Kurz gesagt: Die LGPD verlangt von jeder Website, deren Cookies personenbezogene Daten erheben, eine Rechtsgrundlage, in der Praxis eine Opt-in-Einwilligung für Werbung und andere nicht notwendige Cookies, mit einer klaren Möglichkeit zur Ablehnung. Sie gilt für jede Organisation, brasilianisch oder ausländisch, die Personen in Brasilien Waren oder Dienstleistungen anbietet oder dort erhobene Daten verarbeitet. Die ANPD kann Bußgelder bis 2 % des Umsatzes in Brasilien (höchstens 50 Mio. R$ je Verstoß) verhängen, den Verstoß veröffentlichen und die Sperrung oder Löschung von Daten anordnen.
LGPD: Worum geht es?
Die Lei Geral de Proteção de Dados Pessoais (LGPD) ist das allgemeine Datenschutzgesetz Brasiliens, das Gesetz Nr. 13.709 vom 14. August 2018. Es regelt jede Verarbeitung personenbezogener Daten, online wie offline, durch Privatpersonen, Unternehmen und Behörden, mit dem erklärten Ziel, Freiheit, Privatsphäre und die freie Entfaltung der Persönlichkeit zu schützen.
Das Gesetz trat stufenweise in Kraft. Nach Art. 65 galten die Bestimmungen zur Gründung der Aufsichtsbehörde ab dem 28. Dezember 2018, die Sanktionsartikel (52 bis 54) ab dem 1. August 2021 und der Rest des Gesetzes 24 Monate nach der Veröffentlichung, also 2020. Seit 2021 kann die Behörde also Bußgelder verhängen.
Die LGPD wird oft als „brasilianische DSGVO“ bezeichnet, und die Ähnlichkeit ist real: vergleichbare Begriffe, eine abschließende Liste von Rechtsgrundlagen, Betroffenenrechte und ein Datenschutzbeauftragter (der „encarregado“). Für Cookies gibt es aber einen großen Unterschied. Brasilien hat kein Gegenstück zur ePrivacy-Richtlinie oder zu § 25 TDDDG, also keine Regel „Einwilligung für jeden nicht notwendigen Cookie“. Cookies fallen unter die allgemeinen Regeln der LGPD, sobald sie personenbezogene Daten erheben, und die Aufsichtsbehörde hat deren Anwendung in einem eigenen Cookie-Leitfaden vom Oktober 2022 erläutert.
Räumlicher Anwendungsbereich. Art. 3 wendet das Gesetz auf jede Verarbeitung an, unabhängig vom Land des Unternehmens oder der Server, wenn eine von drei Bedingungen erfüllt ist: Die Verarbeitung findet in Brasilien statt, sie zielt darauf ab, Personen in Brasilien Waren oder Dienstleistungen anzubieten (oder verarbeitet deren Daten), oder die Daten wurden in Brasilien erhoben. Als in Brasilien erhoben gelten Daten, wenn sich die Person zum Zeitpunkt der Erhebung im Land befand.
Wer ist betroffen?
Die LGPD gilt für Verantwortliche (die über die Verarbeitung entscheiden) und Auftragsverarbeiter (die in deren Auftrag verarbeiten). Bei einer Website ist der Verantwortliche meist der Betreiber, während Analyse-, Werbe- und Hosting-Anbieter je nach Datennutzung Auftragsverarbeiter oder eigene Verantwortliche sind.
Sie sind betroffen, wenn:
- Ihr Unternehmen in Brasilien niedergelassen ist und eine Website oder App betreibt;
- Sie im Ausland sitzen, aber an Kunden in Brasilien verkaufen, eine Website auf brasilianischem Portugiesisch betreiben, nach Brasilien liefern oder brasilianische Nutzer mit Werbung ansprechen;
- Ihre Website Daten (auch Cookie-Kennungen und IP-Adressen) von Besuchern erhebt, die sich beim Surfen in Brasilien befinden.
Art. 4 nimmt einige Verarbeitungen aus, etwa durch Privatpersonen zu rein privaten Zwecken oder für ausschließlich journalistische, künstlerische oder Sicherheitszwecke. Eine kommerzielle Website fällt nicht darunter. Entscheidend ist der Begriff der personenbezogenen Daten: nach Art. 5 jede Information über eine identifizierte oder identifizierbare natürliche Person. Cookie-Kennungen, Geräte-IDs und mit einem Nutzer verknüpfte Browserverläufe gehören in der Regel dazu.
Was die LGPD für Cookies und Einwilligung vorschreibt
Eine Rechtsgrundlage für jeden Cookie mit Personenbezug
Art. 7 nennt zehn Rechtsgrundlagen, darunter Einwilligung, rechtliche Verpflichtung, Vertragserfüllung und berechtigtes Interesse. Die LGPD kennt keine Rangfolge, das bestätigt der ANPD-Leitfaden. Entscheidend ist die passende Grundlage je Zweck:
- Unbedingt notwendige Cookies (Login, Warenkorb, Sicherheit, Lastverteilung): Die ANPD hält die Einwilligung hier für ungeeignet, weil Nutzer keine echte Wahl haben. Berechtigtes Interesse (Art. 10) ist in der Regel die passende Grundlage.
- Cookies zur Reichweitenmessung: Berechtigtes Interesse kann in bestimmten Kontexten genügen, wenn die Messung sich auf Muster und Trends aus aggregierten Daten beschränkt, ohne Verknüpfung mit anderem Tracking und ohne Profile.
- Werbe-Cookies, besonders von Dritten zur Profilbildung oder für websiteübergreifendes Tracking: Laut ANPD ist berechtigtes Interesse hier kaum je geeignet, die Einwilligung ist die passendere Grundlage.
Deshalb beschreibt man die LGPD am besten als gemischtes Modell: Opt-in für nicht notwendige Cookies, aber keine pauschale Einwilligungspflicht für jeden Cookie.
Was eine wirksame Einwilligung ausmacht
Art. 5 definiert die Einwilligung als freie, informierte und eindeutige Willensbekundung für einen bestimmten Zweck. Der ANPD-Leitfaden konkretisiert:
- Frei: Besucher müssen ohne Nachteile annehmen oder ablehnen können. Eine „erzwungene“ Einwilligung, bei der die Nutzung von der Annahme aller Cookies abhängt, ist mit der LGPD nicht vereinbar.
- Informiert: Vor der Entscheidung brauchen Nutzer klare, genaue und leicht zugängliche Informationen über Zwecke, Art der Verarbeitung und Speicherdauer (Art. 9). Bei irreführenden Informationen ist die Einwilligung nichtig.
- Eindeutig: Es braucht eine klare, aktive Handlung. Vorausgewählte Optionen und „Einwilligung durch Weitersurfen“ sind mit dem Gesetz nicht vereinbar.
- Bestimmt: Nach Art. 8 muss sich die Einwilligung auf festgelegte Zwecke beziehen, pauschale Genehmigungen sind nichtig.
Speicherdauer, Widerruf und Nachweis
Dauer. Die LGPD kennt keine feste Cookie-Laufzeit. Laut ANPD muss die Speicherung zum Zweck passen und auf das Notwendige begrenzt sein.
Widerruf. Nach Art. 8 Abs. 5 kann die Einwilligung jederzeit durch ausdrückliche Erklärung in einem kostenlosen und einfachen Verfahren widerrufen werden. Die ANPD ergänzt, dass der Widerruf so einfach sein soll wie die Erteilung.
Nachweis. Art. 8 Abs. 2 legt die Beweislast dem Verantwortlichen auf. Die ANPD empfiehlt, alle Elemente zu dokumentieren, die die Wirksamkeit belegen. Ein Protokoll mit Zeitstempel, Bannerversion und getroffener Wahl ist der einfachste Weg.
Der LGPD-konforme Cookie-Banner
Die Empfehlungen der ANPD ähneln stark dem, was europäische Behörden erwarten, ein guter Cookie-Banner nach DSGVO ist also eine solide Basis. Die Details finden Sie in unserem Leitfaden zum Cookie-Banner.
Auf der ersten Ebene sollte der Banner einen gut sichtbaren Button zum Ablehnen aller nicht notwendigen Cookies neben dem Akzeptieren-Button und einer Verwaltungsoption zeigen, sowie einen leicht zugänglichen Link zu Rechten, Datennutzung und Speicherdauer.
Auf der zweiten Ebene sollte er Cookies in Kategorien mit verständlich beschriebenen Zwecken gruppieren, eine Einwilligung je Kategorie ermöglichen, einwilligungsbasierte Cookies standardmäßig deaktivieren und erklären, wie man Cookies im Browser blockiert.
Zu vermeiden sind laut ANPD:
- ein einziger Button auf der ersten Ebene („Ich stimme zu“, „Verstanden“) ohne Verwaltungsmöglichkeit;
- schwer erkennbare Ablehnen- oder Einstellungs-Buttons, während nur „Akzeptieren“ hervorgehoben ist;
- eine unmögliche oder erschwerte Ablehnung aller nicht notwendigen Cookies;
- standardmäßig aktivierte nicht notwendige Cookies;
- keine zweite Ebene oder kein einfacher Weg zum Widerruf;
- eine Cookie-Richtlinie nur in einer Fremdsprache, was für Websites mit Zielgruppe Brasilien wichtig ist;
- eine zu granulare Cookie-Liste, die Nutzer ermüdet.
Viele dieser Muster sind dieselben Dark Patterns, die europäische Behörden sanktioniert haben, wie unser Artikel zu Cookie Dark Patterns zeigt.
Sanktionen und Kontrollen
Die LGPD wird von der ANPD (Agência Nacional de Proteção de Dados) durchgesetzt. Sie nimmt Beschwerden entgegen, führt Kontrollen durch und eröffnet Sanktionsverfahren. Art. 52 sieht vor: Verwarnung mit Frist, einfaches Bußgeld bis 2 % des Umsatzes in Brasilien im letzten Geschäftsjahr ohne Steuern, höchstens 50 Mio. R$ je Verstoß, tägliches Bußgeld im selben Rahmen, Veröffentlichung des Verstoßes, Sperrung oder Löschung der Daten, Aussetzung der Verarbeitung für bis zu sechs Monate (einmal verlängerbar) sowie ein teilweises oder vollständiges Verbot der Verarbeitung. Laut ihrer Aufsichtsseite gingen bisher alle eröffneten Sanktionsverfahren auf mangelnde Kooperation der betroffenen Organisation zurück.
Veröffentlichte Fälle:
- Telekall Infoservice (2023), das erste LGPD-Bußgeld. Nach einer Beschwerde, das Unternehmen biete Listen mit WhatsApp-Kontakten von Wählern für Wahlkampfnachrichten an, sprach die ANPD eine Verwarnung wegen fehlenden Datenschutzbeauftragten aus und verhängte zwei Bußgelder von je 7.200 R$: wegen Verarbeitung ohne Rechtsgrundlage (Art. 7) und wegen fehlender Antworten an die Behörde, insgesamt 14.400 R$. (Pressemitteilung der ANPD)
- INSS, die nationale Sozialversicherung (2024). In einer am 1. Februar 2024 veröffentlichten Entscheidung sanktionierte die ANPD das INSS mit der Veröffentlichung des Verstoßes, weil Betroffene nicht über einen Sicherheitsvorfall von 2022 informiert wurden (Art. 48). Das INSS musste 60 Tage lang einen Hinweis auf seiner Startseite und in seiner App zeigen. (Akte der ANPD)
- RaiaDrogasil (laufend). Die ANPD führt ein offenes Verfahren gegen die Apothekenkette wegen mutmaßlicher Profilbildung auf Basis sensibler Daten ohne geeignete Rechtsgrundlage, um gegen Bezahlung gezielte Werbung anzubieten. Eine Entscheidung ist noch nicht veröffentlicht. (Aufsichtsseite der ANPD)
Checkliste zur Umsetzung
- Erfassen Sie Cookies und Tracker mit Zweck, Anbieter und Laufzeit.
- Weisen Sie jedem Zweck eine Rechtsgrundlage zu: berechtigtes Interesse für notwendige Cookies, Einwilligung für Werbung, dokumentierte Abwägung für Analyse.
- Blockieren Sie nicht notwendige Skripte bis zur Einwilligung, standardmäßig deaktiviert.
- Zeigen Sie auf der ersten Ebene Akzeptieren, Ablehnen und Verwalten mit vergleichbarer Sichtbarkeit.
- Bieten Sie eine zweite Ebene mit Kategorien, Zwecken, Laufzeiten und Wahl je Kategorie.
- Veröffentlichen Sie eine Cookie-Richtlinie auf Portugiesisch, wenn Sie Brasilien ansprechen.
- Machen Sie den Widerruf so einfach wie die Einwilligung, mit einem dauerhaften Link.
- Sichern Sie Einwilligungsnachweise (Datum, Wahl, Bannerversion).
- Kürzen Sie zu lange Cookie-Laufzeiten und prüfen Sie sie mindestens jährlich.
- Benennen Sie einen Datenschutzbeauftragten (encarregado) und veröffentlichen Sie seine Kontaktdaten (Art. 41).
Wie FlowConsent Ihnen hilft, die LGPD einzuhalten
FlowConsent liefert einen Banner, der den Empfehlungen der ANPD folgt: Akzeptieren, Ablehnen und Einstellungen auf der ersten Ebene, Kategorien auf der zweiten, nicht notwendige Cookies standardmäßig aus. Skripte werden vor der Einwilligung blockiert, Werbe-Tags laufen erst nach dem Opt-in, und Google Consent Mode v2 ist integriert. Der automatische Scan erkennt die Cookies Ihrer Website, damit Sie jedem eine Kategorie zuordnen, und die Konformitätsprüfung zeigt, ob alles korrekt blockiert wird. Jede Wahl wird als exportierbarer Einwilligungsnachweis protokolliert. Die Einrichtung dauert etwa zehn Minuten, das Hosting erfolgt in Europa, kostenlos bis 25.000 Sitzungen pro Monat. Starten Sie mit unserem kostenlosen Scanner und erstellen Sie Ihr Konto.
Weiterführende Artikel
Wenn Ihre Website mehrere Märkte bedient, vergleicht unsere Übersicht zu Cookies außerhalb Europas die LGPD mit POPIA (Südafrika) und PDPA (Singapur). Die übrigen Artikel vertiefen Banner-Gestaltung, Cookie-Kategorien, Einwilligungsnachweis, Reichweitenmessung ohne Cookies und die Wahl einer Consent-Management-Plattform.