Was ist ein Consent Manager nach dem DPDPA?
Ein Consent Manager ist eine beim Data Protection Board registrierte Plattform, über die Menschen Einwilligungen gegenüber verschiedenen Unternehmen erteilen, überprüfen und widerrufen können. Er ist etwas anderes als ein Cookie-Banner oder eine CMP.Auch bekannt als: Consent Manager nach dem DPDPA, Consent Manager in Indien, Consent-Management-Vermittler
Was bedeutet Consent Manager nach dem DPDPA?
Der Digital Personal Data Protection Act, 2023 definiert einen Consent Manager als beim Board registrierte Person, die als zentrale Anlaufstelle fungiert, damit ein Data Principal über eine zugängliche, transparente und interoperable Plattform Einwilligungen erteilen, verwalten, einsehen und widerrufen kann.
Einfach gesagt soll ein Consent Manager als zentrale Steuerungsebene für die Einwilligungen von Einzelpersonen dienen.
Statt Einwilligungen bei jedem Dienst getrennt zu verwalten, sieht das DPDPA-Modell eine interoperable Plattform vor, über die ein Data Principal einschlägige Einwilligungsentscheidungen verwalten kann.
Was macht ein Consent Manager?
Ein Consent Manager nach dem DPDPA kann Data Principals einen zentralen Mechanismus bieten, um:
Einwilligungen zu erteilen
Bestehende Einwilligungen einzusehen
Einwilligungspräferenzen zu verwalten
Einwilligungen zu widerrufen
Nachzuvollziehen, welche Einwilligungen aktiv sind
Mit teilnehmenden Data Fiduciaries zu interagieren
Einwilligungen über eine zugängliche Oberfläche zu verwalten
Ziel ist es, das Consent-Management transparenter zu machen und Einzelpersonen mehr Kontrolle über ihre Entscheidungen zu personenbezogenen Daten zu geben.
Wer kann ein Consent Manager sein?
Nach dem DPDPA ist ein Consent Manager nicht einfach jedes Unternehmen, das ein Cookie-Banner oder ein Einwilligungstool anbietet.
Das Gesetz definiert einen Consent Manager als beim Board registrierte Person und etabliert das Konzept als interoperablen Vermittler für das Consent-Management.
Die detaillierten operativen Anforderungen, der Registrierungsrahmen und die technischen Anforderungen richten sich nach dem geltenden DPDPA-Rahmenwerk und den Rules.
Diese Unterscheidung ist für Unternehmen wichtig, weil der Begriff „Consent Manager“ im Sinne des DPDPA nicht automatisch als andere Bezeichnung für eine Website-CMP behandelt werden sollte.
Consent Manager vs. Consent-Management-Plattform
Ein Consent Manager und eine Consent-Management-Plattform (CMP) klingen vielleicht nach demselben, erfüllen aber unterschiedliche Rollen.
| Consent Manager nach dem DPDPA | Consent-Management-Plattform |
|---|---|
| Im indischen DPDPA definiert | Allgemeine Kategorie von Datenschutztechnologie |
| Beim Board registriert | Kann von jedem geeigneten Technologieanbieter bereitgestellt werden |
| Auf Interoperabilität ausgelegt | In der Regel für eine Website, App oder Organisation konfiguriert |
| Ermöglicht Data Principals die Verwaltung ihrer Einwilligungen | Holt Einwilligungen ein und setzt sie durch |
| Soll über Data Fiduciaries hinweg funktionieren | Verwaltet Einwilligungen oft für ein bestimmtes digitales Angebot |
| Umfasst das Erteilen, Verwalten, Einsehen und Widerrufen von Einwilligungen | Kann Banner, Präferenzcenter, Blocking und Einwilligungsnachweise umfassen |
Eine CMP kann daher die technische Einwilligungsebene unterstützen, die ein Data Fiduciary nutzt, während ein gesetzlicher Consent Manager ein eigenständiges Konzept des DPDPA darstellt.
Wie unterscheidet sich ein Consent Manager von einem Cookie-Einwilligungsbanner?
Ein Cookie-Einwilligungsbanner ist eine Benutzeroberfläche, die auf einer Website angezeigt wird, um Besucher über Cookies zu informieren und die einschlägige Einwilligung einzuholen.
Eine Consent-Management-Plattform kann darüber hinausgehen, indem sie Präferenzen verwaltet, Tracker blockiert, Einwilligungen dokumentiert und Entscheidungen an Website-Technologien übermittelt.
Ein Consent Manager nach dem DPDPA ist wiederum etwas anderes. Er ist der im DPDPA beschriebene, spezifisch regulierte Vermittler, der es Data Principals ermöglicht, über eine interoperable Plattform Einwilligungen zu erteilen, zu verwalten, einzusehen und zu widerrufen.
Mit anderen Worten:
Cookie-Banner
Einwilligungsoberfläche der Website
CMP
Technologie zur Einholung und Durchsetzung von Einwilligungen
Consent Manager nach dem DPDPA
Registrierter, interoperabler Einwilligungsvermittler
Wie ein Consent Manager Ihre Privatsphäre schützt
Oft müssen Menschen ihre Einwilligungen bei jeder App, jeder Bank und jedem Onlinedienst einzeln verwalten. Ein Consent Manager bündelt diese Entscheidungen an einer Stelle. Er handelt für den Data Principal, nicht für das Unternehmen, das die Daten erhebt. Nutzer sehen ihre aktiven Einwilligungen, können ihre Entscheidungen ändern und Einwilligungen bei Bedarf widerrufen.
Consent Manager und Data Principal
Der Data Principal ist die Person, auf die sich die personenbezogenen Daten beziehen.
Der Consent Manager soll dieser Person einen Mechanismus zur Verwaltung ihrer Einwilligungen bereitstellen.
Zum Beispiel:
- Data Principal
- Consent Manager
- Data Fiduciary
Der Data Principal kann den Consent Manager nutzen, um mit Einwilligungsentscheidungen umzugehen, während der Data Fiduciary für die Verarbeitungstätigkeiten verantwortlich bleibt, über die er entscheidet.
Dadurch entsteht eine Trennung zwischen der Person, die Einwilligungen verwaltet, und den Organisationen, die ihre personenbezogenen Daten verarbeiten.
Consent Manager und Data Fiduciary
Ein Data Fiduciary entscheidet über Zweck und Mittel der Verarbeitung personenbezogener Daten.
Ein Consent Manager stellt die im DPDPA vorgesehene Oberfläche für das Consent-Management und die Interoperabilitätsebene bereit.
Vereinfacht kann die Beziehung so aussehen:
- Data Principal
- Consent Manager
- Data Fiduciary
- Data Processor
Der Data Fiduciary kann Data Processors einsetzen, die personenbezogene Daten in seinem Auftrag verarbeiten, während der Consent Manager im Einwilligungsökosystem eine andere Funktion erfüllt.
Was ist interoperable Einwilligung?
Interoperabilität bedeutet, dass Einwilligungsinformationen über teilnehmende Systeme hinweg funktionieren können, statt in der Technologieumgebung einer einzelnen Organisation eingeschlossen zu sein.
Für einen Data Principal kann das unter Umständen bedeuten, einen einheitlichen Mechanismus für das Consent-Management über mehrere Dienste hinweg zu nutzen.
Für Unternehmen kann Interoperabilität Systeme erfordern, die Einwilligungsinformationen zuverlässig austauschen und interpretieren können und dabei angemessene Sicherheit, Authentizität und Prüfbarkeit gewährleisten.
Consent Manager und Widerruf der Einwilligung
Eine der wichtigen Funktionen eines Consent Manager nach dem DPDPA besteht darin, Data Principals den Widerruf ihrer Einwilligung zu ermöglichen.
Der DPDPA sieht vor, dass ein Data Principal das Recht hat, seine Einwilligung jederzeit zu widerrufen, und dass der Widerruf ebenso einfach sein sollte wie die Erteilung der Einwilligung.
Damit wird der Widerruf der Einwilligung zu einem wichtigen Teil des Einwilligungslebenszyklus statt zu einer Nebensache.
Unternehmen sollten daher sicherstellen, dass ein Widerruf an die Systeme und Verarbeitungstätigkeiten weitergegeben werden kann, die davon betroffen sind.
Consent Manager und DPDPA-Compliance
Das Konzept des Consent Manager ist Teil des umfassenderen indischen Rahmenwerks für Datenschutz und Einwilligung.
Ein Unternehmen, das sich auf die DPDPA-Compliance vorbereitet, sollte Folgendes berücksichtigen:
- Welche personenbezogenen Daten es verarbeitet
- Warum die Daten verarbeitet werden
- Ob die Einwilligung die einschlägige Grundlage ist
- Wie die Einwilligung eingeholt wird
- Wie die Einwilligung dokumentiert wird
- Wie die Einwilligung widerrufen werden kann
- Wie mit den Rechten der Data Principals umgegangen wird
- Welche Data Processors personenbezogene Daten erhalten
- Wie Einwilligungsinformationen zwischen Systemen übermittelt werden
- Wie Nachweise der Einwilligung vorgehalten werden
Der Einsatz eines Einwilligungstools allein macht eine Organisation nicht DPDPA-konform. Die Compliance hängt von den tatsächlichen Verarbeitungstätigkeiten, Hinweisen, Einwilligungspraktiken, Sicherheitskontrollen, Prozessen zur Wahrung von Rechten und weiteren geltenden Pflichten der Organisation ab.
Consent-Manager-Regeln nach dem DPDP Act
Section 2(g) des DPDP Act, 2023 definiert den Consent Manager. Section 6(7)–(9) legt dann fest, wie die Rolle funktioniert:
- Nutzung: Ein Data Principal kann Einwilligungen über einen Consent Manager erteilen, verwalten, überprüfen oder widerrufen (Section 6(7)).
- Verantwortung: Der Consent Manager ist dem Data Principal gegenüber rechenschaftspflichtig und handelt in dessen Namen (Section 6(8)).
- Registrierung: Jeder Consent Manager muss beim Data Protection Board registriert sein (Section 6(9)).
Die DPDP Rules, 2025 wurden am 13. November 2025 bekannt gemacht. Sie gelten schrittweise, nicht alle auf einmal:
- Rule 4 zur Registrierung und zu den Pflichten von Consent Managern gilt ab dem 13. November 2026.
- Die meisten übrigen Rules, darunter die zu Hinweisen, Einwilligung, Sicherheitsmaßnahmen und Verletzungen des Schutzes personenbezogener Daten, gelten ab dem 13. Mai 2027.
- Einige wenige Bestimmungen, vor allem zur Einrichtung des Data Protection Board, traten mit der Bekanntmachung in Kraft.
Unternehmen sollten sich an diesen Terminen orientieren, statt anzunehmen, dass bereits alle Pflichten gelten.
Ist ein Consent Manager dasselbe wie eine CMP?
Nein.
Dies ist eine der wichtigsten Unterscheidungen, die es zu verstehen gilt.
Eine CMP ist eine Datenschutztechnologie-Plattform, mit der Organisationen Einwilligungen einholen, verwalten, speichern und durchsetzen.
Ein Consent Manager nach dem DPDPA ist ein spezifisches gesetzliches Konzept, das eine registrierte und interoperable Plattform umfasst, über die Data Principals Einwilligungen erteilen, verwalten, einsehen und widerrufen können.
Beide können zusammenwirken, sollten aber nicht als identische Konzepte behandelt werden.
Brauchen Websites einen Consent Manager?
Nicht jede Website sollte davon ausgehen, dass sie durch die Installation einer herkömmlichen CMP zu einem Consent Manager nach dem DPDPA wird.
Der DPDPA definiert einen Consent Manager als spezifische registrierte Stelle und legt Anforderungen an seine Rolle fest.
Dennoch können Websites und Anwendungen ein belastbares Consent-Management benötigen, auch wenn sie selbst keine Consent Manager sind.
Unternehmen sollten ihre Verarbeitungstätigkeiten, Einwilligungsanforderungen, die Rechte der Data Principals und die geltenden DPDPA-Pflichten gesondert prüfen.
Consent Manager vs. Consent Receipt
Ein Consent Manager ist eine Stelle bzw. Plattform, die es Data Principals ermöglicht, ihre Einwilligungen zu verwalten.
Ein Consent Receipt ist ein Nachweis oder eine Aufzeichnung einer Einwilligungsentscheidung.
Zum Beispiel:
Consent Manager
Stellt den Mechanismus zur Verwaltung von Einwilligungen bereit.
Consent Receipt
Dokumentiert Nachweise darüber, welche Einwilligung erteilt wurde, wann sie erteilt wurde, sowie weitere relevante Informationen.
Diese Konzepte können zusammenwirken, dienen aber unterschiedlichen Zwecken.
Consent Manager in ConsentX
ConsentX bietet Consent-Management-Technologie, die Unternehmen dabei unterstützen kann, die technische Ebene rund um die DPDPA-Einwilligung aufzubauen.
ConsentX kann Organisationen dabei helfen:
Zweckbezogene Einwilligungshinweise anzuzeigen
Eine bestätigende Einwilligung einzuholen
Einwilligungspräferenzen zu verwalten
Den Widerruf der Einwilligung zu unterstützen
Manipulationssichere Einwilligungsnachweise zu führen
Betroffene Tracker vor der Einwilligung zu blockieren
Anfragen von Data Principals zu verwalten
DPDPA-spezifische Einwilligungsabläufe zu unterstützen
Prüfungssichere Nachweise vorzuhalten
Regionsspezifische Datenschutzregeln anzuwenden
ConsentX ist eine Consent-Management-Plattform und nicht automatisch ein gesetzlicher Consent Manager nach dem DPDPA, nur weil es Funktionen für das Consent-Management bereitstellt.
Diese Unterscheidung ermöglicht es Unternehmen, ConsentX als Consent-Management-Ebene ihrer Organisation einzusetzen und zugleich das eigenständige Consent-Manager-Konzept des DPDPA klar abzugrenzen.
Bringen Sie das Consent-Management in die Praxis
ConsentX unterstützt Unternehmen dabei, aussagekräftige Einwilligungen einzuholen, Datenschutzentscheidungen durchzusetzen, Widerrufe zu verwalten und prüfungssichere Nachweise über Websites und digitale Dienste hinweg zu führen. Starten Sie kostenlos mit ConsentX.
Verwandte Begriffe
Indiens Rahmenwerk für die Verarbeitung digitaler personenbezogener Daten und die damit verbundenen Datenschutzrechte und -pflichten.
Die Person, auf die sich personenbezogene Daten nach dem DPDPA beziehen.
Eine Person, die über Zweck und Mittel der Verarbeitung personenbezogener Daten entscheidet.
Eine Person, die personenbezogene Daten im Auftrag eines Data Fiduciary verarbeitet.
Technologie, die Organisationen hilft, Einwilligungen und Datenschutzpräferenzen von Nutzern einzuholen, zu verwalten, durchzusetzen und zu dokumentieren.
Eine Einwilligung in die Verarbeitung personenbezogener Daten gemäß den Anforderungen des DPDPA.
Eine Aufzeichnung mit Nachweisen über die Einwilligungsentscheidung eines Nutzers und zugehörige Einwilligungsinformationen.
Rechte, die Einzelpersonen nach dem DPDPA zustehen, einschließlich der einschlägigen Rechte auf Auskunft, Berichtigung, Löschung, Beschwerdeabhilfe, Benennung und Widerruf der Einwilligung.
Ein Einwilligungsansatz, bei dem einschlägige nicht notwendige Verarbeitung oder einschlägiges Tracking so lange verhindert wird, bis die erforderliche Erlaubnis vorliegt.