LGPD im Jahr 2026: Was hat sich geändert, was wurde noch nicht eingehalten und was kommt

Zu sagen, dass Ihr Unternehmen „LGPD“ einhält“, ist genauso billig geworden wie zu sagen, dass es „kundenorientiert“ ist. Die Deklaration kostet nichts, wird selten überprüft und entspricht fast nie der betrieblichen Realität. Der Unterschied zwischen einem Dokument mit Datenschutzrichtlinien in der Fußzeile der Website und der tatsächlichen Verarbeitung personenbezogener Daten mit angemessenen Kontrollen ist enorm – und dieser Unterschied fordert seinen Tribut. Die Nationale Datenschutzbehörde hat die Lernphase hinter sich gelassen und erstellt die Inspektionsaufzeichnung, die den Durchsetzungsstandard in Brasilien für die kommenden Jahre definieren wird. Um zu verstehen, wo wir im Jahr 2026 stehen, muss man zunächst die Distanz zwischen dem, was gesagt wurde, und dem, was getan wurde, verstehen.

Was die ANPD bisher tatsächlich getan hat

Die ANPD begann ihre Sanktionsaktivitäten schrittweise, was in den ersten Jahren zu der falschen Annahme führte, dass die Behörde nicht die Kraft hätte, Geldstrafen zu verhängen. Diese Diagnose war falsch, nur zu früh. In den Jahren 2024 und 2025 konsolidierte die Behörde Verwaltungssanktionsverfahren in Sektoren wie Gesundheit, Finanzen und digitaler Einzelhandel, mit Geldstrafen, die in schwerwiegenderen Fällen die Höhe von 50 Millionen R$ erreichten – die gesetzlich vorgesehene Obergrenze pro Verstoß beträgt in Brasilien 2 % des Umsatzes und ist auf 50 Millionen R$ pro Verstoß begrenzt.

Relevanter als der Nominalwert der Bußgelder ist das Muster der priorisierten Verstöße. Die ANPD hat keine spezifischen Versäumnisse verfolgt. Zu den schwerwiegendsten Fällen gehören das Fehlen einer Rechtsgrundlage für die Verarbeitung, die Weitergabe von Daten ohne Einwilligung nach Aufklärung und insbesondere Sicherheitsvorfälle, die nicht innerhalb der 72 Stunden gemeldet wurden, die in der im Jahr 2023 veröffentlichten Vorfallverordnung vorgeschrieben sind. Letzterer Punkt verdient Beachtung: Die Meldepflicht besteht, die Frist ist bekannt, und dennoch melden Unternehmen Vorfälle weiterhin Wochen zu spät oder nur auf Druck betroffener Benutzer.

Am stärksten gefährdete Sektoren und warum

Gesundheit und Finanzen führen die Risikokarte an, und das ist kein Zufall. Dies sind die Sektoren, die sensible Daten in großen Mengen verarbeiten, über eine breite Benutzerbasis verfügen und in der Vergangenheit Dateninfrastrukturen mit einem Fokus auf das Geschäft und nicht auf die Governance aufgebaut haben. Die Kombination von Gesundheitsdaten – eine vom LGPD besonders geschützte Kategorie – mit Altsystemen ohne angemessene Zugriffskontrollen führte zu einem Risikoprofil, das das ANPD frühzeitig erkannte.

Im digitalen Handel ist die Problematik anders. Dabei geht es weniger um die Sensibilität der Daten als vielmehr um den Umfang der Verarbeitung und die Kette der Weitergabe an Dritte – Medienplattformen, CRM-Anbieter, Analysetools, Affiliate-Netzwerke. Jede Integration stellt einen Risikovektor dar, und die meisten Unternehmen verfügen nicht über eine aktuelle Übersicht darüber, wer welche Daten erhält. Der Bericht über die Auswirkungen des Schutzes personenbezogener Daten (RIPD), den das Gesetz für Behandlungen mit hohem Risiko vorschreibt, ist nach wie vor das am häufigsten ignorierte Dokument zur Einhaltung der Datenschutzbestimmungen in Brasilien.

Startups und Fintechs wuchsen schnell und lagerten die Compliance an Anwaltskanzleien aus, die die Dokumentation lieferten, ohne die internen Prozesse zu verändern. Das Ergebnis ist erstklassige Compliance: gut geschriebene Richtlinien, benannte Datenschutzbeauftragte auf Papier und interne Praktiken, die sich nicht geändert haben.

Die Kluft zwischen „Wir haben die Richtlinie“ und „Wir behandeln Daten angemessen“

Echte Compliance beginnt nicht in der Rechtsabteilung. Es beginnt mit der Dateninventur – zu wissen, was das Unternehmen sammelt, wo es es speichert, wie lange es es aufbewahrt, wer darauf zugreift und mit wem es es teilt. Die meisten brasilianischen Unternehmen haben diese Kartierung nie umfassend durchgeführt. Sie haben getan, was sichtbar war: die Datenschutzerklärung aktualisiert, ein Cookie-Banner hinzugefügt und einen Datenschutzbeauftragten ernannt.

Was zurückblieb, ist die technische Arbeit: Implementierung rollenbasierter Zugriffskontrollen für Datenbanken mit personenbezogenen Daten, Erstellung automatischer Löschroutinen am Ende des Aufbewahrungszeitraums, Sicherstellung, dass Zugriffsprotokolle für personenbezogene Daten gepflegt und überwacht werden, Aufbau von Antwortflüssen auf Inhaberanfragen, die innerhalb der gesetzlichen Frist von 15 Tagen funktionieren. Hierbei handelt es sich um technische und betriebliche Prozesse, nicht um Kommunikation – und sie erfordern, dass Technologieteams sowohl die Gesetze als auch die Rechtslage verstehen.

Der Beweis dafür, dass es eine Lücke gibt, ist in den der ANPD gemeldeten Vorfällen zu sehen: Bei den meisten handelt es sich um Systeme, die über grundlegende Sicherheitskontrollen verfügen sollten, dies aber nicht getan hat, da das Unternehmen personenbezogene Daten nie als einen Vermögenswert behandelt hat, der einer besonderen Verwaltung bedarf.

Was kommt: automatisierte Entscheidungen und internationale Überweisungen

Zwei Themen dominieren die Regulierungsagenda der ANPD für 2026 und 2027. Das erste ist die Regulierung automatisierter Entscheidungen – Artikel 20 der LGPD garantiert dem Inhaber das Recht auf menschliche Überprüfung von Entscheidungen, die ausschließlich von Algorithmen getroffen werden, die seine Interessen berühren. Die ANPD entwickelt spezifische Standards zu diesem Thema, die direkte Auswirkungen auf die Kreditvergabe, die Versicherungspreise, die Auswahl von Kandidaten in Auswahlverfahren und die Moderation von Inhalten auf Plattformen haben. Unternehmen, die diese Modelle anwenden, müssen eine Dokumentation der verwendeten Kriterien erstellen – nicht als rhetorische Übung, sondern als überprüfbaren Prozess.

Das zweite Thema ist die Eignung für internationale Datenübertragungen. Brasilien verfügt noch nicht über einen von der Europäischen Union anerkannten Angemessenheitsbeschluss, der den freien Datenverkehr zwischen den beiden Blöcken einschränkt. Die ANPD arbeitet an Standardvertragsklauseln, die Übermittlungen in Länder ohne ein dem Brasilien gleichwertiges Schutzniveau ermöglichen, und Organisationen, die mit Tochtergesellschaften oder Lieferanten im Ausland zusammenarbeiten, müssen ihre Verträge überprüfen, sobald die Regelung veröffentlicht wird. Die Verschiebung dieser Analyse auf die Zeit nach der Veröffentlichung garantiert unnötige Eile.

So bereiten Sie vor, was noch nicht geschehen ist

Priorität eins: Vervollständigen Sie den Datenbestand, wenn dieser nicht vorhanden oder veraltet ist. Es ist nicht möglich, zu verwalten, was nicht kartiert ist, und die ANPD hat dieses Dokument als ersten Schritt bei jeder Untersuchung verlangt. Priorität zwei: Überprüfen Sie die Kette der Unterbetreiber und stellen Sie sicher, dass Verträge mit Dritten, die personenbezogene Daten erhalten, die gesetzlich vorgeschriebenen Klauseln enthalten. Priorität drei: Testen Sie die Prozesse für die Beantwortung von Inhabern. Viele Unternehmen verfügen über den Kontaktkanal, haben jedoch noch nie einen Portabilitäts- oder Löschantrag simuliert, um zu prüfen, ob sie die Frist einhalten können.