# LGPD und Cookie-Einwilligung in Brasilien: Was Websites wissen müssen

> Das brasilianische LGPD und Cookies: Rechtsgrundlagen, wann eine Einwilligung nötig ist, was die ANPD von Bannern erwartet und was anders ist als in der EU.

Source: https://www.cookiesh.eu/de/blog/lgpd-cookie-consent-brazil  
Published: 2026-05-28

## Key takeaways

- Das brasilianische LGPD (Gesetz Nr. 13.709/2018) gilt für Cookies, sobald sie personenbezogene Daten von Personen in Brasilien erheben oder damit verknüpft sind.
- Brasilien hat kein eigenes Cookie-Gesetz. Jeder Cookie-Zweck braucht daher eine der Rechtsgrundlagen des LGPD, wobei für Werbung meist die Einwilligung gewählt wird.
- Eine Einwilligung nach dem LGPD muss frei, informiert und eindeutig sein, sich auf bestimmte Zwecke beziehen und jederzeit widerrufbar sein.
- Die Cookie-Leitlinien der ANPD erwarten zweckbezogene Kategorien, eine einfache Möglichkeit, nicht notwendige Cookies abzulehnen, und keine manipulative Gestaltung.
- Das LGPD erfasst auch ausländische Unternehmen, die Personen in Brasilien Waren oder Dienstleistungen anbieten oder dort erhobene Daten verarbeiten.

Das brasilianische allgemeine Datenschutzgesetz (LGPD) gilt für Cookies, sobald sie personenbezogene Daten erheben, etwa Kennungen, die mit einer Person oder einem Gerät verknüpft sind. Brasilien hat kein eigenes Cookie-Gesetz, daher braucht jeder Cookie-Zweck eine Rechtsgrundlage nach dem LGPD. Für Werbe- und die meisten Analyse-Cookies ist diese Grundlage in der Regel die Einwilligung, die frei, informiert, eindeutig und jederzeit widerrufbar sein muss.

## Was ist das LGPD und für wen gilt es?

Das LGPD ist das brasilianische Gesetz Nr. 13.709/2018, das allgemeine Datenschutzgesetz des Landes, das von der nationalen Datenschutzbehörde (ANPD) durchgesetzt wird. Es spiegelt die Konzepte der DSGVO eng wider: Verantwortliche und Auftragsverarbeiter, Rechtsgrundlagen, Betroffenenrechte und Rechenschaftspflicht.

Seine Reichweite ist extraterritorial. Das Gesetz gilt, wenn die Verarbeitung in Brasilien stattfindet, wenn sie darauf abzielt, Personen in Brasilien Waren oder Dienstleistungen anzubieten, oder Daten von Personen betrifft, die sich dort aufhalten, oder wenn die personenbezogenen Daten in Brasilien erhoben wurden. Ein europäisches oder US-amerikanisches Unternehmen mit Kunden oder Besuchern aus Brasilien fällt typischerweise in den Anwendungsbereich.

## Gelten Cookies nach dem LGPD als personenbezogene Daten?

Viele schon. Das LGPD definiert personenbezogene Daten als Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, und Cookie-IDs, IP-Adressen und Werbekennungen können eine Person identifizierbar machen, vor allem in Kombination mit anderen Daten.

Wirklich anonymisierte Daten fallen nicht unter das Gesetz, doch die Hürde für eine Anonymisierung ist hoch. Behandeln Sie Analyse- und Werbe-Cookies als personenbezogene Daten, solange Sie nicht das Gegenteil belegen können. Ein gründliches [Cookie-Audit](/de/blog/how-to-run-a-cookie-audit) zeigt Ihnen, welche Cookies was erheben, und ist der Ausgangspunkt für die Wahl einer Rechtsgrundlage.

## Welche Rechtsgrundlage gilt für Cookies?

Eine einheitliche Antwort gibt es nicht: Jeder Cookie-Zweck braucht eine der Rechtsgrundlagen des LGPD, und die Einwilligung ist nur eine davon. Das ist der größte strukturelle Unterschied zur EU, wo die ePrivacy-Richtlinie für nicht notwendige Cookies eine Einwilligung verlangt, unabhängig davon, welche DSGVO-Rechtsgrundlage die spätere Verarbeitung abdeckt.

In der Praxis landen die meisten Organisationen bei einem vertrauten Ergebnis:

- **Unbedingt erforderliche Cookies** wie Sitzungs-, Sicherheits- und Lastverteilungs-Cookies können sich in der Regel auf das berechtigte Interesse oder auf die Erfüllung eines vom Nutzer gewünschten Vertrags stützen.
- **Analyse-Cookies** können sich nach einer dokumentierten Interessenabwägung mitunter auf das berechtigte Interesse stützen, die Einwilligung ist aber die sicherere Wahl, vor allem wenn Daten an Dritte gehen.
- **Werbe- und websiteübergreifende Tracking-Cookies** erfordern in der Regel eine Einwilligung, da sie stark in die Privatsphäre eingreifen und sich kaum mit dem berechtigten Interesse rechtfertigen lassen.

Das berechtigte Interesse nach dem LGPD ist kein Freibrief. Die Verarbeitung muss die legitimen Erwartungen und Grundrechte der Person respektieren und darf nur die für den Zweck unbedingt erforderlichen Daten nutzen, und die ANPD kann einen Bericht zur Datenschutz-Folgenabschätzung anfordern, wenn Sie sich darauf stützen. Unser Beitrag zu [berechtigtem Interesse und Cookies](/de/blog/legitimate-interest-and-cookies) erklärt, wie europäische Aufsichtsbehörden dieselbe Frage angehen.

## Was macht eine Einwilligung nach dem LGPD wirksam?

Die Einwilligung muss eine freie, informierte und eindeutige Willensbekundung für einen bestimmten Zweck sein. Pauschale Genehmigungen sind nichtig, und der Verantwortliche trägt die Beweislast dafür, dass die Einwilligung ordnungsgemäß eingeholt wurde.

Für Cookie-Banner ergibt sich daraus eine praktische Checkliste:

1. Erklären Sie jeden Cookie-Zweck in klarer Sprache, für ein brasilianisches Publikum auf Portugiesisch, bevor Sie um die Einwilligung bitten.
2. Laden Sie keine nicht notwendigen Cookies, bevor die Person eine Wahl getroffen hat.
3. Verzichten Sie auf vorab angekreuzte Kästchen und werten Sie Schweigen oder Weitersurfen nicht als Zustimmung.
4. Bieten Sie eine Ablehnungsoption, die genauso leicht zu finden und zu nutzen ist wie die Zustimmung.
5. Ermöglichen Sie es, die Einwilligung später über ein kostenloses und einfaches Verfahren zu ändern oder zu widerrufen, etwa über einen dauerhaft verfügbaren Link zu den Einstellungen.
6. Dokumentieren Sie, wann, wie und für welche Zwecke die Einwilligung erteilt wurde.

## Was erwartet die ANPD von Cookie-Bannern?

Die ANPD hat Leitlinien zu Cookies und personenbezogenen Daten veröffentlicht, die sich weitgehend wie die Empfehlungen europäischer Aufsichtsbehörden lesen. Ihre Hauptthemen sind Transparenz, granulare Auswahl und keine Manipulation.

Die Leitlinien befürworten eine Einteilung der Cookies nach Zweck, eine erste Ebene mit klaren Optionen einschließlich der Ablehnung nicht notwendiger Cookies, eine zweite Ebene oder eine Cookie-Richtlinie mit weiteren Details sowie Gestaltungen, die Menschen nicht zur Zustimmung drängen. Es handelt sich um Leitlinien und nicht um ein Gesetz, sie zeigen aber, wie die Behörde die Grundsätze des LGPD in einer Untersuchung auslegt. In [So gestalten Sie ein konformes und nutzerfreundliches Cookie-Banner](/de/blog/cookie-banner-design-best-practices) finden Sie Muster, die sowohl brasilianischen als auch europäischen Erwartungen gerecht werden.

Das Sanktionsinstrumentarium ist beträchtlich. Zu den Sanktionen nach dem LGPD gehören Verwarnungen, die Veröffentlichung des Verstoßes, die Sperrung oder Löschung der betroffenen Daten sowie Geldbußen von bis zu 2 % des Umsatzes eines Unternehmens in Brasilien, begrenzt auf 50 Mio. R$ pro Verstoß.

## Wie unterscheidet sich das LGPD von den EU-Cookie-Regeln?

Beide Regelwerke führen oft zu ähnlichen Bannern, beruhen aber auf unterschiedlichen rechtlichen Grundlagen. Diese Tabelle fasst die Unterschiede zusammen, die für Cookies am wichtigsten sind.

| | EU (DSGVO und ePrivacy) | Brasilien (LGPD) |
| --- | --- | --- |
| Cookie-spezifische Regel | Ja, ePrivacy-Richtlinie Art. 5 Abs. 3 | Nein, nur allgemeines Datenschutzgesetz |
| Rechtsgrundlage für nicht notwendige Cookies | Einwilligung | Jede gültige Grundlage; für Werbung ist die Einwilligung üblich |
| Maßstab für die Einwilligung | Freiwillig, für den bestimmten Fall, informiert, unmissverständlich | Frei, informiert, eindeutig, für bestimmte Zwecke |
| Erfasst Speicherung nicht personenbezogener Daten auf dem Endgerät | Ja | Nur wenn personenbezogene Daten betroffen sind |
| Aufsichtsbehörde | Nationale Behörden, koordiniert durch den EDSA | ANPD |
| Höchstbetrag der Geldbuße | 20 Mio. € oder 4 % des weltweiten Jahresumsatzes | 2 % des Umsatzes in Brasilien, begrenzt auf 50 Mio. R$ pro Verstoß |

Wenn Sie bereits ein Setup betreiben, das die [DSGVO-Anforderungen an die Cookie-Einwilligung](/de/blog/gdpr-cookie-consent-requirements) erfüllt, geht es bei der Anpassung für Brasilien vor allem um die Sprache, die Dokumentation Ihrer Rechtsgrundlage für jeden Zweck und eine gute Nachweisführung.

## Fazit

Betrachten Sie das LGPD als engen Verwandten der DSGVO. Es enthält keine cookie-spezifische Regel, doch die Einwilligung bleibt der praktische Standard für Werbe-Cookies und die sicherere Option für die meisten Analysen, die sich an Personen in Brasilien richten. Dokumentieren Sie Ihre Rechtsgrundlage für jeden Zweck, geben Sie Besuchern eine klare Ablehnungsoption und führen Sie Einwilligungsnachweise, die Sie auf Anfrage vorlegen können. Tools wie Cookiesh können brasilianischen Besuchern ein geo-targetiertes LGPD-Banner anzeigen, parallel zu Ihren DSGVO- und CCPA-Varianten.

*Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.*

## FAQ

### Ist ein Cookie-Banner in Brasilien Pflicht?

Das LGPD erwähnt Cookie-Banner nicht ausdrücklich. Wenn Sie sich bei Analyse- oder Werbe-Cookies auf eine Einwilligung stützen, ist ein Banner oder eine ähnliche Oberfläche in der Praxis jedoch der praktikabelste Weg, diese Einwilligung einzuholen und zu dokumentieren, und die Leitlinien der ANPD setzen ein solches voraus.

### Kann ich für Brasilien und die EU dasselbe Cookie-Banner verwenden?

Ein Opt-in-Banner nach EU-Standard erfüllt oder übertrifft in der Regel die Erwartungen des LGPD, daher verwenden viele Unternehmen es auch für Brasilien. Bieten Sie den Text auf Portugiesisch an und sorgen Sie dafür, dass Ihre Cookie-Richtlinie alle brasilienspezifischen Rechtsgrundlagen widerspiegelt, auf die Sie sich stützen.

### Wer setzt das LGPD durch?

Die Autoridade Nacional de Proteção de Dados (ANPD) ist die nationale Datenschutzbehörde Brasiliens. Sie erlässt Vorschriften und Leitlinien, bearbeitet Beschwerden, führt Untersuchungen durch und kann Verwaltungssanktionen verhängen.

### Verlangt das LGPD einen Datenschutzbeauftragten?

Von Verantwortlichen wird in der Regel erwartet, dass sie eine für die Datenverarbeitung zuständige Person benennen, den sogenannten Encarregado, und deren Kontaktdaten veröffentlichen. Die ANPD hat Regeln erlassen, die dies für bestimmte kleine Verarbeitungsakteure lockern. Prüfen Sie daher die aktuellen Anforderungen.

## Sources

- [Brazil Law 13.709/2018 (LGPD)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm)
- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)