Durchsetzung, Sanktionen und Haftung nach LGPD: was die ANPD verhängen kann, worauf sich der Umsatzbezug richtet und wie die zivilrechtliche Haftung daneben wirkt

Problem in der Praxis

Das erste Muster ist die falsche Bezugsgröße. Wer Bußgeldrisiken aus anderen Rechtsordnungen gewohnt ist, rechnet reflexhaft mit dem Weltumsatz der Gruppe. Die LGPD stellt ausdrücklich auf den Umsatz in Brasilien ab, und die Bemessungsverordnung beginnt sogar beim betroffenen Geschäftszweig. Für eine kleine brasilianische Vertriebstochter eines großen Konzerns sieht das Bußgeldrisiko deshalb anders aus als erwartet; der Deckel von 50 Millionen Reais gilt aber je Verstoß, nicht je Verfahren.

Das zweite Muster ist die Fixierung auf Bußgelder. Für ein Unternehmen, das in Brasilien Daten verarbeitet, sind Sperrung, Löschung, Aussetzung und Verbot einer Verarbeitung operativ oft folgenreicher als eine Geldbuße, und die Veröffentlichung des Verstoßes ist eine Reputationsfrage. Hinzu kommt die zivilrechtliche Haftung mit möglicher Beweislastumkehr, Sammelklagen und Gesamtschuld zwischen Beteiligten.

Das dritte Muster ist die Unterschätzung des Verfahrens selbst. Die Aufsicht der ANPD kennt neben der Repression Beobachtung, Orientierung und Präventivmaßnahmen, und ein Sanktionsverfahren muss nicht am Anfang stehen. Die ANPD kann es aber wegen Schwere und Art des Verstoßes, der betroffenen Rechte, einer Wiederholung, des Schadensgrads oder der drohenden Verjährung auch sofort eröffnen, ohne Vorverfahren und ohne vorherige Orientierungs- oder Präventivmaßnahmen. Wer eine Präventivmaßnahme oder eine Anordnung ignoriert, verschlechtert seine Lage im späteren Sanktionsverfahren: Orientierungs- oder Präventivmaßnahmen, die in der Aufsicht oder im vorausgegangenen Vorverfahren nicht befolgt wurden, und nicht befolgte Abhilfemaßnahmen führen zu festen Zuschlägen, jeweils bis zu einer Höchstgrenze. Und Fristen im Verfahren sind kurz und laufen in Arbeitstagen, auch für eine deutsche Muttergesellschaft, die über ihre brasilianische Niederlassung erreicht wird.

CISO-Einordnung

Wer sanktioniert, und seit wann. Die Sanktionen des Art. 52 LGPD verhängt ausschließlich die ANPD; ihre Zuständigkeit geht im Datenschutz den verwandten Zuständigkeiten anderer Behörden vor (Art. 55-K). Die Sanktionsnormen Art. 52 bis 54 gelten nach Art. 65 Nr. I-A seit dem 01.08.2021. Die Sanktionen ersetzen ausdrücklich nicht die verwaltungs-, zivil- oder strafrechtlichen Sanktionen der Lei 8.078/1990 und spezieller Gesetze (Art. 52 Abs. 2); deren Inhalt liegt dem Quellensatz nicht vor.

Der Sanktionskatalog in Grundzügen. Der Katalog des Art. 52 LGPD lässt sich in drei Stufen lesen. Die erste ist die Verwarnung mit Frist für Abhilfemaßnahmen. Die mittlere Stufe umfasst die einfache Geldbuße, das tägliche Zwangsgeld, die Veröffentlichung des Verstoßes nach dessen Feststellung, die Sperrung der betroffenen Daten bis zur Bereinigung, wobei das Unternehmen die Bereinigung gegenüber der ANPD nachweisen muss und erst nach deren Freigabe entsperren darf (Art. 22 § 3 der Resolução 4/2023), und ihre Löschung. Die schwerste Stufe sind die teilweise Aussetzung der betroffenen Datenbank und die Aussetzung der betroffenen Verarbeitungstätigkeit, jeweils für höchstens sechs Monate, verlängerbar um denselben Zeitraum, sowie das teilweise oder vollständige Verbot von Verarbeitungstätigkeiten. Den Betrieb einer teilweise ausgesetzten Datenbank darf das Unternehmen erst wieder aufnehmen, wenn es die Bereinigung nachgewiesen hat (Art. 24 § 4 der Resolução 4/2023). Diese schwerste Stufe darf nur verhängt werden, wenn im selben konkreten Fall bereits mindestens eine Sanktion der mittleren Stufe verhängt wurde, und bei Verantwortlichen, die einer anderen Sanktionsbehörde unterstehen, erst nach deren Anhörung. Für das Verbot muss außerdem einer der drei Fälle des Art. 26 der Resolução 4/2023 vorliegen: die Wiederholung eines Verstoßes, der mit einer Aussetzung von Datenbank oder Verarbeitung geahndet wurde, eine Verarbeitung zu rechtswidrigen Zwecken oder ohne Rechtsgrundlage, oder der Verlust oder die Nichterfüllung der technischen und operativen Voraussetzungen für eine ordnungsgemäße Verarbeitung. Die Resolução 4/2023 konkretisiert die Anhörung: Die sektorale Aufsicht erhält bis zu zwanzig Arbeitstage, einmal verlängerbar.

Wann welche Sanktion. Die Resolução 4/2023 teilt Verstöße in leicht, mittel und schwer ein. Mittel ist ein Verstoß, der Interessen und Grundrechte der Betroffenen erheblich beeinträchtigen kann. Schwer ist er, wenn zu diesen Voraussetzungen mindestens einer der in der Resolução abschließend genannten Umstände hinzukommt: großer Umfang, ein erzielter oder angestrebter wirtschaftlicher Vorteil, ein Risiko für das Leben, sensible Daten oder Daten von Kindern, Jugendlichen oder älteren Menschen, eine Verarbeitung ohne Rechtsgrundlage, rechtswidrige oder missbräuchliche diskriminierende Wirkungen oder systematische Rechtsverstöße, und unabhängig davon immer dann, wenn der Verstoß eine Behinderung der Aufsicht ist. Eine Verwarnung kommt bei leichten und mittleren Verstößen ohne einschlägige Wiederholung in Betracht oder wenn Abhilfemaßnahmen nötig sind. Eine einfache Geldbuße verhängt die ANPD, wenn Präventiv- oder Abhilfemaßnahmen nicht fristgerecht umgesetzt wurden, wenn der Verstoß schwer ist oder wenn eine andere Sanktion nicht angemessen ist.

Die Bußgeldobergrenze und worauf sich der Umsatz bezieht. Nach Art. 52 Nr. II LGPD beträgt die einfache Geldbuße bis zu 2 % des Umsatzes der juristischen Person des Privatrechts, ihrer Gruppe oder ihres Konglomerats in Brasilien im letzten Geschäftsjahr, ohne Steuern, insgesamt begrenzt auf 50 Millionen Reais je Verstoß. Das tägliche Zwangsgeld unterliegt demselben Gesamtdeckel. Die Resolução 4/2023 wiederholt diese Begrenzung für das Endergebnis der Bemessung. Drei Feinheiten:

• Für den Ausgangswert zählt nach Art. 11 der Resolução der Umsatz des Geschäftszweigs (ramo de atividade empresarial), in dem der Verstoß geschah. Betrifft der Verstoß mehrere Zweige oder werden die Daten für andere Zweige des Unternehmens oder der Gruppe genutzt, werden deren Umsätze zusammengerechnet.
• Nur wenn der Umsatz des Geschäftszweigs nicht verfügbar ist oder unvollständig oder nicht eindeutig belegt wird, kann die ANPD den gesamten Umsatz von Unternehmen oder Gruppe in Brasilien heranziehen (Art. 52 Abs. 4 LGPD) oder einen Wert selbst festlegen. Belastbare Umsatzzahlen je Geschäftszweig sind deshalb eine Frage der Bußgeldhöhe.
• Wie aus dem Ausgangswert eine Zahl wird, regelt die Methodik in Anhang I, die Mindestbeträge in Anhang II der Resolução 4/2023. Beide Anhänge enthält der Snapshot des Quellensatzes nicht. Ist ein erzielter oder angestrebter wirtschaftlicher Vorteil schätzbar, tritt nach Art. 15 an die Stelle der Mindestbeträge das Doppelte dieses Vorteils, stets begrenzt durch den gesetzlichen Deckel.

Erschwerende und mildernde Umstände. Die Resolução 4/2023 legt feste Zuschläge und Abschläge auf den Ausgangswert fest. Zuschläge gibt es für einschlägige und allgemeine Wiederholung innerhalb von fünf Jahren nach bestandskräftigem Abschluss eines Sanktionsverfahrens sowie für nicht befolgte Orientierungs- oder Präventivmaßnahmen aus der Aufsicht oder dem Vorverfahren, das dem Sanktionsverfahren vorausging, und für nicht befolgte Abhilfemaßnahmen, je Maßnahme mit einem festen Satz und jeweils bis zu einer Höchstgrenze; ist die Höchstgrenze erreicht, erhöht eine weitere Maßnahme den Zuschlag nicht mehr. Abschläge gibt es vor allem für das Abstellen des Verstoßes, und zwar umso höher, je früher: 75 %, wenn das vor einem Vorverfahren der ANPD geschieht, mit absteigenden Sätzen in späteren Verfahrensstadien, längstens bis zur erstinstanzlichen Entscheidung; für ein erstmaliges Abstellen danach sieht die Resolução keinen Abschlag vor. Weitere Abschläge gibt es für eine Governance-Politik oder nachweislich wiederholt angewandte Schutzmechanismen (20 % bis zur erstinstanzlichen Entscheidung), für nachgewiesene Maßnahmen zur Umkehr oder Abmilderung der Folgen, sofern sie vor Eröffnung des Sanktionsverfahrens ergriffen werden, und für Kooperation oder guten Glauben. Abstellen und Folgenminderung, die nur in Erfüllung einer behördlichen oder gerichtlichen Anordnung geschehen, mindern nicht, und den Nachweis der mildernden Umstände trägt das Unternehmen. Wer auf ein Rechtsmittel gegen die erstinstanzliche Entscheidung ausdrücklich verzichtet und fristgerecht zahlt, erhält 25 % Nachlass.

Die Bemessungskriterien des Gesetzes. Art. 52 Abs. 1 LGPD verlangt, Sanktionen nach einem Verfahren mit umfassendem Verteidigungsrecht stufenweise, einzeln oder kumulativ zu verhängen und dabei unter anderem Schwere und Art des Verstoßes, guten Glauben, erlangten Vorteil, wirtschaftliche Lage, Wiederholung, Schadensumfang, Kooperation, nachweislich wiederholt angewandte interne Schutzmechanismen, eine Politik guter Praxis und Governance, schnelle Abhilfe und Verhältnismäßigkeit zu berücksichtigen. Die ANPD darf von der Bemessungsmethodik abweichen oder eine Sanktion durch eine andere ersetzen, wenn sonst die Verhältnismäßigkeit verletzt wäre, muss das aber konkret begründen.

Tägliches Zwangsgeld, Zahlung, Veröffentlichung. Das tägliche Zwangsgeld dient dazu, eine nicht finanzielle Sanktion oder eine Anordnung der ANPD fristgerecht durchzusetzen, und kommt auch in Betracht, wenn festgestellte Mängel nach Mitteilung nicht in der gesetzten Frist behoben werden, bei Behinderung der Aufsicht, soweit das Zwangsgeld nötig ist, um sie zu beenden, und bei Dauerverstößen, die bis zur Entscheidung nicht abgestellt sind. Es kumuliert bis zum Deckel von 50 Millionen Reais je Verstoß; seine Festsetzung muss Pflicht, Frist und Tagessatz nennen (Art. 54 LGPD). Bußgelder sind binnen zwanzig Arbeitstagen nach amtlicher Kenntnisnahme zu zahlen, kleine Verarbeiter erhalten die doppelte Frist; bei Verzug fallen Zinsen und ein Säumniszuschlag an. Die Zahlung schließt ein Rechtsmittel nicht aus. Die Sanktion der Veröffentlichung nimmt das Unternehmen selbst und auf eigene Kosten vor; sie ist von der Bekanntmachung der Entscheidung im Diário Oficial da União zu unterscheiden. Bei Sperrung oder Löschung muss das Unternehmen die Empfänger gemeinsam genutzter Daten unverzüglich informieren, damit sie gleich verfahren, außer die Mitteilung ist nachweislich unmöglich oder mit unverhältnismäßigem Aufwand verbunden; ob das zutrifft, bewertet die ANPD (Art. 22 § 2 und Art. 23 § 2 der Resolução 4/2023).

Das Aufsichtsverfahren in Grundzügen (Resolução CD/ANPD 1/2021). Die Aufsicht hat vier Tätigkeitsformen: Beobachtung (monitoramento), Orientierung, Prävention und Repression. Präventivmaßnahmen sind etwa ein Hinweis, eine Aufforderung zur Bereinigung oder ein Konformitätsplan; sie sind keine Sanktionen, aber ihre Nichtbefolgung führt zu weiteren Maßnahmen und zählt im Sanktionsverfahren als erschwerender Umstand. Unternehmen unterliegen Mitwirkungspflichten: Unterlagen und Informationen vorlegen, Zugang zu Einrichtungen und Systemen gewähren, Audits dulden, Unterlagen aufbewahren und einen sachkundigen Vertreter stellen. Die Verletzung dieser Pflichten kann als Behinderung der Aufsicht gewertet werden. Das Sanktionsverfahren kann von Amts wegen, aus der Beobachtung oder auf eine Eingabe hin eröffnet werden, bei unklarer Lage nach einem Vorverfahren, das vertraulich geführt werden kann, etwa wegen der Schwere des Verstoßes auch sofort ohne Vorverfahren und ohne vorherige Orientierungs- oder Präventivmaßnahmen. Im Sanktionsverfahren wird ein auto de infração ausgestellt, der die vorgeworfene Handlung und die betroffene Vorschrift benennt; er ist eine Anschuldigung, kein Bußgeldbescheid. Nach seiner Bekanntgabe hat das Unternehmen höchstens zehn Arbeitstage für seine Verteidigung (Art. 46 und 47); über eine Sanktion entscheidet erst die erste Instanz. Die erste Instanz entscheidet die Coordenação-Geral de Fiscalização; gegen ihre Entscheidung ist binnen zehn Arbeitstagen ein Rechtsmittel an den Conselho Diretor möglich, dessen aufschiebende Wirkung grundsätzlich auf den angegriffenen Teil beschränkt ist, außer bei begründeter Befürchtung eines schwer oder ungewiss wiedergutzumachenden Nachteils durch den Vollzug der angegriffenen Entscheidung (Art. 60). Kann das Rechtsmittel die Lage des Unternehmens verschlechtern, ist es vor der Entscheidung zu hören (Art. 65 § 1). Möglich sind außerdem der Vorschlag einer Verpflichtungsvereinbarung (termo de ajustamento de conduta) und die Wiederaufnahme bei neuen Tatsachen, die nicht zu einer Verschärfung führen darf.

Fristen und Zustellung. Fristen der Resolução 1/2021 laufen in Arbeitstagen ab der amtlichen Kenntnisnahme. Bei elektronischer Zustellung gilt die Kenntnisnahme mit dem Abruf, spätestens aber zehn Arbeitstage nach Versand als erfolgt; auch Zustellung über internationale Kooperationsmechanismen ist vorgesehen. Ein nicht überwachtes Postfach lässt also Fristen laufen. Wie ein ausländisches Unternehmen über seine brasilianische Niederlassung zugestellt wird (Art. 61 LGPD), behandelt lgpd-002.

Zivilrechtliche Haftung (Art. 42 bis 45 LGPD). Wer als Verantwortlicher oder Auftragsverarbeiter bei der Verarbeitung unter Verletzung des Datenschutzrechts einem anderen einen materiellen oder immateriellen, individuellen oder kollektiven Schaden zufügt, muss ihn ersetzen. Der Auftragsverarbeiter haftet gesamtschuldnerisch, wenn er gegen Datenschutzrecht verstößt oder rechtmäßige Weisungen nicht befolgt, und wird dann einem Verantwortlichen gleichgestellt. Mehrere unmittelbar beteiligte Verantwortliche haften ebenfalls gesamtschuldnerisch. Wer den Schaden ersetzt, kann bei den übrigen Haftenden (demais responsáveis) nach dem Anteil ihrer Beteiligung am Schadensereignis Rückgriff nehmen, gegebenenfalls also auch bei einem haftenden Auftragsverarbeiter. Kollektive Schäden können gebündelt eingeklagt werden. Das Gericht kann die Beweislast zugunsten des Betroffenen umkehren, wenn dessen Vorbringen plausibel ist, er für die Beweisführung unterlegen ist oder die Beweisführung für ihn übermäßig belastend wäre.

Entlasten kann sich ein Verarbeiter nach Art. 43 nur mit dem Nachweis, dass er die Verarbeitung nicht vorgenommen hat, dass er sie zwar vorgenommen, aber kein Datenschutzrecht verletzt hat, oder dass der Schaden allein auf Verschulden des Betroffenen oder eines Dritten beruht. Rechtswidrig ist eine Verarbeitung nach Art. 44 auch dann, wenn sie nicht die Sicherheit bietet, die der Betroffene unter Berücksichtigung der Art der Verarbeitung, der vernünftigerweise zu erwartenden Ergebnisse und Risiken und der zum Zeitpunkt verfügbaren Techniken erwarten darf. Für Schäden aus einer Sicherheitsverletzung haftet, wer die Sicherheitsmaßnahmen nach Art. 46 nicht ergriffen und dadurch den Schaden verursacht hat. Damit wird der Stand der Sicherheitsmaßnahmen zur Haftungsfrage. Bei Verbraucherverhältnissen gelten nach Art. 45 weiterhin die Haftungsregeln der einschlägigen Gesetzgebung; deren Inhalt liegt dem Quellensatz nicht vor.

Einzelne Datenabflüsse. Nach Art. 52 Abs. 7 LGPD können einzelne Datenabflüsse oder unbefugte Zugriffe Gegenstand einer direkten Einigung zwischen Verantwortlichem und Betroffenem sein; kommt keine Einigung zustande, bleibt das Unternehmen den Sanktionen ausgesetzt.

Umsetzungsperspektive

1. Bezugsgröße kennen. Den brasilianischen Umsatz je Gesellschaft und je Geschäftszweig so führen, dass er gegenüber der ANPD eindeutig und belegbar vorgelegt werden kann.
2. Governance belegbar machen. Ein Datenschutz-Governance-Programm und wiederholt angewandte Schutzmechanismen sind Bemessungskriterium und Abschlagsgrund; als Abschlagsgrund (20 %) zählen sie nur, wenn das Unternehmen sie nachweist und sie bis zur erstinstanzlichen Entscheidung umgesetzt sind (Art. 13 II und § 3 der Resolução 4/2023). Für die Berücksichtigung als Bemessungskriterium nach Art. 52 § 1 LGPD nennt das Gesetz keinen solchen Stichtag.
3. Behördenkontakt organisieren. Elektronische Zustellkanäle überwachen, einen sachkundigen Vertreter für Anfragen der ANPD benennen und die Fristen in Arbeitstagen in den Rechtsfristenkalender übernehmen.
4. Präventivmaßnahmen ernst nehmen. Hinweise und Aufforderungen der ANPD wie Anordnungen behandeln. Nicht befolgte Orientierungs- oder Präventivmaßnahmen aus der Aufsicht oder dem Vorverfahren und nicht befolgte Abhilfemaßnahmen führen bei einer späteren Geldbuße zu Zuschlägen, jeweils bis zu einer Höchstgrenze, und die Nichtbefolgung kann selbst ein Grund für eine Geldbuße sein (Art. 10 und 12 der Resolução 4/2023).
5. Früh abstellen. Der Abschlag für das Abstellen eines Verstoßes ist am höchsten vor einem Vorverfahren, reicht längstens bis zur erstinstanzlichen Entscheidung und entfällt, wenn das Abstellen bloß eine Anordnung erfüllt; Entscheidungswege für schnelle Abhilfe vorab festlegen.
6. Haftung vertraglich ordnen. Zwischen Verantwortlichen und Auftragsverarbeitern, auch im Konzern, Rückgriff, Weisungen und Sicherheitsmaßnahmen regeln, weil das Gesetz gesamtschuldnerische Haftung vorsieht.
7. Sicherheitsmaßnahmen am Stand der Technik ausrichten und dokumentieren, weil Art. 44 die Haftung an die verfügbaren Techniken zum Zeitpunkt der Verarbeitung knüpft.

Typische Fehler

1. Das Bußgeldrisiko wird am weltweiten Konzernumsatz gemessen, obwohl die LGPD auf den Umsatz in Brasilien abstellt.
2. Der Deckel von 50 Millionen Reais wird als Obergrenze je Verfahren verstanden statt je Verstoß.
3. Es wird übersehen, dass der Ausgangswert am betroffenen Geschäftszweig ansetzt, und dass bei unvollständigen, nicht eindeutig belegten oder verspäteten Umsatzangaben die ANPD den Umsatzwert selbst festlegt, wobei sie unter anderem den Gesamtumsatz in Brasilien heranziehen kann.
4. Präventivmaßnahmen der ANPD werden als unverbindlich behandelt.
5. Mitwirkungspflichten werden verletzt, obwohl das als Behinderung der Aufsicht gewertet werden kann und ein Verstoß, der die Aufsicht behindert, stets als schwer gilt.
6. Die zivilrechtliche Haftung mit möglicher Beweislastumkehr und Gesamtschuld wird neben dem Bußgeldrisiko nicht bewertet.
7. Elektronische Zustellungen werden nicht überwacht, sodass Verteidigungs- und Rechtsmittelfristen ungenutzt ablaufen.
8. Behauptete Governance-Maßnahmen können im Verfahren nicht belegt werden.

Risiken und Trade-offs

Der erste Zielkonflikt liegt zwischen Verteidigung und Kooperation. Ein Rechtsmittelverzicht bringt 25 % Nachlass, frühes Abstellen bis zu 75 %, Kooperation weitere Abschläge; wer jedes Verfahren voll ausstreitet, verliert diese Abschläge teilweise. Umgekehrt ist ein Rechtsmittel nicht risikolos: Kann die Entscheidung darüber die Lage des Unternehmens verschlechtern, ist es vorher zu hören (Art. 65 § 1 der Resolução 1/2021). Wie sich ein frühes Einlenken im Verwaltungsverfahren auf einen parallelen Zivilprozess auswirkt, regeln die Quellen nicht. Die Abwägung gehört zur Leitung und zur brasilianischen Rechtsberatung, nicht zur Fachabteilung.

Der zweite liegt in der Konzernstruktur. Die Bezugsgröße des brasilianischen Umsatzes schützt vor Weltumsatz-Bußgeldern, aber Gruppen- und Konglomeratsumsatz in Brasilien wird mitgezählt, und gesamtschuldnerische Haftung im Zivilrecht kann mehrere Gruppengesellschaften treffen, die an der Verarbeitung unmittelbar beteiligt sind.

Der dritte betrifft die Sicherheitsinvestition. Weil Art. 44 die Haftung an die zum Zeitpunkt verfügbaren Techniken knüpft und Art. 52 Governance und Schutzmechanismen als Milderungsgrund anerkennt, ist dokumentierte Sicherheit doppelt wirksam. Im Sanktionsverfahren muss das Unternehmen die mildernden Umstände nachweisen (Art. 13 § 3 der Resolução 4/2023); was es nicht belegen kann, hilft beim Abschlag nicht. Im Haftungsprozess kommt es darauf an, ob unterlassene Sicherheitsmaßnahmen den Schaden verursacht haben (Art. 44 Parágrafo único LGPD); fehlende Dokumentation setzt das Gesetz dort nicht mit fehlender Sicherheit gleich.

Entscheidungspunkte

• Wie führen wir den brasilianischen Umsatz je Geschäftszweig so, dass wir ihn der ANPD eindeutig belegen können?
• Wer ist Ansprechpartner und Vertreter gegenüber der ANPD, und wer überwacht Zustellungen?
• Ab welchem Punkt entscheiden wir zwischen frühem Abstellen, Verpflichtungsvereinbarung und Verteidigung, und wer entscheidet?
• Wie verteilen wir Haftung und Rückgriff vertraglich zwischen den Gruppengesellschaften und gegenüber Dienstleistern?
• Wie weisen wir unser Governance-Programm und unsere Schutzmechanismen nach, bevor ein Verfahren beginnt?

Praktische Empfehlungen

• Ein Register der Interaktionen mit der ANPD führen, mit Fristen in Arbeitstagen und Verantwortlichen.
• Governance-Programm, Schulungen, Audits und Abhilfen fortlaufend dokumentieren, weil sie als Milderungsgründe nur mit Nachweis zählen.
• Präventivmaßnahmen und Anordnungen mit eigener Nachverfolgung bis zum Nachweis der Erledigung bearbeiten.
• In Verträgen mit Auftragsverarbeitern und Gruppengesellschaften Weisungen, Sicherheitsmaßnahmen und Rückgriff ausdrücklich regeln.
• Für jede Bewertung einer konkreten Bußgeldhöhe oder eines konkreten Haftungsrisikos brasilianische Rechtsberatung einbinden; die Anhänge der Resolução 4/2023 gesondert beschaffen und auswerten lassen, bevor mit Zahlen gerechnet wird.

Relevante Normreferenzen

• LGPD (Lei 13.709/2018, kompilierte Fassung des Planalto): Art. 42 (Schadensersatz, Gesamtschuld, Beweislastumkehr, Sammelklagen, Rückgriff), Art. 43 (Entlastungsgründe), Art. 44 (rechtswidrige Verarbeitung, Haftung bei Sicherheitsverletzung), Art. 45 (Verbraucherverhältnisse), Art. 46 (Sicherheitsmaßnahmen als Haftungsmaßstab), Art. 52 (Sanktionskatalog, Bußgeldobergrenze mit Bezug auf den Umsatz in Brasilien, Bemessungskriterien, Abs. 2 Verhältnis zu anderen Gesetzen, Abs. 4 Gesamtumsatz, Abs. 6 Voraussetzungen der schwersten Sanktionen, Abs. 7 direkte Einigung), Art. 53 (Bemessungsverordnung), Art. 54 (tägliches Zwangsgeld), Art. 55-J Nr. IV und Art. 55-K (Zuständigkeit der ANPD), Art. 65 Nr. I-A (Geltung der Sanktionen ab 01.08.2021).
• Resolução CD/ANPD 4/2023 (Regulamento de Dosimetria e Aplicação de Sanções Administrativas): Art. 2 (Begriffe, darunter Gruppe, Geschäftszweig, Wiederholung), Art. 3 (Sanktionen, Anhörung der sektoralen Aufsicht), Art. 7 und 8 (Kriterien, Einstufung leicht, mittel, schwer), Art. 9 und 10 (Verwarnung, einfache Geldbuße), Art. 11 (Ausgangswert, Umsatzbegriff), Art. 12 bis 15 (Zuschläge, Abschläge, Unter- und Obergrenze), Art. 16 (tägliches Zwangsgeld), Art. 17 bis 19 (Zahlung, Rechtsmittelverzicht), Art. 20 bis 26 (nicht finanzielle Sanktionen), Art. 27 (Verhältnismäßigkeit), Art. 28 (laufende Verfahren). Anhang I (Methodik) und Anhang II (Mindestbeträge) liegen dem Quellensatz nicht vor.
• Resolução CD/ANPD 1/2021 (Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador), mit Änderungen durch die Resolução 4/2023: Art. 5 und 6 (Mitwirkungspflichten, Behinderung), Art. 8 und 12 (Fristen, Kenntnisnahme), Art. 15 bis 17 (Tätigkeitsformen und Grundsätze), Art. 32 und 35 (Präventivmaßnahmen), Art. 37 bis 69 (Vorverfahren, Sanktionsverfahren, sofortige Eröffnung nach Art. 42, auto de infração nach Art. 46 und 47, Verpflichtungsvereinbarung, Entscheidung, Rechtsmittel und aufschiebende Wirkung nach Art. 60, Anhörung vor Verschlechterung nach Art. 65, Wiederaufnahme).
• Resolução CD/ANPD 2/2022: Begriff der kleinen Verarbeiter (agentes de tratamento de pequeno porte), auf den Art. 17 § 2 der Resolução 4/2023 für die doppelte Zahlungsfrist verweist.
• Resolução CD/ANPD 15/2024: Art. 15, 17 und 21 (Zwangsgeld und Sanktionsverfahren im Zusammenhang mit Sicherheitsvorfällen), Art. 9 Abs. 5 (gute Praxis als Bemessungskriterium).
• Nicht im Quellensatz und deshalb nicht ausgewertet: Lei 8.078/1990 und Verbraucherhaftungsrecht, Verjährungsfristen der Verwaltungssanktionen, Regelungen der ANPD zur Verpflichtungsvereinbarung.
• Abgrenzung: Bußgelder und Haftung nach DSGVO für das deutsche Unternehmen selbst stehen im dsgvo-Track; hier steht ausschließlich die brasilianische Seite. Meldepflicht bei Sicherheitsvorfällen in lgpd-005, Anwendungsbereich und Zustellung an ausländische Unternehmen in lgpd-002, Sicherheitsmaßnahmen und Governance-Programm in lgpd-004.