Was ist die LGPD?
Die Lei Geral de Proteção de Dados Pessoais (Gesetz Nr. 13.709/2018) ist Brasiliens zentrales Gesetz zum Schutz personenbezogener Daten.
Die LGPD trat im August 2020 in Kraft; die Verwaltungssanktionen sind seit August 2021 anwendbar. Die Autoridade Nacional de Proteção de Dados (ANPD) ist für die Aufsicht über das Gesetz und dessen Durchsetzung zuständig.
Die LGPD legt Grundsätze und Pflichten für die Erhebung, Verwendung, Speicherung, Weitergabe, Sicherheit und sonstige Verarbeitung personenbezogener Daten fest.
Das Gesetz ist für Organisationen aller Branchen relevant, darunter Technologie, E-Commerce, Finanzdienstleistungen, Gesundheitswesen, SaaS, Marketing und digitale Plattformen.
Wer muss die LGPD einhalten?
Die LGPD kann je nach den Umständen der Verarbeitung für Organisationen innerhalb und außerhalb Brasiliens gelten.
Der räumliche Anwendungsbereich des Gesetzes umfasst folgende Konstellationen:
Verarbeitung in Brasilien
Verarbeitungsvorgänge, die auf brasilianischem Staatsgebiet durchgeführt werden, können unter die LGPD fallen, unabhängig davon, wo der Verantwortliche niedergelassen ist.
Angebot von Waren oder Dienstleistungen in Brasilien
Organisationen, die personenbezogene Daten verarbeiten, um Personen in Brasilien Waren oder Dienstleistungen anzubieten, können der LGPD unterliegen.
In Brasilien erhobene Daten
Die LGPD kann gelten, wenn personenbezogene Daten auf brasilianischem Staatsgebiet erhoben werden, vorbehaltlich des Anwendungsbereichs und der Bestimmungen des Gesetzes.
Damit ist die LGPD besonders relevant für internationale Organisationen, die in den brasilianischen Markt eintreten oder ihn bedienen.
LGPD-Compliance-Services
RegulatoryBridge bietet ein LGPD-Compliance-Programm mit sechs Säulen, das Organisationen bei den zentralen Pflichten der Datenschutz-Governance und den regulatorischen Pflichten unterstützt.
Encarregado-/DPO-Service
01Der Encarregado de Proteção de Dados nimmt eine wichtige Rolle im Datenschutzprogramm einer Organisation ein und kann als Kommunikationskanal zur ANPD und zu betroffenen Personen dienen.
RegulatoryBridge bietet Encarregado-Services, die Organisationen in folgenden Bereichen unterstützen:
- Governance der LGPD-Compliance
- Kommunikation mit der ANPD
- Kommunikation mit betroffenen Personen
- Aufsicht über das Datenschutzprogramm
- ROPA-Koordination
- RIPD/DPIA-Unterstützung
- Incident Response
- Datenschutzdokumentation
- Laufende Compliance-Betreuung
Unser Service kann internationale Organisationen, die in Brasilien tätig sind, auf Portugiesisch und Englisch unterstützen.
Verzeichnis von Verarbeitungstätigkeiten (ROPA)
02Artikel 37 der LGPD regelt das Verzeichnis von Verarbeitungstätigkeiten.
Ein strukturiertes Registro de Operações de Tratamento hilft Organisationen zu verstehen und zu dokumentieren, wie personenbezogene Daten im gesamten Unternehmen verarbeitet werden.
Ein umfassendes ROPA kann Folgendes abdecken:
- Verarbeitungstätigkeiten
- Verarbeitungszwecke
- Kategorien personenbezogener Daten
- Kategorien betroffener Personen
- Datenempfänger
- Vereinbarungen zur Datenweitergabe
- Internationale Übermittlungen
- Aufbewahrungsfristen
- Sicherheitsmaßnahmen
- Verantwortliche und Auftragsverarbeiter
- Für die Verarbeitung zuständige Fachverantwortliche
RegulatoryBridge unterstützt Organisationen dabei, Verarbeitungsverzeichnisse auf Portugiesisch zu führen und mit übergreifenden globalen ROPA-Rahmenwerken abzustimmen.
RIPD / DPIA
03Ein Relatório de Impacto à Proteção de Dados Pessoais (RIPD) ist ein wichtiges Instrument zur Bewertung der Datenschutzrisiken bestimmter Verarbeitungstätigkeiten.
RegulatoryBridge unterstützt Organisationen bei Datenschutz-Folgenabschätzungen für:
- Hochrisiko-Verarbeitungen
- Neue Produkte und Services
- Neue Technologien
- Umfangreiche Datenverarbeitung
- Sensible personenbezogene Daten
- KI-gestützte Verarbeitung
- Behördliche Anforderungen
Unser Ansatz hilft Organisationen, Datenschutzrisiken zu identifizieren, risikomindernde Kontrollen zu dokumentieren und Nachweise über ihre Datenschutz-Governance vorzuhalten.
ANPD-Kontakt & regulatorische Unterstützung
04Die Autoridade Nacional de Proteção de Dados (ANPD) ist Brasiliens Datenschutzbehörde.
Organisationen müssen mit der ANPD unter Umständen zu regulatorischen Angelegenheiten, Konsultationen, Prüfungen, Vorfällen oder anderen Compliance-Fragen kommunizieren.
RegulatoryBridge unterstützt beim Kontakt zur ANPD in folgenden Bereichen:
- Kommunikation mit Aufsichtsbehörden
- Meldungen
- Konsultationen
- Antworten auf Prüfungen
- Compliance-Anfragen
- Kommunikation im Zusammenhang mit Vorfällen
- Regulatorische Dokumentation
Unser Team kann Organisationen dabei unterstützen, die Kommunikation mit der ANPD zu koordinieren und den Austausch mit der Behörde angemessen zu dokumentieren.
Internationale Datenübermittlungen
05Internationale Organisationen müssen häufig personenbezogene Daten zwischen Brasilien und anderen Ländern übermitteln.
Die LGPD legt Anforderungen an internationale Übermittlungen fest; Organisationen müssen einen anwendbaren rechtlichen Mechanismus nutzen und die maßgeblichen Garantien erfüllen.
RegulatoryBridge unterstützt Organisationen in folgenden Bereichen:
Angemessenheitsmechanismen
Prüfung, ob ein Zielland oder ein Übermittlungsmechanismus die maßgeblichen Anforderungen erfüllt.
Vertragsklauseln
Unterstützung bei vertraglichen Mechanismen für internationale Datenübermittlungen.
Binding Corporate Rules
Unterstützung für multinationale Organisationen, die – soweit anwendbar – konzernweite Übermittlungsregelungen nutzen.
Governance der Übermittlungen
Dokumentation und Überprüfung internationaler Übermittlungsregelungen.
Das aktuelle LGPD-Programm von RegulatoryBridge umfasst Unterstützung bei internationalen Übermittlungen im Einklang mit der ANPD-Resolution 19/2024.
LGPD-Incident-Response
06Vorfälle mit personenbezogenen Daten erfordern eine schnelle Bewertung und abgestimmtes Handeln.
RegulatoryBridge unterstützt Organisationen mit einem strukturierten LGPD-Incident-Response-Prozess.
Erkennen
- Identifizieren und klassifizieren Sie den Vorfall.
Bewerten
- Ermitteln Sie Art und Umfang des Vorfalls mit personenbezogenen Daten und bewerten Sie die möglichen Auswirkungen.
Eindämmen
- Koordinieren Sie geeignete technische, rechtliche, datenschutzbezogene und operative Maßnahmen.
Melden
- Prüfen Sie die maßgeblichen Meldepflichten gegenüber der ANPD und den betroffenen Personen.
Dokumentieren
- Führen Sie angemessene Aufzeichnungen über den Vorfall und die zugehörigen Nachweise.
Beheben
- Identifizieren Sie Korrekturmaßnahmen und verringern Sie die Wahrscheinlichkeit einer Wiederholung.
Das aktuelle Programm von RegulatoryBridge umfasst Unterstützung bei der Meldung von Vorfällen an die ANPD im Einklang mit der ANPD-Resolution CD/ANPD Nr. 15/2024.
Rechte betroffener Personen nach der LGPD
Die LGPD gewährt Einzelpersonen eine Reihe von Rechten in Bezug auf ihre personenbezogenen Daten.
Dazu gehören Rechte in Bezug auf:
- Bestätigung der Verarbeitung
- Auskunft über personenbezogene Daten
- Berichtigung unvollständiger oder unrichtiger Daten
- Anonymisierung, Sperrung oder Löschung nicht erforderlicher oder übermäßiger Daten
- Datenübertragbarkeit
- Löschung von Daten, die auf Grundlage einer Einwilligung verarbeitet werden, vorbehaltlich der geltenden Voraussetzungen
- Informationen über öffentliche und private Stellen, an die Daten weitergegeben wurden
- Informationen über die Möglichkeit, die Einwilligung zu verweigern, und über die Folgen
- Widerruf der Einwilligung
Organisationen benötigen Prozesse, um entsprechende Anfragen betroffener Personen entgegenzunehmen, zu prüfen, zu authentifizieren, zu erfüllen und zu dokumentieren.
Sanktionen bei Verstößen gegen die LGPD
Die ANPD verfügt nach der LGPD über Durchsetzungsbefugnisse.
Bei bestimmten Verstößen können Bußgelder bis zu 2 % des Umsatzes in Brasilien betragen, begrenzt auf 50 Mio. R$ pro Verstoß. Weitere Sanktionen können tägliche Bußgelder, die Veröffentlichung des Verstoßes und die Sperrung personenbezogener Daten umfassen, vorbehaltlich des maßgeblichen Rechtsrahmens und des Durchsetzungsverfahrens.
Die möglichen finanziellen und operativen Folgen machen eine strukturierte Datenschutz-Governance zu einem wichtigen Bestandteil des Compliance-Programms einer Organisation für Brasilien.
Management von Anfragen betroffener Personen nach der LGPD
RegulatoryBridge kann Organisationen dabei unterstützen, einen strukturierten Workflow für die Bearbeitung von Datenschutzanfragen einzurichten.
Ein strukturierter Prozess für das Anfragemanagement kann Organisationen helfen, Datenschutzpflichten in Brasilien und anderen Jurisdiktionen einheitlich zu erfüllen.
Grundsätze der LGPD
Artikel 6 legt Grundsätze fest, die Organisationen bei der Verarbeitung personenbezogener Daten beachten müssen.
Dazu gehören:
Zweckbindung
Personenbezogene Daten sollten für legitime, konkrete, ausdrückliche und der betroffenen Person mitgeteilte Zwecke verarbeitet werden.
Angemessenheit
Die Verarbeitung sollte mit den Zwecken vereinbar sein, die der betroffenen Person mitgeteilt wurden.
Erforderlichkeit
Die Verarbeitung sollte auf Daten beschränkt sein, die für den beabsichtigten Zweck relevant und erforderlich sind.
Freier Zugang
Einzelpersonen sollten Zugang zu Informationen über die Verarbeitung ihrer personenbezogenen Daten haben.
Datenqualität
Personenbezogene Daten sollten richtig, klar und relevant sein und angemessen aktuell gehalten werden.
Transparenz
Einzelpersonen sollten klare Informationen darüber erhalten, wie ihre Daten verarbeitet werden.
Sicherheit
Organisationen sollten technische und administrative Maßnahmen zum Schutz personenbezogener Daten ergreifen.
Prävention
Organisationen sollten Maßnahmen ergreifen, die Schäden durch die Datenverarbeitung verhindern sollen.
Nichtdiskriminierung
Personenbezogene Daten sollten nicht für rechtswidrige oder diskriminierende Zwecke verarbeitet werden.
Rechenschaftspflicht
Organisationen sollten nachweisen können, dass sie wirksame Maßnahmen ergriffen haben, mit denen sich die Datenschutzanforderungen einhalten lassen.
Die aktuelle LGPD-Seite von RegulatoryBridge stellt die zentralen Grundsätze des Artikels 6 und die damit verbundenen Anforderungen an die Rechenschaftspflicht heraus.
LGPD-Compliance für verschiedene Branchen
FinTech & Finanzdienstleistungen
Finanzorganisationen können sich überschneidenden Anforderungen aus Datenschutz, Cybersicherheit und Finanzsektor gegenübersehen. RegulatoryBridge kann helfen, die LGPD mit weitergehenden regulatorischen Pflichten abzustimmen.
E-Commerce & Einzelhandel
Steuern Sie Kundendaten, Marketingaktivitäten, Einwilligungen, Rechte betroffener Personen, Aufbewahrung und internationale Datenübermittlungen.
HealthTech
Organisationen des Gesundheitswesens verarbeiten häufig sensible personenbezogene Daten und benötigen eine stärkere Datenschutz-Governance sowie robustere Risikomanagement-Prozesse.
SaaS & Technologie
Internationale Technologieunternehmen mit brasilianischen Kunden müssen gegebenenfalls den räumlichen Anwendungsbereich der LGPD, ihre Verarbeitungstätigkeiten, Verträge, internationalen Übermittlungen und die Rechte betroffener Personen prüfen.
KI & maschinelles Lernen
KI-Systeme, die personenbezogene Daten verarbeiten, können zusätzliche Datenschutzrisiken in Bezug auf Profiling, automatisierte Verarbeitung, Datenminimierung, Transparenz und rechtmäßige Verarbeitung mit sich bringen.
LGPD & globale Datenschutz-Compliance
Globale Organisationen unterliegen selten nur einem einzigen Datenschutz-Regelwerk.
Eine Organisation mit brasilianischen Kunden muss möglicherweise auch Regelwerke wie die folgenden einhalten:
- EU GDPR
- UK GDPR
- CCPA/CPRA
- DPDPA (Indien)
- PDPA (Singapur)
- APPI (Japan)
- Weitere nationale und sektorspezifische Datenschutz-Rahmenwerke
RegulatoryBridge bietet eine umfassendere Compliance-Abdeckung in über 45 Jurisdiktionen, sodass Organisationen die LGPD mit ihrem übergreifenden globalen Datenschutzprogramm abstimmen können.
LGPD vs. GDPR
LGPD und GDPR haben mehrere Konzepte gemeinsam, darunter:
- Rechte betroffener Personen
- Datenschutzgrundsätze
- Rechenschaftspflicht
- Datenschutz-Governance
- Verarbeitungsverzeichnisse
- Folgenabschätzungen
- Anforderungen an internationale Übermittlungen
- Pflichten bei Datenschutzverletzungen und Vorfällen
Die Gesetze sind jedoch nicht identisch.
Organisationen sollten die spezifischen Anforderungen jeder Jurisdiktion prüfen, statt davon auszugehen, dass GDPR-Compliance automatisch LGPD-Compliance begründet.
RegulatoryBridge kann Organisationen dabei unterstützen, die LGPD mit der GDPR und anderen globalen Datenschutz-Rahmenwerken abzustimmen.
Warum RegulatoryBridge für LGPD-Compliance?
Datenschutzunterstützung mit Fokus auf Brasilien
Nutzen Sie dedizierte LGPD-Compliance-Unterstützung für Organisationen, die in Brasilien tätig sind oder den brasilianischen Markt bedienen.
Encarregado-Services
Richten Sie einen geeigneten Kommunikationskanal für Datenschutzfragen ein und erhalten Sie laufende Unterstützung bei der LGPD-Governance.
ANPD-Kontakt
Koordinieren Sie die Kommunikation mit der Behörde, Meldungen, Konsultationen und Antworten auf Prüfungen.
Unterstützung bei internationalen Übermittlungen
Steuern Sie Datenübermittlungen aus Brasilien innerhalb eines übergreifenden globalen Datenschutz-Rahmenwerks.
Globale regulatorische Abdeckung
Stimmen Sie die LGPD mit GDPR, UK GDPR, CCPA/CPRA, DPDPA, APPI, PDPA und weiteren Datenschutz-Rahmenwerken ab.
Kontinuierlicher regulatorischer Überblick
Die übergreifende Plattform von RegulatoryBridge verfolgt regulatorische und behördliche Entwicklungen in über 45 Jurisdiktionen und liefert relevante Compliance-Informationen.
Häufig gestellte Fragen
Ein kontinuierliches LGPD-Compliance-Programm aufbauen
LGPD-Compliance sollte sich gemeinsam mit Ihrer Organisation weiterentwickeln.
Ihre Datenschutzpflichten müssen möglicherweise neu bewertet werden, wenn Sie:
- Neue Produkte einführen
- In den brasilianischen Markt eintreten
- Neue Technologien einführen
- Dienstleister wechseln
- Neue Kategorien personenbezogener Daten verarbeiten
- KI-Systeme einführen
- Regelungen für internationale Übermittlungen ändern
- Marketingaktivitäten ausweiten
- Einen Datenvorfall erleben
RegulatoryBridge unterstützt Organisationen beim Aufbau eines fortlaufenden Programms, das Encarregado-Services, ROPA, RIPD/DPIA, ANPD-Kontakt, Unterstützung bei internationalen Übermittlungen, Incident Response und Regulatory Monitoring verbindet.
Bauen Sie ein Datenschutzprogramm auf, das mit Ihrem Geschäft in Brasilien wachsen kann.