Was ist ein Data Principal?
Auch bekannt als: Data Principal nach dem DPDPA, Data Principal nach dem DPDP Act, betroffene Person in Indien
Einfach gesagt: Wenn eine Organisation personenbezogene Daten über Sie erhebt oder verarbeitet, sind Sie der Data Principal.
Bei einem Kind umfasst der Begriff auch dessen Eltern oder gesetzlichen Vormund. Bei einer Person mit Behinderung umfasst er den gesetzlichen Vormund, der in ihrem Namen handelt.
Data Principals haben nach dem DPDPA Rechte und können ihre personenbezogenen Daten im Rahmen des Gesetzes kontrollieren - einschließlich Rechten auf Auskunft, Berichtigung und Löschung, Beschwerdeabhilfe und Benennung.
Was bedeutet Data Principal?
Ein Data Principal ist die Person, deren personenbezogene Daten verarbeitet werden.
Zum Beispiel:
- Eine Kundin oder ein Kunde, deren Name und E-Mail-Adresse ein Onlineshop erhebt
- Eine Person, die ein Konto auf einer SaaS-Plattform anlegt
- Eine Patientin oder ein Patient, deren digitale Daten ein Online-Gesundheitsdienst verarbeitet
- Eine beschäftigte Person, deren personenbezogene Daten digital verarbeitet werden
- Eine Website-Besucherin oder ein Besucher, deren personenbezogene Daten über ein Online-Formular erhoben werden
In jedem dieser Fälle kann die Person, auf die sich die Daten beziehen, der Data Principal sein.
Das DPDPA definiert einen Data Principal als die Person, auf die sich die personenbezogenen Daten beziehen.
Wer ist ein Data Principal nach dem DPDPA?
Ein Data Principal ist in der Regel die Person, deren personenbezogene Daten erhoben, gespeichert, genutzt, weitergegeben oder auf andere Weise verarbeitet werden.
Nehmen wir als Beispiel eine E-Commerce-Website:
Kundin oder Kunde
Data PrincipalName, Adresse, Telefonnummer und weitere personenbezogene Daten der Kundin oder des Kunden beziehen sich auf diese Person.
E-Commerce-Unternehmen
Data FiduciaryDas Unternehmen entscheidet, warum und wie die personenbezogenen Daten verarbeitet werden.
Cloud- oder Dienstleistungsanbieter
Data ProcessorDer Anbieter kann die personenbezogenen Daten im Auftrag des Data Fiduciary verarbeiten.
Diese Rollen zu verstehen ist wichtig, weil jede von ihnen nach dem DPDPA eine andere Stellung hat.
Data Principal vs. Data Fiduciary
Ein Data Principal ist die Person, um deren personenbezogene Daten es geht.
Ein Data Fiduciary ist die Person oder Organisation, die über Zweck und Mittel der Verarbeitung dieser personenbezogenen Daten entscheidet.
Zum Beispiel:
| Rolle | Beispiel |
|---|---|
| Data Principal | Eine Person, die einen Onlineshop nutzt |
| Data Fiduciary | Das Unternehmen, das die Website betreibt |
| Data Processor | Ein Cloud-Anbieter, der Daten für das Unternehmen verarbeitet |
Der Data Principal ist die Person, deren Datenschutzinteressen und -rechte geschützt werden, während der Data Fiduciary in der Regel dafür verantwortlich ist, die für die Verarbeitung geltenden Pflichten zu erfüllen.
Welche Rechte hat ein Data Principal?
Das DPDPA gewährt Data Principals Rechte in Bezug auf ihre personenbezogenen Daten.
Je nach den geltenden Bestimmungen gehören dazu:
Recht auf Auskunft
Ein Data Principal kann bestimmte Informationen über die verarbeiteten personenbezogenen Daten und die damit verbundenen Verarbeitungstätigkeiten verlangen, wie im DPDPA vorgesehen.
Das hilft Einzelpersonen zu verstehen, wie mit ihren personenbezogenen Daten umgegangen wird.
Recht auf Berichtigung und Löschung
Ein Data Principal kann die Berichtigung, Vervollständigung, Aktualisierung oder Löschung personenbezogener Daten verlangen, vorbehaltlich der geltenden Anforderungen und Ausnahmen.
Organisationen sollten Prozesse haben, um solche Anfragen entgegenzunehmen und zu beantworten.
Recht auf Beschwerdeabhilfe
Ein Data Principal hat das Recht, ein vom Data Fiduciary oder Consent Manager bereitgestelltes Verfahren zur Beschwerdeabhilfe zu nutzen.
Damit gibt es einen Weg, Bedenken zur Verarbeitung personenbezogener Daten oder zur Bearbeitung von Betroffenenanfragen vorzubringen.
Recht auf Benennung
Ein Data Principal kann in bestimmten, im DPDPA festgelegten Fällen eine andere Person benennen, die die einschlägigen Rechte ausübt.
Recht auf Widerruf der Einwilligung
Werden personenbezogene Daten auf Grundlage einer Einwilligung verarbeitet, kann ein Data Principal diese Einwilligung widerrufen.
Der Widerruf sollte so einfach sein wie die Erteilung.
Der Einwilligungsrahmen des DPDPA verlangt von Organisationen daher mehr, als einmalig ein „Ja“ einzusammeln. Sie brauchen außerdem einen praktikablen Mechanismus, um den Widerruf zu verwalten und diese Entscheidung auf die betroffene Verarbeitung anzuwenden.
Data Principal und Einwilligung
Die Einwilligung ist einer der zentralen Wege, auf denen personenbezogene Daten nach dem DPDPA verarbeitet werden dürfen.
Stützt man sich auf die Einwilligung, sollte sie die geltenden Anforderungen des Gesetzes erfüllen und unter anderem sein:
- Freiwillig
- Spezifisch
- Informiert
- Bedingungsfrei
- Eindeutig
- Durch eine klare bestätigende Handlung erteilt
Der Data Principal sollte verstehen, zu welchem Zweck die Einwilligung eingeholt wird.
Ein belastbarer Einwilligungsprozess sollte Folgendes ermöglichen:
- Informieren
- Fragen
- Erfassen
- Dokumentieren
- Durchsetzen
- Widerrufen
So wird die Entscheidung der Nutzerin oder des Nutzers mit der tatsächlichen Verarbeitung personenbezogener Daten verknüpft.
Wie kann ein Data Principal die Einwilligung widerrufen?
Beruht die Verarbeitung auf einer Einwilligung, sollte ein Data Principal Zugang zu einem wirksamen Mechanismus für deren Widerruf haben.
Ein Unternehmen sollte den Widerruf nicht unnötig schwierig oder wesentlich komplizierter machen als die Erteilung der Einwilligung.
Nach dem Widerruf sollte der Data Fiduciary die erforderlichen Schritte einleiten, um die Verarbeitung personenbezogener Daten dort zu beenden, wo dies einschlägig ist, und die Folgen des Widerrufs im Einklang mit dem DPDPA und weiteren geltenden Anforderungen handhaben.
Bei Websites und Anwendungen kann das bedeuten, Einwilligungspräferenzen zu aktualisieren und sicherzustellen, dass angebundene Systeme die geänderte Entscheidung respektieren.
Data Principal und Daten von Kindern
Das DPDPA sieht zusätzliche Schutzmaßnahmen für personenbezogene Daten von Kindern vor.
Als Kind gilt eine Person, die das 18. Lebensjahr noch nicht vollendet hat.
Für die Definition des Data Principal gilt: Ist die Person ein Kind, umfasst der Begriff dessen Eltern oder gesetzlichen Vormund.
Das DPDPA stellt außerdem besondere Anforderungen an die Verarbeitung personenbezogener Daten von Kindern, darunter Anforderungen an die Einwilligung der Eltern oder des gesetzlichen Vormunds in den einschlägigen Fällen sowie Beschränkungen für bestimmte Verarbeitungsformen.
Unternehmen, die personenbezogene Daten von Kindern verarbeiten, sollten die für ihre Dienste geltenden konkreten Anforderungen prüfen.
Data Principal und Menschen mit Behinderung
Die gesetzliche Definition des Data Principal erfasst auch Situationen, die eine Person mit Behinderung betreffen.
Soweit die Definition dies vorsieht, umfasst der Begriff den gesetzlichen Vormund dieser Person, der in ihrem Namen handelt.
Damit erkennt der Rahmen des DPDPA Situationen an, in denen Rechte an personenbezogenen Daten und einwilligungsbezogene Handlungen über eine bevollmächtigte rechtliche Vertretung ausgeübt werden müssen.
Wie kann ein Data Principal seine Rechte ausüben?
Unternehmen sollten zugängliche Verfahren bereitstellen, über die Data Principals ihre einschlägigen Rechte ausüben können.
Ein typischer Ablauf kann Folgendes umfassen:
Einreichen
Eine Anfrage über das verfügbare Datenschutz- oder Beschwerdeverfahren einreichen.
Prüfen
Die Anfrage prüfen, wo eine Überprüfung notwendig und angemessen ist.
Zuordnen
Die betroffenen personenbezogenen Daten und die Verarbeitungstätigkeit bestimmen.
Bewerten
Die Anfrage anhand der geltenden rechtlichen Anforderungen bewerten.
Handeln
Die erforderliche Maßnahme ergreifen: Informationen bereitstellen, Daten berichtigen oder löschen, soweit einschlägig.
Dokumentieren
Das Ergebnis festhalten und über den passenden Weg antworten.
Das genaue Verfahren hängt von der Art der Anfrage und den Pflichten der Organisation nach dem DPDPA ab.
Anfragen von Data Principals bei Websites und Apps
Websites und Anwendungen können personenbezogene Daten verarbeiten über:
- Kontoregistrierung
- Kontaktformulare
- Newsletter-Anmeldungen
- Käufe und Zahlungen
- Kundensupport-Systeme
- Nutzung mobiler Apps
- Cookies und Online-Kennungen
- Analyse-Tools
- Werbetechnologien
- Weitere Drittanbieterdienste
Unternehmen sollten wissen, wo diese Daten verarbeitet werden, damit sie wirksam reagieren können, wenn ein Data Principal ein einschlägiges Recht ausübt.
Eine Datenschutzanfrage lässt sich nicht wirksam bearbeiten, wenn die Organisation nicht weiß, wo die betreffenden personenbezogenen Daten gespeichert sind oder welche Systeme und Dienstleister sie verarbeiten.
Data Principal vs. betroffene Person
Der Begriff Data Principal wird in Indiens DPDPA verwendet.
Der Begriff Data Subject (betroffene Person) ist in Datenschutzrahmen wie der GDPR gebräuchlich.
Beide Begriffe bezeichnen in der Regel die Person, auf die sich die personenbezogenen Daten beziehen, gehören aber zu unterschiedlichen Rechtsrahmen.
| DPDPA | GDPR |
|---|---|
| Data Principal | Data Subject |
| Data Fiduciary | Data Controller |
| Data Processor | Data Processor |
| Consent Manager | Keine direkte Entsprechung |
International tätige Unternehmen sollten die Begriffe und Anforderungen verwenden, die für den jeweiligen Datenschutzrahmen gelten.
Data Principal und Consent Manager
Das DPDPA definiert einen Consent Manager als registrierte Person, die als zentrale Anlaufstelle dient, damit ein Data Principal über eine zugängliche, transparente und interoperable Plattform Einwilligungen erteilen, verwalten, einsehen und widerrufen kann.
Dieses Modell soll Data Principals mehr Kontrolle über ihre Einwilligungsentscheidungen geben.
Unternehmen sollten das gesetzliche Konzept des Consent Manager von allgemeiner Consent-Management-Software oder einem Cookie-Einwilligungsbanner unterscheiden.
Warum ist der Data Principal wichtig?
Der Data Principal steht im Zentrum des individuellen Datenschutzrahmens des DPDPA.
Das Konzept verbindet mehrere zentrale Pflichten:
- Hinweise zu personenbezogenen Daten
- Einwilligung
- Widerruf der Einwilligung
- Auskunft
- Berichtigung und Löschung
- Beschwerdeabhilfe
- Benennung
- Schutz von Kinderdaten
- Consent-Management
Für Organisationen hilft die Bestimmung des Data Principal zu klären, wessen Daten verarbeitet werden und wessen Rechte und Entscheidungen zu respektieren sind.
Data-Principal-Checkliste für Unternehmen
Unternehmen, die personenbezogene Daten verarbeiten, sollten prüfen, ob sie Folgendes können:
- Die betreffenden Data Principals bestimmen
- Klare Datenschutz- und Einwilligungshinweise bereitstellen
- Die einschlägigen Verarbeitungszwecke erläutern
- Eine wirksame Einwilligung einholen, wo sie erforderlich ist
- Einwilligungsentscheidungen dokumentieren
- Den Widerruf der Einwilligung unterstützen
- Die betreffenden personenbezogenen Daten auffinden
- Daten berichtigen oder aktualisieren, wo dies erforderlich ist
- Daten löschen, wo dies einschlägig ist
- Verfahren zur Beschwerdeabhilfe bereitstellen
- Personenbezogene Daten von Kindern angemessen behandeln
- Anfragen über einschlägige Vertretungen bearbeiten
- Aufzeichnungen über Anfragen und Antworten führen
- Sicherstellen, dass angebundene Systeme aktualisierte Datenschutzentscheidungen respektieren
Rechte der Data Principals in ConsentX
ConsentX unterstützt Unternehmen dabei, Einwilligungen und Datenschutzentscheidungen auf Websites und in Anwendungen operativ umzusetzen.
ConsentX kann Abläufe unterstützen wie:
Zweckbezogene Einwilligungserfassung
Klare Einwilligungshinweise
Dokumentation von Einwilligungsentscheidungen
Manipulationssichere Consent Receipts
Einsicht in und Widerruf der Einwilligung
Erkennung von Cookies und Trackern
Prior Blocking betroffener nicht notwendiger Tracker
Workflows für Anfragen von Data Principals
Altersprüfung und elterliche Einwilligung
Prüfungssichere Nachweise
So gelangen Organisationen von einer statischen Datenschutzerklärung zu technischen Systemen, die Datenschutzentscheidungen erfassen, verwalten und nachweisen können.
Bringen Sie die Rechte der Data Principals in die Praxis
ConsentX unterstützt Unternehmen dabei, belastbare Einwilligungen einzuholen, Datenschutzpräferenzen zu verwalten, den Widerruf zu unterstützen und Nachweise über die Entscheidungen der Data Principals zu führen. Starten Sie kostenlos mit ConsentX.
Verwandte Begriffe
Ein Data Fiduciary ist die Person oder Organisation, die über Zweck und Mittel der Verarbeitung personenbezogener Daten entscheidet.
Ein Data Processor verarbeitet personenbezogene Daten im Auftrag eines Data Fiduciary.
Indiens Datenschutzrahmen für die einschlägige Verarbeitung digitaler personenbezogener Daten.
Eine registrierte Plattform, über die ein Data Principal Einwilligungen erteilen, verwalten, einsehen und widerrufen kann.
Software, die Organisationen hilft, Datenschutz- und Einwilligungsentscheidungen zu erfassen, zu verwalten, durchzusetzen und zu dokumentieren.
Ein Consent Receipt ist der Nachweis einer Einwilligungsentscheidung und der zugehörigen Angaben.
Rechte, die Einzelpersonen nach dem DPDPA zustehen, einschließlich der einschlägigen Rechte auf Auskunft, Berichtigung, Löschung, Beschwerdeabhilfe und Benennung.
Die Cookie-Einwilligung hilft Websites, die Erlaubnis der Nutzer für einschlägige Cookies und Tracking-Technologien einzuholen und zu verwalten.
Prior Blocking ist der technische Vorgang, der betroffene nicht notwendige Tracker inaktiv hält, bis die erforderliche Einwilligung vorliegt.