Indisches Datenschutzgesetz tritt bis 2027 stufenweise in Kraft

Die indische Zentralregierung hat drei unterschiedliche Zeitpunkte bekanntgegeben, wann welche der 44 Vorschriften des Digital Personal Data Protection Act, 2023 (DPDP Act) in Kraft treten werden. Die festgelegten Stichtage sind: der Veröffentlichungstag der Bekanntmachung im Amtsblatt, ein Jahr danach sowie 18 Monate nach der Publikation.

Die insgesamt 23 Regelungen und 7 Anhänge der ebenfalls in der Gazette mit Datum vom 13. November 2025 bekanntgegebenen Digital Personal Data Protection Rules, 2025 (DPDP Rules) führen Vorgaben des DPDP Act näher aus. Der Implementierungszeitplan der DPDP Rules stellt sich nach Regelung Nr. 1 korrespondierend mit dem des DPDP Act in drei Phasen wie folgt dar:

1. ab Veröffentlichung: Regelungen Nr. 1, 2, 17 bis 21;
2. ein Jahr später: Regelung Nr. 4;
3. 18 Monate nach Publikationsdatum: Regelungen Nr. 3, 5 bis 16, 22 und 23.

In den nun bereits in Kraft getretenen Bestimmungen geht es neben Definitionen im Wesentlichen um die Einrichtung des Data Protection Board of India (DPBI) durch die Zentralregierung und Einzelheiten zu dessen Zusammensetzung (dazu: Sec. 18 bis 26 DPDP Act). Zwei weitere Bekanntmachungen, die vom 13. November 2025 datieren, beziehen sich ebenfalls auf das DPBI: Danach soll es insbesondere aus vier Mitgliedern bestehen und sich dessen Hauptsitz in der Hauptstadtregion (NCR) befinden (vgl. Sec. 19 Abs. 1 und 18 Abs. 3 DPDP Act).

Regelung Nr. 4 betrifft das Einwilligungsmanagement (consent managers) und diesbezügliche Registrierungen sowie Verpflichtungen.

Alle weiteren wesentliche Vorschriften des Gesetzes betreffenden Regelungen - darunter etwa die Pflichten von Datenverantwortlichen nach Sec. 4 ff. DPDP Act sowie Rechte der betroffenen Personen - werden schließlich nach 18 Monaten, das heißt im Mai 2027, in Kraft treten.

Der im August 2023 verabschiedete DPDP Act ist Indiens erstes eigenständiges Gesetz zum Datenschutz. Zu dem im Januar 2025 veröffentlichten Entwurf von Umsetzungsregelungen wurden bis Anfang März 2025 landesweit zahlreiche Stellungnahmen eingeholt.

Zum Thema:

• Gazette of India vom 13. November 2025, herausgegeben am 14. November 2025: Bekanntmachung des Ministry of Electronics and Information Technology (MeitY) zum Inkrafttreten des DPDP Act (Hindi/Englisch)
• DPDP Rules, 2025 (Hindi/Englisch ab S. 24) in der Gazette of India vom 13. November 2025, veröffentlicht am 14. November 2025
• Pressemeldung des MeitY vom 14. November 2025 (Englisch)
• Pressemeldung des PIB vom 17. November 2025 (Englisch)
• DPDP Act vom 11. August 2023 (Englisch)
• GTAI-Rechtsbericht Indien: E-Commerce und Datenschutz