Datenschutz
DPDP Act
Indiens Digital Personal Data Protection Act (DPDP)
Der DPDP Act ist Indiens Gesetz zur Verarbeitung digitaler personenbezogener Daten. Wir helfen Ihnen, Ihre Pflichten als Data Fiduciary zu verstehen, die richtigen Kontrollen einzurichten und die Einhaltung nachzuweisen.
Was DPDP Act ist
Indiens Digital Personal Data Protection Act, 2023 regelt die Verarbeitung digitaler personenbezogener Daten. Er ist um Einwilligung und Benachrichtigung herum aufgebaut, verlangt eine rechtmäßige Grundlage für die Verarbeitung und legt Data Fiduciaries, also den Stellen, die Zweck und Mittel der Verarbeitung bestimmen, Pflichten gegenüber Data Principals auf, den Personen, auf die sich die Daten beziehen.
Der DPDP Act ist eine Regulierung, deren Einhaltung Sie nachweisen, kein Standard, gegen den Sie zertifiziert werden. Er führt Konzepte wie Consent Manager und Pflichten rund um die Daten von Kindern ein sowie die Möglichkeit, dass bestimmte Organisationen als Significant Data Fiduciaries mit zusätzlichen Pflichten eingestuft werden. Seine konkrete Anwendung wird durch Regelungen geprägt, die unter dem Gesetz erlassen werden, daher bedeutet Einhaltung, sowohl mit dem Gesetz als auch mit seinen Durchführungsregelungen im Einklang zu bleiben.
Der Aufbau des Gesetzes
Benachrichtigung und Einwilligung
Ein Data Fiduciary muss eine klare, aufgeschlüsselte Benachrichtigung geben und vor der Verarbeitung personenbezogener Daten eine freie, spezifische, informierte und eindeutige Einwilligung einholen, wobei die Einwilligung so leicht zu widerrufen sein muss, wie sie zu erteilen war.
Rechtmäßige Grundlagen
Die Verarbeitung muss entweder auf einer Einwilligung oder auf definierten berechtigten Zwecken beruhen, etwa einem Zweck, für den die Person freiwillig Daten bereitgestellt hat, oder bestimmten staatlichen und beschäftigungsbezogenen Funktionen.
Pflichten des Data Fiduciary
Die Stelle, die Zweck und Mittel der Verarbeitung festlegt, muss Daten richtig halten, sie nur so lange wie nötig aufbewahren, angemessene Sicherheitsvorkehrungen anwenden und Verletzungen des Schutzes personenbezogener Daten melden.
Rechte der Data Principals
Einzelpersonen können ihre Daten einsehen und berichtigen, Löschung verlangen, eine andere Person benennen, die in ihrem Namen handelt, und Beschwerden beim Data Fiduciary erheben.
Kinder und Vormünder
Die Verarbeitung der Daten von Kindern und von Personen mit einem gesetzlichen Vormund erfordert eine überprüfbare Einwilligung des Vormunds, wobei Tracking, Verhaltensbeobachtung und zielgerichtete Werbung grundsätzlich eingeschränkt sind.
Significant Data Fiduciary
Organisationen, die die Regierung in diese Klasse einstuft, tragen zusätzliche Pflichten, darunter die Bestellung eines Datenschutzbeauftragten in Indien, eines unabhängigen Datenprüfers und regelmäßige Datenschutz-Folgenabschätzungen.
Consent Manager
Das Gesetz sieht registrierte Consent Manager vor, über die Einzelpersonen ihre Einwilligung über eine zugängliche Plattform erteilen, verwalten, überprüfen und widerrufen können.
Data Protection Board of India
Ein unabhängiges Board behandelt Beschwerden, ordnet bei Verletzungen Abhilfe- und Minderungsmaßnahmen an und kann bei Nichteinhaltung Geldbußen verhängen.
Wer es braucht
- Organisationen in Indien, die digitale personenbezogene Daten von Einzelpersonen verarbeiten
- Unternehmen außerhalb Indiens, die personenbezogene Daten im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen an Personen in Indien verarbeiten
- SaaS- und Plattformunternehmen, die als Data Fiduciary oder im Auftrag eines Fiduciary Daten indischer Nutzer verarbeiten
Was Sie erhalten
- Eine Datenerfassung und Bewertung Ihrer Rolle nach dem Gesetz
- Mechanismen für Einwilligung und Benachrichtigung sowie Prozesse für die Rechte der Data Principals
- Governance und Richtlinien im Einklang mit dem Gesetz und seinen Regelungen
- Sicherheitsvorkehrungen mit Nachweisen aus Penetrationstests
Die Zeitpläne hängen vom Umfang und der Sensibilität der von Ihnen verarbeiteten Daten und Ihrem aktuellen Reifegrad ab. Wir legen den Umfang vorab ehrlich fest, statt eine feste Anzahl von Wochen zu versprechen.
Aktuelle Version
Das maßgebliche Gesetz ist der Digital Personal Data Protection Act, 2023. Die Digital Personal Data Protection Rules, 2025 wurden am 13. November 2025 bekannt gegeben und geben dem Gesetz seine operativen Einzelheiten, wobei die Bestimmungen in Phasen in Kraft treten statt alle auf einmal. Einige Pflichten galten ab der Bekanntgabe, während andere, darunter mehrere zentrale Compliance-Pflichten, nach einem Übergangszeitraum folgen, sodass das praktische Datum, zu dem Ihre Organisation eine bestimmte Anforderung erfüllen muss, davon abhängt, unter welche Bestimmung sie fällt. Wir verfolgen die Phaseneinteilung und sagen Ihnen, was für Sie gilt und wann, statt das gesamte Rahmenwerk ab dem ersten Tag als geltend zu behandeln.
Was es kostet
Der DPDP Act ist ein Gesetz, dessen Einhaltung Sie nachweisen, kein Standard, gegen den Sie zertifiziert werden, daher gibt es kein Zertifikat zu kaufen und keine akkreditierte Zertifizierungsstelle im Spiel. Die Kosten, die daneben stehen, sind unser im Umfang festgelegtes Beratungs- und Umsetzungshonorar, das vorab angeboten wird, sobald wir Ihre Größe, Ihre Rolle nach dem Gesetz und Ihren Ausgangspunkt verstehen, sowie etwaige gesonderte Ausgaben, die Sie für unabhängige Beiträge wie einen Datenprüfer, externe Rechtsberatung oder einen Datenschutzbeauftragten wählen, was besonders relevant ist, wenn Sie als Significant Data Fiduciary eingestuft sind. Diese Parteien legen ihre eigenen Honorare nach ihren eigenen Zeitplänen fest, und wir sind niemals der Prüfer, das Board oder die Aufsichtsbehörde. Wir legen den Umfang gemeinsam mit Ihnen fest, statt blind anzubieten.
Wie tr3labs Sie dorthin bringt
Geltungsbereich und Gap-Analyse
Wir erfassen Ihre Verarbeitung digitaler personenbezogener Daten, bestätigen Ihre Rolle nach dem Gesetz und messen Ihre aktuellen Praktiken an seinen Pflichten zu Einwilligung, Benachrichtigung und Sicherheit.
Kontrollen und Benachrichtigungen aufbauen
Wir helfen Ihnen, rechtmäßige Mechanismen für Einwilligung und Benachrichtigung, Prozesse für die Rechte der Data Principals und die vom Gesetz erwartete Governance umzusetzen, einschließlich der Pflichten rund um die Daten von Kindern, soweit relevant.
Die Daten absichern
Wir bewerten und stärken Ihre Sicherheitsvorkehrungen und nutzen Penetrationstests, um zu belegen, dass personenbezogene Daten angemessen vor Verletzungen geschützt sind.
Bereitschaft und laufende Unterstützung
Wir stellen die Dokumentation zusammen, die die Einhaltung nachweist, und halten Sie im Einklang, während sich die Regelungen unter dem Gesetz weiterentwickeln, einschließlich etwaiger zusätzlicher Pflichten, falls Sie ein Significant Data Fiduciary sind.
India DPDP Act und GDPR im Vergleich
Beide sind einwilligungs- und rechtebasierte Datenschutzgesetze mit ähnlichen Rollen und Pflichten, daher gehen Teams oft davon aus, dass die Ausrichtung an einem auch das andere abdeckt.
| India DPDP Act | GDPR | |
|---|---|---|
| Erfasst | Digitale personenbezogene Daten von Personen in Indien | Personenbezogene Daten von Personen in der EU und im EWR |
| Wer setzt es durch | Data Protection Board of India | Nationale Aufsichtsbehörden in jedem Mitgliedstaat |
| Kernidee | Einwilligungsgeleitete Pflichten für Data Fiduciaries | Rechtmäßige Grundlage und Rechenschaftspflicht für Verantwortliche |
| Rechtmäßige Grundlagen | Einwilligung oder definierte berechtigte Zwecke | Sechs rechtmäßige Grundlagen einschließlich berechtigter Interessen |
| Prüfmodell | Kein Zertifikat; Einhaltung durch Aufzeichnungen belegt | Kein Zertifikat; Einhaltung durch Aufzeichnungen belegt |
| Oft zusammen mit | ISO 27001- und HIPAA-Programmen | ISO 27001 und branchenbezogener Datenschutzarbeit |
DPDP Act FAQ
- Für wen gilt der DPDP Act?
- Er gilt für die Verarbeitung digitaler personenbezogener Daten in Indien und für die Verarbeitung außerhalb Indiens, sofern sie mit dem Angebot von Waren oder Dienstleistungen an Personen in Indien zusammenhängt. Wir helfen Ihnen während der Festlegung des Umfangs zu bestätigen, ob und wie er für Sie gilt.
- Was ist ein Data Fiduciary?
- Ein Data Fiduciary ist die Stelle, die Zweck und Mittel der Verarbeitung personenbezogener Daten bestimmt, konzeptionell weitgehend vergleichbar mit einem Verantwortlichen nach der GDPR. Bestimmte Organisationen können als Significant Data Fiduciaries mit zusätzlichen Pflichten eingestuft werden. Ihre Rolle festzulegen gehört zu den ersten Dingen, die wir tun.
- Ist die DPDP-Einhaltung eine Zertifizierung?
- Nein. Der DPDP Act ist eine Regulierung, deren Einhaltung Sie nachweisen, kein zertifizierbarer Standard. Die Einhaltung wird durch Mechanismen für Einwilligung und Benachrichtigung, dokumentierte Prozesse, Sicherheitsvorkehrungen und Aufzeichnungen belegt. Wir helfen Ihnen, diese Nachweise aufzubauen und zu pflegen.
Die Leistungen, die Sie dorthin bringen
Verwandte Standards
Weiterführende Artikel
Indiens DPDP Act: Ein praktischer Leitfaden zur Compliance (2025)
Was der indische Digital Personal Data Protection (DPDP) Act verlangt, wer als Data Fiduciary gilt, was die Rules 2025 ergänzen, welche Strafen drohen und ein praktischer Weg zur Compliance.
9 Min. Lesezeit
Die OWASP LLM Top 10, erklärt: Ein verständlicher Leitfaden für Teams, die KI-Funktionen ausliefern
Ein klarer, praxisnaher Durchgang durch die OWASP Top 10 der Risiken für Anwendungen mit großen Sprachmodellen, mit einer verständlichen Beschreibung und einer konkreten Gegenmaßnahme für jedes Risiko, gerichtet an Teams, die zum ersten Mal KI-Funktionen hinzufügen.
9 Min. Lesezeit
Wie Sie einen Penetrationstest-Bericht (VAPT) lesen: ein verständlicher Leitfaden für Teams
Eine praxisnahe Erläuterung, was in einen Penetrationstest-Bericht gehört, Abschnitt für Abschnitt, damit Gründerinnen und Gründer sowie Engineering-Teams ihn souverän lesen und auf seiner Grundlage handeln können.
8 Min. Lesezeit