LGPD: Encarregado, Verarbeitungsverzeichnis, Folgenabschätzung, Sicherheit und Governance-Programm

Problem in der Praxis

Das häufigste Muster in deutschen Konzernen ist die stillschweigende Gleichsetzung des Encarregado mit dem Datenschutzbeauftragten der Muttergesellschaft. Das kann funktionieren, scheitert aber oft an zwei Stellen, die in der Res. CD/ANPD 18/2024 ausdrücklich stehen: an der Kommunikationsfähigkeit auf Portugiesisch und an der Veröffentlichung auf der Website des brasilianischen Verantwortlichen. Hinzu kommt, dass das formale Benennungsdokument fehlt, weil der Konzernablauf für die Bestellung es nicht vorsieht, und dass keine Vertretung für Abwesenheiten bestimmt ist.

Das zweite Muster ist der Interessenkonflikt. Ein Encarregado, der zugleich strategische Entscheidungen über die Verarbeitung trifft, etwa als Leiter IT, Marketing oder Personal, kann nach Art. 19 § 1 der Res. CD/ANPD 18/2024 in einen Interessenkonflikt geraten; ausgenommen sind Verarbeitungen, die zu seinen Encarregado-Aufgaben selbst gehören. Ob ein Konflikt vorliegt, prüft die ANPD im Einzelfall, und ein festgestellter Konflikt kann gegenüber dem Verarbeiter sanktioniert werden.

Das dritte Muster betrifft die Dokumentation. Wer RIPDs nur dort anlegt, wo der Konzern nach seinem europäischen Verfahren eine Folgenabschätzung erstellt (dessen Auslöser beurteilen sich aus EU-Sicht, siehe dsgvo-004), ist nicht vorbereitet, wenn die ANPD eine RIPD für eine Verarbeitung auf berechtigtem Interesse oder im Zusammenhang mit einem Sicherheitsvorfall anfordert. Und wer das Verzeichnis nur auf Ebene des Verantwortlichen führt, übersieht, dass Art. 37 LGPD auch den Auftragsverarbeiter verpflichtet.

CISO-Einordnung

Wer benennen muss. Art. 41 LGPD verpflichtet den Verantwortlichen. Für Auftragsverarbeiter ist die Benennung nach Art. 6 Res. CD/ANPD 18/2024 freiwillig und gilt, wenn die Regeln der Resolução eingehalten sind, als Politik guter Governance im Sinne von Art. 52 § 1 Inciso IX LGPD und Art. 13 Inciso II der Res. CD/ANPD 4/2023. Öffentliche Stellen haben eigene Regeln (Art. 5 Res. CD/ANPD 18/2024), die hier nicht weiter behandelt werden. Seit der Lei 15.352/2026 nennt die Begriffsbestimmung in Art. 5 Inciso VIII LGPD die ANPD ausdrücklich als Agentur.

Wie benannt wird. Die Benennung erfolgt durch einen förmlichen Akt, also ein schriftliches, datiertes und unterzeichnetes Dokument, das die Absicht klar erkennen lässt und Arbeitsweise und Tätigkeiten beschreibt; es ist der ANPD auf Verlangen vorzulegen (Art. 3 Res. CD/ANPD 18/2024). Für Abwesenheit, Verhinderung und Vakanz ist ein förmlich bestimmter Vertreter vorzusehen, und diese Situationen dürfen weder die Rechte der Betroffenen noch die Kommunikation mit der ANPD behindern (Art. 4). Die erforderlichen Qualifikationen legt der Verarbeiter selbst fest, gemessen an Kenntnissen im Datenschutzrecht sowie Kontext, Umfang und Risiko der Verarbeitungen (Art. 7). Eine Eintragung bei einer Stelle, eine Zertifizierung oder eine bestimmte Ausbildung ist nicht vorausgesetzt (Art. 14).

Wer es sein kann, und die Frage nach Sitz und Sprache. Der Encarregado kann eine natürliche Person aus der eigenen Organisation oder von außen oder eine juristische Person sein (Art. 12). Er muss in der Lage sein, mit Betroffenen und ANPD klar und präzise auf Portugiesisch zu kommunizieren (Art. 13). Eine Vorgabe, dass er in Brasilien sitzen oder wohnen muss, enthält weder Art. 41 LGPD noch die Res. CD/ANPD 18/2024. Er darf Funktionen bündeln und für mehrere Verarbeiter tätig sein, sofern er die Aufgaben je Verarbeiter vollständig erfüllen kann und kein Interessenkonflikt besteht (Art. 19). Für deutsche Konzerne heißt das: Ein zentraler oder externer Encarregado ist nach der Quelle möglich, wenn die Portugiesisch-Fähigkeit gesichert ist. Davon zu trennen ist die Zustellung: Nach Art. 61 LGPD werden ausländische Unternehmen über die Person zugestellt, die ihre Filiale, Agentur oder ihr Büro in Brasilien vertritt; dafür ist der Anwendungsartikel lgpd-002 zuständig.

Veröffentlichung. Identität und Kontaktdaten sind öffentlich, klar und objektiv bekanntzugeben (Art. 41 § 1 LGPD), nach Art. 9 Res. CD/ANPD 18/2024 an hervorgehobener, leicht zugänglicher Stelle der Website und aktuell zu halten (Art. 8). Mindestens anzugeben sind bei einer natürlichen Person der vollständige Name, bei einer juristischen Person Firma oder Geschäftsbezeichnung und der vollständige Name der verantwortlichen natürlichen Person, dazu Kontaktwege, über die Betroffene ihre Rechte ausüben und die ANPD Mitteilungen zustellen kann. Ohne Website ist jeder andere verfügbare Kommunikationsweg zulässig, besonders die üblichen Kanäle zu Betroffenen.

Aufgaben. Der Encarregado nimmt Beschwerden und Mitteilungen von Betroffenen entgegen, gibt Auskunft und veranlasst Maßnahmen, nimmt Mitteilungen der ANPD entgegen, schult Beschäftigte und Auftragnehmer und erfüllt weitere zugewiesene Aufgaben (Art. 41 § 2 LGPD, Art. 15 Res. CD/ANPD 18/2024). Bei Mitteilungen der ANPD leitet er intern weiter, berät den Verarbeiter und benennt ausdrücklich den Vertreter gegenüber der ANPD in Verwaltungsverfahren, wenn er diese Rolle nicht selbst übernimmt. Darüber hinaus berät er nach Art. 16 bei der Gestaltung zentraler Nachweise, unter anderem Vorfallregister und Vorfallmeldung, Verarbeitungsverzeichnis, Folgenabschätzung, Sicherheitsmaßnahmen, interne Richtlinien, Verträge, internationale Übermittlungen, Governance-Programm und datenschutzfreundliche Gestaltung von Produkten. Die Vorfallmeldung an die ANPD erfolgt nach Art. 6 § 5 Res. CD/ANPD 15/2024 durch den Verantwortlichen über den Encarregado, dann mit einem Nachweis seines Vertrags-, Arbeits- oder Dienstverhältnisses, oder über einen bestellten Vertreter, dann mit einer Vollmacht zur Vertretung gegenüber der ANPD. Dieser Nachweis ist zusammen mit der Meldung innerhalb der Meldefrist einzureichen (Art. 6 § 6); fehlt er, kann die ANPD den Vorfall in ihrem Untersuchungsverfahren aufgreifen (Art. 6 § 7). Das Benennungsdokument nur auf Verlangen bereitzuhalten genügt hier also nicht. Inhalt und Frist der Meldung nach Art. 48 LGPD behandelt lgpd-005.

Pflichten des Verarbeiters gegenüber dem Encarregado und die Verantwortungsfrage. Der Verarbeiter muss ihm Personal, Technik und Verwaltungsmittel bereitstellen, ihn bei strategischen Entscheidungen zur Verarbeitung hinzuziehen, technische Autonomie ohne unzulässige Einflussnahme gewährleisten, Betroffenen schnelle und wirksame Wege zu ihm eröffnen und ihm direkten Zugang zur höchsten Leitungsebene sichern (Art. 10 Res. CD/ANPD 18/2024). Die Konformität der Verarbeitung verantwortet der Verarbeiter (Art. 11); die Wahrnehmung der Aufgaben macht den Encarregado gegenüber der ANPD nicht dafür verantwortlich (Art. 17). Wie der Datenschutzbeauftragte des deutschen Unternehmens einzuordnen ist, beurteilt sich aus EU-Sicht, siehe dsgvo-001; ein Rechtsvergleich ist nicht Gegenstand dieses Artikels.

Interessenkonflikt. Konflikt ist jede Lage, die Objektivität und fachliches Urteil unangemessen beeinträchtigen kann (Art. 2 Inciso II). Er kann zwischen Aufgaben innerhalb eines Verarbeiters oder zwischen mehreren Encarregado-Mandaten entstehen (Art. 19 § 1 Inciso I) oder durch die Bündelung mit Aufgaben, die strategische Entscheidungen über die Verarbeitung beim Verantwortlichen umfassen; nur für diese Bündelung nimmt die Quelle Verarbeitungen aus, die den Encarregado-Aufgaben selbst innewohnen (Art. 19 § 1 Inciso II). Die Quelle sagt „kann“: Keine dieser Konstellationen ist automatisch ein Konflikt. Der Encarregado muss Konfliktlagen offenlegen (Art. 20); der Verarbeiter muss bei möglicher Konfliktlage die Person nicht benennen, Abhilfe schaffen oder sie ersetzen (Art. 21). Ob ein Konflikt vorliegt, prüft die ANPD im Einzelfall, und er kann zu Sanktionen gegen den Verarbeiter nach Art. 52 LGPD führen (Art. 19 § 2).

Kleine Verarbeiter. Agentes de tratamento de pequeno porte müssen nach Art. 11 Res. CD/ANPD 2/2022 keinen Encarregado benennen, aber einen Kommunikationskanal für Betroffene bereitstellen (so auch Art. 3 § 3 Res. CD/ANPD 18/2024); eine freiwillige Benennung gilt als gute Governance. Das Verzeichnis dürfen sie vereinfacht führen (Art. 9), und sie dürfen eine vereinfachte Sicherheitsrichtlinie aufstellen (Art. 13). Ausgeschlossen sind unter anderem Verarbeiter mit hohem Risiko und Unternehmen einer Gruppe, deren Gesamtumsatz die gesetzlichen Grenzen übersteigt (Art. 3); die ANPD kann die erlassenen Pflichten im Einzelfall wieder auferlegen (Art. 16). Die Einzelheiten der Einordnung stehen in lgpd-002. Für die Tochter eines großen Konzerns ist die Ausnahme deshalb häufig nicht erreichbar.

Verarbeitungsverzeichnis (Art. 37 LGPD). Verantwortlicher und Auftragsverarbeiter führen ein Verzeichnis der Verarbeitungen, die sie vornehmen, besonders wenn diese auf berechtigtem Interesse beruhen. Die LGPD gibt dafür keinen Mindestinhalt vor; Art. 40 erlaubt der ANPD Vorgaben etwa zur Aufbewahrungsdauer der Aufzeichnungen. Eine solche Vorgabe liegt im Quellensatz nicht vor, ebenso wenig das Muster für das vereinfachte Verzeichnis, das die ANPD kleinen Verarbeitern nach Art. 9 Res. CD/ANPD 2/2022 zur Verfügung stellt. Praktisch wichtig: Die ANPD kann nach Art. 8 Res. CD/ANPD 15/2024 bei einem Sicherheitsvorfall das Verzeichnis der betroffenen Verarbeitungen anfordern.

Folgenabschätzung (RIPD, Art. 38 LGPD). Die RIPD ist nach Art. 5 Inciso XVII die Dokumentation des Verantwortlichen über Verarbeitungen, die Risiken für bürgerliche Freiheiten und Grundrechte erzeugen können, samt Maßnahmen und Risikominderung. Nach Art. 38 kann die ANPD ihre Erstellung anordnen, auch für sensible Daten, nach Maßgabe einer Regulierung und unter Wahrung von Geschäftsgeheimnissen; der Mindestinhalt umfasst Datenarten, Methodik der Erhebung und der Sicherheitsgewährleistung sowie die Analyse der getroffenen Maßnahmen. Bei berechtigtem Interesse kann die ANPD sie nach Art. 10 § 3 anfordern, und bei einem Vorfall nach Art. 8 Res. CD/ANPD 15/2024. Eine Regulierung, die eine allgemeine Pflicht mit eigenem Auslöser festlegt, liegt im Quellensatz nicht vor, und das ANPD-Verzeichnis im Snapshot führt keine Resolução zur RIPD. Daraus folgt nicht, dass sie entbehrlich wäre: Wer sie erst auf Anforderung zu schreiben beginnt, arbeitet unter Frist.

Sicherheit (Art. 46, 47 und 49 LGPD). Alle Verarbeitungsbeteiligten müssen technische und administrative Sicherheitsmaßnahmen treffen, die gegen unbefugten Zugriff sowie zufällige oder rechtswidrige Zerstörung, Verlust, Veränderung, Weitergabe oder sonst unzulässige Verarbeitung schützen; das gilt von der Konzeption eines Produkts oder einer Leistung bis zu ihrer Durchführung (Art. 46 § 2). Die ANPD kann technische Mindeststandards festlegen (Art. 46 § 1); eine solche Festlegung liegt im Quellensatz nicht vor. Die Sicherheitspflicht trifft jede Person, die an einer Phase der Verarbeitung mitwirkt, und gilt auch nach deren Ende (Art. 47). Systeme sind so zu strukturieren, dass sie Sicherheitsanforderungen, guter Praxis, Governance und den Grundsätzen entsprechen (Art. 49). Hinzu kommt der Grundsatz der Rechenschaft in Art. 6 Inciso X: Der Verarbeiter muss wirksame Maßnahmen und deren Wirksamkeit nachweisen können.

Gute Praxis und Governance-Programm (Art. 50 LGPD). Verantwortliche und Auftragsverarbeiter können Regeln guter Praxis und Governance aufstellen, allein oder über Verbände, und müssen sie dann veröffentlichen und regelmäßig aktualisieren; die ANPD kann sie anerkennen. Der Verantwortliche kann außerdem ein Governance-Programm für den Datenschutz einrichten, für das das Gesetz Mindestmerkmale beschreibt, unter anderem das Bekenntnis der Leitung, die Geltung für alle Daten unter seiner Kontrolle, risikobasierte Richtlinien, die Einbindung in die allgemeine Governance mit Aufsichtsmechanismen, Pläne zur Vorfallreaktion und laufende Aktualisierung; seine Wirksamkeit soll er insbesondere auf Verlangen der ANPD nachweisen können. Das Programm ist eine Kann-Vorschrift. Sein Wert liegt in der Sanktion: Die Annahme einer Politik guter Praxis und Governance ist nach Art. 52 § 1 Inciso IX LGPD ein Bemessungskriterium. Als mildernder Umstand bei der einfachen Geldbuße (multa simples) nach Art. 13 Inciso II Res. CD/ANPD 4/2023 zählt sie nur, wenn sie spätestens bis zur erstinstanzlichen Entscheidung im Sanktionsverfahren umgesetzt ist, und der Verletzer muss die Voraussetzungen gegenüber der ANPD nachweisen (Art. 13 § 3). Eine beschlossene, aber nicht gelebte Politik trägt diese Milderung also nicht. Art. 13 kennt daneben weitere Milderungsgründe, und Inciso II selbst lässt alternativ die wiederholte und nachgewiesene Anwendung interner Mechanismen zur Schadensminimierung genügen; eine Governance-Politik ist also nicht Voraussetzung jeder Minderung. Die Einzelheiten der Sanktionsbemessung stehen in lgpd-007.

Umsetzungsperspektive

1. Benennungsbedarf je Rechtseinheit klären. Für jeden brasilianischen Verantwortlichen den Encarregado benennen oder die Voraussetzungen der Ausnahme für kleine Verarbeiter dokumentieren, einschließlich der Gruppenumsatzprüfung.
2. Benennung formal sauber machen. Schriftliches, datiertes, unterzeichnetes Dokument mit Arbeitsweise und Tätigkeiten; Vertreter förmlich bestimmen; beides für eine Vorlage an die ANPD bereithalten. Für die Vorfallmeldung den Nachweis des Vertrags-, Arbeits- oder Dienstverhältnisses des Encarregado oder die Vollmacht des Vertreters so ablegen, dass er mit der Meldung innerhalb der Frist eingereicht werden kann.
3. Sprache und Erreichbarkeit sichern. Portugiesischsprachige Kommunikation mit Betroffenen und ANPD gewährleisten, bei einem zentralen oder externen Encarregado über ein lokales Team oder einen Dienstleister.
4. Konfliktprüfung dokumentieren. Vor der Benennung prüfen, ob die Person strategische Verarbeitungsentscheidungen trifft und ob daraus im konkreten Fall ein Konflikt entsteht; Offenlegungserklärung einholen.
5. Veröffentlichung auf der brasilianischen Website an hervorgehobener Stelle, ohne eigene Website über die üblichen Kanäle zu Betroffenen, mit Kontaktwegen für Betroffene und ANPD, und Aktualisierung in den Personalprozess einbinden.
6. Verzeichnis auch als Auftragsverarbeiter führen und Verarbeitungen auf berechtigtem Interesse kennzeichnen.
7. RIPD-Bestand vorhalten für Verarbeitungen auf berechtigtem Interesse, mit sensiblen Daten oder mit erkennbarem Risiko, damit eine Anforderung nicht unter Frist beantwortet werden muss.
8. Sicherheitsmaßnahmen in das bestehende ISMS einhängen, mit Nachweis der Wirksamkeit, und ein Governance-Programm als Nachweis- und Milderungsinstrument bewusst entscheiden; für die Milderung aufgrund der Governance-Politik zählt die Umsetzung bis zur erstinstanzlichen Entscheidung, nicht der Beschluss.

Typische Fehler

1. Der Datenschutzbeauftragte der Muttergesellschaft wird ohne Portugiesisch-Fähigkeit und ohne lokale Veröffentlichung als Encarregado geführt.
2. Es gibt kein schriftliches, datiertes und unterzeichnetes Benennungsdokument und keinen Vertreter.
3. Der Encarregado trifft zugleich strategische Verarbeitungsentscheidungen, ohne dass vor der Benennung geprüft und dokumentiert wurde, ob daraus ein Interessenkonflikt entsteht.
4. Der Encarregado wird als verantwortlich für die Konformität betrachtet, obwohl die Verantwortung beim Verarbeiter bleibt.
5. Die Ausnahme für kleine Verarbeiter wird für die Tochter eines Konzerns angenommen, ohne den Gruppenumsatz zu prüfen.
6. Das Verzeichnis wird nur beim Verantwortlichen geführt, nicht beim Auftragsverarbeiter.
7. Eine RIPD wird erst begonnen, wenn die ANPD sie anfordert.
8. Ein Encarregado-Sitz in Brasilien wird als Pflicht behandelt oder umgekehrt die Sprachanforderung übersehen; die Quelle verlangt das Erste nicht und das Zweite ausdrücklich.

Risiken und Trade-offs

Der Grundkonflikt liegt zwischen zentralem und lokalem Encarregado. Ein zentraler Encarregado sichert Konzernkonsistenz und Fachtiefe, braucht aber portugiesischsprachige Kommunikation und lokale Erreichbarkeit und trägt das Risiko, die Aufgaben je Verarbeiter nicht vollständig zu erfüllen. Ein lokaler Encarregado ist nah an Betroffenen und Behörde, braucht aber Ressourcen, Autonomie und Zugang zur Leitung, die ein kleines Landesbüro nicht immer bietet.

Beim Interessenkonflikt steht Effizienz gegen Unabhängigkeit. Die Bündelung mit operativen Leitungsrollen spart Personal, kann aber einen Konflikt begründen, der nach Art. 19 Res. CD/ANPD 18/2024 sanktioniert werden kann. Ein externer Dienstleister kann eine interne Rollenkollision beseitigen, kostet aber Steuerungsaufwand und macht die Prüfung nicht entbehrlich: Konflikte können nach Art. 19 § 1 auch zwischen mehreren Mandaten entstehen.

Beim Governance-Programm schließlich steht Aufwand gegen Milderung: Es ist freiwillig, kann aber im Sanktionsfall mildernd wirken, wenn es bis zur erstinstanzlichen Entscheidung umgesetzt und gegenüber der ANPD nachgewiesen ist, und strukturiert zugleich den Nachweis, den Art. 6 Inciso X ohnehin verlangt.

Entscheidungspunkte

• Benennen wir je brasilianischer Rechtseinheit einen eigenen Encarregado, einen zentralen oder einen externen, und wie sichern wir die Portugiesisch-Fähigkeit?
• Wer prüft und dokumentiert den Interessenkonflikt, und wer ist Vertreter?
• Nehmen wir für eine Einheit die Erleichterungen für kleine Verarbeiter in Anspruch, und ist die Gruppenumsatzprüfung belegt?
• Für welche Verarbeitungen halten wir eine RIPD vorsorglich vor?
• Richten wir ein Governance-Programm nach Art. 50 LGPD ein, und wie weisen wir seine Wirksamkeit nach?

Praktische Empfehlungen

• Das Benennungsdokument nach Res. CD/ANPD 18/2024 als festen Bestandteil des Onboardings einer brasilianischen Einheit führen.
• Den Encarregado mit Budget, Autonomie und direktem Zugang zur Leitung ausstatten und das schriftlich festhalten.
• Für zentrale oder externe Lösungen eine portugiesischsprachige Bearbeitung vertraglich oder organisatorisch absichern.
• Verzeichnis, RIPD und Sicherheitsnachweise so ablegen, dass sie bei einer Anforderung der ANPD, auch im Vorfallkontext, kurzfristig vorgelegt werden können.
• Bei Unsicherheit über die Einordnung als kleiner Verarbeiter oder über Konfliktlagen brasilianische Rechtsberatung einholen.

Relevante Normreferenzen

• LGPD (Lei 13.709/2018, kompilierte Fassung Planalto): Art. 5 Incisos VIII und XVII (Encarregado, RIPD; Inciso VIII in der Fassung der Lei 15.352/2026), Art. 6 Inciso X (Rechenschaft), Art. 10 § 3, Art. 37 (Verzeichnis), Art. 38 (RIPD), Art. 40, Art. 41 (Encarregado), Art. 46, 47 und 49 (Sicherheit), Art. 50 (gute Praxis und Governance), Art. 52 § 1 Inciso IX, Art. 61.
• Res. CD/ANPD 18/2024 (Regulamento zur Tätigkeit des Encarregado), Anhang Art. 2 bis 21.
• Res. CD/ANPD 2/2022 in der Fassung der Res. CD/ANPD 15/2024: Art. 3, 9, 11, 12, 13 und 16.
• Res. CD/ANPD 15/2024: Art. 6 § 5 und Art. 8 (nur soweit Encarregado und Dokumentation betroffen).
• Res. CD/ANPD 4/2023: Art. 13 Inciso II (Milderung bei Governance).
• Abgrenzung: Vorfallmeldung nach Art. 48 LGPD in lgpd-005; Anwendungsbereich, Rollen und Einordnung als kleiner Verarbeiter in lgpd-002; Sanktionsbemessung in lgpd-007; internationale Übermittlung in lgpd-006. Die DSGVO-Pflichten des deutschen Unternehmens selbst, etwa Datenschutzbeauftragter, Verzeichnis und DSFA, stehen im dsgvo-Track (dsgvo-001, dsgvo-004); Vergleiche hier dienen nur der Orientierung.