Was ist der Digital Personal Data Protection Act (DPDPA)?
Auch bekannt als: DPDPA, DPDP Act, DPDP Act 2023, Digital Personal Data Protection Act 2023, Indiens Datenschutzgesetz
Das Gesetz legt die Pflichten der Organisationen fest, die über Zweck und Mittel der Verarbeitung personenbezogener Daten entscheiden - die Data Fiduciaries - und gewährt Einzelpersonen, den Data Principals, Rechte.
Der DPDPA stellt Anforderungen an Information, Einwilligung, Widerruf der Einwilligung, Daten von Kindern, Datensicherheit, Verletzungen des Schutzes personenbezogener Daten, Rechte der Data Principals, Beschwerdebearbeitung und weitere Pflichten.
Die DPDP Rules, 2025 ergänzen operative Anforderungen für die Umsetzung dieses Rahmenwerks.
Was bedeutet DPDPA?
DPDPA steht für Digital Personal Data Protection Act.
Er wird üblicherweise als DPDP Act 2023 oder schlicht als DPDPA bezeichnet.
Das Gesetz schafft einen Rahmen für die Verarbeitung digitaler personenbezogener Daten in Indien und gibt Einzelpersonen zugleich mehr Kontrolle darüber, wie ihre Daten erhoben und genutzt werden.
Für Organisationen bedeutet das: Datenschutz lässt sich nicht auf ein Richtliniendokument reduzieren. Unternehmen brauchen Prozesse und technische Kontrollen, die rechtmäßige Verarbeitung, wirksame Einwilligung, Sicherheit, Nutzerrechte und Rechenschaftspflicht tragen.
Für wen gilt der DPDPA?
Der DPDPA gilt für die Verarbeitung digitaler personenbezogener Daten im gesetzlich definierten Anwendungsbereich, einschließlich der Verarbeitung durch Organisationen, die in Indien tätig sind.
Er kann außerdem für bestimmte Verarbeitungen außerhalb Indiens gelten, wenn sie mit dem Angebot von Waren oder Dienstleistungen an Data Principals in Indien zusammenhängen.
Das Gesetz ist daher für ein breites Spektrum von Organisationen relevant, darunter:
- SaaS-Unternehmen
- E-Commerce-Websites
- Mobile Anwendungen
- Finanzdienstleister
- Gesundheitsplattformen
- EdTech-Unternehmen
- Marketing- und Werbeunternehmen
- Online-Marktplätze
- Technologieunternehmen
- Websites, die personenbezogene Informationen erheben
Organisationen sollten ihre konkreten Verarbeitungstätigkeiten und rechtlichen Pflichten prüfen, statt anzunehmen, dass jede Verarbeitung gleich behandelt wird.
Was sind personenbezogene Daten nach dem DPDPA?
Personenbezogene Daten sind Daten über eine Person, die anhand dieser Daten oder in Verbindung mit ihnen identifizierbar ist.
Im DPDPA liegt der Fokus des Rahmenwerks auf digitalen personenbezogenen Daten.
Beispiele können Informationen sein wie:
- Name
- E-Mail-Adresse
- Telefonnummer
- Kontoinformationen
- Online-Kennungen
- Standortbezogene Informationen
- Kundendatensätze
- Über Online-Formulare übermittelte Informationen
- Sonstige Informationen, die eine Person identifizieren können
Ob das Gesetz tatsächlich anwendbar ist, hängt von der Art der Daten und der Verarbeitungstätigkeit ab.
Was ist ein Data Fiduciary?
Ein Data Fiduciary ist eine Person, die allein oder gemeinsam mit anderen über Zweck und Mittel der Verarbeitung personenbezogener Daten entscheidet.
Einfach gesagt ist der Data Fiduciary in der Regel die Organisation, die entscheidet:
Beispiele sind ein Online-Unternehmen, das Kundeninformationen erhebt, eine SaaS-Plattform, die Nutzerkontodaten verarbeitet, oder ein E-Commerce-Unternehmen, das Kundeninformationen zur Erbringung seiner Leistungen nutzt.
Das Konzept ist grob mit dem Verantwortlichen nach der GDPR vergleichbar, auch wenn sich die Rechtsrahmen unterscheiden.
Was ist ein Data Principal?
Ein Data Principal ist die Person, auf die sich die personenbezogenen Daten beziehen.
Legt eine Kundin oder ein Kunde beispielsweise ein Konto auf einer E-Commerce-Website an, ist diese Person der Data Principal, und die Organisation, die über die Verarbeitung ihrer Daten entscheidet, kann der Data Fiduciary sein.
Der DPDPA gewährt Data Principals bestimmte Rechte und sieht Mechanismen zu deren Ausübung vor.
Was sind die zentralen Anforderungen des DPDPA?
Der DPDPA führt mehrere wichtige Datenschutzanforderungen ein.
Dazu gehören:
- Angemessene Information über die Verarbeitung personenbezogener Daten
- Einholen einer wirksamen Einwilligung, wo die Einwilligung die einschlägige Grundlage ist
- Spezifische und informierte Ausgestaltung der Einwilligung
- Ermöglichen des Widerrufs der Einwilligung
- Schutz personenbezogener Daten durch angemessene Sicherheitsmaßnahmen
- Meldung bestimmter Verletzungen des Schutzes personenbezogener Daten, sofern erforderlich
- Gewährleistung der Rechte der Data Principals
- Bereitstellung von Beschwerdemechanismen
- Umsetzung zusätzlicher Schutzmaßnahmen für Daten von Kindern
- Erfüllung zusätzlicher Pflichten, soweit sie für Significant Data Fiduciaries gelten
Die genauen Pflichten hängen von der Organisation, der Verarbeitungstätigkeit und den für sie geltenden Bestimmungen ab.
Was sagt der DPDPA zur Einwilligung?
Die Einwilligung ist eines der zentralen Konzepte des DPDPA.
Stützt man sich auf die Einwilligung, verlangt das Gesetz, dass sie freiwillig, spezifisch, informiert, bedingungsfrei und eindeutig ist und durch eine klare bestätigende Handlung erfolgt.
Die Einwilligung sollte sich auf einen bestimmten Zweck beziehen und nicht als unbeschränkte Erlaubnis zur Verarbeitung personenbezogener Daten wirken.
Organisationen sollten außerdem einen wirksamen Mechanismus bereitstellen, über den Data Principals ihre Einwilligung widerrufen können.
Damit wird die Einwilligungserfahrung zu einem wichtigen Teil der DPDPA-Compliance.
Was ist DPDPA-Consent-Management?
DPDPA-Consent-Management ist der Prozess, Einwilligungen gemäß den Anforderungen des DPDP Act einzuholen, zu dokumentieren, durchzusetzen und zu verwalten.
Ein Consent-Management-System hilft Unternehmen dabei:
- Klare Einwilligungshinweise anzuzeigen
- Verarbeitungszwecke zu erklären
- Eine bestätigende Einwilligung einzuholen
- Einwilligungsentscheidungen zu dokumentieren
- Den Widerruf der Einwilligung zu verwalten
- Nachweise der Einwilligung vorzuhalten
- Unterschiedliche Einwilligungsregeln auf unterschiedliche Verarbeitungszwecke anzuwenden
- Datenschutzanfragen und Audits zu unterstützen
Consent-Management sollte mit den Systemen verbunden sein, die personenbezogene Daten tatsächlich verarbeiten, damit die Entscheidung der Nutzer in der Praxis respektiert wird.
DPDPA und Cookie-Einwilligung
Der DPDPA ist besonders relevant für Websites und Anwendungen, die Cookies, Analyse-Tools, Werbetechnologien und andere Tracking-Mechanismen einsetzen, sofern damit die Verarbeitung personenbezogener Daten verbunden ist.
Ein Cookie-Banner allein macht eine Website nicht automatisch DPDPA-konform.
Unternehmen sollten wissen:
- Welche personenbezogenen Daten ihre Tracker erheben
- Warum die Daten erhoben werden
- Welche Dritten die Daten erhalten oder verarbeiten
- Welche Einwilligung oder sonstige Rechtsgrundlage gilt
- Wie Nutzer ihre Einwilligung widerrufen können
- Wie Tracking-Technologien auf die Entscheidung der Nutzer reagieren
Bei Websites mit Nutzern in mehreren Ländern müssen die DPDPA-Anforderungen unter Umständen neben GDPR, UK GDPR, CCPA/CPRA oder anderen geltenden Datenschutzrahmen erfüllt werden.
DPDPA und Daten von Kindern
Der DPDPA sieht besondere Schutzmaßnahmen für personenbezogene Daten von Kindern vor.
Als Kind gilt nach dem Gesetz eine Person, die das 18. Lebensjahr noch nicht vollendet hat.
Section 9 legt Anforderungen an eine überprüfbare elterliche Einwilligung fest und beschränkt Verarbeitungen, die Kinder betreffen - einschließlich Beschränkungen für Tracking, Verhaltensbeobachtung und zielgerichtete Werbung gegenüber Kindern, vorbehaltlich der geltenden Bestimmungen und Ausnahmen.
Unternehmen, die sich an Kinder richten, sollten daher Altersfeststellung, Mechanismen für die elterliche Einwilligung und technische Kontrollen gegen unzulässige Verarbeitung berücksichtigen.
Welche Rechte haben Data Principals?
Der DPDPA gewährt Data Principals Rechte, zu denen gehören können:
- Auskunft über personenbezogene Daten
- Berichtigung personenbezogener Daten
- Löschung personenbezogener Daten
- Beschwerdeabhilfe
- Die Möglichkeit, unter bestimmten Umständen eine andere Person zu benennen
- Widerruf der Einwilligung, wenn die Verarbeitung auf ihr beruht
Organisationen benötigen Prozesse, um einschlägige Anfragen von Data Principals entgegenzunehmen, zu authentifizieren, nachzuverfolgen und zu beantworten.
Was ist ein Consent Manager nach dem DPDPA?
Ein Consent Manager ist eine registrierte Stelle, die eine interoperable Plattform bereitstellt, über die ein Data Principal Einwilligungen erteilen, verwalten, einsehen und widerrufen kann.
Das Consent-Manager-Modell ist ein wichtiger Teil des indischen Ansatzes beim Consent-Management.
Unternehmen sollten zwischen einem Consent Manager im Sinne des DPDPA und gewöhnlicher Consent-Management-Software für Banner, Präferenzen und Tracking-Kontrollen auf einer Website unterscheiden.
Was sind die DPDPA Rules?
Die Digital Personal Data Protection Rules, 2025 enthalten detaillierte Anforderungen zur Umsetzung des DPDPA-Rahmenwerks.
Die Rules behandeln operative Bereiche wie Informationspflichten, Einwilligungsmechanismen, Sicherheitsmaßnahmen, Pflichten bei Datenpannen, Daten von Kindern, Data Fiduciaries, Consent Manager und weitere Compliance-Anforderungen.
Sie wurden am 13. November 2025 veröffentlicht und sehen ein gestuftes Inkrafttreten vor. Unternehmen sollten daher die jeweils geltenden Stichtage verfolgen, statt jede Anforderung als am selben Tag wirksam zu behandeln.
Welche Bußgelder sieht der DPDPA vor?
Der DPDPA sieht für bestimmte Verstöße erhebliche Geldbußen vor.
Die Bußgelder können für die genannten Verstöße je nach einschlägiger Bestimmung und Umständen bis zu ₹250 crore erreichen.
Für die Durchsetzung im Rahmen dieses Gesetzes ist das Data Protection Board of India zuständig.
Da sich Bußgelder und Durchsetzungsanforderungen mit der Weiterentwicklung von Regulierung und Rules ändern können, sollten Organisationen die aktuell geltenden Anforderungen prüfen, bevor sie sich auf eine Compliance-Auslegung stützen.
DPDPA-Compliance-Checkliste
Unternehmen, die sich auf die DPDPA-Compliance vorbereiten, sollten Folgendes berücksichtigen:
- Die erhobenen und verarbeiteten personenbezogenen Daten ermitteln
- Die Verarbeitungszwecke dokumentieren
- Datenschutzhinweise überprüfen
- Einwilligungsmechanismen überprüfen
- Die Einwilligung klar und zweckbezogen gestalten, wo dies erforderlich ist
- Einen wirksamen Mechanismus zum Widerruf der Einwilligung bereitstellen
- Cookies und Tracking-Technologien überprüfen
- Angemessene Sicherheitsmaßnahmen umsetzen
- Verfahren für Verletzungen des Schutzes personenbezogener Daten einrichten
- Prozesse für Anfragen von Data Principals vorbereiten
- Die Verarbeitung von Kinderdaten überprüfen
- Prüfen, ob Pflichten als Significant Data Fiduciary greifen
- Angemessene Aufzeichnungen und Nachweise führen
- Auftragsverarbeiter und Dienstleister überprüfen
- Die geltenden DPDPA Rules und Stichtage im Blick behalten
DPDPA-Compliance für Websites
Websites sollten Einwilligung und Tracking besonders im Blick behalten, denn Online-Formulare, Analyseplattformen, Werbetools, Cookies, Pixel und Drittanbieter-Skripte können die Verarbeitung personenbezogener Daten betreffen.
Ein praxistauglicher Compliance-Workflow für Websites umfasst:
- Erkennen
- Klassifizieren
- Informieren
- Einwilligung einholen
- Durchsetzen
- Dokumentieren
- Widerruf ermöglichen
So wird erreicht, dass sich Datenschutzentscheidungen nicht nur im Datenschutzhinweis der Website niederschlagen, sondern auch in ihrem technischen Verhalten.
DPDPA in ConsentX
ConsentX bietet DPDPA-orientiertes Consent-Management, das Unternehmen dabei unterstützt, Datenschutzentscheidungen über ihre Websites hinweg umzusetzen und nachzuweisen.
ConsentX unterstützt:
Zweckbezogene Einwilligung
DPDPA-gerechte Einwilligungsdialoge
Widerruf der Einwilligung
Manipulationssichere Einwilligungsnachweise
Regionsspezifische Datenschutzregeln
Prior-Script-Blocking
Erkennung von Cookies und Trackern
Workflows für Anfragen von Data Principals
Altersprüfung und elterliche Einwilligung
Prüfungssichere Einwilligungsnachweise
Damit gelangen Unternehmen von einem statischen Datenschutzhinweis zu einem durchgesetzten und belegbaren Einwilligungsprozess.
ConsentX unterstützt außerdem weitere Datenschutzrahmen, sodass Unternehmen mit internationalen Nutzern ihre Einwilligungsanforderungen über eine einzige Plattform steuern können.
Bringen Sie die DPDPA-Compliance in die Praxis
ConsentX unterstützt Unternehmen dabei, zweckbezogene Einwilligungen umzusetzen, Datenschutzpräferenzen zu verwalten, betroffene Tracker vor der Einwilligung zu blockieren und prüfungssichere Einwilligungsnachweise zu führen. Starten Sie kostenlos mit ConsentX.
Verwandte Begriffe
Ein Data Fiduciary ist die Person oder Organisation, die nach dem DPDPA über Zweck und Mittel der Verarbeitung personenbezogener Daten entscheidet.
Ein Data Principal ist die Person, auf die sich die personenbezogenen Daten beziehen.
Ein Consent Manager ist eine registrierte Plattform, über die ein Data Principal Einwilligungen erteilen, verwalten, einsehen und widerrufen kann.
Eine DPDPA-Einwilligung erfüllt die Anforderungen des DPDP Act: freiwillig, spezifisch, informiert, bedingungsfrei und eindeutig, mit einer klaren bestätigenden Handlung.
Section 9 legt besondere Anforderungen und Schutzmaßnahmen für die Verarbeitung personenbezogener Daten von Kindern fest.
Personenbezogene Daten sind Daten über eine Person, die anhand dieser Daten oder in Verbindung mit ihnen identifizierbar ist.
Eine Consent-Management-Plattform hilft Organisationen, Einwilligungen über Websites und Anwendungen hinweg einzuholen, zu verwalten, durchzusetzen und zu dokumentieren.
Die Cookie-Einwilligung ist der Prozess, die Erlaubnis der Nutzer für betroffene nicht notwendige Cookies und Tracking-Technologien einzuholen und zu verwalten.