Das Data Protection Board of India: wer es ist, wie es verfährt, welche Strafen es verhängen kann und wann das alles gilt

Problem in der Praxis

Deutsche Unternehmen kennen Datenschutzaufsicht als Behörde mit Beratungs-, Untersuchungs- und Bußgeldbefugnis. Das Board ist anders gebaut. Es ist eine eigenständige Körperschaft (body corporate), die nach s. 28(1) als unabhängige Stelle und so weit wie möglich als digitales Büro arbeitet. Es verfährt auf Anlass: auf eine Pannenmeldung, eine Beschwerde, einen Verweis der Zentral- oder einer Landesregierung oder eine gerichtliche Weisung. Neben diesen anlassbezogenen Befugnissen nach s. 27 und Aufgaben wie der Registrierung von Consent Managers (dpdpa-003) beschreibt der Quellensatz keine allgemeine Beratungsfunktion des Board.

Daraus folgen drei Missverständnisse. Erstens die Annahme, das Board könne schon jetzt Strafen verhängen, weil es errichtet ist; tatsächlich fehlt bis zur dritten Inkraftsetzungsstufe die Grundlage dafür. Zweitens die Annahme, mangels Präsenz in Indien entgehe man dem Verfahren; der DPDP Act erfasst nach s. 3(b) auch Verarbeitung außerhalb Indiens im Zusammenhang mit dem Angebot an Data Principals in Indien (Einzelheiten in dpdpa-002), und s. 37 gibt der Zentralregierung ein Sperrinstrument genau für solche Angebote. Drittens die Lesart, die Höchstbeträge seien Regelstrafen; der Schedule nennt Obergrenzen, und das Board muss nach s. 33(2) unter anderem Verhältnismäßigkeit und Auswirkungen auf die Person berücksichtigen.

Hinzu kommt die Verfahrensdisziplin. Das Gesetz kennt kurze Fristen und digitale Verfahren: sechs Monate für die Untersuchung nach Rule 19(9), sechzig Tage für die Berufung. Wer erst im Verfahren Ansprechpartner, Vertretung und Dokumentation organisiert, verliert Zeit, die das Verfahren nicht gibt.

CISO-Einordnung

Errichtung und Zusammensetzung

s. 18 DPDP Act ermächtigt die Zentralregierung, das Board per Notifikation zu errichten und seinen Sitz zu bestimmen. G.S.R. 844(E) errichtet es mit Wirkung ab der Veröffentlichung im Official Gazette am 13.11.2025, mit Hauptsitz in der National Capital Region of India. Es ist eine Körperschaft mit eigener Rechtspersönlichkeit, kann Vermögen halten, Verträge schließen, klagen und verklagt werden.

Nach s. 19(1) besteht das Board aus einem Chairperson (Vorsitz) und so vielen weiteren Mitgliedern, wie die Zentralregierung notifiziert. G.S.R. 845(E) legt fest, dass das Board aus vier Mitgliedern besteht. Weil "Member" nach s. 2(q) den Chairperson einschließt, liegt die Lesart nahe, dass der Vorsitz unter den vier mitgezählt ist; ausdrücklich sagt die Notifikation das nicht. Die Mitglieder müssen nach s. 19(3) besondere Kenntnisse oder praktische Erfahrung in Feldern wie Data Governance, Verbraucherschutzrecht, Streitbeilegung, Informations- und Kommunikationstechnik, digitaler Wirtschaft oder Recht haben; mindestens ein Mitglied muss Rechtsexperte sein.

Die Ernennung erfolgt nach Rule 17 DPDP Rules durch die Zentralregierung auf Vorschlag zweier Such- und Auswahlausschüsse: einer unter Vorsitz des Cabinet Secretary für den Chairperson, einer unter Vorsitz des Secretary des Ministry of Electronics and Information Technology für die übrigen Mitglieder. Die Amtszeit beträgt nach s. 20(2) zwei Jahre mit Möglichkeit der Wiederernennung; Vergütung und Dienstbedingungen stehen in Rule 18 mit Fifth Schedule. s. 21 regelt Ausschlussgründe, eine Abberufung durch die Zentralregierung setzt voraus, dass Gelegenheit zur Anhörung gegeben wurde. Für Unternehmen bedeutsam ist s. 22(3): Ehemalige Mitglieder dürfen ein Jahr nach dem Ausscheiden nur mit vorheriger Zustimmung der Zentralregierung eine Beschäftigung annehmen und müssen eine spätere Beschäftigung bei einem Data Fiduciary offenlegen, gegen den von ihnen oder vor ihnen Verfahren eingeleitet wurden. Mitglieder und Bedienstete gelten nach s. 25 bei Ausübung ihres Amts als public servants.

Arbeitsweise

Rule 19 regelt die Sitzungen: Der Chairperson setzt Termine und Tagesordnung fest; beschlussfähig ist das Board mit einem Drittel seiner Mitglieder; entschieden wird mit Mehrheit der anwesenden und abstimmenden Mitglieder, bei Stimmengleichheit gibt der Vorsitz den Ausschlag. Ein Mitglied mit eigenem Interesse an einem Gegenstand wirkt nicht mit. Erfordert eine Eillage sofortiges Handeln des Board und ist es nicht durchführbar, eine Sitzung einzuberufen, kann der Chairperson mit schriftlicher Begründung selbst handeln; die Maßnahme ist binnen sieben Tagen allen Mitgliedern mitzuteilen und in der nächsten Sitzung zur Bestätigung vorzulegen. Beschlüsse im Umlaufverfahren sind auf Anordnung des Chairperson möglich. Nach s. 26 kann der Chairperson Verfahren einzelnen Mitgliedern oder Gruppen von Mitgliedern zuweisen.

Nach s. 28(1) und Rule 20 arbeitet das Board als digitales Büro und kann Verfahren so führen, dass keine physische Anwesenheit erforderlich ist, unbeschadet seiner Befugnis, Personen zu laden und unter Eid zu vernehmen.

Befugnisse (s. 27)

Das Board wird in fünf Fallgruppen tätig: auf eine Pannenmeldung nach s. 8(6) (mit der Befugnis, dringende Abhilfe- oder Minderungsmaßnahmen anzuordnen), auf eine Beschwerde eines Data Principal wegen einer Panne oder einer Pflichtverletzung des Data Fiduciary oder auf Verweis einer Regierung oder gerichtliche Weisung, auf Beschwerde gegen einen Consent Manager, auf Hinweis zu Verstößen gegen Registrierungsbedingungen eines Consent Manager und auf Verweis der Zentralregierung wegen Nichtbefolgung einer Sperranordnung durch einen Vermittler (intermediary). In jedem Fall kann es untersuchen und Strafen nach dem Gesetz verhängen. Daneben kann es nach s. 27(2) nach Gelegenheit zur Anhörung und mit schriftlicher Begründung bindende Anordnungen erlassen und nach s. 27(3) auf Gegenvorstellung oder Verweis der Zentralregierung ändern, aussetzen oder aufheben.

Verfahren (s. 28, Rule 19(9))

Das Verfahren läuft in Stufen. Zuerst prüft das Board, ob hinreichende Gründe für eine Untersuchung bestehen; fehlen sie, kann es das Verfahren mit schriftlicher Begründung einstellen. Bestehen sie, kann es die Angelegenheiten der Person untersuchen. Es muss die Grundsätze der natural justice beachten und die Gründe für sein Vorgehen festhalten.

Für die Untersuchung hat das Board nach s. 28(7) die Befugnisse eines Zivilgerichts nach dem Code of Civil Procedure 1908 zu Ladung und Vernehmung unter Eid, Vorlage von Dokumenten und Inspektion von Daten, Büchern und Registern. Es kann Polizei und Regierungsbedienstete zur Unterstützung heranziehen. Zugleich schützt s. 28(8) den Betrieb: Das Board und seine Bediensteten dürfen den Zugang zu Räumlichkeiten nicht verhindern und keine Geräte oder Gegenstände in Verwahrung nehmen, wenn das den Tagesbetrieb der Person beeinträchtigen kann. Während der Untersuchung sind nach Gelegenheit zur Anhörung begründete einstweilige Anordnungen möglich (s. 28(10)). Am Ende stellt das Board, nachdem es Gelegenheit zur Anhörung gegeben hat, das Verfahren mit schriftlicher Begründung ein oder geht nach s. 33 vor (s. 28(11)). Falsche oder mutwillige Beschwerden kann es mit Verwarnung oder Kostenauferlegung beantworten (s. 28(12)).

Nach Rule 19(9) ist die Untersuchung innerhalb von sechs Monaten ab Eingang der Meldung, Beschwerde, des Verweises oder der Weisung abzuschließen; das Board kann die Frist mit schriftlicher Begründung jeweils um höchstens drei Monate verlängern. Eine Höchstzahl von Verlängerungen nennt die Rule nicht.

Für Beschwerden von Data Principals gilt eine Vorstufe: Nach s. 13(3) muss die betroffene Person zuerst das Beschwerdeverfahren des Data Fiduciary oder Consent Manager ausschöpfen, bevor sie sich an das Board wendet (Antwortfristen im Beschwerdesystem in dpdpa-004).

Mediation und freiwillige Verpflichtung (s. 31, 32)

Hält das Board eine Beschwerde für mediationsgeeignet, kann es die Parteien nach s. 31 anweisen, eine Lösung durch Mediation zu versuchen, mit einem einvernehmlich gewählten oder einem nach indischem Recht vorgesehenen Mediator.

Nach s. 32 kann das Board in jedem Stadium eines Verfahrens nach s. 28 eine freiwillige Verpflichtung zur Einhaltung des Gesetzes annehmen. Sie kann eine Handlung binnen einer vom Board bestimmten Frist, ein Unterlassen oder die Veröffentlichung der Verpflichtung umfassen. Mit Zustimmung des Verpflichteten kann das Board die Bedingungen ändern. Die Annahme sperrt Verfahren nach dem Gesetz zum Inhalt der Verpflichtung. Hält die Person eine Bedingung nicht ein, gilt das als Verstoß gegen das Gesetz, und das Board kann nach Gelegenheit zur Anhörung nach s. 33 vorgehen; die Strafe reicht nach Nr. 6 des Schedule bis zu dem Betrag, der für den Verstoß gilt, wegen dessen das Verfahren nach s. 28 eingeleitet worden war. Ein Anspruch auf Annahme besteht nicht ("may accept").

Strafen und Bemessung (s. 33, 34, Schedule)

Nach s. 33(1) kann das Board eine Geldstrafe verhängen, wenn es nach Abschluss einer Untersuchung feststellt, dass ein Verstoß gegen das Gesetz oder die Rules erheblich ist, und der Person Gelegenheit zur Anhörung gegeben hat. Die Höhe bestimmt der Schedule als Obergrenze je Verstoßart. Für die betriebliche Risikobewertung lassen sich die Höchstbeträge so ordnen:

• Sicherheitsvorkehrungen: Wer keine angemessenen Sicherheitsvorkehrungen nach s. 8(5) trifft, riskiert bis zu zweihundertfünfzig crore Rupien, den höchsten Betrag im Schedule.
• Pannenmeldung: Wer das Board oder betroffene Personen nicht nach s. 8(6) über eine Panne informiert, riskiert bis zu zweihundert crore Rupien (Einzelheiten der Meldepflicht in dpdpa-005).
• Kinder: Verstöße gegen die zusätzlichen Pflichten nach s. 9 bis zu zweihundert crore Rupien (dpdpa-003).
• Significant Data Fiduciary: Verstöße gegen die zusätzlichen Pflichten nach s. 10 bis zu einhundertfünfzig crore Rupien (dpdpa-004).
• Pflichten der Data Principals: Verstöße gegen s. 15 bis zu zehntausend Rupien; dieser Posten richtet sich an betroffene Personen, nicht an Unternehmen.
• Freiwillige Verpflichtung: Verstoß gegen eine angenommene Verpflichtung bis zu dem Betrag, der für den ursprünglichen Verstoß gilt.
• Auffangtatbestand: Verstöße gegen jede andere Vorschrift des Gesetzes oder der Rules bis zu fünfzig crore Rupien.

Die Beträge sind feste Obergrenzen, keine Umsatzanteile. Wie mehrere Verstöße in einem Verfahren zusammengerechnet werden, regelt der Quellensatz nicht. Die Zentralregierung kann den Schedule nach s. 42 per Notifikation ändern, darf dabei aber keine Strafe auf mehr als das Doppelte des ursprünglich festgelegten Betrags anheben; eine solche Änderung liegt dem Quellensatz nicht vor.

Bei der Bemessung berücksichtigt das Board nach s. 33(2) Art, Schwere und Dauer des Verstoßes, Art der betroffenen Daten, Wiederholung, einen erlangten Vorteil oder vermiedenen Nachteil, ob und wie rechtzeitig und wirksam Minderungsmaßnahmen ergriffen wurden, ob die Strafe verhältnismäßig und wirksam ist, und die wahrscheinlichen Auswirkungen der Strafe auf die Person. Eingenommene Strafen fließen nach s. 34 in den Consolidated Fund of India.

Sperrung von Angeboten (s. 37)

s. 37 ist für ausländische Anbieter das schärfste Instrument. Die Zentralregierung oder ein von ihr besonders ermächtigter Amtsträger kann auf schriftlichen Verweis des Board, der zusammen (a) mitteilt, dass gegen einen Data Fiduciary in zwei oder mehr Fällen Geldstrafen verhängt wurden, und (b) im Interesse der Allgemeinheit eine Sperrung empfiehlt, nachdem dem Data Fiduciary Gelegenheit zur Anhörung gegeben wurde, wenn die anordnende Stelle selbst überzeugt ist, dass die Sperrung im Interesse der Allgemeinheit notwendig oder zweckmäßig ist, und mit schriftlicher Begründung anordnen, dass Stellen der Zentralregierung oder Vermittler den öffentlichen Zugang zu Informationen sperren, über die der Data Fiduciary Waren oder Dienstleistungen an Data Principals in Indien anbietet. Vermittler sind an eine solche Anordnung gebunden. s. 37 tritt in der dritten Stufe in Kraft.

Rechtsmittel (s. 29, 30, Rule 22)

Gegen eine Anordnung oder Entscheidung des Board kann jede beschwerte Person Berufung zum Appellate Tribunal einlegen; das ist nach s. 2(a) das Telecom Disputes Settlement and Appellate Tribunal nach dem TRAI Act 1997. Die Frist beträgt sechzig Tage ab Erhalt der Entscheidung; das Tribunal kann eine spätere Berufung zulassen, wenn ein hinreichender Grund für die Verspätung besteht. Es entscheidet, nachdem es den Parteien Gelegenheit zur Anhörung gegeben hat, bestätigt, ändert oder hebt auf und soll innerhalb von sechs Monaten entscheiden; gelingt das nicht, hält es die Gründe schriftlich fest. Gegen Entscheidungen des Tribunal gilt nach s. 29(9) s. 18 des TRAI Act; dessen Inhalt liegt dem Quellensatz nicht vor. Entscheidungen des Tribunal sind nach s. 30 wie ein zivilgerichtliches Urteil vollstreckbar; das Tribunal kann sie nach s. 30(2) auch einem örtlich zuständigen Zivilgericht zur Vollstreckung übermitteln.

Rule 22 ergänzt: Die Berufung ist in digitaler Form einzureichen, die Gebühr entspricht der für Berufungen nach dem TRAI Act, sofern der Vorsitz des Tribunal sie nicht ermäßigt oder erlässt, und ist digital zu zahlen. Das Tribunal ist nicht an den Code of Civil Procedure gebunden, orientiert sich an den Grundsätzen der natural justice und arbeitet als digitales Büro.

Nach s. 39 sind Zivilgerichte für Angelegenheiten, für die das Board zuständig ist, nicht zuständig, und gegen Maßnahmen nach dem Gesetz ergeht keine einstweilige Verfügung (injunction) durch ein Gericht oder eine andere Stelle. Der Rechtsschutz gegen Maßnahmen des Board läuft damit über das Tribunal; an der Vollstreckung können Zivilgerichte nach s. 30(2) beteiligt sein.

Auskunftsverlangen der Zentralregierung (s. 36, Rule 23)

Neben dem Board kann die Zentralregierung nach s. 36 vom Board, von Data Fiduciaries und von Vermittlern Informationen verlangen. Rule 23 mit Seventh Schedule bindet das an bestimmte Zwecke und benannte befugte Personen, darunter die Prüfung, ob ein Data Fiduciary als Significant Data Fiduciary notifiziert werden soll. Wo die Offenlegung der Auskunftserteilung Souveränität und Integrität Indiens oder die Sicherheit des Staates voraussichtlich beeinträchtigt, kann die Zentralregierung verlangen, dass der Data Fiduciary oder Vermittler die Tatsache, dass Auskunft erteilt wurde, den Betroffenen oder anderen nur mit vorheriger schriftlicher Erlaubnis der befugten Person bekannt gibt. s. 36 und Rule 23 treten in der dritten Stufe in Kraft.

Rule 16

Rule 16 gehört zum Zuschnitt dieses Artikels, betrifft aber nicht das Board: Sie regelt die Ausnahme vom Gesetz für Forschung, Archivierung und Statistik nach den Standards des Second Schedule (Einordnung in dpdpa-002). Sie tritt in der dritten Stufe in Kraft.

Geltungsbeginn im Überblick

Seit der Veröffentlichung von G.S.R. 843(E) am 13.11.2025 gelten s. 2, s. 18 bis 26 (Errichtung, Zusammensetzung, Organisation), s. 35 (Schutz bei gutgläubigem Handeln), s. 38 bis 43 (unter anderem Vorrang, Ausschluss der Zivilgerichte, Änderung des Schedule) und s. 44(1) und (3); nach Rule 1(2) außerdem die Rules 1, 2 und 17 bis 21. Ein Jahr nach der Veröffentlichung tritt s. 27(1)(d) in Kraft. Wie diese Befugnis vor dem Inkrafttreten von s. 28 und s. 33 verfahrensmäßig ausgeübt wird, regeln die Quellen nicht. Achtzehn Monate nach der Veröffentlichung folgen die übrigen Befugnisse aus s. 27, die Vorschriften zu Verfahren, Berufung, Mediation, freiwilliger Verpflichtung und Strafen (s. 28 bis 34), s. 36 und s. 37 sowie Rule 16, 22 und 23.

Umsetzungsperspektive

Für ein deutsches Unternehmen mit indischem Bezug ergeben sich aus dem Board-Kapitel vier Arbeitsaufträge, die vor der dritten Stufe erledigt sein sollten.

Verfahrensfähigkeit herstellen. Das Board arbeitet digital und mit Fristen. Es braucht eine benannte Stelle, die Mitteilungen des Board empfängt, ein Verfahren intern steuert und gegebenenfalls indische Rechtsvertretung einschaltet. Ohne diese Stelle verstreicht Zeit, ehe die zuständigen Personen überhaupt informiert sind.

Nachweisfähigkeit aufbauen. Das Board kann Daten, Bücher und Register inspizieren und Dokumente anfordern. Bei der Bemessung berücksichtigt das Board nach s. 33(2) unter anderem, ob Minderungsmaßnahmen ergriffen wurden und wie rechtzeitig und wirksam sie waren. Wie das Board Umstände bewertet, die das Unternehmen nicht belegen kann, regelt der Quellensatz nicht; Dokumentation von Sicherheitsvorkehrungen, Pannenbehandlung und Betroffenenanfragen ist deshalb praktische Verfahrensvorsorge, damit das Unternehmen diese Umstände darlegen kann.

Beschwerdekanal ernst nehmen. Weil Data Principals nach s. 13(3) zuerst das interne Beschwerdeverfahren ausschöpfen müssen, ist ein gut funktionierender Beschwerdeweg das wirksamste Mittel, Board-Verfahren zu vermeiden.

Freiwillige Verpflichtung vorbereiten. Wer in einem Verfahren eine Abhilfe anbieten will, braucht einen realistischen, umsetzbaren Maßnahmenplan. Weil ein Verstoß gegen die angenommene Verpflichtung als eigener Gesetzesverstoß gilt, darf nur versprochen werden, was das Unternehmen sicher halten kann.

Typische Fehler

1. Errichtung mit Befugnis verwechseln. Das Board besteht seit dem 13.11.2025, untersuchen und strafen kann es nach den Quellen erst mit Inkrafttreten von s. 27 (überwiegend), s. 28 und s. 33.
2. Höchstbeträge als Regelstrafe lesen. Der Schedule nennt Obergrenzen; Voraussetzung ist ein erheblicher Verstoß, und die Bemessung folgt s. 33(2).
3. Den Sicherheitsposten unterschätzen. Der höchste Betrag im Schedule gilt nicht der Meldung, sondern den angemessenen Sicherheitsvorkehrungen nach s. 8(5).
4. Die Berufungsfrist verpassen. Sechzig Tage ab Erhalt; eine verspätete Berufung ist nur bei hinreichendem Grund zulässig, und darauf besteht kein Anspruch.
5. Auf Zivilgerichte setzen. s. 39 schließt Zivilgerichte für Angelegenheiten aus, für die das Board zuständig ist, und einstweilige Verfügungen gegen Maßnahmen nach dem Gesetz; der Rechtsschutz führt über das Tribunal.
6. Eine freiwillige Verpflichtung als Freibrief behandeln. Sie sperrt Verfahren nur zu ihrem Inhalt und nur solange sie eingehalten wird; ein Verstoß dagegen kann bis zur Höhe der ursprünglichen Strafobergrenze geahndet werden.
7. Ausländische Präsenz für unerreichbar halten. s. 37 erlaubt nach wiederholten Strafen die Sperrung des Zugangs zu Angeboten in Indien.

Risiken und Trade-offs

Die freiwillige Verpflichtung ist ein Abwägungsinstrument. Nimmt das Board sie an, sperrt sie Verfahren zu ihrem Inhalt; sie bindet aber an ihre Bedingungen, die etwa eine Handlung innerhalb einer vom Board bestimmten Frist, ein Unterlassen oder eine Veröffentlichung der Verpflichtung vorsehen können. Eine Zusage, die das Unternehmen nicht halten kann, erzeugt ein neues Strafrisiko; ob das Board eine Zusage annimmt, liegt in seinem Ermessen.

Die Bemessungskriterien belohnen frühe Minderung. Das spricht dafür, im Vorfall schnell zu handeln und das Handeln zu dokumentieren, auch wenn die Ursache noch nicht geklärt ist. Gleichzeitig wird jede Maßnahme Teil der Akte, die das Board prüft.

Die Digitalisierung des Verfahrens senkt Aufwand, verkürzt aber auch Reaktionswege. Ein Unternehmen ohne verlässlichen Empfangsweg für Mitteilungen läuft Gefahr, Fristen zu versäumen, deren Beginn es nicht bemerkt hat.

s. 37 schafft für Anbieter mit indischem Endkundengeschäft ein Existenzrisiko für das Angebot, das über die Geldstrafe hinausgeht. Die Schwelle ist hoch (Strafen in mindestens zwei Fällen, Empfehlung des Board, Gelegenheit zur Anhörung, eigene Überzeugung der anordnenden Stelle, dass die Sperrung im Interesse der Allgemeinheit notwendig oder zweckmäßig ist), aber sie ist erreichbar.

Entscheidungspunkte

• Wer ist im Konzern Empfänger für Mitteilungen des Board, und wie werden sie an die indische Einheit und die Konzernzentrale weitergeleitet?
• Welche indische Rechtsvertretung wird im Verfahren und für eine Berufung zum Tribunal beauftragt?
• Wie werden Sicherheitsvorkehrungen, Pannenbehandlung und Beschwerden so dokumentiert, dass sie im Verfahren vorgelegt werden können?
• Unter welchen Bedingungen wird eine freiwillige Verpflichtung angeboten, und wer darf sie zusagen?
• Wie hoch ist das Risiko aus s. 37 für indische Endkundenangebote, und wie wird es in der Risikobewertung abgebildet?

Praktische Empfehlungen

1. Den Zeitpunkt achtzehn Monate nach dem 13.11.2025 als Stichtag für Verfahrens- und Strafbefugnisse in die Compliance-Planung aufnehmen; s. 27(1)(d) ein Jahr nach diesem Datum gesondert für Consent Manager.
2. Eine zentrale, digital erreichbare Kontaktstelle für Verfahren vor dem Board festlegen und Fristenüberwachung für Untersuchung und Berufung einrichten.
3. Die Risikobewertung an den Höchstbeträgen des Schedule ausrichten, aber die Bemessungskriterien des s. 33(2) als die eigentlichen Steuerungsgrößen behandeln: Schwere, Dauer, Datenart, Wiederholung und rechtzeitige Minderung.
4. Den internen Beschwerdeweg so ausbauen, dass Data Principals ihn nicht als bloße Formalität erleben.
5. Für den Ernstfall ein Muster für den internen Entscheidungsweg zu einer freiwilligen Verpflichtung vorhalten, ohne Inhalte vorwegzunehmen.
6. Bei Einzelfragen zu Verfahren, Tribunal und Vollstreckung indische Rechtsberatung einholen; der Quellensatz enthält das Verfahrensrecht des TRAI Act nicht.

Relevante Normreferenzen

• DPDP Act 2023 (No. 22 of 2023): s. 2(a) (Appellate Tribunal), s. 2(c), (e), (q) (Board, Chairperson, Member), s. 13(3) (Vorrang des internen Beschwerdewegs), s. 18 bis 26 (Errichtung, Zusammensetzung, Amtszeit, Ausschlussgründe, Rücktritt und Karenz, Sitzungen, Bedienstete, public servants, Befugnisse des Chairperson), s. 27 (Befugnisse), s. 28 (Verfahren), s. 29 und 30 (Berufung, Vollstreckung), s. 31 (Mediation), s. 32 (freiwillige Verpflichtung), s. 33 (Strafen, Bemessung), s. 34 (Consolidated Fund), s. 35 (Schutz bei gutgläubigem Handeln), s. 36 (Auskunftsverlangen), s. 37 (Sperranordnung), s. 39 (Ausschluss der Zivilgerichte), s. 42 (Änderung des Schedule), Schedule Nr. 1 bis 7.
• DPDP Rules 2025 (G.S.R. 846(E)): Rule 1 (Inkrafttreten), Rule 16 (Forschung, Archivierung, Statistik, nur als Verweis), Rule 17 (Ernennung), Rule 18 mit Fifth Schedule (Dienstbedingungen der Mitglieder), Rule 19 (Sitzungen, Beglaubigung, Untersuchungsfrist), Rule 20 (digitales Büro), Rule 21 mit Sixth Schedule (Bedienstete), Rule 22 (Berufung), Rule 23 mit Seventh Schedule (Auskunftsverlangen der Zentralregierung).
• G.S.R. 843(E) (Inkraftsetzung in drei Stufen), G.S.R. 844(E) (Errichtung des Board, Hauptsitz), G.S.R. 845(E) (vier Mitglieder), alle vom 13.11.2025.
• Nicht im Quellensatz und deshalb nicht ausgewertet: Telecom Regulatory Authority of India Act 1997 (insbesondere s. 14, 14A, 16 und 18), Code of Civil Procedure 1908, Notifikationen nach s. 42, Verfahrensordnungen oder Hinweise des Board, Ernennungen von Mitgliedern.
• Abgrenzung: Sanktionen und Aufsicht nach der DSGVO für das deutsche Unternehmen im dsgvo-Track; hier steht ausschließlich die indische Seite, Vergleiche nur als Orientierung. Meldepflicht bei Datenpannen in dpdpa-005, Pflichten, deren Verletzung die Strafen auslöst, in dpdpa-003 und dpdpa-004, Anwendungsbereich in dpdpa-002. Der lgpd-Track (lgpd-007) behandelt die strukturell vergleichbare brasilianische Sanktionsordnung; daraus folgt keine Aussage zum indischen Recht.