Brasiliens Datenschutzbehörde ANPD hat 2024 mit der aktiven Durchsetzung begonnen. Sie verhängte die ersten größeren Bußgelder nach dem LGPD — Gesetz Nr. 13.709/2018. 215 Millionen Brasilianer sind von diesem Gesetz erfasst. Das Land hat 180 Millionen Internetnutzer — die größte digitale Wirtschaft Lateinamerikas. LGPD-Compliance ist jetzt ein reales Durchsetzungsthema, kein zukünftiges.
LGPD: Brasiliens Datenschutzgesetz
Das LGPD basiert auf der DSGVO, weist aber wichtige Unterschiede auf.
Maximale Bußgelder: Bis zu 2 % des brasilianischen Jahresumsatzes. Der Höchstbetrag liegt bei R$50 Millionen (≈€9 Mio.) pro Verstoß. Die DSGVO verwendet 4 % des weltweiten Umsatzes. Die Brasilien-Basis des LGPD bedeutet niedrigere Höchststrafen für multinationale Unternehmen. Für rein brasilianische Unternehmen ist das relative Risiko jedoch höher.
Sensible Kategorien: Die Liste des LGPD ähnelt Art. 9 DSGVO. Sie umfasst Rasse, politische Ansichten, Religion, Gesundheitsdaten, genetische Daten, Biometrie und sexuelle Orientierung. Die ANPD-Leitlinien 2024 haben diese Regeln auf Art. 11 ausgedehnt.
Betroffenenrechte: Auskunft, Berichtigung, Löschung und Datenübertragbarkeit. Zudem Auskunft über die Datenweitergabe. Das LGPD fügt ein Recht hinzu, das die DSGVO nicht kennt: das Recht zu erfahren, ob KI bei einer Entscheidung eingesetzt wurde.
Durchsetzungsbeginn: Die ANPD verhängte 2024 erste Sanktionen. Hauptziele: Telekommunikation, Finanzunternehmen und Gesundheitsversorger. Multinationale Unternehmen in Brasilien stehen 2025 im Fokus.
Einen umfassenderen Überblick bietet unser Leitfaden zur globalen PII-Compliance.
Brasilianische PII-Identifikatoren
Brasiliens ID-System ist komplex. Als Bundesrepublik variieren einige Dokumente je nach Bundesstaat.
CPF: Eine 11-stellige Steuernummer (Format: XXX.XXX.XXX-XX). Zwei Prüfziffern mit Modulo-Arithmetik. Der CPF ist Brasiliens universeller Hauptausweis für Bank-, Steuer-, Gesundheits- und Behördendienste. Alle 215 Millionen Brasilianer besitzen einen.
CNPJ: Eine 14-stellige Unternehmensregisternummer (Format: XX.XXX.XXX/XXXX-XX). Zwei Prüfziffern. Erscheint in Geschäftsunterlagen im Zusammenhang mit Vertretern des Unternehmens.
RG: Ein staatlich ausgestellter Personalausweis. Format variiert je nach Bundesstaat. Der RG aus São Paulo unterscheidet sich von dem aus Rio de Janeiro — und so weiter über 26 Bundesstaaten und den Bundesdistrikt. Ein Tool, das nur ein Staatsformat kennt, übersieht die meisten brasilianischen RG-Nummern.
CNH: Eine 11-stellige Führerscheinnummer mit einer Prüfziffer.
Título de Eleitor: Eine 12-stellige Wähler-ID. Sie kodiert die Wahlregistrierungszone.
PIS/PASEP: Eine 11-stellige Sozialversicherungsnummer. Erscheint in Lohn- und Gehaltsunterlagen.
SUS-Nummer: Eine 15-stellige Gesundheitssystem-ID. Jeder Brasilianer hat eine. Sie erscheint in allen Gesundheitsdokumenten.
Unser globaler PII-Identifikatorenleitfaden behandelt den CPF neben SSN, Aadhaar und anderen nationalen IDs.
LGPD vs. DSGVO: Wichtige Unterschiede
Beide Rechtsrahmen schützen personenbezogene Daten, unterscheiden sich aber in wichtigen Punkten.
Rechtsgrundlagen: Das LGPD hat 10 Rechtsgrundlagen, die DSGVO 6. LGPD enthält den „Kreditschutz" — eine Grundlage, die mit Brasiliens Fintech-Kultur zusammenhängt. Kein DSGVO-Äquivalent existiert.
Keine EU-Angemessenheitsentscheidung für Brasilien: Die EU hat Brasilien keine Angemessenheitsentscheidung erteilt. EU–Brasilien-Übermittlungen erfordern Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften — wie bei Übermittlungen in die USA.
Einwilligungsregeln: Die LGPD-Einwilligung muss spezifisch, informiert, frei und klar sein — ähnlich der DSGVO. Für sensible Kategorien erlaubt das LGPD eine breitere Einwilligung als die zweckspezifische DSGVO-Regelung, sofern der Zweck klar angegeben ist.
ANPD-Durchsetzungsschwerpunkte 2025
Die ANPD hat ihre Prioritäten für 2025 auf Basis der Ergebnisse aus 2024 veröffentlicht.
Gesundheitsdaten
Art. 11 verlangt ausdrückliche Einwilligung — oder eine klare Rechtsgrundlage — für die Verarbeitung von Gesundheitsdaten. Die ANPD stellte fest, dass viele Gesundheits-Apps und -Anbieter diese Grundlage für SUS-Nummern und Krankenakten nicht hatten.
Finanzdienstleistungen
CPF-Nummern in Kreditanträgen, Bonitätsberichten und Versicherungspolicen sind Hauptziele. Die ANPD prüft, ob Aufbewahrungsfristen den angegebenen Zwecken entsprechen.
Tech-Plattform-Compliance
Social-Media-, E-Commerce- und Streaming-Plattformen in Brasilien stehen 2025 im Fokus. Die ANPD untersucht Profiling-Praktiken und grenzüberschreitende Übermittlungen.
Was jetzt zu tun ist
Die Basis für brasilianische Compliance ist die CPF- und CNPJ-Erkennung mit Prüfziffernvalidierung. Ergänzen Sie die RG-Erkennung mit bundesstaatenspezifischer Formatlogik. Fügen Sie CNH-, Título de Eleitor- und SUS-Nummern-Support für vollständige Abdeckung hinzu. Weitere Details finden Sie in unserem LGPD-Anonymisierungsleitfaden.