LGPD: Brasiliens Datenschutzgesetz für ausländische Firmen

Ja, die LGPD gilt für ausländische Unternehmen. Brasiliens Allgemeines Datenschutzgesetz (Gesetz 13.709/2018) gilt für jedes Unternehmen, das personenbezogene Daten von Personen in Brasilien verarbeitet, ihnen Waren oder Dienstleistungen anbietet oder im Land erhobene Daten verarbeitet, unabhängig vom Firmensitz. Praktisch heißt das: Wenn Ihre Website an Brasilianer verkauft, E-Mail-Adressen sammelt oder Cookies bei Besuchern aus Brasilien setzt, gilt die LGPD für Sie.

Wann die LGPD gilt

Nach Artikel 3 des Gesetzes gilt die LGPD, wenn:

• die Datenverarbeitung in Brasilien stattfindet; oder
• die Tätigkeit darauf abzielt, Personen in Brasilien Waren oder Dienstleistungen anzubieten oder zu liefern; oder
• die Daten in Brasilien erhoben wurden.

Es gibt Ausnahmen, etwa rein persönliche, journalistische, künstlerische oder akademische Nutzung sowie öffentliche Sicherheit.

LGPD und DSGVO: ähnlich, aber nicht gleich

Die LGPD ist von der europäischen DSGVO inspiriert; wer die DSGVO umgesetzt hat, hat also einen Großteil der Arbeit erledigt. Es gibt aber Unterschiede:

Thema	LGPD (Brasilien)	DSGVO (EU)
Rechtsgrundlagen	10, darunter Schutz der Kreditwürdigkeit	6
Datenschutzbeauftragter	Grundsätzlich zu benennen; Erleichterungen für kleine Verantwortliche	In bestimmten Fällen Pflicht
Höchstbußgeld	2 % des Umsatzes in Brasilien, max. R$ 50 Millionen pro Verstoß	Bis 4 % des weltweiten Umsatzes oder 20 Millionen Euro
Behörde	ANPD	Nationale Aufsichtsbehörden der Mitgliedstaaten

Die wichtigsten Pflichten

1. Eine Rechtsgrundlage für jede Datennutzung

Jeder Zweck braucht eine Rechtsgrundlage: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, berechtigtes Interesse, Schutz der Kreditwürdigkeit und weitere. E-Mail-Marketing stützt sich meist auf Einwilligung oder gut dokumentiertes berechtigtes Interesse.

2. Betroffenenrechte respektieren

Artikel 18 garantiert unter anderem das Recht auf Bestätigung der Verarbeitung, Auskunft, Berichtigung, Anonymisierung oder Löschung, Datenübertragbarkeit und Information über die Weitergabe. Richten Sie einen klaren Kanal auf Portugiesisch für diese Anfragen ein.

3. Einen Datenschutzbeauftragten benennen

Der Beauftragte (Encarregado, entspricht dem DSB) ist die Schnittstelle zwischen Unternehmen, Betroffenen und ANPD. Name und Kontaktdaten müssen veröffentlicht werden, am besten in der Datenschutzerklärung.

4. Datenschutzerklärung auf Portugiesisch

Erklären Sie in klarer Sprache und auf brasilianischem Portugiesisch, welche Daten Sie erheben, wozu, an wen Sie sie weitergeben, wie lange Sie sie speichern und wie Betroffene ihre Rechte ausüben. Eine reine englische Erklärung erschwert den Nachweis der Transparenz. Warum Sprache zählt, lesen Sie unter brasilianisches Portugiesisch: Warum Übersetzen nicht reicht.

5. Sicherheit und Vorfälle

Unternehmen müssen angemessene Sicherheitsmaßnahmen treffen. Vorfälle, die ein relevantes Risiko oder einen relevanten Schaden für Betroffene verursachen können, müssen innerhalb der von der ANPD festgelegten Frist der ANPD und den Betroffenen gemeldet werden.

6. Internationale Datenübermittlung

Gehen Daten von Brasilianern auf Server außerhalb Brasiliens (was bei fast jedem ausländischen Unternehmen der Fall ist), braucht die Übermittlung eine gesetzliche Grundlage. Die ANPD hat dafür Standardvertragsklauseln verabschiedet, ähnlich in der Logik wie die europäischen. Prüfen Sie Ihre Verträge mit Cloud-, CRM- und E-Mail-Anbietern.

Bußgelder und Sanktionen

Die ANPD kann Verwarnungen aussprechen, einfache Bußgelder bis zu 2 % des Umsatzes des Unternehmens in Brasilien im letzten Geschäftsjahr verhängen (gedeckelt auf R$ 50 Millionen pro Verstoß), Tagesbußgelder, die Veröffentlichung des Verstoßes, das Sperren oder Löschen der Daten sowie die Aussetzung von Verarbeitungen anordnen. Zusätzlich können Betroffene klagen, und die Verbraucherschutzbehörden (Procon) werden bei Verbraucherthemen aktiv.

Worauf Onlinehändler achten sollten

• Cookies und Tracking: Die ANPD hat Leitlinien zu Cookies veröffentlicht. Bieten Sie ein Banner mit echter Möglichkeit, nicht notwendige Cookies abzulehnen.
• WhatsApp und Kontaktlisten: Marketingnachrichten per WhatsApp betreffen ebenfalls personenbezogene Daten und brauchen eine Rechtsgrundlage. Siehe WhatsApp im Geschäft in Brasilien.
• CPF im Checkout: Die CPF ist ein personenbezogenes Datum. Erheben Sie sie nur, wenn nötig (Rechnung, Zahlung, Betrugsprävention), und schützen Sie sie.
• Influencer und Partner: Die Weitergabe von Kundenlisten an Partner erfordert eine Rechtsgrundlage und einen Vertrag.

Kurze Checkliste

1. Erfassen Sie, welche Daten von Brasilianern Sie wozu erheben.
2. Legen Sie für jeden Zweck die Rechtsgrundlage fest.
3. Veröffentlichen Sie die Datenschutzerklärung auf Portugiesisch und die Kontaktdaten des Beauftragten.
4. Schaffen Sie einen Prozess für Betroffenenanfragen.
5. Passen Sie das Cookie-Banner an.
6. Prüfen Sie die Verträge zur internationalen Datenübermittlung.
7. Halten Sie einen Plan für Sicherheitsvorfälle bereit.

Zusammenfassung

Die LGPD erfasst ausländische Unternehmen, die in Brasilien verkaufen oder Daten erheben. Die DSGVO-Umsetzung ist eine solide Basis, aber Datenschutzerklärung auf Portugiesisch, Beauftragter, brasilianische Rechtsgrundlagen und internationale Übermittlungen müssen angepasst werden. Für einen vollständigen Markteintrittsplan siehe auch als Ausländer ein Unternehmen in Brasilien gründen. Wenn Sie Unterstützung bei der Umsetzung im Rahmen Ihres Markteintritts möchten, sprechen Sie mit BrazilDoor.