Brasilien:
Was EU-Kunden erwarten

Überblick: Handel mit der EU

Brasilien ist der größte Handelspartner der EU in Südamerika. Laut Europäischer Kommission entfielen 2025 rund 42 % der brasilianischen Exporte in die EU auf Agrarprodukte und 27 % auf Brennstoffe und Bergbauprodukte, vor allem Rohöl, daneben Eisenerz. Wer Soja aus Paraná, Kaffee aus Minas Gerais oder Zellstoff aus Mato Grosso do Sul nach Rotterdam oder Hamburg liefert, bekommt es deshalb zuerst mit Lieferkettenregeln wie der EUDR zu tun. Stahl- und Aluminiumexporteure betrifft der CBAM.

Dazu kommt ein wachsender Dienstleistungsexport: Softwarehäuser in São Paulo, Florianópolis oder Recife entwickeln für Banken, Versicherer und Industriekunden in Europa. Für sie zählen Datenschutz und IT-Sicherheit mehr als Zölle.

Datenschutz: LGPD im Vergleich zur DSGVO

Die LGPD (Lei nº 13.709/2018) gilt seit September 2020, Sanktionen verhängt die ANPD seit August 2021. Sie ist der DSGVO nachgebaut: Rechtsgrundlagen für jede Verarbeitung, Betroffenenrechte, ein Datenschutzbeauftragter (encarregado), Folgenabschätzungen und Meldepflichten bei Sicherheitsvorfällen. Wer die LGPD sauber umsetzt, hat einen großen Teil der DSGVO-Pflichten bereits erledigt.

Seit Januar 2026 gibt es zudem einen Angemessenheitsbeschluss der EU (Durchführungsbeschluss (EU) 2026/179). Die Anerkennung ist gegenseitig: Die ANPD hat mit der Resolução CD/ANPD nº 32/2026 die EU ebenfalls als angemessen eingestuft. Für Ihre EU-Kunden heißt das, dass personenbezogene Daten ohne Standardvertragsklauseln und ohne Transfer-Folgenabschätzung nach Brasilien fließen dürfen. Ausgenommen sind nur Übermittlungen zu Zwecken der öffentlichen Sicherheit und Strafverfolgung.

Zwei Unterschiede fallen in der Praxis auf. Die LGPD kennt zehn Rechtsgrundlagen, darunter den Kreditschutz, die DSGVO sechs. Und die Meldefrist für Datenpannen ist in Werktagen bemessen, nicht in Stunden. Wer beide Regime bedient, richtet seine Prozesse am besten an der kürzeren Frist aus.

Cybersicherheit im Vergleich zu NIS2

Ein Gesetz, das wie NIS2 Pflichten für ganze Sektoren festlegt, hat Brasilien noch nicht. Das Decreto nº 11.856/2023 begründet die nationale Cybersicherheitspolitik (PNCiber) und ein Komitee (CNCiber), schafft aber keine Aufsichtsbehörde mit Durchgriff auf Unternehmen. Der Entwurf eines Marco Legal da Cibersegurança (PL 4.752/2025) liegt im Senat. Offen ist vor allem, ob eine neue Agentur oder die Anatel die Aufsicht übernimmt.

Verbindliche Vorgaben gibt es bisher sektoral. Banken müssen nach der Resolução CMN nº 4.893/2021 eine Cybersicherheitspolitik haben, Cloud-Auslagerungen steuern und relevante Vorfälle der Banco Central melden. Für Zahlungsinstitute gilt Entsprechendes nach der Resolução BCB nº 85/2021.

Für Lieferanten europäischer Kunden ist das zweitrangig. Ihr Kunde in der EU muss nach NIS2 die Sicherheit seiner Lieferkette steuern und gibt diese Pflicht per Vertrag an Sie weiter. Wer Software an Finanzunternehmen in der EU liefert, bekommt außerdem Klauseln aus DORA in den Vertrag, und Hersteller vernetzter Produkte fallen unter den Cyber Resilience Act.

Meldefristen im Vergleich

Die ANPD-Regel verlangt außerdem, dass Sie Vorfälle dokumentieren und diese Unterlagen fünf Jahre aufbewahren. Ein EU-Kunde wird in Ihrem Vertrag meist eine eigene Frist festlegen, oft 24 bis 48 Stunden, damit er seine 72 Stunden halten kann.

Behörden, CSIRT, Akkreditierungsstelle

Zertifikate von Stellen, die die Cgcre akkreditiert hat, werden in der EU in der Regel anerkannt, weil die Cgcre den internationalen Anerkennungsabkommen der Akkreditierer angehört. Fragen Sie trotzdem vor dem Audit, ob Ihr Kunde einen bestimmten Zertifizierer verlangt.

Was EU-Kunden typischerweise verlangen

Für Agrar- und Rohstoffexporteure steht die EUDR im Vordergrund. Ihr Abnehmer braucht die Geodaten Ihrer Flächen und den Nachweis, dass dort nach dem 31.12.2020 nicht entwaldet wurde. Brasilien ist in der EUDR als Land mit Standardrisiko eingestuft. Damit gilt die volle Sorgfaltspflicht; die vereinfachte Sorgfaltspflicht nach Art. 13 gibt es nur für Länder mit geringem Risiko. In der Lebensmittelkette kommen Zertifikate nach IFS, BRCGS oder FSSC 22000 dazu.

Software- und IT-Dienstleister werden meist mit einem Sicherheitsfragebogen konfrontiert, der sich an NIS2 und ISO 27001 orientiert. Typische Fragen: Wie schnell melden Sie einen Vorfall? Wer hat Zugriff auf Produktionsdaten? Gibt es Penetrationstests? Ein Zertifikat nach ISO 27001 beantwortet viele dieser Fragen auf einmal. Für den Aufbau des Managementsystems bis zum Audit gibt es GRC-Plattformen wie Sightadel, das in Deutschland gehostet wird und auch auf Portugiesisch nutzbar ist.

Viele Kunden prüfen auch von außen, was Sie im Internet zeigen: offene Ports, abgelaufene Zertifikate, alte Serverversionen. Wer das selbst laufend beobachtet, etwa mit veyrisk, kennt die Antwort, bevor der Fragebogen kommt.

Im Vertrag landen diese Anforderungen meist als Anhang: ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, eine Liste der technischen und organisatorischen Maßnahmen, Meldefristen für Vorfälle, Prüfrechte des Kunden und Regeln für Unterauftragnehmer. Weil Brasilien als angemessen gilt, entfallen die Standardvertragsklauseln. Den Rest verlangt Ihr Kunde trotzdem, und er wird ihn bei der Verlängerung erneut prüfen.

Ein sinnvoller Einstieg für brasilianische Unternehmen:

1. Prüfen Sie, welche EU-Regeln Ihre Kunden betreffen, und fragen Sie aktiv nach den Anforderungen, statt auf den Fragebogen zu warten.
2. Legen Sie Ihre LGPD-Dokumentation neben die DSGVO-Anforderungen. Verarbeitungsverzeichnis, Rechtsgrundlagen und Folgenabschätzungen lassen sich meist übernehmen.
3. Richten Sie einen Meldeprozess ein, der die kürzeste vertragliche Frist schafft, und üben Sie ihn einmal im Jahr.
4. Sammeln Sie für die EUDR Geodaten und Nachweise Ihrer Lieferanten, bevor der Abnehmer sie anfordert.
5. Entscheiden Sie, ob ein Zertifikat nach ISO 27001 oder ein Lebensmittelstandard die Fragebögen Ihrer Kunden schneller beantwortet als jede Einzelauskunft.

Wo Sie heute stehen, zeigt der kostenlose EU-Readiness-Check.

Abkommen mit der EU

Das EU-Mercosur-Abkommen wurde am 17.01.2026 in Asunción unterzeichnet. Sein Handelsteil, das Interimshandelsabkommen, wird seit dem 01.05.2026 zwischen der EU und Brasilien, Argentinien, Paraguay und Uruguay vorläufig angewendet. Zölle sinken stufenweise, und Sie brauchen eine Ursprungserklärung, um die Präferenz zu nutzen. Das umfassende Partnerschaftsabkommen ist noch in der Ratifizierung.

Für die Praxis heißt das: Prüfen Sie für jede Ware den Zollsatz, den Zeitplan der Zollsenkung und die Ursprungsregel. Beides finden Sie im Portal Access2Markets der Europäischen Kommission, nach Warennummer sortiert. Bei verarbeiteten Waren entscheidet die Ursprungsregel, ob genug Wertschöpfung im Mercosur stattgefunden hat. Für einige Agrarprodukte gelten Zollkontingente, also begrenzte Mengen zum Vorzugszoll. Ihr Importeur in der EU kennt diese Regeln oft besser als Sie und kann helfen, die Ursprungserklärung richtig auf die Rechnung zu setzen. Halten Sie die Nachweise für den Ursprung mehrere Jahre bereit, denn der Zoll kann nachträglich prüfen.

FAQ