Indiens Digital Personal Data Protection Bill (DPDP)

Der DPDP Act, 2022 ist nach dem Entwurf anwendbar auf Rechtssubjekte, die innerhalb Indiens digitale personenbezogene Daten verarbeiten. Unter dem Merkmal digital werden personenbezogenen Daten erfasst, die online erhoben werden, sowie solche, die offline erhoben und anschließend digitalisiert werden. Ausgenommen sind also insbesondere Daten die offline erhoben und auch offline gespeichert werden.

Die Bestimmungen des DPDP Acts, 2022 sollen aber auch für die Verarbeitung digitaler personenbezogener Daten außerhalb des indischen Hoheitsgebiets gelten, wenn die Verarbeitung im Zusammenhang mit der Erstellung von Profilen oder dem Anbieten von Waren oder Dienstleistungen an Betroffene im indischen Hoheitsgebiet erfolgt.

Nach Abschnitt 5 des Entwurfs darf der Datenverarbeiter personenbezogene Daten nur in Übereinstimmung mit den Bestimmungen des DPDP Acts, 2022 und der auf seiner Grundlage erlassenen Vorschriften für einen rechtmäßigen Zweck verarbeiten, für den die betroffene Person eingewilligt hat oder eine Einwilligung gemäß den Bestimmungen des Gesetzes angenommen werden kann. Näheres zu etwaigen Fällen, in denen eine Einwilligung angenommen werden kann, nennt der Entwurf nicht.

Vergleichbar mit den Regelungen der Datenschutz-Grundverordnung (DSGVO) sieht auch der Entwurf zum indischen Gesetz eine Informationspflicht seitens des Datenverarbeiters vor. Hiernach muss dieser eine einwilligenden Person über die erhobenen Daten und den Zweck der Verarbeitung dieser benachrichtigen. Der Wortlaut des Entwurfs spricht hierbei jedoch nur von betroffenen Personen, die die aktiv eingewilligt haben, und nicht von denen, bei denen die Einwilligung angenommen wird. Diese dürften jedoch im Rahmen der Einhaltung des Transparenzgrundsatzes mit gemeint sein oder im finalen Gesetz mit aufgenommen werden.

Ein Datenverarbeiter kann zudem nach Abschnitt 11 des Entwurfs von der Regierung, auf Grundlage einer Bewertung relevanter Faktoren (z.B. Staatssicherheit, Umfang der Datenverarbeitung, Risiko einer Verletzung der Betroffenen), als ein besonderer Datenverarbeiter eingestuft werden. Insbesondere fallen hierrunter – vergleichbar mit Art. 9 DSGVO – Verarbeiter von personenbezogenen Daten besonderer Kategorien oder Daten im großen Umfang.

Ist ein Datenverarbeiter als besonders klassifiziert, muss dieser einen Datenschutzbeauftragten mit Sitz in Indien ernennen. Neben der Berufung eines Datenschutzbeauftragten muss auch ein unabhängiger Prüfer ernannt werden, der die Einhaltung des DPDP Act, 2022 prüft. Des Weiteren sind auch weitere Maßnahmen wie die Durchführung einer Datenschutzfolgenabschätzung und einer regelmäßigen Prüfung vorzunehmen.

Seit Inkrafttreten der DSGVO sieht man global den Einfluss des europäischen Datenschutzrechts, insbesondere in Bezug auf die Rechte der Betroffenen. Auch im Entwurf für das indische Gesetz finden sich dem Art. 15 ff. DSGVO ähnliche Rechte, darunter:

• Recht auf Auskunft (Abschnitt 12 DPDP Act, 2022)
• Recht auf Korrektur und Löschung (Abschnitt 13 DPDP Act, 2022)
• Recht auf Beschwerde (Abschnitt 13 DPDP Act, 2022)

Ein weiteres ist das Recht auf Nominierung (Abschnitt 15 DPDP Act, 2022), nach welchem ein Betroffener das Recht hat, eine andere Person zu benennen, die im Falle des Todes oder der Geschäftsunfähigkeit des Betroffenen die Rechte dessen nach Maßgabe dieses Gesetztes wahrnimmt.

Schließlich regelt Kapitel 3 des Entwurfs am Ende noch diverse Pflichten seitens des Betroffenen.

Ein Thema von hoher Relevanz trägt der grenzüberschreitende Datentransfer. Auch hier finden sich im DPDP Act, 2022 Vorschriften, die diese Sachverhalte regeln sollen. Abschnitt 17 DPDP Act, 2022 regelt, dass die Regierung nach einer Bewertung anhand von ihr als notwendig erachteten Faktoren Länder oder Gebiete außerhalb Indiens festlegen kann, in die personenbezogene Daten gemäß den festgelegten Bestimmungen übermittelt werden dürfen.

Zudem legt der darauffolgende Abschnitt einige Ausnahmen fest. Bezüglich des grenzüberschreitenden Datentransfers findet Abschnitt 17 keine Anwendung:

• wenn die Verarbeitung personenbezogener Daten für die Geltendmachung eines Rechtsanspruchs erforderlich ist,
• wenn die Verarbeitung personenbezogener Daten durch ein Gericht oder eine andere Stelle in Indien für die Ausübung einer gerichtlichen oder gerichtsähnlichen Funktion erforderlich ist,
• wenn personenbezogene Daten im Interesse der Vermeidung, Aufdeckung, Untersuchung oder Verfolgung einer Straftat oder die Verfolgung jeglicher Zuwiderhandlungen gegen ein Gesetz verarbeitet werden,
• wenn personenbezogene Daten von Auftraggebern, die sich nicht im indischen Hoheitsgebiet befinden, gemäß einem mit einer Person außerhalb des indischen Hoheitsgebiets geschlossenen Vertrag von einer in Indien ansässigen Person verarbeitet werden.

Grenzüberschreitende Datenübertragungen unterliegen nun einer zentralstaatlichen Beurteilung der Rechtslage des Empfangslandes. Die Absicht, grenzüberschreitende Übertragungen auf der Grundlage einer Angemessenheitsprüfung zu regeln, scheint fortschrittlich zu sein, aber der Entwurf gibt nicht an, auf welcher Grundlage eine solche Prüfung durchgeführt werden sollte.

Im Zusammenhang mit den Angemessenheitsmechanismen und den Alternativen dazu kann jedoch davon ausgegangen werden, dass die Regierung die Präzedenzfälle und Maßnahmen des Gerichtshofs der Europäischen Union in seinen verschiedenen Urteilen, insbesondere die Safe-Harbor-Entscheidungen in Schrems I und Schrems II bewerten wird. Zwar ist die Angabe objektiver Faktoren oder spezifischer Bedingungen aus Sicht des Datenschutzes ein konstruktiver Ansatz, doch sind solche Faktoren möglicherweise nicht in allen Empfängerländern allgemein anwendbar. Dementsprechend müssen Mechanismen wie die Standardvertragsklauseln (SCC) der EU, Zertifizierungen usw. als im Rahmen der Vorschriften vorgeschrieben angesehen werden.

Mit Abschnitt 19 des Entwurfs soll die Bildung einer indischen Datenschutzbehörde geregelt werden, welche man in Indien bisher nicht findet. Die Arbeitsverteilung im Rahmen er Behörde, die Entgegennahme von Beschwerden, die Bildung von Gruppen für Anhörungen, die Verkündung von Entscheidungen und andere Funktionen der Behörde sollen weitestgehend digital gestaltet werden.

Kommt die indische Datenschutzbehörde zum Entschluss, dass eine Verletzung vorliegt, kann sie Bußgelder verhängen, wobei die Höhe nach diversen Kriterien bewertet werden soll. Darunter z.B. die Art, Schwere und Dauer des Verstoßes, die Art der vom Verstoß betroffenen personenbezogenen Daten oder das Bestehen einer Wiederholungsgefahr. Unter anderem können für Verletzungen gegen das Datenschutzgesetz Bußgelder von bis zu umgerechnet ca. 30 Millionen Euro (2,5 Milliarden ₹) anfallen.