Datenschutz
Das Allgemeine Gesetz zum Schutz personenbezogener Daten (Lei 13.709/2018), seit September 2020 in Kraft und mit Sanktionen seit August 2021, gilt für jede Datenverarbeitung in Brasilien oder mit Bezug auf Personen in Brasilien, auch durch ausländische Plattformen: Rechtsgrundlagen (Einwilligung, Vertragserfüllung, berechtigtes Interesse und andere), Grundsätze (Zweckbindung, Erforderlichkeit, Transparenz, Sicherheit), Betroffenenrechte (Bestätigung, Auskunft, Berichtigung, Anonymisierung, Löschung, Übertragbarkeit, Information über Weitergaben, Widerruf der Einwilligung), verstärkter Schutz sensibler Daten — Herkunft, Religion, politische Meinung, Gesundheit, Sexualleben, genetische und biometrische Daten —, spezifische Einwilligung eines Elternteils für Daten von Kindern unter 12 und Verarbeitung im besten Interesse Jugendlicher, Pflicht-Datenschutzbeauftragter (encarregado), Meldung von Verletzungen an ANPD und Betroffene, und Sanktionen — Verwarnung, Bußgeld bis 2 Prozent des Umsatzes in Brasilien, begrenzt auf 50 Millionen Reais je Verstoß, Sperrung oder Löschung der Daten. Die Nationale Datenschutzbehörde (ANPD), seit 2022 unabhängige Behörde, erlässt Regelungen (Bußgeldbemessung 2023, internationale Übermittlungen 2024, Kinderdaten) und sanktioniert; die Verfassungsänderung 115/2022 nahm den Datenschutz in die Grundrechte auf; das Internet-Grundgesetz (Marco Civil, 2014) und das Verbraucherschutzgesetz ergänzen. Die nicht einvernehmliche Verbreitung intimer Bilder ist strafbar (Gesetz 13.718/2018), und das Opfer kann die Entfernung von den Plattformen ohne Gerichtsentscheidung verlangen (Marco Civil, Artikel 21). Brasilien hat keinen Angemessenheitsbeschluss der Europäischen Union.
Deutsche finden in der LGPD die DSGVO wieder — Rechtsgrundlagen, Betroffenenrechte, Datenschutzbeauftragter, Meldepflichten, Bußgelder in Prozent des Umsatzes —, mit Unterschieden im Detail: Bußgelder auf 2 Prozent und 50 Millionen Reais begrenzt (statt 4 Prozent und 20 Millionen Euro), Kinderschutz bis 12 statt 16, zehn Rechtsgrundlagen statt sechs, und eine Behörde, die 2023 ihr erstes Bußgeld verhängte und noch klein ist. Für deutsche Unternehmen und Selbständige in Brasilien gilt die LGPD für alle Kunden im Land; für die Übermittlung von Daten zwischen einer deutschen Muttergesellschaft und ihrer brasilianischen Tochter braucht es aus EU-Sicht Standardvertragsklauseln (kein Angemessenheitsbeschluss) und aus brasilianischer Sicht die ANPD-Klauseln von 2024.
Im Alltag zählt anderes: das CPF als allgegenwärtiger Identifikator, den Apotheken, Supermärkte und Apps erfragen und der in riesigen Lecks zirkuliert (223 Millionen Datensätze 2021); die Gesichtserkennung in Stadien, U-Bahnen und Läden, die die LGPD als biometrische Verarbeitung nur mit Rechtsgrundlage erlaubt; die Ausweispflicht mit Lichtbildausweis, die auch Ausländer zum ständigen Mitführen von Pass oder CRNM zwingt. Gegenüber deutschen Anbietern (Bank, Kasse, Online-Shops) gilt die DSGVO weiter, auch aus Brasilien; gegenüber brasilianischen Anbietern die LGPD mit Beschwerde bei der ANPD, dem Procon oder dem Sonderzivilgericht — kostenlos und ohne Anwalt bis 20 Mindestlöhne, ein Weg, den Deutschland nicht kennt.
Die wichtigsten Punkte
| Text | LGPD (Lei 13.709/2018), in Kraft seit 2020, Sanktionen seit 2021; Grundrecht seit 2022 |
|---|---|
| Behörde | ANPD — Nationale Datenschutzbehörde: Regelung, Aufsicht, Sanktionen |
| Rechte | Auskunft, Berichtigung, Anonymisierung, Löschung, Übertragbarkeit, Information über Weitergaben, Widerruf |
| Sensible Daten | Herkunft, Religion, Meinung, Gesundheit, Sexualleben, genetische, biometrische Daten: spezifische Einwilligung |
| Minderjährige | Einwilligung eines Elternteils unter 12 Jahren; bestes Interesse für Jugendliche |
| Sanktionen | Verwarnung; Bußgeld bis 2 Prozent des Umsatzes, 50 Millionen Reais je Verstoß; Sperrung |
| Intime Bilder | Straftat (Gesetz 13.718/2018); Entfernung durch die Plattformen auf Antrag des Opfers (Marco Civil) |
| Deutsche | DSGVO-ähnlich, aber kein Angemessenheitsbeschluss (Standardvertragsklauseln); DSGVO gilt weiter gegenüber EU-Anbietern; CPF und Gesichtserkennung als Alltagsrisiken |
In der Praxis
- Ein Nutzer verlangt von der Website oder App (Kanal des Pflicht-Datenschutzbeauftragten) Auskunft, Berichtigung oder Löschung seiner Daten; die Antwort ist binnen 15 Tagen für die vollständige Auskunft geschuldet; ohne Antwort Petition an die ANPD (online) oder Beschwerde bei Procon und consumidor.gov.br — für Deutsche mit CPF oder Pass möglich.
- Bei einem Datenleck muss das Unternehmen ANPD und Betroffene in angemessener Frist benachrichtigen (drei Werktage nach der Regelung von 2024); das Opfer kann Schadensersatz beim Sonderzivilgericht verlangen, ohne Anwalt bis 20 Mindestlöhne.
- Die nicht einvernehmliche Verbreitung intimer Bilder wird bei der Polizeiwache für Cyberkriminalität angezeigt, und das Opfer verlangt die Entfernung direkt von der Plattform, die ohne Gerichtsentscheidung handeln muss; SaferNet hilft — auch deutschen Opfern, deren Bilder von brasilianischen Konten verbreitet werden.
- Die Eltern eines Kindes unter 12 können die Löschung eines ohne ihre Einwilligung eröffneten Kontos verlangen; die Plattformen müssen das Alter verhältnismäßig prüfen.
- Die großen Datenlecks (Serasa, Ministerien, Anbieter) sind häufig: Konten prüfen, Zwei-Faktor-Authentifizierung aktivieren und das CPF überwachen (Registrato der Zentralbank, Serasa-Sperre) begrenzt den Schaden; das CPF nicht für Rabatte in Apotheken und Läden hergeben.
Kosten und Übernahme
Die Ausübung der Rechte, die Petition an die ANPD und die Beschwerde beim Procon sind kostenlos; das Sonderzivilgericht ist in erster Instanz kostenlos; die Bußgelder der ANPD begannen 2023 (Telekall, Gesundheitsministerium, INSS und andere); Beschwerden gegen deutsche Anbieter bei den deutschen Aufsichtsbehörden kostenlos.
Aktuelle Entwicklungen
Die ANPD verhängte 2023 die ersten Bußgelder und regelte 2024 die internationalen Übermittlungen und die Meldung von Vorfällen; die Verfassungsänderung 115/2022 erhob den Datenschutz zum Grundrecht; die ANPD untersagte 2024 Meta die Nutzung der Daten von Brasilianern zum Training ihrer künstlichen Intelligenz, bevor sie sie unter Bedingungen erlaubte; das Oberste Gericht bestätigte den Datenschutz als eigenständiges Recht (2020); ein Gesetz zur Regulierung der KI (PL 2338) wurde 2024 vom Senat beschlossen.
Anlaufstellen
- ANPD — Nationale Datenschutzbehörde (gov.br/anpd): Petitionen, Regelungen.
- Procon und consumidor.gov.br für Verbraucherstreitigkeiten; Sonderzivilgerichte; SaferNet Brasil und Polizeiwachen für Cyberkriminalität für intime Bilder und Straftaten.
- Bundesbeauftragter für den Datenschutz (BfDI) und Landesbeauftragte für Beschwerden gegen deutsche Anbieter; Europäischer Datenschutzausschuss zu Übermittlungen nach Brasilien.
Gut zu wissen
Die LGPD ist ehrgeizig und die ANPD jung: die Bußgelder sind selten und niedrig im Vergleich zu den europäischen, und massive Datenlecks — Dutzende Millionen CPF — sind Routine. Die wirksamsten Rechte übt man beim Unternehmen selbst und vor den kostenlosen Sonderzivilgerichten aus; und die Verbreitung intimer Bilder hat einen schnellen Rechtsbehelf, den wenige Opfer kennen: die direkte Entfernung durch die Plattform, ohne Richter. Für Deutsche: das CPF ist so schützenswert wie eine PIN.
Häufige Fragen
Gilt die DSGVO für mich in Brasilien?
Gegenüber Unternehmen mit Sitz in der EU (deine deutsche Bank, Krankenkasse, deutsche Online-Shops) ja, unabhängig von deinem Wohnort, mit Beschwerde bei der deutschen Aufsicht; gegenüber brasilianischen Unternehmen und Plattformen, die sich an den brasilianischen Markt richten, gilt die LGPD mit ihren sehr ähnlichen Rechten (Auskunft, Löschung, Widerspruch), durchgesetzt über den Datenschutzbeauftragten des Unternehmens, die ANPD, den Procon oder das Sonderzivilgericht. Deutsche Unternehmen, die brasilianische Kunden bedienen, unterliegen beiden Gesetzen.
Muss ich in der Apotheke mein CPF angeben?
Nein: die Angabe des CPF an der Kasse ist freiwillig — sie dient Rabattprogrammen und der Profilbildung, und die ANPD und der Procon São Paulo haben Apothekenketten wegen der Kopplung von Rabatten an das CPF und der Weitergabe von Gesundheitsdaten (Medikamentenkäufe sind sensible Daten) sanktioniert. Man kann «sem CPF» sagen und zahlt den Normalpreis; die Steuerrechnung (nota fiscal) kann ohne CPF ausgestellt werden. Nur bei Rezepten für kontrollierte Medikamente wird ein Ausweis verlangt.
Jemand hat intime Bilder von mir in Brasilien verbreitet — was kann ich tun?
Drei Schritte, auch von Deutschland aus: die Entfernung direkt bei der Plattform verlangen unter Berufung auf Artikel 21 des Marco Civil, der sie ohne Gerichtsentscheidung zur Löschung verpflichtet (Formulare bei Instagram, Facebook, X, WhatsApp; SaferNet hilft); Anzeige bei der Polizeiwache für Cyberkriminalität oder online (Gesetz 13.718/2018, ein bis fünf Jahre, erhöht in einer Beziehung) — von Deutschland aus auch bei der deutschen Polizei (§ 201a StGB); Schadensersatz vor dem Sonderzivilgericht. Beweise sichern (Screenshots mit URL und Datum), nicht mit dem Täter verhandeln.
Quellen
- Gesetz 13.709/2018 — LGPD (konsolidiert) — Planalto
- ANPD — Nationale Datenschutzbehörde — Regelungen, Petitionen, Sanktionen
- Marco Civil da Internet — Gesetz 12.965/2014 — Planalto
Der allgemeine Artikel: Datenschutz · Mit einem anderen Land vergleichen
Liebesbetrug
Der Liebesbetrug ist ein Betrug (Artikel 171 Strafgesetzbuch, ein bis fünf Jahre, erhöht gegen Ältere) oder ein elektronischer Betrug (vier bis acht Jahre seit 2021), mit Strafantrag des Opfers seit 2019 nötig außer bei Ausnahmen; die Anzeige erfolgt bei den Polizeiwachen für Cyberkriminalität oder online; Pix hat einen Rückerstattungsmechanismus bei Betrug; Brasilien ist zugleich eines der Länder mit den meisten Opfern und Basis von Netzen, die Europa ins Visier nehmen — auch Deutsche.
Das Strafgesetzbuch bestraft den Betrug (estelionato) — sich durch Täuschung einen rechtswidrigen Vorteil zum Schaden eines anderen verschaffen — mit einem bis fünf Jahren Haft und Geldstrafe (Artikel 171), erhöht um ein Drittel bis auf das Doppelte, wenn das Opfer alt oder schutzbedürftig ist, und den elektronischen Betrug — Betrug mit vom Opfer oder einem getäuschten Dritten über soziale Netzwerke, Telefonkontakte oder betrügerische E-Mails gelieferten Informationen — mit vier bis acht Jahren (Gesetz 14.155/2021), erhöht um ein bis zwei Drittel, wenn die Tat über einen Server außerhalb Brasiliens begangen wird. Seit dem Anti-Verbrechens-Paket (Gesetz 13.964/2019) verlangt der Betrug den Strafantrag (representação) des Opfers, außer wenn das Opfer die öffentliche Verwaltung, ein Kind oder Jugendlicher, ein Mensch mit geistiger Behinderung, über 70 Jahre alt oder geschäftsunfähig ist; die Frist beträgt sechs Monate. Der Liebesbetrug — «golpe do amor», «golpe do falso militar americano», «golpe do casamento» — und das «Schweineschlachten» mit Kryptowährungen werden als Betrug oder elektronischer Betrug behandelt; Brasilien zählt Millionen Opfer digitaler Betrügereien im Jahr (Pix, geklontes WhatsApp, falsche Bankzentralen) und beherbergt auch Netze, die europäische und amerikanische Opfer ins Visier nehmen. Die Anzeige erfolgt bei den Polizeiwachen für Cyberkriminalität (in den meisten Staaten vorhanden), bei jeder Wache oder online (delegacia eletrônica); Pix hat seit 2021 den Speziellen Rückerstattungsmechanismus (MED), mit dem die Bank bei Betrug Gelder sperren und zurückerstatten kann, wenn er schnell ausgelöst wird; SaferNet, Procon und consumidor.gov.br ergänzen.
Deutsche begegnen Brasilien beim Betrug von zwei Seiten: als Bewohner, für die Pix — das Sofortzahlungssystem, mit dem Brasilien fast alles bezahlt — die neue Achillesferse ist (geklontes WhatsApp eines «Sohnes» oder «Freundes», der um einen Pix bittet; falsche Bankzentralen; «Sequestro relâmpago» mit erzwungenen Überweisungen), und als Ziel aus der Ferne, denn brasilianische Netze betreiben Liebesbetrug in deutscher Sprache auf Dating-Plattformen und Facebook, mit Profilen brasilianischer «Ärztinnen» oder «Ingenieure», die Geld für ein Flugticket nach Deutschland, einen Zoll oder eine Notoperation erbitten. Die deutsche Polizei nimmt solche Anzeigen auf (Onlinewache der Länder), die Ermittlungen laufen über Rechtshilfe und dauern.
Der Unterschied zum deutschen Bankrecht: eine autorisierte Pix-Zahlung an einen Betrüger wird von der Bank nicht erstattet, nur über den MED zurückgeholt, wenn das Geld noch auf dem Zielkonto ist — deutsche Banken erstatten nicht autorisierte Zahlungen nach PSD2 fast immer, autorisierte fast nie. Das CPF ist in Brasilien der Generalschlüssel wie die Sozialversicherungsnummer in den USA: wer es preisgibt, ermöglicht Kredite, SIM-Karten und Konten im eigenen Namen; das Registrato der Zentralbank zeigt, welche Konten und Kredite auf das eigene CPF laufen. Deutsche Opfer in Brasilien erstatten Anzeige persönlich (die Online-Anzeige verlangt oft CPF und brasilianische Handynummer) und beantragen den Strafantrag binnen sechs Monaten; das Konsulat hilft bei Passverlust und Notgeld, nicht bei der Rückholung.
Die wichtigsten Punkte
| Straftat | Betrug (Artikel 171): ein bis fünf Jahre, erhöht gegen Ältere und Schutzbedürftige; elektronischer Betrug (171, § 2-A): vier bis acht Jahre |
|---|---|
| Strafantrag | Antrag des Opfers binnen sechs Monaten nötig (seit 2019), außer öffentliche Verwaltung, Minderjährige, geistige Behinderung, über 70 Jahre oder geschäftsunfähig |
| Wo anzeigen | Polizeiwachen für Cyberkriminalität; delegacia eletrônica; jede Wache; Staatsanwaltschaft |
| Pix | Spezieller Rückerstattungsmechanismus (MED): Sperrung und Rückerstattung bei Betrug, schnell bei der Bank auslösen |
| Banken | Anfechtung nicht autorisierter Vorgänge; Rechtsprechung zugunsten der Opfer falscher Bankzentralen |
| Warnungen | Zentralbank, CVM (falsche Investitionen), SaferNet, Procon |
| Tendenz | Millionen digitaler Betrügereien im Jahr; «golpe do amor» und «Schweineschlachten» auf dem Vormarsch |
| Deutsche | Pix und geklontes WhatsApp als Hauptrisiko vor Ort; brasilianische Liebesbetrugsnetze auf Deutsch; CPF schützen; Anzeige persönlich, Strafantrag binnen sechs Monaten |
In der Praxis
- Bei der ersten Geldbitte eines Online-Kontakts — amerikanischer Soldat, Ingenieur auf einer Ölplattform, reicher Witwer, Frau in Not, brasilianische Ärztin, die nach Deutschland kommen will — anhalten und prüfen: umgekehrte Bildersuche, Videoanruf verlangen, jede Überweisung verweigern; kein Zoll, kein Krankenhaus verlangt Zahlung von einem Dritten, und keine Fluggesellschaft blockiert ein Ticket wegen einer «Reisegebühr».
- Wurde ein Pix gesendet, sofort die Bank kontaktieren und den MED auslösen — die Gelder können in den ersten Stunden auf dem Zielkonto gesperrt werden — und die Anzeige online oder bei der Wache erstatten; Gespräche, Profile, Pix-Schlüssel und Belege aufbewahren.
- Anzeige und Strafantrag binnen sechs Monaten stellen; die Polizeiwache für Cyberkriminalität des Staates (oder die delegacia eletrônica) bearbeitet die Fälle; die Staatsanwaltschaft verfolgt; Ausländer ohne CPF gehen persönlich mit Pass zur Wache.
- Von einem «Freund» vorgeschlagene Investitionen bei CVM und Zentralbank prüfen; nicht registrierte Kryptoplattformen sind das häufigste Schema — auch in Deutschland bei der BaFin prüfbar.
- Das eigene CPF schützen: nie am Telefon nennen, im Registrato der Zentralbank (gov.br) die Konten und Kredite auf den eigenen Namen prüfen, den «Cadastro Pré-Pago» und die Serasa-Sperre nutzen; WhatsApp mit zweistufiger Bestätigung sichern — das geklonte WhatsApp ist der häufigste Betrug des Landes.
Kosten und Übernahme
Anzeige, MED und Procon sind kostenlos; an einen Betrüger gesendetes Geld wird selten zurückgeholt, außer bei schneller Pix-Sperrung; ein Anwalt kann die Bank belangen, wenn sie ihre Pflichten verletzt hat (Sonderzivilgerichte kostenlos bis 40 Mindestlöhne); deutsche Opfer erstatten Anzeige kostenlos bei der Onlinewache ihres Bundeslandes.
Aktuelle Entwicklungen
Das Gesetz 14.155/2021 schuf den elektronischen Betrug mit vier bis acht Jahren; die Zentralbank verstärkte den MED (2024, automatische Sperrung bei Betrugsverdacht) und begrenzte nächtliche Pix; die Polizeiwachen für Cyberkriminalität wurden ausgebaut; Brasilien wurde zu einem der am stärksten von digitalen Betrügereien betroffenen Länder, mit WhatsApp und Pix als Hauptvektoren; deutsche Landeskriminalämter warnen seit 2023 vor Liebesbetrug aus Brasilien.
Anlaufstellen
- Polizeiwache für Cyberkriminalität des Staates; delegacia eletrônica; Disque 190.
- Bank (MED des Pix); Zentralbank (bcb.gov.br, Registrato); CVM (Warnungen); SaferNet Brasil; Procon; consumidor.gov.br.
- Deutsche Konsulate bei Passverlust und Notlagen; Onlinewache der deutschen Polizei und Verbraucherzentrale für Opfer in Deutschland.
Gut zu wissen
Pix ist sofort, und der Betrüger auch: das Geld verlässt das Zielkonto in Minuten, und der MED funktioniert nur, wenn die Bank in den ersten Stunden kontaktiert wird. Seit 2019 verlangt der Betrug den Strafantrag des Opfers binnen sechs Monaten — ohne ihn können weder Polizei noch Staatsanwaltschaft handeln. Und für Deutsche: das brasilianische Profil, das sich in dich verliebt hat und ein Ticket nach Frankfurt braucht, gehört mit hoher Wahrscheinlichkeit einem Netz — Videoanruf, Bildersuche, kein Geld.
Häufige Fragen
Eine Brasilianerin, die ich online kenne, bittet um Geld für das Flugticket nach Deutschland — was tun?
Nichts überweisen: das ist die klassische Form des «golpe do amor» aus Brasilien in Richtung Europa, oft von Männern in Netzen geführt, mit gestohlenen Fotos und Geschichten von Zoll, Krankenhaus oder Visumgebühr. Prüfen: umgekehrte Bildersuche (Google Lens, TinEye), spontaner Videoanruf, Nachfrage, warum ein deutsches Visum kein Geld von dir braucht (es braucht es nicht). Hat schon Geld den Besitzer gewechselt: Anzeige bei der Onlinewache deiner Landespolizei mit allen Belegen und bei der Plattform; Rückholung ist selten, «Recovery»-Dienste sind ein zweiter Betrug.
Ich habe einen Pix an einen Betrüger geschickt — bekomme ich das Geld zurück?
Möglicherweise, wenn du schnell bist: sofort die Bank anrufen oder in der App «contestar» und den Speziellen Rückerstattungsmechanismus (MED) auslösen — die Empfängerbank sperrt das Geld, wenn es noch auf dem Konto ist, und erstattet binnen Tagen; nach Stunden ist es meist weiterüberwiesen. Dann Anzeige (boletim de ocorrência) und Strafantrag binnen sechs Monaten. Eine autorisierte Zahlung muss die Bank sonst nicht erstatten; bei Kontrolllücken (kein Limit, ungewöhnliche Uhrzeit) haben Sonderzivilgerichte Banken verurteilt.
Wie schütze ich mein CPF?
Nie am Telefon oder in Nachrichten nennen und nur dort angeben, wo es nötig ist (Apotheken und Läden fragen für Rabatte — man darf ablehnen); im Registrato der Zentralbank (gov.br) regelmäßig Konten, Kredite und Pix-Schlüssel auf den eigenen Namen prüfen; bei Serasa und den Auskunfteien eine Sperre gegen Kreditanfragen einrichten; das gov.br-Konto mit Silber- oder Goldstufe und Zwei-Faktor sichern; nach einem Datenleck (Serasa 2021, Ministerien) Passwörter ändern. Bei Missbrauch: Anzeige bei der Cyber-Polizeiwache und Löschung der falschen Verträge über Procon oder Sonderzivilgericht.
Quellen
- Strafgesetzbuch — Betrug (Artikel 171) — Planalto
- Banco Central do Brasil — Pix und Spezieller Rückerstattungsmechanismus — Regeln des Pix, Registrato
- SaferNet Brasil — Anzeigen — Meldekanal
Der allgemeine Artikel: Liebesbetrug · Mit einem anderen Land vergleichen
Allgemeine Quellen
- gov.br — amtliches Portal der brasilianischen Bundesregierung und ihrer Dienste (CPF, INSS, ANVISA, Polícia Federal)
- Planalto — Gesetzessammlung — konsolidierte Texte: Zivilgesetzbuch, Strafgesetzbuch, Kinder- und Jugendstatut, LGPD
- Deutsche Vertretungen in Brasilien — brasil.diplo.de — Botschaft Brasília und Generalkonsulate São Paulo, Rio de Janeiro, Porto Alegre, Recife: Urkunden, Pässe, Anwalts- und Übersetzerlisten