Indiens DPDP-Gesetz: Was die Frist 2027 für Sie bedeutet

Eine neue Welle von Compliance-Aktivitäten baut sich rund um Indiens Digital Personal Data Protection Act, 2023 (DPDP-Gesetz) auf, da Anwaltskanzleien und Beratungsunternehmen darum wetteifern, Unternehmen bei der Vorbereitung zu helfen. Laut einem Bericht von ETLegalWorld hat Foresight Law Offices kürzlich einen eigenen „DPDP-Desk" zusammen mit einem interaktiven Readiness-Assessment-Tool gestartet, das Unternehmen helfen soll, Compliance-Lücken zu identifizieren, bevor die Regeln des Gesetzes vollständig in Kraft treten. Während diese Ankündigung in erster Linie auf Unternehmensjustiziariate abzielt, ist sie auch für normale Internetnutzer ein nützliches Signal: Das DPDP-Gesetz bewegt sich vom Papier in die Praxis, und die Art und Weise, wie indische Unternehmen personenbezogene Daten sammeln, speichern und teilen, wird sich in einer Weise ändern, die Verbraucher direkt betrifft.

Wenn Sie das DPDP-Gesetz selbst nie gelesen haben, sind Sie nicht allein. Die meisten Menschen begegnen Datenschutzgesetzen nur indirekt – durch Zustimmungs-Pop-ups, Datenschutzrichtlinien oder Benachrichtigungs-E-Mails bei Datenschutzverletzungen. Aber das DPDP-Gesetz ist eines der bedeutendsten Datenschutzgesetze, die Indien seit Jahrzehnten hervorgebracht hat, und das Verständnis seiner Grundlagen kann Ihnen helfen zu wissen, was Sie von den Apps und Diensten erwarten können, die Sie täglich nutzen.

Was das DPDP-Gesetz tatsächlich verlangt

Im Kern legt das DPDP-Gesetz Regeln dafür fest, wie „Daten-Treuhänder" (im Wesentlichen jede Organisation, die personenbezogene Daten sammelt oder verarbeitet) mit diesen Informationen umgehen müssen. Unternehmen benötigen eine klare, spezifische Zustimmung, bevor sie personenbezogene Daten sammeln, müssen angeben, warum sie sie sammeln, und sind verpflichtet, Daten zu löschen, sobald sie für den angegebenen Zweck nicht mehr benötigt werden. Das Gesetz schafft auch Wege für Einzelpersonen, auf ihre eigenen Daten zuzugreifen, sie zu korrigieren oder ihre Zustimmung zurückzuziehen, und es führt eine Regulierungsbehörde ein, das Datenschutzgremium (Data Protection Board), das Beschwerden und Durchsetzung behandelt.

Dies ist eine bemerkenswerte Veränderung für ein Land, in dem Datenerfassungspraktiken historisch nur locker reguliert wurden. Wie die Berichterstattung über Indiens DPDP-Gesetz, das Datenschutz in den Vorstand bringt gezeigt hat, ist Compliance nicht länger etwas, das Unternehmen stillschweigend an IT-Abteilungen delegieren können. Es wird zu einem Governance-Thema, das Vorstände und Führungskräfte direkt verantworten müssen – mit echter Rechenschaftspflicht, wenn etwas schiefgeht.

Wie es sich mit der DSGVO vergleicht

Datenschutzbeobachter haben das DPDP-Gesetz häufig mit der Datenschutz-Grundverordnung der Europäischen Union (DSGVO) verglichen, und es gibt bedeutende Ähnlichkeiten: Beide Rahmenwerke verlangen eine Zustimmung zur Datenerfassung, beide geben Einzelpersonen Rechte an ihren eigenen Informationen, und beide schaffen Strafen für Nichteinhaltung. Das DPDP-Gesetz wird jedoch allgemein als enger im Umfang betrachtet. Es konzentriert sich speziell auf digitale personenbezogene Daten, während die DSGVO ein breiteres Spektrum personenbezogener Informationen unabhängig vom Format abdeckt. Das DPDP-Gesetz gibt der indischen Regierung auch in bestimmten Bereichen mehr Ermessensspielraum, etwa bei Ausnahmen für Regierungsbehörden und Regeln für grenzüberschreitende Datentransfers, als die DSGVO typischerweise zulässt.

Für Verbraucher ist die praktische Erkenntnis, dass das DPDP-Gesetz ein echter Schritt hin zu stärkeren Datenschutzrechten ist, aber möglicherweise nicht die gleiche Bandbreite an Rechten bietet, die die DSGVO Nutzern in Europa gewährt hat. Es ist eine Untergrenze, nicht unbedingt eine Obergrenze.

Warum der Zeitplan wichtig ist

Ein Detail, das in der Compliance-orientierten Berichterstattung oft fehlt, ist, wie knapp der zeitliche Vorlauf für Unternehmen ist, um sich vorzubereiten. Startups zum Beispiel stehen vor harten Fristen, wobei Indiens DPDP-Gesetz eine Frist im Mai 2027 für Startups vorsieht, um ihre Datenverarbeitungspraktiken zu überholen. Allgemeiner gesagt, die DPDP-Regeln werden 2027 vollständig in Kraft treten, was bedeutet, dass die Zustimmungsabläufe, Datenlöschungsrichtlinien und Benachrichtigungsprozesse bei Datenschutzverletzungen, die viele Unternehmen derzeit aufbauen, bis dahin voll funktionsfähig sein sollen. Rechtsanalysten haben auch auf Compliance-Zeitpläne und die Rechenschaftspflicht auf Direktorenebene als wachsenden Druckpunkt hingewiesen, wie in der Berichterstattung über Indiens DPDPA-Compliance-Zeitpläne und Direktorenrisiko dargelegt. Mit anderen Worten: Die Tools und Desks, die Firmen wie Foresight jetzt einführen, existieren, weil die Uhr bereits läuft.

Was das für Sie bedeutet

Wenn Sie Apps, Websites oder Dienste mit Sitz in Indien nutzen oder als Kunde mit indischen Unternehmen interagieren, sollten Sie in den nächsten zwei Jahren Veränderungen bemerken. Erwarten Sie explizitere Zustimmungsanfragen, klarere Erklärungen, warum Ihre Daten gesammelt werden, und (schließlich) einfachere Möglichkeiten, die Löschung Ihrer Daten zu beantragen. Unternehmen, die sensible Daten verarbeiten – von Finanz-Apps bis hin zu Messaging-Plattformen – stehen unter zunehmendem Druck, ihre Praktiken weit vor der Frist 2027 zu verschärfen. Es ist erwähnenswert, dass Plattformen mit massiven indischen Nutzerbasen ihre Datenpraktiken bereits in Erwartung strengerer Kontrolle anpassen, ähnlich wie WhatsApp Altersverifikationsfunktionen für seine rund 600 Millionen indischen Nutzer testet.

Das heißt, die Durchsetzung holt immer noch zum Gesetzestext auf, und die vollständigen Regeln sind noch nicht überall in Kraft. Erwarten Sie keine Veränderung über Nacht. Achten Sie stattdessen auf schrittweise Änderungen in Datenschutzrichtlinien, Zustimmungsbildschirmen und darauf, wie Unternehmen reagieren, wenn Sie fragen, welche Daten sie über Sie speichern.

Umsetzbare Erkenntnisse

Beginnen Sie, den Zustimmungsanfragen und Datenschutzhinweisen indischer Apps und Dienste mehr Aufmerksamkeit zu schenken, da diese im Zuge der schrittweisen Einführung der DPDP-Regeln wahrscheinlich detaillierter werden. Wenn Sie mit einem Unternehmen interagieren, das sensible personenbezogene Daten wie Finanz- oder Gesundheitsdaten verarbeitet, fragen Sie direkt nach deren Datenaufbewahrungs- und Löschungsrichtlinien. Und wenn Sie ein Unternehmen in Indien führen oder beraten, behandeln Sie die Fristen des DPDP-Gesetzes bis 2027 als verbindlich und nicht als fern, da die Compliance-Grundlagen – vom Zustimmungsmanagement bis zu internen Rechenschaftsstrukturen – echte Zeit zum Aufbauen benötigen. Ob Sie nun Verbraucher oder Geschäftsinhaber sind, das DPDP-Gesetz ist eine Erinnerung daran, dass sich Datenschutz in Indien von einem rechtlichen After-Gedanken zu einer operativen Anforderung wandelt, und informiert zu bleiben wird den Übergang später weit weniger störend machen.