Was ist das Data Protection Board of India?
Auch bekannt als: Data Protection Board, DPB, DPBI, Data Protection Board of India
Das Board wurde am 13. November 2025 von der Zentralregierung nach Section 18 des DPDPA förmlich eingerichtet. Sein Hauptsitz befindet sich in der National Capital Region Indiens.
Für Organisationen, die personenbezogene Daten verarbeiten, macht das Board eine nachweisbare Compliance wichtig. Unternehmen sollten nachweisen können, wie sie informieren, Einwilligungen einholen und verwalten, die Rechte der Data Principals wahren, personenbezogene Daten schützen und weitere geltende DPDPA-Pflichten erfüllen.
Was bedeutet Data Protection Board of India?
Das Data Protection Board of India ist Indiens gesetzliche Durchsetzungsbehörde für den Datenschutz nach dem DPDPA.
Das Board wurde nach Section 18 des Gesetzes als Körperschaft geschaffen. Seine Aufgabe ist es, die Durchsetzung des DPDPA zu unterstützen und die ihm gesetzlich übertragenen Befugnisse und Funktionen auszuüben.
In der Praxis ist das Board die Behörde, mit der Organisationen rechnen sollten, wenn Fragen der DPDPA-Compliance zum Gegenstand förmlicher Durchsetzung werden.
Wofür ist das DPB zuständig?
Zu den Aufgaben des Data Protection Board gehören Funktionen wie:
- Untersuchung von Verstößen gegen den DPDPA
- Prüfung von Angelegenheiten und Beschwerden, die in seinen gesetzlichen Zuständigkeitsbereich fallen
- Feststellung, ob Pflichten nach dem Gesetz verletzt wurden
- Verhängung von Bußgeldern, soweit das Gesetz dies erlaubt
- Wahrnehmung weiterer Funktionen, die nach dem DPDPA und den geltenden Rules übertragen sind
Das Board unterscheidet sich daher vom internen Datenschutzteam eines Unternehmens oder von einer Consent-Management-Plattform (CMP). Eine CMP hilft einer Organisation, Einwilligungen operativ umzusetzen; das Data Protection Board ist eine gesetzliche Durchsetzungsbehörde.
Wann wurde das Data Protection Board of India eingerichtet?
Die Zentralregierung hat das Data Protection Board of India am 13. November 2025 durch eine amtliche Bekanntmachung nach Section 18 des DPDPA eingerichtet. Laut der Bekanntmachung werde das Board die ihm nach dem Gesetz übertragenen Befugnisse ausüben und Funktionen wahrnehmen.
Eine gesonderte, am selben Tag erlassene Bekanntmachung legte fest, dass das Board aus vier Mitgliedern bestehen werde.
Damit ist das Data Protection Board neben dem DPDPA und den Digital Personal Data Protection Rules, 2025 ein wichtiger Teil des operativen indischen Datenschutzrahmens.
Welche Rolle hat das Data Protection Board nach dem DPDPA?
Der DPDPA richtet das Board als seinen Durchsetzungsmechanismus ein.
Für einen Data Fiduciary bedeutet das, dass Compliance nicht einfach als Formalie rund um die Datenschutzerklärung behandelt werden sollte. Eine Organisation muss unter Umständen nachweisen, dass ihre tatsächlichen Datenverarbeitungspraktiken den Pflichten entsprechen, die in ihren Hinweisen, Einwilligungsabläufen und internen Verfahren beschrieben sind.
Je nach betroffener Pflicht können Nachweise Folgendes umfassen:
- Den Datenschutzhinweis, der einem Data Principal angezeigt wurde
- Die Zwecke, für die eine Einwilligung angefragt wurde
- Die dokumentierte Einwilligung oder Ablehnung
- Datum und Uhrzeit der Entscheidung
- Die angezeigte Version des Hinweises oder Einwilligungstextes
- Aufzeichnungen über den Widerruf der Einwilligung
- Aufzeichnungen darüber, wie sich der Widerruf auf die Verarbeitung ausgewirkt hat
- Aufzeichnungen zu Rechten der Data Principals und zu Beschwerden
- Nachweise über Sicherheits- und Compliance-Kontrollen
- Aufzeichnungen zu Daten von Kindern, soweit einschlägig
Kann das Data Protection Board Bußgelder verhängen?
Ja. Der DPDPA verleiht dem Data Protection Board Durchsetzungs- und Sanktionsbefugnisse.
Das Gesetz sieht für bestimmte Verstöße erhebliche Geldbußen vor, wobei das Höchstbußgeld für bestimmte Verstöße ₹250 crore erreicht.
Die genaue Höhe des Bußgelds hängt von der Art und den Umständen des jeweiligen Verstoßes ab; nicht jeder Verstoß gegen den DPDPA führt automatisch zum Höchstbetrag.
Für Unternehmen ist die praktische Lehre eindeutig: DPDPA-Compliance sollte nachweisbar sein und nicht nur behauptet werden.
Data Protection Board vs. DPDPA
Der DPDPA und das Data Protection Board sind nicht dasselbe.
| DPDPA | Data Protection Board |
|---|---|
| Indiens Gesetz zum Schutz digitaler personenbezogener Daten | Nach dem DPDPA eingerichtete Durchsetzungsstelle |
| Legt Pflichten und Rechte fest | Übt die ihm vom Gesetz übertragenen Befugnisse und Funktionen aus |
| Wendet Regeln auf Data Fiduciaries und Data Principals an | Bearbeitet Durchsetzungsangelegenheiten im Rahmen seiner gesetzlichen Zuständigkeit |
| Legt Datenschutzanforderungen fest | Kann Verstöße feststellen und einschlägige Bußgelder verhängen |
| Als Gesetz verabschiedet | Durch Regierungsbekanntmachung nach dem Gesetz eingerichtet |
Eine einfache Merkhilfe für den Unterschied lautet:
Der DPDPA legt die Regeln fest. Das Data Protection Board hilft, sie durchzusetzen.
Data Protection Board vs. Data Protection Officer
Das Data Protection Board sollte nicht mit einem Data Protection Officer (DPO) verwechselt werden.
Ein Data Protection Officer ist eine Rolle innerhalb einer Organisation. Bestimmte Significant Data Fiduciaries unterliegen zusätzlichen Anforderungen, einschließlich Pflichten im Zusammenhang mit dem DPO.
Das Data Protection Board ist dagegen eine externe gesetzliche Behörde, die nach dem DPDPA eingerichtet wurde.
Einfach gesagt:
DPO
Arbeitet für eine Organisation oder vertritt sie in ihrer Funktion für Privatsphäre und Datenschutz.
Data Protection Board
Ist die gesetzliche Behörde, die für die Durchsetzung nach dem DPDPA zuständig ist.
Data Protection Board und Data Fiduciaries
Nach dem DPDPA ist ein Data Fiduciary die Stelle, die über Zweck und Mittel der Verarbeitung personenbezogener Daten entscheidet.
Data Fiduciaries sind dafür verantwortlich, ihre Pflichten nach dem Gesetz zu erfüllen. Gerät die Compliance in den Fokus einer regulatorischen Prüfung, sollte eine Organisation nachweisen können, wie sie mit personenbezogenen Daten umgeht und wie sie die geltenden DPDPA-Anforderungen erfüllt.
Das ist besonders für die Einwilligung relevant.
Stützt sich eine Organisation auf die Einwilligung, sollte sie Folgendes belegen können:
- Welche Informationen dem Data Principal angezeigt wurden.
- Welcher Zweck oder welche Zwecke angegeben wurden.
- Welche Einwilligung der Data Principal erteilt hat.
- Wann die Einwilligung erteilt wurde.
- Wie die Einwilligung widerrufen werden konnte.
- Was nach dem Widerruf geschah.
- Welche Version des einschlägigen Hinweises oder Einwilligungstextes galt.
Deshalb sind verlässliche Einwilligungsnachweise ein wichtiger Teil eines DPDPA-Compliance-Programms.
Data Protection Board und Einwilligungsnachweise
Ein Einwilligungsnachweis belegt die Entscheidung eines Nutzers.
Ein aussagekräftiger Einwilligungsnachweis kann eine Entscheidung zum Beispiel verknüpfen mit:
- Einem Data Principal oder einer geeigneten pseudonymen Kennung
- Den angezeigten Zwecken
- Dem Einwilligungsstatus
- Zeitstempel
- Version des Hinweises oder der Richtlinie
- Einschlägigem Rechtsraum oder Rechtsrahmen
- Informationen zum Widerruf
- Einem manipulationssicheren Integritätsmechanismus
Ein Consent Receipt kann strukturiert dokumentieren, wozu eine Person wann zugestimmt hat.
Für Organisationen, die DPDPA-Anforderungen unterliegen, kann das Führen verlässlicher Nachweise es erheblich erleichtern zu belegen, dass Einwilligungsprozesse tatsächlich umgesetzt und nicht nur in einer Richtlinie beschrieben wurden.
Warum ist das Data Protection Board für Unternehmen wichtig?
Die Einrichtung des Boards verändert das praktische Compliance-Umfeld für Organisationen, die digitale personenbezogene Daten in Indien verarbeiten.
Unternehmen sollten über diese Frage hinausdenken:
„Haben wir eine Datenschutzerklärung?“
Eine stärkere Compliance-Frage lautet:
„Können wir nachweisen, dass unsere Datenverarbeitungs- und Einwilligungspraktiken den Anforderungen tatsächlich entsprochen haben?“
Dazu kann gehören, Kontrollen umzusetzen für:
- Klare und aufgeschlüsselte Hinweise
- Zweckbezogene Einwilligung
- Widerruf der Einwilligung
- Daten von Kindern
- Rechte der Data Principals
- Beschwerdebearbeitung
- Sicherheitsmaßnahmen
- Einwilligungsnachweise
- Management von Auftragsverarbeitern
- Regulatorische Nachweise
ConsentX konzentriert sich insbesondere auf die Einwilligungs- und Nachweisebene dieses umfassenderen Compliance-Rahmens.
Data Protection Board und Consent-Management
Eine Consent-Management-Plattform (CMP) ist nicht das Data Protection Board.
Eine CMP hilft einem Unternehmen, Entscheidungen der Nutzer einzuholen, zu speichern und durchzusetzen. Eine CMP kann zum Beispiel eine Einwilligungsoberfläche anzeigen, nicht notwendige Tracker blockieren, bis die entsprechende Entscheidung getroffen ist, Einwilligungen dokumentieren und den Widerruf durchsetzen.
Das Data Protection Board erfüllt eine völlig andere Funktion: Es ist die nach dem DPDPA eingerichtete gesetzliche Behörde.
Daher gilt:
CMP
Compliance-Technologie
Data Protection Board
Gesetzliche Durchsetzungsbehörde
Diese Unterscheidung ist wichtig, wenn Sie Tools für die DPDPA-Compliance bewerten.
Welche Nachweise sollten Unternehmen für die DPDPA-Compliance aufbewahren?
Organisationen sollten in Betracht ziehen, prüfbare Aufzeichnungen zu ihren jeweiligen Verarbeitungstätigkeiten zu führen.
Je nach Organisation und Verarbeitungstätigkeit kann dies Folgendes umfassen:
Einwilligungsnachweise
Aufzeichnungen darüber, wozu der Data Principal eingewilligt hat, wann die Einwilligung erteilt wurde und welche Zwecke sie abdeckt.
Nachweise zu Hinweisen
Aufzeichnungen über den Hinweis oder die Informationen, die bei der Einholung der Einwilligung angezeigt wurden.
Widerrufsnachweise
Aufzeichnungen darüber, wann die Einwilligung widerrufen wurde und wie die Organisation reagiert hat.
Nachweise zu Rechten und Beschwerden
Aufzeichnungen, die belegen, wie Anfragen und Beschwerden von Data Principals eingegangen, bearbeitet und gelöst wurden.
Nachweise zu Kinderdaten
Soweit einschlägig, Nachweise zur Altersprüfung und zu Verfahren für eine überprüfbare elterliche Einwilligung.
Nachweise zu Sicherheit und Vorfällen
Dokumentation der Sicherheitsmaßnahmen und Reaktionsprozesse, die für die Organisation gelten.
Ein gut konzipiertes Compliance-System sollte diese Nachweise zugänglich machen, ohne dass Teams Ereignisse manuell rekonstruieren müssen.
Data Protection Board und die DPDP Rules 2025
Die Digital Personal Data Protection Rules, 2025 wurden im November 2025 veröffentlicht und sind Teil des operativen Rahmens rund um den DPDPA. Die offiziellen Ressourcen von MeitY umfassen außerdem die Bekanntmachung zur Einrichtung des Data Protection Board und die Bekanntmachung zur Zusammensetzung des Boards.
Unternehmen sollten Gesetz und Rules daher gemeinsam betrachten, wenn sie ihr DPDPA-Compliance-Programm entwickeln.
Da sich Umsetzungsanforderungen und Fristen je nach Bestimmung unterscheiden können, sollten Organisationen die geltenden Stichtage prüfen, statt anzunehmen, dass alle Anforderungen gleichzeitig durchsetzbar wurden.
Wie ConsentX bei der Vorbereitung auf regulatorische Prüfungen hilft
ConsentX hilft Organisationen, Einwilligungsanforderungen in durchgesetzte und nachweisbare Kontrollen zu überführen.
Je nach Implementierung kann dies Folgendes umfassen:
Einwilligungen für bestimmte Zwecke erfassen
Einwilligungsnachweise mit Zeitstempel führen
Manipulationssichere Einwilligungsnachweise erzeugen
Den Widerruf der Einwilligung unterstützen
Einwilligungsentscheidungen über Website-Technologien hinweg durchsetzen
DPDPA-spezifische Einwilligungs-Workflows unterstützen
Nachweise bereitstellen, die bei Compliance-Prüfungen genutzt werden können
ConsentX beschreibt seine Einwilligungsnachweise als manipulationssicher und darauf ausgelegt, Entscheidungen von Nutzern zu belegen.
Ziel ist nicht, rechtliche oder organisatorische Compliance-Verantwortlichkeiten zu ersetzen. Vielmehr kann Consent-Management-Technologie dazu beitragen, den Einwilligungsteil eines DPDPA-Compliance-Programms einheitlicher, durchsetzbarer und prüfbarer zu machen.
Data Protection Board of India: Das Wichtigste im Überblick
Das Data Protection Board of India ist die nach dem DPDPA geschaffene gesetzliche Durchsetzungsstelle.
Die wichtigsten Punkte sind:
- Das Board wurde nach Section 18 des DPDPA eingerichtet.
- Es wurde am 13. November 2025 durch Bekanntmachung förmlich eingerichtet.
- Sein Hauptsitz befindet sich in der National Capital Region.
- Es verfügt über die ihm nach dem DPDPA übertragenen Befugnisse und Funktionen.
- Es kann Verstöße feststellen und einschlägige Bußgelder verhängen.
- Bußgelder nach dem DPDPA können für bestimmte Verstöße ₹250 crore erreichen.
- Data Fiduciaries sollten ihre Compliance nachweisen können.
- Einwilligungsnachweise können wichtige Belege liefern, wenn die Verarbeitung auf einer Einwilligung beruht.
- Ein Data Protection Board unterscheidet sich von einer Consent-Management-Plattform.
- Auch ein DPO und das Data Protection Board sind unterschiedliche Rollen.
Während Indiens Datenschutzrahmen in die Umsetzung übergeht, wird es immer wichtiger, klare, genaue und prüfbare Compliance-Aufzeichnungen zu führen.
Bringen Sie die Compliance gegenüber dem Data Protection Board in die Praxis
Regulatorische Compliance ist belastbarer, wenn eine Organisation nachweisen kann, was geschehen ist, statt nur zu behaupten, dass es geschehen ist. ConsentX unterstützt Unternehmen dabei, Einwilligungsnachweise über ihre digitalen Angebote hinweg zu erfassen, durchzusetzen und zu sichern. Beginnen Sie mit ConsentX, ein prüfungssicheres Consent-Management aufzubauen.
Verwandte Begriffe
Indiens Digital Personal Data Protection Act, 2023 und die Grundlage des indischen Rahmenwerks zum Schutz digitaler personenbezogener Daten.
Die Stelle, die nach dem DPDPA über Zweck und Mittel der Verarbeitung personenbezogener Daten entscheidet.
Die Person, auf die sich die personenbezogenen Daten beziehen.
Ein Modell eines registrierten Vermittlers nach dem DPDPA, über den Data Principals Einwilligungen erteilen, verwalten, einsehen und widerrufen können.
Technologie, mit der Organisationen Einwilligungen einholen, verwalten, durchsetzen und dokumentieren.
Eine Aufzeichnung der Einwilligungsentscheidung eines Nutzers, einschließlich relevanter Informationen wie Zwecke, Zeitpunkt und geltende Version des Hinweises oder der Richtlinie.
Die Richtlinien, Prozesse, Kontrollen und technischen Maßnahmen, mit denen eine Organisation ihre Pflichten nach dem indischen Datenschutzrahmen erfüllt.