Was ist ein Data Principal nach Indiens DPDPA?
Erfahren Sie, wer nach Indiens DPDPA als Data Principal gilt, welche Rechte er hat, wie der Widerruf der Einwilligung funktioniert und wie sich der Begriff vom Data Subject der GDPR unterscheidet.
Einfach gesagt: Wenn eine Organisation personenbezogene Daten über Sie erhebt oder verarbeitet, sind Sie der Data Principal.
Das DPDPA ist Indiens allgemeines Datenschutzgesetz. Es regelt, wie Organisationen mit digitalen personenbezogenen Daten umgehen, und der Data Principal ist die Person, zu deren Schutz diese Pflichten bestehen.
Wenn Sie zum Beispiel in einem Onlineshop ein Konto anlegen und Ihren Namen, Ihre E-Mail-Adresse und Ihre Lieferadresse eingeben, sind Sie der Data Principal, und der Shop ist der Data Fiduciary, der entscheidet, warum und wie diese Angaben verwendet werden.
Bei einem Kind umfasst der Begriff auch dessen Eltern oder gesetzlichen Vormund. Bei einer Person mit Behinderung umfasst er den gesetzlichen Vormund, der in ihrem Namen handelt.
Data Principals haben nach dem DPDPA Rechte und können ihre personenbezogenen Daten im Rahmen des Gesetzes kontrollieren - einschließlich Rechten auf Auskunft, Berichtigung und Löschung, Beschwerdeabhilfe und Benennung.
Was bedeutet Data Principal?
Ein Data Principal ist die Person, deren personenbezogene Daten verarbeitet werden.
Zum Beispiel:
- Eine Kundin oder ein Kunde, deren Name und E-Mail-Adresse ein Onlineshop erhebt
- Eine Person, die ein Konto auf einer SaaS-Plattform anlegt
- Eine Patientin oder ein Patient, deren digitale Daten ein Online-Gesundheitsdienst verarbeitet
- Eine beschäftigte Person, deren personenbezogene Daten digital verarbeitet werden
- Eine Website-Besucherin oder ein Besucher, deren personenbezogene Daten über ein Online-Formular erhoben werden
In jedem dieser Fälle kann die Person, auf die sich die Daten beziehen, der Data Principal sein.
Wer ist ein Data Principal nach dem DPDPA?
Ein Data Principal ist in der Regel die Person, deren personenbezogene Daten erhoben, gespeichert, genutzt, weitergegeben oder auf andere Weise verarbeitet werden.
Nehmen wir als Beispiel eine E-Commerce-Website:
Kunde
Data PrincipalName, Adresse, Telefonnummer und weitere personenbezogene Daten der Kundin oder des Kunden beziehen sich auf diese Person.
Unternehmen
Data FiduciaryDas Unternehmen entscheidet, warum und wie die personenbezogenen Daten verarbeitet werden.
Dienstleister
Data ProcessorDer Anbieter kann die personenbezogenen Daten im Auftrag des Data Fiduciary verarbeiten.
Diese Rollen zu verstehen ist wichtig, weil jede von ihnen nach dem DPDPA eine andere Stellung hat.
Data Principal vs. Data Fiduciary
Ein Data Principal ist die Person, um deren personenbezogene Daten es geht.
Ein Data Fiduciary ist die Person oder Organisation, die über Zweck und Mittel der Verarbeitung dieser personenbezogenen Daten entscheidet.
Anfragen zu Rechten richten sich an den Data Fiduciary, der für die Verarbeitung durch seine Data Processors verantwortlich bleibt.
Zum Beispiel:
| Rolle | Beispiel |
|---|---|
| Data Principal | Eine Person, die einen Onlineshop nutzt |
| Data Fiduciary | Das Unternehmen, das die Website betreibt |
| Data Processor | Ein Cloud-Anbieter, der Daten für das Unternehmen verarbeitet |
Der Data Principal ist die Person, deren Datenschutzinteressen und -rechte geschützt werden, während der Data Fiduciary in der Regel dafür verantwortlich ist, die für die Verarbeitung geltenden Pflichten zu erfüllen.
Warum der Datenschutz des Data Principal nach dem DPDPA zählt
Hinter jedem Datensatz, den eine Organisation führt, steht ein Mensch. Der Data Principal ist dieser Mensch, und wie seine Daten erhoben, genutzt und weitergegeben werden, macht seine Privatsphäre aus.
Zu wissen, wer der Data Principal ist und was ihm zusteht, verändert den täglichen Umgang eines Unternehmens mit personenbezogenen Daten. Das unterstützt:
- Kontrolle der Einzelnen über ihre personenbezogenen Daten
- Transparenz darüber, was erhoben wird und warum
- Zweckgebundene, verantwortungsvolle Verarbeitung
- Echte Wahlmöglichkeiten statt bloßer Formalitäten
- Klare Wege, damit Menschen ihre Rechte wahrnehmen können
- Eine praktikable Grundlage für die DPDPA-Compliance
So gehandhabt lässt sich Datenschutz Data Principals leichter erklären und leichter nachweisen, denn dieselben Prozesse, die die Entscheidungen der Menschen respektieren, halten sie auch fest.
Rechtsgrundlage: Was der DPDP Act sagt
Section 2(j) des Digital Personal Data Protection Act, 2023 definiert einen Data Principal als die Person, auf die sich die personenbezogenen Daten beziehen. Ist diese Person ein Kind, umfasst der Begriff auch Eltern oder gesetzlichen Vormund; bei einer Person mit Behinderung umfasst er den gesetzlichen Vormund, der in ihrem Namen handelt.
Die Rechte der Data Principals regeln die Sections 11 bis 14 – Auskunft, Berichtigung und Löschung, Beschwerdeabhilfe und Benennung einer Vertrauensperson –, und Section 6 erlaubt es, eine Einwilligung so einfach zu widerrufen, wie sie erteilt wurde.
Das DPDPA legt in Section 15 außerdem Pflichten für Data Principals fest. So darf ein Data Principal sich nicht als eine andere Person ausgeben, bei der Angabe personenbezogener Daten für ein amtliches Dokument keine wesentlichen Informationen verschweigen und keine falschen oder mutwilligen Beschwerden einreichen; bei Anträgen auf Berichtigung oder Löschung soll er nur nachweislich zutreffende Angaben machen.
Die Pflichten, die diese Rechte wirksam machen, liegen beim Data Fiduciary, und das Data Protection Board of India kann Verstößen gegen das Gesetz nachgehen.
Rechte eines Data Principal
Das DPDPA gewährt Data Principals Rechte in Bezug auf ihre personenbezogenen Daten.
Je nach den geltenden Bestimmungen gehören dazu:
Recht auf Auskunft
Ein Data Principal kann bestimmte Informationen über die verarbeiteten personenbezogenen Daten und die damit verbundenen Verarbeitungstätigkeiten verlangen, wie im DPDPA vorgesehen.
Das hilft Einzelpersonen zu verstehen, wie mit ihren personenbezogenen Daten umgegangen wird.
Recht auf Berichtigung und Löschung
Ein Data Principal kann die Berichtigung, Vervollständigung, Aktualisierung oder Löschung personenbezogener Daten verlangen, vorbehaltlich der geltenden Anforderungen und Ausnahmen.
Organisationen sollten Prozesse haben, um solche Anfragen entgegenzunehmen und zu beantworten.
Recht auf Beschwerdeabhilfe
Ein Data Principal hat das Recht, ein vom Data Fiduciary oder Consent Manager bereitgestelltes Verfahren zur Beschwerdeabhilfe zu nutzen.
Damit gibt es einen Weg, Bedenken zur Verarbeitung personenbezogener Daten oder zur Bearbeitung von Betroffenenanfragen vorzubringen.
Recht auf Benennung
Ein Data Principal kann in bestimmten, im DPDPA festgelegten Fällen eine andere Person benennen, die die einschlägigen Rechte ausübt.
Recht auf Widerruf der Einwilligung
Werden personenbezogene Daten auf Grundlage einer Einwilligung verarbeitet, kann ein Data Principal diese Einwilligung widerrufen.
Der Widerruf sollte so einfach sein wie die Erteilung.
Einwilligung und wie man sie widerruft
Die Einwilligung ist einer der zentralen Wege, auf denen personenbezogene Daten nach dem DPDPA verarbeitet werden dürfen.
Stützt man sich auf die Einwilligung, sollte sie die geltenden Anforderungen des Gesetzes erfüllen und unter anderem sein:
- Freiwillig
- Spezifisch
- Informiert
- Bedingungsfrei
- Eindeutig
- Durch eine klare bestätigende Handlung erteilt
Der Data Principal sollte verstehen, zu welchem Zweck die Einwilligung eingeholt wird.
Ein belastbarer Einwilligungsprozess sollte Folgendes ermöglichen:
- Informieren
- Fragen
- Erfassen
- Dokumentieren
- Durchsetzen
- Widerrufen
So wird die Entscheidung der Nutzerin oder des Nutzers mit der tatsächlichen Verarbeitung personenbezogener Daten verknüpft.
Wie kann ein Data Principal die Einwilligung widerrufen?
Beruht die Verarbeitung auf einer Einwilligung, sollte ein Data Principal Zugang zu einem wirksamen Mechanismus für deren Widerruf haben.
Ein Unternehmen sollte den Widerruf nicht unnötig schwierig oder wesentlich komplizierter machen als die Erteilung der Einwilligung.
Nach dem Widerruf sollte der Data Fiduciary die erforderlichen Schritte einleiten, um die Verarbeitung personenbezogener Daten dort zu beenden, wo dies einschlägig ist, und die Folgen des Widerrufs im Einklang mit dem DPDPA und weiteren geltenden Anforderungen handhaben.
Bei Websites und Anwendungen kann der Widerruf der Einwilligung bedeuten, Einwilligungspräferenzen zu aktualisieren und sicherzustellen, dass angebundene Systeme die geänderte Entscheidung respektieren.
Kinder und Menschen mit Behinderungen
Data Principal und Daten von Kindern
Das DPDPA sieht zusätzliche Schutzmaßnahmen für personenbezogene Daten von Kindern vor.
Als Kind gilt eine Person, die das 18. Lebensjahr noch nicht vollendet hat.
Das DPDPA stellt außerdem besondere Anforderungen an die Verarbeitung personenbezogener Daten von Kindern, darunter Anforderungen an die Einwilligung der Eltern oder des gesetzlichen Vormunds in den einschlägigen Fällen sowie Beschränkungen für bestimmte Verarbeitungsformen.
Unternehmen, die personenbezogene Daten von Kindern verarbeiten, sollten die für ihre Dienste geltenden konkreten Anforderungen prüfen.
Data Principal und Menschen mit Behinderung
Die gesetzliche Definition des Data Principal erfasst auch Situationen, die eine Person mit Behinderung betreffen.
Damit erkennt der Rahmen des DPDPA Situationen an, in denen Rechte an personenbezogenen Daten und einwilligungsbezogene Handlungen über eine bevollmächtigte rechtliche Vertretung ausgeübt werden müssen.
Wie ein Data Principal seine Rechte ausübt
Unternehmen sollten zugängliche Verfahren bereitstellen, über die Data Principals ihre einschlägigen Rechte ausüben können.
Ein typischer Ablauf kann Folgendes umfassen:
Einreichen
Eine Anfrage über das verfügbare Datenschutz- oder Beschwerdeverfahren einreichen.
Prüfen
Die Anfrage prüfen, wo eine Überprüfung notwendig und angemessen ist.
Zuordnen
Die betroffenen personenbezogenen Daten und die Verarbeitungstätigkeit bestimmen.
Bewerten
Die Anfrage anhand der geltenden rechtlichen Anforderungen bewerten.
Handeln
Die erforderliche Maßnahme ergreifen: Informationen bereitstellen, Daten berichtigen oder löschen, soweit einschlägig.
Dokumentieren
Das Ergebnis festhalten und über den passenden Weg antworten.
Das genaue Verfahren hängt von der Art der Anfrage und den Pflichten der Organisation nach dem DPDPA ab.
Data Principal vs. Data Subject und der Consent Manager
Der Begriff Data Principal wird in Indiens DPDPA verwendet.
Der Begriff Data Subject (betroffene Person) ist in Datenschutzrahmen wie der GDPR gebräuchlich.
Beide Begriffe bezeichnen in der Regel die Person, auf die sich die personenbezogenen Daten beziehen, gehören aber zu unterschiedlichen Rechtsrahmen.
| DPDPA | GDPR |
|---|---|
| Data Principal | Data Subject |
| Data Fiduciary | Data Controller |
| Data Processor | Data Processor |
| Consent Manager | Keine direkte Entsprechung |
International tätige Unternehmen sollten die Begriffe und Anforderungen verwenden, die für den jeweiligen Datenschutzrahmen gelten.
Data Principal und Consent Manager
Das DPDPA definiert einen Consent Manager als registrierte Person, die als zentrale Anlaufstelle dient, damit ein Data Principal über eine zugängliche, transparente und interoperable Plattform Einwilligungen erteilen, verwalten, einsehen und widerrufen kann.
Dieses Modell soll Data Principals mehr Kontrolle über ihre Einwilligungsentscheidungen geben.
Unternehmen sollten das gesetzliche Konzept des Consent Manager von allgemeiner Consent-Management-Software oder einem Cookie-Einwilligungsbanner unterscheiden.
Compliance-Checkliste für Unternehmen
Websites und Anwendungen können personenbezogene Daten verarbeiten über:
- Kontoregistrierung
- Kontaktformulare
- Newsletter-Anmeldungen
- Käufe und Zahlungen
- Kundensupport-Systeme
- Nutzung mobiler Apps
- Cookies und Online-Kennungen
- Analyse-Tools
- Werbetechnologien
- Weitere Drittanbieterdienste
Unternehmen sollten wissen, wo diese Daten verarbeitet werden, damit sie wirksam reagieren können, wenn ein Data Principal ein einschlägiges Recht ausübt.
Eine Datenschutzanfrage lässt sich nicht wirksam bearbeiten, wenn die Organisation nicht weiß, wo die betreffenden personenbezogenen Daten gespeichert sind oder welche Systeme und Dienstleister sie verarbeiten.
Unternehmen, die personenbezogene Daten verarbeiten, sollten prüfen, ob sie Folgendes können:
- Die betreffenden Data Principals bestimmen
- Klare Datenschutz- und Einwilligungshinweise bereitstellen
- Die einschlägigen Verarbeitungszwecke erläutern
- Eine wirksame Einwilligung einholen, wo sie erforderlich ist
- Einwilligungsentscheidungen dokumentieren
- Den Widerruf der Einwilligung unterstützen
- Die betreffenden personenbezogenen Daten auffinden
- Daten berichtigen oder aktualisieren, wo dies erforderlich ist
- Daten löschen, wo dies einschlägig ist
- Verfahren zur Beschwerdeabhilfe bereitstellen
- Personenbezogene Daten von Kindern angemessen behandeln
- Anfragen über einschlägige Vertretungen bearbeiten
- Aufzeichnungen über Anfragen und Antworten führen
- Sicherstellen, dass angebundene Systeme aktualisierte Datenschutzentscheidungen respektieren
So hilft ConsentX Ihnen, die Rechte der Data Principals zu achten
ConsentX gibt jedem Data Principal einen klaren Weg, Einwilligungen zu erteilen, zu überprüfen und zu widerrufen, und Ihrem Team einen Nachweis, den es bei einem Audit vorlegen kann.
Zweckbezogene Einwilligung
Holen Sie für jeden Zweck eine eigene Einwilligung ein.
Klare Hinweise
Zeigen Sie verständliche Hinweise, bevor Daten erhoben werden.
Einwilligungsbelege
Speichern Sie einen manipulationssicheren Nachweis jeder Entscheidung.
Widerruf
Nutzer ändern ihre Entscheidung so einfach, wie sie sie getroffen haben.
Cookie-Erkennung und vorheriges Blockieren
Tracker finden und nicht notwendige deaktiviert lassen, bis der Nutzer zustimmt.
Workflows für Betroffenenanfragen
Anfragen auf Auskunft, Berichtigung und Löschung empfangen, prüfen und beantworten.
Altersprüfung und elterliche Einwilligung
Die Regeln für Daten von Kindern umsetzen.
Auditfähige Nachweise
Nachweise zu Einwilligungen und Anfragen an einem Ort aufbewahren.
Jede Entscheidung landet in Ihren Einwilligungsnachweisen, gestützt durch manipulationssichere Einwilligungsbelege, die Sie für ein Audit exportieren können. Auf Ihrer Website zeigt die Cookie- und Tracker-Erkennung, welche Tags laufen, und das vorherige Blockieren hält nicht notwendige Tags aus, bis der Nutzer zustimmt. Mit Regionsregeln zeigen Sie Besuchern aus Indien eine DPDPA-spezifische Erfahrung, und unsere Seite zur Einwilligung für Besucher aus Indien erklärt, wie Hinweis, Einwilligung und Widerruf funktionieren.
So gelangen Organisationen von einer statischen Datenschutzerklärung zu technischen Systemen, die Datenschutzentscheidungen erfassen, verwalten und nachweisen können.
Starten Sie kostenlos oder buchen Sie eine Demo, um es in Aktion zu sehen.
Bringen Sie die Rechte der Data Principals in die Praxis
ConsentX unterstützt Unternehmen dabei, belastbare Einwilligungen einzuholen, Datenschutzpräferenzen zu verwalten, den Widerruf zu unterstützen und Nachweise über die Entscheidungen der Data Principals zu führen. Starten Sie kostenlos mit ConsentX.
Verwandte Begriffe
Ein Data Fiduciary ist die Person oder Organisation, die über Zweck und Mittel der Verarbeitung personenbezogener Daten entscheidet.
Ein Data Processor verarbeitet personenbezogene Daten im Auftrag eines Data Fiduciary.
Indiens Datenschutzrahmen für die einschlägige Verarbeitung digitaler personenbezogener Daten.
Eine registrierte Plattform, über die ein Data Principal Einwilligungen erteilen, verwalten, einsehen und widerrufen kann.
Software, die Organisationen hilft, Datenschutz- und Einwilligungsentscheidungen zu erfassen, zu verwalten, durchzusetzen und zu dokumentieren.
Ein Consent Receipt ist der Nachweis einer Einwilligungsentscheidung und der zugehörigen Angaben.
Rechte, die Einzelpersonen nach dem DPDPA zustehen, einschließlich der einschlägigen Rechte auf Auskunft, Berichtigung, Löschung, Beschwerdeabhilfe und Benennung.
Die Cookie-Einwilligung hilft Websites, die Erlaubnis der Nutzer für einschlägige Cookies und Tracking-Technologien einzuholen und zu verwalten.
Prior Blocking ist der technische Vorgang, der betroffene nicht notwendige Tracker inaktiv hält, bis die erforderliche Einwilligung vorliegt.