Die LGPD in der Praxis: was Ihr Unternehmen wirklich tun muss (und was Mythos ist)

Brauchen Sie Hilfe in Ihrem Fall? Sprechen Sie mit unserem Gesellschaftsrechtsteam in São Paulo.

„Gilt die LGPD für mein Unternehmen? Es ist klein und verkauft nicht online.“ Ja, sie gilt. Hat das Unternehmen Mitarbeiter, verwahrt es Lebensläufe, führt es eine Kundendatenbank oder verarbeitet es Lieferantendaten, verarbeitet es personenbezogene Daten — und fällt unter das Gesetz. Die Größe ist kein Kriterium für die Anwendung; sie ist ein Kriterium für die Verhältnismäßigkeit der Maßnahmen.

LGPD-Compliance zieht sowohl unnötig komplexe Lösungen als auch Unternehmen an, die noch keine Grundmaßnahmen ergriffen haben. Ausgangspunkt sollte das tatsächliche Risiko sein, nicht ein generisches Paket. Dieser Artikel trennt gesetzliche Pflichten von verbreiteten Irrtümern.

Für wen die LGPD gilt (und was personenbezogene Daten sind)

In ihrem Anwendungsbereich umfasst die LGPD Erhebung, Speicherung, Nutzung, Weitergabe und Löschung personenbezogener Daten, digital oder auf Papier. Die territorialen Kriterien des Art. 3 und die Ausnahmen des Art. 4 sind zu beachten, einschließlich der Verarbeitung durch natürliche Personen ausschließlich für private, nicht wirtschaftliche Zwecke. Personenbezogene Daten identifizieren eine natürliche Person oder machen sie identifizierbar: Namen, CPF-Nummern, E-Mail, Telefon, IP-Adressen, Standort oder Bilder, je nach Kontext.

Eine Kategorie verdient besondere Sorgfalt: sensible Daten — Gesundheit, Biometrie, genetische Daten, rassische oder ethnische Herkunft, religiöse Überzeugung, politische Meinung, Gewerkschaftszugehörigkeit, Sexualleben. Ihre Verarbeitung folgt strengeren Regeln. Ärztliche Atteste von Mitarbeitern etwa sind sensible Daten — und viele Unternehmen bewahren sie in freigegebenen Ordnern ohne Kontrollen auf.

Was fast alle falsch verstehen: Einwilligung ist nicht die Regel

Ein verbreiteter Mythos ist, dass jede Verarbeitung eine Einwilligung erfordert. Art. 7 nennt zehn Rechtsgrundlagen für gewöhnliche personenbezogene Daten. Die Einwilligung ist eine davon, kann widerrufen werden und ist keine Universallösung. Sensible Daten erfordern eine eigene Prüfung nach Art. 11.

• Erfüllung einer rechtlichen Pflicht: gesetzlich vorgeschriebene Arbeits- und Steuerunterlagen führen.
• Vertragserfüllung: die Adresse des Kunden nutzen, um das bestellte Produkt zu liefern.
• Berechtigtes Interesse: Betrugsprävention, Sicherheit, einige Beziehungsaktivitäten — erfordert eine Interessenabwägung und Transparenz.
• Ausübung von Rechten in gerichtlichen, Verwaltungs- oder Schiedsverfahren.
• Kreditschutz, neben anderen gesetzlichen Grundlagen.

Die richtige Lesart ist diese: Einwilligung zu verlangen, wo bereits eine rechtliche Pflicht oder Vertragserfüllung greift, schützt das Unternehmen nicht — sie behindert es. Die eigentliche Arbeit ist, die richtige Rechtsgrundlage für jede Verarbeitung zu wählen und zu dokumentieren.

Was das Unternehmen wirklich braucht

• Datenkartierung: welche Daten erhoben werden, von wem, warum, wo sie liegen, wer darauf zugreift und wie lange sie aufbewahrt werden.
• Verzeichnis der Verarbeitungstätigkeiten (Art. 37): Dokumentation der Verarbeitung, die bei einer Prüfung verlangt werden kann.
• Eine festgelegte Rechtsgrundlage für jede Tätigkeit, mit dokumentierter Begründung.
• Eine klare, wahrheitsgemäße Datenschutzerklärung (die beschreibt, was das Unternehmen tatsächlich tut).
• Angepasste Verträge mit Dienstleistern, die Daten für Sie verarbeiten — Systeme, Buchhaltung, Marketing, Cloud — mit Rollen und Verantwortlichkeiten.
• Verhältnismäßige Sicherheitskontrollen: Passwörter, Zugriffsprofile, Backups, Verschlüsselung wo angemessen.
• Einen Betroffenen-Kanal und ein Verfahren für Auskunfts-, Berichtigungs- und Löschungsanfragen.
• Einen Vorfallreaktionsplan, der festlegt, wer an wen und in welcher Zeit eskaliert.
• Einen Datenschutzbeauftragten (encarregado/DPO), wo erforderlich. ANPD-Resolution 2/2022 erlaubt eine Befreiung für berechtigte kleine Einrichtungen, die ihre Bedingungen erfüllen — nicht für jedes kleine Unternehmen. Befreite Einrichtungen müssen einen Betroffenen-Kommunikationskanal behalten.

Datenpanne: was in den ersten Stunden zu tun ist

Vorfälle können aus Angriffen oder menschlichem Fehler entstehen, etwa offen sichtbare E-Mail-Empfänger. Kann ein Vorfall relevantes Risiko oder Schaden für Betroffene verursachen, muss der Verantwortliche die ANPD und die betroffenen Personen benachrichtigen. Die allgemeine Regel der ANPD-Resolution 15/2024 sind drei Werktage ab der Kenntnis, dass personenbezogene Daten betroffen waren, vorbehaltlich besonderer gesetzlicher Fristen und eines anwendbaren differenzierten Regimes. Warten Sie nicht auf das Ende der gesamten Untersuchung, bevor Sie die Meldung bewerten.

Begrenzen Sie den Vorfall, protokollieren Sie, was wann geschah, identifizieren Sie betroffene Daten und Personen, bewerten Sie das Risiko und melden Sie, wenn erforderlich. Transparentes, dokumentiertes Handeln hilft, das Risiko zu managen, beseitigt aber nicht automatisch die Haftung.

Sanktionen: was die ANPD verhängen kann

• Verwarnung, mit Frist zur Abhilfe.
• Eine einfache Geldbuße bis zu 2% des brasilianischen Umsatzes der privaten juristischen Person, des Konzerns oder der Unternehmensgruppe im vorherigen Geschäftsjahr, ohne Steuern, begrenzt auf R$ 50 Mio. pro Verstoß.
• Tagesbuße, derselben Obergrenze unterworfen.
• Öffentlichmachung des Verstoßes — oft die schmerzhafteste Wirkung.
• Sperrung oder Löschung der betroffenen Daten.
• Aussetzung oder Verbot der Verarbeitungstätigkeiten unter den gesetzlichen Bedingungen; dies sind keine automatischen Sanktionen.

Über ANPD-Verfahren hinaus kann es zivilrechtliche Schadenshaftung, vertragliche Anforderungen von Kunden und Maßnahmen von Staatsanwaltschaft oder Verbraucherschutzbehörden geben. Compliance-Lücken können Geschäftschancen erschweren, ohne automatisch jeden Vertrag zu beenden.

Wo anfangen, ohne zu viel auszugeben

Kluge Compliance ist risikoverhältnismäßig. Ein Unternehmen, das sensible Daten im großen Stil verarbeitet, ist nicht mit einem Zehn-Personen-Büro mit Kundenliste vergleichbar. Eine realistische Roadmap:

• 1) Verarbeitungstätigkeiten kartieren (eine ehrliche Tabelle reicht für den Anfang).
• 2) Die Rechtsgrundlage jeder Tätigkeit festlegen und unnötige Erhebung beseitigen — Daten, die Sie nicht erheben, sind ein Risiko, das Sie nicht tragen.
• 3) Dienstleisterverträge anpassen und interne Zugriffe überprüfen.
• 4) Eine wahrheitsgemäße Datenschutzerklärung veröffentlichen und den Betroffenen-Kanal einrichten.
• 5) Den Vorfallplan schreiben und testen und Mitarbeiter schulen, einschließlich Prävention und Reaktion auf menschliches Versagen.

Hypothetisches Beispiel: Compliance, um Kundenanforderungen zu erfüllen

Stellen Sie sich ein Dienstleistungsunternehmen mit 40 Mitarbeitern vor, das den Lieferanten-Zulassungsprozess eines Großkunden durchläuft. Der Kunde verlangt Datenschutzklauseln und Compliance-Nachweise. Die Verarbeitung ist nicht kartiert, Lebensläufe liegen in einem offenen Ordner und der Vertrag des HR-Systems behandelt Daten nicht.

Ein Korrekturplan könnte Kartierung, beschränkten Zugriff, Nachträge mit drei Dienstleistern, eine Datenschutzerklärung und einen Vorfallplan umfassen. Er identifiziert auch Lebensläufe von 2015, die nicht mehr aufbewahrt werden müssen. Diese Maßnahmen können helfen, den Vertrag zu erhalten, doch die Zulassung hängt von den Anforderungen des Kunden ab. Dies ist ein hypothetisches Beispiel, kein Kanzlei-Ergebnis oder Zeitzusage. Der Grund für Compliance ist nicht immer eine Buße: Es kann auch eine Geschäftsanforderung sein.

Häufige Fragen

Gilt die LGPD für kleine Unternehmen?

Ja. Geringe Größe begründet keine allgemeine Befreiung. ANPD-Resolution 2/2022 erlaubt Vereinfachungen für Einrichtungen, die ihre Bedingungen erfüllen und außerhalb der Ausschlüsse liegen, einschließlich risikoreicher Verarbeitung. Rechtsgrundlagen, Sicherheit und Betroffenen-Beistand bleiben nötig; eine Befreiung von der DPO-Benennung beseitigt den Kommunikationskanal nicht.

Brauche ich für alles eine Einwilligung?

Nein. Die Einwilligung ist eine der zehn Grundlagen des Art. 7 für gewöhnliche Daten; rechtliche Pflichten, Vertragserfüllung und begründete berechtigte Interessen sind Alternativen. Die Wahl hängt von Zweck und Datenart ab, nicht von wahllosem Einwilligungssammeln. Sensible Daten erfordern die spezifischen Grundlagen des Art. 11.

Welche LGPD-Bußen gibt es?

Die LGPD sieht Verwarnungen, einfache Bußen bis zu 2% des brasilianischen Umsatzes der privaten juristischen Person, des Konzerns oder der Unternehmensgruppe im vorherigen Geschäftsjahr, ohne Steuern, begrenzt auf R$ 50 Mio. pro Verstoß, Tagesbußen, Öffentlichmachung, Sperrung oder Löschung sowie Aussetzung oder Verbot unter gesetzlichen Bedingungen vor. Zivil-, vertrags- und reputationsrechtliche Folgen können hinzukommen.

Wir hatten eine Datenpanne. Müssen wir die ANPD benachrichtigen?

Der Verantwortliche muss die ANPD und betroffene Personen benachrichtigen, wenn relevantes Risiko oder Schaden entstehen kann. ANPD-Resolution 15/2024 verlangt im Allgemeinen die Meldung innerhalb von drei Werktagen ab der Kenntnis, dass personenbezogene Daten betroffen waren, vorbehaltlich besonderer Fristen und eines anwendbaren differenzierten Regimes. Begrenzen, protokollieren, Risiko bewerten und Handeln dokumentieren. Warten Sie nicht auf die gesamte Untersuchung, bevor Sie die Meldung bewerten.

Wo sollten wir mit LGPD-Compliance beginnen?

Beginnen Sie mit der Kartierung: welche Daten das Unternehmen erhebt, von wem, warum, wo sie liegen, wer darauf zugreift und wie lange. Dann die Rechtsgrundlage jeder Tätigkeit festlegen und unnötige Erhebung beseitigen — Daten, die Sie nicht erheben, sind ein Risiko, das Sie nicht tragen. Als Nächstes Verträge mit Dienstleistern anpassen, die Daten für Sie verarbeiten, eine wahrheitsgemäße Datenschutzerklärung veröffentlichen, den Betroffenen-Kanal einrichten und einen Vorfallreaktionsplan schreiben.