LGPD für Unternehmen: praktischer Leitfaden zur Konformität
Die LGPD brachte klare Regeln für die Verarbeitung personenbezogener Daten in Brasilien. Sich ihr anzupassen ist nicht mehr optional, sondern Teil des Risikomanagements jedes Unternehmens, das mit Daten umgeht.
Was ist die LGPD
Das Allgemeine Datenschutzgesetz (LGPD) regelt, wie natürliche und juristische Personen personenbezogene Daten in Brasilien erheben, speichern, nutzen und weitergeben dürfen. Es gilt für die meisten Unternehmen, unabhängig von ihrer Größe, sofern eine Verarbeitung von Daten natürlicher Personen stattfindet. Die Aufsicht und der Erlass ergänzender Vorschriften obliegen der Nationalen Datenschutzbehörde (ANPD).
Wichtigste Pflichten der Unternehmen
- Daten nur auf einer angemessenen Rechtsgrundlage verarbeiten, wie Einwilligung, Vertragserfüllung oder berechtigtes Interesse
- Transparent darüber informieren, welche Daten erhoben werden und zu welchen Zwecken
- Technische und administrative Sicherheitsmaßnahmen zum Schutz der Daten ergreifen
- Aufzeichnungen über die Verarbeitungsvorgänge führen und den Anfragen der Betroffenen nachkommen
- Relevante Sicherheitsvorfälle gemäß den anwendbaren Richtlinien melden
Rechte der Betroffenen
Die LGPD sichert den Betroffenen eine Reihe von Rechten zu, wie die Bestätigung des Bestehens einer Verarbeitung, den Zugang zu den Daten, die Berichtigung unvollständiger oder veralteter Informationen, die Löschung von auf Grundlage der Einwilligung verarbeiteten Daten und die Übertragbarkeit. Die Unternehmen müssen darauf vorbereitet sein, diese Anfragen innerhalb einer angemessenen Frist entgegenzunehmen und zu beantworten.
Schritte zur Anpassung
Die Konformität beginnt üblicherweise mit einer Erfassung der verarbeiteten Daten (Data Mapping), gefolgt von der Überprüfung der Rechtsgrundlagen, Verträge, Richtlinien und Sicherheitsmaßnahmen. Es ist üblich, einen Datenschutzbeauftragten (DPO) zu benennen, interne Richtlinien zu erstellen und die Teams zu schulen. Die Anpassung ist im Allgemeinen ein fortlaufender Prozess und kein Projekt mit einem einzigen Abschlussdatum.
Folgen der Nichteinhaltung
Die Nichteinhaltung der LGPD kann von der ANPD verhängte verwaltungsrechtliche Sanktionen nach sich ziehen, zusätzlich zu vertraglichen und reputationsbezogenen Auswirkungen sowie möglichen Ersatzansprüchen betroffener Personen. Unabhängig von den Strafen verringert ein guter Umgang mit Daten tendenziell Risiken und stärkt das Vertrauen von Kunden und Partnern.
Häufige Fragen
Gilt die LGPD für kleine Unternehmen?
Ja. Die LGPD gilt in der Regel für Unternehmen jeder Größe, die personenbezogene Daten verarbeiten, auch wenn die ANPD in einigen Aspekten eine differenzierte und vereinfachte Behandlung für kleine Akteure vorsehen kann. Dennoch bleiben die Grundsätze und die Rechte der Betroffenen anwendbar.
Muss jedes Unternehmen einen Datenschutzbeauftragten (DPO) haben?
Die Benennung eines Datenschutzbeauftragten ist eine übliche und empfohlene Praxis, doch die ANPD kann Ausnahmefälle festlegen, insbesondere für kleine Akteure. Auch wenn nicht verpflichtend, erleichtert ein klarer Ansprechpartner für Datenfragen üblicherweise die Konformität.
Brauchen Sie Beratung zu diesem Thema?
Dieser Beitrag ist informativ. Für eine Beratung zu Ihrem Fall sprechen Sie mit unserem Team.