Sicherheitsvorfälle nach LGPD: wann, wem, was und in welcher Frist gemeldet wird, und warum drei Arbeitstage kürzer sind als sie klingen

Problem in der Praxis

Das erste Muster ist die Übertragung der deutschen Routine. Wer seinen Meldeprozess allein am DSGVO-Verfahren des Mutterhauses ausgerichtet hat, übersieht leicht, dass die LGPD eigene Regeln setzt: Die Frist läuft in Arbeitstagen (dias úteis) nach brasilianischem Kalender, die Schwelle ist an eine Merkmalsliste gebunden, Empfänger ist die ANPD, und die Betroffenen sind nach derselben Schwelle und in einer eigenen Frist von ebenfalls drei Arbeitstagen ab Kenntnis zu benachrichtigen, die neben der Behördenmeldung läuft. Wie sich das im Einzelnen vom DSGVO-Verfahren unterscheidet, gehört in den dsgvo-Track; hier zählt, dass der brasilianische Strang eigenständig geprüft wird.

Das zweite Muster ist der Fristbeginn im Konzern. Die Frist läuft ab der Kenntnis des Verantwortlichen, dass personenbezogene Daten betroffen sind. Wenn das Security Operations Center in Deutschland sitzt, die brasilianische Gesellschaft aber Verantwortliche ist, stellt sich die Frage, wessen Kenntnis zählt. Die Quellen regeln die Zurechnung von Wissen innerhalb einer Gruppe nicht. Wer die Frage erst im Ereignisfall stellt, verliert Tage, die es nicht gibt.

Das dritte Muster ist die formale Einreichung. Die Meldung erfolgt über ein elektronisches Formular der ANPD, und sie muss vom Verantwortlichen über seinen encarregado (die benannte Ansprechperson für den Datenschutz) mit einem Nachweis des Vertrags-, Arbeits- oder Dienstverhältnisses oder über einen bevollmächtigten Vertreter mit Vollmacht eingereicht werden, und zwar mitsamt diesen Nachweisen innerhalb der Frist. Fehlen die Unterlagen, kann die ANPD den Vorfall im Untersuchungsverfahren (procedimento de apuração) aufgreifen. Ein deutscher Verantwortlicher ohne vorbereitete Vollmacht oder ohne dokumentierte Benennung steht dann mit einem richtigen Inhalt und einer unvollständigen Meldung da.

CISO-Einordnung

Was ein Sicherheitsvorfall ist. Die Resolução 15/2024 definiert den incidente de segurança als jedes bestätigte nachteilige Ereignis, das die Vertraulichkeit, Integrität, Verfügbarkeit oder Authentizität der Sicherheit personenbezogener Daten verletzt. Zwei Folgerungen sind wichtig. Erstens umfasst der Begriff ausdrücklich auch Verfügbarkeit und Authentizität; ein Ransomware-Ausfall ohne Datenabfluss ist also nicht schon deshalb kein Vorfall. Zweitens knüpft der Begriff an ein bestätigtes Ereignis an. Ein bloßer Verdacht ist nach dem Wortlaut noch kein Vorfall, aber die Frist beginnt nicht mit der Bestätigung im Abschlussbericht, sondern mit der Kenntnis, dass personenbezogene Daten betroffen sind.

Die Meldeschwelle. Gemeldet wird nicht jeder Vorfall, sondern nur einer, der ein relevantes Risiko oder einen relevanten Schaden für die Betroffenen verursachen kann. Die Resolução füllt das in Art. 5 mit zwei kumulativen Bedingungen:

1. Der Vorfall kann Interessen und Grundrechte der Betroffenen erheblich beeinträchtigen. Das ist nach der Resolução unter anderem dann der Fall, wenn die Verarbeitung die Ausübung von Rechten oder die Nutzung eines Dienstes verhindern oder materielle oder immaterielle Schäden verursachen kann, etwa Diskriminierung, Verletzung der körperlichen Unversehrtheit, des Rechts am eigenen Bild und des Rufs, Finanzbetrug oder Identitätsdiebstahl.
2. Der Vorfall betrifft mindestens eines der sechs Merkmale: sensible Daten; Daten von Kindern, Jugendlichen oder älteren Menschen; Finanzdaten; Authentifizierungsdaten für Systeme (etwa Logins, Token und Passwörter); Daten unter gesetzlichem, gerichtlichem oder beruflichem Geheimnisschutz; oder Daten in großem Umfang. Großer Umfang bemisst sich an der Zahl der Betroffenen, unter Berücksichtigung von Datenvolumen, Dauer, Häufigkeit und geografischer Ausdehnung.

Daraus folgt, dass ein Merkmal allein nicht reicht, und eine erhebliche Beeinträchtigung allein auch nicht. Ein Abfluss von Passwort-Hashes ist wegen des Merkmals Authentifizierungsdaten ein Kandidat, aber erst die Bewertung der erheblichen Beeinträchtigung entscheidet. Die ANPD kann nach Art. 5 Abs. 3 Orientierungshilfen zur Bewertung veröffentlichen; solche Leitfäden liegen dem Quellensatz dieses Tracks nicht vor, und der Artikel trifft deshalb keine Aussage über ihren Inhalt.

Verschlüsselung. Art. 48 Abs. 3 LGPD bestimmt, dass bei der Beurteilung der Schwere des Vorfalls ein Nachweis berücksichtigt wird, dass geeignete technische Maßnahmen die betroffenen Daten für unbefugte Dritte unverständlich gemacht haben. Die Norm richtet sich an die Schwerebeurteilung durch die Behörde. Eine ausdrückliche Befreiung von der Meldepflicht für verschlüsselte Daten enthalten weder das Gesetz noch die Resolução. Verschlüsselung ist damit ein gewichtiges Argument in der eigenen Risikobewertung und gegenüber der ANPD, aber keine automatische Ausnahme.

Die Frist, ihr Beginn und ihre Berechnung. Die Meldung an die ANPD ist innerhalb von drei Arbeitstagen abzugeben, vorbehaltlich einer Meldefrist in Spezialgesetzen. Die Benachrichtigung der Betroffenen hat eine eigene Frist von ebenfalls drei Arbeitstagen, für die dieser Vorbehalt nicht gilt; eine spezialgesetzliche Frist für die Behördenmeldung wird also nicht zur Frist für die Betroffenen. Beide Fristen laufen ab der Kenntnis des Verantwortlichen, dass der Vorfall personenbezogene Daten betroffen hat. Drei Punkte lassen die Quellen offen, und sie sind für ein deutsches Unternehmen praktisch entscheidend:

• Welche spezialgesetzlichen Fristen vorgehen, nennt die Resolução nicht. Wer in einem regulierten Sektor tätig ist, muss das sektorale brasilianische Recht gesondert prüfen lassen; es liegt dem Quellensatz nicht vor.
• Wie die Arbeitstage gezählt werden, regelt die Resolução 15/2024 nicht selbst. Die Resolução CD/ANPD 1/2021 zählt ihre eigenen Fristen in Arbeitstagen ab der amtlichen Kenntnisnahme, ohne den Anfangstag und mit dem Ablauftag, und verlängert auf den nächsten Arbeitstag, wenn die ANPD am Ablauftag keinen oder nur verkürzten Dienstbetrieb hat (Art. 8 § 1). Ebenso verlängert sie bei nachgewiesener Nichtverfügbarkeit des elektronischen Einreichungssystems, und zwar bei einer Störung von insgesamt mehr als drei Stunden zwischen 6 und 23 Uhr, auch mit Unterbrechungen, oder bei einer Störung zwischen 23 und 24 Uhr (Art. 8 § 2). Die Resolução 15/2024 erklärt diese Regeln für das Meldeverfahren für entsprechend anwendbar. Ob das auch für die Meldefrist selbst gilt, die vor Beginn dieses Verfahrens läuft, sagen die Quellen nicht ausdrücklich. Welche Tage in Brasilien Arbeitstage sind, regelt der Quellensatz ebenfalls nicht.
• Wessen Kenntnis im Konzern zählt, regeln die Quellen nicht.

Die sichere Planung ist deshalb, so zu rechnen, als zähle bereits der Tag der Kenntnis, und den brasilianischen Feiertagskalender im Incident-Response-Plan zu hinterlegen.

Der Inhalt der ANPD-Meldung. Art. 48 Abs. 1 LGPD nennt einen Mindestinhalt, den Art. 6 Abs. 2 der Resolução auf zwölf Punkte erweitert. Auf Managementebene gehören dazu: Art und Kategorie der betroffenen Daten; die Zahl der Betroffenen, wo zutreffend gesondert für Kinder, Jugendliche und ältere Menschen, sowie die Gesamtzahl der Personen in den betroffenen Verarbeitungen; die Schutzmaßnahmen vor und nach dem Vorfall, unter Wahrung von Geschäfts- und Betriebsgeheimnissen; die Risiken und möglichen Auswirkungen; die ergriffenen oder geplanten Gegenmaßnahmen; Datum des Vorfalls, soweit bestimmbar, und Datum der Kenntnis; die Angaben zum encarregado oder Vertreter; die Identifikation des Verantwortlichen samt Erklärung, ob ein kleiner Verarbeiter vorliegt; die Identifikation des Auftragsverarbeiters, wo zutreffend; die Beschreibung des Vorfalls mit Hauptursache, soweit feststellbar; und die Gründe der Verzögerung. Diese knüpft das Gesetz daran, dass die Meldung nicht sofort (imediata) erfolgt ist (Art. 48 § 1 Inciso V LGPD), die Resolução daran, dass sie nicht in ihrer Frist eingegangen ist (Art. 6 § 2 Inciso V); wie beide Anknüpfungen zusammenwirken, regeln die Quellen nicht ausdrücklich. Wer nicht sofort meldet, legt die Gründe deshalb vorsorglich auch innerhalb der drei Arbeitstage dar. Die vollständige Liste steht in der Resolução selbst.

Nachreichung. Die Angaben können innerhalb von zwanzig Arbeitstagen ab der Meldung begründet ergänzt werden. Das ist eine Ergänzungsmöglichkeit für die abgegebene Meldung, keine Verlängerung der Meldefrist: Die Meldung selbst muss innerhalb der drei Arbeitstage eingehen.

Vertraulichkeit. Der Verantwortliche kann bei der ANPD begründet beantragen, gesetzlich geschützte Informationen vertraulich zu behandeln, etwa Geschäfts- oder Betriebsgeheimnisse, und muss dabei angeben, welche Informationen betroffen sind. Ohne Antrag gibt es keinen Anlass, die Vertraulichkeit zu unterstellen.

Die Benachrichtigung der Betroffenen. Sie folgt derselben Schwelle wie die Behördenmeldung und hat eine eigene Frist von ebenfalls drei Arbeitstagen ab der Kenntnis des Verantwortlichen (Art. 9); der Vorbehalt spezialgesetzlicher Fristen in Art. 6 betrifft nur die Behördenmeldung. Die Behördenmeldung setzt keine neue Frist in Gang, und die Benachrichtigung darf ihr nachfolgen, solange die eigene Frist eingehalten ist. Sie hat einen eigenen, kürzeren Mindestinhalt, darunter Art der Daten, Schutzmaßnahmen, Risiken, Gegenmaßnahmen, Datum der Kenntnis und eine Kontaktstelle. Sie muss in einfacher, verständlicher Sprache erfolgen, und zwar direkt und individuell über die üblichen Kanäle wie Telefon, E-Mail, elektronische Nachricht oder Brief, wenn die Betroffenen identifizierbar sind. Ist das nicht möglich oder nicht vollständig möglich, ist der Vorfall in derselben Frist und mit denselben Angaben öffentlich bekannt zu machen, etwa auf Website, in Apps, sozialen Medien und Kundenkanälen, gut sichtbar und für mindestens drei Monate. Innerhalb von drei Arbeitstagen nach Ablauf der Benachrichtigungsfrist ist dem Verfahren bei der ANPD eine Erklärung beizufügen, dass die Betroffenen benachrichtigt wurden und über welche Kanäle. Empfehlungen an die Betroffenen, wie sie die Folgen abmildern können, kann die ANPD als gute Praxis im Sinne von Art. 52 Abs. 1 Nr. IX LGPD berücksichtigen, also als Kriterium bei einer späteren Sanktionsbemessung.

Was die ANPD danach tun kann. Die ANPD kann jederzeit zusätzliche Informationen verlangen, ausdrücklich auch das Verarbeitungsverzeichnis der betroffenen Vorgänge, die Datenschutz-Folgenabschätzung (RIPD) und einen Vorfallbericht. Sie kann Audits und Inspektionen durchführen, vorläufige Maßnahmen zum Schutz der Betroffenen anordnen und dafür ein tägliches Zwangsgeld festsetzen, und sie kann nach Bewertung der Schwere anordnen, dass der Vorfall auf Kosten des Verantwortlichen breit in den Medien bekanntgemacht wird, wenn die eigene Benachrichtigung einen erheblichen Teil der Betroffenen nicht erreicht hat. Diese Anordnungen sind nach der Resolução keine Sanktionen. Sanktionsverfahren drohen aber, wenn ein meldepflichtiger Vorfall nicht gemeldet wurde oder angeordnete Maßnahmen nicht fristgerecht umgesetzt werden. Erfährt die ANPD auf anderem Weg von einem nicht gemeldeten Vorfall, der ein relevantes Risiko oder einen relevanten Schaden verursachen kann, kann sie ihn im Untersuchungsverfahren aufklären und dafür Informationen anfordern; sie bewertet ihn nach den Kriterien des Art. 5 (Art. 16). Stellt sie danach einen Vorfall fest, ordnet sie die Meldung an Behörde und Betroffene an und kann ein Sanktionsverfahren einleiten (Art. 17). Die bloße Kenntnis der ANPD führt also nicht automatisch zu einer Meldeanordnung. Die Folgen im Sanktionsrecht beschreibt lgpd-007.

Das Register. Der Verantwortliche muss jeden Sicherheitsvorfall registrieren, auch den nicht gemeldeten, und das Register mindestens fünf Jahre ab der Eintragung aufbewahren, länger, wenn andere Pflichten das verlangen. Der Mindestinhalt umfasst unter anderem Datum der Kenntnis, Umstände, Art und Kategorie der Daten, Zahl der Betroffenen, die Risikobewertung, Gegenmaßnahmen, Form und Inhalt einer Meldung und bei unterbliebener Meldung deren Gründe. Die dokumentierte Begründung, warum nicht gemeldet wurde, ist ein vorgeschriebener Registerinhalt und im Streitfall ein zentraler Nachweis dafür, dass die Schwelle geprüft und nicht übersehen wurde; andere Beweismittel schließt die Quelle nicht aus.

Kleine Verarbeiter. Für agentes de tratamento de pequeno porte nach der Resolução CD/ANPD 2/2022 verdoppeln sich die Fristen für die ANPD-Meldung, für die Nachreichung und für die Benachrichtigung der Betroffenen. Für die Erklärung über die erfolgte Benachrichtigung sehen die Quellen keine Verdoppelung ausdrücklich vor. Ausgeschlossen von der Begünstigung sind unter anderem Verarbeiter mit risikoreicher Verarbeitung (tratamento de alto risco), Verarbeiter mit Bruttoeinnahmen über den Grenzen der Lei Complementar 123/2006 (bei Startups der Lei Complementar 182/2021) und Mitglieder einer rechtlichen oder faktischen Unternehmensgruppe, deren Gesamteinnahmen diese Grenzen übersteigen. Die Beträge stehen in diesen Ergänzungsgesetzen, die dem Quellensatz nicht vorliegen; dieser Artikel nennt sie deshalb nicht. Eine frühere Fassung der Resolução 2/2022 enthielt eine Rückausnahme, nach der bei möglicher Gefährdung der körperlichen oder seelischen Unversehrtheit oder der nationalen Sicherheit die normalen Fristen galten; die durch die Resolução 15/2024 geänderte geltende Fassung enthält diese Rückausnahme nicht mehr. Unabhängig davon kann die ANPD einem kleinen Verarbeiter nach Art. 16 der Resolução 2/2022 die Erfüllung erleichterter Pflichten im Einzelfall wieder auferlegen. Die Einordnung als kleiner Verarbeiter behandelt lgpd-002.

Verhältnis zur DSGVO-Meldung des Mutterhauses. Die brasilianische Meldepflicht des Verantwortlichen besteht eigenständig, und die LGPD-Quellen sehen keine Anrechnung einer ausländischen Meldung vor; Schwelle, Frist, Empfänger und Inhalt der brasilianischen Meldung richten sich nach brasilianischem Recht. Ob das deutsche Mutterhaus für denselben Vorfall zusätzlich nach DSGVO melden muss, beurteilt sich aus EU-Sicht, siehe dsgvo-003; dieser Artikel trifft dazu keine Aussage.

Umsetzungsperspektive

1. Rolle je Verarbeitung festhalten. Für jede Verarbeitung mit Brasilienbezug dokumentieren, wer controlador und wer operador ist. Nur der Verantwortliche meldet; der Auftragsverarbeiter muss ihn so schnell informieren, dass die drei Arbeitstage haltbar sind, und das gehört in den Vertrag, weil die Quellen dafür keine Frist setzen.
2. Fristbeginn im Konzern regeln. Festlegen, an welchem Punkt Wissen des zentralen SOC als Kenntnis der brasilianischen Gesellschaft behandelt wird, und die Eskalation so bauen, dass beide Seiten am selben Tag Bescheid wissen.
3. Schwellenprüfung als Zwei-Schritt-Prüfung hinterlegen. Erst das Merkmal, dann die erhebliche Beeinträchtigung; beides mit Begründung im Register festhalten.
4. Einreichung vorbereiten. Benennung des encarregado mit Nachweis des Vertrags-, Arbeits- oder Dienstverhältnisses oder eine Vollmacht für einen Vertreter bereithalten, den Zugang zum ANPD-Formular testen und den brasilianischen Arbeitstagekalender im Plan hinterlegen.
5. Benachrichtigung der Betroffenen vorbereiten. Textbausteine in portugiesischer, einfacher Sprache, Kanäle für direkte Benachrichtigung und einen Weg für die öffentliche Bekanntmachung über mindestens drei Monate vorhalten; die Erklärung an die ANPD als eigenen Schritt im Ablauf führen.
6. Register für alle Vorfälle führen. Auch nicht meldepflichtige Vorfälle mit Begründung eintragen, mindestens fünf Jahre aufbewahren und konzernweite Löschfristen darauf abstimmen.
7. DSGVO und LGPD parallel steuern. Ein gemeinsames Lagebild, aber zwei getrennte Fristen- und Entscheidungsstränge mit je eigenem Verantwortlichen.

Typische Fehler

1. Die DSGVO-Schwelle oder -Frist wird auf Brasilien übertragen, statt den zweistufigen Test und die drei Arbeitstage nach Resolução 15/2024 anzuwenden.
2. Die Benachrichtigung der Betroffenen wird zurückgestellt, bis die ANPD reagiert, oder nur bei besonders hohem Risiko vorgenommen, obwohl sie derselben Schwelle folgt und ihre eigene Frist von drei Arbeitstagen ab Kenntnis unabhängig von der Behördenmeldung läuft.
3. Die Nachreichungsmöglichkeit von zwanzig Arbeitstagen wird als längere Meldefrist gelesen.
4. Eine Tochtergesellschaft rechnet mit doppelten Fristen für kleine Verarbeiter, obwohl ihre Gruppe die Einnahmengrenzen übersteigt oder die Verarbeitung risikoreich ist.
5. Verschlüsselung wird als automatische Befreiung behandelt, obwohl sie nach Art. 48 Abs. 3 LGPD in die Schwerebeurteilung eingeht.
6. Die Meldung geht ohne Nachweis der Benennung des encarregado oder ohne Vollmacht des Vertreters ein.
7. Nicht gemeldete Vorfälle werden nicht registriert, sodass die Prüfung der Schwelle später kaum belegbar ist.
8. Die Erklärung über die erfolgte Benachrichtigung der Betroffenen wird vergessen.

Risiken und Trade-offs

Der Grundkonflikt ist der zwischen Geschwindigkeit und Vollständigkeit. Drei Arbeitstage reichen selten für eine abgeschlossene Forensik. Die Resolução löst das über die begründete Nachreichung innerhalb von zwanzig Arbeitstagen; wer auf Vollständigkeit wartet, riskiert die Frist und muss dann zusätzlich die Gründe der Verzögerung darlegen.

Ein zweiter Konflikt liegt zwischen vorsorglicher Meldung und Offenlegung. Eine Meldung unterhalb der Schwelle öffnet ein Verfahren, in dem die ANPD Verzeichnis, Folgenabschätzung und Vorfallbericht anfordern und Audits durchführen kann. Eine unterlassene Meldung, die die ANPD später anders bewertet, kann in das Untersuchungsverfahren und gegebenenfalls in ein Sanktionsverfahren führen. Die Entscheidung gehört deshalb dokumentiert und begründet ins Register, nicht nur in ein Ticket.

Ein dritter Konflikt betrifft die Konzernsteuerung. Ein zentraler Incident-Response-Prozess bringt Tempo und einheitliche Bewertung, aber die Meldepflicht hängt am jeweiligen Verantwortlichen. Wer zentral steuert, muss die Entscheidungsbefugnis der brasilianischen Gesellschaft und die Einreichung über deren encarregado oder Vertreter sauber vorsehen.

Entscheidungspunkte

• Wer ist für welche brasilianische Verarbeitung Verantwortlicher, und wer entscheidet im Ereignisfall über die Meldung?
• Ab welchem Ereignis behandeln wir Wissen im Konzern als Kenntnis des brasilianischen Verantwortlichen?
• Wollen wir uns auf die doppelten Fristen für kleine Verarbeiter stützen, und ist die Gruppenzugehörigkeit dafür geprüft?
• Melden wir in Grenzfällen vorsorglich oder dokumentieren wir die Nichtmeldung, und wer zeichnet diese Entscheidung?
• Wer reicht ein: der encarregado oder ein bevollmächtigter Vertreter, und liegen die Nachweise bereit?
• Welche sektoralen Meldefristen könnten vorgehen, und ist dazu brasilianischer Rechtsrat eingeholt?

Praktische Empfehlungen

• Den brasilianischen Meldeweg als eigenen Strang im Incident-Response-Plan führen, mit eigener Uhr in Arbeitstagen.
• Die Schwellenprüfung in zwei Schritten mit Begründung dokumentieren und jedes Ergebnis ins Register übernehmen.
• Auftragsverarbeiter vertraglich zu unverzüglicher Information verpflichten und dafür eine konkrete Stundenfrist vereinbaren, weil die Quellen keine vorgeben.
• Benennungsnachweis des encarregado, Vollmachten und Formularzugang jährlich prüfen.
• Portugiesische Benachrichtigungstexte vorbereiten und die Erklärung an die ANPD als festen Abschlussschritt einplanen.
• Bei Grenzfällen, sektoralen Sonderfristen und der Einordnung als kleiner Verarbeiter brasilianische Rechtsberatung einbinden; die Orientierungshilfen der ANPD gesondert beschaffen und auswerten.

Relevante Normreferenzen

• LGPD (Lei 13.709/2018, kompilierte Fassung des Planalto): Art. 48 caput (Meldepflicht des Verantwortlichen an Behörde und Betroffene), Art. 48 Abs. 1 (angemessene Frist nach Festlegung der Behörde, Mindestinhalt), Art. 48 Abs. 2 (Anordnungen der Behörde, etwa breite Bekanntmachung), Art. 48 Abs. 3 (Unverständlichkeit der Daten in der Schwerebeurteilung), Art. 39 (Handeln des Auftragsverarbeiters nach Weisung), Art. 52 Abs. 1 Nr. IX (gute Praxis als Bemessungskriterium).
• Resolução CD/ANPD 15/2024 (Regulamento de Comunicação de Incidente de Segurança): Art. 3 Nr. XII (Begriff des Sicherheitsvorfalls), Art. 4 und 5 (Meldeschwelle, Merkmale, großer Umfang), Art. 6 (Frist, Fristbeginn, Inhalt, Nachreichung, Formular, Einreichung über encarregado oder Vertreter, Verdoppelung für kleine Verarbeiter), Art. 7 (Vertraulichkeitsantrag), Art. 8 (Auskunftsverlangen), Art. 9 (Benachrichtigung der Betroffenen), Art. 10 (Register und Aufbewahrung), Art. 11 bis 23 (Verfahren, vorläufige Maßnahmen, Untersuchungsverfahren, Anordnungen, Einstellung), Art. 24 (laufende Verfahren); Art. 2 und 3 der Resolução selbst (Änderung der Resolução 2/2022, Inkrafttreten mit Veröffentlichung).
• Resolução CD/ANPD 2/2022 (kleine Verarbeiter), geändert durch Resolução CD/ANPD 15/2024: Art. 2 und 3 (Begriff und Ausschlüsse), Art. 4 (risikoreiche Verarbeitung), Art. 14 Nr. II (doppelte Frist bei der Vorfallmeldung), Art. 16 (Rückholung erleichterter Pflichten).
• Resolução CD/ANPD 1/2021: Art. 8 (Fristberechnung für die Fristen dieser Resolução), über Art. 11 der Resolução 15/2024 entsprechend anwendbar auf das Meldeverfahren.
• Nicht im Quellensatz und deshalb nicht ausgewertet: Orientierungshilfen der ANPD zur Risikobewertung, sektorale Meldefristen, Lei Complementar 123/2006 und 182/2021 (Einnahmengrenzen).
• Abgrenzung: Meldung von Datenschutzverletzungen nach Art. 33 und 34 DSGVO durch das deutsche Unternehmen selbst im dsgvo-Track (dsgvo-003); hier steht ausschließlich die brasilianische Seite. Sanktionen und Haftung bei Verstößen in lgpd-007, Einordnung als kleiner Verarbeiter in lgpd-002, encarregado und Sicherheitsmaßnahmen in lgpd-004.