Die brasilianische LGPD im Überblick: Gesetz und ANPD-Resoluções, die ANPD als Agentur, Geltungsdaten und was aus DSGVO-Sicht anders ist

Problem in der Praxis

Das häufigste Muster ist die Gleichsetzung: "Wir sind DSGVO-konform, also sind wir es in Brasilien auch." Viele Bausteine sind tatsächlich verwandt, etwa Verantwortlicher und Verarbeiter, Verzeichnis, Folgenabschätzung und Drittlandregeln. Die Details weichen aber ab, und sie weichen gerade dort ab, wo die Haftung entsteht: bei der Meldefrist, beim Ansprechpartner gegenüber Behörde und Betroffenen, bei der Sprache der Kommunikation und bei der Bemessungsgrundlage für Bußgelder.

Das zweite Muster ist die Lektüre nur des Gesetzes. Die LGPD verweist an vielen Stellen auf Regelungen der ANPD, und diese sind inzwischen in Kraft: Das amtliche Verzeichnis der ANPD führt unter anderem die Beschlüsse zur Aufsicht und zum Sanktionsverfahren, zu kleinen Verarbeitern, zur Bußgeldbemessung, zur Vorfallmeldung, zum encarregado, zur internationalen Übermittlung und zur Anerkennung der Europäischen Union als angemessen als "Vigente", also geltend. Eine Gap-Analyse, die nur auf das Gesetz schaut, sieht diese Pflichten nicht.

Das dritte Muster ist die Einordnung Brasiliens als bloßes Zielland von Datenflüssen. Die LGPD kann ein deutsches Unternehmen auch ohne eigene Gesellschaft in Brasilien unmittelbar erfassen, zum Beispiel wenn es Waren oder Dienstleistungen an Personen in Brasilien anbietet oder dort Daten erhebt. Wer Brasilien nur unter "Drittlandtransfer" führt, übersieht die eigene Normadressatenstellung.

Schließlich gibt es ein Dokumentationsproblem: Ältere ANPD-Beschlüsse im Quellensatz sprechen noch von der "Autoridade Nacional de Proteção de Dados", die kompilierte Gesetzesfassung und der Beschluss Res. CD/ANPD 32/2026 von der "Agência Nacional de Proteção de Dados". Beide tragen die Abkürzung ANPD. Interne Richtlinien, die die Behörde nur unter dem alten Namen führen, sind deshalb nicht falsch, sollten aber nachgezogen werden, damit Recherchen nicht ins Leere laufen.

CISO-Einordnung

Zweck und Leitbild. Art. 1 LGPD regelt die Verarbeitung personenbezogener Daten, auch in digitalen Medien, durch natürliche Personen und durch juristische Personen des öffentlichen und privaten Rechts, mit dem Ziel, die Grundrechte auf Freiheit und Privatsphäre und die freie Entfaltung der Persönlichkeit zu schützen. Die allgemeinen Regeln sind nach dem einzigen Absatz von Art. 1 von nationalem Interesse und von Bund, Bundesstaaten, Bundesdistrikt und Gemeinden zu beachten. Art. 2 nennt die Grundlagen (fundamentos), darunter Privatsphäre und informationelle Selbstbestimmung, aber ausdrücklich auch wirtschaftliche und technologische Entwicklung, Innovation, freie Unternehmensinitiative, freien Wettbewerb und Verbraucherschutz. Das Gesetz versteht sich also als Abwägungsordnung und nicht als reines Verbotsgesetz.

Die zwei Ebenen der Regelungsarchitektur. Die erste Ebene ist das Gesetz selbst mit Begriffsbestimmungen, Grundsätzen, Rechtsgrundlagen, Betroffenenrechten, Regeln für die öffentliche Hand, internationaler Übermittlung, Pflichten der Verarbeitungsakteure, Sicherheit, Sanktionen und Behördenorganisation. Die zweite Ebene sind die Resoluções des Conselho Diretor (Direktorium) der ANPD. Im Quellensatz dieses Tracks liegen sieben davon vor:

• Res. CD/ANPD 1/2021 zum Aufsichts- und Sanktionsverfahren,
• Res. CD/ANPD 2/2022 zu kleinen Verarbeitern (agentes de tratamento de pequeno porte), geändert durch Res. CD/ANPD 15/2024,
• Res. CD/ANPD 4/2023 zur Bemessung und Anwendung von Sanktionen,
• Res. CD/ANPD 15/2024 zur Meldung von Sicherheitsvorfällen,
• Res. CD/ANPD 18/2024 zum encarregado,
• Res. CD/ANPD 19/2024 zur internationalen Übermittlung und zu Standardvertragsklauseln, mit einer Berichtigung vom 18.08.2025,
• Res. CD/ANPD 32/2026 zur Anerkennung der Europäischen Union als angemessen.

Das ANPD-Verzeichnis führt darüber hinaus weitere Beschlüsse als geltend, etwa zur Regulierungsagenda und zu Prioritätenkarten. Deren Inhalt liegt im Quellensatz nicht vor; dieser Track trifft dazu keine Aussage. Dasselbe gilt für Leitfäden (Guias) der ANPD: Sie sind nicht beschafft, und Aussagen aus ihnen sind hier gesperrt.

Für die Praxis heißt das: Zu jeder Pflicht gehört die Frage, ob die ANPD sie per Resolução konkretisiert hat. Das Gesetz verlangt etwa die Meldung von Sicherheitsvorfällen, die ein relevantes Risiko oder einen relevanten Schaden für Betroffene bewirken können, an ANPD und Betroffene, überlässt die Frist aber der Behörde (Art. 48 LGPD, konkretisiert durch Res. CD/ANPD 15/2024; Einzelheiten in lgpd-005). Es erlaubt der ANPD, ergänzende Regeln zum encarregado zu erlassen, einschließlich Fällen, in denen die Benennung nach Art und Größe der Einrichtung oder nach dem Verarbeitungsvolumen entfällt (Art. 41 § 3 LGPD); für kleine Verarbeiter ist das in Res. CD/ANPD 2/2022 unter den dort genannten Voraussetzungen geschehen. Und es verlangt eine veröffentlichte Methodik zur Bußgeldberechnung (Art. 53 LGPD), die Res. CD/ANPD 4/2023 liefert.

Die ANPD als Agentur. Nach Art. 55-A LGPD in der Fassung der Lei 15.352/2026 ist die ANPD eine Autarquie besonderer Art (autarquia de natureza especial), an das Ministério da Justiça e Segurança Pública angebunden, mit funktionaler, technischer, Entscheidungs-, Verwaltungs- und Finanzautonomie, eigenem Vermögen und Sitz im Bundesdistrikt, nach Maßgabe der Lei 13.848/2019. In der kompilierten Fassung erkennbar sind folgende Änderungen durch die Lei 15.352/2026: die Neufassung von Art. 55-A, die Neufassung der Begriffe encarregado und autoridade nacional in Art. 5 VIII und XIX, die neue Kapitelüberschrift des Kapitels IX und in der Organstruktur nach Art. 55-C die Neufassung des Eintrags Procuradoria (Rechtsdienst, V-A) und des Eintrags der Verwaltungs- und Facheinheiten (VI) sowie die Aufnahme der Auditoria (Revision, V-B). Ob die Procuradoria schon vorher Teil der Organstruktur war, zeigt der Snapshot nicht. Weitere Inhalte und das Datum der Lei 15.352/2026 gibt der Snapshot nicht her; dieser Track behauptet darüber nichts.

Oberstes Organ ist der Conselho Diretor mit fünf Direktoren einschließlich des Diretor-Presidente (Art. 55-C, 55-D LGPD). Für Unternehmen wichtig sind vier Kompetenzaussagen. Erstens beaufsichtigt die ANPD und verhängt Sanktionen in einem Verwaltungsverfahren mit rechtlichem Gehör, umfassender Verteidigung und Rechtsmittel (Art. 55-J IV). Zweitens erlässt sie Regulamentos; diese müssen öffentliche Konsultationen und Anhörungen sowie eine Regulierungsfolgenabschätzung durchlaufen (Art. 55-J XIII und § 2), und wenn die ANPD privaten Verarbeitungsakteuren administrative Auflagen macht, muss sie das Gebot minimaler Intervention beachten, wobei die Grundlagen, Grundsätze und Betroffenenrechte des Gesetzes gewahrt bleiben (§ 1). Drittens ist sie zuständig für vereinfachte und differenzierte Regeln, auch zu Fristen, für Kleinst- und Kleinunternehmen und für Startups (Art. 55-J XVIII). Viertens ist die Anwendung der in der LGPD vorgesehenen Sanktionen ausschließlich ihr vorbehalten, ihre Zuständigkeit hat beim Datenschutz Vorrang vor verwandten Zuständigkeiten anderer Stellen der öffentlichen Verwaltung, und sie ist das zentrale Organ der Auslegung (Art. 55-K LGPD); Sanktionen nach der Lei 8.078/1990 und nach Spezialgesetzen ersetzt das nicht (Art. 52 § 2 LGPD); auf Verwaltungsebene entscheidet sie abschließend über die Auslegung des Gesetzes (Art. 55-J XX). Daneben steht der Conselho Nacional de Proteção de Dados Pessoais e da Privacidade als beratendes Gremium mit Vertretern von Staat, Wirtschaft, Wissenschaft und Zivilgesellschaft (Art. 58-A, 58-B LGPD).

Geltungsdaten nach Art. 65 LGPD. Art. 65 staffelt das Inkrafttreten in drei Schritten: am 28.12.2018 die Vorschriften über die ANPD und den Nationalen Datenschutzrat (Art. 55-A bis 55-L, 58-A, 58-B); am 01.08.2021 die Sanktionsvorschriften (Art. 52 bis 54); alle übrigen Artikel 24 Monate nach der Veröffentlichung. Veröffentlicht wurde das Gesetz im Diário Oficial da União vom 15.08.2018. Ein Tagesdatum für den dritten Schritt steht nicht im Snapshot, und es sollte auch nicht durch Nachrechnen gewonnen werden, weil die Quelle nicht zeigt, ob sich der Termin durch andere Akte verschoben hat. Für die Praxis ist das ohne Folgen: Alle drei Schritte liegen Jahre zurück. Eine noch laufende Übergangsfrist ergibt sich aus Art. 65 nicht. Art. 63 LGPD bestimmt, dass die ANPD Regeln für die schrittweise Anpassung von Datenbeständen erlässt, die bis zum Inkrafttreten angelegt wurden, unter Berücksichtigung der Komplexität der Verarbeitungen und der Art der Daten. Eine solche Regel ist im Quellensatz nicht enthalten; ob und wie die ANPD diesen Auftrag erfüllt hat, sagt dieser Track deshalb nicht.

Die Grundsätze nach Art. 6 LGPD. Jede Verarbeitung muss Treu und Glauben (boa-fé) und zehn Grundsätze beachten. Sie lassen sich für die Steuerung in vier Gruppen fassen: Zweck und Umfang (finalidade, adequação, necessidade, also Zweckbindung, Vereinbarkeit mit dem mitgeteilten Zweck, Beschränkung auf das Notwendige); Rechte und Transparenz (livre acesso als erleichterte und kostenlose Auskunft, qualidade dos dados, transparência); Schutz (segurança und prevenção, also Sicherheitsmaßnahmen gegen unbefugten Zugriff und Unfälle sowie Vorbeugung gegen Schäden); und Verantwortung (não discriminação sowie responsabilização e prestação de contas). Der letzte Grundsatz ist für den CISO der wichtigste: Er verlangt den Nachweis, dass wirksame Maßnahmen ergriffen wurden, und ausdrücklich auch den Nachweis ihrer Wirksamkeit. Ein Maßnahmenkatalog ohne Wirksamkeitsbeleg erfüllt ihn nicht.

Was aus DSGVO-Sicht anders ist, als Orientierung. Die folgenden Punkte beschreiben die brasilianische Seite. Die DSGVO-Seite behandelt der dsgvo-Track; dieser Abschnitt trifft keine DSGVO-Rechtsaussage über das hinaus, was dort steht.

1. Rechtsgrundlagen. Art. 7 LGPD kennt zehn Rechtsgrundlagen. Neben Einwilligung, rechtlicher Verpflichtung, Vertrag und berechtigtem Interesse stehen unter anderem Studien durch Forschungseinrichtungen, die Ausübung von Rechten in Gerichts-, Verwaltungs- und Schiedsverfahren, der Gesundheitsschutz ausschließlich in Verfahren durch Gesundheitsfachleute, Gesundheitsdienste oder Gesundheitsbehörden und der Schutz des Kredits (proteção do crédito). Für das berechtigte Interesse setzt Art. 10 LGPD eigene Grenzen, etwa die Beschränkung auf unbedingt erforderliche Daten. Sensible Daten haben einen eigenen, engeren Katalog (Art. 11). Einzelheiten in lgpd-003.
2. Form der Einwilligung. Sie muss schriftlich oder auf anderem Weg erteilt werden, der den Willen belegt; schriftlich erteilt muss sie in einer hervorgehobenen Klausel stehen, pauschale Ermächtigungen sind nichtig, und die Beweislast trägt der Verantwortliche (Art. 8 LGPD).
3. encarregado. Jeder controlador (Verantwortlicher) hat einen encarregado (Ansprechpartner für Betroffene und ANPD) zu benennen und dessen Identität und Kontaktdaten öffentlich zu machen (Art. 41 LGPD). Erleichterungen gibt es nur, soweit die ANPD sie regelt (Art. 41 § 3 LGPD). Nach Res. CD/ANPD 2/2022 sind kleine Verarbeiter (agentes de tratamento de pequeno porte) nicht zur Benennung verpflichtet und müssen dann einen Kommunikationskanal für Betroffene bereitstellen. Das gilt nicht bei Verarbeitungen mit hohem Risiko und nicht, wenn der Akteur selbst oder seine Unternehmensgruppe die einschlägigen Umsatzgrenzen überschreitet (Art. 3 des Regulamento), und die ANPD kann die Erfüllung der erlassenen Pflichten im Einzelfall anordnen (Art. 16 des Regulamento). Eine kleine brasilianische Tochter eines großen Konzerns ist deshalb nicht automatisch befreit (lgpd-002). Der encarregado muss nach Res. CD/ANPD 18/2024 klar und präzise auf Portugiesisch mit Betroffenen und ANPD kommunizieren können. Einzelheiten in lgpd-004.
4. Verzeichnis. Die Pflicht zum Verzeichnis der Verarbeitungsvorgänge trifft controlador und operador (Auftragsverarbeiter) gleichermaßen (Art. 37 LGPD).
5. Sicherheitsvorfälle. Der controlador meldet Vorfälle, die ein relevantes Risiko oder einen relevanten Schaden für Betroffene bewirken können, an die ANPD und an die Betroffenen, in einer von der ANPD festgelegten Frist (Art. 48 LGPD; Einzelheiten in lgpd-005).
6. Sanktionen. Die einfache Geldbuße beträgt bis zu 2 % des Umsatzes der juristischen Person des Privatrechts, der Gruppe oder des Konglomerats in Brasilien im letzten Geschäftsjahr, ohne Steuern, begrenzt auf insgesamt 50 Millionen Reais je Verstoß (Art. 52 II LGPD). Daneben stehen Verwarnung, Tagesgeldbuße, Veröffentlichung des Verstoßes, Sperrung und Löschung der betroffenen Daten sowie die teilweise Einstellung des Betriebs der vom Verstoß betroffenen Datenbank für höchstens sechs Monate, verlängerbar um denselben Zeitraum, bis zur Regularisierung der Verarbeitung (Art. 52 X), die Suspendierung der Verarbeitung der vom Verstoß betroffenen personenbezogenen Daten für höchstens sechs Monate, verlängerbar um denselben Zeitraum (Art. 52 XI), und das teilweise oder vollständige Verbot von Tätigkeiten der Datenverarbeitung (Art. 52 XII). Diese drei Maßnahmen setzen voraus, dass für denselben Fall bereits mindestens eine der Sanktionen Geldbuße, Tagesgeldbuße, Veröffentlichung, Sperrung oder Löschung verhängt wurde, und bei controladores, die weiteren sanktionsbefugten Stellen unterstehen, zusätzlich die Anhörung dieser Stellen (Art. 52 § 6 I und II LGPD). Einzelheiten in lgpd-007.
7. Wege der Betroffenen. Betroffene können bei der ANPD eine Petition gegen den controlador einreichen; die ANPD behandelt sie, wenn der Betroffene nachweist, dass er sich zuvor beim controlador beschwert hat und die Beschwerde nicht in der durch Regulierung festgelegten Frist gelöst wurde (Art. 55-J V LGPD; diese Frist nennt der Quellensatz nicht). Betroffene können ihr Petitionsrecht auch bei Verbraucherschutzstellen ausüben (Art. 18 § 8 LGPD) und Rechte gerichtlich individuell oder kollektiv geltend machen (Art. 22 LGPD). In Verbraucherbeziehungen bleibt die Haftung nach dem einschlägigen Verbraucherrecht bestehen (Art. 45 LGPD).
8. Internationale Übermittlung. Daten dürfen Brasilien nur über die Mechanismen des Art. 33 LGPD verlassen. Seit Res. CD/ANPD 32/2026 ist die Europäische Union als angemessen anerkannt, mit Wirkung für alle Mitgliedstaaten, die drei EWR-Staaten Island, Liechtenstein und Norwegen sowie die Einrichtungen der EU; ausgenommen sind Übermittlungen ausschließlich für Zwecke der öffentlichen Sicherheit, der Landesverteidigung, der Staatssicherheit oder der Ermittlung und Verfolgung von Straftaten (Art. 2 der Resolução). Das betrifft die Richtung aus Brasilien in die EU; eine Freigabe der Gegenrichtung enthält die Resolução nicht. Die Gegenrichtung beurteilt sich aus EU-Sicht, siehe dsgvo-005. Einzelheiten in lgpd-006.

Umsetzungsperspektive

1. Normadressatenstellung je Gesellschaft klären. Für jede deutsche und jede brasilianische Gesellschaft festhalten, ob und über welchen Anknüpfungspunkt des Art. 3 LGPD sie erfasst ist und ob eine Ausnahme nach Art. 4 greift (lgpd-002).
2. Quellenstand führen, nicht nur das Gesetz. Ein Register der geltenden Resoluções mit Stand und Datum der letzten Prüfung anlegen und das ANPD-Verzeichnis regelmäßig gegenlesen.
3. Die vier operativen Abweichungen zuerst angehen. Benennung und Erreichbarkeit des encarregado auf Portugiesisch, Meldeprozess für Vorfälle, die ein relevantes Risiko oder einen relevanten Schaden für Betroffene bewirken können, an ANPD und Betroffene nach Res. CD/ANPD 15/2024, Verzeichnis bei controlador und operador, Übermittlungsmechanismus nach Art. 33 LGPD für Datenflüsse aus Brasilien.
4. Rechtsgrundlagen brasilianisch begründen. Bestehende DSGVO-Begründungen nicht übernehmen, sondern jede Verarbeitung gewöhnlicher personenbezogener Daten einer der zehn Rechtsgrundlagen des Art. 7 LGPD zuordnen und für sensible Daten den eigenen Katalog und die Bedingungen des Art. 11 LGPD prüfen.
5. Nachweisfähigkeit aufbauen. Weil der Rechenschaftsgrundsatz den Nachweis der Wirksamkeit verlangt, Maßnahmen mit Wirksamkeitsbelegen führen, etwa Testergebnisse, Auditbefunde und Kennzahlen.
6. Lokale Beratung für Auslegungsfragen einplanen. Die ANPD entscheidet auf Verwaltungsebene abschließend über die Auslegung; Grenzfälle gehören vor brasilianische Rechtsberatung oder direkt vor die Behörde.

Typische Fehler

1. DSGVO-Konformität wird als LGPD-Konformität verbucht, ohne die brasilianischen Abweichungen zu prüfen.
2. Nur der Gesetzestext wird gelesen; die Resoluções mit den operativen Fristen und Erleichterungen bleiben unbekannt.
3. Brasilien wird nur als Drittland behandelt, obwohl die LGPD das deutsche Unternehmen über Art. 3 unmittelbar erfassen kann.
4. Ein encarregado wird nicht benannt, weil die Größe oder die Art der Verarbeitung nach DSGVO-Maßstab keine Benennung verlangen würde; die LGPD knüpft die Pflicht an jeden controlador, mit Ausnahmen nur über ANPD-Regeln, etwa für kleine Verarbeiter ohne Ausschlussgrund nach Res. CD/ANPD 2/2022 und vorbehaltlich einer Anordnung der ANPD im Einzelfall (Art. 16 des Regulamento).
5. Die Kommunikation mit Betroffenen und ANPD wird auf Englisch geplant, obwohl der encarregado auf Portugiesisch kommunizieren können muss.
6. Das Inkrafttreten der übrigen Artikel wird mit einem selbst errechneten Tagesdatum dokumentiert, das die Quelle nicht trägt.
7. Die Anerkennung der EU als angemessen nach Res. CD/ANPD 32/2026 wird als Freigabe für Datenflüsse aus Deutschland nach Brasilien gelesen; sie betrifft die Richtung aus Brasilien.

Risiken und Trade-offs

Der Grundkonflikt liegt zwischen globaler Vereinheitlichung und lokaler Genauigkeit. Ein konzernweites Datenschutzprogramm nach DSGVO-Muster ist effizient und deckt einen großen Teil der LGPD ab; es verdeckt aber die Abweichungen. Ein eigenes brasilianisches Programm ist genauer, kostet aber doppelte Pflege. Die tragfähige Mitte ist ein gemeinsames Grundgerüst mit einem dokumentierten brasilianischen Delta, das an den oben genannten Punkten ansetzt.

Der zweite Trade-off betrifft die Quellenpflege. Die zweite Regelungsebene der ANPD bewegt sich; das Verzeichnis führt Beschlüsse mit Änderungen und Berichtigungen. Wer einmal prüft und dann nicht mehr, hat einen veralteten Stand. Regelmäßiges Nachlesen kostet wenig, eine verpasste neue Resolução kann im Ereignisfall die Frist kosten.

Der dritte betrifft die Bemessungsgrundlage für Bußgelder. Weil die einfache Geldbuße am Umsatz in Brasilien und an einem absoluten Deckel je Verstoß hängt, kann die finanzielle Exposition in Brasilien für einen großen Konzern mit kleinem Brasiliengeschäft gering wirken. Das Gesetz kennt aber weitere Sanktionen, die nicht am Umsatz hängen, darunter die Veröffentlichung des Verstoßes und die Sperrung oder Löschung der betroffenen Daten, und daneben die zivilrechtliche Haftung. Eine Risikobewertung nur über die Bußgeldhöhe greift deshalb zu kurz.

Entscheidungspunkte

• Welche Gesellschaften der Gruppe sind nach Art. 3 LGPD erfasst, und wer verantwortet diese Feststellung?
• Führen wir Brasilien als eigenes Delta im Datenschutzprogramm, und wer pflegt den Quellenstand der ANPD-Resoluções?
• Wer ist encarregado für welche Gesellschaft, und ist portugiesischsprachige Erreichbarkeit sichergestellt?
• Welcher Übermittlungsmechanismus trägt die Datenflüsse aus Brasilien, und ist die Anerkennung der EU nach Res. CD/ANPD 32/2026 dafür im Einzelfall einschlägig?
• Wann ziehen wir brasilianische Rechtsberatung hinzu, und welche Fragen legen wir der ANPD vor?

Praktische Empfehlungen

• Die Rechtsquellen in zwei Ebenen dokumentieren: Gesetz in kompilierter Fassung und die geltenden Resoluções laut ANPD-Verzeichnis, jeweils mit Abrufdatum.
• Bei jeder LGPD-Pflicht prüfen, ob eine Resolução sie konkretisiert, bevor eine Frist oder ein Verfahren intern festgelegt wird.
• Den Rechenschaftsgrundsatz als Steuerungsgröße nutzen: Maßnahmen nur dann als erledigt führen, wenn ein Wirksamkeitsnachweis vorliegt.
• Interne Dokumente auf den aktuellen Behördennamen umstellen und den alten Namen als Suchbegriff mitführen.
• DSGVO-Vergleiche als Einstiegshilfe verwenden, nicht als Begründung; jede Abweichung als eigenes Arbeitspaket führen.
• Geltungsdaten nur mit den Angaben des Art. 65 LGPD dokumentieren und kein Tagesdatum für den dritten Schritt erfinden.

Relevante Normreferenzen

• LGPD (Lei 13.709/2018, kompilierte Fassung des Planalto): Art. 1 (Gegenstand, nationales Interesse), Art. 2 (Grundlagen), Art. 3 und 4 (Anwendungsbereich und Ausnahmen, vertieft in lgpd-002), Art. 5 (Begriffe, VIII und XIX in der Fassung der Lei 15.352/2026), Art. 6 (Treu und Glauben und zehn Grundsätze), Art. 7, 8, 10, 11 (Rechtsgrundlagen, Einwilligung, berechtigtes Interesse, sensible Daten; vertieft in lgpd-003), Art. 18 § 8, Art. 22, Art. 45 (Wege der Betroffenen, Verbraucherrecht), Art. 33 (internationale Übermittlung), Art. 37 (Verzeichnis), Art. 41 (encarregado), Art. 48 (Vorfallmeldung), Art. 52 bis 54 (Sanktionen), Art. 55-A bis 55-M (ANPD), Art. 58-A, 58-B (Nationaler Datenschutzrat), Art. 63 (Altbestände), Art. 65 (Inkrafttreten).
• Lei 15.352/2026, soweit in die kompilierte Fassung eingearbeitet (Art. 5 VIII und XIX, Kapitel IX, Art. 55-A, Art. 55-C).
• ANPD-Resoluções im Quellensatz: Res. CD/ANPD 1/2021, 2/2022, 4/2023, 15/2024, 18/2024, 19/2024, 32/2026; Stand laut ANPD-Verzeichnis "Vigente".
• Abgrenzung: Die DSGVO-Pflichten des deutschen Unternehmens selbst, die Drittlandübermittlung aus EU-Sicht und die Datenpannenmeldung nach Art. 33 und 34 DSGVO stehen im dsgvo-Track (dsgvo-005, dsgvo-003); hier steht nur die brasilianische Seite. Anwendungsbereich, Rollen und kleine Verarbeiter vertieft lgpd-002, Rechtsgrundlagen und Betroffenenrechte lgpd-003, encarregado und Governance lgpd-004, Vorfallmeldung lgpd-005, internationale Übermittlung lgpd-006, Durchsetzung und Sanktionen lgpd-007.