Der Digital Personal Data Protection Act, 2023 (DPDPA) und die General Data Protection Regulation (GDPR) sind umfassende Datenschutz-Regelwerke für die Verarbeitung personenbezogener Daten. Indiens DPDPA greift zwar mehrere aus der globalen Datenschutzregulierung bekannte Konzepte auf, verfolgt aber einen eigenen Ansatz bei Einwilligung, legitimen Verwendungszwecken, Rechten der betroffenen Personen, Daten von Kindern, grenzüberschreitenden Datenübermittlungen, Pflichten von Data Fiduciaries und Durchsetzung. Für Organisationen, die in Indien und der Europäischen Union tätig sind, ist das Verständnis der Unterschiede zwischen DPDPA und GDPR entscheidend, um ein wirksames und skalierbares Datenschutz-Compliance-Programm aufzubauen. Dieser Leitfaden vergleicht die beiden Regelwerke und zeigt, wo Organisationen gemeinsame Kontrollen nutzen und zugleich jurisdiktionsspezifische Anforderungen einhalten können.
Direkter Vergleich: DPDPA vs. GDPR
| Dimension | 🇮🇳 DPDPA | 🇪🇺 GDPR |
|---|---|---|
| Jurisdiktion | Indien | EU/EWR und erfasste extraterritoriale Verarbeitungen |
| Zentrales Gesetz | Digital Personal Data Protection Act, 2023 | Verordnung (EU) 2016/679 |
| Ergänzende Vorschriften | DPDP Rules, 2025 | Leitlinien zur Umsetzung der GDPR und nationale Gesetze |
| Aufsichtsbehörde | Data Protection Board of India | Aufsichtsbehörden der EU/des EWR und EDPB |
| Anwendungsbereich | Digitale personenbezogene Daten im Rahmen der räumlichen Bestimmungen des Gesetzes | Verarbeitung personenbezogener Daten im räumlichen Anwendungsbereich der GDPR |
| Zentrale regulierte Stelle | Data Fiduciary | Verantwortlicher |
| Entsprechung zum Auftragsverarbeiter | Data Processor | Auftragsverarbeiter |
| Einzelperson | Data Principal | Betroffene Person |
| Rechtsgrundlage | Einwilligung und bestimmte legitime Verwendungszwecke | Sechs Rechtsgrundlagen nach Artikel 6 |
| Einwilligung | Freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich, mit den jeweiligen Informationspflichten | Freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich |
| Berechtigte Interessen | Keine umfassende Entsprechung zu den berechtigten Interessen der GDPR | Nach Artikel 6 Abs. 1 lit. f unter bestimmten Bedingungen möglich |
| DPO | Für Significant Data Fiduciaries erforderlich | Unter bestimmten Voraussetzungen erforderlich |
| Daten von Kindern | Für Kinder gelten erhöhte Anforderungen; der gesetzliche Rahmen definiert Kinder als Personen unter 18 Jahren | Besonderer Schutz; die GDPR legt für bestimmte einwilligungsbasierte Dienste der Informationsgesellschaft ein Regelalter von 16 Jahren fest, vorbehaltlich abweichender Regelungen der Mitgliedstaaten |
| Datenübertragbarkeit | Kein allgemeines DPDPA-Recht, das Artikel 20 GDPR entspricht | Ja |
| Recht bei automatisierter Entscheidungsfindung | Keine unmittelbare Entsprechung zu Artikel 22 GDPR | Besonderer Schutz nach Artikel 22 |
| Grenzüberschreitende Datenübermittlungen | Zulässig, vorbehaltlich der von der Zentralregierung bekannt gemachten Beschränkungen | Es gelten die Übermittlungsmechanismen nach Kapitel V |
| Besondere Kategorien von Daten | Keine Einstufung besonderer Kategorien nach Art der GDPR | Besondere Kategorien nach Artikel 9 |
| Entsprechung zur DPIA | Significant Data Fiduciaries unterliegen zusätzlichen Pflichten zur Folgenabschätzung | DPIA erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat |
| Meldung der Datenschutzverletzung | Anforderungen nach dem DPDPA und den geltenden Rules | Meldung an die Aufsichtsbehörde grundsätzlich binnen 72 Stunden, sofern erforderlich |
| Maximale verwaltungsrechtliche Sanktion | Bis zu ₹250 Crore bei bestimmten Verstößen | Bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes bei bestimmten Verstößen |
| EU-Vertreter | Keine unmittelbare Entsprechung im DPDPA | Artikel 27 kann für bestimmte Organisationen außerhalb der EU einen EU-Vertreter erfordern |
Die Umsetzungstermine nach Indiens DPDPA-Rahmenwerk sollten anhand der aktuellen Bekanntmachungen der Regierung zum Inkrafttreten und der Rules überprüft werden. Die Rules wurden am 14. November 2025 bekannt gemacht und sehen eine stufenweise Umsetzung vor.
Was ist der DPDPA?
Der Digital Personal Data Protection Act, 2023 ist Indiens zentrales Gesetz für die Verarbeitung digitaler personenbezogener Daten.
Das Gesetz soll das Recht des Einzelnen auf Schutz seiner personenbezogenen Daten mit dem Bedürfnis von Organisationen in Einklang bringen, personenbezogene Daten für rechtmäßige Zwecke zu verarbeiten. Es legt Pflichten für Data Fiduciaries, Rechte und Pflichten von Data Principals, Anforderungen an Data Processors sowie einen Durchsetzungsrahmen unter Einbindung des Data Protection Board of India fest.
Die DPDP Rules, 2025 enthalten zusätzliche Umsetzungsanforderungen und operative Einzelheiten zum Gesetz. Die Rules wurden am 14. November 2025 vom Ministry of Electronics and Information Technology offiziell bekannt gemacht.
Was ist die GDPR?
Die General Data Protection Regulation (GDPR) ist das umfassende Datenschutz-Regelwerk der Europäischen Union.
Sie regelt die Verarbeitung personenbezogener Daten durch Organisationen, die als Verantwortliche und Auftragsverarbeiter handeln, und legt Anforderungen fest zu:
- Rechtmäßige Verarbeitung
- Transparenz
- Zweckbindung
- Datenminimierung
- Richtigkeit
- Speicherbegrenzung
- Sicherheit
- Rechenschaftspflicht
- Rechte der betroffenen Personen
- Internationale Datenübermittlungen
Die GDPR kann auch für Organisationen außerhalb der EU gelten, wenn die Voraussetzungen ihrer Bestimmungen zum räumlichen Anwendungsbereich erfüllt sind.
DPDPA vs. GDPR: Wesentliche Unterschiede
1. Räumlicher Anwendungsbereich
DPDPA
Der DPDPA gilt für die Verarbeitung digitaler personenbezogener Daten innerhalb Indiens und kann auch für Verarbeitungen außerhalb Indiens im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen an Data Principals in Indien gelten, vorbehaltlich des gesetzlichen Anwendungsbereichs.
Organisationen sollten daher ihre Geschäftstätigkeit in Indien, ihre digitalen Dienste, ihren Kundenstamm und ihre Verarbeitungstätigkeiten prüfen, statt anzunehmen, dass allein der physische Standort über die Anwendbarkeit entscheidet.
GDPR
Die GDPR gilt nach ihren räumlichen Bestimmungen für Verarbeitungen innerhalb der EU/des EWR und kann für Organisationen außerhalb der EU gelten, wenn die Voraussetzungen des Artikels 3 erfüllt sind.
Wesentlicher Unterschied: Beide Regelwerke können extraterritoriale Reichweite haben, ihre gesetzlichen Kriterien und Begriffe sind jedoch unterschiedlich.
2. Data Fiduciary vs. Verantwortlicher
DPDPA
Der DPDPA verwendet den Begriff Data Fiduciary für eine Stelle, die über Zweck und Mittel der Verarbeitung personenbezogener Daten entscheidet.
GDPR
Die GDPR verwendet den Begriff Verantwortlicher (Controller) für eine Stelle, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.
Die Konzepte sind zwar vergleichbar, rechtlich aber nicht identisch. Organisationen sollten ihre Verantwortlichkeiten daher gesondert erfassen, wenn sie ein Datenschutzprogramm für mehrere Jurisdiktionen umsetzen.
3. Einwilligung und Rechtsgrundlagen
Einer der wichtigsten Unterschiede zwischen DPDPA und GDPR liegt in der Ausgestaltung der rechtmäßigen Verarbeitung.
DPDPA
Der DPDPA ist stark auf die Einwilligung und bestimmte legitime Verwendungszwecke ausgerichtet.
Wird die Verarbeitung auf eine Einwilligung gestützt, muss der Data Fiduciary einen angemessenen Hinweis bereitstellen und eine Einwilligung einholen, die den Anforderungen des Gesetzes entspricht.
Der DPDPA übernimmt die Struktur der sechs Rechtsgrundlagen der GDPR nicht.
GDPR
Die GDPR kennt sechs Rechtsgrundlagen nach Artikel 6:
- Einwilligung
- Vertrag
- Rechtliche Verpflichtung
- Lebenswichtige Interessen
- Öffentliche Aufgabe
- Berechtigte Interessen
Bei der Verarbeitung besonderer Kategorien personenbezogener Daten gelten zusätzliche Anforderungen.
Wesentlicher Unterschied: Die GDPR bietet einen breiteren Rahmen an Rechtsgrundlagen, während der DPDPA die Einwilligung und gesetzlich bestimmte legitime Verwendungszwecke als zentrale Verarbeitungswege nutzt.
4. Anforderungen an die Einwilligung
DPDPA
Die Einwilligung muss den gesetzlichen Anforderungen entsprechen und widerrufbar sein.
Organisationen sollten sicherstellen, dass ihre Einwilligungsmechanismen Folgendes sind:
- Klar
- Für den bestimmten Fall
- Informiert
- Unmissverständlich
- Leicht widerrufbar
GDPR
Auch die Einwilligung nach der GDPR muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt werden.
Ist die Einwilligung die Rechtsgrundlage, müssen Organisationen nachweisen können, dass eine wirksame Einwilligung eingeholt wurde, und einen wirksamen Widerrufsmechanismus bereitstellen.
Praktische Konsequenz: Ein gut konzipiertes Consent-Management-System kann beide Regelwerke unterstützen, die zugrunde liegende rechtliche Analyse sollte jedoch jurisdiktionsspezifisch bleiben.
5. Berechtigte Interessen
Dies ist ein wesentlicher Unterschied.
DPDPA
Der DPDPA enthält keine umfassende Entsprechung zur Rechtsgrundlage der berechtigten Interessen nach der GDPR.
Stattdessen benennt das Gesetz in seinem gesetzlichen Rahmen bestimmte legitime Verwendungszwecke.
GDPR
Die GDPR erkennt berechtigte Interessen in Artikel 6 Abs. 1 lit. f ausdrücklich an, sofern die erforderlichen Voraussetzungen erfüllt sind und die Rechte und Freiheiten der betroffenen Personen nicht überwiegen.
Organisationen dokumentieren dies in der Regel, soweit angemessen, durch eine Interessenabwägung (Legitimate Interests Assessment).
Ergebnis: Organisationen können eine Interessenabwägung nach der GDPR nicht einfach übernehmen und als Prüfung der legitimen Verwendungszwecke nach dem DPDPA behandeln.
6. Rechte der betroffenen Personen
Rechte der Data Principals nach dem DPDPA
Der DPDPA sieht unter anderem folgende Rechte vor:
- Auskunft über personenbezogene Daten
- Berichtigung und Aktualisierung
- Löschung
- Beschwerdeabhilfe
- Widerruf der Einwilligung
- Benennung einer anderen Person unter bestimmten Voraussetzungen
Rechte der betroffenen Personen nach der GDPR
Die GDPR sieht einen breiteren Katalog an Rechten vor, darunter:
- Auskunft
- Berichtigung
- Löschung
- Einschränkung der Verarbeitung
- Datenübertragbarkeit
- Widerspruch
- Widerruf der Einwilligung
- Rechte im Zusammenhang mit bestimmten automatisierten Entscheidungen und Profiling
Der DPDPA übernimmt nicht alle Rechte der GDPR. So gibt es im DPDPA weder eine allgemeine Entsprechung zum Recht auf Datenübertragbarkeit nach Artikel 20 GDPR noch zum besonderen Rahmen des Artikels 22 für bestimmte ausschließlich automatisierte Entscheidungen.
7. Daten von Kindern
DPDPA
Der DPDPA definiert ein Kind als Person unter 18 Jahren.
Das Gesetz legt zusätzliche Pflichten für personenbezogene Daten von Kindern fest, darunter Anforderungen an eine überprüfbare Einwilligung der Eltern und Beschränkungen bestimmter Verarbeitungstätigkeiten, die Kinder betreffen, vorbehaltlich gesetzlicher Ausnahmen und von der Regierung bekannt gemachter Bestimmungen.
GDPR
Die GDPR kennt keine dem DPDPA entsprechende, allgemein geltende Einwilligungsregel für unter 18-Jährige.
Für bestimmte Dienste der Informationsgesellschaft, die Kindern direkt angeboten werden, legt Artikel 8 für die einwilligungsbasierte Verarbeitung ein Regelalter von 16 Jahren fest; die Mitgliedstaaten können dieses Alter auf nicht unter 13 Jahre absenken.
Die GDPR verlangt von Organisationen außerdem, die besondere Schutzbedürftigkeit und die Interessen von Kindern zu berücksichtigen.
Wesentlicher Unterschied: Indiens gesetzlicher Rahmen legt mit der Grenze von 18 Jahren eine deutlich weiter gefasste Definition von „Kind“ zugrunde, während Artikel 8 GDPR auf einen bestimmten Einwilligungskontext abstellt.
8. Data Protection Officers
DPDPA
Der DPDPA verpflichtet einen Significant Data Fiduciary (SDF), einen Data Protection Officer zu benennen, der in Indien ansässig ist und als Ansprechpartner für die Datenschutzverantwortlichkeiten der Organisation fungiert.
Nicht jeder Data Fiduciary ist nach dem DPDPA automatisch verpflichtet, einen gesetzlichen DPO zu benennen.
GDPR
Ein Data Protection Officer nach der GDPR ist nur unter den in Artikel 37 genannten Voraussetzungen verpflichtend.
Dazu gehören bestimmte umfangreiche, regelmäßige und systematische Überwachungstätigkeiten sowie bestimmte umfangreiche Verarbeitungen besonderer Kategorien personenbezogener Daten.
Wesentlicher Unterschied: Beide Regelwerke kennen die Rolle des DPO, die Auslöser und gesetzlichen Aufgaben unterscheiden sich jedoch.
9. Datenschutzvertreter / Lokale Präsenz
DPDPA
Der DPDPA schafft keine unmittelbare Entsprechung zum EU-Vertreter nach Artikel 27 GDPR.
Organisationen, die dem DPDPA unterliegen, sollten jedoch angemessene Regelungen für Governance, Rechenschaftspflicht und Behördenkontakte vorhalten.
GDPR
Bestimmte Organisationen außerhalb der EU können nach Artikel 27 verpflichtet sein, einen EU-Vertreter zu benennen.
Der Vertreter dient betroffenen Personen und Aufsichtsbehörden als Anlaufstelle in Bezug auf die Verarbeitungstätigkeiten der Organisation.
Wichtig: Ein kommerzieller Service als „Indien-Vertreter“ sollte nicht als gesetzliche DPDPA-Entsprechung zu einem EU-Vertreter nach Artikel 27 beschrieben werden.
10. Meldung von Datenschutzverletzungen
DPDPA
Der DPDPA und die DPDP Rules legen für Data Fiduciaries Pflichten im Zusammenhang mit Datenschutzverletzungen fest.
Organisationen sollten Verfahren vorhalten für:
- Erkennung von Verletzungen des Schutzes personenbezogener Daten
- Bewertung der Auswirkungen
- Eindämmung von Vorfällen
- Dokumentation von Entscheidungen
- Meldung an die zuständige Behörde, sofern erforderlich
- Kommunikation mit betroffenen Data Principals, sofern erforderlich
Die genauen Meldefristen und Umsetzungsanforderungen sollten im Einklang mit den geltenden Rules und den Bestimmungen zum Inkrafttreten dargestellt werden.
GDPR
Nach Artikel 33 muss ein Verantwortlicher eine meldepflichtige Verletzung des Schutzes personenbezogener Daten grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde melden.
Hat eine Verletzung voraussichtlich ein hohes Risiko für natürliche Personen zur Folge, kann Artikel 34 eine Benachrichtigung der betroffenen Personen erfordern.
Wesentlicher Unterschied: Stellen Sie die beiden Regime nicht so dar, als hätten sie identische Verfahren zur Meldung von Datenschutzverletzungen, nur weil beide entsprechende Pflichten enthalten.
11. Grenzüberschreitende Datenübermittlungen
DPDPA
Der DPDPA erlaubt grenzüberschreitende Datenübermittlungen vorbehaltlich von Beschränkungen, die die Zentralregierung für bestimmte Länder oder Gebiete verhängen kann.
Das bedeutet, dass der DPDPA keinen umfassenden Übermittlungsmechanismus nach Art der GDPR auf Grundlage von Angemessenheitsbeschlüssen, SCCs und BCRs schafft.
GDPR
Internationale Übermittlungen nach Kapitel V GDPR erfordern einen geeigneten Übermittlungsmechanismus, etwa:
- Angemessenheitsbeschlüsse
- Standardvertragsklauseln
- Binding Corporate Rules
- Einschlägige Ausnahmen
Je nach Übermittlungsmechanismus und Umständen müssen Organisationen gegebenenfalls auch ergänzende Garantien und Bewertungen des Übermittlungsrisikos berücksichtigen.
12. Sensible Daten / Besondere Kategorien von Daten
DPDPA
Der DPDPA übernimmt die gesonderte Kategorie der besonderen Kategorien personenbezogener Daten aus der GDPR nicht.
Stattdessen knüpft das Regelwerk seine Pflichten an Faktoren wie die Art der Verarbeitung, die Einstufung des Data Fiduciary und bestimmte gesetzliche Anforderungen.
GDPR
Artikel 9 sieht einen erhöhten Schutz für besondere Kategorien personenbezogener Daten vor, darunter Informationen über:
- Gesundheit
- Biometrische Daten zur Identifizierung
- Genetische Daten
- Politische Meinungen
- Religiöse oder weltanschauliche Überzeugungen
- Gewerkschaftszugehörigkeit
- Rassische oder ethnische Herkunft
- Sexualleben oder sexuelle Orientierung
Die Verarbeitung erfordert sowohl eine Rechtsgrundlage nach Artikel 6 als auch eine einschlägige Bedingung nach Artikel 9.
13. DPIA und Folgenabschätzungen
DPDPA
Significant Data Fiduciaries unterliegen nach dem Gesetz und den Rules zusätzlichen Governance- und Bewertungspflichten.
Dazu können Anforderungen an Folgenabschätzungen, Audits und weitere für SDFs vorgeschriebene Maßnahmen gehören.
GDPR
Eine Data Protection Impact Assessment (DPIA) ist erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
Eine DPIA ist besonders relevant bei Tätigkeiten mit umfangreicher Verarbeitung sensibler Daten, systematischer Überwachung oder anderer Hochrisiko-Verarbeitung.
Wesentlicher Unterschied: Die Anforderungen des DPDPA an Folgenabschätzungen sind eng mit dem Rahmen für Significant Data Fiduciaries verknüpft, während DPIAs nach der GDPR risikobasiert sind.
14. Datenlokalisierung
Keines der beiden Regelwerke sollte so beschrieben werden, als schreibe es pauschal vor, dass alle personenbezogenen Daten im Land oder in der Region verbleiben müssen.
DPDPA
Der DPDPA erlaubt grenzüberschreitende Datenübermittlungen vorbehaltlich staatlicher Beschränkungen.
Für bestimmte Datenkategorien können gesonderte branchenspezifische Anforderungen gelten – zum Beispiel Anforderungen des Finanzsektors.
GDPR
Die GDPR schreibt keine allgemeine Datenlokalisierung innerhalb der EU vor.
Stattdessen müssen internationale Übermittlungen die Anforderungen des Kapitels V erfüllen.
15. Sanktionen
DPDPA
Der DPDPA sieht erhebliche Geldsanktionen vor; die Höchstsanktion für bestimmte Verstöße beträgt ₹250 Crore.
Die jeweilige Sanktion hängt von Art und Umständen des Verstoßes ab.
GDPR
Bei bestimmten schweren Verstößen können Bußgelder nach der GDPR bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres betragen, je nachdem, welcher Betrag höher ist.
Wichtig: Die Sanktionsstrukturen von DPDPA und GDPR sollten nicht allein durch Währungsumrechnung direkt miteinander verglichen werden. Ihre gesetzlichen Rahmen, Methoden der Sanktionsbemessung und Durchsetzungsstrukturen unterscheiden sich.
16. Aufsichtsbehörden
Indien
Das Data Protection Board of India wird im Rahmen des DPDPA eingerichtet, um die ihm nach dem Gesetz zugewiesenen Aufgaben wahrzunehmen.
Organisationen sollten zwischen der gesetzlichen Rolle des Board und dem stufenweisen Inkrafttreten der materiellen Pflichten nach dem DPDPA und den Rules unterscheiden.
Europäische Union
Die Durchsetzung der GDPR erfolgt durch die nationalen Datenschutz-Aufsichtsbehörden in den Jurisdiktionen der EU/des EWR; der European Data Protection Board (EDPB) sorgt für Koordinierungs- und Kohärenzmechanismen.
DPDPA vs. GDPR: Welches Regelwerk ist strenger?
Darauf gibt es keine einfache Antwort.
Die GDPR ist in der Regel detaillierter in Bereichen wie:
- Rechtsgrundlagen
- Rechte der betroffenen Personen
- Datenübertragbarkeit
- Automatisierte Entscheidungsfindung
- Besondere Kategorien von Daten
- Internationale Übermittlungen
- DPIAs
- Rechenschaftspflicht von Verantwortlichen/Auftragsverarbeitern
Der DPDPA hat eine andere regulatorische Architektur mit starkem Fokus auf:
- Einwilligung
- Rechenschaftspflicht der Data Fiduciaries
- Significant Data Fiduciaries
- Daten von Kindern
- Rechte der Data Principals
- Bestimmte legitime Verwendungszwecke
- Staatlich regulierte grenzüberschreitende Datenübermittlungen
Organisationen sollten daher vermeiden, eines der beiden Regelwerke als allgemeingültige „Baseline“ für das andere zu behandeln.
Kann ein Datenschutzprogramm DPDPA und GDPR abdecken?
Ja.
Ein gemeinsames Rahmenwerk für das Datenschutzmanagement kann die Grundlage bilden, ergänzt um jurisdiktionsspezifische Kontrollen für Indien und die EU.
1. Data Mapping
Führen Sie ein zentrales Inventar mit folgenden Angaben:
- Erhobene personenbezogene Daten
- Verarbeitungszwecke
- Betroffene Personen / Data Principals
- Data Fiduciaries / Verantwortliche
- Data Processors
- Empfänger
- Speicherorte
- Internationale Übermittlungen
- Aufbewahrungsfristen
2. Consent Management
Bauen Sie ein Einwilligungsrahmenwerk auf, das Folgendes unterstützt:
- Einwilligung nach der GDPR
- Einwilligung nach dem DPDPA
- Widerruf der Einwilligung
- Einwilligungsnachweise
- Datenschutzhinweise
- Präferenzmanagement
3. Management von Betroffenenrechten
Nutzen Sie einen zentralen Workflow zur Verwaltung von:
- Anträge betroffener Personen nach der GDPR
- Anträge von Data Principals nach dem DPDPA
- Identitätsprüfung
- Nachverfolgung von Anträgen
- Antwortfristen
- Nachweise und Audit-Trails
4. Dienstleister- & Auftragsverarbeiter-Management
Bewerten Sie:
- Data Processors
- Unterauftragsverarbeiter
- Dienstleister
- Cloud-Anbieter
- Analyseplattformen
- Werbetechnologie
- Internationale Dienstleister
5. Reaktion auf Datenschutzverletzungen
Schaffen Sie einen einheitlichen Incident-Response-Prozess mit jurisdiktionsspezifischen Entscheidungspunkten für:
- Klassifizierung von Vorfällen
- Meldung an Aufsichtsbehörden
- Benachrichtigung betroffener Personen
- Beweissicherung
- Dokumentation
- Abhilfemaßnahmen
6. Regulatory Monitoring
Datenschutzprogramme sollten Änderungen sowohl der indischen als auch der europäischen Anforderungen kontinuierlich verfolgen.
Dies ist für den DPDPA besonders wichtig, da Indiens Rules im November 2025 bekannt gemacht wurden und das Regelwerk stufenweise umgesetzt wird.
Häufig gestellte Fragen
Ist der DPDPA dasselbe wie die GDPR?
Nein. Der DPDPA greift aus der internationalen Datenschutzregulierung bekannte Konzepte auf, hat jedoch eine eigene rechtliche Struktur, eigene Begriffe, einen eigenen Rechtekatalog, ein eigenes Einwilligungsmodell und einen eigenen Durchsetzungsmechanismus.
Ersetzt der DPDPA die GDPR für Unternehmen, die in Indien tätig sind?
Nein. Eine Organisation muss gegebenenfalls für ihre Verarbeitungstätigkeiten in Indien den DPDPA einhalten und zugleich die GDPR, soweit die Voraussetzungen ihres räumlichen Anwendungsbereichs erfüllt sind.
Gilt der DPDPA für Unternehmen außerhalb Indiens?
Möglicherweise ja. Der DPDPA enthält Bestimmungen, die für Verarbeitungen außerhalb Indiens im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen an Data Principals in Indien gelten können, vorbehaltlich des gesetzlichen Anwendungsbereichs.
Verlangt der DPDPA für jede Verarbeitung eine Einwilligung?
Nein. Die Einwilligung ist eine zentrale Grundlage der Verarbeitung, das Gesetz benennt in seinem Rahmen jedoch auch bestimmte legitime Verwendungszwecke und weitere Fallgestaltungen.
Kennt der DPDPA eine Rechtsgrundlage der berechtigten Interessen wie die GDPR?
Nein. Der DPDPA enthält keine umfassende Rechtsgrundlage der berechtigten Interessen nach Art von Artikel 6 Abs. 1 lit. f. Stattdessen sieht er bestimmte legitime Verwendungszwecke vor.
Kennt der DPDPA ein Recht auf Datenübertragbarkeit?
Der DPDPA sieht kein allgemeines Recht vor, das der Datenübertragbarkeit nach Artikel 20 GDPR entspricht.
Verlangt der DPDPA einen DPO?
Nicht von jeder Organisation. Ein Significant Data Fiduciary ist nach dem Gesetz verpflichtet, einen DPO in Indien zu benennen.
Verlangt der DPDPA einen Vertreter in Indien?
Es gibt keine unmittelbare gesetzliche Entsprechung zur Pflicht, einen EU-Vertreter nach Artikel 27 GDPR zu benennen. Organisationen sollten jedoch, soweit relevant, angemessene Regelungen für Governance und Behördenkontakte in Indien schaffen.
Gilt nach dem DPDPA dieselbe 72-Stunden-Regel für die Meldung von Datenschutzverletzungen wie nach der GDPR?
Die beiden Regelwerke sollten nicht als identisch beschrieben werden. Artikel 33 GDPR enthält die bekannte Pflicht, meldepflichtige Verletzungen binnen 72 Stunden der Aufsichtsbehörde zu melden. Die Pflichten bei Datenschutzverletzungen nach dem DPDPA richten sich nach dem Gesetz und den Rules, einschließlich der jeweils geltenden Anforderungen an Inkrafttreten und Umsetzung.
Ist der DPDPA vollständig in Kraft?
Das DPDPA-Rahmenwerk wird über ein stufenweises Inkrafttreten umgesetzt. Die DPDP Rules, 2025 wurden am 14. November 2025 bekannt gemacht; Organisationen sollten für jede Bestimmung das maßgebliche Datum des Inkrafttretens prüfen, statt davon auszugehen, dass das gesamte Regelwerk gleichzeitig wirksam wird.
DPDPA- & GDPR-Compliance mit RegulatoryBridge
Werden die Datenschutzanforderungen Indiens und der EU über getrennte Prozesse gesteuert, kann dies zu Doppelarbeit, uneinheitlichen Datenschutzhinweisen und fragmentierten Workflows für Betroffenenrechte führen.
RegulatoryBridge unterstützt Organisationen beim Aufbau koordinierter Datenschutz-Compliance-Programme über Jurisdiktionen hinweg.
Unsere Unterstützung kann Folgendes umfassen:
- DPDPA-Readiness- und Compliance-Assessments
- GDPR-Compliance-Assessments
- Data Mapping und Dateninventar
- Überprüfung von Datenschutzhinweisen
- Consent Management
- Workflows für Anträge von Data Principals und betroffenen Personen
- Assessments von Data Processors / Dienstleistern
- Assessments grenzüberschreitender Datenübermittlungen
- Unterstützung bei DPIAs und Folgenabschätzungen
- Planung der Reaktion auf Datenschutzverletzungen
- Unterstützung bei DPO-Funktion und Datenschutz-Governance
- Regulatory Monitoring
- Unterstützung bei der Datenschutzvertretung in Indien und der EU
- Laufendes Compliance-Management
Decken Sie DPDPA und GDPR unter einem Programm ab.
Einmal Kontrollen zuordnen, doppelt konform sein. RegulatoryBridge bietet Ihnen eine einzige DSAR-Pipeline, einen einzigen DPO, ein einziges Breach-Runbook – beide Rahmenwerke abgedeckt.