Arbeitsbereich

Leitfaden · Brasilianisches Gesetz

LGPD für Websites mit Anzeigen, einfach erklärt

Das Allgemeine Datenschutzgesetz (LGPD) gilt für jede Website, die Daten von Personen in Brasilien verarbeitet, auch Cookies und Kennungen, die von Anzeigen genutzt werden. Dieser Leitfaden zeigt, was das Gesetz verlangt, wie die ANPD die Nutzung von Cookies anleitet, welche Sanktionen es gibt und was ein Publisher online haben muss.

Meine Website jetzt prüfenLeitfaden lesen
  • ✓Basiert auf dem Text des Gesetzes 13.709/2018 und dem Cookie-Leitfaden der ANPD
  • ✓Praktische Unterschiede zwischen LGPD und DSGVO
  • ✓Lesen der Website, ohne etwas zu verändern
10Rechtsgrundlagen für die Verarbeitung personenbezogener Daten
2%des Umsatzes in Brasilien, Obergrenze der einfachen Strafe pro Verstoß
50 Mio. R$Grenze der einfachen Strafe pro Verstoß
2020Jahr, in dem die LGPD in Kraft trat

Was es ist

Das Gesetz, das die Nutzung personenbezogener Daten in Brasilien ordnet

Die LGPD ist das Gesetz Nr. 13.709 vom 14. August 2018. Es sagt, wann ein Unternehmen personenbezogene Daten erheben, nutzen, speichern und weitergeben darf und welche Rechte Personen an diesen Daten haben. Es gilt für Unternehmen, Selbstständige und öffentliche Stellen, in der physischen Welt und im Internet.

Personenbezogene Daten sind alle Informationen, die mit einer identifizierten oder identifizierbaren Person verknüpft sind. Auf einer Website umfasst das Name und E-Mail aus einem Formular, aber auch IP-Adresse, Cookie-Kennungen und den Browserverlauf, der genutzt wird, um Anzeigen zu zeigen. Sensible personenbezogene Daten sind eine stärker geschützte Kategorie: Gesundheit, Religion, ethnische Herkunft, politische Meinung, Sexualleben, genetische und biometrische Daten.

Der Titular ist die Person, der die Daten gehören. Der Controlador (Verantwortliche) entscheidet, wofür die Daten genutzt werden, und ist normalerweise der Inhaber der Website. Der Operador (Auftragsverarbeiter) verarbeitet die Daten im Namen des Verantwortlichen, wie eine E-Mail-Plattform. Der Encarregado (Datenschutzbeauftragte) ist die Person oder das Unternehmen, die die Brücke zwischen Verantwortlichem, betroffenen Personen und der Behörde bildet.

Die Aufsicht liegt bei der ANPD. Gegründet als Autoridade Nacional de Proteção de Dados, heißt sie heute Agência Nacional de Proteção de Dados, mit demselben Kürzel. Die ANPD veröffentlicht Verordnungen und Leitfäden, nimmt Beschwerden entgegen und verhängt die Sanktionen des Gesetzes.

Checkliste

Was Sie erfüllen müssen

Was die LGPD, die ANPD und Google von einer Website mit Anzeigen verlangen, die Besucher aus Brasilien hat.

  1. Vollständige Datenschutzerklärung

    Das Gesetz garantiert der betroffenen Person leichten Zugang zu Zweck, Form und Dauer der Datennutzung, dazu, wer der Verantwortliche ist und wie man ihn kontaktiert, zur Weitergabe und zu den Rechten aus Artikel 18. Google verlangt außerdem, dass die Erklärung sagt, dass Dritte wie Google Cookies verwenden, um Anzeigen auszuspielen.

    Beispiel

    Wir verwenden eigene Cookies und Cookies von Dritten, auch von Google, um Anzeigen auf Basis Ihrer Besuche auf dieser und anderen Websites zu zeigen.

  2. Werbe-Cookies erst nach dem Ja

    Der Leitfaden der ANPD sieht für nicht notwendige Cookies die Einwilligung vor und empfiehlt, sie standardmäßig deaktiviert zu lassen. Wenn Sie Google-Tags nutzen, kann der Consent Mode nur für Brasilien auf verweigert starten und sich ändern, sobald die Person zustimmt.

    gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'wait_for_update': 500,
  'region': ['BR']
});

  3. Gut sichtbarer Button zum Ablehnen

    Der Leitfaden der ANPD empfiehlt einen gut sichtbaren Button zum Ablehnen aller nicht notwendigen Cookies. Er rät von einem Banner mit nur einem Button und ohne Option zur Verwaltung ab.

    Beispiel

    Alle akzeptieren | Nicht notwendige ablehnen | Einstellungen

  4. Nichts vorausgewählt

    Der Leitfaden der ANPD sagt, dass Banner mit bereits angekreuzten Zustimmungsoptionen nicht empfehlenswert sind. Jeder Zweck startet ausgeschaltet, bis die Person wählt.

  5. Jederzeit widerrufen

    Das Gesetz sagt, dass die Einwilligung jederzeit in einem kostenlosen und einfachen Verfahren widerrufen werden kann. Setzen Sie einen festen Link, über den die Person ihre Wahl ändern kann.

    Beispiel

    Link in der Fußzeile aller Seiten: Cookie-Einstellungen

  6. Kontakt des Datenschutzbeauftragten veröffentlicht

    Die Identität und der Kontakt des Datenschutzbeauftragten (Encarregado) müssen klar und sachlich bekannt gemacht werden, am besten auf der Website. Kleine Akteure, die keinen Datenschutzbeauftragten benennen müssen, müssen einen Kanal zur betroffenen Person unterhalten.

    Beispiel

    Datenschutzbeauftragte: Maria Silva. Kontakt: datenschutz@ihre-website.de

  7. Auf Anfragen der betroffenen Person antworten

    Die Bestätigung und der Zugang zu den Daten können sofort in vereinfachter Form oder in einer vollständigen Erklärung innerhalb von 15 Tagen nach der Anfrage erteilt werden. Richten Sie einen Kanal ein, um diese Anfragen entgegenzunehmen.

  8. Vorsicht bei Kindern und sensiblen Daten

    Daten von Kindern erfordern die Einwilligung mindestens eines Elternteils oder des gesetzlichen Vertreters. Sensible Daten wie Gesundheit und Religion erfordern eine spezifische und hervorgehobene Einwilligung, und Google akzeptiert keine personalisierten Anzeigen auf dieser Grundlage.

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für die LGPD weder eine zertifizierte CMP noch hat es eine eigene Meldung dafür, wählen Sie daher ein Tool, das dem Leitfaden der ANPD folgt, und nutzen Sie eine zertifizierte CMP nur, wenn die Website auch Besucher aus Europa hat.

Für wen es gilt

Drei Situationen bringen Ihre Website unter die LGPD

Eine genügt. Es spielt keine Rolle, wie groß die Website ist oder wo die Server stehen.

Verarbeitung in Brasilien

Wenn die Erhebung oder Nutzung der Daten auf nationalem Gebiet stattfindet, gilt das Gesetz.

Angebot an Personen in Brasilien

Wenn das Ziel ist, Personen in Brasilien Produkte oder Dienstleistungen anzubieten oder ihre Daten zu verarbeiten, gilt das Gesetz auch für ausländische Unternehmen.

In Brasilien erhobene Daten

Wenn die Daten im Land erhoben wurden, gilt die LGPD für sie, auch wenn sie später im Ausland verarbeitet werden.

Auch kleine Websites

Blogs und kleine Unternehmen unterliegen dem Gesetz. Die ANPD hat leichtere Regeln für kleine Akteure, aber keine allgemeine Befreiung.

Rechtsgrundlagen

Die Rechtsgrundlagen, die für eine Website am wichtigsten sind

Artikel 7 enthält 10 Grundlagen für die Verarbeitung personenbezogener Daten. Für eine Inhaltswebsite mit Anzeigen sind das die, die im Alltag vorkommen.

Einwilligung

Freie, informierte und eindeutige Willensäußerung für einen bestimmten Zweck. Das ist die von der ANPD empfohlene Grundlage für nicht notwendige Cookies, wie die für Werbung.

Berechtigtes Interesse

Echtes Interesse der Website, solange es die Rechte der betroffenen Person nicht übergeht. Kann nach der ANPD für unbedingt notwendige Cookies und aggregierte Messung dienen.

Vertragserfüllung

Daten, die nötig sind, um einen Vertrag mit der Person zu erfüllen, wie ein bezahltes Abonnement oder ein Kauf.

Rechtliche oder regulatorische Verpflichtung

Wenn ein Gesetz die Aufbewahrung der Daten vorschreibt. Der Marco Civil da Internet verlangt zum Beispiel, Zugriffsprotokolle von Anwendungen für einen Zeitraum aufzubewahren.

Kreditschutz

Wird bei Bonitätsprüfung und positivem Register genutzt. Häufig auf Finanzwebsites, selten auf Inhaltswebsites.

Weitere Grundlagen

Öffentliche Politik, Forschung, Ausübung von Rechten in Verfahren, Schutz des Lebens und Gesundheitsschutz vervollständigen die Liste des Artikels 7.

Cookies

Was der Cookie-Leitfaden der ANPD sagt

Im Oktober 2022 veröffentlichte die ANPD den Guia Orientativo Cookies e Proteção de Dados Pessoais. Er unterteilt Cookies in notwendige und nicht notwendige, eigene und von Drittanbietern, Sitzungs- und dauerhafte sowie nach Zweck: analytisch, funktional und werblich.

Für unbedingt notwendige Cookies, wie die für den Login oder den Warenkorb, sagt der Leitfaden, dass die Einwilligung nicht die geeignetste Grundlage ist. Das berechtigte Interesse kann genutzt werden, sofern die Anforderungen des Gesetzes erfüllt sind. Für nicht notwendige Cookies, wie die für Werbung und die, die das Verhalten der Person verfolgen, ist die Einwilligung die geeignetste Grundlage.

Der Leitfaden empfiehlt einen Banner mit einer gut sichtbaren Schaltfläche zum Ablehnen aller nicht notwendigen Cookies und rät von Bannern mit nur einer Schaltfläche zum Akzeptieren ab. Er empfiehlt auch keine vorausgewählten Optionen und rät, Cookies, die von einer Einwilligung abhängen, standardmäßig deaktiviert zu lassen.

Schließlich verlangt der Leitfaden eine Cookie-Richtlinie oder ein gleichwertiges Dokument, das ein Abschnitt der Datenschutzerklärung oder eine eigene Seite sein kann. Für Werbung stellt der Leitfaden fest, dass das berechtigte Interesse kaum die geeignetste Grundlage sein wird.

Rechte der betroffenen Personen

Was der Besucher von Ihrer Website verlangen kann

Artikel 18 listet die Rechte der betroffenen Person auf. Die Website braucht einen Kanal, um diese Anträge zu empfangen und zu beantworten.

Bestätigung und Zugang

Wissen, ob die Website ihre Daten verarbeitet, und sehen, welche es sind.

Korrektur

Unvollständige, falsche oder veraltete Daten berichtigen.

Anonymisierung, Sperrung oder Löschung

Verlangen, dass unnötige, übermäßige oder rechtswidrig verarbeitete Daten anonymisiert, gesperrt oder gelöscht werden.

Übertragbarkeit

Die Daten zu einem anderen Dienst- oder Produktanbieter mitnehmen.

Information über die Weitergabe

Wissen, mit welchen Unternehmen und Stellen die Daten geteilt wurden, wie Werbenetzwerken.

Einwilligung widerrufen

Die Einwilligung jederzeit kostenlos und einfach widerrufen und über die Möglichkeit informiert werden, nicht einzuwilligen.

Was zu tun ist

Was ein brasilianischer Publisher online haben muss

  1. Vollständige DatenschutzerklärungErklären Sie, welche Daten die Website erhebt, wofür, mit welcher Rechtsgrundlage, mit wem sie geteilt werden (auch Google und Werbenetzwerke), wie lange sie gespeichert werden und wie die betroffene Person ihre Rechte ausübt.
  2. Cookie-RichtlinieListen Sie die Arten von Cookies, den Zweck jedes einzelnen und ob sie eigen oder von Drittanbietern sind. Kann ein Abschnitt der Datenschutzerklärung sein.
  3. Banner, wenn es nicht notwendige Cookies gibtWenn die Website Werbe- oder Tracking-Cookies nutzt, zeigen Sie einen Banner mit sichtbaren Schaltflächen zum Akzeptieren und Ablehnen und nicht angekreuzten Optionen.
  4. Weg, die Auswahl zu ändernSetzen Sie einen festen Link wie Cookie-Einstellungen in den Footer, damit der Besucher die Einwilligung jederzeit widerrufen oder anpassen kann.
  5. Datenschutzbeauftragter oder KontaktkanalBenennen Sie den Datenschutzbeauftragten und veröffentlichen Sie seinen Kontakt auf der Website. Die Resolução CD/ANPD Nr. 18 vom Juli 2024 konkretisiert diese Rolle. Kleine Akteure können von der Benennung eines Datenschutzbeauftragten befreit sein, müssen aber einen Kommunikationskanal mit der betroffenen Person unterhalten.
  6. Sicherheit und VorfälleSchützen Sie die Daten mit technischen Maßnahmen und melden Sie der ANPD und den betroffenen Personen Sicherheitsvorfälle, die ein relevantes Risiko oder einen relevanten Schaden verursachen können.

Sanktionen

Was die ANPD verhängen kann

Die Sanktionen des Artikels 52 gelten seit dem 1. August 2021. Die ANPD legt den Betrag in jedem Fall nach ihrer Dosimetrie-Verordnung fest.

Verwarnung

Mit Frist, damit die Website Abhilfemaßnahmen ergreift.

Einfache Strafe

Bis zu 2 % des Umsatzes des Unternehmens, der Gruppe oder des Konzerns in Brasilien im letzten Geschäftsjahr, ohne Steuern, begrenzt auf 50 Millionen R$ pro Verstoß.

Tagesstrafe

Um die Behebung einer Unregelmäßigkeit zu erzwingen, unter Beachtung derselben Gesamtgrenze.

Veröffentlichung

Den Verstoß nach Bestätigung öffentlich machen, was den Ruf der Website beeinträchtigt.

Sperrung oder Löschung

Die mit dem Verstoß verbundenen personenbezogenen Daten sperren oder löschen.

Aussetzung und Verbot

Die Datenbank oder die Verarbeitungstätigkeit aussetzen und die Datenverarbeitung sogar ganz oder teilweise verbieten.

Zeitleiste

Von der Verabschiedung des Gesetzes zur Regulierungsbehörde

Die Termine, die für alle mit einer Website in Brasilien am wichtigsten sind.

  1. 14. August 2018

    LGPD wird unterzeichnet

    Das Gesetz Nr. 13.709 wird mit einer Anpassungsfrist vor dem Inkrafttreten veröffentlicht.

  2. 18. September 2020

    Gesetz tritt in Kraft

    Die Regeln zu Rechtsgrundlagen, Rechten und Pflichten gelten.

  3. 1. August 2021

    Sanktionen gelten

    Die ANPD erhält die Befugnis, Verwarnungen, Strafen und die übrigen Sanktionen des Artikels 52 zu verhängen.

  4. Oktober 2022

    Cookie-Leitfaden

    Die ANPD veröffentlicht den Guia Orientativo Cookies e Proteção de Dados Pessoais.

  5. Februar 2023

    Dosimetrie-Verordnung

    Die ANPD genehmigt die Regeln zur Berechnung und Verhängung der Verwaltungssanktionen.

  6. Juli 2024

    Regeln zum Datenschutzbeauftragten

    Die Resolução CD/ANPD Nr. 18 konkretisiert die Benennung und die Aufgaben des Datenschutzbeauftragten.

  7. 2026

    ANPD wird Agentur

    Die ANPD wird in eine Regulierungsbehörde umgewandelt und heißt nun Agência Nacional de Proteção de Dados.

LGPD und DSGVO

Ähnlich, aber nicht gleich

Die LGPD wurde von der DSGVO inspiriert, aber es gibt Unterschiede, die die Konfiguration der Website ändern.

LGPD (Brasilien)

Gilt für in Brasilien verarbeitete Daten oder Daten von Personen in Brasilien.

  • 10 Rechtsgrundlagen, einschließlich Kreditschutz
  • Strafe auf 50 Millionen R$ pro Verstoß begrenzt
  • Cookie-Leitfaden der ANPD mit praktischen Empfehlungen
  • Google verlangt für Traffic aus Brasilien weder eine zertifizierte CMP noch Consent Mode
  • Cookie-Regeln stehen in einem Leitfaden, nicht in einem eigenen Gesetz
  • Der Banner bleibt nötig, wenn es nicht notwendige Cookies gibt

DSGVO (Europa)

Gilt für Personen im EWR, mit ähnlichen Gesetzen im Vereinigten Königreich und in der Schweiz.

  • 6 Rechtsgrundlagen
  • Cookie-Regel in eigenem Gesetz, der ePrivacy-Richtlinie
  • Detaillierte Leitlinien des EDSA zur Einwilligung
  • Strafen bis zu 20 Millionen Euro oder 4 % des weltweiten Umsatzes
  • Google verlangt eine zertifizierte CMP mit TCF für personalisierte Anzeigen
  • Signale des Consent Mode v2 für Anzeigenfunktionen verlangt

In der Praxis

Was auf einer brasilianischen Website erlaubt ist und was nicht

Beispiele auf Grundlage der LGPD und der Empfehlungen des Cookie-Leitfadens der ANPD.

Erlaubt

  • Notwendige Cookies wie Login und Sicherheit ohne Einwilligung laden
  • Einen Banner mit Akzeptieren und Ablehnen auf gleicher Ebene für Werbe-Cookies zeigen
  • Die europäische TCF-Meldung nur Besuchern aus Europa zeigen und einen eigenen Banner für Brasilien nutzen
  • Datenschutzerklärung und Cookie-Richtlinie im Footer aller Seiten veröffentlichen
  • Eine Kontakt-E-Mail des Datenschutzbeauftragten oder einen Kanal für betroffene Personen angeben
  • Die normalen Google-Anzeigen für das brasilianische Publikum beibehalten

Nicht erlaubt

  • Banner mit nur einer Schaltfläche Akzeptieren oder Ok für Werbe-Cookies
  • Cookie-Optionen, die für den Besucher schon angekreuzt sind
  • Datenschutzerklärung, von einer anderen Website kopiert, ohne Google und die Partner zu nennen
  • Sagen, dass die Website keine Daten erhebt, wenn es Anzeigen und Analytics gibt
  • Die vollständige Annahme der Cookies verlangen, um den Inhalt freizugeben
  • Alle Einwilligungssignale für Brasilien ohne Not verweigern

In ConsentMode

Was die Prüfung zur LGPD auf Ihrer Website kontrolliert

  • Öffnet die Website als Besucher aus Brasilien und zeigt im Screenshot, ob es einen Banner gibt, welche Schaltflächen er hat und ob die Optionen angekreuzt sind.
  • Listet die Cookies und die Anzeigen- und Analyse-Tags auf, die vor und nach der Auswahl laden.
  • Prüft, ob die Datenschutzerklärung existiert, im Footer steht und Google, Cookies, Partner, Rechte und Kontakt des Datenschutzbeauftragten nennt.
  • Prüft, ob die europäische Konfiguration nach Brasilien durchsickert und ohne Not Anzeigen verweigert.
  • Liefert einen Korrekturplan in Prioritätsreihenfolge, ohne die Rechtsberatung zu ersetzen.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen zur LGPD

Braucht jede brasilianische Website einen Cookie-Banner?

Die LGPD nennt keine Banner. Der Leitfaden der ANPD empfiehlt, für nicht notwendige Cookies wie die für Werbung eine Einwilligung einzuholen. Nutzt die Website nur notwendige Cookies, ist ein Einwilligungsbanner nicht verlangt, aber die Transparenz in der Erklärung bleibt.

Verlangt Google den Consent Mode für Traffic aus Brasilien?

Nein. Die Richtlinie zur Einwilligung von Nutzern in der EU von Google gilt für den EWR, das Vereinigte Königreich und die Schweiz. Für Brasilien verlangen die Google-Richtlinien eine Datenschutzerklärung, die die Nutzung von Cookies und Daten durch Anzeigen erklärt.

Muss ich einen Datenschutzbeauftragten benennen?

Der Verantwortliche soll einen Datenschutzbeauftragten benennen. Die ANPD erlaubt kleinen Akteuren, darauf zu verzichten, sofern sie einen Kommunikationskanal mit der betroffenen Person unterhalten. Klären Sie mit der Rechtsabteilung, ob Ihr Geschäft darunter fällt.

Kann ich das berechtigte Interesse für Anzeigen nutzen?

Der Leitfaden der ANPD sagt, dass das berechtigte Interesse für Werbung kaum die geeignetste Grundlage sein wird. Für Werbe-Cookies ist die Einwilligung die empfohlene Grundlage.

Taugt eine für die DSGVO erstellte Konfiguration für die LGPD?

Zu einem guten Teil ja, weil die Grundsätze ähnlich sind. Wichtig ist, Regionen zu nutzen: Die europäische TCF-Meldung muss in Brasilien nicht erscheinen, und die Datenschutzerklärung muss die LGPD und die Rechte des Artikels 18 nennen.

Gibt ConsentMode ein Rechtsgutachten ab?

Nein. Die Prüfung zeigt mit Screenshots, was die Website tut, und weist darauf hin, was üblicherweise zu beheben ist. Die juristische Entscheidung liegt bei Ihrem Anwalt oder Datenschutzbeauftragten.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Sehen Sie Ihre Website so, wie ein brasilianischer Besucher sie sieht

Die Prüfung kontrolliert Banner, Cookies, Datenschutzerklärung und Anzeigen und liefert einen Korrekturplan.

Audit starten