Internationale Datenübermittlung nach der LGPD: Mechanismen, ANPD-Standardklauseln und die Anerkennung der EU als angemessen

Problem in der Praxis

Drei Fehlannahmen tauchen in deutschen Konzernen regelmäßig auf. Die erste: "die EU-Anerkennung erledigt das Thema". Sie ersetzt nur den Übermittlungsmechanismus; Rechtsgrundlage, Zweckbindung, Datenminimierung, Verzeichnis und Prüfpflicht des Verantwortlichen bleiben, und sie gilt nur für Ziele in EU und EWR, nicht für die Weiterleitung aus Deutschland an einen Dienstleister in einem Drittland.

Die zweite: "unsere EU-Standardvertragsklauseln reichen auch für Brasilien". Gestützt auf Standardklauseln ist eine Übermittlung nach Art. 16 Anexo I Res. 19/2024 nur gültig, wenn das ANPD-Muster vollständig und unverändert übernommen wird, und keine andere Vertragsbestimmung darf ihm widersprechen. Ausländische Klauseln kann die ANPD als gleichwertig anerkennen (Art. 18 bis 20 Anexo I); im vorliegenden Regulierungsverzeichnis der ANPD ist keine solche Anerkennung verzeichnet.

Die dritte ist die Richtungsverwechslung. Res. 32/2026 regelt den Datenabfluss aus brasilianischer Sicht und sagt nichts darüber, ob eine deutsche Stelle nach DSGVO Daten nach Brasilien übermitteln darf. Eine Gegenseitigkeit steht in keiner der vorliegenden Quellen.

CISO-Einordnung

Die Grundregel: Rechtsgrundlage plus Mechanismus. Art. 33 LGPD lässt die internationale Übermittlung nur in abschließend genannten Fällen zu: Angemessenheit des Ziellands oder der internationalen Organisation; vom Verantwortlichen angebotene und nachgewiesene Garantien in Form spezifischer Vertragsklauseln, Standardvertragsklauseln, globaler Unternehmensregeln (normas corporativas globais, das Gegenstück zu Binding Corporate Rules) oder Siegeln, Zertifikaten und Verhaltenskodizes; sowie weitere Fälle wie die spezifische, hervorgehobene Einwilligung mit vorheriger Information über den internationalen Charakter, klar getrennt von anderen Zwecken (Art. 33 VIII), oder die Erforderlichkeit in den Fällen des Art. 7 II, V und VI LGPD (Art. 33 IX): zur Erfüllung einer gesetzlichen oder regulatorischen Pflicht des Verantwortlichen, zur Durchführung eines Vertrags, an dem der Betroffene als Partei beteiligt ist, oder vorvertraglicher Maßnahmen dazu auf seinen Antrag, oder zur regulären Ausübung von Rechten in einem Gerichts-, Verwaltungs- oder Schiedsverfahren. Ein Vertrag, an dem der Betroffene nicht beteiligt ist, etwa der Dienstleistervertrag zwischen Exporteur und Importeur, trägt diesen Fall nicht. Art. 9 Anexo I Res. 19/2024 macht daraus eine Doppelprüfung: Erforderlich sind eine Rechtsgrundlage nach Art. 7 oder 11 LGPD und ein gültiger Mechanismus, für legitime, bestimmte, ausdrückliche und dem Betroffenen mitgeteilte Zwecke, beschränkt auf das Nötige. Nach Art. 4 Anexo I muss der Verantwortliche (controlador) selbst prüfen, ob eine internationale Übermittlung vorliegt, ob sie der LGPD unterliegt und ob Rechtsgrundlage und Mechanismus tragen; der Auftragsverarbeiter (operador) liefert die Informationen dazu.

Was überhaupt eine Übermittlung ist. Res. 19/2024 definiert die Übermittlung als Vorgang zwischen zwei Verarbeitern: Ein Exporteur übermittelt an einen Importeur. Exporteur kann ausdrücklich auch ein Verarbeiter im Ausland sein (Art. 3 Anexo I). Erhebt dagegen ein Unternehmen im Ausland Daten direkt beim Betroffenen (coleta internacional), ist das keine internationale Übermittlung (Art. 6 Anexo I); die LGPD gilt dann trotzdem, wenn einer der Anknüpfungspunkte des Art. 3 LGPD vorliegt. Für einen deutschen Onlineshop mit brasilianischen Kunden heißt das: kein Übermittlungsmechanismus nötig, wohl aber LGPD-Konformität.

Die ANPD-Standardklauseln. Anexo II Res. 19/2024 enthält das Muster in vier Abschnitten: einen auszufüllenden Teil mit Parteien, Gegenstand, Weiterübermittlungen und Rollenverteilung, einen zwingenden Teil, der vollständig und unverändert zu übernehmen ist, einen Teil mit den Sicherheitsmaßnahmen und einen freiwilligen Teil für kaufmännische Regelungen. Es gibt eine Variante für Übermittlungen, an denen mindestens ein Verantwortlicher beteiligt ist, und eine für Übermittlungen zwischen Auftragsverarbeitern. Für deutsche Unternehmen folgenreich sind vor allem fünf Punkte. Die Übermittlung unterliegt brasilianischem Recht und der Aufsicht der ANPD, die Übermittlungen auf Grundlage der Klauseln begrenzen, aussetzen oder untersagen kann. Streitigkeiten gehören vor brasilianische Gerichte, ein Schiedsverfahren nur in Brasilien, und Betroffene können Exporteur oder Importeur nach ihrer Wahl in Brasilien verklagen, auch am Wohnort. Die in den Klauseln benannte Partei, die dabei als Verantwortlicher handelt, meldet Sicherheitsvorfälle, die ein relevantes Risiko oder einen relevanten Schaden für Betroffene verursachen können, binnen drei Werktagen an ANPD und Betroffene; sie veröffentlicht auch das Transparenzdokument und beantwortet die Betroffenenanfragen (Klauseln 4 und 14 bis 16). Einem Auftragsverarbeiter dürfen diese Pflichten nicht zugewiesen werden. In der Variante zwischen Auftragsverarbeitern gelten die Klauseln 14 bis 16 für die Parteien grundsätzlich nicht; sie liefern dem dritten Verantwortlichen die Informationen, die er für Transparenz, Betroffenenrechte und Vorfallmeldung braucht. Anders ist es, wenn der Exporteur entgegen dem brasilianischen Recht oder den rechtmäßigen Weisungen des Verantwortlichen übermittelt: Dann wird er einem Verantwortlichen gleichgestellt, haftet gesamtschuldnerisch und muss die Pflichten der Klauseln 14 bis 16 selbst erfüllen. Der Importeur unterrichtet Exporteur und Betroffene über gesetzlich oder behördlich erzwungene Zugriffsersuchen, soweit das Recht des Verarbeitungslands die Unterrichtung nicht verbietet. Gibt es eine tragfähige rechtliche Grundlage, das Ersuchen oder ein Unterrichtungsverbot anzufechten, ergreift er die geeigneten rechtlichen Schritte bis hin zur Klage, und er führt über die Ersuchen ein Register (Klausel 19). Und er erklärt, keine Gesetze oder Verwaltungspraktiken im Zielland festgestellt zu haben, die ihn an der Erfüllung hindern, und meldet Änderungen sofort. Verletzt der Importeur die Schutzmaßnahmen oder kann er sie nicht erfüllen, muss er das dem Exporteur sofort mitteilen, soweit Klausel 19.1 nicht entgegensteht; der Exporteur ergreift dann die geeigneten Maßnahmen, um die Betroffenenrechte und die Rechtmäßigkeit der Übermittlung zu sichern, je nach Fall etwa Aussetzung der Übermittlung, Rückgabe, Weitergabe an einen Dritten oder Löschung der Daten oder Vertragsbeendigung (Klausel 23).

Die Frist für bestehende Verträge. Nach Art. 2 Parágrafo único Res. 19/2024 mussten Verarbeiter, die internationale Übermittlungen auf Vertragsklauseln stützen, die ANPD-Klauseln binnen bis zu zwölf Monaten ab Veröffentlichung der Resolution in ihre Verträge übernehmen. Die Resolution trat am Tag ihrer Veröffentlichung in Kraft (Art. 2), und die ANPD-Seite nennt als DOU-Veröffentlichung den 23.08.2024. Rechnerisch endete die Frist damit im August 2025; ein ausdrückliches Enddatum nennt die Quelle nicht. Wer heute noch Übermittlungen auf Vertragsklauseln stützt, die weder das ANPD-Muster vollständig und unverändert übernehmen noch als spezifische Klauseln von der ANPD genehmigt (Art. 21 und 24 Anexo I) noch als gleichwertig anerkannt sind (Art. 18 bis 20 Anexo I), kann sich auf die Übergangsfrist also nicht mehr berufen.

Spezifische Klauseln und globale Unternehmensregeln. Beide brauchen die vorherige Genehmigung der ANPD, ebenso jede Änderung (Art. 24, 28 und 33 Anexo I). Spezifische Klauseln genehmigt die ANPD nur, wenn die Standardklauseln wegen außergewöhnlicher, vom Verantwortlichen nachgewiesener Umstände nicht nutzbar sind, und sie müssen brasilianisches Datenschutzrecht und ANPD-Aufsicht vorsehen (Art. 21). Globale Unternehmensregeln gelten nur innerhalb der Gruppe, für die erfassten Gesellschaften und Länder, setzen ein Governance-Programm nach Art. 50 § 2 LGPD voraus und benennen eine verantwortliche Gesellschaft mit Sitz in Brasilien, die für Verstöße auch ausländischer Gruppenmitglieder einsteht (Art. 3 VII und Art. 25 bis 27 Anexo I). Für einen deutschen Konzern ist das ein mehrstufiges Genehmigungsverfahren, kein Formular.

Transparenzpflichten. Stützt sich eine Übermittlung auf Standardklauseln, muss der Verantwortliche Betroffenen auf Anfrage den vollständigen Klauseltext zur Verfügung stellen, unter Wahrung von Geschäfts- und Industriegeheimnissen und binnen 15 Tagen, vorbehaltlich einer abweichenden ANPD-Regelung, und auf seiner Website ein Dokument auf Portugiesisch in einfacher Sprache veröffentlichen (Art. 17 Anexo I). Es nennt mindestens Form, Dauer und Zweck der Übermittlung, das Zielland, Identität und Kontakt des Verantwortlichen, die gemeinsame Nutzung der Daten, die Verantwortlichkeiten und Sicherheitsmaßnahmen sowie die Betroffenenrechte samt dem Beschwerdeweg zur ANPD; es kann in die Datenschutzerklärung integriert werden. Im Muster selbst liegen diese Pflichten bei der benannten, als Verantwortlicher handelnden Partei (zur Variante zwischen Auftragsverarbeitern siehe oben); das Transparenzdokument nennt dort zusätzlich die Weiterübermittlungen mit Empfängern und Zwecken (Klausel 14.1 g). Die Frist von 15 Tagen ab Antrag gilt nach Klausel 15.3 der Standardklauseln nicht nur für die Klauselkopie, sondern auch für die Betroffenenanfragen nach Klausel 15, ebenfalls vorbehaltlich abweichender ANPD-Regelung. Für spezifische Klauseln und globale Unternehmensregeln gelten die Herausgabe des Texts und das Website-Dokument nach Art. 17 entsprechend, nach Maßgabe der Auflagen in der Genehmigungsentscheidung (Art. 32 Anexo I); die Frist der Klausel 15.3 für sämtliche Betroffenenanfragen wird dadurch nicht übertragen, und Anfragen zur Einhaltung globaler Unternehmensregeln sind in der Frist zu beantworten, die die LGPD und besondere Regelungen vorsehen (Art. 27 § 2 Anexo I). Für Übermittlungen auf Grundlage einer Angemessenheitsentscheidung enthält Res. 19/2024 keine gleichlautende Veröffentlichungspflicht; die allgemeine Transparenzleitlinie des Art. 2 V Anexo I und die Informationspflichten der LGPD bleiben. Ändern sich die als ausreichend vorgelegten Garantien nach Art. 33 II LGPD, ist das der ANPD mitzuteilen (Art. 36 LGPD).

Res. 32/2026: was die EU-Anerkennung genau erfasst. Der Conselho Diretor der ANPD hat die Europäische Union als internationale Organisation mit einem Schutzniveau anerkannt, das dem der LGPD angemessen ist (Art. 1). Die Anerkennung erlaubt Übermittlungen auf Grundlage des Art. 33 I LGPD an alle EU-Mitgliedstaaten, an die drei EFTA-Staaten des EWR (Island, Liechtenstein, Norwegen) sowie an Organe, Einrichtungen und Agenturen der EU, und zwar mit Bezug auf die DSGVO, den Beschluss 154/2018 des Gemeinsamen EWR-Ausschusses und die Verordnung (EU) 2018/1725. Sie gilt nicht für Übermittlungen ausschließlich zu Zwecken der öffentlichen Sicherheit, Landesverteidigung, Staatssicherheit oder Ermittlung und Verfolgung von Straftaten (Art. 2). Sie trat am Tag der Veröffentlichung in Kraft (Art. 6); veröffentlicht wurde sie im DOU vom 27.01.2026. Die ANPD überwacht das Schutzniveau fortlaufend, kann zusätzliche Informationen anfordern und bewertet die Entscheidung binnen vier Jahren ab Inkrafttreten neu, unter anderem mit Blick auf spätere Änderungen des europäischen Datenschutzrechts (Art. 4). Andere Mechanismen des Art. 33 LGPD bleiben für dieselben Ziele zulässig (Art. 5). Weitere Bedingungen an Exporteure stellt die Resolution nicht; sie regelt insbesondere keine Weiterübermittlung aus der EU in Drittländer.

Was das für Brasilien nach Deutschland heißt. Die brasilianische Tochter darf Personal-, Kunden- oder Lieferantendaten seit dem 27.01.2026 auf Grundlage der Angemessenheit an die deutsche Mutter übermitteln, ohne dafür ANPD-Klauseln zu brauchen. Die Rechtsgrundlage nach Art. 7 oder 11 LGPD, die Zweckbindung und die Datenminimierung bleiben Voraussetzung, ebenso Verzeichnis und Nachweis. Zwei Punkte bleiben offen und gehören in die lokale Beratung. Erstens bleibt die LGPD nach dem Wortlaut des Art. 3 III LGPD auf Daten anwendbar, die in Brasilien erhoben wurden, unabhängig davon, wo sie verarbeitet werden; die EU-Anerkennung beendet diese Bindung nicht. Zweitens kann eine Weiterleitung aus Deutschland in ein Drittland nach dem Übermittlungsbegriff von Res. 19/2024, der auch Exporteure im Ausland kennt, ihrerseits eine internationale Übermittlung im Sinne der LGPD sein, für die die EU-Anerkennung keinen Mechanismus liefert. Res. 19/2024 verlangt als Leitlinie, dass das Schutzniveau auch bei Weiterübermittlungen gewahrt bleibt (Art. 2 I Anexo I); wie das bei einer Weiterleitung durch einen deutschen Empfänger konkret umzusetzen ist, regeln die Quellen für Daten, die auf Grundlage der Angemessenheit empfangen wurden, nicht ausdrücklich. Für Daten, die unter ANPD-Standardklauseln empfangen wurden, regelt Klausel 18 Anexo II die Weiterübermittlung (siehe Umsetzungsperspektive, Punkt 4).

Was das für Deutschland nach Brasilien heißt. Ob eine deutsche Stelle Daten nach Brasilien übermitteln darf, ist eine Frage der DSGVO; der Korpus behandelt die EU-Seite in dsgvo-005. Ein Angemessenheitsbeschluss der EU-Kommission für Brasilien liegt diesem Track nicht als Quelle vor; ob es ihn gibt und ab wann er gilt, ist hier nicht belegt. Auf brasilianischer Seite gilt: Daten, die aus dem Ausland kommen und in Brasilien verarbeitet werden, unterliegen der LGPD (Art. 8 Anexo I Res. 19/2024). Ausgenommen ist nur der reine Transit ohne Weitergabe an einen oder gemeinsame Nutzung mit einem Verarbeiter in Brasilien oder die Rückführung ausschließlich in das Herkunftsland oder an die internationale Herkunftsorganisation, und Letzteres nur unter drei zusätzlichen, kumulativen Voraussetzungen: Die ANPD hat das Schutzniveau des Herkunftslands oder der Herkunftsorganisation durch Entscheidung als angemessen anerkannt, das Recht des Herkunftslands oder die für die Organisation geltenden Regeln sind auf den Vorgang anwendbar, und die Angemessenheitsentscheidung sieht diese Ausnahme ausdrücklich vor (Art. 8 § 1 Anexo I). Eine Angemessenheitsentscheidung kann die LGPD zudem nicht in Situationen ausschließen, die Grundsätze oder Betroffenenrechte verletzen oder gefährden könnten (§ 2), und andere Vorschriften, etwa zum Kommunikationsgeheimnis, zu technischen und Sicherheitsanforderungen oder zum Behördenzugriff, bleiben unberührt (§ 3). Res. 32/2026 enthält keine solche ausdrückliche Regelung; nach dem Wortlaut von Art. 8 Anexo I ist die Rückführungsausnahme durch sie also nicht eröffnet. Wie sich das zur gesetzlichen Ausnahme des Art. 4 IV LGPD verhält, die nur auf die Angemessenheit des Herkunftslands abstellt, beantworten die Quellen nicht ausdrücklich. Praktisch heißt das: Verarbeitet ein brasilianischer Dienstleister oder die brasilianische Tochter Daten deutscher Beschäftigter, gilt dafür die LGPD, und die Rückübermittlung nach Deutschland ist ihrerseits eine Übermittlung aus Brasilien, für die seit dem 27.01.2026 die EU-Anerkennung als Mechanismus zur Verfügung steht.

Umsetzungsperspektive

1. Übermittlungen inventarisieren, je Richtung. Für jeden Fluss festhalten: Exporteur, Importeur, Rollen (Verantwortlicher oder Auftragsverarbeiter), Zielland, Datenkategorien, Zweck, Rechtsgrundlage nach Art. 7 oder 11 LGPD und gewählter Mechanismus nach Art. 33 LGPD.
2. Direkterhebung von Übermittlung trennen. Was ein deutsches Unternehmen direkt bei brasilianischen Betroffenen erhebt, ist keine Übermittlung, kann aber der LGPD unterliegen; das gehört in die Anwendbarkeitsprüfung, nicht in die Transferprüfung.
3. Ziele in EU und EWR auf die Angemessenheit umstellen, dokumentiert. Den Wechsel des Mechanismus mit Datum und Fundstelle (Res. CD/ANPD 32/2026) im Verzeichnis vermerken. Bestehende ANPD-Klauseln dürfen weiterlaufen (Art. 5 Res. 32/2026).
4. Drittlandziele mit einem tragfähigen Mechanismus absichern. Für Ziele außerhalb von EU und EWR, auch für Weiterleitungen aus Deutschland, prüfen, ob die LGPD anwendbar ist und welcher Mechanismus des Art. 33 LGPD trägt. Wird das ANPD-Muster genutzt, ist es vollständig und unverändert zu übernehmen; die Abweichungsfreiheit gegen Rahmenverträge und Anlagen prüfen. Sind die Daten bereits unter ANPD-Klauseln übermittelt worden, gilt für die Weiterübermittlung durch den Importeur Klausel 18 Anexo II: Sie ist zulässig, wenn sie in Klausel 3 ausdrücklich erlaubt ist, oder auf Grundlage eines anderen gültigen Übermittlungsmechanismus, der nach Klausel 18.3 ausdrücklich unabhängig von dieser Erlaubnis greift. Klausel 18.2 verlangt "in jedem Fall", dass der Zweck mit den in Klausel 2 beschriebenen Zwecken vereinbar ist, dass der Importeur die Einhaltung der Schutzmaßnahmen durch den weiteren Empfänger in einem schriftlichen Vertrag sicherstellt und dass er im Rahmen der Klauseln für dessen Unregelmäßigkeiten einsteht. Ein anderer Mechanismus nach Klausel 18.3 ersetzt nur die Erlaubnis nach Klausel 3, nicht diese Pflichten. Empfänger und Zwecke von Weiterübermittlungen gehören ins Transparenzdokument (Klausel 14.1 g).
5. Transparenzdokument auf Portugiesisch bereitstellen, soweit Klauseln genutzt werden, einschließlich der Angaben zu Weiterübermittlungen, und den Prozess für Anfragen nach dem Klauseltext (unter Wahrung von Geschäfts- und Industriegeheimnissen) und für Betroffenenanfragen nach Klausel 15 auf 15 Tage ab Antrag auslegen, vorbehaltlich abweichender ANPD-Regelung. Zuständig ist nach Klausel 4 die benannte, als Verantwortlicher handelnde Partei. Zwischen Auftragsverarbeitern ist es grundsätzlich der dritte Verantwortliche, den die Parteien unterstützen und an den sie Anfragen so rechtzeitig weiterleiten, dass er in der Frist des brasilianischen Rechts antworten kann (Klausel 4.5 und 4.7); übermittelt der Exporteur rechts- oder weisungswidrig, wird er einem Verantwortlichen gleichgestellt und muss die Pflichten der Klauseln 14 bis 16 selbst erfüllen (Klausel 4.2 und 4.3).
6. Die Gegenrichtung getrennt nach DSGVO prüfen und dabei keine Angemessenheit Brasiliens voraussetzen, solange sie nicht aus einer EU-Quelle belegt ist.
7. Den Status der EU-Anerkennung überwachen. Fortlaufende Überwachung und Neubewertung binnen vier Jahren bedeuten, dass ein Rückfallmechanismus für wesentliche Flüsse vorbereitet sein sollte.

Typische Fehler

1. Die EU-Anerkennung wird als Freibrief gelesen, obwohl sie nur den Mechanismus ersetzt und Rechtsgrundlage, Zweckbindung und Minimierung bestehen bleiben.
2. Weiterleitungen aus Deutschland in Drittländer werden als von der EU-Anerkennung gedeckt behandelt.
3. EU-Standardvertragsklauseln werden ohne ANPD-Muster für Übermittlungen aus Brasilien verwendet, oder das ANPD-Muster wird angepasst oder durch Rahmenvertragsbestimmungen überlagert.
4. Die Zwölfmonatsfrist für bestehende Klauselverträge wird für noch offen gehalten, obwohl sie rechnerisch im August 2025 abgelaufen ist.
5. Aus Res. 32/2026 wird geschlossen, die EU habe Brasilien ebenfalls als angemessen anerkannt.
6. Die Verarbeitung von Daten deutscher Herkunft in Brasilien wird als LGPD-frei behandelt, weil die Daten "nur zurückgespielt" werden.
7. Der Ausschluss für Übermittlungen ausschließlich zu Sicherheits-, Verteidigungs- und Strafverfolgungszwecken wird übersehen, etwa bei Anfragen von Behörden.

Risiken und Trade-offs

Der zentrale Abwägungspunkt ist die Wahl des Mechanismus für EU-Flüsse. Die Angemessenheit ist ohne Vertragsanpassung nutzbar, steht aber unter fortlaufender Überwachung und Neubewertung; die ANPD-Klauseln sind aufwendiger, bleiben aber unabhängig davon tragfähig. Beide parallel zu führen kostet Pflegeaufwand und bringt Ausfallsicherheit.

Globale Unternehmensregeln verlangen Genehmigungsverfahren und eine haftende brasilianische Gesellschaft. Für viele deutsche Mittelständler mit einer brasilianischen Tochter dürfte die Kombination aus EU-Anerkennung und ANPD-Klauseln für Drittlandziele wirtschaftlicher sein; das ist eine Einschätzung, keine Vorgabe der Quellen.

Die Klauseln verlagern Risiken nach Brasilien: brasilianisches Recht und Gerichtsstand, Klagemöglichkeit am Wohnort des Betroffenen, eine Meldefrist von drei Werktagen für die benannte, als Verantwortlicher handelnde Partei und beim Importeur die Pflicht, behördliche Zugriffsersuchen bei tragfähiger rechtlicher Grundlage anzufechten. Rechtsabteilung und Incident Response eines deutschen Importeurs müssen das kennen.

Entscheidungspunkte

• Stützen wir Flüsse nach Deutschland und in die EU künftig auf die Angemessenheit, auf die ANPD-Klauseln oder auf beides?
• Für welche Weiterleitungen aus Deutschland in Drittländer prüfen wir, ob die LGPD anwendbar ist, und wer verantwortet diese Prüfung?
• Brauchen wir globale Unternehmensregeln, oder genügen Angemessenheit und Standardklauseln?
• Welche Partei ist in den Klauseln als Verantwortlicher benannt, pflegt das portugiesische Transparenzdokument und beantwortet Anfragen nach dem Klauseltext und Betroffenenanfragen binnen 15 Tagen?
• Wie stellen wir sicher, dass Vorfälle bei einem Importeur, der unter ANPD-Klauseln arbeitet, binnen drei Werktagen von der benannten Partei gemeldet werden können?
• Wie geht ein Importeur mit behördlichen Zugriffsersuchen um, wer prüft, ob sie oder ein Unterrichtungsverbot anzufechten sind, und wo wird das Register geführt?
• Was löst eine Neuprüfung aus, etwa ein neues Zielland, ein neuer Dienstleister oder eine Änderung der Angemessenheitsentscheidung?

Praktische Empfehlungen

• Das Transferregister je Fluss mit Rechtsgrundlage und Mechanismus führen; "EU-Angemessenheit" als Mechanismus nur für Ziele in EU und EWR eintragen.
• ANPD-Klauseln als eigenständigen Anhang vereinbaren und eine Vorrangklausel zugunsten der zwingenden Abschnitte vorsehen, damit kein Rahmenvertrag sie überlagert.
• Für die Gegenrichtung die DSGVO-Prüfung nach dsgvo-005 führen und Brasilien dort nicht als angemessen behandeln, solange das nicht aus einer EU-Quelle belegt ist.
• Den Anwendungsbereich der LGPD für Verarbeitungen in Deutschland ausdrücklich bewerten, statt ihn mit dem Abschluss der Übermittlung für erledigt zu halten.
• Die Fundstellen von Res. 19/2024 und Res. 32/2026 im Register hinterlegen und den Monitoring-Status der EU-Anerkennung in den regelmäßigen Datenschutz-Review aufnehmen.
• Grenzfälle, insbesondere Weiterleitungen in Drittländer und die Reichweite des Art. 4 IV LGPD, mit brasilianischer Rechtsberatung klären.

Relevante Normreferenzen

• LGPD (Lei 13.709/2018, kompilierte Fassung Planalto): Art. 3 (Anwendungsbereich, insbesondere Inciso III), Art. 4 IV (Daten aus dem Ausland), Art. 5 XV (Begriff der internationalen Übermittlung), Art. 7 und 11 (Rechtsgrundlagen), Art. 33 (Übermittlungsfälle), Art. 34 (Bewertung der Angemessenheit), Art. 35 (Inhalt der Standardklauseln, Prüfung spezifischer Klauseln und globaler Unternehmensregeln durch die ANPD), Art. 36 (Mitteilung geänderter Garantien).
• Res. CD/ANPD 19/2024 (DOU 23.08.2024, berichtigt am 18.08.2025): Art. 2 Parágrafo único (Übernahmefrist); Anexo I Art. 1 bis 9 (Anwendung, Begriffe, Prüfung, Rechtsgrundlage und Mechanismus), Art. 10 bis 14 (Angemessenheit), Art. 15 bis 20 (Standardklauseln, Transparenz, Gleichwertigkeit), Art. 21 bis 33 (spezifische Klauseln, globale Unternehmensregeln, Genehmigung, Transparenz, Änderungen), Art. 34 (Wiedererwägung); Anexo II (Muster der Standardklauseln).
• Res. CD/ANPD 32/2026 (DOU 27.01.2026): Art. 1 (Anerkennung der EU und Reichweite), Art. 2 (Ausschluss), Art. 3 und 4 (Kooperation, Überwachung, Neubewertung binnen vier Jahren), Art. 5 (andere Mechanismen bleiben zulässig), Art. 6 (Inkrafttreten).
• Abgrenzung: Die Übermittlung aus EU-Sicht, einschließlich der Frage, ob Daten aus Deutschland nach Brasilien übermittelt werden dürfen, steht im dsgvo-Track (dsgvo-005); hier steht nur die brasilianische Seite. Innerhalb dieses Tracks behandelt der Anwendungsbereichsartikel (lgpd-002) die Frage, wann die LGPD überhaupt gilt, der Artikel zum Encarregado und zur Governance (lgpd-004) Verzeichnis und Nachweis, der Vorfallartikel (lgpd-005) die allgemeine Meldepflicht nach Art. 48 LGPD und Res. 15/2024 und der Sanktionsartikel (lgpd-007) die Folgen von Verstößen.