Wenn Ihr Unternehmen Kunden sowohl in Brasilien als auch in der Europäischen Union bedient, unterliegen Sie zwei der weltweit bedeutendsten Datenschutzrahmen: dem brasilianischen Lei Geral de Proteção de Dados Pessoais (LGPD, Gesetz Nr. 13.709/2018) und der europäischen Datenschutz-Grundverordnung (DSGVO). Obwohl beide Gesetze ähnliche Ziele verfolgen und die LGPD von der DSGVO beeinflusst wurde, gibt es wesentliche Unterschiede, die Ihre Compliance-Strategie direkt betreffen. Dieser Leitfaden vergleicht die beiden Rahmenwerke, um Ihnen beim Aufbau eines integrierten Ansatzes zu helfen, mit besonderem Fokus auf die deutsche Perspektive und die Rolle des BfDI.
Ursprünge und Grundlagen
DSGVO. 2016 verabschiedet und seit Mai 2018 in Kraft, ist die DSGVO eine Verordnung, die in allen 27 EU-Mitgliedstaaten unmittelbar gilt. Sie beruht auf dem Grundsatz, dass der Datenschutz ein Grundrecht ist (Artikel 8 der EU-Grundrechtecharta). Sie ist ausführlich, detailliert und wird durch umfangreiche Rechtsprechung und Leitlinien nationaler Behörden ergänzt. In Deutschland überwachen der BfDI und die Landesdatenschutzbeauftragten die Einhaltung, ergänzt durch das Bundesdatenschutzgesetz (BDSG).
LGPD. 2018 erlassen und seit September 2020 in Kraft, wurde die LGPD weitgehend von der DSGVO inspiriert, aber an den brasilianischen Rechtskontext angepasst. Sie integriert Elemente des Verbraucherschutzgesetzes, des Marco Civil da Internet und der Bundesverfassung (Artikel 5, Absätze X und XII). Die ANPD, 2020 gegründet, baut den vollständigen Regulierungsrahmen noch auf.
Anwendungsbereich
Geschützte Personen
DSGVO: Jede natürliche Person (betroffene Person) in der Europäischen Union, unabhängig von Staatsangehörigkeit oder Wohnsitz.
LGPD: Jede natürliche Person, deren personenbezogene Daten in Verarbeitungsvorgängen verarbeitet werden, die auf brasilianischem Territorium durchgeführt werden, auf das Angebot von Waren oder Dienstleistungen an Personen in Brasilien abzielen oder in Brasilien erhobene Daten betreffen (Artikel 3).
Welche Unternehmen müssen sich an die Vorschriften halten
DSGVO: Jede Organisation weltweit, die personenbezogene Daten von Personen in der EU verarbeitet, sofern sie Waren oder Dienstleistungen für EU-Einwohner anbietet oder deren Verhalten überwacht (Artikel 3). Kein Umsatzschwellenwert oder Mindestdatenvolumen.
LGPD: Jede Organisation weltweit, die Verarbeitungsvorgänge unter den Bedingungen von Artikel 3 durchführt. Ebenfalls ohne Umsatzschwellenwert.
Beide Gesetze haben extraterritoriale Reichweite, was bedeutet, dass Unternehmen außerhalb Brasiliens oder der EU zur Einhaltung verpflichtet sein können. Der BfDI und die Landesdatenschutzbeauftragten haben bereits Fälle mit nicht-europäischen Unternehmen bearbeitet.
Rechtsgrundlagen für die Verarbeitung
Dies ist einer der Bereiche, in denen sich die beiden Gesetze am meisten ähneln, aber mit wichtigen Unterschieden.
DSGVO: Sechs Rechtsgrundlagen (Artikel 6) — Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse und berechtigte Interessen.
LGPD: Zehn Rechtsgrundlagen (Artikel 7) — die sechs der DSGVO plus Kreditschutz, Gesundheitsschutz, Forschungsstudien durch Forschungseinrichtungen und regelmäßige Rechtsausübung.
| Rechtsgrundlage | DSGVO | LGPD |
|---|---|---|
| Einwilligung | Artikel 6(1)(a) | Artikel 7, I |
| Rechtliche Verpflichtung | Artikel 6(1)(c) | Artikel 7, II |
| Vertragserfüllung | Artikel 6(1)(b) | Artikel 7, V |
| Berechtigtes Interesse | Artikel 6(1)(f) | Artikel 7, IX |
| Schutz lebenswichtiger Interessen | Artikel 6(1)(d) | Artikel 7, VII |
| Öffentliches Interesse | Artikel 6(1)(e) | Artikel 7, III |
| Kreditschutz | Nicht vorgesehen | Artikel 7, X |
| Gesundheitsschutz | In lebenswichtigen Interessen enthalten | Artikel 7, VIII (eigenständige Grundlage) |
| Forschung | Im öffentlichen Interesse enthalten | Artikel 7, IV (eigenständige Grundlage) |
| Rechtsausübung | In rechtlicher Verpflichtung enthalten | Artikel 7, VI (eigenständige Grundlage) |
Die LGPD ist bei ihren Rechtsgrundlagen granularer und schafft eigenständige Grundlagen für Situationen, die die DSGVO als Unterkategorien breiterer Grundlagen behandelt.
Einwilligung
DSGVO: Muss freiwillig, für den bestimmten Fall, informiert und unmissverständlich sein (Artikel 7). Die Beweislast liegt beim Verantwortlichen. Die Einwilligung für sensible Daten muss ausdrücklich sein (Artikel 9).
LGPD: Muss frei, informiert und unmissverständlich sein, schriftlich oder durch andere Mittel erteilt, die den Willen des Betroffenen belegen (Artikel 8). Für sensible Daten muss die Einwilligung spezifisch und hervorgehoben sein (Artikel 11).
Die praktischen Unterschiede sind subtil, aber relevant. Die DSGVO verlangt, dass die Einwilligung für jeden Zweck „bestimmt” ist, während die LGPD sie „für bestimmte Zwecke” verlangt. Die LGPD legt auch fest, dass die schriftliche Einwilligung in einer von den übrigen Vertragsklauseln getrennten Klausel erscheinen muss. Der BfDI hat detaillierte Leitlinien zur Einwilligung im Rahmen der DSGVO veröffentlicht.
Rechte der betroffenen Personen
Beide Gesetze gewähren einen robusten Katalog von Rechten, allerdings mit bemerkenswerten Unterschieden:
| Recht | DSGVO | LGPD |
|---|---|---|
| Auskunft | Artikel 15 | Artikel 18, I und II |
| Berichtigung | Artikel 16 | Artikel 18, III |
| Löschung | Artikel 17 (Recht auf Vergessenwerden) | Artikel 18, IV (Anonymisierung, Sperrung oder Löschung) |
| Datenübertragbarkeit | Artikel 20 | Artikel 18, V |
| Widerspruch | Artikel 21 | Artikel 18, IV (teilweise) |
| Überprüfung automatisierter Entscheidungen | Artikel 22 | Artikel 20 |
| Auskunft über Weitergabe | Implizit in Artikeln 13-14 | Artikel 18, VII (ausdrückliches Recht) |
| Antwortfrist | 1 Monat (verlängerbar auf 3) | 15 Tage für die Bestätigung; angemessene Frist für Übrige |
Bemerkenswerter Unterschied: Die LGPD garantiert ausdrücklich das Recht auf Information über Einrichtungen, an die Daten weitergegeben wurden (Artikel 18, VII), während die DSGVO dies im Rahmen der Transparenzpflichten behandelt. Die LGPD sieht auch eine Überprüfung automatisierter Entscheidungen (Artikel 20) vor, allerdings ohne die Anforderung menschlicher Intervention, die die DSGVO in Artikel 22 festlegt.
Sensible Daten
DSGVO: Besondere Kategorien personenbezogener Daten (Artikel 9) — rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten, Gesundheitsdaten, Sexualleben oder sexuelle Orientierung. Die Verarbeitung ist verboten, außer unter bestimmten Ausnahmen.
LGPD: Sensible Daten (Artikel 5, II) — rassische oder ethnische Herkunft, religiöse Überzeugung, politische Meinung, Gewerkschaftszugehörigkeit oder Zugehörigkeit zu einer religiösen, weltanschaulichen oder politischen Organisation, Gesundheitsdaten, Sexualleben, genetische oder biometrische Daten.
Die Kategorien sind ähnlich, aber nicht identisch. Die LGPD umfasst „weltanschauliche Überzeugung” und „Zugehörigkeit zu weltanschaulichen oder politischen Organisationen”, die kein direktes Äquivalent in der DSGVO haben. Die DSGVO umfasst ausdrücklich „politische Meinungen”, während die LGPD „politische Meinung” verwendet.
Internationale Datenübermittlungen
DSGVO: Übermittlungen außerhalb des EWR erfordern einen Angemessenheitsbeschluss, Standardvertragsklauseln (SVK), verbindliche unternehmensinterne Vorschriften (BCR) oder einen anderen genehmigten Mechanismus (Kapitel V). Das Verfahren ist streng und gut geregelt. Deutsche Datenschutzbehörden haben diese Mechanismen nach dem Schrems-II-Urteil besonders streng überwacht.
LGPD: Artikel 33 listet mehrere Bedingungen für internationale Übermittlungen auf, darunter Länder mit angemessenem Schutzniveau, spezifische Vertragsklauseln, Standardklauseln, verbindliche Unternehmensregelungen und spezifische Einwilligung. Die ANPD regelt die Mechanismen noch, und der Rahmen ist nicht so entwickelt wie der europäische.
In der Praxis können Unternehmen, die bereits über DSGVO-SVK verfügen, diese für die LGPD anpassen, sollten aber die endgültigen Regelungen der ANPD abwarten, um volle Konformität zu gewährleisten.
Sanktionen und Durchsetzung
| Aspekt | DSGVO | LGPD |
|---|---|---|
| Höchstes Bußgeld | 20 Mio. EUR oder 4 % des weltweiten Umsatzes | 50 Mio. BRL oder 2 % des Umsatzes in Brasilien |
| Berechnungsgrundlage | Weltweiter Umsatz | Umsatz in Brasilien (nicht weltweit) |
| Behörde | Nationale DPAs (BfDI, LfDIs etc.) | ANPD |
| Direkte Sanktionsbefugnis | Ja | Ja |
| Nicht-monetäre Sanktionen | Verarbeitungsverbot | Sperrung, Löschung, Aussetzung, Verbot |
| Private Klage | Ja (Artikel 82) | Ja (Zivilgesetzbuch + Verbraucherschutzgesetz) |
Die DSGVO sieht potenziell deutlich höhere Geldbußen vor (weltweite vs. nur brasilienbezogene Berechnungsgrundlage). Deutsche Datenschutzaufsichtsbehörden haben bereits erhebliche Bußgelder verhängt. Die LGPD bietet jedoch schwerwiegende nicht-monetäre Sanktionen — die Aussetzung oder das Verbot von Verarbeitungstätigkeiten kann für ein Unternehmen verheerender sein als ein Bußgeld.
DPO / Encarregado
DSGVO: Pflicht für Behörden, große systematische Überwachung oder großangelegte Verarbeitung sensibler Daten (Artikel 37). Das BDSG erweitert die DPO-Pflicht auf Unternehmen mit mindestens 20 Personen, die ständig mit automatisierter Verarbeitung befasst sind.
LGPD: Pflicht für alle Verantwortlichen (Artikel 41). Die ANPD kann Ausnahmen für Verarbeitungsagenten kleinen Umfangs festlegen.
Die LGPD ist bei dieser Anforderung breiter: Während die DSGVO die Pflicht auf bestimmte Situationen beschränkt (ergänzt durch das BDSG in Deutschland), macht die LGPD sie zur allgemeinen Regel.
Compliance-Strategie für Unternehmen in beiden Rechtsordnungen
1. Mit der DSGVO-Compliance beginnen. Die europäischen Anforderungen sind in der Regel strenger. Eine solide DSGVO-Compliance deckt die Mehrheit der LGPD-Pflichten ab. Deutsche Unternehmen, die bereits konform mit den Vorgaben des BfDI und des BDSG sind, haben einen erheblichen Vorteil.
2. LGPD-spezifische Elemente ergänzen. Die vier zusätzlichen Rechtsgrundlagen, die 15-Tage-Antwortfrist für die Bestätigung, das ausdrückliche Recht auf Information über die Weitergabe und die nicht-monetären Sanktionen erfordern spezifische Aufmerksamkeit.
3. Die Berechnungsgrundlage für Sanktionen anpassen. Die DSGVO berechnet auf dem weltweiten Umsatz; die LGPD auf dem Umsatz in Brasilien. Dies kann Ihre Risikoanalyse beeinflussen.
4. Die ANPD verfolgen. Die brasilianische Behörde baut ihren Regulierungsrahmen noch auf. Regelungen zu internationalen Übermittlungen, Folgenabschätzungen und Angemessenheitskriterien sind in Entwicklung.
5. Alles dokumentieren. Verarbeitungsverzeichnisse (Artikel 30 DSGVO), Vorfallregister (beide) und Verzeichnisse von Anfragen betroffener Personen (beide) sind für den Nachweis der Compliance unerlässlich.
(1) Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen. Dieses Verzeichnis enthält sämtliche folgenden Angaben: […]
— DSGVO, Artikel 30
Um die Konformität Ihrer Website in Sekunden zu prüfen, nutzen Sie unseren kostenlosen Compliance-Scanner. Für weitere Details lesen Sie unseren Leitfaden zu den Pflichtangaben einer Datenschutzerklärung.
Fazit
Die LGPD und die DSGVO teilen Ursprünge und Ziele, unterscheiden sich aber in Details, die in der Praxis relevant sind. Die LGPD hat mehr Rechtsgrundlagen, einen breiteren Geltungsbereich für DPO-Anforderungen und potenziell schwerwiegendere nicht-monetäre Sanktionen. Die DSGVO sieht höhere Geldbußen, detailliertere Betroffenenrechte und einen reiferen Regulierungsrahmen vor, mit der Expertise von Behörden wie dem BfDI. Für Unternehmen, die in beiden Rechtsordnungen tätig sind, ist der effektivste Ansatz, auf der DSGVO-Compliance aufzubauen und diese um LGPD-Spezifika zu ergänzen. Untätigkeit ist keine Option: Die regulatorischen Risiken auf beiden Seiten des Atlantiks wachsen weiter.
