Was ist der DPDP Act 2025? Wichtige Regeln, Compliance-Anforderungen und Auswirkungen auf Unternehmen
Falls Sie in letzter Zeit häufiger den Begriff „ DPDP Act 2025 “ gehört haben und sich etwas abgehängt fühlen, sind Sie nicht allein. Fast jeder Unternehmer, IT-Leiter und Compliance-Manager in Indien stellt sich derzeit dieselbe Frage: Muss ich etwas unternehmen, und wenn ja, was?
Hier die Kurzfassung, bevor wir ins Detail gehen: Ja, Sie müssen wahrscheinlich handeln, und die Zeit läuft bereits.
Lassen Sie uns genauer betrachten, was der DPDP Act eigentlich ist , warum er existiert, für wen er gilt und, was am wichtigsten ist, was Ihr Unternehmen tun muss, um sich an die Bestimmungen zu halten.
Was ist das DPDP-Gesetz 2025?
Zunächst eine kleine, aber wichtige Klarstellung: Indien hat 2025 kein komplett neues Gesetz verabschiedet. Das Gesetz zum Schutz digitaler personenbezogener Daten (Digital Personal Data Protection Act) trat bereits 2023 in Kraft. 2025 veröffentlichte das Ministerium für Elektronik und Informationstechnologie (MeitY) schließlich die Durchführungsbestimmungen zum Schutz digitaler personenbezogener Daten (Digital Personal Data Protection Rules, 2025) – einen detaillierten Leitfaden, der Unternehmen genau erklärt, wie sie das Gesetz von 2023 umsetzen können.
Wenn also von „DPDP Act 2025“ die Rede ist, ist eigentlich der DPDP Act von 2023 gemeint, so wie er nun durch die Mitte November 2025 verkündeten DPDP Rules von 2025 in Kraft getreten ist.
Einfach ausgedrückt ist das DPDP-Gesetz Indiens erstes umfassendes data privacy Gesetz. Es regelt, wie Organisationen in Indien personenbezogene Daten von Einzelpersonen erfassen, speichern, verarbeiten, weitergeben und löschen – von Namen und Telefonnummer bis hin zu Standortdaten, Gesundheitsdaten und Surfverhalten.
Das Gesetz basiert auf einigen wenigen einfachen Ideen:
- Menschen (genannt) Datenverantwortliche) haben das Recht zu erfahren, welche Daten von ihnen erhoben werden und warum.
- Organisationen (genannt Datentreuhänder) dürfen diese Daten nur mit ausdrücklicher und informierter Einwilligung und nur zu dem Zweck verwenden, zu dem sie erhoben wurden.
- Daten müssen sicher aufbewahrt, nur so lange wie nötig gespeichert und gelöscht werden, sobald ihr Zweck erfüllt ist.
- Sollte etwas schiefgehen, wie beispielsweise eine Datenschutzverletzung, ein Datenleck oder ein Missbrauch, gelten strenge Fristen für die Meldung und es drohen reale finanzielle Konsequenzen bei Fehlern.
Organisationen haben nach Bekanntgabe der neuen Regeln 18 Monate Zeit, um die vollständige Konformität herzustellen. Die endgültige Frist endet am 13. Mai 2027. Einige Bestimmungen, wie die Einrichtung des indischen Datenschutzrates, sind bereits in Kraft. Die übrigen werden schrittweise eingeführt. Doch 18 Monate vergehen schneller als erwartet, insbesondere wenn die Dateninfrastruktur noch nicht ausgereift ist.
Warum wurde das DPDP-Gesetz eingeführt?
Jahrelang stützte sich Indien bei der Regelung eines so sensiblen Themas wie dem Schutz personenbezogener Daten auf einen recht dünnen Rechtsrahmen, im Wesentlichen das IT-Gesetz von 2000 und die dazugehörigen Bestimmungen. Dieser Rahmen war für ein völlig anderes Internet konzipiert als das heutige – eines ohne Smartphones in jeder Tasche, UPI-Transaktionen im Sekundentakt oder KI-Modelle, die mit riesigen Datensätzen trainiert wurden.
Einige Faktoren haben Indien dazu bewogen, ein eigenes Datenschutzgesetz zu erlassen:
- Das Puttaswamy-Urteil (2017): Der Oberste Gerichtshof Indiens erklärte das Recht auf Privatsphäre zu einem Grundrecht gemäß Artikel 21 der Verfassung. Dieses Urteil verpflichtete die Regierung mehr oder weniger dazu, einen Rechtsrahmen zu schaffen, der dieses Recht in der digitalen Welt tatsächlich schützt.
- Explosives Wachstum bei digitalen Dienstleistungen: Von Fintech-Apps über E-Commerce-Plattformen bis hin zu Gesundheitstechnologien sammeln und verarbeiten indische Unternehmen heutzutage routinemäßig personenbezogene Daten in großem Umfang, oft mit sehr wenig Transparenz darüber, was anschließend damit geschieht.
- Zunehmende Datenschutzverletzungen und -missbrauch: Hochkarätige Datenlecks und die zunehmende Raffinesse von Cyberangriffen machten deutlich, dass „Wir werden vorsichtig sein“ keine wirkliche Strategie zum Schutz der Daten der Bürger war.
- Angleichung an globale Standards: Verordnungen wie die EU-Datenschutz-Grundverordnung (DSGVO) haben die weltweite Sichtweise auf Datenschutzrechte grundlegend verändert. Indien benötigte eine eigene, auf seine Größe und seine digitale Wirtschaft zugeschnittene Version, damit auch indische Unternehmen selbstbewusst auf den globalen Märkten agieren können.
Das Ergebnis ist ein Gesetz, das darauf abzielt, Organisationen von einer lax geregelten Datenerfassung hin zu einem auf Einwilligung und Verantwortlichkeit basierenden Ansatz im Umgang mit personenbezogenen Daten zu bewegen.
Wer muss das DPDP-Gesetz einhalten?
Hier werden viele Unternehmen überrascht: Das DPDP-Gesetz hat einen sehr weiten Anwendungsbereich.
Sie müssen die Vorschriften einhalten, wenn Sie:
- Jede Organisation, die digitale personenbezogene Daten von Einzelpersonen in Indien verarbeitet: Unabhängig von Ihrer Größe, Branche oder Ihrem Umsatz.
- Ein Ausländer Unternehmen: Jedes Unternehmen, das personenbezogene Daten im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen an Personen in Indien verarbeitet, auch wenn Sie hier keine physische Niederlassung haben.
- Ein Start-up, ein KMU oder ein Großunternehmen: Für die Kernverpflichtungen gemäß dem Gesetz gibt es keine Ausnahme für Kleinunternehmen.
- Ein „Consent Manager“: Eine neue Kategorie von Entitäten, die Einzelpersonen dabei helfen, ihre Einwilligung plattformübergreifend zu verwalten und zu widerrufen.
Es gibt eine Stufe mit besonders hohen Verpflichtungen: Datenverantwortliche (Significant Data Fiduciaries, SDFs) . Dies sind Organisationen, die von der Regierung aufgrund von Faktoren wie dem Umfang und der Sensibilität der von ihnen verarbeiteten personenbezogenen Daten sowie dem potenziellen Risiko für die Rechte von Einzelpersonen benannt werden. Wenn Sie als SDF eingestuft werden, müssen Sie mit zusätzlichen Anforderungen rechnen, wie z. B. obligatorischen Datenschutz-Folgenabschätzungen (DSFA), unabhängigen Audits und der Benennung eines Datenschutzbeauftragten (DSB).
Kurz gesagt: Wenn Ihr Unternehmen online den Namen, die E-Mail-Adresse, die Telefonnummer, die Zahlungsdaten, den Standort oder andere personenbezogene Daten eines Kunden erfasst, ist dieses Gesetz mit ziemlicher Sicherheit auf Sie anwendbar.
Wichtige Compliance-Anforderungen für Unternehmen
Dies ist der Teil, der für Ihr Tagesgeschäft tatsächlich relevant ist. Folgendes erwarten die DPDP-Regeln 2025 von Datenverantwortlichen:
1. Klare, detaillierte Einwilligungserklärungen
Vorbei sind die Zeiten vager, 40-seitiger Datenschutzrichtlinien, die niemand liest. Die Einwilligung muss freiwillig, spezifisch, informiert, bedingungslos und auf einer eindeutigen, aktiven Handlung beruhen – denken Sie an ein echtes Opt-in, nicht an ein vorausgewähltes Kontrollkästchen. Hinweise müssen genau auflisten, welche Daten erhoben werden und warum, und zwar in einer für den Durchschnittsnutzer verständlichen Sprache.
2. Zweckbindung und Datenminimierung
Daten dürfen nur für einen bestimmten, rechtmäßigen Zweck erhoben werden und dürfen nicht ohne erneute Einwilligung später stillschweigend für einen anderen Zweck wiederverwendet werden.
3. Definierte Aufbewahrungs- und Löschfristen
Personenbezogene Daten dürfen nicht unbegrenzt in Ihren Systemen gespeichert bleiben. Sobald ihr Zweck erfüllt ist, die Einwilligung widerrufen wurde, die Transaktion abgeschlossen ist oder der Nutzer für einen bestimmten Zeitraum inaktiv ist, müssen sie gelöscht werden. Die Richtlinien legen sogar Standardaufbewahrungsfristen für bestimmte Branchen fest, beispielsweise für E-Commerce-Plattformen mit großen Nutzerzahlen. Betroffene Personen müssen in der Regel benachrichtigt werden, bevor ihre Daten gelöscht werden.
4. Benachrichtigung bei Datenschutzverletzungen innerhalb von 72 Stunden
Das ist eine wichtige Angelegenheit. Im Falle einer Datenschutzverletzung müssen die betroffenen Personen innerhalb von 72 Stunden nach Meldung an die Datenschutzbehörde benachrichtigt werden. Die Benachrichtigung muss Angaben zum Vorfall, den offengelegten Daten, den möglichen Schutzmaßnahmen und den Ansprechpartnern enthalten. Ein „Das kümmern wir uns irgendwann“ ist hier nicht angebracht.
5. Nachweisbare elterliche Einwilligung zur Verwendung der Daten von Kindern
Jede Plattform, die personenbezogene Daten von Kindern (unter 18 Jahren) verarbeitet, benötigt vor der weiteren Verarbeitung eine nachweisbare Zustimmung der Eltern oder Erziehungsberechtigten sowie Einschränkungen hinsichtlich Tracking, Verhaltensüberwachung und gezielter Werbung, die sich an Minderjährige richtet.
6. Angemessene Sicherheitsvorkehrungen
Von Unternehmen wird erwartet, dass sie technische und organisatorische Sicherheitsmaßnahmen – wie Verschlüsselung, Zugriffskontrollen, Überwachung und die Vorbereitung auf Sicherheitsvorfälle – entsprechend der Sensibilität ihrer Daten implementieren. Dies ist wohl der wichtigste Grund dafür, dass Cybersicherheits- und Datenschutztools nicht länger optional sind, sondern zur Pflicht werden müssen.
7. Erweiterte Pflichten für Treuhänder bedeutender Daten
Wenn Sie als SDF (Security Default Facility) eingestuft werden, sollten Sie zusätzlich jährliche Datenschutz-Folgenabschätzungen, unabhängige Audits, Bewertungen der algorithmischen Fairness und einen formell ernannten Datenschutzbeauftragten (DPO) einführen, der dem Vorstand Bericht erstattet.
8. Regeln für den grenzüberschreitenden Datentransfer
Die Regelungen folgen einem „Negativlisten“-Ansatz, wonach Daten grundsätzlich aus Indien übertragen werden können, es sei denn, die Regierung beschränkt die Übertragung in ein bestimmtes Land ausdrücklich.
9. Aktenführung und Unternehmensführung
Führen Sie Protokolle, Verträge mit Drittanbietern und interne Governance-Dokumentationen, die die Einhaltung der Vorschriften nachweisen können, falls die Datenschutzbehörde nachfragt.
Strafen bei Nichteinhaltung
Dieser Aspekt erregt die größte Aufmerksamkeit, und das zu Recht. Das DPDP-Gesetz sieht zwar keine strafrechtliche Haftung vor, die finanziellen Strafen sind jedoch beträchtlich und werden vom Data Protection Board of India (DPBI) gemäß Paragraph 33 des Gesetzes verhängt.
| Art des Verstoßes | Höchststrafe |
|---|---|
| Das Versäumnis, angemessene Sicherheitsvorkehrungen zu treffen, führte zu einer Datenschutzverletzung | Bis zu 250 Crore ₹ |
| Versäumnis, den Vorstand und die betroffenen Personen über eine Datenschutzverletzung zu informieren | Bis zu 200 Crore ₹ |
| Nichterfüllung zusätzlicher Verpflichtungen im Zusammenhang mit Kinderdaten | Bis zu 200 Crore ₹ |
| Nichteinhaltung der Vorschriften durch einen Treuhänder für wichtige Daten (z. B. Nichtbestehen obligatorischer Prüfungen) | Bis zu 150 Crore ₹ |
| Verletzung anderer festgelegter Verpflichtungen | Variiert, bis zu 50 Crore ₹ |
| Person (Betroffener), die falsche oder unbegründete Beschwerden einreicht | Bis zu 10,000 |
Ein paar wichtige Nuancen, die man sich merken sollte:
- Die Strafen werden pro Verstoß und pro Fall verhängt.; ein einzelner Vorfall, der gegen mehrere Bestimmungen verstößt (z. B. mangelhafte Sicherheit) und Eine verspätete Meldung eines Verstoßes kann zu sich überschneidenden Strafen führen, die sich schnell summieren.
- Der Vorstand berücksichtigt mildernde Umstände wie Selbstoffenbarung, die Geschwindigkeit Ihrer Reaktion, Ihre Kooperation während der Untersuchung und ob Sie über ein tatsächliches Compliance-Programm verfügen – daher trägt proaktives Handeln tatsächlich dazu bei, das Risiko zu verringern.
- Nur Datenverwalter werden für die meisten Verstöße direkt bestraft; allerdings bleibt ein Datenverwalter für Verstöße haftbar, die von seinen Datenverarbeitern oder Lieferanten begangen werden.
- Gegen Entscheidungen des Boards kann beim Telecom Disputes Settlement and Appellate Tribunal (TDSAT) Berufung eingelegt werden.
Kurz gesagt, die Kosten des Ignorierens DPDP compliance ist deutlich höher als die Kosten, dem zuvorzukommen.
Bewährte Verfahren zur Einhaltung des DPDP-Gesetzes 2025
Angesichts der 18-monatigen Vorlaufzeit bietet dies einen praktischen Ausgangspunkt für Unternehmen, die von „Wir wissen, dass wir etwas tun müssen“ zu „Wir erfüllen die Vorschriften tatsächlich“ gelangen wollen.
1. Erstellen Sie zunächst eine Datenübersicht. Was man nicht sieht, kann man nicht schützen. Führen Sie eine Datenermittlung und -klassifizierung in Ihren Systemen durch, um zu verstehen, welche personenbezogenen Daten Sie speichern, wo diese gespeichert sind, wer Zugriff darauf hat und warum Sie sie überhaupt erheben.
2. Überarbeiten Sie Ihre Einwilligungsarchitektur. Verabschieden Sie sich von unstrukturierten, unklaren Einwilligungsformularen. Implementieren Sie detaillierte, zweckspezifische Einwilligungsprozesse mit einfachen Widerrufsmöglichkeiten und dokumentieren Sie jede erteilte oder widerrufene Einwilligung nachvollziehbar.
3. Erstellen Sie einen konkreten Notfallplan. Bei einer Benachrichtigungsfrist von 72 Stunden bleibt Ihnen keine Zeit, nach einem Vorfall zu überlegen, wie Sie vorgehen sollen. Entwickeln Sie ein Handbuch für die Reaktion auf Sicherheitsvorfälle, definieren Sie Ihr Eskalationsteam im Voraus und führen Sie Planspiele durch, damit Ihr Team genau weiß, was zu tun ist, wenn (nicht ob) etwas schiefgeht.
4. Verbessern Sie Ihre technische Sicherheitslage. Hier beweisen Cybersicherheitslösungen erst ihren wahren Wert. Endpoint protectionNetzwerksicherheit, Datenschutz, Verschlüsselung und kontinuierliche Bedrohungsüberwachung sind nicht länger nur „nice to have“. Sie bilden das Rückgrat für den Nachweis „angemessener Sicherheitsvorkehrungen“ gemäß dem Gesetz.
5. Legen Sie Richtlinien für die Datenaufbewahrung und -löschung fest und automatisieren Sie diese. Definieren Sie, wie lange verschiedene Datenkategorien aufbewahrt werden sollen, und erstellen Sie automatisierte Löschprozesse, damit Daten nicht versehentlich über ihren Zweck hinaus gespeichert bleiben.
6. Überprüfen Sie jeden Vertrag mit Drittanbietern und Lieferanten. Da Sie weiterhin für Fehler Ihrer Auftragsverarbeiter haften, stellen Sie sicher, dass die Lieferantenvereinbarungen die Verantwortlichkeiten für die Datenverarbeitung, die Sicherheitsstandards und die Pflichten zur Meldung von Datenschutzverletzungen klar definieren.
7. Klare Zuständigkeiten festlegen. Auch wenn Sie nicht als SDF eingestuft sind (und daher keinen formellen Datenschutzbeauftragten benötigen), benennen Sie intern einen Datenschutzbeauftragten, der für die Einhaltung der Vorschriften verantwortlich ist, regulatorische Aktualisierungen verfolgt und die Zusammenarbeit mit den Rechts-, IT- und Sicherheitsteams koordiniert.
8. Fangen Sie jetzt an, nicht später. 18 Monate klingen nach viel Zeit, doch drei Monate vor einem Sicherheitsaudit ist die Hälfte Ihrer Datenlandkarte noch unvollständig. Unternehmen, die dies als strategische Priorität und nicht als hektische Last-Minute-Lösung behandeln, sparen deutlich bei den Nachbesserungsarbeiten und minimieren das regulatorische Risiko erheblich.
Fazit
Das DPDP-Gesetz 2025 ist nicht einfach nur eine weitere Pflichterfüllung. Es bedeutet einen grundlegenden Wandel im Umgang indischer Unternehmen mit personenbezogenen Daten. Die Einwilligung muss echt sein, die Sicherheit nachweisbar und die Verantwortlichkeit von Anfang an in die Systeme integriert sein – nicht erst nachträglich hinzugefügt.
Die gute Nachricht? Nichts davon muss überwältigend sein, wenn Sie frühzeitig beginnen. Eine solide Cybersicherheitsgrundlage, klare Datenverwaltung und die richtigen Überwachungstools können Sie ein großes Stück voranbringen. DPDP compliancesondern eine wirklich bessere Datenhygiene in Ihrem gesamten Unternehmen.
Genau das ist es Seqrite Data Privacy ist genau dafür entwickelt worden. Anstatt Tabellenkalkulationen, manuelle Prüfungen und Vermutungen mühsam zusammenzufügen, bietet Ihnen die Plattform eine zentrale Anlaufstelle, um die aufwendige Arbeit zu erledigen. DPDP compliance:
- Entdecken und klassifizieren Sie vertrauliche Daten Automatisch über mehr als 500 Datenquellen hinweg – Datenbanken, SaaS-Anwendungen, Cloud-Speicher, Dateiserver und Endpunkte – damit Sie endlich wissen, wo Ihre persönlichen Daten tatsächlich gespeichert sind.
- Einwilligungen und Präferenzen verwalten über ein zentrales Dashboard mit mehrsprachigen Einwilligungshinweisen in 22 indischen Sprachen, damit die Nutzer wirklich verstehen und kontrollieren können, womit sie einverstanden sind.
- Automatisierte Datenschutzbewertungen Beispielsweise können DPIA, RoPA und Gap-Analysen mithilfe vorgefertigter Vorlagen durchgeführt werden, anstatt diese bei jedem Auditzyklus von Grund auf neu zu erstellen.
- Bearbeitung von Anfragen zu Datenschutzrechten wie Zugriff, Korrektur und Löschung durch strukturierte Fallworkflows mit vollständigen Prüfprotokollen.
- Protokollierung und Auslösung von Benachrichtigungen bei Datenschutzverletzungen den richtigen Interessengruppen innerhalb der gesetzlich vorgeschriebenen Fristen mit sofort einsatzbereiten Kommunikationsvorlagen Informationen zukommen lassen.
- Schützen Sie personenbezogene Daten direkt mit integrierter Tokenisierung, Verschlüsselung und Maskierung und lässt sich in Ihre bestehenden DLP- und ITSM-Tools integrieren, anstatt diese zu ersetzen.
Wenn Sie noch dabei sind, den aktuellen Stand Ihrer Organisation zu ermitteln, lohnt es sich eine Demo anfordern Seqrite Data Privacy oder Erkunden der detailliertes Datenblatt Um herauszufinden, wie viel von diesem Compliance-Aufwand tatsächlich automatisiert statt manuell erledigt werden kann. In einer Welt, in der Aufsichtsbehörden, Kunden und Angreifer gleichermaßen beobachten, wie Sie mit Daten umgehen, ist „angemessene Sicherheit“ kein optionales Extra mehr, sondern der Standard – und mit der richtigen Plattform im Hintergrund leichter zu erreichen.
