Indiens Digital Personal Data Protection Act (DPDPA): Datenschutz für Shopify-Shops
Pandectes GDPR Compliance hilft Shopify-Shops, die Anforderungen des DPDPA zu erfüllen: Die App holt die Einwilligung vor nicht notwendigen Cookies ein, scannt und kategorisiert Cookies und speichert Einwilligungsnachweise.
Kostenlos starten
Die Nr. 1 unter den Cookie-Consent-Apps für Shopify, mit dem Vertrauen von 185k Shops
Was ist der DPDPA?
Der Digital Personal Data Protection Act, 2023 (DPDPA) ist Indiens erstes umfassendes Datenschutzgesetz. Er regelt, wie Unternehmen, die das Gesetz „Data Fiduciaries“ (Datentreuhänder) nennt, die digitalen personenbezogenen Daten von Einzelpersonen, den „Data Principals“ (betroffenen Personen), verarbeiten. Die Digital Personal Data Protection Rules, 2025 (DPDP Rules) legen die praktischen Einzelheiten fest, etwa was ein Einwilligungshinweis enthalten muss und wie auf Anfragen zu reagieren ist.
Zu den wichtigsten Anforderungen des DPDPA gehören:
- Die Einwilligung muss freiwillig, konkret, informiert, bedingungslos und unmissverständlich sein, durch eine eindeutige bestätigende Handlung erteilt werden und sich auf die Daten beschränken, die für den angegebenen Zweck nötig sind.
- Jede Bitte um Einwilligung muss mit einem klaren Hinweis verbunden sein, der erklärt, welche Daten erhoben werden und warum. Einzelpersonen können den Hinweis auf Englisch oder in jeder der Sprachen verlangen, die im Achten Anhang (Eighth Schedule) der Verfassung aufgeführt sind.
- Einzelpersonen können ihre Einwilligung jederzeit widerrufen, und der Widerruf muss ähnlich einfach sein wie die Erteilung.
- Die Verarbeitung der Daten eines Kindes (jeder Person unter 18 Jahren) erfordert die nachprüfbare Einwilligung eines Elternteils oder Vormunds. Tracking, Verhaltensbeobachtung und gezielte Werbung, die sich an Kinder richten, sind verboten.
- Einzelpersonen haben das Recht auf Auskunft, Berichtigung, Aktualisierung und Löschung ihrer Daten, und Anfragen müssen innerhalb von 90 Tagen beantwortet werden.
- Data Fiduciaries müssen Daten durch angemessene Sicherheitsvorkehrungen schützen und Verletzungen des Schutzes personenbezogener Daten melden.
Für wen gilt der DPDPA?
Der DPDPA gilt für digitale personenbezogene Daten, die in Indien verarbeitet werden. Er gilt auch für die Verarbeitung außerhalb Indiens, wenn sie mit dem Angebot von Waren oder Dienstleistungen an Menschen in Indien zusammenhängt. Ein Onlineshop mit Sitz in einem anderen Land, der an Kunden in Indien verkauft, fällt also darunter.
Was passiert, wenn ich den DPDPA nicht einhalte?
Der DPDPA wird vom Data Protection Board of India durchgesetzt, das Verstöße gegen das Gesetz untersuchen und Geldstrafen verhängen kann. Die Höchststrafen sind in einem Anhang zum Gesetz festgelegt (1 Crore entspricht 10 Millionen Rupien):
- Bis zu 250 Crore ₹, wenn keine angemessenen Sicherheitsvorkehrungen getroffen werden, um eine Verletzung des Schutzes personenbezogener Daten zu verhindern.
- Bis zu 200 Crore ₹, wenn das Board und die betroffenen Personen nicht über eine Verletzung des Schutzes personenbezogener Daten informiert werden.
- Bis zu 200 Crore ₹ bei Verstößen gegen die zusätzlichen Pflichten für Daten von Kindern.
- Bis zu 50 Crore ₹ bei sonstigen Verstößen eines Data Fiduciary gegen das Gesetz oder die Rules.
Das Board legt jede Strafe anhand von Faktoren wie Art, Schwere und Dauer des Verstoßes fest. Rechtsmittel gegen seine Entscheidungen werden beim Telecom Disputes Settlement and Appellate Tribunal (TDSAT) eingelegt.
Wann tritt der DPDPA in Kraft?
Der DPDPA erhielt am 11. August 2023 die Zustimmung der Präsidentin, und die DPDP Rules wurden im November 2025 bekannt gemacht. Die Bestimmungen zur Einrichtung des Data Protection Board traten sofort in Kraft, die Regeln für registrierte Consent Manager gelten ab November 2026, und die wesentlichen Pflichten für Unternehmen, darunter Hinweis, Einwilligung, Daten von Kindern und Betroffenenrechte, gelten ab Mai 2027.
Den DPDPA einhalten
Shopify-Shops, die an Kunden in Indien verkaufen, sollten die verbleibende Zeit bis Mai 2027 zur Vorbereitung nutzen. Wo Cookies und Tracking-Tools personenbezogene Daten verarbeiten, muss die Einwilligung des Besuchers durch eine eindeutige bestätigende Handlung erfolgen. Vorausgefüllte Kästchen oder das Weitersurfen als Einwilligung zu werten, genügt diesem Standard also nicht. Der Einwilligungshinweis muss für sich allein verständlich sein, die erhobenen Daten und jeden einzelnen Zweck in einfacher Sprache nennen, und Besucher müssen ihre Einwilligung so einfach widerrufen können, wie sie sie erteilt haben. Wenn Ihr Shop von Kindern genutzt werden könnte, achten Sie besonders auf Tracking und gezielte Werbung.
Der DPDPA schreibt kein bestimmtes Verfahren für Datenübermittlungen ins Ausland vor, die Regierung kann Übermittlungen in von ihr benannte Länder jedoch einschränken. Behalten Sie eine solche Liste daher im Blick. Außerdem sollten Sie Kontaktdaten für Datenschutzfragen veröffentlichen und ein Verfahren einrichten, um Anträge auf Auskunft, Berichtigung und Löschung fristgerecht zu beantworten.
Eine Consent-Management-Plattform (CMP) wie Pandectes GDPR Compliance hilft bei den Teilen, die in Ihrem Shop stattfinden. Sie zeigt ein Cookie-Banner und blockiert nicht notwendige Cookies bis zur Einwilligung des Besuchers, scannt und kategorisiert die Cookies in Ihrem Shop automatisch und erstellt eine Cookie-Erklärung für Ihre Richtlinie. Sie führt Einwilligungsprotokolle als Einwilligungsnachweis, hilft Ihnen, Anfragen von Betroffenen zu bearbeiten, und ermöglicht per Geolokalisierung regionsspezifische Banner-Einstellungen, sodass Besucher aus Indien ein Banner sehen, das zum DPDPA passt.
Da der DPDPA neu ist und sich die Leitlinien des Board noch entwickeln, lassen Sie Ihre Einrichtung gegebenenfalls rechtlich prüfen.