LGPD: Cookie-Entscheidungen und Rechtsgrundlagen für Websites, die sich an Brasilien richten

Gilt die LGPD für Ihre Website?

Anforderung der LGPD: Das Gesetz erfasst Verarbeitungen, die in Brasilien stattfinden, Verarbeitungen, die darauf abzielen, Personen in Brasilien Waren oder Dienstleistungen anzubieten oder ihre Daten zu verarbeiten, sowie Daten, die erhoben wurden, während sich die Person in Brasilien aufhielt (Art. 3). Es gibt keine Größenschwelle, die kleine Websites vom Gesetz ausnimmt.

Anforderung der LGPD: Personenbezogene Daten sind Informationen über eine identifizierte oder identifizierbare Person (Art. 5). Cookie-IDs, Browserverläufe und Werbeprofile fallen darunter, sobald sie einer Person zugeordnet werden können, auch ohne Namen.

Empfehlung der ANPD: Der Cookie-Leitfaden der ANPD weist darauf hin, dass Cookie-Daten Personen indirekt identifizieren können, durch Schlussfolgerungen, zusammengeführte Datensätze oder Verhaltensprofile, unabhängig davon, ob es sich um ein First-Party-Cookie handelt oder nicht.

Eine Rechtsgrundlage für jeden Zweck wählen

Anforderung der LGPD: Jede Verwendung personenbezogener Daten benötigt eine Rechtsgrundlage aus Art. 7 (Art. 11 für sensible Daten), etwa eine Einwilligung, einen Vertrag, den die Person angefragt hat, oder berechtigte Interessen. Berechtigte Interessen decken nur unbedingt erforderliche Daten ab und treten hinter die Grundrechte der Person zurück (Art. 10).

Empfehlung der ANPD: Der Cookie-Leitfaden sieht keine Rangfolge zwischen den Rechtsgrundlagen und bewertet gängige Nutzungen wie folgt.

Praxistipp: Bewerten Sie jedes Tool danach, was es tut, nicht nach seiner Bezeichnung. Ein Analysetool, das Kennungen mit einer Werbeplattform teilt, ist nicht mehr die risikoarme Messung, die die ANPD beschreibt.

Was eine wirksame Einwilligung voraussetzt

Anforderung der LGPD: Die Einwilligung muss frei, informiert, eindeutig und für einen bestimmten Zweck erteilt sein; pauschale Genehmigungen sind nichtig (Art. 5 und 8). Der Verantwortliche muss sie nachweisen können, und irreführende oder unklare vorherige Informationen machen sie nichtig (Art. 8 und 9).

Anforderung der LGPD: Personen können ihre Einwilligung jederzeit über ein kostenloses und vereinfachtes Verfahren widerrufen (Art. 8 § 5).

Von der ANPD empfohlene Banner-Gestaltung

Empfehlung der ANPD: Der Leitfaden stellt diese Punkte als bewährte Praktiken dar, nicht als gesetzlich festgelegtes Format:

• Eine sichtbare Option, alle nicht notwendigen Cookies auf der ersten und zweiten Ebene abzulehnen. Ein Banner, das nur „Ich stimme zu“ anbietet, bietet nach den Beispielen der ANPD keine freie Wahl.
• Einwilligungsbasierte Cookies standardmäßig deaktiviert: keine vorab angekreuzten Kästchen und kein „Weitersurfen bedeutet Ja“.
• Eine zweite Ebene, die Cookies nach Zweck gruppiert, mit Einwilligung pro Zweck.
• Eine direkte Möglichkeit, die Einwilligung zu widerrufen und zu widersprechen, über die Browsereinstellungen hinaus.
• Informationen, die nicht nur in einer Fremdsprache vorliegen und nicht so detailliert sind, dass sie überfordern.

Praxistipp: Nutzen Sie diese Punkte als Standard für optionale Cookies. Wenn sich ein Tool auf eine andere Rechtsgrundlage stützt, halten Sie fest, warum, und erläutern Sie es trotzdem.

Informationen auf Portugiesisch, die Besucher verstehen

Anforderung der LGPD: Informationen über Zweck, Art und Dauer der Verarbeitung, die Identität des Verantwortlichen, die Weitergabe von Daten und die Rechte der Personen müssen klar, angemessen und gut sichtbar sein (Art. 9).

Empfehlung der ANPD: Cookie-Informationen nur in einer Fremdsprache anzubieten, ist eine zu vermeidende Praxis. Halten Sie die erste Ebene kurz, mit Zwecken und Speicherfristen nur einen Schritt entfernt.

Praxistipp: Zeigen Sie Besuchern in Brasilien das Banner und die Cookie-Erklärung auf Portugiesisch an und halten Sie die Übersetzungen mit den eingesetzten Tools auf dem gleichen Stand. In Passiro bearbeiten Sie die Texte pro Sprache unter Translations.

Beispiel: ein Onlineshop mit Remarketing

Ein Onlineshop, der an Kunden in Brasilien verkauft, nutzt Warenkorb- und Checkout-Cookies, ein Analysetool und ein Werbepixel für Remarketing. Ein Besucher lehnt optionale Cookies ab.

Die Warenkorb- und Checkout-Cookies unterstützen den Kauf und bleiben daher aktiv. Analyse, die nur der Messung dient, kann sich nach der Leitlinie der ANPD auf berechtigte Interessen stützen, sofern sie nicht zugleich Werbezielgruppen speist. Das Pixel beruht auf Einwilligung, bleibt daher deaktiviert, und der Besucher wird von Zielgruppen-Uploads ausgenommen.

Anforderung der LGPD: Erhält die Werbeplattform die Daten außerhalb Brasiliens, benötigt die Übermittlung eine Grundlage nach Art. 33, etwa Standardvertragsklauseln oder eine spezifische, hervorgehobene Einwilligung in die Übermittlung. Ein akzeptiertes Werbe-Cookie deckt das nicht ab.

Praxistipp: Testen Sie die Ablehnung in einer neuen Browsersitzung: keine Pixel-Anfragen, keine Werbe-Cookies und kein Upload von Kundenlisten auf Grundlage der verweigerten Einwilligung.

Sensible Daten, Kinder und neue Tools

Anforderung der LGPD: Sensible Daten, etwa Gesundheitsdaten oder Daten über religiöse Überzeugungen, benötigen eine spezifische und hervorgehobene Einwilligung oder eine andere Grundlage nach Art. 11. Daten von Kindern und Jugendlichen müssen in deren bestem Interesse verarbeitet werden, und Daten von Kindern benötigen in der Regel die spezifische Einwilligung eines Elternteils oder Erziehungsberechtigten (Art. 14).

Praxistipp: Prüfen Sie diese Fälle, bevor Sie Profiling oder Werbung aktivieren, und behandeln Sie jedes neue Marketingtool als neue Prüfung. Siehe Einwilligung aktuell halten, wenn Sie ein neues Tracking-Tool hinzufügen.

Website-Checkliste

• Rechtsgrundlage: Halten Sie Zweck und Grundlage jedes Cookies und Pixels fest.
• Erster Besuch: Bestätigen Sie, dass einwilligungsbasierte Cookies und Anfragen deaktiviert bleiben.
• Ablehnen und widerrufen: Bestätigen Sie, dass Tags und Zielgruppen-Uploads stoppen.
• Sprache: Prüfen Sie, ob das portugiesische Banner der Live-Einrichtung entspricht.
• Anbieter: Bestätigen Sie die Rolle und den Übermittlungsweg jedes Empfängers.

FAQ