Gilt die LGPD für uns? Anwendungsbereich, Ausnahmen, Rollen, Konzernsicht und kleine Verarbeiter für deutsche Unternehmen mit Brasilienbezug

Problem in der Praxis

Das erste Muster ist die Prüfung über die Gesellschaftsliste: "Unsere brasilianische Tochter wendet die LGPD an, die Mutter nicht." Art. 3 knüpft aber nicht an den Sitz an, sondern an Ort der Verarbeitung, Zielmarkt und Ort der Erhebung. Die deutsche Mutter, die einen Webshop für Kunden in Brasilien betreibt oder die in Brasilien erhobenen Personaldaten der Tochter in einem zentralen System selbst verarbeitet, kann unmittelbar erfasst sein.

Das zweite Muster ist der unbedachte Rückgriff auf die Ausnahme für Daten aus dem Ausland. Sie wird gern für Rechenzentren, Shared-Service-Center oder Entwicklungsteams in Brasilien in Anspruch genommen. Ihre Bedingungen sind aber eng: Schon die Weitergabe an einen weiteren Dienstleister in einem Drittland, etwa einen Supportpartner außerhalb Deutschlands, lässt sie entfallen, und die Frage, ob der brasilianische Dienstleister oder die brasilianische Gruppengesellschaft selbst ein brasilianischer Verarbeitungsakteur im Sinne der Ausnahme ist, beantwortet die Quelle nicht.

Das dritte Muster ist die DSGVO-Gewohnheit bei den Rollen: Einen gesetzlichen Mindestinhalt für Verträge mit dem operador gibt es in der LGPD nicht, wohl aber eine Haftung für verursachte Schäden, die unter anderem davon abhängt, ob der operador die rechtmäßigen Weisungen des controlador befolgt und die Datenschutzvorschriften eingehalten hat.

Das vierte Muster ist die Zustellung. Eine deutsche Gesellschaft rechnet mit Post an den Firmensitz in Deutschland, während die ANPD nach Art. 61 LGPD über die Verantwortlichen der brasilianischen Präsenz zustellen kann und nach ihrem Verfahrensregulamento elektronische Zustellungen nach zehn Werktagen als zugegangen gelten, auch wenn niemand sie geöffnet hat.

CISO-Einordnung

Die drei Anknüpfungspunkte des Art. 3 LGPD. Das Gesetz gilt für jede Verarbeitung durch natürliche Personen oder juristische Personen des öffentlichen oder privaten Rechts, unabhängig vom Medium, vom Land des Sitzes und vom Land, in dem die Daten liegen, sofern eine der folgenden Bedingungen erfüllt ist. Es genügt eine.

• Verarbeitung in Brasilien (Art. 3 I). Erfasst ist jeder Verarbeitungsvorgang im brasilianischen Hoheitsgebiet, also etwa die Personalverwaltung der brasilianischen Tochter oder ein Rechenzentrum in Brasilien. Für diesen Anknüpfungspunkt gilt die Ausnahme für Daten aus dem Ausland (Art. 3 § 2 in Verbindung mit Art. 4 IV, unten).
• Ausrichtung auf Personen in Brasilien (Art. 3 II). Erfasst ist die Verarbeitung, die dem Angebot oder der Lieferung von Waren oder Dienstleistungen dient oder die Daten von Personen betrifft, die sich in Brasilien befinden. Maßgeblich ist der Aufenthalt der Personen, nicht ihre Staatsangehörigkeit. Im Wortlaut steht der Bezug auf Personen im Inland am Ende der Aufzählung; die naheliegende Lesart bezieht ihn auch auf das Angebot von Waren und Dienstleistungen. Ein deutscher Onlinehändler, der nach Brasilien liefert, oder ein deutscher SaaS-Anbieter mit Nutzern in Brasilien fällt typischerweise hierunter.
• Erhebung in Brasilien (Art. 3 III). Erfasst ist die Verarbeitung von Daten, die in Brasilien erhoben wurden; nach Art. 3 § 1 gelten Daten als dort erhoben, wenn sich die betroffene Person zum Zeitpunkt der Erhebung dort befand. Nach dem Wortlaut kommt es auf den Ort der Person im Moment der Erhebung an, nicht auf den Standort des Systems. Daten, die bei einem Kunden- oder Mitarbeiterkontakt in Brasilien erhoben und danach in Deutschland verarbeitet werden, bleiben nach diesem Merkmal erfasst.

Für den CISO folgt daraus eine Inventarfrage, keine abstrakte Rechtsfrage: Welche Verarbeitungen finden in Brasilien statt, welche richten sich an Personen dort, und welche Daten wurden dort erhoben? Die Antwort steht im Verzeichnis und in der Datenflusskarte, wenn beide den Erhebungsort führen.

Die Ausnahmen des Art. 4 LGPD. Die LGPD gilt nicht für vier Fallgruppen.

1. Verarbeitung durch eine natürliche Person zu ausschließlich privaten und nicht wirtschaftlichen Zwecken (Art. 4 I).
2. Verarbeitung zu ausschließlich journalistischen und künstlerischen oder ausschließlich akademischen Zwecken (Art. 4 II); für akademische Zwecke gelten Art. 7 und 11 LGPD trotzdem.
3. Verarbeitung zu ausschließlichen Zwecken der öffentlichen Sicherheit, der Landesverteidigung, der Staatssicherheit oder der Ermittlung und Verfolgung von Straftaten (Art. 4 III). Sie unterliegt Spezialgesetzen, die verhältnismäßige und unbedingt erforderliche Maßnahmen vorsehen und das rechtsstaatliche Verfahren, die allgemeinen Datenschutzgrundsätze und die Betroffenenrechte der LGPD beachten müssen (Art. 4 § 1). Privaten ist sie grundsätzlich untersagt, außer in Verfahren unter der Leitung einer juristischen Person des öffentlichen Rechts mit gesonderter Meldung an die ANPD (Art. 4 § 2), und den gesamten Datenbestand darf keine private Person verarbeiten, außer einer, deren Kapital vollständig in öffentlicher Hand liegt (Art. 4 § 4). Die ANPD gibt zu diesen Ausnahmen fachliche Stellungnahmen oder Empfehlungen ab und muss von den Verantwortlichen Berichte zur Folgenabschätzung verlangen (Art. 4 § 3). Die Ausnahme hebt diese Anforderungen also nicht auf. Unternehmenssicherheit, Werkschutz oder Betrugsprävention nennt die Ausnahme nicht.
4. Daten aus dem Ausland (Art. 4 IV), dazu sogleich.

Die Wörter "ausschließlich" in den ersten drei Fallgruppen sind ernst zu nehmen: Eine Verarbeitung, die neben dem privilegierten Zweck auch einem anderen dient, ist nach dem Wortlaut nicht ausgenommen.

Die Ausnahme für Daten aus dem Ausland, genau gelesen. Nach Art. 4 IV gilt die LGPD nicht für Daten, die von außerhalb Brasiliens stammen, wenn drei Bedingungen zugleich erfüllt sind: Die Daten sind nicht Gegenstand einer Übermittlung oder gemeinsamen Nutzung mit brasilianischen Verarbeitungsakteuren (comunicação, uso compartilhado com agentes de tratamento brasileiros); sie werden nicht in ein anderes Land als das Herkunftsland übermittelt; und das Herkunftsland bietet ein der LGPD angemessenes Schutzniveau. Art. 3 § 2 ordnet diese Ausnahme dem Anknüpfungspunkt "Verarbeitung in Brasilien" zu. Gedacht ist sie also für den Fall, dass Brasilien nur der Ort der Verarbeitung ist.

Drei Fragen bleiben dabei offen, und sie sind genau die, die deutsche Gruppen betreffen:

• Ist der brasilianische Dienstleister selbst ein brasilianischer Verarbeitungsakteur? Ein Servicecenter einer brasilianischen Gruppengesellschaft oder ein brasilianischer Rechenzentrumsbetreiber ist eine Person, die in Brasilien Daten verarbeitet. Ob die Übergabe der Daten an ihn als "Übermittlung oder gemeinsame Nutzung mit brasilianischen Verarbeitungsakteuren" die Ausnahme ausschließt, sagt die Quelle nicht. Wer sich auf die Ausnahme stützen will, braucht dazu eine brasilianische Rechtsmeinung.
• Reicht die Anerkennung der EU als angemessen? Res. CD/ANPD 32/2026 erkennt die Europäische Union als angemessen an, und zwar ausdrücklich für Zwecke der internationalen Übermittlung nach Art. 33 I LGPD. Ob die ANPD dieselbe Einschätzung als Maßstab für das angemessene Schutzniveau des Herkunftslands in Art. 4 IV verwendet, regelt die Resolução nicht. Für Daten aus Deutschland liegt die Annahme nahe, sie ist aber nicht belegt.
• Was gilt bei Weitergabe in ein Drittland? Sobald die Daten aus Brasilien an einen Ort außerhalb des Herkunftslands gehen, etwa an einen Supportdienstleister in einem dritten Staat, entfällt die Ausnahme nach dem Wortlaut. Für eine Datenflusskette mit mehreren Ländern ist sie deshalb selten belastbar.

Die Rollen nach Art. 5 und 37 bis 40 LGPD. Controlador ist, wem die Entscheidungen über die Verarbeitung zustehen (Art. 5 VI); operador ist, wer die Verarbeitung im Auftrag des controlador durchführt (Art. 5 VII); beide zusammen sind die agentes de tratamento, die Verarbeitungsakteure (Art. 5 IX). Den encarregado benennen nach der Begriffsbestimmung controlador und operador (Art. 5 VIII); verpflichtet ist nach Art. 41 der controlador, für operadores ist die Benennung nach Res. CD/ANPD 18/2024 freiwillig (Einzelheiten in lgpd-004).

Die Pflichten, die an die Rolle anknüpfen, sind im Gesetz knapp: Beide Rollen führen ein Verzeichnis der Verarbeitungsvorgänge, besonders bei Verarbeitung auf Grundlage des berechtigten Interesses (Art. 37). Die ANPD kann vom controlador einen Bericht zur Folgenabschätzung für den Datenschutz (relatório de impacto, RIPD) verlangen (Art. 38). Der operador verarbeitet nach den Weisungen des controlador, und der controlador prüft sowohl die Einhaltung seiner eigenen Weisungen als auch die Einhaltung der einschlägigen Vorschriften (Art. 39). Die ANPD kann Standards zu Interoperabilität und zur Aufbewahrungsdauer der Verzeichnisse festlegen (Art. 40).

Was das Gesetz nicht enthält, ist ebenso wichtig. Die LGPD definiert keine gemeinsame Verantwortlichkeit als eigene Rolle und schreibt keinen Mindestinhalt eines Vertrags zwischen controlador und operador vor. Die Rollengrenze wird stattdessen über die Haftung gezogen: Ein operador, der gegen die Datenschutzvorschriften verstößt oder die rechtmäßigen Weisungen des controlador nicht befolgt, haftet gesamtschuldnerisch für die durch die Verarbeitung verursachten Schäden und wird dem controlador gleichgestellt; controladores, die an der schädigenden Verarbeitung unmittelbar beteiligt sind, haften ebenfalls gesamtschuldnerisch, jeweils vorbehaltlich der Entlastungsgründe des Art. 43 (Art. 42 § 1 LGPD; Einzelheiten in lgpd-007). Die Entlastung nach Art. 43 muss der Verarbeitungsakteur nachweisen. Welche Beweismittel dafür genügen, regelt die Quelle nicht; dokumentierte Weisungen sind aber der naheliegende praktische Beleg dafür, wo die Grenze verläuft, und wer sie nicht dokumentiert, macht sich diesen Nachweis unnötig schwer.

Konzernsicht: deutsche Mutter, brasilianische Tochter. Die LGPD nennt die Unternehmensgruppe nur an zwei Stellen, beide bei den Sanktionen: Die Obergrenze der einfachen Geldbuße bemisst sich am Umsatz der juristischen Person des Privatrechts, der Gruppe oder des Konglomerats in Brasilien im letzten Geschäftsjahr, ohne Steuern (Art. 52 II), und die ANPD kann den Gesamtumsatz des Unternehmens oder der Gruppe heranziehen, wenn ihr der Umsatz des betroffenen Geschäftszweigs nicht verlässlich vorliegt (Art. 52 § 4). Ein Konzernprivileg für den Datenaustausch enthält die LGPD nicht. Daraus folgen vier Punkte.

1. Rollen je Gesellschaft und je Zweck. Die Rolle hängt daran, wer entscheidet, nicht am Konzernorganigramm. Die deutsche Mutter kann für ein zentral vorgegebenes System controlador sein, für eine Lohnabrechnung im Auftrag der Tochter operador, und die Tochter umgekehrt. Die Zuordnung ist je Verarbeitung zu treffen und zu dokumentieren.
2. Weitergabe in der Gruppe ist Verarbeitung. Verarbeitung umfasst nach Art. 5 X unter anderem Übermittlung, Weitergabe und Transfer. Jede Weitergabe zwischen Gruppengesellschaften braucht deshalb eine Rechtsgrundlage nach Art. 7 oder 11 LGPD (lgpd-003).
3. Weitergabe von Brasilien nach Deutschland ist internationale Übermittlung. Sie ist nur über einen Mechanismus des Art. 33 LGPD zulässig (Art. 5 XV). Seit Res. CD/ANPD 32/2026 steht dafür die Anerkennung der EU als angemessen zur Verfügung, außer für Übermittlungen ausschließlich zu Zwecken der öffentlichen Sicherheit, Landesverteidigung, Staatssicherheit oder Strafverfolgung (Art. 2 dieser Resolução); andere Mechanismen bleiben nach Art. 5 dieser Resolução möglich (Einzelheiten in lgpd-006).
4. Die Mutter kann selbst erfasst sein. Verarbeitet sie in Brasilien erhobene Daten oder richtet sie sich selbst an Personen in Brasilien, gilt die LGPD über Art. 3 II oder III unmittelbar für sie, unabhängig davon, dass die Tochter ebenfalls erfasst ist.

Zustellung an ausländische Unternehmen nach Art. 61 LGPD. Ein ausländisches Unternehmen wird über alle Verfahrensakte nach der LGPD in der Person des Bevollmächtigten oder Vertreters oder der Person benachrichtigt und geladen, die für seine Filiale, Agentur, Zweigstelle, Niederlassung oder sein Büro in Brasilien verantwortlich ist, und zwar unabhängig von einer Vollmacht oder einer vertraglichen oder satzungsmäßigen Regelung. Zwei Punkte sind offen und für Konzerne erheblich. Erstens definiert die Quelle nicht, ob eine rechtlich selbständige Tochtergesellschaft unter die dort genannten Präsenzformen fällt; das klärt brasilianische Rechtsberatung. Zweitens lässt Art. 61 offen, wie zugestellt wird, wenn keine Präsenz besteht. Das Verfahrensregulamento der ANPD (Res. CD/ANPD 1/2021) nennt als Zustellungsweg unter anderem Mechanismen der internationalen Zusammenarbeit (Art. 12 VII des Regulamento); ohne Präsenz in Brasilien ist ein Unternehmen also nicht unerreichbar.

Für die Fristen ist das Verfahrensregulamento entscheidend: Die Fristen des Regulamento laufen ab der amtlichen Kenntnisnahme und werden in Werktagen gezählt (Art. 8 des Regulamento). Eine elektronische Zustellung gilt am Tag des Abrufs als bekannt gegeben, ohne Abruf zehn Werktage nach Versand (Art. 12 I); wer sich im Verfahren erstmals äußert, muss eine gültige E-Mail-Adresse angeben (Art. 12 § 2). Scheitert die Postzustellung oder ist die Anschrift unbekannt, wird durch Bekanntmachung im Diário Oficial da União zugestellt (Art. 12 § 1), die mit ihrer Veröffentlichung als bekannt gegeben gilt (Art. 12 V). Wer die Zustellungswege nicht überwacht, kann Fristen verlieren, ohne von ihnen zu wissen.

Kleine Verarbeiter nach Res. CD/ANPD 2/2022. Die ANPD hat gestützt auf Art. 55-J XVIII LGPD ein Regulamento für agentes de tratamento de pequeno porte erlassen, geändert durch Res. CD/ANPD 15/2024. Erfasst sind nach Art. 2 I des Regulamento Kleinst- und Kleinunternehmen, Startups, juristische Personen des Privatrechts einschließlich gemeinnütziger, sowie natürliche Personen und private Einrichtungen ohne Rechtspersönlichkeit, die als controlador oder operador Daten verarbeiten; Kleinst- und Kleinunternehmen und Startups werden über die Lei Complementar 123/2006 und die Lei Complementar 182/2021 bestimmt. Nach Art. 1 des Regulamento gilt es nicht für die nach Art. 4 LGPD ausgenommenen Fälle.

Von den Erleichterungen ausgeschlossen ist nach Art. 3 des Regulamento, wer

• eine Verarbeitung mit hohem Risiko durchführt (mit einer Rückausnahme für die freiwillige Organisation zur Streitbeilegung nach Art. 8),
• einen Bruttoumsatz über der Grenze des Art. 3 II LC 123/2006 erzielt, bei Startups über der Grenze des Art. 4 § 1 I LC 182/2021, oder
• einer wirtschaftlichen Gruppe im tatsächlichen oder rechtlichen Sinn angehört, deren globaler Umsatz diese Grenzen überschreitet.

Die Beträge dieser Grenzen stehen in den beiden Ergänzungsgesetzen, die im Quellensatz nicht vorliegen; dieser Track nennt sie deshalb nicht. Für deutsche Gruppen ist der dritte Ausschlussgrund entscheidend: Maßgeblich ist der globale Umsatz der Gruppe, nicht der Umsatz der brasilianischen Gesellschaft.

Hohes Risiko liegt nach Art. 4 des Regulamento vor, wenn mindestens ein allgemeines und mindestens ein besonderes Kriterium erfüllt sind. Allgemeine Kriterien sind Verarbeitung in großem Umfang oder eine Verarbeitung, die Interessen und Grundrechte der Betroffenen erheblich beeinträchtigen kann. Besondere Kriterien sind neue oder innovative Technologien, Überwachung öffentlich zugänglicher Bereiche, ausschließlich automatisierte Entscheidungen einschließlich Profilbildung sowie sensible Daten oder Daten von Kindern, Jugendlichen und älteren Menschen.

Wer die Erleichterungen nutzen darf, ist unter anderem nicht zur Benennung eines encarregado verpflichtet, muss dann aber einen Kommunikationskanal für Betroffene bereitstellen (Art. 11), kann das Verzeichnis vereinfacht führen (Art. 9) und eine vereinfachte Sicherheitsrichtlinie aufstellen (Art. 13) und erhält doppelte Fristen nach Art. 14: für Anfragen Betroffener nach Art. 18 §§ 3 und 5 LGPD nach Maßgabe besonderer Regulierung, für die Vorfallmeldung nach Maßgabe der Res. CD/ANPD 15/2024, für die vollständige Auskunft nach Art. 19 II LGPD und für Informations- und Dokumentenverlangen der ANPD nach deren eigenen Regeln. Die vereinfachte Auskunft nach Art. 19 I LGPD, die sonst sofort zu erteilen ist, dürfen sie binnen bis zu fünfzehn Tagen erteilen (Art. 15). Eine allgemeine Verdoppelung aller Fristen enthält das Regulamento nicht; nicht geregelte Fristen bestimmt besondere Regulierung (Art. 14 einziger Absatz). Drei Vorbehalte gehören immer dazu: Die Erleichterungen befreien nicht vom Rest der LGPD, insbesondere nicht von Rechtsgrundlagen, Grundsätzen und Betroffenenrechten (Art. 6); auf Verlangen der ANPD ist die Einordnung binnen fünfzehn Tagen nachzuweisen (Art. 5); und die ANPD kann im Einzelfall die Erfüllung der erlassenen oder gelockerten Pflichten anordnen, etwa mit Blick auf Art und Umfang der Verarbeitung und die Risiken für Betroffene (Art. 16).

Umsetzungsperspektive

1. Anknüpfungspunkte je Verarbeitung erheben. Im Verzeichnis für jede Verarbeitung festhalten, ob sie in Brasilien stattfindet, sich an Personen in Brasilien richtet oder in Brasilien erhobene Daten betrifft.
2. Die Ausnahme für Daten aus dem Ausland nur mit Prüfvermerk nutzen. Alle drei Bedingungen einzeln belegen, die Weitergabekette vollständig erfassen und die offene Frage zur Rolle brasilianischer Dienstleister mit lokaler Rechtsmeinung klären.
3. Rollen je Gesellschaft und Zweck dokumentieren. Für jede gruppeninterne Verarbeitung festhalten, wer controlador und wer operador ist, und die Weisungen schriftlich führen.
4. Gruppeninterne Datenflüsse aus Brasilien als internationale Übermittlung behandeln und den Mechanismus nach Art. 33 LGPD je Fluss benennen (lgpd-006).
5. Zustellungswege einrichten. Die verantwortliche Person der brasilianischen Präsenz über Art. 61 LGPD unterrichten, eine Eskalation an die deutsche Rechtsabteilung festlegen und elektronische Postfächer der ANPD-Kommunikation täglich überwachen.
6. Die Einordnung als kleiner Verarbeiter nicht unterstellen. Für eine brasilianische Tochter zuerst den globalen Gruppenumsatz gegen die Grenzen der Ergänzungsgesetze prüfen und dann das Hochrisikokriterium; das Ergebnis mit Nachweisen ablegen, damit es binnen fünfzehn Tagen vorgelegt werden kann.

Typische Fehler

1. Die Anwendbarkeit wird nur für die brasilianische Gesellschaft geprüft, obwohl die deutsche Mutter über Art. 3 II oder III unmittelbar erfasst sein kann.
2. Die Ausnahme für Daten aus dem Ausland wird für ein brasilianisches Servicecenter beansprucht, ohne die Weitergabe an Drittländer und die Rolle des brasilianischen Dienstleisters zu prüfen.
3. Die Anerkennung der EU nach Res. CD/ANPD 32/2026 wird ungeprüft als Nachweis des angemessenen Schutzniveaus für Art. 4 IV verwendet.
4. Gruppeninterne Weitergaben werden ohne Rechtsgrundlage und ohne Übermittlungsmechanismus durchgeführt, weil ein Konzernprivileg unterstellt wird.
5. Weisungen an den operador werden nicht dokumentiert; die Haftungsgrenze des Art. 42 § 1 und eine Entlastung nach Art. 43 lassen sich dann nur schwer belegen.
6. Die brasilianische Tochter beansprucht die Erleichterungen für kleine Verarbeiter, obwohl ihr eigener Umsatz oder der globale Gruppenumsatz die Grenze überschreitet oder eine Hochrisikoverarbeitung vorliegt; offen bleibt bei Hochrisiko nur die freiwillige Organisation zur Streitbeilegung nach Art. 8 des Regulamento.
7. Elektronische Zustellungen der ANPD werden nicht überwacht, sodass Fristen nach zehn Werktagen zu laufen beginnen, ohne dass jemand davon weiß.
8. Die Ausnahme für öffentliche Sicherheit wird auf Werkschutz oder Betrugsprävention gestützt, obwohl sie nur ausschließlich hoheitliche Zwecke nennt.

Risiken und Trade-offs

Der zentrale Trade-off liegt bei der Ausnahme für Daten aus dem Ausland. Sie verspricht, ein brasilianisches Servicecenter aus der LGPD herauszuhalten, steht aber auf drei Bedingungen, von denen eine im Wortlaut offen ist und eine zweite bei jeder neuen Weitergabe kippen kann. Wer sich auf sie stützt, spart Aufwand und trägt das Risiko, dass sie im Konfliktfall nicht trägt; wer sie nicht nutzt, wendet die LGPD vorsorglich an und hat dafür Rechtssicherheit. Für die meisten Konzerne ist die vorsorgliche Anwendung der billigere Weg, weil die Tochter ohnehin erfasst ist.

Bei den Rollen steht Einfachheit gegen Genauigkeit. Eine pauschale Erklärung "die Mutter ist für alles controlador" ist einfach, verlagert aber die Haftung und widerspricht oft der tatsächlichen Entscheidungslage. Eine Rollenmatrix je Verarbeitung ist aufwendiger, aber in der Praxis die verlässlichste Grundlage, um die Haftungsgrenze des Art. 42 und eine Entlastung nach Art. 43 zu belegen; ein gesetzlich vorgeschriebenes Beweismittel ist sie nicht.

Bei kleinen Verarbeitern steht Entlastung gegen Nachweislast: Die Erleichterungen hängen an Grenzen aus anderen Gesetzen, die ANPD kann sie entziehen, und die Einordnung muss binnen fünfzehn Tagen belegbar sein.

Entscheidungspunkte

• Welche Gesellschaften der Gruppe sind über welchen Anknüpfungspunkt des Art. 3 LGPD erfasst, und wer verantwortet diese Feststellung?
• Stützen wir uns für Verarbeitungen in Brasilien auf die Ausnahme für Daten aus dem Ausland, und haben wir dafür eine brasilianische Rechtsmeinung?
• Wer ist für welche gruppeninterne Verarbeitung controlador und wer operador, und wie dokumentieren wir die Weisungen?
• Über welche Person und welches Postfach kann die ANPD uns erreichen, und wer eskaliert an wen?
• Nimmt eine brasilianische Gesellschaft die Erleichterungen für kleine Verarbeiter in Anspruch, und ist die Gruppenumsatzprüfung dafür belegt?

Praktische Empfehlungen

• Den Erhebungsort als Pflichtfeld im Verzeichnis führen; er entscheidet über Art. 3 III.
• Die Ausnahme nach Art. 4 IV nur mit dokumentierter Prüfung aller drei Bedingungen und mit lokaler Rechtsmeinung in Anspruch nehmen.
• Weisungen an operadores schriftlich festhalten, auch innerhalb der Gruppe.
• Bei Grenzfällen, insbesondere zur Ausnahme für Daten aus dem Ausland, zum Begriff der Filiale in Art. 61 und zur Einordnung als kleiner Verarbeiter, brasilianische Rechtsberatung einholen.

Relevante Normreferenzen

• LGPD (Lei 13.709/2018, kompilierte Fassung des Planalto): Art. 3 I bis III und §§ 1, 2 (Anknüpfungspunkte, Erhebungsort, Zuordnung der Ausnahme), Art. 4 I bis IV und §§ 1 bis 4 (Ausnahmen), Art. 5 VI bis IX, X, XV (controlador, operador, encarregado, Verarbeitungsakteure, Verarbeitung, internationale Übermittlung), Art. 37 bis 40 (Verzeichnis, RIPD auf Anordnung, Weisungsbindung, Standards), Art. 41 (Benennungspflicht des controlador, vertieft in lgpd-004), Art. 42 § 1 und Art. 43 (gesamtschuldnerische Haftung und Entlastung, vertieft in lgpd-007), Art. 52 II und § 4 (Gruppenumsatz bei der Geldbuße), Art. 55-J XVIII (Ermächtigung für kleine Verarbeiter), Art. 61 (Zustellung an ausländische Unternehmen).
• Res. CD/ANPD 2/2022 in der durch Res. CD/ANPD 15/2024 geänderten Fassung: Art. 1 bis 6, 9, 11, 13, 14, 16 des Regulamento.
• Res. CD/ANPD 1/2021: Art. 8 und 12 des Regulamento (Fristberechnung, Zeitpunkt der Kenntnisnahme, Zustellungswege).
• Res. CD/ANPD 18/2024: Art. 6 (freiwillige Benennung durch operadores).
• Res. CD/ANPD 32/2026: Art. 1 und 5 (Anerkennung der EU, andere Mechanismen bleiben möglich).
• Nicht im Quellensatz und deshalb nicht ausgewertet: Lei Complementar 123/2006 und Lei Complementar 182/2021 (Umsatzgrenzen für Kleinunternehmen und Startups).
• Abgrenzung: Ob die DSGVO auf das deutsche Unternehmen anwendbar ist und wie Übermittlungen aus der EU nach Brasilien zu beurteilen sind, behandelt der dsgvo-Track (dsgvo-005); hier steht nur, wann die LGPD gilt. Überblick und Regelungsarchitektur in lgpd-001, encarregado und Governance in lgpd-004, internationale Übermittlung in lgpd-006, Haftung und Sanktionen in lgpd-007.