Der Rechtsrahmen
Das maßgebliche Gesetz in Mexiko ist das Bundesgesetz zum Schutz personenbezogener Daten in Besitz Privater (LFPDPPP 2025), durchgesetzt vom Sekretariat für Korruptionsbekämpfung und gute Regierungsführung.
Die Ausrichtung ist hybrid. Für die Erhebung gelten Informationspflicht und Zweckbindung, während Einwilligung sensiblen Fällen vorbehalten bleibt; das macht First-Party-Marketing hier praktikabler als in streng einwilligungspflichtigen Märkten.
Wichtige Rechtsakte
LFPDPPP 2025
Ersetzt das Bundesgesetz von 2010. Erhält die ARCO-Rechte (Zugang, Berichtigung, Löschung, Widerspruch), die Pflichten zur Datenschutzerklärung, die stillschweigende Einwilligung für nicht sensible Daten und die Sicherheitspflichten; aktualisiert Begriffsbestimmungen und verlagert die Durchsetzung auf die SABG, mit gerichtlicher Überprüfung im Amparo-Verfahren vor spezialisierten Gerichten.
Marketing und Werbung
Die stillschweigende Einwilligung gilt für nicht sensible Daten, sodass ein Unternehmen die Datenschutzerklärung bereitstellen und fortfahren kann, sofern die betroffene Person nicht widerspricht. Für Finanzdaten ist eine ausdrückliche Einwilligung erforderlich, für sensible Daten eine ausdrückliche und schriftliche. Der Einwilligungshinweis oben gilt als Planungsregel; die Bußgeldangabe unten zeigt, was eine Fehleinschätzung kostet.
Grenzüberschreitende Datenübermittlung
Hinweisbasiert für viele Datenübermittlungen, mit Einwilligungspflicht für andere; Übermittlungen innerhalb von Unternehmensgruppen und an Auftragsverarbeiter wurden erleichtert.
Durchsetzung und Sanktionen
Bußgelder von 100 bis 320.000 UMA (was in die Millionen US-Dollar reicht), bei sensiblen Daten verdoppelt, zuzüglich strafrechtlicher Haftung; im Juli 2026 verhängte die SABG gegen den mexikanischen Fußballverband ein Bußgeld von 42,8 Mio. MXN wegen biometrischer Daten in seinem FAN-ID-Programm.