Indiens Digital Personal Data Protection Act verfolgt bei öffentlichen Daten einen anderen Ansatz als Europa. Die GDPR gilt für personenbezogene Daten unabhängig davon, wo sie gefunden wurden. Indiens Gesetz hingegen besagt, dass es für bestimmte personenbezogene Daten, die bereits öffentlich sind, nicht gilt. Für Teams, die Web-Daten mit Blick auf Compliance sammeln, klingt das nach einer einfachen Antwort. Das ist es nicht, und das Timing ist genauso wichtig wie der Wortlaut.
Dieser Leitfaden behandelt, was das Gesetz zu öffentlichen Daten sagt, wann es in Kraft tritt, was es verlangt, wenn die Ausnahme nicht greift, und wie man sich vorbereitet. Es handelt sich um allgemeine Informationen, nicht um Rechtsberatung.
Wo das Gesetz steht
Das Gesetz erhielt am 11. August 2023 die Zustimmung des Präsidenten. Die Regierung hat die DPDP Rules und die Inkrafttretungsdaten im November 2025 in drei Stufen bekanntgegeben.
| Stufe | Datum | Was in Kraft tritt |
|---|---|---|
| Bei Veröffentlichung | 13. November 2025 | Definitionen, das Data Protection Board und seine Einrichtungsregeln |
| Nach einem Jahr | November 2026 | Bestimmungen zu Consent Managern |
| Nach 18 Monaten | 13. Mai 2027 | Anwendungsbereich (Abschnitt 3), Hinweise, Einwilligung, legitime Nutzungen, Pflichten, Rechte, Ausnahmen, die Durchsetzungsbefugnisse und Bußgelder des Boards |
Manche Zusammenfassungen rechnen ab dem 14. November, dem Datum der Unterzeichnung des Gazette, wodurch sich jede Stufe um einen Tag verschiebt. So oder so sind die wichtigsten Pflichten, und sogar der Abschnitt, der den Anwendungsbereich des Gesetzes und seine Ausnahme für öffentliche Daten festlegt, erlassen, aber noch nicht in Kraft. Bis dahin gelten weiterhin die älteren Regeln nach Abschnitt 43A des IT Act für sensible personenbezogene Daten.
Anfang 2026 konsultierte die Regierung dazu, bestimmte Pflichten für die größten Data Fiduciaries auf 12 Monate vorzuziehen. Zum Zeitpunkt der Erstellung dieses Textes haben wir keine Bekanntmachung gefunden, die diese Änderung umsetzt. Prüfen Sie daher das Gazette, bevor Sie sich auf das Datum 2027 verlassen.
Die Ausnahme für öffentliche Daten
Abschnitt 3(c)(ii) besagt, dass das Gesetz nicht gilt für „personenbezogene Daten, die öffentlich zugänglich gemacht wurden oder deren öffentliche Zugänglichmachung veranlasst wurde durch”:
- „die Data Principal, auf die sich diese personenbezogenen Daten beziehen”, oder
- „jede andere Person, die aufgrund eines in Indien geltenden Gesetzes verpflichtet ist, diese personenbezogenen Daten öffentlich zugänglich zu machen”.
Das Gesetz gibt ein Beispiel: „X, eine Einzelperson, hat beim Bloggen ihrer Ansichten ihre personenbezogenen Daten öffentlich in sozialen Medien zugänglich gemacht. In diesem Fall gelten die Bestimmungen dieses Gesetzes nicht.”
Entscheidend ist, wer die Daten öffentlich gemacht hat, nicht, ob sie jetzt öffentlich sind. Drei Fälle zeigen den Unterschied.
| Daten | Wer hat sie öffentlich gemacht | Ausgenommen? |
|---|---|---|
| Das eigene Profil oder ein Blogbeitrag einer Fachperson | Die Person selbst | Ja, dem Wortlaut nach |
| Angaben eines Unternehmensdirektors in einem gesetzlichen Register | Jemand, der gesetzlich zur Veröffentlichung verpflichtet ist | Ja, dem Wortlaut nach |
| Ein Nachrichtenartikel, eine Bewertung oder ein Repost, der eine Person nennt | Ein Dritter ohne gesetzliche Pflicht | Nein |
Ein Großteil dessen, was ein Crawler sammelt, ist die dritte Art: Namen in Artikeln, Bewertungen, Kommentaren und von anderen zusammengestellten Verzeichnissen. Die Ausnahme erfasst diese Daten nicht. Das Gesetz sagt auch nicht, ob Daten ausgenommen bleiben, sobald sie mit anderen Quellen kombiniert oder zur Profilbildung einer Person verwendet werden, und dazu gibt es bisher keine offizielle Leitlinie.
In der Praxis müssen Sie die Herkunft jedes Datensatzes kennen. Ein Datensatz, der selbst veröffentlichte Daten mit Daten von Dritten mischt, kann sich nicht als Ganzes auf die Ausnahme berufen.
Wenn die Ausnahme nicht gilt
Für personenbezogene Daten außerhalb der Ausnahme ist das Gesetz streng.
Keine legitimen Interessen. Die Verarbeitung ist nur mit Einwilligung oder für „bestimmte legitime Nutzungen” rechtmäßig. Diese Nutzungen bilden eine abschließende Liste: Daten, die eine Person freiwillig für einen bestimmten Zweck angegeben hat, staatliche Aufgaben, gesetzliche Pflichten, Gerichtsbeschlüsse, medizinische Notfälle, Katastrophen und Beschäftigung. Es gibt keine allgemeine Abwägungsprüfung wie bei den legitimen Interessen der GDPR. Unser Leitfaden zu GDPR und Residential Proxies behandelt, wie Europa dieselbe Frage handhabt.
Die Einwilligung ist anspruchsvoll. Sie muss „frei, spezifisch, informiert, bedingungslos und eindeutig mit einer klaren bejahenden Handlung” erfolgen und einem Hinweis vorausgehen. Für aus dem Web gesammelte Daten ist Einwilligung selten praktikabel.
Forschung hat eine eigene Ausnahme. Abschnitt 17(2)(b) besagt, dass das Gesetz nicht für Verarbeitungen gilt, die „für Forschungs-, Archivierungs- oder statistische Zwecke notwendig sind, sofern die personenbezogenen Daten nicht verwendet werden, um eine für eine Data Principal spezifische Entscheidung zu treffen”, durchgeführt nach vorgeschriebenen Standards. Die Rules legen diese Standards fest: rechtmäßige Verarbeitung, nur die benötigten Daten, angemessene Genauigkeit, begrenzte Aufbewahrung, Sicherheitsvorkehrungen und klare Verantwortlichkeit. Auch diese Ausnahme tritt im Mai 2027 in Kraft.
Reichweite über Indien hinaus. Das Gesetz gilt für Verarbeitungen außerhalb Indiens, wenn sie „im Zusammenhang mit einer Tätigkeit stehen, die sich auf das Anbieten von Waren oder Dienstleistungen an Data Principals innerhalb des Hoheitsgebiets Indiens bezieht”. Ein Team im Ausland, das einen Datensatz indischer Verbraucher aufbaut, um ihnen etwas zu verkaufen, sollte davon ausgehen, dass dies erfasst sein könnte.
Bußgelder
Bußgelder werden pro Verstoß festgelegt und „können bis zu” den unten genannten Beträgen betragen. Sie gelten ab Mai 2027.
| Verstoß | Bis zu |
|---|---|
| Unterlassen angemessener Sicherheitsvorkehrungen | ₹250 crore |
| Unterlassen der Meldung einer Datenschutzverletzung | ₹200 crore |
| Verstoß gegen Pflichten bezüglich Kindern | ₹200 crore |
| Verstoß gegen Pflichten bedeutender Data Fiduciaries | ₹150 crore |
| Verstoß gegen jede andere Bestimmung | ₹50 crore |
₹250 crore entsprechen 2,5 Milliarden Rupien. Das Board entscheidet den Betrag im Einzelfall.
Das andere Gesetz, das man im Blick behalten sollte
Der DPDP Act ist nicht das einzige indische Gesetz, das Web-Daten betrifft. Abschnitt 43 des IT Act macht eine Person haftbar für Schadensersatz, wenn sie „ohne Erlaubnis des Eigentümers” eines Computersystems darauf zugreift oder Daten davon herunterlädt, kopiert oder extrahiert. Das hängt von der Erlaubnis ab, nicht von personenbezogenen Daten, sodass die Nutzungsbedingungen und Zugriffskontrollen einer Seite unabhängig von allem im DPDP Act eine Rolle spielen. Unser Leitfaden dazu, was die Rechtsabteilung vor einem Scraping-Projekt fragen wird, behandelt, wie man diese Fragen gemeinsam bewertet.
Wie Datenteams sich vorbereiten sollten
- Indische personenbezogene Daten kartieren. Finden Sie heraus, welche Quellen und Felder personenbezogene Daten über Personen in Indien enthalten und ob Ihre Nutzung mit dem Anbieten von Waren oder Dienstleistungen an diese verbunden ist.
- Erfassen, wer jeden Datensatz veröffentlicht hat. Markieren Sie Daten als selbst veröffentlicht, gesetzlich veröffentlicht oder von Dritten. Nur die ersten beiden können sich auf die Ausnahme berufen. Unser Leitfaden zu Provenienz in der KI-Trainings-Pipeline zeigt ein Datensatzformat, das dies abbildet.
- Verzichten Sie auf Unnötiges. Personenbezogene Daten von Dritten ohne rechtmäßige Grundlage sollten bereits bei der Erfassung herausgefiltert werden, nicht erst später.
- Prüfen Sie jeden Forschungsanspruch. Wenn Sie sich auf die Forschungsausnahme berufen, dokumentieren Sie den Zweck, bestätigen Sie, dass keine Entscheidungen über Einzelpersonen getroffen werden, und erfüllen Sie die Standards der Rules.
- Planen Sie für Mai 2027. Behandeln Sie dies als Frist und achten Sie auf jede Bekanntmachung, die Termine vorzieht oder Übermittlungen in bestimmte Länder einschränkt.
Wo Proxies ins Bild passen
Ein Proxy ändert, woher eine Anfrage kommt, nicht, was das Gesetz erlaubt. Das Sammeln indischer personenbezogener Daten über eine indische IP, oder jede andere, ändert nicht, ob der DPDP Act gilt oder auf welche Ausnahme Sie sich berufen. Residential Proxies sind nützlich, um öffentliche Seiten so zu sehen, wie lokale Besucher in Indien sie sehen, für Aufgaben wie Preisüberwachung, Anzeigenprüfung und Lokalisierungsprüfungen, die in der Regel wenig oder keine personenbezogenen Daten betreffen.
Fazit
Indiens DPDP Act nimmt personenbezogene Daten aus, die Menschen über sich selbst veröffentlichen, nicht aber personenbezogene Daten, die andere über sie veröffentlichen, und er bietet keine legitimen Interessen als Rückfalloption. Die meisten seiner Pflichten treten am 13. Mai 2027 in Kraft, einschließlich der Ausnahme selbst. Nutzen Sie die Zeit, um zu kartieren, welche indischen personenbezogenen Daten Sie besitzen, zu erfassen, wer jeden Datensatz veröffentlicht hat, und eine Datenerfassung aufzubauen, die nur das behält, was Sie rechtfertigen können. Für einen Vergleich mit einer weiteren aktuellen Änderung siehe unseren Leitfaden zum britischen Data (Use and Access) Act.
Quellen und Verweise
- Digital Personal Data Protection Act, 2023, Gazette of India (11. August 2023): egazette.gov.in
- Bekanntmachung des Inkrafttretens, G.S.R. 843(E) (November 2025): egazette.gov.in
- Einrichtung des Data Protection Board, G.S.R. 844(E) (November 2025): egazette.gov.in
- Digital Personal Data Protection Rules, 2025, G.S.R. 846(E): egazette.gov.in
- Press Information Bureau, Hintergrundpapier zu den DPDP Rules (November 2025): pib.gov.in
- S.S. Rana and Co., MeitY plant Verkürzung des DPDP-Compliance-Zeitplans (13. Februar 2026): ssrana.in
- Information Technology Act, 2000, Abschnitt 43 (Text via CIS): cis-india.org
- General Data Protection Regulation, Regulation (EU) 2016/679: eur-lex.europa.eu