Die bequemste Annahme, die auf dem brasilianischen Markt kursierte, nachdem LGPD Fuß gefasst hatte, war, dass Unternehmen angesichts der konkreten Androhung einer Geldstrafe tun würden, was getan werden musste. Zwei Jahre aktiver Durchsetzung zeigen, dass diese Annahme falsch war – nicht weil die Unternehmen nachlässig wären, sondern weil die meist umgesetzten Compliance-Vorgaben als ausreichend erachtet wurden und nicht tatsächlich funktionierten.
Was Unternehmen tatsächlich getan haben
Die sichtbarste Bewegung war per Definition oberflächlich. Cookie-Banner nahmen zu. Datenschutzrichtlinien wurden in einer Sprache umgeschrieben, die nur wenige lesen und noch weniger verstehen. Formulare mit Kontrollkästchen zur Einholung der Einwilligung. Der Datenschutzbeauftragte – eine gesetzlich vorgeschriebene Position – wurde in vielen Fällen als zusätzliche Rolle für einen bereits überlasteten Anwalt oder einen IT-Analysten ernannt, der nicht über eine spezielle Ausbildung verfügte.
Was nicht im gleichen Ausmaß geschah, war die unsichtbare Arbeit, die jedem echten Datenschutzprogramm zugrunde liegt: die Datenkartierung. Zu wissen, welche personenbezogenen Daten das Unternehmen sammelt, wo sie gespeichert werden, wie lange sie aufbewahrt werden, wer Zugriff hat und an welche Dritten sie weitergegeben werden, ist die Grundlage von allem. Ohne diese Bestandsaufnahme ist jede Antwort auf eine Hauptanfrage eine Improvisationsübung. Ohne sie wird die Reaktion auf einen Sicherheitsvorfall zum Chaos. Die Mehrheit der mittelständischen brasilianischen Unternehmen erreichte das Jahr 2026, ohne diese Kartierung abgeschlossen zu haben.
Was die ANPD mit ihren Aktionen enthüllte
Die nationale Datenschutzbehörde kam nicht mit der von manchen erwarteten unmittelbaren Strenge vor, was paradoxerweise den Grundsatz des minimalen Aufwands befeuerte. Die ersten Sanktionen wurden nach pädagogischen Kriterien verhängt – Beträge unterhalb der gesetzlichen Obergrenze, Mitteilungen, die der Beratung Vorrang vor der Bestrafung einräumten. Dies wurde von vielen Unternehmen als Zeichen dafür gedeutet, dass die Zeitspanne der Straflosigkeit lang sei.
Die Maßnahmen der ANPD zeigten jedoch klare Prioritätenmuster. Sicherheitsvorfälle, bei denen eine erhebliche Menge personenbezogener Daten durchsickerte, erhielten sofortige Aufmerksamkeit. Unternehmen im Finanz- und Gesundheitssektor – die sich mit sensiblen Kategorien befassen – wurden strenger geprüft. Das Fehlen eines funktionierenden Kanals für Anfragen von Inhabern wurde zu einem häufigen Auslöser für Untersuchungen. Was die Behörde nicht, zumindest nicht systematisch, verfolgte, war die Qualität der Einwilligung oder die Vollständigkeit der Behandlungsunterlagen – genau das, was immer mehr Unternehmen vernachlässigten.
Diese selektive Fokussierung schuf einen perversen Anreiz: Es brauchte lediglich einen Servicekanal, der innerhalb der Frist reagierte, und ein Cookie-Banner, und schon sank das unmittelbare Risiko von Sanktionen. Echte Compliance, die eine durchgängige Datenverwaltung erfordert, wurde als übereifrig angesehen.
Was unterscheidet echte Compliance von kosmetischer Compliance?
Die Unternehmen, die die eigentliche Arbeit geleistet haben, haben drei Dinge geschaffen, die andere nicht haben. Erstens eine aktuelle Aufzeichnung der Verarbeitungsvorgänge – kein statisches Dokument, das zur Prüfung übergeben wird, sondern ein lebendiges Inventar, das Änderungen an Systemen und Datenflüssen verfolgt. Zweitens ein operativer Prozess zur Reaktion auf betroffene Personen: Wenn jemand Zugriff, Berichtigung oder Löschung seiner eigenen Daten beantragt, gibt es einen definierten Ablauf mit SLA und verantwortlicher Person, kein vergessenes E-Mail-Postfach. Drittens: Verwaltung durch Dritte – Verträge mit Lieferanten, die personenbezogene Daten verarbeiten, wurden überprüft, DPA-Klauseln wurden aufgenommen und es gibt zumindest ein gewisses Maß an regelmäßiger Überprüfung, dass diese Lieferanten angemessene Kontrollen durchführen.
Keines dieser drei Dinge erscheint auf der Website des Unternehmens. Für den Endbenutzer sind keine sichtbar. Aus diesem Grund sind sie das ehrlichste Kriterium, um diejenigen, die sich daran gehalten haben, von denen zu unterscheiden, die Regulierungstheater betrieben haben.
Das Gewicht, das Vorfälle tragen werden
In Brasilien kam es in diesem Zeitraum zu erheblichen Lecks. Der Mega-Leak von 2021 mit mehr als 220 Millionen Datensätzen hatte immer noch Ursachen, die nie vollständig öffentlich geklärt wurden. Andere kleinere Vorfälle – bei Gesundheitsunternehmen, auf E-Commerce-Plattformen, auf Gehaltsabrechnungssystemen – haben gezeigt, dass die Angriffsvektoren nicht ausgefeilt sind: offengelegte Anmeldeinformationen, Datenbanken ohne Authentifizierung, APIs ohne Zugriffskontrolle.
Der Gesetzentwurf zur kosmetischen Compliance wird erscheinen, wenn die ANPD damit beginnt, die Reaktion der Unternehmen auf diese Vorfälle zu untersuchen, und nicht nur den Vorfall selbst. Das Gesetz schreibt eine Mitteilung an die Behörde und die betroffenen Inhaber innerhalb einer angemessenen Frist vor. Das Unternehmen muss genau wissen, welche Daten kompromittiert wurden und wem sie gehören. Ohne die Dateninventur, die die Mehrheit nicht durchgeführt hat, ist es unmöglich, diese Antwort qualitativ hochwertig zu liefern – und die mangelnde Qualität der Antwort führt tendenziell zu einer Verschärfung und nicht zu einer Abschwächung der Regulierungssituation.
Was nun mit dem Vorhandenen zu tun ist
Für Unternehmen, die erkennen, dass sie im Bereich der Kosmetik-Compliance tätig sind, besteht der Ausgangspunkt nicht darin, alles noch einmal zu machen, sondern darin, ehrlich Prioritäten zu setzen. Die Datenzuordnung kann mit den kritischsten Systemen und den Behandlungen mit dem höchsten Risiko beginnen, nicht mit dem gesamten Unternehmen auf einmal. Der Datenschutzbeauftragte benötigt echte Autorität, Zugang zu Führungsqualitäten und minimale Ressourcen, um funktionieren zu können – wenn die ernannte Person diese Bedingungen nicht erfüllt, ist die Ernennung lediglich bürokratischer Natur.
Besondere Aufmerksamkeit verdient die Prüfung von Verträgen mit Technologieanbietern, denn hier konzentriert sich das Risiko häufig: Cloud-Datenverarbeitung, CRM-Systeme, Analyseplattformen, Marketing-Automatisierungstools. Jeder dieser Anbieter ist Betreiber im Sinne der LGPD und die Verantwortung für den Umgang mit den Daten liegt beim Verantwortlichen.
Was der Markt in den kommenden Jahren verlangen wird – von Partnern, Lieferanten, Plattformen – ist der Beweis, dass Compliance Substanz hat. Der Druck wird weniger von der ANPD als vielmehr von den Lieferketten selbst ausgehen, da international tätige Unternehmen beginnen, konkrete Compliance-Nachweise zu fordern. Wer auch immer die eigentliche Arbeit ausgeführt hat, wird über diese Beweise verfügen. Diejenigen, die nur Theater gemacht haben, müssen es später und in größerer Eile tatsächlich tun.
Lesen Sie auch
- LGPD im Jahr 2026: Was hat sich geändert, was wurde noch nicht eingehalten und was kommt
- LGPD in Anwendungen: Compliance-Leitfaden
- Datenresidenz: Was es in der Praxis bedeutet, sicherzustellen, dass Daten in Brasilien bleiben
- LGPD in Startups: Compliance- und Datenschutzstrategien
- Digital Compliance: Compliance-Leitfaden für digitale Produkte
- Digital Compliance: Vergleich in der Praxis