EcuadorLOPDP
Organgesetz zum Schutz personenbezogener Daten
Ecuadors Organgesetz zum Schutz personenbezogener Daten (Ley Orgánica de Protección de Datos Personales oder LOPDP) bildet den Rahmen des Landes für den Schutz personenbezogener Daten und regelt deren Verarbeitung durch öffentliche und private Organisationen.
Das LOPDP wurde 2021 erlassen und wird durch die Allgemeine Verordnung zum LOPDP ergänzt, die mit Exekutivdekret Nr. 904 erlassen und am 13. November 2023 veröffentlicht wurde. Der Regelungsrahmen legt Anforderungen an Einwilligung, Rechte betroffener Personen, Sicherheit, internationale Übermittlungen, Rechenschaftspflicht und weitere Aspekte der Verarbeitung personenbezogener Daten fest.
Das LOPDP Ecuadors verpflichtet Organisationen, vor der Verarbeitung personenbezogener Daten eine geeignete Rechtsgrundlage zu bestimmen. Wird die Einwilligung genutzt, muss sie freiwillig, spezifisch, informiert und unmissverständlich sein. Für bestimmte Kategorien sensibler personenbezogener Daten gelten erhöhte Anforderungen.
Der Rahmen gewährt Personen außerdem Rechte an ihren personenbezogenen Daten und legt Pflichten in Bezug auf Sicherheit, Transparenz, internationale Übermittlungen, Datenschutz-Folgenabschätzungen und Compliance-Governance fest.
Ecuador
Erlassen 2021
Das LOPDP wurde 2021 erlassen, die zugehörige Allgemeine Durchführungsverordnung 2023. Ecuadors Datenschutzrahmen wird derzeit von der Superintendencia de Protección de Datos Personales (SPDP) verwaltet und beaufsichtigt.
Amerika
Wer muss das LOPDP einhalten?
Das LOPDP und seine Verordnung gelten für natürliche und juristische Personen, öffentliche und private Stellen sowie Organisationen, die personenbezogene Daten im Anwendungsbereich des ecuadorianischen Rahmens verarbeiten.
Die Allgemeine Verordnung erfasst ausdrücklich inländische und ausländische Verantwortliche und Auftragsverarbeiter, sofern ihre Verarbeitungstätigkeiten in den maßgeblichen räumlichen Anwendungsbereich fallen. Sie kann auch für Organisationen gelten, die personenbezogene Daten von Nichtansässigen verarbeiten, wenn die betreffende Verarbeitung in Ecuador stattfindet.
Organisationen sollten daher prüfen:
- Wo ihre Verarbeitung stattfindet
- Wo sich die betroffenen Personen befinden
- Ob sie als Verantwortlicher oder Auftragsverarbeiter handeln
- Ob sie Waren oder Dienstleistungen anbieten, die Personen in Ecuador betreffen
- Ob sie personenbezogene Daten in Ecuador überwachen oder anderweitig verarbeiten
- Ob ein Vertreter in Ecuador erforderlich ist
Sanktionen nach dem LOPDP
Das LOPDP sieht Verwaltungssanktionen für Verstöße gegen Ecuadors Rahmen zum Schutz personenbezogener Daten vor.
Die Sanktionen richten sich nach Art und Schwere des Verstoßes und können für bestimmte Organisationen anhand von Einkommen oder Umsatz berechnet werden.
Die jeweilige Sanktion hängt vom konkreten Verstoß, der betroffenen Organisation und den von der zuständigen Behörde festgestellten Umständen ab.
Organisationen sollten Datenschutz-Compliance daher als fortlaufende Governance-Pflicht verstehen, statt sich allein auf eine Datenschutzerklärung oder ein Consent-Banner zu verlassen.
Zentrale Pflichten nach dem LOPDP
Organisationen, die in Ecuador personenbezogene Daten verarbeiten, sollten:
- Für jeden Verarbeitungszweck eine geeignete Rechtsgrundlage bestimmen.
- Eine gültige Einwilligung einholen, wenn die Einwilligung die maßgebliche Rechtsgrundlage ist.
- Sicherstellen, dass die Einwilligung freiwillig, spezifisch, informiert und unmissverständlich ist.
- Bei der Verarbeitung sensibler personenbezogener Daten zusätzliche Anforderungen anwenden.
- Transparente Informationen über Verarbeitungstätigkeiten bereitstellen.
- Die Rechte betroffener Personen wahren.
- Angemessene technische und organisatorische Sicherheitsmaßnahmen umsetzen.
- Angemessene Dokumentation und Nachweise der Compliance führen.
- Datenschutz-Folgenabschätzungen durchführen, wo erforderlich.
- Internationale Übermittlungen gemäß den geltenden Anforderungen steuern.
- Meldepflichtige Sicherheitsvorfälle bei personenbezogenen Daten melden.
- Einen Datenschutzbeauftragten benennen, wo erforderlich.
- Angemessene Verfahren zur Beantwortung von Anfragen betroffener Personen vorhalten.
Rechtsgrundlage und Anforderungen an die Einwilligung
Die Einwilligung ist eine der Rechtsgrundlagen, die nach Ecuadors LOPDP zur Verfügung stehen.
Wird die Einwilligung genutzt, muss sie sein:
- Freiwillig
- Spezifisch
- Informiert
- Unmissverständlich
Das LOPDP definiert die Einwilligung als freiwillige, spezifische, informierte und unmissverständliche Willensbekundung, mit der die betroffene Person den Verantwortlichen zur Verarbeitung ihrer personenbezogenen Daten ermächtigt.
Organisationen sollten jedoch nicht davon ausgehen, dass für jede Verarbeitungstätigkeit eine Einwilligung erforderlich ist.
Das LOPDP erkennt mehrere Rechtsgrundlagen für die Verarbeitung personenbezogener Daten an. Organisationen sollten daher für jeden Verarbeitungszweck die geeignete Rechtsgrundlage bestimmen, bevor sie ihre Einwilligungsstrategie umsetzen.
Für Websites ist diese Unterscheidung besonders wichtig beim Umgang mit Analyse-, Werbe-, Personalisierungs- und anderen Tracking-Technologien.
Sensible personenbezogene Daten
Das LOPDP gewährt besonderen Kategorien personenbezogener Daten einen erhöhten Schutz.
Organisationen, die sensible Informationen verarbeiten, sollten vor Beginn der Verarbeitung die maßgebliche Rechtsgrundlage und die zusätzlichen Anforderungen prüfen.
Einwilligungsmechanismen sollten die betreffende Verarbeitung sensibler Daten klar kennzeichnen, wo eine Einwilligung erforderlich ist, und die Einwilligung für sensible Daten nicht in unklare oder zu weit gefasste Berechtigungen einbündeln.
Rechte betroffener Personen
Das LOPDP gewährt Personen Rechte in Bezug auf ihre personenbezogenen Daten.
Dazu gehören:
Auskunftsrecht
Personen können Informationen über ihre personenbezogenen Daten und die betreffenden Verarbeitungstätigkeiten anfordern.
Recht auf Berichtigung und Aktualisierung
Personen können die Berichtigung oder Aktualisierung unrichtiger, unvollständiger oder veralteter personenbezogener Daten verlangen.
Recht auf Löschung
Personen können die Löschung ihrer personenbezogenen Daten verlangen, wenn die geltenden gesetzlichen Voraussetzungen erfüllt sind.
Widerspruchsrecht
Personen können bestimmten Verarbeitungstätigkeiten widersprechen, wenn die gesetzlich festgelegten Voraussetzungen vorliegen.
Recht auf Datenübertragbarkeit
Unter den geltenden Voraussetzungen können Personen ihre personenbezogenen Daten in einem strukturierten Format anfordern und ihr Recht auf Datenübertragbarkeit ausüben.
Weitere Rechte
Das LOPDP sieht außerdem weitere Rechte und Schutzmechanismen vor, darunter Rechte im Zusammenhang mit automatisierten Entscheidungen und der Verarbeitung personenbezogener Daten.
Organisationen sollten ein dokumentiertes Verfahren für den Eingang, die Authentifizierung, die Nachverfolgung und die Beantwortung dieser Anfragen vorhalten.
Datenschutzhinweise und Transparenz
Organisationen sollten Personen klare und verständliche Informationen darüber geben, wie ihre personenbezogenen Daten verarbeitet werden.
Ein Datenschutzhinweis sollte relevante Informationen erläutern, etwa:
- Identität des Verantwortlichen
- Kategorien der erhobenen personenbezogenen Daten
- Zwecke der Verarbeitung
- Maßgebliche Rechtsgrundlage
- Empfänger oder Kategorien von Empfängern
- Internationale Übermittlungen, sofern zutreffend
- Informationen zur Speicherdauer
- Rechte betroffener Personen
- Wie Personen ihre Rechte ausüben können
- Kontaktangaben für datenschutzbezogene Anfragen
Transparenz sollte über den gesamten Datenlebenszyklus hinweg gewährleistet sein und sich nicht auf die erste Erhebungsphase beschränken.
Datensicherheit
Das LOPDP verpflichtet Verantwortliche und Auftragsverarbeiter, angemessene Sicherheitsmaßnahmen zum Schutz personenbezogener Daten umzusetzen.
Das Gesetz verlangt ausdrücklich, dass Sicherheitsmaßnahmen Faktoren wie die Art der personenbezogenen Daten, den Verarbeitungskontext, Risiken, Bedrohungen und Schwachstellen berücksichtigen.
Sicherheitsmaßnahmen können umfassen:
- Technische Schutzmaßnahmen
- Organisatorische Kontrollen
- Zugriffsverwaltung
- Verschlüsselung, wo angemessen
- Überwachung
- Datenminimierung
- Reaktion auf Vorfälle
- Maßnahmen zur Geschäftskontinuität
- Sensibilisierung und Schulung der Mitarbeitenden
Organisationen sollten regelmäßig prüfen, ob ihre Schutzmaßnahmen angesichts sich ändernder Verarbeitungstätigkeiten und Risiken weiterhin angemessen sind.
Datenschutz-Folgenabschätzungen
Der ecuadorianische Rahmen sieht Datenschutz-Folgenabschätzungen (DPIAs) für Verarbeitungstätigkeiten vor, die erhebliche Risiken für Personen mit sich bringen können.
Eine DPIA kann Organisationen helfen, Folgendes zu ermitteln:
- Art und Zweck der Verarbeitung
- Mögliche Risiken für Personen
- Sicherheits- und Datenschutzkontrollen
- Notwendigkeit und Verhältnismäßigkeit der Verarbeitung
- Maßnahmen zur Minderung ermittelter Risiken
Organisationen mit risikoreicher Verarbeitung sollten vor Beginn der Verarbeitung prüfen, ob eine DPIA erforderlich ist.
Datenschutzbeauftragter
Der ecuadorianische Rahmen legt Anforderungen an die Benennung eines Datenschutzbeauftragten (DPO) für bestimmte Organisationen und Verarbeitungstätigkeiten fest.
Die Funktion des DPO kann unter anderem folgende Aufgaben umfassen:
- Beratung zu Datenschutzpflichten
- Überwachung der Compliance
- Unterstützung bei DPIAs
- Zusammenarbeit mit der Aufsichtsbehörde
- Beratung zu den Rechten betroffener Personen
- Förderung der Datenschutz-Governance innerhalb der Organisation
Organisationen sollten prüfen, ob ihre Größe, ihre Tätigkeiten, Datenkategorien oder Verarbeitungsvorgänge eine Pflicht zur Benennung eines DPO auslösen.
Meldung von Datenschutzverletzungen
Der Rahmen des LOPDP legt Pflichten im Zusammenhang mit Verletzungen der Sicherheit personenbezogener Daten fest.
Organisationen sollten Verfahren vorhalten, um:
- Sicherheitsvorfälle zu erkennen.
- Zu beurteilen, ob personenbezogene Daten betroffen sind.
- Den Vorfall zu dokumentieren.
- Die geltenden Meldepflichten zu bestimmen.
- Die zuständige Behörde zu benachrichtigen, wo erforderlich.
- Betroffene Personen zu informieren, sofern zutreffend.
- Korrekturmaßnahmen umzusetzen.
Ein Datenschutzprogramm sollte daher das Management von Sicherheitsvorfällen mit der Datenschutz-Compliance verknüpfen.
Internationale Datenübermittlungen
Ecuadors Rahmen regelt die Übermittlung und Weitergabe personenbezogener Daten, einschließlich internationaler Übermittlungen.
Die SPDP hat 2025 spezifische Vorschriften zu nationalen und internationalen Übermittlungen oder Weitergaben personenbezogener Daten erlassen. Die Vorschriften verpflichten Organisationen, bei internationalen Datenübermittlungen die einschlägigen Bestimmungen des LOPDP und seiner Allgemeinen Verordnung anzuwenden.
Organisationen sollten prüfen:
- Wohin personenbezogene Daten übermittelt werden
- Wer die Daten erhält
- Den Zweck der Übermittlung
- Die betroffenen Datenkategorien
- Das Bestimmungsland
- Geltende Garantien
- Vertragliche Anforderungen
- Die Rechtsgrundlage für die Übermittlung
Internationale Datenflüsse sollten als Teil des umfassenderen Data-Mapping-Programms der Organisation dokumentiert werden.
Speicherung und Löschung von Daten
Personenbezogene Daten sollten nicht ohne einen angemessenen Zweck unbegrenzt gespeichert werden.
Organisationen sollten Aufbewahrungsfristen festlegen, basierend auf:
- Zweck der Verarbeitung
- Geltenden gesetzlichen Pflichten
- Vertraglichen Anforderungen
- Sicherheitsaspekten
- Rechten betroffener Personen
- Regulatorischen Anforderungen
Wenn personenbezogene Daten nicht mehr benötigt werden, sollten Organisationen geeignete Maßnahmen zur Löschung, Anonymisierung oder andere gesetzlich vorgeschriebene Maßnahmen anwenden.
Die SPDP Ecuadors hat außerdem eine spezifische Verordnung zur Anonymisierung, Sperrung, Aussetzung und Löschung personenbezogener Daten erlassen, die diesen Aspekt des Rahmens weiter ausgestaltet.
Cookies und Online-Tracking
Cookies, Pixel, Werbetracker, Analysetools und andere Technologien können die Verarbeitung personenbezogener Daten beinhalten.
Organisationen, die Websites in Ecuador betreiben, sollten daher Folgendes ermitteln:
- Eingesetzte Cookies und Tracker
- Von jeder Technologie erhobene Daten
- Verarbeitungszwecke
- Drittempfänger
- Internationale Übermittlungen
- Maßgebliche Rechtsgrundlagen
- Ob eine Einwilligung erforderlich ist
- Ob Tracker vor der Einwilligung blockiert werden sollten
Ist die Einwilligung die maßgebliche Rechtsgrundlage, kann ConsentX Organisationen helfen, eine gültige Einwilligung einzuholen, bevor betroffene Tracking-Technologien aktiviert werden.
Wie ConsentX bei der Einhaltung des LOPDP hilft
ConsentX hilft Organisationen, zentrale Datenschutz- und Einwilligungsanforderungen auf Websites und in digitalen Angeboten praktisch umzusetzen.
Freiwillige, spezifische und informierte Einwilligung
Gestalten Sie Einwilligungserlebnisse, die darauf ausgelegt sind, die erforderlichen Merkmale zu erfassen, wenn die Einwilligung die maßgebliche Rechtsgrundlage ist.
Zweckbasierte Einwilligung
Erläutern Sie klar die Zwecke, die mit Cookies, Trackern, Analysen, Werbung und anderen Verarbeitungstätigkeiten verbunden sind.
Einwilligung für sensible Daten
Unterstützen Sie die gesonderte Behandlung sensibler Kategorien, wenn eine erhöhte Einwilligung oder andere gesetzliche Anforderungen gelten.
Verwaltung von Cookies und Trackern
Scannen Sie Websites, um Cookies und Tracker zu identifizieren, und verhindern Sie, dass betroffene nicht essenzielle Technologien vor der Einwilligung aktiviert werden.
Einwilligungsnachweise
Führen Sie prüfbare Aufzeichnungen über die Einwilligungsentscheidungen der Nutzer und relevante Kontextinformationen.
Verwaltung von Anfragen betroffener Personen
Unterstützen Sie Workflows für Auskunft, Berichtigung, Löschung, Widerspruch, Datenübertragbarkeit und andere zutreffende Datenschutzanfragen.
Regionale Compliance
Nutzen Sie die regionale Regel-Engine von ConsentX, um Einwilligungserlebnisse entsprechend der maßgeblichen Rechtsordnung zu konfigurieren.
Machen Sie sich mit ConsentX bereit für das LOPDP
Website scannen → Tracker identifizieren → Zwecke zuordnen → Einwilligung konfigurieren → Betroffene Tracker blockieren → Einwilligung aufzeichnen → Datenschutzanfragen verwalten
Schaffen Sie ein transparenteres und prüfbareres Datenschutzerlebnis für Nutzer in Ecuador.
So halten Sie LOPDP mit ConsentX ein
- 1
Scannen Sie Ihre Website
Scannen Sie Ihre Website, um Cookies, Tracker, Pixel, Skripte und Technologien von Drittanbietern zu identifizieren.
- 2
Ordnen Sie Verarbeitungszwecke zu
Ermitteln Sie, warum jede Technologie personenbezogene Daten verarbeitet, und bestimmen Sie die geeignete Rechtsgrundlage.
- 3
Konfigurieren Sie ein Consent-Banner für Ecuador
Ist die Einwilligung die maßgebliche Rechtsgrundlage, konfigurieren Sie ein Banner, das klare Informationen bietet und eine freiwillige, spezifische, informierte und unmissverständliche Einwilligung erfasst.
- 4
Blockieren Sie betroffene Tracker vor der Einwilligung
Verhindern Sie, dass betroffene nicht essenzielle Cookies und Tracker aktiviert werden, bis die erforderliche Einwilligung eingeholt wurde.
- 5
Zeichnen Sie Einwilligungsnachweise auf
Führen Sie Einwilligungsnachweise mit relevanten Informationen über die Entscheidung des Nutzers und das Einwilligungsereignis.
- 6
Verwalten Sie Anfragen betroffener Personen
Bündeln Sie Anfragen zu Auskunft, Berichtigung, Löschung, Widerspruch, Datenübertragbarkeit und anderen zutreffenden Rechten an einer zentralen Stelle.
- 7
Überwachen Sie Ihre Website
Scannen Sie Ihre Website regelmäßig erneut, um neue Tracker, Skripte, Anbieter oder Änderungen bei Verarbeitungstätigkeiten zu erkennen.
Häufig gestellte Fragen
Land unter dem LOPDP
Ecuador
GDPR
UK GDPR
CCPA / CPRA
VCDPA
Colorado CPA
CTDPA
UCPA
TDPSA
Oregon OCPA
Montana MCDPA
Florida FDBR
LGPD
PIPEDA
DPDPA
PDPA
POPIA
FADP
Law 25
LFPDPPP
PDPL
Law 21.719
Law 1581
Law 29733
Law 18.331Rechtlicher Hinweis
Diese Seite bietet eine allgemein verständliche Zusammenfassung des ecuadorianischen Rahmens zum Schutz personenbezogener Daten zu allgemeinen Informationszwecken und stellt keine Rechtsberatung dar. Organisationen sollten ihre konkreten Verarbeitungstätigkeiten prüfen und bei Bedarf qualifizierte ecuadorianische Rechtsberatung hinzuziehen.