LGPD: Rechtsgrundlagen, sensible Daten, Kinderdaten und Betroffenenrechte mit ihren Fristen

Problem in der Praxis

Drei Muster treten bei deutschen Unternehmen regelmäßig auf. Das erste ist die Übernahme des europäischen Verarbeitungsverzeichnisses samt Rechtsgrundlagen, ohne jede Position gegen den Katalog des Art. 7 LGPD, bei sensiblen Daten gegen den des Art. 11 LGPD, neu zu begründen. Dabei geht verloren, dass die LGPD eigene Grundlagen kennt, etwa den Kreditschutz, und dass das berechtigte Interesse an Bedingungen geknüpft ist, die dokumentiert sein müssen: konkrete Situation, nur die unbedingt erforderlichen Daten, Transparenzmaßnahmen.

Das zweite Muster ist die stillschweigende Annahme, sensible Daten könnten wie gewöhnliche Daten auf ein berechtigtes Interesse oder auf die bloße Vertragsdurchführung gestützt werden. Art. 11 LGPD kennt beides nicht; der Vertrag kommt dort nur im Rahmen der ordnungsgemäßen Rechtsausübung vor, und auch dann nur, wenn die Verarbeitung dafür unerlässlich ist. Typische Fälle in einer brasilianischen Tochter sind biometrische Zeiterfassung, Gesundheitsdaten im Personalbereich und Gewerkschaftszugehörigkeit in der Lohnabrechnung.

Das dritte Muster betrifft die Betroffenenanfragen. Ein konzernweites Ticketsystem, das Fristen nach europäischem Muster berechnet, ist für die vollständige Auskunft nach Art. 19 LGPD nicht ausgelegt, und es kennt die vereinfachte Sofortauskunft nicht. Hinzu kommt, dass Betroffene in Brasilien nicht nur bei der Agência Nacional de Proteção de Dados (ANPD) Beschwerde führen können, sondern nach Art. 18 § 8 LGPD auch bei den Verbraucherschutzstellen.

CISO-Einordnung

Die zehn Rechtsgrundlagen des Art. 7 LGPD auf Managementebene. Die Verarbeitung ist nur zulässig mit Einwilligung der betroffenen Person (titular); zur Erfüllung einer gesetzlichen oder regulatorischen Pflicht des Verantwortlichen (controlador); durch die öffentliche Verwaltung zur Verarbeitung und gemeinsamen Nutzung von Daten, die für die Durchführung öffentlicher Politiken erforderlich sind, welche in Gesetzen und Verordnungen vorgesehen oder durch Verträge, Abkommen oder ähnliche Instrumente gestützt sind; für Studien durch eine Forschungseinrichtung (órgão de pesquisa), nach Möglichkeit anonymisiert; wenn sie für die Durchführung eines Vertrags oder vorvertraglicher Schritte nötig ist, an dem die betroffene Person beteiligt ist, auf deren Antrag; zur ordnungsgemäßen Ausübung von Rechten in Gerichts-, Verwaltungs- oder Schiedsverfahren; zum Schutz von Leben oder körperlicher Unversehrtheit; zum Schutz der Gesundheit, ausschließlich in Verfahren durch Gesundheitsberufe, Gesundheitsdienste oder Gesundheitsbehörden; zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten, sofern nicht Grundrechte der betroffenen Person überwiegen; und zum Kreditschutz, einschließlich dessen, was die einschlägige Gesetzgebung dazu regelt. Diese Spezialgesetzgebung liegt im Quellensatz nicht vor; was sie im Einzelnen erlaubt, sagt dieser Artikel deshalb nicht. Zwei Grundlagen sind an einen bestimmten Träger gebunden: Die Grundlage für öffentliche Politiken setzt die öffentliche Verwaltung als Handelnde voraus und ist keine allgemeine Grundlage für eigene Zwecke eines Unternehmens; die gemeinsame Nutzung mit der Verwaltung regelt Kapitel IV der LGPD, das dieser Artikel nicht behandelt. Forschungseinrichtung ist nach Art. 5 Inciso XVIII LGPD nur eine Stelle der öffentlichen Verwaltung oder eine nach brasilianischem Recht errichtete juristische Person des Privatrechts ohne Gewinnerzielungsabsicht mit Sitz und Gerichtsstand in Brasilien, deren institutioneller Auftrag, Gesellschafts- oder Satzungszweck Grundlagen- oder angewandte Forschung historischer, wissenschaftlicher, technologischer oder statistischer Art umfasst; ein gewinnorientiertes Unternehmen erfüllt diese Begriffsbestimmung nicht.

Wichtig für die Prozessgestaltung: Auch wo keine Einwilligung nötig ist, bleiben alle übrigen Pflichten bestehen, insbesondere die Grundsätze und die Betroffenenrechte (Art. 7 § 6 LGPD). Für öffentlich zugängliche Daten verlangt das Gesetz, Zweck, Treu und Glauben und das öffentliche Interesse der Veröffentlichung zu berücksichtigen; für Daten, die die betroffene Person selbst offenkundig öffentlich gemacht hat, entfällt das Einwilligungserfordernis, nicht aber ihre Rechte und die Grundsätze (Art. 7 §§ 3 und 4). Eine Weiterverarbeitung solcher Daten zu neuen Zwecken ist nach Art. 7 § 7 nur mit legitimen und spezifischen Zwecken und unter Wahrung der Rechte zulässig.

Einwilligung (consentimento). Sie muss nach Art. 5 Inciso XII LGPD frei, informiert und eindeutig sein und sich auf einen bestimmten Zweck beziehen. Nach Art. 8 LGPD ist sie schriftlich oder auf anderem Weg zu erteilen, der den Willen belegt; schriftlich erteilt muss sie in einer von den übrigen Vertragsklauseln hervorgehobenen Klausel stehen. Die Beweislast trägt der Verantwortliche, pauschale Ermächtigungen sind nichtig, und die Einwilligung ist jederzeit durch ausdrückliche Erklärung in einem kostenlosen und erleichterten Verfahren widerruflich. Was vor dem Widerruf auf ihrer Grundlage verarbeitet wurde, bleibt gedeckt, solange kein Löschantrag nach Art. 18 Inciso VI gestellt ist. Nichtig ist sie auch, wenn die vorab gegebenen Informationen irreführend oder missbräuchlich waren oder nicht transparent vorgelegt wurden (Art. 9 § 1). Wer auf Einwilligung gestützte Daten an andere Verantwortliche weitergeben will, braucht dafür eine eigene, spezifische Einwilligung, soweit keine Ausnahme vom Einwilligungserfordernis greift (Art. 7 § 5). Ändern sich Zweck, Form und Dauer, die Identität des Verantwortlichen oder die Angaben zur gemeinsamen Nutzung, muss der Verantwortliche die betroffene Person hervorgehoben und konkret über den Inhalt der Änderung informieren; wo ihre Einwilligung erforderlich ist, kann sie widerrufen, wenn sie der Änderung nicht zustimmt (Art. 8 § 6). Ändert sich der Zweck so, dass er mit der ursprünglichen Einwilligung nicht vereinbar ist, ist sie vorher zu informieren und kann ebenfalls widerrufen (Art. 9 § 2).

Information der betroffenen Person (Art. 9 LGPD). Unabhängig von der Rechtsgrundlage hat die betroffene Person Anspruch auf leicht zugängliche, klare, angemessene und gut sichtbare Informationen über die Verarbeitung. Dazu gehören nach Art. 9 insbesondere der konkrete Zweck, Form und Dauer der Verarbeitung (unter Wahrung von Geschäfts- und Industriegeheimnissen), Identität und Kontaktdaten des Verantwortlichen, die gemeinsame Nutzung von Daten und ihr Zweck, die Verantwortlichkeiten der beteiligten Stellen sowie die Betroffenenrechte mit ausdrücklichem Hinweis auf Art. 18; eine Regulierung kann weitere Angaben verlangen. Ist die Verarbeitung Bedingung für ein Produkt, eine Leistung oder die Ausübung eines Rechts, muss darauf hervorgehoben hingewiesen werden, zusammen mit den Wegen, auf denen die Person ihre Rechte nach Art. 18 ausüben kann (Art. 9 § 3).

Berechtigtes Interesse nach Art. 10 LGPD. Es trägt nur legitime Zwecke, die an konkreten Situationen festgemacht sind. Das Gesetz nennt beispielhaft die Unterstützung und Förderung der Tätigkeit des Verantwortlichen sowie den Schutz der Rechtsausübung der betroffenen Person oder Leistungen zu ihren Gunsten, unter Achtung ihrer berechtigten Erwartungen und Grundrechte. Daran hängen drei Zusatzpflichten: nur die für den Zweck unbedingt erforderlichen Daten (§ 1), Maßnahmen zur Transparenz (§ 2) und die Möglichkeit der ANPD, eine Datenschutz-Folgenabschätzung (relatório de impacto à proteção de dados pessoais, RIPD) anzufordern (§ 3). Hinzu kommt Art. 37 LGPD: Das Verarbeitungsverzeichnis ist besonders dann zu führen, wenn die Verarbeitung auf berechtigtem Interesse beruht. Praktisch heißt das: Eine Abwägung, die nicht schriftlich vorliegt, ist im Anfragefall kaum zu belegen. Wie die Abwägung methodisch auszusehen hat, regelt der Quellensatz nicht.

Sensible Daten nach Art. 11 LGPD. Sensibel sind nach Art. 5 Inciso II LGPD Angaben zu rassischer oder ethnischer Herkunft, religiöser Überzeugung, politischer Meinung, Zugehörigkeit zu einer Gewerkschaft oder zu einer religiösen, philosophischen oder politischen Organisation, zu Gesundheit oder Sexualleben sowie genetische oder biometrische Daten, wenn sie einer natürlichen Person zugeordnet sind. Ihre Verarbeitung ist nach Art. 11, der insoweit an die Stelle des Art. 7 tritt, nur mit spezifischer und hervorgehobener Einwilligung der betroffenen Person oder ihres gesetzlichen Vertreters für bestimmte Zwecke zulässig, oder ohne Einwilligung, wenn sie für einen der abschließend genannten Zwecke unerlässlich ist: gesetzliche oder regulatorische Pflicht des Verantwortlichen; gemeinsame Verarbeitung von Daten, die die öffentliche Verwaltung für die Durchführung gesetzlich oder in Verordnungen vorgesehener öffentlicher Politiken benötigt; Studien durch eine Forschungseinrichtung im Sinne von Art. 5 Inciso XVIII, mit Anonymisierung der sensiblen Daten, wo immer möglich; ordnungsgemäße Rechtsausübung einschließlich im Vertrag und in Gerichts-, Verwaltungs- und Schiedsverfahren; Schutz von Leben und Unversehrtheit; Gesundheitsschutz ausschließlich in einem Verfahren durch Gesundheitsberufe, Gesundheitsdienste oder Gesundheitsbehörden; sowie Betrugsprävention und Sicherheit der betroffenen Person in den Verfahren der Identifizierung und Authentifizierung bei der Registrierung (cadastro) in elektronischen Systemen, unter Wahrung der Informationsrechte nach Art. 9 und sofern nicht deren Grundrechte überwiegen. Das Unerlässlichkeitserfordernis gilt für diese Tatbestände ohne Einwilligung; die Einwilligung nach Inciso I verlangt stattdessen Spezifität, Hervorhebung und bestimmte Zwecke. Drei Folgen sind wichtig. Erstens fehlen hier das berechtigte Interesse und der Kreditschutz. Zweitens gibt es keine eigenständige Vertragsgrundlage wie in Art. 7; der Vertrag erscheint nur im Zusammenhang mit der Ausübung von Rechten. Drittens reicht "nützlich" nicht, verlangt ist "unerlässlich". Nach Art. 11 § 1 gelten diese Regeln auch für jede Verarbeitung, die sensible Daten offenlegt und der betroffenen Person schaden kann, vorbehaltlich spezieller Gesetze. Für Gesundheitsdaten verbietet Art. 11 § 4 die Weitergabe oder gemeinsame Nutzung zwischen Verantwortlichen zum wirtschaftlichen Vorteil. Ausgenommen sind nur Fälle der Erbringung von Gesundheitsleistungen, pharmazeutischer Versorgung und Gesundheitsversorgung einschließlich diagnostischer und therapeutischer Hilfsdienste, und auch dann nur unter Beachtung von § 5, im Interesse der betroffenen Personen und zu zwei Zwecken: der von der Person beantragten Übertragbarkeit oder der Finanz- und Verwaltungsvorgänge, die aus Nutzung und Erbringung dieser Leistungen entstehen. § 5 untersagt privaten Krankenversicherern die Risikoselektion mit Gesundheitsdaten.

Kinder und Jugendliche nach Art. 14 LGPD. Die Verarbeitung muss im besten Interesse von Kindern und Jugendlichen erfolgen, nach Art. 14 und der einschlägigen Gesetzgebung. Für Kinder verlangt § 1 die spezifische und hervorgehobene Einwilligung mindestens eines Elternteils oder des gesetzlichen Vertreters; der Verantwortliche muss mit zumutbarem Aufwand und unter Berücksichtigung der verfügbaren Technik prüfen, dass sie tatsächlich von dieser Person stammt (§ 5). Ohne diese Einwilligung dürfen Kinderdaten nur erhoben werden, soweit die Erhebung erforderlich ist, um Eltern oder Vertreter zu kontaktieren, dann einmalig genutzt und ohne Speicherung, oder soweit sie zum Schutz des Kindes erforderlich ist, und in keinem Fall ohne Einwilligung an Dritte gehen (§ 3). Die Teilnahme an Spielen, Internetanwendungen und ähnlichen Aktivitäten darf nicht von mehr Daten abhängig gemacht werden, als unbedingt nötig (§ 4). Informationen über die Verarbeitung sind einfach, klar und kindgerecht bereitzustellen (§ 6), und Datenarten, Verwendung und Rechteverfahren sind öffentlich zu halten (§ 2). Die §§ 1 bis 5 beziehen sich ausdrücklich auf Kinder oder auf die Verarbeitung nach § 1. § 6 knüpft an die in Art. 14 genannten Informationen an und stellt auf das Verständnis des Kindes und die Eltern ab; ob er auch Informationen gegenüber Jugendlichen erfasst, lässt der Wortlaut offen. Eine ausdrücklich auf Jugendliche zugeschnittene Regel enthält Art. 14 neben dem Grundsatz des besten Interesses nicht; die übrigen Regeln des Gesetzes, etwa die Rechtsgrundlagen der Art. 7 und 11 und die Betroffenenrechte, unterscheiden nicht nach Alter. Altersgrenzen nennt die LGPD nicht, und die "einschlägige Gesetzgebung", auf die sie verweist, liegt im Quellensatz nicht vor. Das ANPD-Verzeichnis führt außerdem einen Enunciado CD/ANPD 1/2023, dessen Text nicht beschafft ist. Aussagen über Altersgrenzen oder zusätzliche Pflichten aus diesen Quellen trifft dieser Artikel deshalb nicht.

Betroffenenrechte nach Art. 17 bis 22 LGPD. Art. 18 gewährt gegenüber dem Verantwortlichen jederzeit und auf Antrag: Bestätigung, dass verarbeitet wird; Zugang; Berichtigung; Anonymisierung, Sperrung oder Löschung unnötiger, übermäßiger oder rechtswidrig verarbeiteter Daten; Übertragbarkeit an einen anderen Anbieter auf ausdrücklichen Antrag nach Maßgabe einer ANPD-Regulierung und unter Wahrung von Geschäftsgeheimnissen, wobei vom Verantwortlichen bereits anonymisierte Daten nicht erfasst sind (§ 7); Löschung einwilligungsbasierter Daten, außer in den Aufbewahrungsfällen des Art. 16; Information über die Stellen, mit denen Daten geteilt wurden; Information über die Möglichkeit, die Einwilligung zu verweigern, und deren Folgen; Widerruf der Einwilligung. Ein Widerspruch gegen Verarbeitungen ohne Einwilligung ist nach Art. 18 § 2 bei einem Verstoß gegen das Gesetz vorgesehen. Art. 20 gibt das Recht, die Überprüfung von Entscheidungen zu verlangen, die ausschließlich automatisiert getroffen werden und die Interessen der Person berühren, einschließlich Profilbildung zu Person, Beruf, Konsum und Kredit; auf Verlangen sind Kriterien und Verfahren klar und angemessen zu erläutern, unter Wahrung von Geschäfts- und Industriegeheimnissen, und verweigert der Verantwortliche dies unter Berufung auf Geschäftsgeheimnisse, kann die ANPD eine Prüfung auf diskriminierende Aspekte durchführen. Dass die Überprüfung durch einen Menschen erfolgen muss, sagt der Snapshot nicht. Daten aus der Rechtsausübung dürfen nicht zum Nachteil der Person verwendet werden (Art. 21), und Rechte können einzeln oder kollektiv gerichtlich durchgesetzt werden (Art. 22).

Form und Fristen. Rechte werden auf ausdrücklichen Antrag der betroffenen Person oder eines Vertreters gegenüber einem Verarbeitungsbeteiligten (agente de tratamento) geltend gemacht (Art. 18 § 3), kostenlos und in den Fristen und nach den Bedingungen, die eine Regulierung festlegt (§ 5). Kann der Verantwortliche nicht sofort handeln, antwortet er mit der Mitteilung, für diese Daten kein Verarbeitungsbeteiligter (agente de tratamento, also weder Verantwortlicher noch Auftragsverarbeiter) zu sein, und nennt möglichst den zuständigen Beteiligten, oder er nennt die tatsächlichen oder rechtlichen Gründe, die dem sofortigen Handeln entgegenstehen (§ 4). Berichtigung, Löschung, Anonymisierung oder Sperrung sind den Verarbeitungsbeteiligten, mit denen Daten gemeinsam genutzt wurden, sofort mitzuteilen, damit diese dieselbe Maßnahme durchführen, außer wenn die Mitteilung nachweislich unmöglich ist oder unverhältnismäßigen Aufwand erfordert (§ 6). Für Bestätigung und Zugang nennt Art. 19 zwei Wege: vereinfacht und sofort, oder als klare und vollständige Erklärung mit Herkunft, gegebenenfalls Fehlen von Einträgen, Kriterien und Zweck, unter Wahrung von Geschäfts- und Industriegeheimnissen, binnen bis zu 15 Tagen ab Antrag. Die Daten sind in einem Format zu speichern, das den Zugang erleichtert (§ 1), und nach Wahl der Person elektronisch auf einem sicheren und dafür geeigneten Weg oder gedruckt bereitzustellen (§ 2). Bei Verarbeitung auf Einwilligung oder Vertrag kann die Person eine vollständige elektronische Kopie in weiterverwendbarem Format verlangen, ebenfalls unter Wahrung von Geschäfts- und Industriegeheimnissen und nach Maßgabe einer ANPD-Regulierung (Art. 19 § 3). Die ANPD kann für Sektoren abweichende Fristen festlegen (§ 4). Eine Regulierung der allgemeinen Antwortfrist nach Art. 18 § 5, der Übertragbarkeit oder der Kopie nach Art. 19 § 3 liegt im Quellensatz nicht vor, und das ANPD-Verzeichnis im Snapshot führt keine Resolução zu diesem Gegenstand. Die Frist für diese Rechte ist damit hier nicht belegt.

Kleine Verarbeiter. Für agentes de tratamento de pequeno porte, die die Bedingungen der Res. CD/ANPD 2/2022 erfüllen, verdoppelt deren Art. 14 die Frist für die vollständige Erklärung nach Art. 19 Inciso II und für die Anfragen nach Art. 18 §§ 3 und 5, Letzteres nach Maßgabe einer spezifischen Regulierung; die vereinfachte Auskunft dürfen sie nach Art. 15 binnen bis zu 15 Tagen statt sofort erteilen. Nach Art. 16 Res. CD/ANPD 2/2022 kann die ANPD einem kleinen Verarbeiter unter Berücksichtigung der Umstände, etwa Art und Umfang der Verarbeitung und Risiken für die Betroffenen, die Erfüllung der erlassenen oder erleichterten Pflichten auferlegen; wer die Voraussetzungen erfüllt, kann sich deshalb nicht abschließend auf die doppelten Fristen verlassen. Wer davon ausgeschlossen ist, etwa wegen Verarbeitung mit hohem Risiko oder Zugehörigkeit zu einer Unternehmensgruppe, deren Gesamtumsatz die gesetzlichen Grenzen übersteigt (Art. 3 Res. CD/ANPD 2/2022), behandelt der Anwendungsartikel lgpd-002. Für die Tochter eines großen deutschen Konzerns ist diese Erleichterung deshalb häufig nicht erreichbar; die Umsatzgrenzen selbst stehen in der Lei Complementar 123/2006 und für Startups in der Lei Complementar 182/2021, die beide im Quellensatz nicht vorliegen.

Durchsetzungswege. Die betroffene Person kann bei der ANPD gegen den Verantwortlichen petitionieren (Art. 18 § 1) und ebenso bei den Verbraucherschutzstellen (§ 8). Nach Art. 25 § 1 Res. CD/ANPD 1/2021 muss eine Petition an die ANPD, die Art. 4 Inciso V Res. CD/ANPD 1/2021 als Mitteilung über einen beim Verantwortlichen gestellten und nicht in der regulierten Frist gelösten Antrag bestimmt, belegen, dass das Anliegen zuvor beim Verantwortlichen eingereicht und nicht in der durch Regulierung festgelegten Frist gelöst wurde; eine Selbsterklärung der Person ist zugelassen, wenn kein anderer Beleg möglich ist. Dieselbe Voraussetzung nennt Art. 55-J Inciso V LGPD für die Befassung der ANPD. Diese Zulässigkeitsregel gilt für Petitionen bei der ANPD; für die Verbraucherschutzstellen regelt der Quellensatz keine entsprechende Voraussetzung. Maßgeblich ist, ob das Anliegen gelöst wurde, nicht nur, ob rechtzeitig geantwortet wurde. Eine dokumentierte Bearbeitung belegt das eigene Vorgehen, schließt eine Petition aber nicht aus.

Umsetzungsperspektive

1. Rechtsgrundlagen je Verarbeitung neu begründen. Für jede Verarbeitung mit Brasilienbezug die Grundlage aus Art. 7 LGPD, bei sensiblen Daten aus Art. 11 LGPD, benennen, nicht aus der europäischen Dokumentation übernehmen.
2. Berechtigtes Interesse dokumentieren. Konkrete Situation, Zweck, Erforderlichkeit der einzelnen Datenfelder und Transparenzmaßnahme schriftlich festhalten, damit eine Anforderung der ANPD nach Art. 10 § 3 bedient werden kann.
3. Sensible Daten separat inventarisieren. Jede Verarbeitung sensibler Daten gegen den geschlossenen Katalog des Art. 11 prüfen. Wird sie ohne Einwilligung auf einen Tatbestand des Inciso II gestützt, die Unerlässlichkeit für diesen Zweck begründen; wo keiner trägt, bleibt nur die spezifische, hervorgehobene Einwilligung für bestimmte Zwecke. Die allgemeinen Pflichten, etwa die Grundsätze, gelten in beiden Fällen.
4. Einwilligungen beweisbar machen. Hervorgehobene Klausel, Zweckbindung, Protokollierung, kostenloser Widerrufsweg; die Beweislast liegt beim Verantwortlichen. Informationen nach Art. 9 bereitstellen, bei Kopplung an Produkt, Leistung oder Recht hervorgehoben samt den Wegen zur Rechtsausübung, und Änderungen nach Art. 8 § 6 und Art. 9 § 2 mit Widerrufsmöglichkeit mitteilen.
5. Kinder- und Jugenddaten erkennen. Dienste, die Kinder erreichen können, mit Verfahren zur Prüfung der elterlichen Einwilligung und Datensparsamkeit ausstatten; Altersgrenzen und Zusatzpflichten aus der Spezialgesetzgebung lokal klären lassen.
6. Betroffenenprozess auf brasilianische Fristen einstellen. Vereinfachte Sofortauskunft und vollständige Erklärung binnen bis zu 15 Tagen vorsehen, die Erklärung unter Wahrung von Geschäfts- und Industriegeheimnissen; Daten in einem zugangsfreundlichen Format speichern und elektronische Auskünfte nur über einen sicheren, geeigneten Kanal bereitstellen; für die übrigen Rechte den aktuellen Regulierungsstand bei der ANPD oder lokaler Beratung erheben, bevor eine Frist im System hinterlegt wird.
7. Weitergabeketten mitdenken. Für die Pflicht nach Art. 18 § 6 muss bekannt sein, mit wem Daten gemeinsam genutzt wurden, und die Mitteilung muss sofort und so erfolgen, dass die Empfänger dieselbe Berichtigung, Löschung, Anonymisierung oder Sperrung durchführen; entfallen kann sie nur, wenn sie nachweislich unmöglich ist oder unverhältnismäßigen Aufwand erfordert, und das sollte dann dokumentiert sein.

Typische Fehler

1. Rechtsgrundlagen werden aus dem DSGVO-Verzeichnis übernommen, ohne sie gegen Art. 7 LGPD oder, bei sensiblen Daten, gegen Art. 11 LGPD zu begründen.
2. Sensible Daten werden auf berechtigtes Interesse oder auf die bloße Vertragsdurchführung gestützt, obwohl Art. 11 LGPD weder das eine noch eine eigenständige Vertragsgrundlage kennt; der Vertrag erscheint dort nur im Rahmen der ordnungsgemäßen Rechtsausübung und nur, wenn die Verarbeitung dafür unerlässlich ist.
3. Die Abwägung zum berechtigten Interesse liegt nur im Kopf der Fachabteilung und nicht schriftlich vor.
4. Die Einwilligung steht im Fließtext der Geschäftsbedingungen statt in einer hervorgehobenen Klausel.
5. Der Betroffenenprozess kennt nur eine Frist und nicht die vereinfachte Sofortauskunft und die 15-Tage-Erklärung nach Art. 19.
6. Für andere Rechte wird eine Frist als feststehend behandelt, die im eigenen Quellenstand gar nicht belegt ist.
7. Die Erleichterungen für kleine Verarbeiter werden für die brasilianische Tochter eines Konzerns angenommen, ohne die Konzernumsatzgrenze geprüft zu haben, oder als unentziehbar behandelt, obwohl die ANPD sie nach Art. 16 Res. CD/ANPD 2/2022 im Einzelfall zurücknehmen kann.
8. Kinderdaten werden mit einer Altersgrenze aus einer anderen Rechtsordnung behandelt, ohne die brasilianische Spezialgesetzgebung zu prüfen.

Risiken und Trade-offs

Der Grundkonflikt liegt zwischen Einheitlichkeit und lokaler Genauigkeit. Ein konzernweiter Betroffenenprozess mit einer einzigen Frist ist einfach zu betreiben, verfehlt aber die brasilianische Sofortauskunft und kann bei der vollständigen Erklärung zu spät sein. Ein lokaler Sonderprozess ist genauer, kostet aber Pflege und eine portugiesischsprachige Bearbeitung.

Bei der Rechtsgrundlage steht Einwilligung gegen gesetzliche Grundlage. Die Einwilligung wirkt sicher, ist aber jederzeit widerruflich, trägt die Beweislast und fällt bei irreführender Information in sich zusammen. Das berechtigte Interesse ist flexibler, verlangt aber eine belastbare Dokumentation und kann eine Folgenabschätzung auf Anforderung der ANPD nach sich ziehen. Für sensible Daten gibt es diese Wahl nur eingeschränkt.

Schließlich das Risiko der Lücke im eigenen Quellenstand: Wo die allgemeine Antwortfrist nicht belegt ist, kann eine selbst gesetzte kurze Frist Aufwand erzeugen und eine lange Frist Verstöße. Die belastbare Antwort ist, die Lücke zu schließen, nicht eine Zahl zu raten.

Entscheidungspunkte

• Wer verantwortet die Zuordnung der Rechtsgrundlagen für brasilianische Verarbeitungen, und wie wird sie dokumentiert?
• Stützen wir Verarbeitungen auf berechtigtes Interesse, und sind wir bereit, die Abwägung so zu dokumentieren, dass sie der ANPD vorgelegt werden kann?
• Welche sensiblen Daten verarbeitet die brasilianische Einheit, und welcher Tatbestand des Art. 11 trägt jeweils?
• Erreichen unsere Dienste Kinder oder Jugendliche in Brasilien, und wer klärt die einschlägige Spezialgesetzgebung?
• Betreiben wir einen eigenen brasilianischen Betroffenenprozess, und wer stellt den aktuellen Fristenstand für die nicht in Art. 19 geregelten Rechte fest?

Praktische Empfehlungen

• Ein brasilianisches Rechtsgrundlagenregister führen, das je Verarbeitung die Grundlage nach Art. 7 oder Art. 11 LGPD nennt und begründet.
• Für jede Verarbeitung auf berechtigtem Interesse eine kurze, datierte Abwägung ablegen und im Verarbeitungsverzeichnis darauf verweisen.
• Sensible Daten standardmäßig als Einwilligungs- oder Unerlässlichkeitsfall behandeln und die Begründung freigeben lassen.
• Im Betroffenenportal die vereinfachte Sofortauskunft technisch ermöglichen, die 15-Tage-Frist für die vollständige Erklärung als Höchstgrenze hinterlegen und die elektronische Bereitstellung über einen sicheren, geeigneten Kanal führen.
• Für die übrigen Rechte den Regulierungsstand der ANPD aktiv beobachten und bis zur Klärung zügig, ohne selbst gesetzte Fristbehauptung, bearbeiten.
• Anfragen, Antworten und das Ergebnis vollständig protokollieren; das belegt die ordnungsgemäße Bearbeitung, schließt eine Petition bei ANPD oder Verbraucherschutz aber nicht aus. Ziel ist die Lösung des Anliegens, nicht nur eine fristgerechte Antwort.
• In Grenzfällen, etwa Kreditschutz, Kinderdaten oder Gesundheitsdaten, brasilianische Rechtsberatung einholen.

Relevante Normreferenzen

• LGPD (Lei 13.709/2018, kompilierte Fassung Planalto): Art. 5 Incisos II, IX, XII und XVIII (Begriffe sensible Daten, Verarbeitungsbeteiligte, Einwilligung, Forschungseinrichtung), Art. 7 (Rechtsgrundlagen, §§ 3 bis 7), Art. 8 (Einwilligung, § 6 Änderungsmitteilung), Art. 9 (Information, §§ 2 und 3), Art. 10 (berechtigtes Interesse), Art. 11 (sensible Daten), Art. 14 (Kinder und Jugendliche), Art. 16 (Aufbewahrung), Art. 17 bis 22 (Betroffenenrechte), Art. 37 (Verzeichnis bei berechtigtem Interesse), Art. 55-J Inciso V (Petition an die ANPD nach erfolglosem Antrag beim Verantwortlichen).
• Res. CD/ANPD 2/2022 in der Fassung der Res. CD/ANPD 15/2024: Art. 3 (Ausschluss von den Erleichterungen), Art. 7 (Form der Information und Anfragebearbeitung), Art. 14 und 15 (Fristen für kleine Verarbeiter), Art. 16 (Anordnung der erleichterten Pflichten durch die ANPD).
• Res. CD/ANPD 1/2021, Anhang: Art. 4 Inciso V (Begriff der Petition der betroffenen Person) und Art. 25 § 1 (Zulässigkeit der Petition an die ANPD).
• Abgrenzung: Anwendungsbereich, Rollen und die Voraussetzungen für kleine Verarbeiter in lgpd-002; Encarregado als Anlaufstelle für Betroffene, Verzeichnis und Folgenabschätzung in lgpd-004; Sanktionen in lgpd-007. Die DSGVO-Pflichten des deutschen Unternehmens selbst stehen im dsgvo-Track; Vergleiche hier dienen nur der Orientierung und treffen keine DSGVO-Rechtsaussage.