgrundlagen für gewöhnliche personenbezogene Daten vor, darunter:
- Einwilligung
- Erfüllung gesetzlicher oder regulatorischer Pflichten
- Öffentliche Verwaltung
- Forschung
- Vertragserfüllung
- Ausübung von Rechten
- Schutz des Lebens
- Schutz der Gesundheit
- Berechtigte Interessen
- Kreditschutz
Für sensible personenbezogene Daten gelten zusätzliche Rechtsgrundlagen nach Artikel 11.
Wesentlicher Unterschied: Beide Regelwerke erkennen berechtigte Interessen an, ihre rechtliche Struktur und die Detailanforderungen unterscheiden sich jedoch.
4. Einwilligung
GDPR
Wird die Einwilligung als Rechtsgrundlage herangezogen, muss sie:
- Freiwillig erteilt sein
- Für den bestimmten Fall erteilt sein
- In informierter Weise erteilt sein
- Unmissverständlich sein
Organisationen müssen die Einwilligung nachweisen können und einen wirksamen Mechanismus für den Widerruf bereitstellen.
LGPD
Auch die LGPD misst der Einwilligung erhebliche Bedeutung bei.
Die Einwilligung muss unter den gesetzlich festgelegten Bedingungen erteilt werden und kann von der betroffenen Person widerrufen werden.
Organisationen sollten Nachweise darüber vorhalten:
- Was mitgeteilt wurde
- Worin die Person eingewilligt hat
- Wann die Einwilligung eingeholt wurde
- Welchen Zweck die Verarbeitung hat
- Wie die Einwilligung widerrufen werden kann
Praxishinweis: Eine gemeinsame Consent-Management-Plattform kann sowohl die GDPR als auch die LGPD unterstützen, Rechtsgrundlage und Informationspflichten sollten jedoch weiterhin getrennt geprüft werden.
5. Berechtigte Interessen
Die beiden Regelwerke ähneln sich hier stärker, als viele Vergleichsseiten vermuten lassen.
GDPR
Berechtigte Interessen nach Artikel 6 Abs. 1 lit. f können eine Rechtsgrundlage bilden, sofern die berechtigten Interessen des Verantwortlichen nicht von den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person überwogen werden.
Organisationen sollten die Rechtsgrundlage angemessen prüfen und dokumentieren.
LGPD
Berechtigte Interessen sind auch nach Artikel 7 ausdrücklich als Rechtsgrundlage anerkannt.
Der Verantwortliche muss die berechtigten Interessen des Verantwortlichen oder eines Dritten berücksichtigen und dabei die Grundrechte und Grundfreiheiten wahren sowie die von der LGPD geforderten Schutzvorkehrungen anwenden.
Wesentlicher Unterschied: Beide Regelwerke erkennen berechtigte Interessen an, die rechtlichen Prüfmaßstäbe, die Dokumentationserwartungen und die Auslegung durch die Aufsichtsbehörden sind jedoch nicht identisch.
6. Rechte der betroffenen Personen
GDPR
Zu den Rechten nach der GDPR können gehören:
- Auskunftsrecht
- Recht auf Berichtigung
- Recht auf Löschung
- Recht auf Einschränkung der Verarbeitung
- Recht auf Datenübertragbarkeit
- Widerspruchsrecht
- Recht auf Widerruf der Einwilligung
- Rechte im Zusammenhang mit automatisierter Entscheidungsfindung und Profiling
LGPD
Die LGPD sieht unter anderem folgende Rechte vor:
- Bestätigung der Verarbeitung
- Auskunft über personenbezogene Daten
- Berichtigung
- Anonymisierung, Sperrung oder Löschung nicht erforderlicher oder übermäßiger Daten
- Datenübertragbarkeit
- Löschung personenbezogener Daten, die auf Grundlage einer Einwilligung verarbeitet wurden, vorbehaltlich gesetzlicher Ausnahmen
- Information über öffentliche und private Stellen, an die Daten weitergegeben wurden
- Information über die Möglichkeit, die Einwilligung zu verweigern
- Widerruf der Einwilligung
- Überprüfung bestimmter automatisierter Entscheidungen
Wesentlicher Unterschied: Die Rechte überschneiden sich erheblich, ihr Wortlaut, ihr Umfang und die Mechanismen zu ihrer Umsetzung unterscheiden sich jedoch.
7. Automatisierte Entscheidungsfindung
GDPR
Artikel 22 sieht besonderen Schutz bei Entscheidungen vor, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche Wirkung entfalten oder in ähnlicher Weise erheblich beeinträchtigen.
Betroffenen Personen können in Bezug auf solche Entscheidungen Rechte zustehen, vorbehaltlich der Bedingungen und Ausnahmen der GDPR.
LGPD
Artikel 20 gibt betroffenen Personen das Recht, die Überprüfung von Entscheidungen zu verlangen, die ausschließlich auf Grundlage automatisierter Verarbeitung getroffen werden und ihre Interessen berühren, einschließlich Entscheidungen zur Erstellung von Persönlichkeits-, Berufs-, Verbraucher- und Kreditprofilen.
Organisationen, die KI oder automatisierte Entscheidungssysteme einsetzen, sollten daher beide Regelwerke prüfen, wenn sie in Brasilien und der EU tätig sind.
8. Sensible personenbezogene Daten
GDPR
Die GDPR benennt besondere Kategorien personenbezogener Daten, darunter:
- Rassische oder ethnische Herkunft
- Politische Meinungen
- Religiöse oder weltanschauliche Überzeugungen
- Gewerkschaftszugehörigkeit
- Genetische Daten
- Biometrische Daten zur Identifizierung
- Gesundheitsdaten
- Sexualleben oder sexuelle Orientierung
Artikel 9 legt erhöhte Anforderungen an die Verarbeitung dieser Kategorien fest.
LGPD
Die LGPD definiert sensible personenbezogene Daten gesondert. Dazu gehören Informationen über:
- Rassische oder ethnische Herkunft
- Religiöse Überzeugungen
- Politische Meinungen
- Mitgliedschaft in einer Gewerkschaft oder einer religiösen, weltanschaulichen oder politischen Organisation
- Gesundheit
- Sexualleben
- Genetische Daten
- Biometrische Daten
Die Verarbeitung sensibler Daten unterliegt den besonderen Rechtsgrundlagen und Schutzvorkehrungen nach Artikel 11 LGPD.
9. Daten von Kindern
GDPR
Die GDPR sieht besonderen Schutz für Kinder vor.
Artikel 8 legt für bestimmte einwilligungsbasierte Dienste der Informationsgesellschaft ein Regelalter von 16 Jahren fest; die EU-Mitgliedstaaten können diese Altersgrenze jedoch auf bis zu 13 Jahre absenken.
Die GDPR verlangt von Organisationen außerdem, die besondere Schutzbedürftigkeit und die Interessen von Kindern zu berücksichtigen.
LGPD
Artikel 14 LGPD legt besondere Anforderungen an die Verarbeitung personenbezogener Daten von Kindern und Jugendlichen fest.
Die Verarbeitung muss in ihrem besten Interesse erfolgen.
Für Daten von Kindern legt die LGPD besondere Einwilligungsanforderungen unter Einbeziehung eines Elternteils oder gesetzlichen Vertreters fest, nach Maßgabe des gesetzlichen Rahmens.
Wichtig: Die LGPD sollte nicht darauf verkürzt werden, dass eine elterliche Einwilligung nur für Kinder „unter 12 Jahren“ erforderlich sei. Das Gesetz schützt sowohl Kinder als auch Jugendliche, und die genauen Anforderungen hängen vom Verarbeitungskontext ab.
10. Datenschutzbeauftragter / Encarregado
GDPR
Ein Datenschutzbeauftragter ist nur in den in Artikel 37 GDPR genannten Fällen verpflichtend. Dazu gehören bestimmte:
- Umfangreiche Überwachungstätigkeiten
- Umfangreiche Verarbeitungen besonderer Datenkategorien
- Verarbeitungstätigkeiten öffentlicher Stellen
LGPD
Die LGPD schafft die Funktion des Encarregado pelo tratamento de dados pessoais.
Der Encarregado dient als wichtiger Kommunikationskanal zwischen:
- Betroffenen Personen
- Der Organisation
- ANPD
Die ANPD-Resolution Nr. 18/2024 enthält ergänzende Regeln zur Benennung, zu den Aufgaben und zur Tätigkeit des Encarregado.
Die Regeln für kleine Verarbeitungsakteure sehen zudem besondere Vereinfachungen und Ausnahmen vor; die Aussage, für jeden der LGPD unterliegenden Verantwortlichen gelte exakt dieselbe DPO-Pflicht, ist daher unzutreffend.
11. Lokaler Vertreter
GDPR
Bestimmte Organisationen außerhalb der EU können verpflichtet sein, einen EU-Vertreter nach Artikel 27 zu benennen.
Der Vertreter kann als Anlaufstelle für betroffene Personen und Aufsichtsbehörden dienen.
LGPD
Die LGPD schafft keine direkte Entsprechung zu Artikel 27 GDPR.
Internationale Organisationen können dennoch eine angemessene brasilianische Datenschutz-Governance, Regelungen für den Kontakt mit der Aufsichtsbehörde und gegebenenfalls einen Encarregado benötigen.
Wichtig: Ein kommerzieller „Brasilien-Vertreter“-Service sollte nicht als gesetzliches Äquivalent zum Vertreter nach Artikel 27 GDPR bezeichnet werden.
12. Meldung der Datenschutzverletzung
GDPR
Nach Artikel 33 muss ein Verantwortlicher eine meldepflichtige Verletzung des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden melden.
Hat die Verletzung voraussichtlich ein hohes Risiko für die betroffenen Personen zur Folge, müssen gegebenenfalls auch diese benachrichtigt werden.
LGPD
Die ANPD-Resolution Nr. 15/2024 legt die Regeln für die Meldung meldepflichtiger Sicherheitsvorfälle fest.
Kann ein Sicherheitsvorfall ein relevantes Risiko oder einen relevanten Schaden für betroffene Personen verursachen, muss der Verantwortliche die ANPD und die betroffenen Personen innerhalb von drei Werktagen benachrichtigen, vorbehaltlich der geltenden Regeln und Ausnahmen.
Kleine Verarbeitungsakteure können nach dem ANPD-Rahmenwerk für kleine Akteure von abweichenden Fristen profitieren.
Wesentlicher Unterschied: Die GDPR sieht eine 72-Stunden-Frist für die Meldung an die Aufsichtsbehörde vor, während die LGPD nach der ANPD-Resolution Nr. 15/2024 für meldepflichtige Vorfälle eine Frist von drei Werktagen vorsieht.
13. Internationale Datenübermittlungen
Dieser Bereich hat sich unter der LGPD erheblich weiterentwickelt.
GDPR
Kapitel V der GDPR sieht unter anderem folgende Mechanismen vor:
- Angemessenheitsbeschlüsse
- Standardvertragsklauseln
- Verbindliche interne Datenschutzvorschriften (Binding Corporate Rules)
- Ausnahmen für bestimmte Fälle
Je nach Übermittlungsmechanismus können zudem ergänzende Schutzmaßnahmen und Transfer-Risikobewertungen erforderlich sein.
LGPD
Die ANPD-Resolution Nr. 19/2024 schafft das brasilianische Rahmenwerk für internationale Datenübermittlungen. Zu den Mechanismen können gehören:
- Angemessenheitsbeschlüsse der ANPD
- Standardvertragsklauseln
- Spezifische Vertragsklauseln
- Globale Unternehmensregeln
- Weitere in Artikel 33 LGPD vorgesehene Mechanismen
Die Regelung legt außerdem Anforderungen an Zwecke, Schutzvorkehrungen und Dokumentation internationaler Übermittlungen fest.
Wesentlicher Unterschied: Die LGPD verfügt inzwischen über ein formelles, von der ANPD verwaltetes Rahmenwerk für internationale Übermittlungen und stützt sich nicht mehr bloß auf einen allgemeinen vertraglichen Ansatz.
14. Datenübertragbarkeit
GDPR
Artikel 20 GDPR gewährt unter bestimmten Voraussetzungen ein Recht auf Datenübertragbarkeit.
Dies bedeutet in der Regel, bestimmte personenbezogene Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und sie, soweit technisch machbar, an einen anderen Verantwortlichen übermitteln zu lassen.
LGPD
Auch Artikel 18 LGPD erkennt ein Recht auf Datenübertragbarkeit an, vorbehaltlich des anwendbaren regulatorischen Rahmenwerks und seiner Anforderungen.
Wichtige Richtigstellung: Die Aussage, die LGPD kenne kein Recht auf Datenübertragbarkeit, ist unzutreffend.
15. Anonymisierung
GDPR
Informationen, die tatsächlich anonym sind und sich nach vernünftigem Ermessen keiner identifizierbaren Person zuordnen lassen, fallen nicht unter die Definition personenbezogener Daten der GDPR.
LGPD
Auch die LGPD unterscheidet anonymisierte Daten von personenbezogenen Daten, legt jedoch eigene Kriterien für die Anonymisierung und den Umgang damit fest.
Organisationen sollten daher die Anonymisierungsmethodik dokumentieren und prüfen, ob sich Daten nach vernünftigem Ermessen wieder einer Person zuordnen lassen.
16. Datenschutz-Folgenabschätzungen
GDPR
Eine Datenschutz-Folgenabschätzung (DPIA) ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Typische Beispiele können sein:
- Umfangreiche Überwachung
- Umfangreiche Verarbeitung sensibler Daten
- Bestimmte KI- oder Profiling-Aktivitäten
- Systematische Bewertung von Personen
LGPD
Die LGPD sieht einen Relatório de Impacto à Proteção de Dados Pessoais (RIPD) vor.
Die ANPD kann von Verantwortlichen verlangen, in den vom anwendbaren regulatorischen Rahmenwerk festgelegten Fällen einen RIPD zu erstellen und vorzulegen.
Organisationen, die in beiden Jurisdiktionen tätig sind, sollten daher nicht davon ausgehen, dass eine DPIA bzw. ein RIPD automatisch beiden Regimen genügt.
17. Sanktionen
GDPR
Bei bestimmten schwerwiegenden Verstößen können Bußgelder nach der GDPR bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres betragen, je nachdem, welcher Betrag höher ist.
LGPD
Zu den Verwaltungssanktionen nach der LGPD können gehören:
- Verwarnung
- Bußgeld von bis zu 2 % des Umsatzes in Brasilien im vorangegangenen Geschäftsjahr
- Bußgeld begrenzt auf R$50 Millionen je Verstoß
- Tägliche Bußgelder innerhalb der gesetzlichen Grenzen
- Öffentliche Bekanntmachung des Verstoßes
- Sperrung personenbezogener Daten
- Löschung personenbezogener Daten
- Teilweise Aussetzung des Betriebs der Datenbank
- Aussetzung der Verarbeitungstätigkeiten
- Teilweises oder vollständiges Verbot von Tätigkeiten im Zusammenhang mit der Verarbeitung
Die anwendbare Sanktion hängt von Art und Umständen des Verstoßes ab.
Wesentlicher Unterschied: Das Höchstbußgeld der GDPR bemisst sich am weltweiten Jahresumsatz, während das zentrale Bußgeld der LGPD an den Umsatz in Brasilien geknüpft ist und einer gesetzlichen Obergrenze unterliegt.
GDPR vs. LGPD: Welches Regelwerk ist strenger?
Es lässt sich kaum sagen, dass eines der beiden Regelwerke durchweg strenger ist.
Die GDPR ist besonders detailliert in Bereichen wie:
- Sechs Rechtsgrundlagen
- Besondere Datenkategorien
- Datenübertragbarkeit
- Automatisierte Entscheidungsfindung
- Internationale Übermittlungen
- Rechenschaftspflicht von Verantwortlichen und Auftragsverarbeitern
- Anforderungen an den EU-Vertreter
Die LGPD stellt strenge Anforderungen in den Bereichen:
- Rechte der betroffenen Personen
- Einwilligung
- Sensible personenbezogene Daten
- Daten von Kindern
- Encarregado-Governance
- Internationale Übermittlungen
- Sicherheit
- Rechenschaftspflicht
Der richtige Ansatz für international tätige Unternehmen besteht daher darin, die gemeinsamen Kontrollen zu ermitteln und anschließend die jurisdiktionsspezifischen Anforderungen umzusetzen.
Hilft GDPR-Compliance bei der LGPD-Compliance?
Ja.
Ein etabliertes GDPR-Programm kann eine solide Grundlage für die LGPD-Compliance bilden, da beide Regelwerke Anforderungen in folgenden Bereichen enthalten:
- Dateninventare
- Datenschutzhinweise
- Einwilligung
- Rechte der betroffenen Personen
- Sicherheit
- Dienstleistermanagement
- Internationale Übermittlungen
- Reaktion auf Vorfälle
- Rechenschaftspflicht
GDPR-Compliance bedeutet jedoch nicht automatisch LGPD-Compliance. Brasilienspezifische Kontrollen sollten geprüft werden, insbesondere in Bezug auf:
- Rechtsgrundlagen der LGPD
- Encarregado-Anforderungen
- Regulatorische Anforderungen der ANPD
- Brasilianische Betroffenenrechte
- Meldung von Vorfällen
- Mechanismen für internationale Übermittlungen
- Sanktionen nach der LGPD
- Brasilianische Datenschutzhinweise und Governance
Ein gemeinsames Compliance-Programm für GDPR und LGPD aufbauen
Organisationen, die in beiden Jurisdiktionen tätig sind, können Doppelarbeit vermeiden, indem sie ein gemeinsames Rahmenwerk für das Datenschutzmanagement einrichten.
1. Data Mapping
Erfassen Sie:
- Personenbezogene Daten
- Verarbeitungszwecke
- Betroffene Personen
- Verantwortliche
- Auftragsverarbeiter/Operatoren
- Empfänger
- Speicherorte
- Aufbewahrungsfristen
- Internationale Übermittlungen
2. Management der Rechtsgrundlagen
Erstellen Sie eine jurisdiktionsspezifische Rechtsgrundlagen-Matrix, die Folgendes abdeckt:
- Artikel 6 GDPR
- Artikel 9 GDPR
- Artikel 7 LGPD
- Artikel 11 LGPD
3. Management der Betroffenenrechte
Richten Sie einen einheitlichen Workflow ein für:
- Betroffenenanfragen nach der GDPR
- Betroffenenanfragen nach der LGPD
- Identitätsprüfung
- Nachverfolgung von Anfragen
- Antwortfristen
- Nachweise und Audit-Trails
4. Einwilligungsmanagement
Verwalten Sie:
- Einholung von Einwilligungen
- Einwilligungsnachweise
- Widerruf
- Cookie-Einstellungen
- Marketing-Einstellungen
- Einwilligung für Kinder, soweit anwendbar
5. Dienstleistermanagement
Prüfen Sie:
- Auftragsverarbeiter nach der GDPR
- Operatoren nach der LGPD
- Unterauftragsverarbeiter
- Cloud-Anbieter
- Analytics-Anbieter
- Werbeplattformen
- Internationale Dienstleister
6. Reaktion auf Datenschutzverletzungen
Unterhalten Sie einen einheitlichen Incident-Response-Prozess mit jurisdiktionsspezifischen Eskalationswegen.
Der Workflow sollte Folgendes ermitteln:
- Anwendbare Jurisdiktion
- Risikoniveau
- Meldeschwelle
- Regulatorische Frist
- Anforderungen an die Benachrichtigung betroffener Personen
- Nachweisanforderungen
7. Management internationaler Übermittlungen
Führen Sie ein Übermittlungsverzeichnis mit folgenden Angaben:
- Datenexporteur
- Datenimporteur
- Bestimmungsland
- Übermittlungsmechanismus
- Vertragliche Schutzvorkehrungen
- Sicherheitsmaßnahmen
- Übermittlungsbewertungen
Häufig gestellte Fragen
Ist die LGPD die brasilianische Version der GDPR?
Nicht ganz. Die LGPD wurde von globalen Datenschutzgrundsätzen beeinflusst und teilt viele Konzepte mit der GDPR, ist aber ein eigenständiges brasilianisches Gesetz mit eigenen Rechtsgrundlagen, Rechten, einem eigenen regulatorischen Rahmenwerk und eigenen Durchsetzungsmechanismen.
Sind wir automatisch LGPD-konform, wenn wir die GDPR einhalten?
Nein. GDPR-Compliance bildet eine solide Grundlage, Organisationen müssen jedoch die LGPD-spezifischen Anforderungen und die Vorschriften der ANPD prüfen.
Hat die LGPD wie die GDPR sechs Rechtsgrundlagen?
Nein. Die LGPD sieht in Artikel 7 einen umfangreicheren Katalog von Rechtsgrundlagen vor, mit gesonderten Regeln für sensible personenbezogene Daten in Artikel 11.
Erkennt die LGPD berechtigte Interessen an?
Ja. Berechtigte Interessen sind eine der Rechtsgrundlagen nach Artikel 7 LGPD. Die Anforderungen sind jedoch nicht identisch mit denen des Artikels 6 Abs. 1 lit. f GDPR.
Verlangt die LGPD einen DPO?
Die LGPD schafft die Funktion des Encarregado, mit detaillierten Anforderungen nach der ANPD-Resolution Nr. 18/2024. Die genauen Pflichten können je nach Organisation und anwendbaren ANPD-Regeln variieren, einschließlich der Regeln für kleine Verarbeitungsakteure.
Gibt es in der LGPD eine 72-Stunden-Frist für die Meldung von Datenschutzverletzungen?
Nein. Das LGPD-Rahmenwerk für die Meldung meldepflichtiger Sicherheitsvorfälle sieht nach der ANPD-Resolution Nr. 15/2024 eine Frist von drei Werktagen vor, nicht die 72-Stunden-Regel der GDPR.
Verlangt die LGPD einen Vertreter in Brasilien?
Es gibt keine direkte Entsprechung zur Pflicht, einen EU-Vertreter nach Artikel 27 GDPR zu benennen. Organisationen sollten stattdessen ihre Anforderungen in Bezug auf Encarregado, Governance und den Kontakt mit der Aufsichtsbehörde prüfen.
Kennt die LGPD ein Recht auf Datenübertragbarkeit?
Ja. Artikel 18 LGPD zählt die Datenübertragbarkeit zu den Rechten der betroffenen Personen, vorbehaltlich des anwendbaren regulatorischen Rahmenwerks.
Regelt die LGPD internationale Datenübermittlungen?
Ja. Die ANPD-Resolution Nr. 19/2024 schafft ein detailliertes regulatorisches Rahmenwerk für internationale Übermittlungen, einschließlich Angemessenheitsbeschlüssen und vertraglicher Mechanismen.
Welche Unternehmen sollten ein Compliance-Assessment zu GDPR und LGPD in Betracht ziehen?
Ein kombiniertes Assessment ist besonders relevant für SaaS-Unternehmen, Technologieunternehmen, E-Commerce-Unternehmen, globale Einzelhändler, KI-Unternehmen, Werbe- und Marketingplattformen, Organisationen im Gesundheitswesen, Fintech-Unternehmen, Cloud-Dienstleister sowie Organisationen, die Daten von Kunden aus der EU und Brasilien verarbeiten.
GDPR- und LGPD-Compliance mit RegulatoryBridge
Werden GDPR und LGPD über vollständig getrennte Prozesse gesteuert, kann dies zu unnötiger Doppelarbeit und uneinheitlichen Datenschutzkontrollen führen.
RegulatoryBridge unterstützt Organisationen beim Aufbau koordinierter Datenschutz-Compliance-Programme für Europa, Brasilien und weitere Jurisdiktionen weltweit.
Unsere Unterstützung kann Folgendes umfassen:
- GDPR-Compliance-Assessments
- LGPD-Compliance-Assessments
- Data Mapping und Dateninventar
- Prüfung von Datenschutzhinweisen
- Prüfung der Rechtsgrundlagen
- Einwilligungsmanagement
- Workflows für Betroffenenrechte
- Encarregado-Unterstützung
- Bewertung von Dienstleistern sowie Auftragsverarbeitern/Operatoren
- Bewertung internationaler Übermittlungen
- Unterstützung bei DPIA und RIPD
- Planung von Sicherheitsmaßnahmen und der Reaktion auf Datenschutzverletzungen
- Regulatory Monitoring
- Grenzüberschreitende Datenschutzvertretung
- Laufendes Management der Datenschutz-Compliance
Decken Sie GDPR und LGPD unter einem Programm ab.
Einmal Kontrollen zuordnen, doppelt konform sein. RegulatoryBridge bietet Ihnen eine einzige DSAR-Pipeline, einen einzigen DPO, ein einziges Breach-Runbook – beide Rahmenwerke abgedeckt.