Datenübermittlung aus Indien nach dem DPDP Act: Negativliste per Notifikation, strengeres Sektorrecht und der Outsourcing-Fall

Problem in der Praxis

Vier Fehlannahmen tauchen in deutschen Konzernen regelmäßig auf. Die erste ist die Lokalisierungsannahme in beide Richtungen: "Indien verlangt, dass Daten im Land bleiben" ist als allgemeine Aussage nach dem DPDP Act falsch, "Indien erlaubt jede Übermittlung" ebenso. Das Gesetz lässt Übermittlungen grundsätzlich zu und kennt vier Stellen, an denen Beschränkungen entstehen können: die Notifikation nach s. 16(1), strengeres Sektorrecht nach s. 16(2), Anforderungen nach Rule 15 für das Zugänglichmachen an ausländische Staaten und die Lokalisierung bestimmter Daten bei Significant Data Fiduciaries nach Rule 13(4).

Die zweite ist das DSGVO-Denkmuster. Wer gewohnt ist, für jede Übermittlung einen Mechanismus zu wählen, sucht im indischen Recht nach Standardvertragsklauseln oder Angemessenheitsentscheidungen und findet keine. Daraus folgt nicht, dass nichts zu tun ist: Die übrigen Pflichten des Data Fiduciary, insbesondere die Verantwortung für Verarbeiter, die Sicherheitsvorkehrungen und die Auskunftsrechte der Betroffenen, reisen mit den Daten.

Die dritte ist die Überdehnung der Outsourcing-Ausnahme. s. 17(1)(d) befreit nicht vom ganzen Gesetz, sondern von großen Teilen, und nur für Daten von Personen, die sich nicht in Indien befinden, nur bei Verarbeitung auf Grund eines Vertrags mit einer Person außerhalb Indiens und nur für die Verarbeitung durch eine in Indien ansässige Person. Ein indisches Servicezentrum, das neben deutschen auch indische Kundendaten bearbeitet, hat zwei Regime nebeneinander.

Die vierte ist die Zeitachse. Weil die Kernbestimmungen erst achtzehn Monate nach dem 13.11.2025 gelten, werden sie entweder schon heute als geltend behandelt oder bis zum Stichtag ignoriert. Beides ist teuer: Das eine erzeugt Vertragsaufwand ohne Rechtsgrund, das andere lässt keine Zeit, Flüsse zu inventarisieren und auf eine spätere Notifikation reagieren zu können.

CISO-Einordnung

Das Modell: grundsätzlich zulässig, beschränkbar. s. 16(1) DPDP Act ist eine Ermächtigung, kein Verbot: Die Zentralregierung kann durch Notifikation die Übermittlung durch einen Data Fiduciary zur Verarbeitung in ein Land oder Gebiet außerhalb Indiens beschränken, das sie in dieser Notifikation benennt. Das Gesetz sagt nicht, nach welchen Kriterien Länder benannt werden, und es sagt nicht, welche Gestalt die Beschränkung hat; "beschränken" ist weiter als "verbieten" und kann auch Bedingungen meinen. Rule 15 DPDP Rules formuliert die Gegenseite ausdrücklich: Daten, die ein Data Fiduciary nach dem Gesetz verarbeitet, dürfen ins Ausland übermittelt werden. Die Einschränkung in Rule 15 ist eng gefasst: Der Data Fiduciary muss Anforderungen erfüllen, die die Zentralregierung durch allgemeine oder besondere Anordnung festlegt, und zwar für das Zugänglichmachen solcher Daten an einen ausländischen Staat oder an eine Person oder Stelle unter dessen Kontrolle oder eine Behörde dieses Staates. Rule 15 regelt also nicht jede Übermittlung, sondern den staatlichen Zugriff im Ausland. Einen eigenen Übermittlungsmechanismus nach Art von Vertragsklauseln, Unternehmensregeln oder Zertifizierungen enthalten weder das Gesetz noch die Rules; eine Volltextsuche nach "transfer", "outside", "foreign" und "territory" in beiden Texten findet keine weitere Übermittlungsregel als s. 16, s. 17 sowie Rules 13(4) und 15.

Strengeres Recht geht vor, und das Gesetz nennt es nicht. Nach s. 16(2) schränkt s. 16 die Anwendung keines in Indien geltenden Gesetzes ein, das für bestimmte personenbezogene Daten, bestimmte Data Fiduciaries oder Klassen davon ein höheres Schutzniveau oder eine Beschränkung der Übermittlung ins Ausland vorsieht. Das ergänzt die allgemeine Kollisionsregel des s. 38, nach der der DPDP Act zusätzlich zu anderem Recht gilt und bei einem Widerspruch vorgeht. Welche indischen Gesetze oder Regelwerke solche strengeren Übermittlungsregeln enthalten, nennt s. 16(2) nicht, und der Quellensatz dieses Tracks enthält keines davon. Für ein Unternehmen in einer regulierten Branche ist das die wichtigste offene Prüfung, und sie gehört in die lokale Beratung, nicht in eine Annahme.

Significant Data Fiduciaries und Rule 13(4). Wird ein Unternehmen oder eine Klasse von Unternehmen nach s. 10 als Significant Data Fiduciary eingestuft, muss es nach Rule 13(4) Maßnahmen treffen, damit personenbezogene Daten, die die Zentralregierung auf Empfehlung eines von ihr eingesetzten Ausschusses bestimmt, nur unter der Beschränkung verarbeitet werden, dass diese Daten und die Verkehrsdaten zu ihrem Fluss nicht aus Indien übermittelt werden. Dem Ausschuss gehören nach Rule 13(5) Beamte des zuständigen Ministeriums an, weitere Ministerien können vertreten sein. Das ist die einzige ausdrückliche Lokalisierungsregel im Quellensatz, und sie hängt an zwei Akten, die beide nicht gemessen sind: an der Einstufung als Significant Data Fiduciary und an der Bestimmung der Datenkategorien. Bemerkenswert ist der Einschluss der Verkehrsdaten: Wer betroffen ist, muss auch Protokoll-, Routing- und Metadaten seines Datenflusses im Blick haben, nicht nur die Nutzdaten.

Wer adressiert ist. s. 16(1) spricht von der Übermittlung "by a Data Fiduciary"; auch Rule 15 und Rule 13(4) richten sich an den Data Fiduciary beziehungsweise die Significant Data Fiduciary. Der Data Processor (der Verarbeiter, der im Auftrag verarbeitet) wird nicht genannt. Gebunden ist er mittelbar: Nach s. 8(1) bleibt der Data Fiduciary für jede Verarbeitung in seinem Auftrag verantwortlich, auch entgegen einer abweichenden Vereinbarung. Ob die Weiterleitung durch einen indischen Verarbeiter ins Ausland als Übermittlung durch den Data Fiduciary im Sinne von s. 16(1) gilt, regelt das Gesetz nicht ausdrücklich.

Wie man eine Beschränkung bemerkt. Eine Notifikation ist nach s. 2(r) eine Veröffentlichung im Official Gazette. Nach s. 41 ist jede Notifikation nach s. 16 sobald wie möglich nach ihrem Erlass beiden Häusern des Parlaments während der Sitzungsperiode für insgesamt dreißig Tage vorzulegen; einigen sich beide Häuser fristgerecht auf eine Änderung oder darauf, dass sie nicht ergehen soll, gilt sie danach nur geändert oder gar nicht, unbeschadet dessen, was zuvor auf ihrer Grundlage geschehen ist. Wer Flüsse aus Indien betreibt, braucht deshalb eine Beobachtung des Gazette und muss damit rechnen, dass sich eine Notifikation nach ihrer Veröffentlichung noch ändert.

Die Zeitachse. Nach G.S.R. 843(E) gelten seit der Veröffentlichung am 13.11.2025 unter anderem die Begriffsbestimmungen (s. 2), die Bestimmungen zum Board (s. 18 bis 26) und die Bestimmungen s. 38 bis 43; s. 16 und s. 17 gehören zur dritten Stufe, achtzehn Monate nach der Veröffentlichung. Für die Rules gilt dasselbe: Rules 13 und 15 treten nach Rule 1(4) achtzehn Monate nach der Veröffentlichung in Kraft. Bis dahin gelten auch die Grundpflichten des Data Fiduciary noch nicht, die den Rahmen für jeden Datenfluss bilden. Was in dieser Zeit für Übermittlungen aus Indien gilt, folgt aus anderem Recht. Der Quellensatz enthält dafür nur einen Hinweis: s. 44(2) DPDP Act streicht s. 43A des Information Technology Act, 2000, und auch s. 44(2) gehört zur dritten Stufe. Der Information Technology Act und die dazu erlassenen Regeln liegen diesem Track nicht vor; Aussagen daraus sind gesperrt.

Outsourcing nach Indien: s. 17(1)(d). Die Ausnahme gilt wie s. 16 erst ab der dritten Stufe. Sie hat vier Merkmale, die zusammen vorliegen müssen: Es geht um personenbezogene Daten von Data Principals, die sich nicht im Gebiet Indiens befinden; sie werden auf Grund eines Vertrags verarbeitet; der Vertrag ist mit einer Person außerhalb Indiens geschlossen; und die Verarbeitung erfolgt durch eine in Indien ansässige Person. Rechtsfolge: Chapter II (s. 4 bis 10) gilt mit Ausnahme von s. 8(1) und 8(5) nicht, Chapter III (Rechte und Pflichten der Betroffenen, s. 11 bis 15) gilt nicht, und s. 16 gilt nicht. Anwendbar bleiben die Gesamtverantwortung des Data Fiduciary auch für Verarbeiter (s. 8(1)) und die Pflicht, durch angemessene Sicherheitsvorkehrungen eine Datenpanne zu verhindern (s. 8(5)). Die übrigen Kapitel, darunter die Befugnisse des Data Protection Board of India und die Strafbestimmungen, nimmt s. 17(1) nicht aus. Für eine Verletzung der Sicherheitspflicht nach s. 8(5) sieht der Schedule zum Gesetz eine Geldstrafe von bis zu zweihundertfünfzig crore Rupien vor, die das Board nach s. 33(1) verhängen kann, wenn es nach einer Untersuchung einen erheblichen Verstoß feststellt; die Sicherheitspflicht bleibt also auch im Outsourcing-Fall der teuerste Posten (Einzelheiten in dpdpa-007).

Drei Punkte sind dabei offen und gehören in die lokale Beratung. Erstens die Rollenfrage: s. 8(1) und 8(5) richten sich an den Data Fiduciary, also an den, der Zweck und Mittel bestimmt (s. 2(i)), und erfassen ausdrücklich die Verarbeitung durch einen Data Processor in seinem Auftrag. Ob ein deutsches Auftraggeberunternehmen dadurch selbst Adressat indischer Pflichten wird oder der indische Dienstleister, beantworten die Quellen nicht ausdrücklich; die Rollenprüfung gehört in den Anwendungsbereichsartikel dieses Tracks (dpdpa-002). Zweitens die Durchführungsbestimmungen: Rule 6 konkretisiert die Sicherheitsvorkehrungen des s. 8(5) mit Mindestmaßnahmen; dass sie im Fall des s. 17(1)(d) mitgilt, liegt nahe, weil s. 8(5) anwendbar bleibt, steht aber nicht ausdrücklich in den Quellen. Ob Rule 7 (Pannenmeldung zu s. 8(6)), Rule 8(3) (Aufbewahrung von Daten und Protokollen) und Rule 15 in diesem Fall gelten, regeln die Rules ebenfalls nicht ausdrücklich; s. 8(6) selbst gehört zu den ausgenommenen Teilen von Chapter II. Drittens die gemischten Bestände: Die Ausnahme gilt nur für die Daten von Personen außerhalb Indiens. Verarbeitet dasselbe Zentrum auch Daten von Personen in Indien, entfällt für diese nur die Ausnahme des s. 17(1)(d); ob und wieweit das Gesetz für sie gilt, richtet sich dann nach den allgemeinen Regeln, also nach den Anwendungsbereich nach s. 3 einschließlich der Ausnahmen in s. 3(c) und die übrigen Ausnahmen des s. 17, etwa nach s. 17(1)(a) bis (c), (e) und (f) oder s. 17(2)(b).

Neben dem Outsourcing-Fall nimmt s. 17(1) die Übermittlungsregel des s. 16 in weiteren Fällen aus, jeweils mit eigener Bedingung: wenn die Verarbeitung zur Durchsetzung eines Rechts oder Anspruchs erforderlich ist, bei Verarbeitung durch indische Gerichte, Tribunale und andere Stellen, denen durch Gesetz gerichtliche, quasi-gerichtliche, regulatorische oder aufsichtliche Aufgaben übertragen sind, soweit für diese Aufgaben erforderlich, bei Verarbeitung im Interesse der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder Verstößen gegen in Indien geltendes Recht, bei Verarbeitung, die für eine von einem Gericht, Tribunal oder einer anderen zuständigen Stelle genehmigte Umstrukturierung wie Verschmelzung, Spaltung oder Unternehmensübertragung erforderlich ist, und bei Verarbeitung zur Feststellung der finanziellen Verhältnisse einer Person, die mit Zahlungen auf einen Kredit eines Finanzinstituts in Verzug ist, nach Maßgabe der dafür geltenden Offenlegungsregeln anderer Gesetze. Für Konzerne ist der Umstrukturierungsfall der praktisch wichtigste; er setzt die Genehmigung durch ein Gericht, ein Tribunal oder eine andere zuständige Stelle voraus.

Was das für Indien nach Deutschland heißt. Überträgt die indische Tochter als Data Fiduciary Personal-, Kunden- oder Lieferantendaten an die deutsche Mutter, sieht der DPDP Act nach Inkrafttreten der dritten Stufe dafür keinen eigenen Mechanismus vor. Die Übermittlung ist zulässig, solange keine Notifikation nach s. 16(1) Deutschland erfasst, kein strengeres Gesetz nach s. 16(2) eingreift, keine Anforderung nach Rule 15 berührt ist und keine Lokalisierung nach Rule 13(4) gilt; ob eine dieser Bedingungen erfüllt ist, ist im Quellensatz nicht gemessen. Unberührt bleibt, ebenfalls ab der dritten Stufe, alles, was die Verarbeitung selbst braucht: eine Grundlage nach s. 4 (Einwilligung oder berechtigte Verwendung, dazu dpdpa-003) und die Pflichten aus s. 8 (dazu dpdpa-004). Verarbeitet die Mutter im Auftrag der Tochter, bleibt die Tochter nach s. 8(1) verantwortlich; s. 8(2) verlangt einen gültigen Vertrag, wenn ein Data Fiduciary einen Data Processor für eine Tätigkeit im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen an Betroffene einsetzt, und Rule 6(1)(f) verlangt, wo anwendbar, eine Vertragsbestimmung über Sicherheitsvorkehrungen. Widerruft ein Betroffener seine Einwilligung oder ist der Zweck erledigt, muss die Tochter nach s. 6(6) und s. 8(7)(b) auch ihre Verarbeiter zum Einstellen oder Löschen veranlassen, soweit keine Ausnahme greift; das schließt eine verarbeitende Mutter ein. Und soweit die Verarbeitung auf der Einwilligung der Betroffenen beruht, einschließlich der Fälle des s. 7(a), haben sie nach s. 11(1)(b) das Recht, die Identität aller Data Fiduciaries und Data Processors zu erfahren, mit denen ihre Daten geteilt wurden, samt einer Beschreibung der Daten; das gilt nach s. 11(2) nicht für eine Weitergabe an einen gesetzlich zum Datenbezug befugten Data Fiduciary auf dessen schriftliche Anfrage zur Verhütung, Aufdeckung oder Untersuchung von Straftaten oder Cybervorfällen oder zur Verfolgung oder Bestrafung von Straftaten. Verarbeitet die Mutter dagegen für eigene Zwecke, ist sie selbst Data Fiduciary; ob der DPDP Act dann auf ihre Verarbeitung in Deutschland anwendbar ist, hängt nach s. 3(b) davon ab, ob sie im Zusammenhang mit einem Angebot von Waren oder Dienstleistungen an Betroffene in Indien steht, und gehört in dpdpa-002.

Für Daten, die unter s. 17(1)(d) in Indien verarbeitet werden, etwa Daten deutscher Beschäftigter im indischen Servicezentrum, gilt s. 16 nicht; eine Notifikation nach s. 16(1) beschränkt deren Rückfluss nach Deutschland also nicht. Ob Rule 15 hier greift, ist wie oben offen.

Was das für Deutschland nach Indien heißt. Ob eine deutsche Stelle Daten nach Indien übermitteln darf, ist eine Frage der DSGVO; der Korpus behandelt die EU-Seite in dsgvo-005. Ob die EU-Kommission Indien als angemessen anerkannt hat, ist in den Quellen dieses Tracks nicht belegt und darf nicht unterstellt werden. Auf indischer Seite gilt nach Inkrafttreten der dritten Stufe: Die Verarbeitung digitaler personenbezogener Daten in Indien unterliegt nach s. 3(a) dem DPDP Act, soweit die Daten digital erhoben oder nachträglich digitalisiert wurden; liegen die vier Merkmale des s. 17(1)(d) vor, gilt er nur eingeschränkt; andernfalls entfällt nur diese Ausnahme, und es bleibt bei den Anwendungsbereich nach s. 3 einschließlich der Ausnahmen in s. 3(c) und die übrigen Ausnahmen des s. 17, etwa nach s. 17(1)(a) bis (c), (e) und (f) oder s. 17(2)(b). Wie s. 3 und s. 17 selbst gilt das erst ab der dritten Stufe.

Umsetzungsperspektive

1. Flüsse aus Indien inventarisieren, je Richtung und je Betroffenengruppe. Für jeden Fluss festhalten: indische Stelle, Rolle (Data Fiduciary oder Data Processor), Empfänger und Zielland, Datenkategorien einschließlich Verkehrs- und Protokolldaten, Zweck und ob die Betroffenen sich in Indien befinden oder nicht.
2. Den Outsourcing-Fall sauber abgrenzen. Für jedes indische Service- oder Entwicklungszentrum prüfen, ob alle vier Merkmale des s. 17(1)(d) vorliegen, und Bestände von Personen in Indien von solchen außerhalb Indiens getrennt führen.
3. Die Sicherheitspflicht überall erfüllen. s. 8(5) gilt auch im Outsourcing-Fall; Rule 6 als Mindestmaßstab für alle indischen Verarbeitungen ansetzen, auch dort, wo ihre Geltung im Fall des s. 17(1)(d) nicht ausdrücklich geregelt ist.
4. Sektorrecht vor dem Stichtag prüfen lassen. Für regulierte Geschäftsbereiche klären, ob ein indisches Gesetz nach s. 16(2) strengere Übermittlungsregeln vorsieht; das ist eine Aufgabe für lokale Beratung.
5. Eine Gazette-Beobachtung einrichten. Notifikationen nach s. 16(1), Einstufungen nach s. 10, Anordnungen nach Rule 15 und Festlegungen nach Rule 13(4) beobachten, einschließlich späterer Änderungen durch das Parlament nach s. 41.
6. Konzerninterne Verträge vorbereiten. Wo die deutsche Mutter oder ein Dienstleister für die indische Tochter verarbeitet: Vertrag nach s. 8(2) und Rule 6(1)(f), Weisungs-, Lösch- und Einstellungsweg nach s. 6(6) und s. 8(7)(b), und eine Empfängerliste, die eine Auskunft nach s. 11(1)(b) trägt, soweit die Verarbeitung auf Einwilligung beruht, einschließlich der Fälle des s. 7(a), unter Beachtung der Ausnahme des s. 11(2) für Weitergaben an gesetzlich befugte Data Fiduciaries auf deren schriftliche Anfrage.
7. Einen Rückfallweg für kritische Flüsse planen. Für den Fall, dass eine Notifikation Deutschland oder einen genutzten Drittstaat erfasst oder Daten der Lokalisierung nach Rule 13(4) unterfallen, die Option einer Verarbeitung in Indien technisch und vertraglich vorbereiten.
8. Die Gegenrichtung getrennt nach DSGVO prüfen und dabei keine Angemessenheit Indiens voraussetzen, solange sie nicht aus einer EU-Quelle belegt ist.

Typische Fehler

1. Aus dem DPDP Act wird eine allgemeine Pflicht zur Datenlokalisierung abgeleitet, oder umgekehrt eine schrankenlose Übermittlungsfreiheit ohne Blick auf s. 16(2), Rule 15 und Rule 13(4).
2. s. 16 und Rules 13 und 15 werden als schon geltend behandelt, oder die achtzehn Monate bis zur dritten Stufe vergehen ohne Inventar und ohne Beobachtung des Gazette.
3. Das Bestehen oder Fehlen einer Notifikation nach s. 16(1) wird ohne Prüfung des Gazette unterstellt.
4. s. 17(1)(d) wird als vollständige Befreiung vom Gesetz gelesen, obwohl s. 8(1) und 8(5) und die Durchsetzung durch das Board bleiben.
5. Die Outsourcing-Ausnahme wird auf Bestände mit Personen in Indien oder auf Verarbeitungen ohne Vertrag mit einer Person außerhalb Indiens erstreckt.
6. Für Übermittlungen aus Indien werden EU-Standardvertragsklauseln als indische Pflicht oder als indischer Mechanismus behandelt; der DPDP Act kennt einen solchen Mechanismus nicht.
7. Verkehrs- und Protokolldaten werden bei der Lokalisierungsfrage nach Rule 13(4) übersehen.
8. Aus einem indischen Regime für Übermittlungen aus Indien wird auf die Zulässigkeit von Übermittlungen aus Deutschland nach Indien geschlossen, oder eine Angemessenheit Indiens aus EU-Sicht wird unterstellt.

Risiken und Trade-offs

Der zentrale Abwägungspunkt ist die Vorbereitung auf eine Beschränkung, deren Inhalt niemand kennt. Eine indische Parallelverarbeitung für alle Flüsse vorzuhalten, ist teuer und möglicherweise unnötig; gar keine Vorbereitung zu treffen, macht ein Unternehmen im Fall einer Notifikation, einer Einstufung als Significant Data Fiduciary oder einer Festlegung nach Rule 13(4) handlungsunfähig. Wirtschaftlich dürfte für die meisten Mittelständler ein Inventar mit vorbereiteter Option für die kritischen Flüsse genügen; das ist eine Einschätzung, keine Vorgabe der Quellen.

Die Outsourcing-Ausnahme ist attraktiv, verlangt aber Trennschärfe. Ein Zentrum, das ausschließlich Daten von Personen außerhalb Indiens bearbeitet, trägt deutlich weniger indische Pflichten; sobald Bestände gemischt werden, entsteht ein Doppelregime, in dem für einen Teil die Ausnahme des s. 17(1)(d) nicht greift und die allgemeinen Regeln samt ihren übrigen Ausnahmen gelten. Die Trennung von Mandanten, Systemen und Zugriffen ist der Preis für die Ausnahme.

Die Rollenfrage bleibt ein Restrisiko. Solange nicht geklärt ist, ob und wann ein deutscher Auftraggeber selbst Adressat von s. 8(1) und 8(5) ist, sollte die Sicherheitspflicht vertraglich dort verankert sein, wo die Verarbeitung tatsächlich stattfindet, und der Nachweis beim Auftraggeber liegen.

Entscheidungspunkte

• Welche unserer indischen Verarbeitungen fallen unter s. 17(1)(d), und trennen wir die Bestände von Personen in Indien und außerhalb Indiens technisch?
• Gibt es in unseren regulierten Geschäftsbereichen indisches Sektorrecht mit strengeren Übermittlungsregeln nach s. 16(2), und wer klärt das bis zum Inkrafttreten der dritten Stufe?
• Wer beobachtet das Gazette auf Notifikationen nach s. 16(1), Einstufungen nach s. 10 und Festlegungen nach Rule 13(4), und was löst ein Treffer aus?
• Für welche Flüsse bereiten wir eine Verarbeitung in Indien als Rückfallweg vor?
• Wie regeln wir konzerninterne Verarbeitung im Auftrag der indischen Tochter vertraglich, einschließlich Sicherheitsvorkehrungen, Einstellung und Löschung?
• Wer verantwortet die DSGVO-Prüfung der Gegenrichtung nach dsgvo-005?

Praktische Empfehlungen

• Das Transferregister um eine indische Sicht ergänzen: Rolle der indischen Stelle, Betroffene in oder außerhalb Indiens, Anwendbarkeit von s. 17(1)(d), Empfängerland und Datenkategorien einschließlich Verkehrsdaten.
• Für Outsourcing-Zentren eine dokumentierte Begründung je Vertrag führen, warum alle vier Merkmale des s. 17(1)(d) vorliegen.
• Rule 6 als Sicherheitsmindestmaß für alle indischen Verarbeitungen vertraglich vereinbaren, unabhängig von der Ausnahme.
• Die Fundstellen von s. 16, s. 17, Rule 13 und Rule 15 sowie G.S.R. 843(E) im Register hinterlegen und den Stichtag der dritten Stufe als Termin mit Vorlauf eintragen, ohne ein selbst errechnetes Tagesdatum als amtlich auszugeben.
• Keine Aussage über bestehende Notifikationen, Einstufungen oder Anordnungen treffen, ohne sie im Gazette nachgesehen zu haben.
• Grenzfälle, insbesondere die Rollenzuordnung im Outsourcing-Fall, die Reichweite von s. 16(1) bei Weiterleitungen durch Verarbeiter und sektorale Übermittlungsregeln, mit indischer Rechtsberatung klären.

Relevante Normreferenzen

• DPDP Act (No. 22 of 2023, Gazette of India Extraordinary vom 11.08.2023): s. 2(i), (k), (r) (Data Fiduciary, Data Processor, Notifikation), s. 3(a) und (b) (Anwendungsbereich), s. 6(6) und s. 8(1), (2), (5), (7)(b) (Verantwortung für Verarbeiter, Vertrag, Sicherheit, Einstellung und Löschung), s. 10 (Significant Data Fiduciary), s. 11(1)(b) und (2) (Auskunft über Empfänger und Ausnahme für Weitergaben an gesetzlich befugte Data Fiduciaries), s. 16(1) (Beschränkung der Übermittlung durch Notifikation) und s. 16(2) (strengeres Recht bleibt unberührt), s. 17(1)(d) (Verarbeitung von Daten von Personen außerhalb Indiens auf Grund eines Vertrags mit einer Person außerhalb Indiens) und s. 17(1)(a) bis (c), (e), (f), s. 38 (Verhältnis zu anderem Recht), s. 41 (Vorlage von Notifikationen nach s. 16 im Parlament), s. 44(2) (Streichung von s. 43A IT Act), Schedule (Strafrahmen).
• DPDP Rules, 2025 (G.S.R. 846(E) vom 13.11.2025): Rule 1(4) (Inkrafttreten), Rule 6 (Sicherheitsvorkehrungen, insbesondere (1)(f)), Rule 13(4) und (5) (Lokalisierung bestimmter Daten bei Significant Data Fiduciaries), Rule 15 (Übermittlung außerhalb Indiens).
• G.S.R. 843(E) vom 13.11.2025 (Inkraftsetzung in drei Stufen).
• Abgrenzung: Die Übermittlung aus EU-Sicht, einschließlich der Frage, ob Daten aus Deutschland nach Indien übermittelt werden dürfen, steht im dsgvo-Track (dsgvo-005); hier steht nur die indische Seite. Der lgpd-Track (lgpd-006) behandelt die Übermittlung nach brasilianischem Recht als strukturell vergleichbaren Auslandsfall; Aussagen daraus gelten für Indien nicht. Innerhalb dieses Tracks stehen der Anwendungsbereich und die Rollen in dpdpa-002, Einwilligung und berechtigte Verwendungen in dpdpa-003, die Pflichten des Data Fiduciary und der Significant Data Fiduciary in dpdpa-004, die Pannenmeldung in dpdpa-005 und Board, Verfahren und Strafen in dpdpa-007.