Was ist ein Data Fiduciary nach Indiens DPDPA?
Erfahren Sie, wer nach Indiens DPDPA als Data Fiduciary gilt und was das für Ihr Unternehmen bedeutet.
Einfach gesagt entscheidet der Data Fiduciary, warum personenbezogene Daten erhoben oder verarbeitet werden und wie diese Verarbeitung erfolgt.
Ein Data Fiduciary ist dafür verantwortlich, die geltenden Pflichten des DPDPA zu erfüllen: angemessen zu informieren, dort wo erforderlich eine wirksame Einwilligung einzuholen, personenbezogene Daten zu schützen, auf Anfragen von Data Principals zu reagieren, Verletzungen des Schutzes personenbezogener Daten zu bearbeiten und die Einhaltung nachzuweisen.
Das Konzept ist grob mit dem Verantwortlichen nach der GDPR vergleichbar, auch wenn DPDPA und GDPR unterschiedliche Rechtsrahmen und Begriffe verwenden.
Warum die Rolle des Data Fiduciary für Datenschutz- und Compliance-Risiken zählt
Weil ein Data Fiduciary entscheidet, warum personenbezogene Daten erhoben werden und wie sie verarbeitet werden, trägt er auch die Verantwortung dafür, wie diese Daten erhoben, genutzt, geschützt und verwaltet werden.
Die Rolle richtig zu bestimmen, ist eine praktische Frage und keine Formalie: Davon hängt ab, welche Pflichten gelten, wer für sie einstehen muss und was ein Unternehmen nachweisen können muss. Wird sie falsch eingeordnet, entstehen Risiken in Bereichen wie:
- Unsachgemäßer Umgang mit personenbezogenen Daten
- Nichterfüllung von Pflichten nach dem DPDPA
- Schwache Einwilligungs- und Datenschutzprozesse
- Fehlende Nachweisbarkeit der Compliance
- Mögliche aufsichtsrechtliche Folgen
- Verlust des Vertrauens von Kunden und Nutzern
Diese Risiken verstärken sich gegenseitig. Schwache Einwilligungs- und Informationsprozesse erschweren die Erfüllung der zugrunde liegenden Pflichten, und fehlende Aufzeichnungen erschweren den Nachweis der Compliance, wenn ein Data Principal oder eine Aufsichtsbehörde nachfragt.
Was bedeutet Data Fiduciary?
Ein Data Fiduciary ist die Organisation oder Person, die über Zweck und Mittel der Verarbeitung personenbezogener Daten entscheidet.
Erhebt ein E-Commerce-Unternehmen zum Beispiel Name, E-Mail-Adresse, Telefonnummer und Lieferadresse einer Kundin oder eines Kunden, um eine Bestellung zu bearbeiten, kann das Unternehmen der Data Fiduciary sein, weil es bestimmt, warum und wie diese Informationen verarbeitet werden.
Der Begriff ist wichtig, weil sich die Verantwortung nach dem DPDPA nicht allein danach richtet, wer die Daten physisch speichert oder verarbeitet. Die Organisation, die über Zweck und Mittel der Verarbeitung entscheidet, kann die Pflichten eines Data Fiduciary tragen.
Wer ist ein Data Fiduciary?
Ein Data Fiduciary kann ein Unternehmen, eine Organisation, eine natürliche Person, eine staatliche Stelle oder eine andere Person sein, die im Anwendungsbereich des DPDPA über Zweck und Mittel der Verarbeitung personenbezogener Daten entscheidet.
Beispiele können sein:
- E-Commerce-Unternehmen
- SaaS-Unternehmen
- Banken und Finanzdienstleister
- Gesundheitsplattformen
- Bildungsplattformen
- Mobile Anwendungen
- Online-Marktplätze
- Technologieunternehmen
- Werbe- und Marketingunternehmen
- Arbeitgeber, die Beschäftigtendaten verarbeiten
- Behörden und öffentliche Stellen
Ob eine bestimmte Organisation ein Data Fiduciary ist, hängt von der Verarbeitungstätigkeit und der Rolle ab, die sie dabei einnimmt.
Welche Pflichten hat ein Data Fiduciary?
Das DPDPA legt Data Fiduciaries mehrere Pflichten auf.
Je nach geltenden Anforderungen muss ein Data Fiduciary möglicherweise:
- Data Principals angemessen informieren
- Eine wirksame Einwilligung einholen, wo eine Einwilligung erforderlich ist
- Personenbezogene Daten zu rechtmäßigen und festgelegten Zwecken verarbeiten
- Den Widerruf der Einwilligung respektieren
- Angemessene Sicherheitsmaßnahmen umsetzen
- Geeignete Maßnahmen zur Vermeidung von Datenpannen treffen
- Verletzungen melden, soweit das geltende Recht dies verlangt
- Auf Anfragen zu den Rechten von Data Principals reagieren
- Mechanismen zur Beschwerdeabhilfe bereitstellen
- Angemessene Aufzeichnungen und Nachweise führen
- Anforderungen an personenbezogene Daten von Kindern einhalten
- Zusätzliche Pflichten erfüllen, wenn sie als Significant Data Fiduciary benannt werden
Das DPDPA verlangt außerdem, dass Data Fiduciaries für Verarbeitungen verantwortlich bleiben, die Data Processors in ihrem Auftrag durchführen.
Werden diese Pflichten nicht erfüllt, entstehen für das Unternehmen Compliance- und aufsichtsrechtliche Risiken, und es wird schwerer nachzuweisen, dass die Verarbeitung rechtmäßig war, wenn ein Data Principal oder das Data Protection Board nachfragt.
Data Fiduciary vs. Data Processor
Ein Data Fiduciary entscheidet, warum und wie personenbezogene Daten verarbeitet werden.
Ein Data Processor verarbeitet personenbezogene Daten im Auftrag eines Data Fiduciary.
Zum Beispiel:
E-Commerce-Unternehmen
Data FiduciaryDas Unternehmen entscheidet, warum Kundeninformationen erhoben werden und wie sie zur Erbringung seiner Leistungen genutzt werden.
Cloud-Hosting-Anbieter
Data ProcessorDer Anbieter kann die Kundeninformationen des Unternehmens in dessen Auftrag speichern oder verarbeiten.
Die Unterscheidung ist wichtig, weil die Organisation, die über Zweck und Mittel der Verarbeitung entscheidet, in der Regel für die Erfüllung ihrer Pflichten als Data Fiduciary verantwortlich bleibt.
Data Fiduciary vs. Verantwortlicher
Der Begriff Data Fiduciary nach dem DPDPA ist weitgehend mit dem Begriff Data Controller nach der GDPR vergleichbar.
Beide Konzepte bezeichnen in der Regel die Partei, die über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.
Es handelt sich jedoch nicht um austauschbare Rechtsbegriffe.
| DPDPA | GDPR |
|---|---|
| Data Fiduciary | Data Controller |
| Data Principal | Data Subject |
| Data Processor | Data Processor |
| Consent Manager | Keine direkte Entsprechung |
International tätige Unternehmen sollten daher jeden Rechtsraum gesondert prüfen, statt anzunehmen, dass die Einhaltung der GDPR automatisch die Anforderungen des DPDPA erfüllt.
Was ist ein Significant Data Fiduciary?
Nach Section 10 des DPDPA ist ein Significant Data Fiduciary (SDF) ein Data Fiduciary, der von der Zentralregierung als bedeutend eingestuft werden kann, und zwar anhand von Faktoren wie Umfang und Sensibilität der verarbeiteten personenbezogenen Daten, Risiko für die Rechte der Data Principals, möglichen Auswirkungen auf Souveränität und Integrität Indiens, Risiko für die demokratische Wahl, Sicherheit des Staates oder öffentliche Ordnung.
Significant Data Fiduciaries haben zusätzliche Compliance-Pflichten.
Dazu können Anforderungen gehören, die Folgendes betreffen:
- Die Bestellung eines Datenschutzbeauftragten
- Die Bestellung eines unabhängigen Datenauditors
- Regelmäßige Audits
- Datenschutz-Folgenabschätzungen
- Zusätzliche Compliance- und Governance-Maßnahmen
Organisationen sollten prüfen, ob sie unter eine tatsächlich benannte Kategorie fallen, statt anzunehmen, dass allein die Größe eine Organisation zum SDF macht.
Data Fiduciary und Einwilligung
Die Einwilligung ist ein wichtiger Teil der DPDPA-Compliance.
Stützt sich die Verarbeitung auf die Einwilligung, verlangt das DPDPA, dass sie freiwillig, spezifisch, informiert, bedingungsfrei und eindeutig ist und durch eine klare bestätigende Handlung erfolgt.
Der Data Fiduciary sollte es dem Data Principal außerdem ermöglichen, die Einwilligung zu widerrufen.
Der Widerruf sollte so einfach sein wie die Erteilung.
Ein Data Fiduciary braucht also mehr als eine Datenschutzerklärung. Er braucht einen Einwilligungsprozess, der den Zweck der Verarbeitung vermitteln, die Entscheidung der Nutzer erfassen, sie durchsetzen und den Widerruf unterstützen kann.
Data Fiduciary und Datenschutzhinweise
Ein Data Fiduciary sollte angemessen darüber informieren, welche personenbezogenen Daten verarbeitet werden und zu welchem Zweck.
Bei digitalen Diensten kann das Einwilligungshinweise, Datenschutzhinweise, Cookie-Hinweise, Anwendungsoberflächen, Registrierungsformulare und andere nutzerseitige Angaben umfassen.
Ziel ist es, Data Principals genügend Informationen zu geben, um zu verstehen, welche personenbezogenen Daten warum verarbeitet werden.
Klare, zweckbezogene Hinweise erleichtern es außerdem, Einwilligungsnachweise mit den Verarbeitungstätigkeiten zu verknüpfen, auf die sie sich beziehen.
Data Fiduciary und Daten von Kindern
Das DPDPA sieht zusätzliche Schutzmaßnahmen für personenbezogene Daten von Kindern vor.
Als Kind gilt nach dem Gesetz eine Person, die das 18. Lebensjahr noch nicht vollendet hat.
Section 9 verpflichtet einen Data Fiduciary, vor der Verarbeitung personenbezogener Daten eines Kindes eine überprüfbare Einwilligung eines Elternteils oder gesetzlichen Vormunds einzuholen, vorbehaltlich der geltenden Bestimmungen und Ausnahmen.
Das Gesetz beschränkt außerdem Verarbeitungen, die sich nachteilig auf das Wohl eines Kindes auswirken können, und verbietet Tracking, Verhaltensbeobachtung und zielgerichtete Werbung gegenüber Kindern, vorbehaltlich der geltenden Bestimmungen.
Für Dienste, die von Kindern genutzt werden könnten, sollten Data Fiduciaries daher Altersprüfung, elterliche Einwilligung und technische Kontrollen gegen unzulässige Verarbeitung berücksichtigen.
Data Fiduciary und die Rechte der Data Principals
Data Principals haben nach dem DPDPA Rechte, und Data Fiduciaries brauchen Prozesse, um einschlägige Anfragen zu bearbeiten.
Zu diesen Rechten gehören:
- Auskunft über personenbezogene Daten und deren Verarbeitung
- Berichtigung und Löschung personenbezogener Daten
- Beschwerdeabhilfe
- Benennung einer anderen Person in den vorgesehenen Fällen
- Widerruf der Einwilligung, wenn die Verarbeitung darauf beruht
Ein Data Fiduciary sollte einen klaren Prozess haben, um einschlägige Anfragen entgegenzunehmen, zu prüfen, nachzuverfolgen und zu beantworten.
Data Fiduciary und Data Processors
Ein Data Fiduciary kann Data Processors einsetzen, um Leistungen mit Bezug zu personenbezogenen Daten zu erbringen.
Beispiele sind:
- Cloud-Dienstleister
- E-Mail-Anbieter
- Zahlungsdienstleister
- Plattformen für den Kundensupport
- CRM-Systeme
- Analyse-Anbieter
- Hosting-Anbieter
- Anbieter von Marketing-Technologie
Der Einsatz eines Data Processor nimmt dem Data Fiduciary nicht die Verantwortung dafür, dass die Verarbeitung personenbezogener Daten angemessen gesteuert wird.
Data Fiduciaries sollten daher wissen, welche Daten mit Auftragsverarbeitern geteilt werden, warum sie geteilt werden, wie sie geschützt sind und welche vertraglichen und operativen Kontrollen gelten.
Data Fiduciary und Verletzungen des Schutzes personenbezogener Daten
Von Data Fiduciaries wird erwartet, dass sie angemessene Sicherheitsmaßnahmen zum Schutz personenbezogener Daten umsetzen.
Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, begründen Section 8 des DPDPA und die anwendbaren Rules Anforderungen an Benachrichtigungen über die Verletzung und damit verbundene Maßnahmen.
Organisationen sollten daher einen Incident-Response-Prozess haben, der Datenpannen erkennen, bewerten, dokumentieren und darauf reagieren kann.
Sicherheit sollte als laufende operative Verantwortung behandelt werden, nicht als einmalige Compliance-Übung.
Compliance-Checkliste für Data Fiduciaries
Ein Data Fiduciary, der sich auf die DPDPA-Compliance vorbereitet, sollte Folgendes berücksichtigen:
- Die erhobenen und verarbeiteten personenbezogenen Daten erfassen
- Die Zwecke jeder Verarbeitungstätigkeit bestimmen
- Data Processors und Dritte identifizieren
- Datenschutzhinweise überprüfen
- Einwilligungsmechanismen überprüfen
- Sicherstellen, dass die Einwilligung zweckbezogen ist, wo dies erforderlich ist
- Den Widerruf der Einwilligung leicht zugänglich machen
- Angemessene Einwilligungsnachweise vorhalten
- Angemessene Sicherheitsmaßnahmen umsetzen
- Verfahren für die Reaktion auf Datenpannen festlegen
- Workflows für Anfragen von Data Principals aufbauen
- Die Verarbeitung von Kinderdaten überprüfen
- Prüfen, ob SDF-Pflichten greifen
- Aufbewahrungs- und Löschpraktiken überprüfen
- Tracking-Technologien Dritter regelmäßig überprüfen
- DPDPA Rules und einschlägige Bekanntmachungen verfolgen
Data Fiduciary und Cookie-Einwilligung
Websites können als Data Fiduciary auftreten, wenn sie über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheiden, die über Online-Formulare, Konten, Cookies, Analytics, Werbetechnologien oder andere Tracking-Mechanismen erhoben werden.
Deshalb kann die Verwaltung von Cookies und Trackern Teil eines umfassenderen DPDPA-Compliance-Programms sein.
Eine Website sollte wissen:
- Welche Daten erhoben werden
- Warum sie erhoben werden
- Wer sie erhält
- Welche Einwilligung erforderlich ist
- Wie die Entscheidung der Nutzer durchgesetzt wird
Ein Cookie-Einwilligungsbanner allein deckt nicht zwangsläufig alle diese Anforderungen ab.
Wie ConsentX Data Fiduciaries unterstützt
ConsentX ist dafür da, Data Fiduciaries über reine Richtliniendokumente hinauszubringen und die DPDPA-Compliance tatsächlich operativ umzusetzen – rechtliche Pflichten werden zu Einwilligungsabläufen, Nachweisen und Kontrollen, die in der Praxis funktionieren und nicht nur auf dem Papier.
ConsentX hilft Unternehmen dabei:
Zweckbezogene Einwilligungsdialoge zu gestalten
Klare Einwilligungshinweise bereitzustellen
Eine bestätigende Einwilligung einzuholen
Einwilligungsentscheidungen zu dokumentieren
Consent Receipts zu erzeugen
Den Widerruf der Einwilligung zu unterstützen
Betroffene Tracker vor der Einwilligung zu blockieren
Websites nach Cookies und Tracking-Technologien zu durchsuchen
Anfragen von Data Principals zu verwalten
Altersprüfung und elterliche Einwilligung zu unterstützen
Prüfungssichere Einwilligungsnachweise vorzuhalten
Regionsspezifische Datenschutzregeln anzuwenden
So werden die Pflichten eines Data Fiduciary zu durchsetzbaren technischen und operativen Kontrollen, statt allein auf Dokumentation zu beruhen.
Bringen Sie die Data-Fiduciary-Compliance in die Praxis
ConsentX unterstützt Data Fiduciaries dabei, DPDPA-Anforderungen in durchsetzbare und belegbare Datenschutzkontrollen zu überführen. Starten Sie kostenlos mit ConsentX.
Verwandte Begriffe
Nach dem DPDPA ist ein Data Principal die Person, auf die sich die personenbezogenen Daten beziehen.
Ein Data Processor ist eine Person, die personenbezogene Daten im Auftrag eines Data Fiduciary verarbeitet.
Ein Significant Data Fiduciary ist ein von der Zentralregierung als bedeutend eingestufter Data Fiduciary mit zusätzlichen Pflichten.
Indiens zentrales Rahmenwerk für die Verarbeitung und den Schutz digitaler personenbezogener Daten.
Eine registrierte, interoperable Plattform, über die ein Data Principal Einwilligungen erteilen, verwalten, einsehen und widerrufen kann.
Eine von einem Significant Data Fiduciary bestellte Person, die die im DPDPA-Rahmenwerk vorgesehenen Aufgaben wahrnimmt.
Rechte, die das DPDPA Einzelpersonen gewährt, einschließlich der einschlägigen Rechte auf Auskunft, Berichtigung, Löschung, Beschwerdeabhilfe und Widerruf der Einwilligung.
Eine Technologieplattform, mit der Einwilligungen und Datenschutzpräferenzen erfasst, verwaltet, durchgesetzt und dokumentiert werden.