8.3 Indiens DPDP-Gesetz

Im August 2023 verabschiedete Indien nach jahrelangen Debatten den Digital Personal Data Protection Act (DPDP Act) – das erste umfassende Bundesdatenschutzgesetz des Landes. Mit über 1,4 Milliarden Einwohnern und einer rasant wachsenden Digitalwirtschaft hat Indien damit einen Rechtsrahmen geschaffen, der auch für internationale Unternehmen zunehmend relevant ist.

Anwendungsbereich

Ein wesentliches Merkmal des DPDP Act: Er gilt ausschließlich für die digitale Verarbeitung personenbezogener Daten. Papierbasierte Datenverarbeitung fällt nicht darunter. Der Anwendungsbereich umfasst die Verarbeitung in Indien sowie die Verarbeitung außerhalb Indiens, wenn sie im Zusammenhang mit Gütern oder Dienstleistungen für in Indien befindliche Personen steht.

Einwilligungsmodell: Notice & Consent

Der DPDP Act setzt auf ein klares Notice-and-Consent-Modell. Bevor personenbezogene Daten verarbeitet werden, müssen Betroffene eine verständliche Datenschutzmitteilung erhalten und eine informierte, freiwillige Einwilligung geben. Die Einwilligung muss jederzeit widerruflich sein. Für Minderjährige unter 18 Jahren und Personen mit Behinderung ist die Einwilligung eines Elternteils oder Betreuers erforderlich.

Betroffenenrechte – mit einer Besonderheit

Der DPDP Act gewährt Auskunft, Berichtigung, Löschung sowie das Recht auf Benennung eines Nachfolgers (Nominee): Betroffene können festlegen, wer nach ihrem Tod oder bei Handlungsunfähigkeit ihre Datenschutzrechte ausübt. Dieses Recht ist weltweit nahezu einzigartig und spiegelt den kulturellen Kontext wider.

Pflichten von Datentreuhändern

Datenschutzverantwortliche (im Gesetz: „Data Fiduciaries