Indiens Startups haben gerade eine harte Frist für die grundlegende Überarbeitung ihres Umgangs mit personenbezogenen Daten bekommen. Laut einem Bericht von The Logical Indian soll das Gesetz zum Schutz digitaler personenbezogener Daten (Digital Personal Data Protection Act, DPDP) bis Mai 2027 vollständig durchsetzbar werden – das gibt Unternehmen weniger als anderthalb Jahre, um die Art und Weise umzugestalten, wie sie personenbezogene Daten indischer Nutzer erfassen, speichern und schützen.

Das DPDP-Gesetz wurde zwar bereits 2023 verabschiedet, doch die praktischen Durchführungsregeln kamen erst im November 2025. Erst dieser Rollout hat aus einem fernen gesetzgeberischen Versprechen eine operative Frist gemacht, die Unternehmen nicht länger ignorieren können. Für das indische Startup-Ökosystem, das sich daran gewöhnt hat, Nutzerdaten mit minimalen Hürden zu sammeln, ist dieser Wandel eine der bedeutendsten regulatorischen Veränderungen in der digitalen Geschichte des Landes.

Was das DPDP-Gesetz tatsächlich verlangt

Im Kern stuft das DPDP-Gesetz jedes Unternehmen, das personenbezogene Daten erhebt oder verarbeitet – Startups eingeschlossen –, als „Data Fiduciary“ (Datentreuhänder) ein. Diese Einstufung bringt rechtliche Pflichten mit sich: Unternehmen müssen vor der Erhebung personenbezogener Daten eine gültige, informierte Einwilligung einholen, angemessene Sicherheitsvorkehrungen zum Schutz dieser Daten umsetzen und auf Verlangen der Aufsichtsbehörden eine rechtmäßige Verarbeitung nachweisen können.

Das ist eine erhebliche Abkehr von den kaum regulierten Datenpraktiken, auf die viele Startups bislang gesetzt haben. Eine Einwilligung darf nicht mehr im Kleingedruckten von Nutzungsbedingungen versteckt oder durch vage Opt-ins unterstellt werden. Unternehmen brauchen eine klare, spezifische Erlaubnis dafür, wie personenbezogene Daten genutzt werden, und sie müssen Systeme vorhalten, um dies zu belegen. Für einen vertieften Einblick, was dieser Wandel für normale Nutzer bedeutet, zeigt die Frist 2027 des DPDP-Gesetzes die neuen Rechte, die Inder erhalten werden, sobald das Gesetz voll wirksam ist – darunter mehr Kontrolle darüber, wie ihre Daten erhoben und genutzt werden.

Warum gerade Startups unter Druck stehen

Größere Unternehmen verfügen oft bereits über eigene Rechts- und Compliance-Teams sowie das Budget, um externe Berater hinzuzuziehen oder eine interne Datenschutzinfrastruktur aufzubauen. Startups, insbesondere in der Frühphase, haben diesen Luxus in der Regel nicht. Viele haben ihre Produkte auf schnelle, reibungsarme Datenerfassung ausgelegt: mit der Handynummer anmelden, ein paar Berechtigungen erteilen und die App sofort nutzen.

Die Compliance-Anforderungen des DPDP-Gesetzes werden für kleinere Unternehmen nicht wirklich herunterskaliert. Auch Startups müssen geeignete Einwilligungsmanagement-Systeme, sichere Datenspeicherpraktiken und Prozesse für die Bearbeitung von Nutzeranfragen zu ihren eigenen Daten aufbauen. Das ist eine hohe technische und rechtliche Hürde für Unternehmen, die vielleicht nur eine Handvoll Entwickler haben und keine eigene Datenschutzbeauftragte.

Auch die Risiken eines Fehlers sind erheblich. Wie eine Aufschlüsselung der Strafen nach dem DPDP-Gesetz, die bis zu 250 Crore Rupien erreichen können, zeigt, ist ein Verstoß kein kleiner administrativer Klaps auf die Finger. Für ein junges Unternehmen könnte ein einziger schwerwiegender Verstoß finanziell verheerend sein, sodass proaktive Compliance-Planung wesentlich günstiger ist als ein Handeln im Nachhinein.

Die Uhr tickt bereits

Mai 2027 klingt vielleicht noch weit entfernt, aber der Aufbau einer regelkonformen Dateninfrastruktur von Grund auf braucht Zeit. Startups müssen prüfen, welche personenbezogenen Daten sie derzeit erheben, nachvollziehen, wie diese durch ihre Systeme fließen, Einwilligungsmechanismen überarbeiten und Sicherheitsvorkehrungen implementieren – und das alles, bevor die Aufsichtsbehörden das Gesetz aktiv durchsetzen. Bis wenige Monate vor der Frist zu warten, lässt wenig Spielraum für Fehler, gerade für Unternehmen, die erst nach genauerer Prüfung Lücken in ihren derzeitigen Praktiken entdecken.

Daneben gibt es ein breiteres Marktsignal. Investoren und Geschäftspartner werden Startups zunehmend nach ihrer Datenschutzposition fragen, bevor sie Vereinbarungen treffen. Die Bereitschaft zum DPDP-Gesetz nachweisen zu können, könnte zu einem Wettbewerbsvorteil werden und nicht nur ein regulatorisches Häkchen sein.

Was das für Sie bedeutet

Wer ein Startup betreibt, das personenbezogene Daten indischer Nutzer erhebt – seien es Namen, Telefonnummern, Standortdaten oder Verhaltensinformationen –, für den gilt dieses Gesetz. Die Frist Mai 2027 als fernes Problem zu betrachten, ist riskant. Compliance-Arbeiten wie die Neugestaltung von Einwilligungen, Datenkartierung und Sicherheitsupgrades dauern in der Regel Monate, nicht Wochen.

Für alltägliche Nutzer sollte das DPDP-Gesetz langfristig mehr Transparenz darüber bringen, was mit ihren personenbezogenen Daten geschieht, und eine stärkere rechtliche Handhabe, wenn ein Unternehmen diese missbräuchlich verwendet. In der Zwischenzeit lohnt es sich dennoch, bewusst abzuwägen, welche Daten man Apps und Diensten mitteilt, da die vollständige Durchsetzung noch bevorsteht und nicht heute schon aktiv ist.

Umsetzbare Schritte

Gründer und Betreiber von Startups sollten jetzt anfangen, nicht später. Beginnen Sie mit einer Prüfung, welche personenbezogenen Daten Ihr Unternehmen genau erhebt und warum. Stellen Sie dann dar, wie diese Daten durch Ihre Systeme fließen und wo sie gespeichert werden. Überprüfen Sie Ihre derzeitigen Einwilligungsabläufe und finden Sie heraus, wo sie hinter einer klaren, spezifischen und informierten Erlaubnis zurückbleiben. Planen Sie Zeit und Ressourcen für den Aufbau angemessener Sicherheitsvorkehrungen ein, statt sie als nachrangig zu behandeln. Und behalten Sie die weitere regulatorische Orientierung im Blick, während die Frist 2027 näher rückt, denn mit der Ausgestaltung der Durchsetzungsmechanismen sind weitere Klarstellungen wahrscheinlich.

Das DPDP-Gesetz bedeutet einen grundlegenden Wandel im Umgang mit personenbezogenen Daten in der gesamten indischen Digitalwirtschaft. Startups, die die kommenden Jahre als echte Vorbereitungszeit begreifen und nicht als Countdown, den man ignorieren kann, werden weitaus besser dastehen, wenn die vollständige Durchsetzung in Kraft tritt.