DPDP Act Indien: Einwilligung, Notice, legitimate uses, Consent Manager und der Schutz von Kindern und Menschen mit Behinderung

Problem in der Praxis

Deutsche Unternehmen tragen meist ein fertiges Datenschutzmodell nach Indien und lesen das indische Recht als Variante davon. Drei Annahmen gehen dabei regelmäßig schief.

Die erste ist die Rechtsgrundlagenannahme: Wer gewohnt ist, Marketing, Analytics oder Betrugsprävention auf eine Interessenabwägung zu stützen, findet im DPDP Act kein Gegenstück. s. 4(1) lässt nur Einwilligung oder legitimate uses zu, und s. 7 nennt die legitimate uses als geschlossene Liste. Was dort nicht steht, braucht die Einwilligung, soweit das Gesetz anwendbar ist und keine Ausnahme nach s. 17 greift.

Die zweite ist die Altersannahme: Der DPDP Act definiert als Kind jede Person, die das achtzehnte Lebensjahr nicht vollendet hat (s. 2(f)). Wer Altersgrenzen aus anderen Rechtsordnungen übernimmt, verlangt die Elterneinwilligung für Jugendliche zu spät, und das Verbot von Tracking und zielgerichteter Werbung erfasst dieselbe Altersgruppe bis achtzehn.

Die dritte ist die Formannahme: Eine allgemeine Datenschutzerklärung auf der Website ersetzt die Notice nach Rule 3 nicht. Die Notice muss für sich allein verständlich sein, unabhängig von anderen Informationen, die der Data Fiduciary bereitstellt, und sie muss eine aufgeschlüsselte Beschreibung der Daten und den konkreten Zweck samt Beschreibung der Leistung enthalten. Dazu kommt das Sprachangebot: Notice und Einwilligungsanfrage müssen wahlweise auf Englisch oder in einer der Sprachen der Achten Anlage (Eighth Schedule) der indischen Verfassung abrufbar sein.

Hinzu kommt eine Zeitfalle in umgekehrter Richtung: Weil die Kernpflichten noch nicht gelten, wird das Thema verschoben. Gerade die Altbestände sind aber betroffen, denn für Einwilligungen, die vor dem Inkrafttreten erteilt wurden, verlangt s. 5(2) eine nachträgliche Notice.

CISO-Einordnung

Zwei Wege und eine Grundbedingung. s. 4 erlaubt die Verarbeitung personenbezogener Daten nur nach den Vorschriften des Gesetzes, für einen rechtmäßigen Zweck (lawful purpose) und entweder auf Grundlage einer Einwilligung oder für bestimmte legitimate uses. "Rechtmäßiger Zweck" ist nach s. 4(2) jeder Zweck, den kein Gesetz ausdrücklich verbietet. Das ist eine niedrige Schwelle; die eigentliche Steuerung liegt in der Wahl zwischen Einwilligung und legitimate use.

Die legitimate uses als geschlossener Katalog. s. 7 erlaubt dem Data Fiduciary die Verarbeitung ohne gesonderte Einwilligung für eine Reihe benannter Verwendungen. Für Unternehmen sind auf Managementebene vor allem diese einschlägig: Daten, die die Person für einen bestimmten Zweck freiwillig bereitgestellt hat, solange sie nicht zu erkennen gibt, dass sie mit der Verwendung nicht einverstanden ist (s. 7(a)); die Erfüllung einer gesetzlichen Pflicht nach indischem Recht, dem Staat Informationen offenzulegen, im Rahmen der dafür geltenden Offenlegungsvorschriften (s. 7(d)); die Befolgung von Urteilen und Anordnungen nach indischem Recht sowie von Urteilen oder Anordnungen zu vertraglichen oder zivilrechtlichen Ansprüchen nach ausländischem Recht (s. 7(e)); medizinische Notfälle mit Lebensgefahr oder unmittelbarer Gesundheitsgefahr, Behandlung während Epidemien und Hilfe bei Katastrophen oder Zusammenbruch der öffentlichen Ordnung (s. 7(f) bis (h)); und Zwecke der Beschäftigung oder solche, die den Arbeitgeber vor Verlust oder Haftung schützen, etwa die Verhinderung von Werksspionage, der Schutz von Geschäftsgeheimnissen, geistigem Eigentum und eingestuften Informationen oder die Erbringung von Leistungen, die ein Beschäftigter in Anspruch nimmt (s. 7(i)). Daneben enthält der Katalog Verwendungen durch den Staat und seine Einrichtungen (s. 7(b) und (c)); für die Leistungsgewährung nach s. 7(b) gelten zusätzlich Rule 5 und die Zweite Anlage der Rules. Beides wird hier nicht vertieft; maßgeblich für den vollständigen Katalog und seine Tatbestandsmerkmale ist der Wortlaut von s. 7.

Zwei Beobachtungen sind für die Praxis wichtig. Erstens ist s. 7(a) eng: Die Erlaubnis knüpft an eine freiwillige Bereitstellung für einen bestimmten Zweck an und endet, wenn die Person zu erkennen gibt, dass sie nicht einverstanden ist; eine Weiterverwendung für andere Zwecke trägt sie nach dem Wortlaut nicht. Der Begriff "specified purpose" ist in s. 2(za) über den in der Notice genannten Zweck definiert; wie das mit s. 7(a) zusammenpasst, wenn für legitimate uses keine Notice nach s. 5 vorgesehen ist, regelt die Quelle nicht ausdrücklich. Zweitens deckt s. 7(i) die Beschäftigungsverarbeitung der indischen Tochter breit ab, nennt aber Beispiele und keinen abschließenden Zweckkatalog; wo die Grenze der "Beschäftigungszwecke" verläuft, legt der Quellensatz nicht fest.

Die Notice: was sie enthalten muss und wann. Nach s. 5(1) ist jede Einwilligungsanfrage von einer Notice des Data Fiduciary zu begleiten oder ihr vorauszuschicken. Sie informiert über die Daten und den Zweck, über den Weg, Einwilligung zu widerrufen und Beschwerde beim Data Fiduciary einzulegen (s. 6(4) und s. 13), und über den Weg der Beschwerde beim Data Protection Board of India (Board). Rule 3 konkretisiert das: Die Notice muss für sich allein verständlich sein, in klarer und einfacher Sprache eine faire Darstellung geben, die eine spezifische und informierte Einwilligung ermöglicht, mindestens eine aufgeschlüsselte Beschreibung der Daten und den oder die konkreten Zwecke mit einer konkreten Beschreibung der Waren, Dienstleistungen oder Verwendungen enthalten und einen bestimmten Kommunikationslink zur Website oder App des Data Fiduciary samt Beschreibung etwaiger weiterer Wege nennen, über die die Person die Einwilligung so leicht widerrufen kann, wie sie sie erteilt hat, ihre Rechte ausübt und Beschwerde beim Board einlegt. Nach s. 5(3) muss die Person den Inhalt der Notice wahlweise auf Englisch oder in einer Sprache der Achten Anlage der Verfassung abrufen können; die Liste dieser Sprachen liegt nicht im Quellensatz.

Für Altbestände gilt s. 5(2): Hat eine Person vor dem Inkrafttreten eingewilligt, muss der Data Fiduciary ihr, sobald es vernünftigerweise praktikabel ist, eine entsprechende Notice über die bereits verarbeiteten Daten und deren Zweck geben; er darf die Daten weiterverarbeiten, bis die Person ihre Einwilligung widerruft. Weil das Gesetz gestuft in Kraft tritt, ist s. 1(2) zu beachten: Ein Verweis auf das Inkrafttreten des Gesetzes in einer Vorschrift gilt als Verweis auf das Inkrafttreten dieser Vorschrift. Maßgeblich ist danach das Inkrafttreten von s. 5 in der dritten Stufe.

Die Notice nach s. 5 ist an die Einwilligungsanfrage gebunden. Für die Verarbeitung auf Grundlage von legitimate uses sieht s. 5 keine Notice vor. Für staatliche Verarbeitungen nach s. 7(b) verlangt die Zweite Anlage der Rules eine Unterrichtung der Person; für die übrigen legitimate uses enthält der Quellensatz keine vergleichbare Notice-Pflicht nach s. 5 oder Rule 3.

Die Einwilligung: Qualitätsmerkmale, Teilnichtigkeit, Widerruf, Beweislast. s. 6(1) verlangt eine freie, spezifische, informierte, unbedingte und unmissverständliche Einwilligung durch eine eindeutige bestätigende Handlung, die die Zustimmung zur Verarbeitung für den bestimmten Zweck ausdrückt und auf die dafür erforderlichen Daten beschränkt ist. Die amtliche Illustration zeigt die Folge: Wer für eine Telemedizin-App zusätzlich den Zugriff auf das Adressbuch erfragt, erhält insoweit keine wirksame Einwilligung, weil das Adressbuch für den Dienst nicht erforderlich ist. Teile einer Einwilligung, die gegen das Gesetz, die Rules oder anderes geltendes Recht verstoßen, sind in diesem Umfang unwirksam (s. 6(2)); die Illustration nennt den Verzicht auf das Beschwerderecht beim Board.

Die Einwilligungsanfrage muss in klarer und einfacher Sprache gestellt werden, das Sprachangebot nach der Achten Anlage enthalten und die Kontaktdaten eines Data Protection Officer, soweit vorhanden, oder einer anderen vom Data Fiduciary für Anfragen zur Rechteausübung benannten Person nennen (s. 6(3)). Die Person kann ihre Einwilligung jederzeit widerrufen, und der Widerruf muss so leicht sein wie die Erteilung (s. 6(4)). Die Folgen des Widerrufs trägt die Person; die Rechtmäßigkeit der vorherigen Verarbeitung bleibt unberührt (s. 6(5)). Nach dem Widerruf muss der Data Fiduciary innerhalb angemessener Zeit die Verarbeitung einstellen und seine Data Processors (Auftragsverarbeiter) zur Einstellung veranlassen, es sei denn, die Verarbeitung ohne Einwilligung ist nach dem Gesetz, den Rules oder anderem in Indien geltendem Recht vorgeschrieben oder zugelassen (s. 6(6)). Eine Zahl für die "angemessene Zeit" nennt die Quelle nicht. Die Löschpflicht nach dem Widerruf steht in s. 8(7) und wird in dpdpa-004 behandelt.

Für die Beweisführung ist s. 6(10) die zentrale Norm für das Design: Ist die Einwilligung Grundlage der Verarbeitung und kommt dazu in einem Verfahren (proceeding) eine Frage auf, muss der Data Fiduciary beweisen, dass er die Notice gegeben und die Person ordnungsgemäß eingewilligt hat. "Proceeding" ist nach s. 2(w) jede Maßnahme des Board nach dem Gesetz; eine allgemeine Beweislastregel für andere Streitigkeiten, etwa vor Gerichten, enthält s. 6(10) nicht. Ein Einwilligungssystem ohne revisionssicheren Nachweis von Notice-Version, Zeitpunkt und Einwilligungshandlung ist deshalb kein Formfehler, sondern ein Beweisrisiko.

Consent Manager: was sie sind und was sie für Unternehmen bedeuten. Ein Consent Manager ist eine beim Board registrierte Person, die als zentrale Anlaufstelle über eine zugängliche, transparente und interoperable Plattform ermöglicht, Einwilligungen zu erteilen, zu verwalten, zu überprüfen und zu widerrufen (s. 2(g)). Die Data Principal kann ihre Einwilligung gegenüber dem Data Fiduciary über einen Consent Manager erteilen, verwalten, überprüfen oder widerrufen (s. 6(7)); der Consent Manager ist ihr gegenüber rechenschaftspflichtig und handelt in ihrem Namen (s. 6(8)). Eine ausdrückliche Pflicht des Data Fiduciary, sich an einen Consent Manager anzubinden, enthält der Quellensatz nicht; wie ein Data Fiduciary eine über einen Consent Manager erteilte oder widerrufene Einwilligung im Einzelnen verarbeiten muss, regelt die Quelle nicht näher.

Die Registrierung regeln s. 6(9), Rule 4 und die Erste Anlage. Auf Managementebene zusammengefasst: Antragsteller muss eine in Indien gegründete Gesellschaft mit ausreichender technischer, operativer und finanzieller Leistungsfähigkeit und einem Reinvermögen (net worth) von mindestens zwei crore Rupien sein, deren Plattform unabhängig zertifiziert ist; der Consent Manager darf die geteilten Inhalte selbst nicht lesen können, führt Aufzeichnungen über Einwilligungen, Notices und Datenweitergaben mindestens sieben Jahre oder länger, wenn mit der Data Principal vereinbart oder gesetzlich verlangt, darf seine Pflichten nicht weitervergeben, handelt treuhänderisch für die Data Principal, muss Interessenkonflikte mit Data Fiduciaries vermeiden und unterliegt Prüf- und Berichtspflichten gegenüber dem Board. Das Board kann die Registrierung nach Anhörung aussetzen oder widerrufen (Rule 4(5)). Die vollständigen Bedingungen und Pflichten stehen in der Ersten Anlage und sind dort nachzulesen. Für ein deutsches Unternehmen folgt daraus vor allem: Selbst Consent Manager werden kann nur eine indische Gesellschaft; als Data Fiduciary ist mit Einwilligungen und Widerrufen zu rechnen, die über eine solche Plattform eingehen.

Kinder: Elterneinwilligung, Schädigungsverbot, Tracking- und Werbeverbot. Vor der Verarbeitung personenbezogener Daten eines Kindes muss der Data Fiduciary die überprüfbare Einwilligung (verifiable consent) eines Elternteils einholen; "Elternteil" schließt den gesetzlichen Vormund ein (s. 9(1)). Das gilt nach dem Wortlaut für jede Verarbeitung von Kinderdaten, nicht nur für einwilligungsbasierte, soweit keine Ausnahme nach s. 9(4) oder (5) greift und das Kapitel nicht nach s. 17 unanwendbar ist. Unabhängig davon darf er keine Verarbeitung vornehmen, die voraussichtlich eine schädliche Wirkung auf das Wohlergehen eines Kindes hat (s. 9(2)), und er darf kein Tracking, keine Verhaltensüberwachung und keine auf Kinder gerichtete zielgerichtete Werbung betreiben (s. 9(3)).

Wie die Elterneinwilligung überprüfbar wird, regelt Rule 10. Der Data Fiduciary muss geeignete technische und organisatorische Maßnahmen ergreifen, damit die Einwilligung vor der Verarbeitung eingeholt wird, und mit gebotener Sorgfalt prüfen, dass die Person, die sich als Elternteil ausgibt, volljährig ist, also das achtzehnte Lebensjahr vollendet hat, und identifizierbar ist, soweit das im Zusammenhang mit der Einhaltung indischen Rechts erforderlich ist. Prüfgrundlage sind entweder verlässliche Identitäts- und Altersangaben, die dem Data Fiduciary bereits vorliegen, oder freiwillig bereitgestellte Angaben, und zwar von der Person selbst oder über ein virtuelles Token einer dazu befugten Stelle; dazu zählen auch Angaben, die ein Digital-Locker-Anbieter bereitstellt und verifiziert. Die amtlichen Illustrationen unterscheiden, ob der Elternteil bereits registrierter Nutzer ist und ob das Kind oder der Elternteil das Konto anlegt; in allen Fällen ist die Prüfung vor der Verarbeitung der Kinderdaten vorzunehmen.

Von s. 9(1) und (3), ausdrücklich nicht von s. 9(2), nimmt Rule 12 mit der Vierten Anlage aus, und zwar jeweils nur unter den dort genannten Bedingungen. Teil A nennt Klassen von Data Fiduciaries, darunter klinische Einrichtungen und Angehörige der Gesundheitsberufe, beschränkt auf Gesundheitsleistungen für das Kind, soweit zum Schutz seiner Gesundheit erforderlich, und Bildungseinrichtungen, beschränkt auf Tracking und Verhaltensüberwachung für ihre Bildungsaktivitäten oder im Interesse der Sicherheit der Kinder; weitere Klassen betreffen Kinderbetreuung und Schülerbeförderung. Teil B nennt Zwecke, darunter die Anlage eines Nutzerkontos, dessen Nutzung auf E-Mail-Kommunikation beschränkt ist, und die Bestätigung, dass die Person kein Kind ist, sowie die Sorgfaltsprüfung nach Rule 10, jeweils beschränkt auf das dafür Erforderliche. Das sind Beispiele, keine vollständige Wiedergabe; maßgeblich sind die vollständigen Klassen, Zwecke und Bedingungen der Vierten Anlage.

Daneben kann die Zentralregierung nach s. 9(5) einem Data Fiduciary, der nachweislich sicher mit Kinderdaten umgeht, eine Altersgrenze notifizieren, oberhalb derer er von s. 9(1) und (3) ganz oder teilweise befreit ist. Eine solche Notifikation liegt im Quellensatz nicht vor; ob es eine gibt, ist nicht gemessen.

Menschen mit Behinderung. Bei einer Person mit Behinderung, die einen gesetzlichen Betreuer hat, ist nach s. 9(1) die überprüfbare Einwilligung des Betreuers einzuholen. Rule 11 verlangt die gebotene Sorgfalt bei der Prüfung, dass der Betreuer von einem Gericht, einer benannten Behörde oder einem örtlichen Ausschuss nach dem einschlägigen Betreuungsrecht bestellt ist, und verweist dafür auf den Rights of Persons with Disabilities Act, 2016 und den National Trust Act, 1999. Für dieses Verfahren definiert Rule 11 die Person mit Behinderung in zwei Gruppen: Personen mit langfristiger körperlicher, psychischer, intellektueller oder sensorischer Beeinträchtigung, die sie im Zusammenwirken mit Barrieren an der vollen und gleichberechtigten Teilhabe hindert, und Personen mit Autismus, Zerebralparese, geistiger Behinderung (im Wortlaut "mental retardation") oder einer Kombination solcher Zustände einschließlich schwerer Mehrfachbehinderung; in beiden Gruppen ist Voraussetzung, dass die Person trotz angemessener und geeigneter Unterstützung keine rechtlich bindenden Entscheidungen treffen kann. Die beiden Betreuungsgesetze selbst liegen nicht im Quellensatz; ihre Voraussetzungen erklärt der Korpus nicht. Die Verbote nach s. 9(2) und (3) beziehen sich nach dem Wortlaut auf Kinder, nicht auf Menschen mit Behinderung.

Geltungsbeginn, gestuft. Nach G.S.R. 843(E) und Rule 1 gilt: s. 4, 5, 6(1) bis (8) und (10), 7 und 9 sowie Rules 3, 10, 11 und 12 treten achtzehn Monate nach der Veröffentlichung vom 13.11.2025 in Kraft; s. 6(9) und Rule 4 (Registrierung der Consent Manager) ein Jahr nach dieser Veröffentlichung; die Begriffsbestimmungen in s. 2 und Rule 2 gelten bereits seit der Veröffentlichung. Am Stand dieses Artikels (10.10.2026) gelten die Pflichten dieses Artikels noch nicht. Ein Tagesdatum für die späteren Stufen nennen die Quellen nicht.

Rechtsfolgen, nur zur Orientierung. Die Anlage zu s. 33(1) nennt für Verstöße gegen die zusätzlichen Pflichten in Bezug auf Kinder nach s. 9 eine Strafe, die sich auf bis zu zweihundert crore Rupien erstrecken kann, und für Verstöße gegen sonstige Bestimmungen des Gesetzes oder der Rules bis zu fünfzig crore Rupien. Verfahren und Bemessung behandelt dpdpa-007.

Umsetzungsperspektive

1. Verarbeitungen je Rechtsgrundlage zuordnen. Zuerst klären, ob das Gesetz anwendbar ist und ob eine Ausnahme nach s. 17 greift (dpdpa-002). Für jede Verarbeitung, für die s. 4 bis 7 gelten, festhalten, ob sie auf Einwilligung oder auf einem konkret benannten Eintrag von s. 7 beruht. Ohne Zuordnung zu einem Eintrag ist für solche Verarbeitungen die Einwilligung erforderlich.
2. HR-Verarbeitung der indischen Tochter auf s. 7(i) prüfen. Beschäftigungszwecke und Arbeitgeberschutz sind dort benannt; für Verarbeitungen jenseits davon, etwa freiwillige Zusatzangebote mit Drittanbietern, gesondert klären, ob sie noch Beschäftigungszweck sind.
3. Notice nach Rule 3 bauen, nicht aus der Datenschutzerklärung ableiten. Für sich allein verständlich, mit aufgeschlüsselter Datenliste, konkretem Zweck und Leistungsbeschreibung, Link und Beschreibung der Wege für Widerruf, Rechteausübung und Beschwerde beim Board, mit Sprachangebot.
4. Einwilligungsnachweis technisch absichern. Notice-Version, Zeitpunkt, Kanal und bestätigende Handlung je Person speichern, weil s. 6(10) dem Data Fiduciary in Verfahren des Board die Beweislast für Notice und Einwilligung auferlegt.
5. Widerruf so einfach wie Erteilung gestalten und den Stopp bei allen Data Processors durchsteuern; Ausnahmen nur, wo Recht die Verarbeitung ohne Einwilligung vorschreibt oder zulässt.
6. Altbestände inventarisieren. Für vor dem Inkrafttreten von s. 5 erteilte Einwilligungen die nachträgliche Notice nach s. 5(2) vorbereiten.
7. Altersprüfung bis achtzehn einplanen. Altersfeststellung, Elternverifikation nach Rule 10 und Abschaltung von Tracking und zielgerichteter Werbung für Kinder gemeinsam entwerfen; prüfen, ob ein Tatbestand der Vierten Anlage samt Bedingungen greift.
8. Consent-Manager-Eingang vorsehen. Prozesse und Schnittstellen so planen, dass Einwilligungen und Widerrufe, die über einen registrierten Consent Manager eingehen, erkannt und umgesetzt werden.

Typische Fehler

1. Eine Interessenabwägung wird als Rechtsgrundlage unterstellt, obwohl s. 7 sie nicht enthält.
2. s. 7(a) wird als allgemeine Erlaubnis für alles freiwillig Mitgeteilte gelesen, obwohl sie an den bestimmten Zweck gebunden ist und mit erkennbarem Widerspruch der Person endet.
3. Die Altersgrenze wird aus anderen Rechtsordnungen übernommen statt bei achtzehn Jahren angesetzt.
4. Die Ausnahmen der Vierten Anlage werden als Befreiung von allen Kinderschutzpflichten gelesen, obwohl sie nur von s. 9(1) und (3), nicht vom Schädigungsverbot nach s. 9(2) befreien, und nur unter den jeweils genannten Bedingungen.
5. Die Notice verweist nur auf die allgemeine Datenschutzerklärung und ist nicht aus sich heraus verständlich.
6. Das Sprachangebot nach s. 5(3) und s. 6(3) fehlt.
7. Einwilligungen werden gebündelt eingeholt, sodass für nicht erforderliche Daten keine wirksame Einwilligung entsteht.
8. Der Widerruf wird im eigenen System umgesetzt, aber nicht bei den Data Processors.
9. Wegen der noch laufenden Übergangszeit wird nichts vorbereitet, obwohl Altbestände nach s. 5(2) nachträglich zu informieren sind.

Risiken und Trade-offs

Der Grundkonflikt liegt zwischen Einwilligung und legitimate use. Die Einwilligung ist flexibel, aber widerrufbar, beweisbelastet und bei Kindern an die Elternverifikation gebunden; der legitimate use ist stabil, aber eng und an die Wortlautgrenzen des Katalogs gebunden. Wer eine Verarbeitung im Zweifel auf einen legitimate use stützt, gewinnt Stabilität und trägt das Risiko, dass der Eintrag die Verarbeitung nicht deckt.

Bei der Altersprüfung steht Schutzwirkung gegen Datensparsamkeit. Eine starke Elternverifikation über Identitäts- und Altersnachweise erzeugt selbst sensible Daten; die Vierte Anlage nimmt die Bestätigung, dass jemand kein Kind ist, und die Sorgfaltsprüfung nach Rule 10 zwar von s. 9(1) und (3) aus, beschränkt sie aber auf das dafür Erforderliche. Ein zu schwaches Verfahren verfehlt die Pflicht, ein zu starkes sammelt mehr als nötig.

Beim Design der Notice schließlich steht Einheitlichkeit gegen Präzision. Ein konzernweit einheitlicher Text ist billig, wird aber selten die aufgeschlüsselte Datenbeschreibung und die konkrete Leistungsbeschreibung je Verarbeitung leisten, die Rule 3 verlangt.

Entscheidungspunkte

• Welche Verarbeitungen mit Indienbezug stützen wir auf Einwilligung, welche auf welchen Eintrag von s. 7, und wer verantwortet die Zuordnung?
• Bieten wir Dienste an, die Kinder unter achtzehn nutzen können, und wie stellen wir Altersfeststellung und Elternverifikation dar?
• Greift für uns ein Tatbestand der Vierten Anlage, und sind dessen Bedingungen dauerhaft eingehalten?
• In welchen Sprachen stellen wir Notice und Einwilligungsanfrage bereit?
• Wie weisen wir Notice und Einwilligung in einem Verfahren des Board nach, und wie lange halten wir die Nachweise vor?
• Bis wann sind Notices für Altbestände nach s. 5(2) versandt?

Praktische Empfehlungen

• Ein Rechtsgrundlagenregister für Indien führen, mit Eintrag von s. 7 oder Einwilligung je Verarbeitung, Begründung und Datum.
• Notice-Vorlagen je Verarbeitung pflegen und gegen Rule 3 prüfen, nicht gegen die konzernweite Datenschutzerklärung.
• Einwilligungsereignisse unveränderbar protokollieren, einschließlich der angezeigten Notice-Version.
• Kinderschutz als Produktanforderung behandeln: Altersgrenze achtzehn, Elternverifikation vor der Verarbeitung, kein Tracking und keine zielgerichtete Werbung für Kinder, außer ein Tatbestand der Vierten Anlage greift samt Bedingungen.
• Bei Menschen mit Behinderung die Prüfung der Betreuerbestellung nach Rule 11 in den Prozess aufnehmen und für das zugrunde liegende indische Betreuungsrecht lokale Beratung einholen.
• Den Zeitplan an den beiden Stufen ausrichten: ein Jahr nach dem 13.11.2025 für Consent Manager, achtzehn Monate für die Kernpflichten.
• Grenzfälle zu s. 7 und zur Vierten Anlage mit indischer Rechtsberatung klären.

Relevante Normreferenzen

• DPDP Act (Act No. 22 of 2023): s. 1(2) (gestuftes Inkrafttreten, Verweise auf das Inkrafttreten), s. 2(d), (f), (g), (j), (za) (legitimate uses, Kind, Consent Manager, Data Principal, specified purpose), s. 4 (Verarbeitungsgrundlagen, lawful purpose), s. 5 (Notice, Altbestände, Sprache), s. 6 (Einwilligung, Teilnichtigkeit, Sprache und Kontakt, Widerruf und Folgen, Einstellung der Verarbeitung, Consent Manager, Beweislast), s. 7 (certain legitimate uses), s. 9 (Kinder und Menschen mit Behinderung, Ausnahmen, Altersnotifikation), Anlage zu s. 33(1) (Strafrahmen, Orientierung).
• DPDP Rules, 2025 (G.S.R. 846(E)): Rule 1 (Inkrafttreten), Rule 2 (Begriffe, verifiable consent), Rule 3 (Notice), Rule 4 und Erste Anlage Teil A und B (Consent Manager), Rule 10 (Elterneinwilligung), Rule 11 (Betreuereinwilligung), Rule 12 und Vierte Anlage Teil A und B (Ausnahmen von s. 9(1) und (3)); Rule 5 und Zweite Anlage nur erwähnt.
• G.S.R. 843(E) vom 13.11.2025 (Inkraftsetzung des Gesetzes in drei Stufen).
• Nicht im Quellensatz und deshalb nicht ausgewertet: Achte Anlage der Verfassung (Sprachenliste), Rights of Persons with Disabilities Act, 2016, National Trust Act, 1999, etwaige Notifikationen nach s. 9(5), vom Board veröffentlichte Standards für Consent-Manager-Plattformen.
• Abgrenzung: Einwilligung und Rechtsgrundlagen nach DSGVO für das deutsche Unternehmen im dsgvo-Track (etwa dsgvo-001), hier steht ausschließlich die indische Seite; Anwendungsbereich und Ausnahmen nach s. 3 und 17 in dpdpa-002; Löschung, Betroffenenrechte und Pflichten des Data Fiduciary in dpdpa-004; Strafen und Verfahren in dpdpa-007. Der lgpd-Track ist ein strukturell vergleichbarer Auslandstrack und dient nur als Querverweis, nicht als Auslegungshilfe.