Indonesisches PDP-Gesetz: Compliance mit ConsentX

Welche Daten sind erfasst?

Das PDP-Gesetz unterteilt personenbezogene Daten in zwei große Kategorien.

Zu den spezifischen personenbezogenen Daten gehören:

• Gesundheits- und medizinische Informationen
• Biometrische Daten
• Genetische Daten
• Vorstrafenregister
• Daten von Kindern
• Persönliche Finanzdaten
• Weitere durch anwendbare Vorschriften bestimmte Kategorien

Zu den allgemeinen personenbezogenen Daten gehören:

• Vollständiger Name
• Geschlecht
• Staatsangehörigkeit
• Religion
• Familienstand
• Personenbezogene Daten in Verbindung mit weiteren Informationen, die eine Person identifizieren können

Diese Unterscheidung ist wichtig, weil spezifische personenbezogene Daten größere Risiken für die betroffenen Personen begründen können und daher zusätzliche Schutzmaßnahmen erfordern können.

Rechtsgrundlagen für die Verarbeitung personenbezogener Daten

Das indonesische PDP-Gesetz verlangt, dass ein Verantwortlicher für die Verarbeitung personenbezogener Daten über eine Rechtsgrundlage verfügt.

Artikel 20 nennt sechs Rechtsgrundlagen:

• Ausdrückliche und gültige Einwilligung für einen oder mehrere bestimmte Zwecke, die der betroffenen Person mitgeteilt wurden.
• Vertragliche Erforderlichkeit, einschließlich der Verarbeitung, die zur Erfüllung eines Vertrags oder zur Bearbeitung einer Anfrage vor Vertragsschluss erforderlich ist.
• Rechtliche Verpflichtung des Verantwortlichen.
• Lebenswichtige Interessen der betroffenen Person.
• Öffentliches Interesse, öffentliche Aufgabe oder Ausübung hoheitlicher Befugnisse nach anwendbarem Recht.
• Berechtigte Interessen unter Berücksichtigung des Zwecks, der Erforderlichkeit, der Interessenabwägung und der Rechte der betroffenen Person.

Organisationen sollten die Einwilligung daher nicht automatisch als Rechtsgrundlage für jede Verarbeitungstätigkeit behandeln.

Anforderungen an die Einwilligung nach dem indonesischen PDP-Gesetz

Wird die Einwilligung als Rechtsgrundlage herangezogen, stellt das PDP-Gesetz besondere Anforderungen.

Die Einwilligung muss:

• Gültig sein
• Ausdrücklich sein
• Sich auf einen oder mehrere bestimmte Zwecke beziehen
• Ordnungsgemäß dokumentiert sein
• Auf den der betroffenen Person bereitgestellten Informationen beruhen
• Verständlich sein
• Bei mehreren Zwecken klar von anderen Sachverhalten unterscheidbar sein

Die Einwilligung kann in schriftlicher oder aufgezeichneter Form erteilt und elektronisch oder nicht elektronisch übermittelt werden.

Erstreckt sich die Einwilligung auf weitere Zwecke, muss die Anfrage klar unterscheidbar und zugänglich sein und in einfacher, klarer Sprache abgefasst sein.

Der Verantwortliche muss zudem den Nachweis der eingeholten Einwilligung erbringen können. Das macht Einwilligungsnachweise und Audit-Trails für Organisationen, die sich auf die Einwilligung stützen, besonders wichtig.

Widerruf der Einwilligung

Betroffene Personen haben das Recht, ihre Einwilligung in die Verarbeitung zu widerrufen.

Widerruft eine betroffene Person ihre Einwilligung, muss der Verantwortliche die darauf gestützte Verarbeitung innerhalb von 3 × 24 Stunden nach Eingang des Widerrufsverlangens einstellen, vorbehaltlich des Gesetzes und der jeweiligen Umstände.

ConsentX kann Organisationen dabei unterstützen, die ursprüngliche Einwilligung zu dokumentieren, Widerrufsverlangen zu erfassen und die daraus resultierende Änderung der Präferenzen nachzuweisen.

Datenschutzhinweise und Transparenz

Beruht die Verarbeitung auf einer Einwilligung, müssen Organisationen unter anderem folgende Informationen bereitstellen:

• Die Rechtsgrundlage der Verarbeitung
• Den Zweck der Verarbeitung
• Die Arten und die Relevanz der verarbeiteten personenbezogenen Daten
• Die Aufbewahrungsfrist für Dokumente mit personenbezogenen Daten
• Einzelheiten zu den erhobenen Informationen
• Den Verarbeitungszeitraum
• Die Rechte der betroffenen Person

Ändern sich diese Informationen, ist die betroffene Person vor Wirksamwerden der Änderung zu informieren.

Datenschutzhinweise sollten daher klar, zugänglich und hinreichend konkret sein, um zu erläutern, wie personenbezogene Daten behandelt werden.

Grundsätze der Datenverarbeitung

Das PDP-Gesetz legt mehrere Kernprinzipien für die Verarbeitung personenbezogener Daten fest.

Personenbezogene Daten müssen verarbeitet werden:

• In begrenzter und bestimmter Weise
• Rechtmäßig
• Transparent
• Für festgelegte Zwecke
• Unter Achtung der Rechte der betroffenen Personen
• Richtig und vollständig
• Aktuell und rechenschaftsfähig
• Mit angemessenen Sicherheitsmaßnahmen
• Mit angemessener Vertraulichkeit
• Im Einklang mit den anwendbaren Aufbewahrungsanforderungen

Das Gesetz verlangt außerdem, personenbezogene Daten nach Ablauf der Aufbewahrungsfrist oder bei Vorliegen entsprechender Umstände zu löschen oder zu vernichten.

Rechte betroffener Personen nach dem PDP-Gesetz

Das PDP-Gesetz gewährt Personen ein breites Spektrum an Rechten in Bezug auf ihre personenbezogenen Daten.

Dazu gehören Rechte betreffend:

• Informationen über die Verarbeitung
• Auskunft über personenbezogene Daten
• Berichtigung und Aktualisierung
• Löschung oder Vernichtung
• Widerruf der Einwilligung
• Einschränkung oder Aussetzung der Verarbeitung
• Widerspruch gegen bestimmte Verarbeitungstätigkeiten
• Datenübertragbarkeit
• Entschädigung bei Verstößen
• Rechte im Zusammenhang mit automatisierten Entscheidungen, soweit anwendbar

Das Gesetz sieht zudem besondere Reaktionsfristen für bestimmte Anträge vor. Auskunftsersuchen sind beispielsweise grundsätzlich innerhalb von 3 × 24 Stunden nach Eingang zu bearbeiten, vorbehaltlich der gesetzlichen Bestimmungen und Ausnahmen.

Datenrichtigkeit und Berichtigung

Verantwortliche müssen sicherstellen, dass personenbezogene Daten richtig, vollständig und konsistent sind.

Verlangt eine Person eine Aktualisierung oder Berichtigung, muss der Verantwortliche die erforderliche Berichtigung grundsätzlich innerhalb von 3 × 24 Stunden nach Eingang des Verlangens vornehmen und die Person über das Ergebnis informieren.

Daraus ergibt sich eine wichtige operative Anforderung für Organisationen, die große Mengen an Kunden- oder Beschäftigtendaten verarbeiten.

Löschung und Vernichtung personenbezogener Daten

Das PDP-Gesetz benennt Umstände, unter denen personenbezogene Daten gelöscht oder vernichtet werden müssen.

Ein Verantwortlicher muss personenbezogene Daten unter anderem dann löschen, wenn:

• Die Daten für den Verarbeitungszweck nicht mehr erforderlich sind.
• Die betroffene Person ihre Einwilligung widerruft, sofern die Einwilligung die maßgebliche Grundlage ist.
• Die betroffene Person die Löschung verlangt.
• Die personenbezogenen Daten rechtswidrig erlangt oder verarbeitet wurden.

Das Gesetz regelt die Vernichtung gesondert, unter anderem für den Fall, dass die anwendbare Aufbewahrungsfrist abgelaufen ist oder die Vernichtung verlangt wird und nach dem Gesetz zulässig ist.

ConsentX kann strukturierte Abläufe für Datenschutzanfragen unterstützen, wenn Organisationen Löschungen und andere Betroffenenanfragen verwalten müssen.

Personenbezogene Daten von Kindern

Das PDP-Gesetz sieht einen besonderen Schutz für personenbezogene Daten von Kindern vor.

Die Verarbeitung personenbezogener Daten von Kindern muss im Einklang mit den anwendbaren Anforderungen erfolgen und erfordert die Einwilligung der Eltern und/oder des Vormunds, soweit nach dem Gesetz eine Einwilligung erforderlich ist.

Organisationen, die Websites, Anwendungen, Bildungsangebote, Gaming-Plattformen oder andere von Kindern voraussichtlich genutzte Dienste bereitstellen, sollten daher ihre altersbezogenen Datenschutzkontrollen prüfen.

Sensible und risikoreiche personenbezogene Daten

Das indonesische PDP-Gesetz verwendet nicht exakt dieselbe Terminologie wie die DSGVO mit ihren „besonderen Kategorien personenbezogener Daten“.

Stattdessen benennt es spezifische personenbezogene Daten, darunter:

• Gesundheitsinformationen
• Biometrische Informationen
• Genetische Informationen
• Vorstrafenregister
• Daten von Kindern
• Persönliche Finanzdaten

Verarbeitungstätigkeiten mit diesen Kategorien können zusätzliche Anforderungen an das Risikomanagement auslösen.

Datenschutz-Folgenabschätzung (DPIA)

Verantwortliche müssen eine Datenschutz-Folgenabschätzung durchführen, wenn die Verarbeitung ein hohes Risiko für die betroffenen Personen begründet.

Zu der im PDP-Gesetz benannten risikoreichen Verarbeitung gehören:

• Automatisierte Entscheidungen mit rechtlicher oder erheblicher Wirkung
• Verarbeitung spezifischer personenbezogener Daten
• Verarbeitung in großem Umfang
• Systematische Bewertung, Scoring oder Überwachung
• Abgleich oder Zusammenführung von Datenbeständen
• Einsatz neuer Technologien
• Verarbeitung, die die Ausübung der Rechte betroffener Personen einschränkt

Das Gesetz sieht vor, dass weitere Anforderungen an DPIAs durch Durchführungsvorschriften festgelegt werden.

Organisationen, die KI, Profiling, Biometrie, Analysen in großem Umfang oder andere risikoreiche Technologien einsetzen, sollten die Datenschutz-Folgenabschätzung daher in ihr Compliance-Programm aufnehmen.

Pflichten zur Datensicherheit

Verantwortliche müssen personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen schützen.

Das PDP-Gesetz verpflichtet Verantwortliche dazu:

• Personenbezogene Daten vor unrechtmäßiger Verarbeitung zu schützen.
• Unbefugten Zugriff zu verhindern.
• Angemessene Sicherheitssysteme zu unterhalten.
• Ein angemessenes Sicherheitsniveau anhand der Art und des Risikos der personenbezogenen Daten zu bestimmen.
• Die Vertraulichkeit zu wahren.
• Die an der Verarbeitung unter ihrer Kontrolle beteiligten Parteien zu überwachen.

Sicherheitsmaßnahmen sollten daher in einem angemessenen Verhältnis zur Art und zum Risiko der Verarbeitungstätigkeit stehen.

Meldung von Verletzungen des Schutzes personenbezogener Daten

Eine der wichtigsten operativen Anforderungen des indonesischen PDP-Gesetzes betrifft Verletzungen des Schutzes personenbezogener Daten.

Bei einem Versagen des Schutzes personenbezogener Daten muss der Verantwortliche spätestens innerhalb von 3 × 24 Stunden schriftlich benachrichtigen:

• Die betroffene Person
• Die zuständige Aufsichtsbehörde

Die Meldung muss mindestens Folgendes enthalten:

• Die betroffenen oder offengelegten personenbezogenen Daten
• Wann und wie die personenbezogenen Daten offengelegt wurden
• Die vom Verantwortlichen getroffenen Maßnahmen zur Behebung des Vorfalls und zur Wiederherstellung

Unter bestimmten Umständen kann zusätzlich eine öffentliche Bekanntmachung erforderlich sein.

Organisationen sollten daher einen Incident-Response-Prozess unterhalten, der betroffene Daten, Personen, Systeme und Abhilfemaßnahmen schnell identifizieren kann.

Datenschutzbeauftragter und die PDP-Funktion

Das PDP-Gesetz verpflichtet Verantwortliche und Auftragsverarbeiter, in bestimmten Fällen eine für Datenschutzaufgaben verantwortliche Person zu benennen.

Dies gilt, wenn:

• Personenbezogene Daten zu Zwecken der öffentlichen Daseinsvorsorge verarbeitet werden.
• Die Kerntätigkeiten des Verantwortlichen eine regelmäßige und systematische Überwachung personenbezogener Daten in großem Umfang umfassen.
• Die Kerntätigkeiten des Verantwortlichen die Verarbeitung spezifischer personenbezogener Daten und/oder personenbezogener Daten über Straftaten in großem Umfang umfassen.

Die für die Datenschutzfunktion zuständige Person sollte über angemessene Professionalität, juristische und datenschutzrechtliche Kenntnisse sowie die Fähigkeit verfügen, die erforderlichen Aufgaben wahrzunehmen. Sie kann intern oder extern tätig sein.

Verantwortlichkeiten von Auftragsverarbeitern und Verantwortlichen

Das PDP-Gesetz unterscheidet zwischen zwei Rollen.

Verantwortlicher. Die Partei, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt.

Auftragsverarbeiter. Die Partei, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet.

Verantwortliche bleiben dafür verantwortlich, dass die Verarbeitungstätigkeiten dem PDP-Gesetz entsprechen, und müssen die an der Verarbeitung unter ihrer Kontrolle beteiligten Parteien überwachen.

Organisationen sollten datenschutzrechtliche Pflichten daher entlang ihres gesamten Dienstleister- und Auftragsverarbeiter-Ökosystems prüfen.

Grenzüberschreitende Datenübermittlungen

Das PDP-Gesetz erlaubt Übermittlungen personenbezogener Daten außerhalb Indonesiens, sieht dafür jedoch eine Rangfolge von Schutzmaßnahmen vor.

Ein Verantwortlicher, der personenbezogene Daten außerhalb Indonesiens übermittelt, muss grundsätzlich sicherstellen, dass:

• Das Empfängerland ein Schutzniveau für personenbezogene Daten bietet, das dem Schutz nach dem indonesischen PDP-Gesetz entspricht oder darüber hinausgeht; oder
• Der Verantwortliche, falls diese Voraussetzung nicht erfüllt ist, einen angemessenen und verbindlichen Schutz gewährleistet; oder
• Der Verantwortliche, falls keine der beiden Voraussetzungen erfüllt ist, die Einwilligung der betroffenen Person einholt.

Weitere Anforderungen an internationale Übermittlungen sollen durch Durchführungsvorschriften festgelegt werden.

Organisationen, die internationale Cloud-Anbieter, Analysedienste, Werbeplattformen, SaaS-Anwendungen oder andere ausländische Dienstleister nutzen, sollten daher ihre Übermittlungsvereinbarungen und Schutzmaßnahmen dokumentieren.

Cookies und Online-Tracking

Das indonesische PDP-Gesetz wirkt nicht als eigenständiges Cookie-Einwilligungsgesetz, das für jedes Cookie eine Einwilligung verlangt.

Cookies, Pixel, Analysewerkzeuge, Werbetechnologien und andere Tracking-Technologien können jedoch die Verarbeitung personenbezogener Daten umfassen.

Organisationen sollten daher prüfen:

• Welche Informationen die Technologie erhebt
• Ob Personen unmittelbar oder mittelbar identifiziert werden können
• Den Zweck der Erhebung
• Die anwendbare Rechtsgrundlage
• Ob eine Einwilligung erforderlich oder als Rechtsgrundlage gewählt ist
• Ob Informationen an Dritte offengelegt werden
• Ob Informationen außerhalb Indonesiens übermittelt werden
• Wie lange die Informationen aufbewahrt werden

Wird die Einwilligung herangezogen, sollte der Einwilligungsmechanismus die Anforderungen des PDP-Gesetzes an eine gültige, ausdrückliche, informierte und dokumentierte Einwilligung erfüllen.

ConsentX kann Organisationen dabei helfen, Website-Tracker zu identifizieren, Einwilligungssteuerungen zu konfigurieren, nicht notwendige Technologien bei Bedarf zu blockieren und Nachweise über Nutzerentscheidungen zu führen.

Direktmarketing und Einwilligung

Das PDP-Gesetz macht die Einwilligung nicht zur allgemeinen Rechtsgrundlage für jede Marketingaktivität.

Organisationen sollten die geeignete Rechtsgrundlage für die Verarbeitung personenbezogener Daten bestimmen, die eingesetzt werden für:

• E-Mail-Marketing
• SMS-Marketing
• Werbung
• Personalisierte Kampagnen
• Kundenprofiling
• Remarketing
• Zielgruppensegmentierung

Wird die Einwilligung herangezogen, sollten Organisationen sicherstellen, dass die Einwilligungsanfrage den jeweiligen Zweck klar benennt und bei mehreren Zwecken gesondert unterscheidbar ist.

Einwilligungsnachweise sollten ebenfalls als Beleg aufbewahrt werden.

Automatisierte Entscheidungen und Profiling

Das PDP-Gesetz stuft automatisierte Entscheidungen, die rechtliche Folgen oder erhebliche Auswirkungen auf Personen haben, als risikoreiche Verarbeitung ein.

Dies kann die Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung auslösen.

Organisationen, die Folgendes einsetzen, sollten prüfen, ob ihre Verarbeitung unter die risikoreichen Kategorien des Gesetzes fällt, und für angemessene Transparenz und Schutzmaßnahmen sorgen:

• KI-gestützte Entscheidungssysteme
• Automatisiertes Scoring
• Profiling
• Betrugserkennung
• Kreditwürdigkeitsprüfung
• Verhaltensanalyse
• Automatisierte Entscheidungen über Anspruchsberechtigungen

Aufsichtsbehörde

Das PDP-Gesetz sieht eine eigene Institution vor, die zuständig ist für:

• Die Entwicklung von Politik und Strategie zum Schutz personenbezogener Daten
• Die Aufsicht über die Verarbeitung personenbezogener Daten
• Die Durchsetzung des Verwaltungsrechts
• Die Förderung der außergerichtlichen Streitbeilegung

Stand 2026 arbeitet die indonesische Regierung auf die Errichtung einer unabhängigen Behörde für den Schutz personenbezogener Daten hin. Im Juli 2026 erklärte das Ministerium für Kommunikation und digitale Angelegenheiten, die Regierung finalisiere die Errichtung der Behörde und die zugehörige Präsidialverordnung.

Organisationen sollten daher weitere regulatorische Entwicklungen zum endgültigen institutionellen Rahmen und zu den Durchführungsvorschriften verfolgen.

Aktuelle Umsetzung und regulatorische Entwicklungen

Indonesien entwickelt den Durchführungsrahmen zum Gesetz Nr. 27 von 2022 weiter.

Das Ministerium für Kommunikation und digitale Angelegenheiten arbeitet an Durchführungsvorschriften, die unter anderem folgende Bereiche abdecken:

• Verarbeitung personenbezogener Daten
• Datenschutz-Governance
• Cybersicherheit
• Neue Technologien
• Internationale Datenübermittlungen
• DPIA-Anforderungen
• Verwaltungsrechtliche Durchsetzung

2025 berichtete das Ministerium, dass ein Entwurf einer Regierungsverordnung zur Umsetzung des PDP-Gesetzes harmonisiert werde.

Organisationen sollten daher zwischen Anforderungen unterscheiden, die bereits unmittelbar durch das PDP-Gesetz festgelegt sind, und detaillierten Anforderungen, die von Durchführungsvorschriften abhängen.