LGPD – Lei Geral de Proteção de Dados

Definition: Die LGPD (Lei Geral de Proteção de Dados Pessoais, Gesetz Nr. 13.709/2018) ist das brasilianische allgemeine Datenschutzgesetz, das am 18. September 2020 in Kraft trat und die Verarbeitung personenbezogener Daten natürlicher Personen in Brasilien umfassend reguliert. Das Gesetz orientiert sich strukturell und inhaltlich stark an der europäischen Datenschutz-Grundverordnung (DSGVO) und gilt als das brasilianische Äquivalent zu dieser. Es schützt die informationelle Selbstbestimmung brasilianischer Bürger und legt Pflichten für alle natürlichen und juristischen Personen öffentlichen und privaten Rechts fest, die personenbezogene Daten verarbeiten. Der extraterritoriale Anwendungsbereich ist ein zentrales Merkmal der LGPD: Das Gesetz gilt für jede Datenverarbeitung, die in Brasilien durchgeführt wird, die darauf abzielt, Waren oder Dienstleistungen in Brasilien anzubieten, oder bei der Daten von Personen verarbeitet werden, die sich zum Zeitpunkt der Erhebung in Brasilien befanden. Damit sind auch europäische und deutsche Unternehmen, die den brasilianischen Markt erschließen, Brasiliengeschäfte betreiben oder brasilianische Nutzer ihrer Online-Dienste haben, unmittelbar von der LGPD betroffen. Die Aufsichtsbehörde ANPD (Autoridade Nacional de Proteção de Dados, Nationale Datenschutzbehörde) wurde im Jahr 2020 eingerichtet und kann Bußgelder von bis zu zwei Prozent des Jahresumsatzes eines Unternehmens in Brasilien verhängen, begrenzt auf maximal 50 Millionen Brasilianische Real pro Verstoß.

Erläuterung

Die LGPD teilt die Grundarchitektur der DSGVO: Sie definiert personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, führt besondere Kategorien sensibler Daten ein und verlangt für jede Verarbeitungstätigkeit eine gültige Rechtsgrundlage. Trotz dieser Gemeinsamkeiten gibt es wichtige Unterschiede, die Unternehmen kennen müssen, um nicht in die Falle eines vermeintlichen „DSGVO-ist-LGPD"-Denkens zu tappen.

Der markanteste Unterschied liegt in der Anzahl der Rechtsgrundlagen: Während die DSGVO sechs Rechtsgrundlagen für die Verarbeitung personenbezogener Daten vorsieht, kennt die LGPD zehn. Neben den bekannten Grundlagen wie Einwilligung (Art. 7 I LGPD), Vertragserfüllung, rechtliche Verpflichtung und berechtigtes Interesse listet die LGPD zusätzliche Grundlagen wie die Ausübung von Rechten in Gerichts-, Verwaltungs- oder Schiedsverfahren, Gesundheitsschutz durch Fachkräfte, Kreditschutz und Schutz des Lebens. Diese Vielfalt ermöglicht Unternehmen in bestimmten Sektoren eine flexiblere Datenverarbeitung, erfordert aber auch eine sorgfältige Zuordnung der Verarbeitungstätigkeiten zu den jeweiligen Grundlagen.

Hinsichtlich der Einwilligung folgt die LGPD weitgehend dem DSGVO-Modell: Die Einwilligung muss frei, informiert, eindeutig und auf einen bestimmten Zweck gerichtet sein. Auch das Kopplungsverbot gilt – die Einwilligung darf nicht zur Bedingung für eine Dienstleistung gemacht werden, wenn sie für diese nicht erforderlich ist. Betroffene Personen haben das Recht, ihre Einwilligung jederzeit zu widerrufen.

Für das Online-Marketing relevant ist außerdem, dass die LGPD dem Direktmarketing auf Basis berechtigter Interessen unter bestimmten Umständen Raum gibt, ähnlich wie die DSGVO. Jedoch hat die ANPD noch keine abschließenden Leitlinien veröffentlicht, welche Marketingpraktiken konkret als berechtigtes Interesse gelten – Unternehmen befinden sich hier in einer Phase der Rechtsunsicherheit, die durch wachsende Vollzugspraxis der Behörde zunehmend konturiert wird.

Brasilien ist der größte Markt Lateinamerikas mit über 215 Millionen Einwohnern und einem der dynamischsten E-Commerce-Märkte der Welt. Für globale Unternehmen mit Lateinamerika-Strategie ist LGPD-Compliance damit kein Randthema, sondern eine geschäftskritische Anforderung. Die ANPD hat seit ihrer Gründung mehrere Untersuchungen eingeleitet und erste Bußgelder verhängt, was zeigt, dass das Gesetz zunehmend vollzogen wird.

Betroffenenrechte unter der LGPD

• Bestätigung und Zugang: Betroffene können Auskunft verlangen, ob ihre Daten verarbeitet werden und welche Daten dies sind.
• Berichtigung: Unvollständige, ungenaue oder veraltete Daten können korrigiert werden.
• Anonymisierung, Sperrung oder Löschung: Bei rechtswidriger Verarbeitung können Betroffene Anonymisierung, Sperrung oder Löschung verlangen.
• Datenportabilität: Recht auf Übertragung der Daten zu einem anderen Anbieter oder Dienst.
• Widerruf der Einwilligung: Jederzeit möglich; muss so einfach sein wie die Einwilligungserteilung.
• Widerspruch: Bei Verarbeitungen, die nicht auf Einwilligung beruhen, insbesondere bei berechtigtem Interesse.
• Information über Weitergabe: Betroffene können erfahren, an welche öffentlichen und privaten Stellen ihre Daten weitergegeben wurden.

Vergleich LGPD vs. DSGVO

• Rechtsgrundlagen: LGPD hat zehn Rechtsgrundlagen, DSGVO sechs – die LGPD ist insgesamt flexibler, aber weniger präzise in der Abgrenzung.
• Aufsicht: LGPD: ANPD; DSGVO: 27 nationale Datenschutzbehörden plus EDSA – die ANPD ist noch im Aufbau, aber zunehmend aktiv.
• Bußgelder: LGPD: bis zu 2 % des Jahresumsatzes in Brasilien, max. 50 Mio. BRL; DSGVO: bis zu 4 % des weltweiten Jahresumsatzes, max. 20 Mio. EUR.
• Datenschutzbeauftragter: LGPD: „DPO" (Encarregado) für alle Verantwortlichen verpflichtend; DSGVO: nur unter bestimmten Voraussetzungen.
• Übermittlung in Drittländer: Ähnliche Mechanismen (Angemessenheitsbeschluss, Standardklauseln), aber noch weniger spezifisch geregelt als in der DSGVO.