LFPDPPP steht für Bundesgesetz zum Schutz personenbezogener Daten im Besitz privater Stellen (Ley Federal de Protección de Datos Personales en Posesión de los Particulares). Es ist Mexikos Bundesdatenschutzgesetz, das die Verarbeitung personenbezogener Daten durch Organisationen des Privatsektors regelt.

Ist für sensible personenbezogene Daten eine Einwilligung erforderlich?

Ja. Das LFPDPPP verlangt für die Verarbeitung sensibler personenbezogener Daten grundsätzlich eine ausdrückliche schriftliche Einwilligung, vorbehaltlich geltender Ausnahmen.

Was sind ARCO-Rechte in Mexiko?

ARCO steht für: Auskunft, Berichtigung, Löschung, Widerspruch Diese Rechte ermöglichen es Personen, Kontrolle darüber auszuüben, wie Organisationen ihre personenbezogenen Daten verarbeiten.

Was ist ein Aviso de Privacidad?

Ein Aviso de Privacidad oder Datenschutzhinweis ist der Hinweis, mit dem eine Organisation Personen über die Verarbeitung ihrer personenbezogenen Daten informiert, einschließlich der jeweiligen Zwecke und weiterer nach mexikanischem Datenschutzrecht erforderlicher Informationen. Der Datenschutzhinweis ist ein zentraler Bestandteil des Compliance-Rahmens des LFPDPPP.

Gilt das LFPDPPP für Cookies?

Das LFPDPPP kann gelten, wenn Cookies und ähnliche Technologien mit der Verarbeitung personenbezogener Daten verbunden sind. Organisationen sollten prüfen, welche Informationen erhoben werden, zu welchen Zwecken sie verarbeitet werden, ob die Informationen eine Person identifizieren oder identifizierbar machen können und welche Anforderungen an Einwilligung und Hinweise gelten.

Können Personen ihre Einwilligung widerrufen?

Ja. Das LFPDPPP sieht den Widerruf der Einwilligung vor. Organisationen müssen in ihrem Datenschutzhinweis die jeweiligen Mechanismen und Verfahren zur Ausübung dieses Rechts festlegen.

Welche Sicherheitsmaßnahmen verlangt das LFPDPPP?

Organisationen müssen angemessene administrative, technische und physische Sicherheitsmaßnahmen einrichten und aufrechterhalten, um personenbezogene Daten vor Risiken wie Beschädigung, Verlust, Veränderung, Zerstörung sowie unbefugtem Zugriff oder unbefugter Verarbeitung zu schützen.

Wer setzt die Datenschutzanforderungen in Mexiko durch?

Der mexikanische Datenschutzrahmen hat in den letzten Jahren institutionelle Veränderungen durchlaufen. Organisationen sollten bei der Prüfung ihrer Compliance-Pflichten die derzeit zuständige Behörde und den geltenden Durchsetzungsrahmen überprüfen.

Mexiko

LFPDPPP

Bundesgesetz zum Schutz personenbezogener Daten im Besitz privater Stellen

Kurz gesagt

Mexikos Bundesgesetz zum Schutz personenbezogener Daten im Besitz privater Stellen (LFPDPPP) legt die Regeln für die Erhebung, Nutzung, Offenlegung, Speicherung und den Schutz personenbezogener Daten durch Organisationen des Privatsektors fest.

Das Gesetz beruht auf Grundsätzen wie Rechtmäßigkeit, Einwilligung, Information, Qualität, Zweckbindung, Loyalität, Verhältnismäßigkeit und Rechenschaftspflicht. Organisationen müssen Personen einen Datenschutzhinweis bereitstellen und die geltenden Anforderungen an Einwilligung, Sicherheit, Betroffenenrechte und internationale Datenübermittlungen erfüllen.

Region

Mexiko

Status

In Kraft

Gruppe

Amerika

Wer muss es einhalten

Das LFPDPPP gilt für natürliche Personen und juristische Personen des Privatrechts, die im Rahmen ihrer Tätigkeit personenbezogene Daten verarbeiten, vorbehaltlich des Anwendungsbereichs und der Ausnahmen nach mexikanischem Recht.

Organisationen, die in Mexiko personenbezogene Daten erheben oder anderweitig verarbeiten, sollten ihre Pflichten nach dem LFPDPPP und seinen Durchführungsbestimmungen prüfen.

Sanktionen

Das LFPDPPP sieht Verwaltungssanktionen und weitere Strafen für Verstöße gegen das Gesetz vor. Die Höhe richtet sich nach Art und Umständen des Verstoßes, wobei für bestimmte Verstöße im Zusammenhang mit sensiblen personenbezogenen Daten höhere Sanktionen gelten.

Organisationen sollten daher angemessene Datenschutz-, Sicherheits- und Compliance-Kontrollen aufrechterhalten, um das Risiko behördlicher Durchsetzungsmaßnahmen zu verringern.

Wesentliche Pflichten

Bei der Erhebung personenbezogener Daten einen Datenschutzhinweis (Aviso de Privacidad) bereitstellen
Die Zwecke, für die personenbezogene Daten verarbeitet werden, klar erläutern
Eine Einwilligung einholen, wenn das LFPDPPP dies verlangt
Eine ausdrückliche und schriftliche Einwilligung für sensible personenbezogene Daten einholen
Für finanzielle oder vermögensbezogene Informationen eine ausdrückliche Einwilligung einholen, vorbehaltlich geltender gesetzlicher Ausnahmen
Personenbezogene Daten nach den Grundsätzen der Rechtmäßigkeit, Einwilligung, Information, Qualität, Zweckbestimmung, Loyalität, Verhältnismäßigkeit und Rechenschaftspflicht verarbeiten
Angemessene administrative, technische und physische Sicherheitsmaßnahmen umsetzen
Die Vertraulichkeit personenbezogener Daten wahren
Die ARCO-Rechte achten — Auskunft, Berichtigung, Löschung und Widerspruch
Verfahren einrichten, über die Personen ihre Datenschutzrechte ausüben können
Verfahren bereitstellen, mit denen Personen ihre Einwilligung widerrufen können
Übermittlungen personenbezogener Daten gemäß den geltenden Anforderungen steuern
Angemessene Dokumentation und Nachweise der Datenschutz-Compliance führen

Anforderungen an die Einwilligung nach dem LFPDPPP

Die Einwilligung ist ein wichtiger Bestandteil des mexikanischen Datenschutzrahmens, doch das Gesetz verlangt nicht für jede Kategorie personenbezogener Daten dieselbe Form der Einwilligung.

Für gewöhnliche personenbezogene Daten kann die Einwilligung in der Regel stillschweigend erfolgen, wenn der Datenschutzhinweis bereitgestellt wurde und die Person nicht widerspricht, es sei denn, das Gesetz verlangt eine ausdrückliche Einwilligung.

Für bestimmte Kategorien gelten strengere Anforderungen an die Einwilligung. Insbesondere erfordert die Verarbeitung sensibler personenbezogener Daten eine ausdrückliche schriftliche Einwilligung, vorbehaltlich der geltenden gesetzlichen Bestimmungen.

Die Durchführungsbestimmungen sehen zudem vor, dass die Einwilligung freiwillig, spezifisch und informiert sein sollte, wobei eine ausdrückliche Einwilligung außerdem unmissverständlich sein muss.

Anforderungen an den Datenschutzhinweis

Das Aviso de Privacidad ist eine zentrale Anforderung des LFPDPPP.

Organisationen sollten Personen Informationen über die Verarbeitung ihrer personenbezogenen Daten bereitstellen, einschließlich der Zwecke, für die Daten erhoben werden, und weiterer Informationen, die nach den geltenden Regeln für Datenschutzhinweise erforderlich sind.

Werden personenbezogene Daten direkt bei einer Person erhoben, sollte der Datenschutzhinweis vor oder zum Zeitpunkt der Erhebung bereitgestellt werden, wie es der geltende Rechtsrahmen verlangt.

ARCO-Rechte

Nach dem mexikanischen Datenschutzrahmen haben Personen vier zentrale Rechte, die allgemein als ARCO-Rechte bezeichnet werden:

Auskunft — Informationen über personenbezogene Daten verlangen, die die Organisation speichert und verarbeitet
Berichtigung — die Korrektur unrichtiger oder unvollständiger personenbezogener Daten verlangen
Löschung — die Löschung personenbezogener Daten verlangen, sofern die geltenden Voraussetzungen erfüllt sind
Widerspruch — der Verarbeitung personenbezogener Daten in den vorgesehenen Fällen widersprechen

Organisationen sollten geeignete Verfahren und Kanäle bereitstellen, um diese Anfragen entgegenzunehmen und zu beantworten.

Sicherheit und Vertraulichkeit

Organisationen, die personenbezogene Daten verarbeiten, müssen angemessene Sicherheitsmaßnahmen einrichten und aufrechterhalten, um Informationen vor Risiken wie Verlust, Veränderung, Zerstörung, unbefugtem Zugriff oder unbefugter Verarbeitung zu schützen.

Das LFPDPPP und seine Durchführungsbestimmungen legen außerdem Vertraulichkeitspflichten für Personen fest, die an der Verarbeitung personenbezogener Daten beteiligt sind.

So hilft ConsentX

Einwilligungserlebnis mit vorangestelltem Datenschutzhinweis zur Unterstützung des hinweisbasierten mexikanischen Datenschutzrahmens

Anpassbare Consent-Banner für unterschiedliche Verarbeitungszwecke

Erfassung ausdrücklicher Einwilligungen für Verarbeitungen, die eine strengere Einwilligung erfordern

Einwilligungs- und Präferenznachweise, um die Entscheidungen der Nutzer zu belegen

Vorabblockierung von Skripten, um ausgewählte nicht essenzielle Tracking-Technologien zu kontrollieren

Regionale Regel-Engine zur Konfiguration mexikospezifischer Datenschutzerlebnisse

ARCO-Anfrage-Workflows zur Organisation von Datenschutzanfragen

Prüfbereite Aufzeichnungen für Einwilligungs- und Datenschutzinteraktionen

Compliance-Kontrollen für mehrere Rechtsordnungen für Organisationen, die in Mexiko und anderen Märkten tätig sind

Machen Sie LFPDPPP mit ConsentX bereit

Verwalten Sie Datenschutzhinweise, Einwilligungspräferenzen, Nutzeranfragen und Compliance-Nachweise für Mexiko und andere Rechtsordnungen auf einer einzigen Plattform.

Kostenlos starten Demo buchen

Diese Seite ist eine allgemein verständliche Zusammenfassung zur allgemeinen Information und stellt keine Rechtsberatung dar. Organisationen sollten ihre konkreten Pflichten mit qualifizierten mexikanischen Datenschutzjuristen abklären.

So halten Sie LFPDPPP mit ConsentX ein

1
Scannen Sie Ihre Website
Führen Sie einen kostenlosen Scan durch, um Cookies, Tracker und andere Technologien auf Ihrer Website zu identifizieren. Verstehen Sie, welche Daten erhoben werden können und welche Dritten sie erhalten können.
2
Zeigen Sie ein mexikospezifisches Datenschutzerlebnis
Konfigurieren Sie das ConsentX-Banner so, dass Besucher ein Datenschutzerlebnis erhalten, das für Mexiko und die jeweiligen Verarbeitungstätigkeiten geeignet ist.
3
Stellen Sie klare Datenschutzinformationen bereit
Machen Sie relevante Datenschutzinformationen und Zwecke vor oder zum geeigneten Zeitpunkt der Datenerhebung leicht zugänglich.
4
Holen Sie die passende Einwilligung ein
Konfigurieren Sie ConsentX so, dass es den jeweils geltenden Einwilligungsmechanismus für verschiedene Verarbeitungskategorien unterstützt, einschließlich strengerer Einwilligungsanforderungen, wo diese gelten.
5
Blockieren Sie ausgewählte Tracker
Nutzen Sie die Vorabblockierung von Skripten, um zu verhindern, dass ausgewählte nicht essenzielle Tracking-Technologien geladen werden, bevor die jeweilige Datenschutzentscheidung getroffen wurde.
6
Zeichnen Sie Einwilligungen und Präferenzen auf
Führen Sie Einwilligungs- und Präferenznachweise mit relevanten Informationen über die Interaktion der Nutzer mit Ihren Datenschutzeinstellungen.
7
Verwalten Sie ARCO-Anfragen
Nutzen Sie ConsentX-Workflows, um Anfragen auf Auskunft, Berichtigung, Löschung und Widerspruch zu organisieren und eine zentrale Aufzeichnung der Bearbeitung zu führen.

Häufig gestellte Fragen

Für die Verarbeitung personenbezogener Daten ist grundsätzlich eine Einwilligung erforderlich, sofern keine geltende gesetzliche Ausnahme greift. Die Form der Einwilligung kann jedoch je nach Art der Daten und der Verarbeitung variieren.

Eine stillschweigende Einwilligung kann für gewöhnliche personenbezogene Daten in der Regel wirksam sein, wenn der Datenschutzhinweis bereitgestellt wurde und die Person nicht widerspricht. Für bestimmte Kategorien, darunter sensible personenbezogene Daten, gelten strengere Anforderungen an die Einwilligung.