Die Rechtsgrundlage
Das Allgemeine Gesetz zum Schutz personenbezogener Daten (Lei 13.709/2018), seit September 2020 in Kraft und mit Sanktionen seit August 2021, gilt für jede Datenverarbeitung in Brasilien oder mit Bezug auf Personen in Brasilien, auch durch ausländische Plattformen: Rechtsgrundlagen (Einwilligung, Vertragserfüllung, berechtigtes Interesse und andere), Grundsätze (Zweckbindung, Erforderlichkeit, Transparenz, Sicherheit), Betroffenenrechte (Bestätigung, Auskunft, Berichtigung, Anonymisierung, Löschung, Übertragbarkeit, Information über Weitergaben, Widerruf der Einwilligung), verstärkter Schutz sensibler Daten — Herkunft, Religion, politische Meinung, Gesundheit, Sexualleben, genetische und biometrische Daten —, spezifische Einwilligung eines Elternteils für Daten von Kindern unter 12 und Verarbeitung im besten Interesse Jugendlicher, Pflicht-Datenschutzbeauftragter (encarregado), Meldung von Verletzungen an ANPD und Betroffene, und Sanktionen — Verwarnung, Bußgeld bis 2 Prozent des Umsatzes in Brasilien, begrenzt auf 50 Millionen Reais je Verstoß, Sperrung oder Löschung der Daten. Die Nationale Datenschutzbehörde (ANPD), seit 2022 unabhängige Behörde, erlässt Regelungen (Bußgeldbemessung 2023, internationale Übermittlungen 2024, Kinderdaten) und sanktioniert; die Verfassungsänderung 115/2022 nahm den Datenschutz in die Grundrechte auf; das Internet-Grundgesetz (Marco Civil, 2014) und das Verbraucherschutzgesetz ergänzen. Die nicht einvernehmliche Verbreitung intimer Bilder ist strafbar (Gesetz 13.718/2018), und das Opfer kann die Entfernung von den Plattformen ohne Gerichtsentscheidung verlangen (Marco Civil, Artikel 21). Brasilien hat keinen Angemessenheitsbeschluss der Europäischen Union.
Deutsche finden in der LGPD die DSGVO wieder — Rechtsgrundlagen, Betroffenenrechte, Datenschutzbeauftragter, Meldepflichten, Bußgelder in Prozent des Umsatzes —, mit Unterschieden im Detail: Bußgelder auf 2 Prozent und 50 Millionen Reais begrenzt (statt 4 Prozent und 20 Millionen Euro), Kinderschutz bis 12 statt 16, zehn Rechtsgrundlagen statt sechs, und eine Behörde, die 2023 ihr erstes Bußgeld verhängte und noch klein ist. Für deutsche Unternehmen und Selbständige in Brasilien gilt die LGPD für alle Kunden im Land; für die Übermittlung von Daten zwischen einer deutschen Muttergesellschaft und ihrer brasilianischen Tochter braucht es aus EU-Sicht Standardvertragsklauseln (kein Angemessenheitsbeschluss) und aus brasilianischer Sicht die ANPD-Klauseln von 2024.
Im Alltag zählt anderes: das CPF als allgegenwärtiger Identifikator, den Apotheken, Supermärkte und Apps erfragen und der in riesigen Lecks zirkuliert (223 Millionen Datensätze 2021); die Gesichtserkennung in Stadien, U-Bahnen und Läden, die die LGPD als biometrische Verarbeitung nur mit Rechtsgrundlage erlaubt; die Ausweispflicht mit Lichtbildausweis, die auch Ausländer zum ständigen Mitführen von Pass oder CRNM zwingt. Gegenüber deutschen Anbietern (Bank, Kasse, Online-Shops) gilt die DSGVO weiter, auch aus Brasilien; gegenüber brasilianischen Anbietern die LGPD mit Beschwerde bei der ANPD, dem Procon oder dem Sonderzivilgericht — kostenlos und ohne Anwalt bis 20 Mindestlöhne, ein Weg, den Deutschland nicht kennt.
Die wichtigsten Punkte
| Text | LGPD (Lei 13.709/2018), in Kraft seit 2020, Sanktionen seit 2021; Grundrecht seit 2022 |
|---|---|
| Behörde | ANPD — Nationale Datenschutzbehörde: Regelung, Aufsicht, Sanktionen |
| Rechte | Auskunft, Berichtigung, Anonymisierung, Löschung, Übertragbarkeit, Information über Weitergaben, Widerruf |
| Sensible Daten | Herkunft, Religion, Meinung, Gesundheit, Sexualleben, genetische, biometrische Daten: spezifische Einwilligung |
| Minderjährige | Einwilligung eines Elternteils unter 12 Jahren; bestes Interesse für Jugendliche |
| Sanktionen | Verwarnung; Bußgeld bis 2 Prozent des Umsatzes, 50 Millionen Reais je Verstoß; Sperrung |
| Intime Bilder | Straftat (Gesetz 13.718/2018); Entfernung durch die Plattformen auf Antrag des Opfers (Marco Civil) |
| Deutsche | DSGVO-ähnlich, aber kein Angemessenheitsbeschluss (Standardvertragsklauseln); DSGVO gilt weiter gegenüber EU-Anbietern; CPF und Gesichtserkennung als Alltagsrisiken |
In der Praxis
- Ein Nutzer verlangt von der Website oder App (Kanal des Pflicht-Datenschutzbeauftragten) Auskunft, Berichtigung oder Löschung seiner Daten; die Antwort ist binnen 15 Tagen für die vollständige Auskunft geschuldet; ohne Antwort Petition an die ANPD (online) oder Beschwerde bei Procon und consumidor.gov.br — für Deutsche mit CPF oder Pass möglich.
- Bei einem Datenleck muss das Unternehmen ANPD und Betroffene in angemessener Frist benachrichtigen (drei Werktage nach der Regelung von 2024); das Opfer kann Schadensersatz beim Sonderzivilgericht verlangen, ohne Anwalt bis 20 Mindestlöhne.
- Die nicht einvernehmliche Verbreitung intimer Bilder wird bei der Polizeiwache für Cyberkriminalität angezeigt, und das Opfer verlangt die Entfernung direkt von der Plattform, die ohne Gerichtsentscheidung handeln muss; SaferNet hilft — auch deutschen Opfern, deren Bilder von brasilianischen Konten verbreitet werden.
- Die Eltern eines Kindes unter 12 können die Löschung eines ohne ihre Einwilligung eröffneten Kontos verlangen; die Plattformen müssen das Alter verhältnismäßig prüfen.
- Die großen Datenlecks (Serasa, Ministerien, Anbieter) sind häufig: Konten prüfen, Zwei-Faktor-Authentifizierung aktivieren und das CPF überwachen (Registrato der Zentralbank, Serasa-Sperre) begrenzt den Schaden; das CPF nicht für Rabatte in Apotheken und Läden hergeben.
Kosten und Übernahme
Die Ausübung der Rechte, die Petition an die ANPD und die Beschwerde beim Procon sind kostenlos; das Sonderzivilgericht ist in erster Instanz kostenlos; die Bußgelder der ANPD begannen 2023 (Telekall, Gesundheitsministerium, INSS und andere); Beschwerden gegen deutsche Anbieter bei den deutschen Aufsichtsbehörden kostenlos.
Aktuelle Entwicklungen
Die ANPD verhängte 2023 die ersten Bußgelder und regelte 2024 die internationalen Übermittlungen und die Meldung von Vorfällen; die Verfassungsänderung 115/2022 erhob den Datenschutz zum Grundrecht; die ANPD untersagte 2024 Meta die Nutzung der Daten von Brasilianern zum Training ihrer künstlichen Intelligenz, bevor sie sie unter Bedingungen erlaubte; das Oberste Gericht bestätigte den Datenschutz als eigenständiges Recht (2020); ein Gesetz zur Regulierung der KI (PL 2338) wurde 2024 vom Senat beschlossen.
Anlaufstellen
- ANPD — Nationale Datenschutzbehörde (gov.br/anpd): Petitionen, Regelungen.
- Procon und consumidor.gov.br für Verbraucherstreitigkeiten; Sonderzivilgerichte; SaferNet Brasil und Polizeiwachen für Cyberkriminalität für intime Bilder und Straftaten.
- Bundesbeauftragter für den Datenschutz (BfDI) und Landesbeauftragte für Beschwerden gegen deutsche Anbieter; Europäischer Datenschutzausschuss zu Übermittlungen nach Brasilien.
Gut zu wissen
Die LGPD ist ehrgeizig und die ANPD jung: die Bußgelder sind selten und niedrig im Vergleich zu den europäischen, und massive Datenlecks — Dutzende Millionen CPF — sind Routine. Die wirksamsten Rechte übt man beim Unternehmen selbst und vor den kostenlosen Sonderzivilgerichten aus; und die Verbreitung intimer Bilder hat einen schnellen Rechtsbehelf, den wenige Opfer kennen: die direkte Entfernung durch die Plattform, ohne Richter. Für Deutsche: das CPF ist so schützenswert wie eine PIN.
Häufige Fragen
Gilt die DSGVO für mich in Brasilien?
Gegenüber Unternehmen mit Sitz in der EU (deine deutsche Bank, Krankenkasse, deutsche Online-Shops) ja, unabhängig von deinem Wohnort, mit Beschwerde bei der deutschen Aufsicht; gegenüber brasilianischen Unternehmen und Plattformen, die sich an den brasilianischen Markt richten, gilt die LGPD mit ihren sehr ähnlichen Rechten (Auskunft, Löschung, Widerspruch), durchgesetzt über den Datenschutzbeauftragten des Unternehmens, die ANPD, den Procon oder das Sonderzivilgericht. Deutsche Unternehmen, die brasilianische Kunden bedienen, unterliegen beiden Gesetzen.
Muss ich in der Apotheke mein CPF angeben?
Nein: die Angabe des CPF an der Kasse ist freiwillig — sie dient Rabattprogrammen und der Profilbildung, und die ANPD und der Procon São Paulo haben Apothekenketten wegen der Kopplung von Rabatten an das CPF und der Weitergabe von Gesundheitsdaten (Medikamentenkäufe sind sensible Daten) sanktioniert. Man kann «sem CPF» sagen und zahlt den Normalpreis; die Steuerrechnung (nota fiscal) kann ohne CPF ausgestellt werden. Nur bei Rezepten für kontrollierte Medikamente wird ein Ausweis verlangt.
Jemand hat intime Bilder von mir in Brasilien verbreitet — was kann ich tun?
Drei Schritte, auch von Deutschland aus: die Entfernung direkt bei der Plattform verlangen unter Berufung auf Artikel 21 des Marco Civil, der sie ohne Gerichtsentscheidung zur Löschung verpflichtet (Formulare bei Instagram, Facebook, X, WhatsApp; SaferNet hilft); Anzeige bei der Polizeiwache für Cyberkriminalität oder online (Gesetz 13.718/2018, ein bis fünf Jahre, erhöht in einer Beziehung) — von Deutschland aus auch bei der deutschen Polizei (§ 201a StGB); Schadensersatz vor dem Sonderzivilgericht. Beweise sichern (Screenshots mit URL und Datum), nicht mit dem Täter verhandeln.
Offizielle Quellen und Links
- Gesetz 13.709/2018 — LGPD (konsolidiert) — Planalto
- ANPD — Nationale Datenschutzbehörde — Regelungen, Petitionen, Sanktionen
- Marco Civil da Internet — Gesetz 12.965/2014 — Planalto
- gov.br — amtliches Portal der brasilianischen Bundesregierung und ihrer Dienste (CPF, INSS, ANVISA, Polícia Federal)
- Planalto — Gesetzessammlung — konsolidierte Texte: Zivilgesetzbuch, Strafgesetzbuch, Kinder- und Jugendstatut, LGPD
- Deutsche Vertretungen in Brasilien — brasil.diplo.de — Botschaft Brasília und Generalkonsulate São Paulo, Rio de Janeiro, Porto Alegre, Recife: Urkunden, Pässe, Anwalts- und Übersetzerlisten