Indiens DPDP Act: Ein praktischer Leitfaden zur Compliance (2025)

Der Digital Personal Data Protection Act, 2023 regelt die Verarbeitung digitaler personenbezogener Daten, also aller Daten über eine identifizierbare Person, die in digitaler Form erhoben oder auf Papier erfasst und später digitalisiert werden. Er gilt für die Verarbeitung innerhalb Indiens sowie für die Verarbeitung außerhalb Indiens, sofern diese mit dem Angebot von Waren oder Dienstleistungen an Menschen in Indien zusammenhängt.

Das Gesetz baut auf Einwilligung und Rechenschaftspflicht auf: Sie dürfen die personenbezogenen Daten einer Person nur zu einem rechtmäßigen Zweck verarbeiten, mit ihrer Einwilligung oder im Rahmen einer kleinen Zahl von 'legitimen Nutzungen', und Sie bleiben dafür verantwortlich, diese Daten sicher aufzubewahren und zu löschen, sobald der Zweck erfüllt ist.

Das Gesetz verwendet drei zentrale Rollen. Ein Data Principal ist die Person, auf die sich die Daten beziehen. Ein Data Fiduciary ist die Organisation, die entscheidet, warum und wie die Daten verarbeitet werden, das Pendant zum 'Controller' (Verantwortlichen) nach der GDPR. Ein Data Processor verarbeitet Daten im Auftrag eines Fiduciary auf vertraglicher Grundlage.

Wenn Ihre Organisation entscheidet, welche personenbezogenen Daten zu welchem Zweck erhoben werden, sind Sie ein Data Fiduciary und tragen die primären Pflichten. Größere oder risikoreichere Organisationen können als Significant Data Fiduciaries eingestuft werden, was zusätzliche Pflichten mit sich bringt, etwa die Bestellung eines Data Protection Officer in Indien, die Beauftragung unabhängiger Datenschutz-Audits und die Durchführung regelmäßiger Folgenabschätzungen.

Einwilligung und Hinweis: Erheben Sie personenbezogene Daten auf der Grundlage einer freien, spezifischen, informierten und eindeutigen Einwilligung, der ein klarer Hinweis vorausgeht, der angibt, was Sie erheben und warum. Die Einwilligung muss ebenso leicht zu widerrufen sein, wie sie zu erteilen ist.

Zweckbindung und Datenminimierung: Erheben Sie nur das, was der angegebene Zweck erfordert, nutzen Sie es ausschließlich für diesen Zweck und löschen Sie es, sobald der Zweck erfüllt oder die Einwilligung widerrufen ist, es sei denn, ein Gesetz verpflichtet Sie zur Aufbewahrung.

Sicherheitsvorkehrungen: Treffen Sie angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Deren Unterlassung ist der am härtesten sanktionierte Verstoß im Gesetz.

Meldung von Verletzungen: Melden Sie eine Verletzung des Schutzes personenbezogener Daten sowohl dem Data Protection Board of India als auch jedem betroffenen Data Principal.

Rechte der Data Principals: Geben Sie den Menschen eine Möglichkeit, auf ihre Daten zuzugreifen, sie zu berichtigen und zu löschen, einen Weg zur Beschwerdebearbeitung sowie die Möglichkeit, jemanden zu benennen, der für sie handelt.

Das Gesetz legt den Rahmen fest; die operativen Details finden sich in den Rules. Die Draft Digital Personal Data Protection Rules wurden im Januar 2025 zur öffentlichen Konsultation veröffentlicht und sollen voraussichtlich in Phasen in Kraft treten, wodurch Organisationen ein Übergangsfenster statt einer einzigen Stichtagsfrist über Nacht erhalten.

Die Draft Rules konkretisieren, wie Hinweise formuliert sein müssen, wie sich Consent Manager registrieren und arbeiten, die Einzelheiten der Meldung von Verletzungen, zusätzliche Schutzvorkehrungen für Daten von Kindern und von Significant Data Fiduciaries sowie die angemessenen Sicherheitspraktiken, die von jedem Fiduciary erwartet werden. Behandeln Sie sie als die Umsetzungscheckliste, auf die das Gesetz verweist.

Die Strafen sind in einem Anhang festgelegt und werden vom Data Protection Board of India bemessen. Die höchste, bis zu ₹250 crore pro Fall, knüpft an das Versäumnis an, angemessene Sicherheitsvorkehrungen zur Verhinderung einer Verletzung des Schutzes personenbezogener Daten zu treffen. Das Versäumnis, eine Verletzung zu melden, sowie Verstöße gegen die Pflichten zum Schutz von Kinderdaten ziehen Strafen von bis zu ₹200 crore nach sich.

Da die Höchststrafe an die Sicherheitsvorkehrungen geknüpft ist, ist der schnellste Weg, das DPDP-Risiko zu senken, dieselbe Arbeit, die das Risiko von Verletzungen generell reduziert: die ausnutzbaren Schwachstellen in den Systemen, die personenbezogene Daten enthalten, zu finden und zu beheben, bevor es ein Angreifer oder eine Aufsichtsbehörde tut.

Erfassen Sie Ihre Daten: Listen Sie auf, welche personenbezogenen Daten Sie erheben, wo sie liegen, wer darauf zugreifen kann und warum. Sie können nicht schützen oder löschen, was Sie nicht erfasst haben.

Bringen Sie den Einwilligungs- und Hinweis-Workflow in Ordnung: Machen Sie Hinweise klar, die Einwilligung granular und den Widerruf einfach, und protokollieren Sie die Einwilligung, damit Sie sie nachweisen können.

Härten Sie die Systeme ab, die personenbezogene Daten enthalten: Setzen Sie Least-Privilege-Zugriff, Verschlüsselung, Logging und einen getesteten Reaktionsplan für Verletzungen durch, und verifizieren Sie ihn mit einem Penetrationstest, statt davon auszugehen, dass er hält.

Legen Sie Aufbewahrung und Löschung fest: Definieren Sie, wie lange jede Datenkategorie aufbewahrt wird, und automatisieren Sie die Löschung, sobald der Zweck endet oder die Einwilligung widerrufen wird.

Richten Sie Governance ein: Weisen Sie Verantwortlichkeiten zu, bereiten Sie Runbooks für die Meldung von Verletzungen vor und, wenn Sie ein Significant Data Fiduciary sind, bestellen Sie einen DPO und planen Sie unabhängige Audits.

Ordnen Sie DPDP den Frameworks zu, die Sie möglicherweise bereits betreiben: Ein Großteil der Sicherheitsnachweise überschneidet sich mit SOC 2 und ISO 27001, sodass ein einziges Programm alle drei bedienen kann.