Was bedeutet das DPDP-Gesetz für Arbeitgeber, die in Indien einstellen?

Das DPDP-Gesetz für Arbeitgeber lässt sich auf ein Datum und eine Ausnahme reduzieren. Das Gesetz zum Schutz digitaler personenbezogener Daten von 2023 und die dazugehörigen Bestimmungen gelten für alle in Indien verarbeiteten digitalen Mitarbeiter- und Bewerberdatensätze. Ihre Pflichten als Arbeitgeber und die drohenden Strafen von bis zu 250 Crore ₹ (ca. 30 Millionen Euro) treten jedoch erst am 13. Mai 2027 in Kraft.

Gemäß Abschnitt 7(i) des Gesetzes dürfen Sie Mitarbeiterdaten für Beschäftigungszwecke ohne Einwilligung verarbeiten. Daher benötigen Sie kein Einwilligungsformular für die Lohnabrechnung, die Meldung von Beiträgen zur betrieblichen Altersvorsorge, Leistungsbeurteilungen oder Untersuchungen wegen Fehlverhaltens.

Diese Ausnahme endet mit der Einstellung. Kandidatendaten von Personen, die nie eine Stelle antreten, fallen größtenteils nicht unter Abschnitt 7(i). Ihre Löschregelung muss zudem die einjährige Aufbewahrungsfrist gemäß Regel 8(3) berücksichtigen.

Und Sie befinden sich vor Mai 2027 nicht in einem rechtlichen Vakuum. Abschnitt 43A des IT-Gesetzes und die SPDI-Regeln von 2011 regeln bereits Gehaltskonten, Krankenakten und biometrische Anwesenheitserfassung.

Ist das DPDP-Gesetz für Arbeitgeber bereits in Kraft?

Teilweise. Die Definitionen und die Bestimmungen des Gremiums sind seit dem 13. November 2025 in Kraft, Ihre Kernpflichten als Arbeitgeber beginnen jedoch erst am 13. Mai 2027.

Die Regierung setzte das Gesetz und die dazugehörigen Verordnungen stufenweise in Kraft. Die Verordnungen wurden als GSR 846(E) bekanntgegeben, und die Veröffentlichung des PIB zu den DPDP-Verordnungen bestätigt den 18-monatigen Zeitraum für die schrittweise Einführung.

Was sind die drei Starttermine des DPDP-Programms?

Es gibt drei. Nur die letzte Aufgabe führt zu täglichen Aufgaben für Ihr HR-Team.

In manchen Quellen wird der 14. November 2025 angegeben. Das ist der Tag, an dem das PIB die Regeln bekannt gab, einen Tag nach der Veröffentlichung im Amtsblatt. Planen Sie etwa um den 13. Mai 2027.

Könnte die Frist vom 13. Mai 2027 vorverlegt werden?

Das ist möglich, daher sollte man das Risiko einplanen. Im Januar 2026 schlug das Ministerium für Elektronik und Informationstechnologie (MeitY) auf einer Stakeholder-Konferenz vor, den Zeitraum von 18 auf 12 Monate zu verkürzen, wodurch sich der Stichtag auf den 13. November 2026 verschoben hätte, wie diese Analyse des MeitY-Vorschlags zeigt.

Bis September 2026 wurde im Amtsblatt keine Änderungsmitteilung veröffentlicht. Die Berichte weisen zudem darauf hin, dass das kürzere Zeitfenster eher für bedeutende Datenverwalter wie große Plattformen und Banken als für normale Arbeitgeber gilt.

Behandeln Sie daher den 13. Mai 2027 als rechtlichen Stichtag für Ihre Richtlinien, Lieferantenverträge und Sitzungsunterlagen. Stellen Sie Ihre Mitarbeiterdatenübersicht und Ihren Notfallplan für Datenschutzverletzungen jedoch vor dem 13. November 2026 fertig. Dann entstehen Ihnen für eine nachträgliche Änderung keine Kosten.

Funktioniert die indische Datenschutzbehörde tatsächlich?

Es existiert zwar rechtlich, hatte aber im August 2026 weder einen Vorsitzenden noch Mitglieder. Das Data Protection Board of India wurde am 13. November 2025 gegründet, und das Ministerium für Elektronik und Informationstechnologie (MeitY) forderte im Mai 2026 Nominierungen für seine Posten an, wie LiveLaw im August 2026 berichtete.

Das ist weniger wichtig, als es klingt. Ihre Pflichten warten nicht auf die Entscheidung des Gremiums. Unklar bleibt, wie das Gremium die Strafhöhe festlegen wird, und das kann niemand vor den ersten Fällen vorhersagen.

Welche Datenschutzbestimmungen gelten für Ihre indische Behörde vor Mai 2027?

Das IT-Gesetz von 2000 und die SPDI-Regeln von 2011 sehen dies vor. Abschnitt 44(2) des DPDP-Gesetzes lässt Abschnitt 43A des IT-Gesetzes aus, aber Abschnitt 44(2) selbst tritt erst am 13. Mai 2027 in Kraft.

Bis dahin bleiben Abschnitt 43A und die SPDI-Regeln geltendes Recht, was die Analyse von Legal500 vom September 2026 bestätigt. Die meisten Leitfäden für Arbeitgeber lassen diesen Punkt außer Acht. Dabei ist er die einzige allgemeine Datenschutzregelung, an die man sich heute halten kann.

Was gilt gemäß den SPDI-Regeln als sensible Daten in einer Personalakte?

Regel 3 der SPDI-Regeln listet Passwörter, Finanzinformationen, Gesundheitsdaten, Krankenakten, sexuelle Orientierung und biometrische Daten auf. Eine Standard-Personalakte in Indien enthält Informationen zu vier dieser Kategorien.

• • Gehaltskontodaten Sie erfassen Daten für die Lohn- und Gehaltsabrechnung, die als Finanzinformationen gelten.
  • Anmeldung zur Krankenversicherung Auch Krankschreibungen zählen zu den Gesundheitsdaten, und unser Leitfaden dazu Krankenversicherung für Arbeitnehmer in Indien zeigt, wie viel davon an die Versicherer fließt.
  • Biometrische Anwesenheit Daten, die per Fingerabdruck- oder Gesichtsscanner erfasst werden, gelten als biometrische Informationen.
  • Anfangspasswörter für das System Die von Ihrem IT-Team an neue Mitarbeiter ausgegebenen Passwörter gelten als Passwörter.

Damit ist der größte Teil eines Standard-Einarbeitungspakets abgedeckt.

Was verlangen die SPDI-Regeln von Ihnen jetzt?

Sie benötigen eine schriftliche Einwilligung, bevor Sie sensible Daten erheben dürfen; E-Mail oder jede andere elektronische Übermittlungsart zählt dazu. Regel 5 verpflichtet Sie außerdem, der betroffenen Person den Zweck, die Empfänger und den Datenverantwortlichen mitzuteilen.

Die gleichen Regeln setzen eine veröffentlichte Datenschutzerklärung, einen benannten Beschwerdebeauftragten und angemessene Sicherheitsvorkehrungen voraus. Die Regeln beziehen sich auf den Standard IS/ISO/IEC 27001. Sie benötigen außerdem eine Einwilligung, bevor Sie diese Daten an Dritte weitergeben, es sei denn, ein Vertrag oder eine gesetzliche Verpflichtung deckt die Offenlegung ab.

Abschnitt 43A sieht eine im DPDP-Gesetz fehlende Rechtsbehelfsmöglichkeit vor. Ein Arbeitnehmer kann Schadensersatz fordern, wenn Ihre fahrlässige Sicherheitsvorkehrung zu einem rechtswidrigen Schaden führt. Das DPDP-Gesetz bietet keine solche Möglichkeit, und Abschnitt 34 sieht vor, dass die Strafen dem indischen Staatshaushalt zufließen. Daher verlagert sich Ihr Risiko nach Mai 2027 von Schadensersatzansprüchen hin zu Strafen des Vorstands.

Was geschieht mit Ihren SPDI-Einwilligungsformularen am 13. Mai 2027?

Sie stellen keine zulässige Grundlage mehr für die Bearbeitung von Beschäftigungsvorgängen dar. Ab diesem Datum regelt Abschnitt 7(i) die Lohn- und Gehaltsabrechnung sowie die Leistungen ohne Einwilligung. Übertragen Sie daher keine Formulierungen zur SPDI-Einwilligung in Ihre DPDP-Mitteilungen.

Der Grund ist der Widerruf. Eine Person kann ihre Einwilligung zur Datenverarbeitung jederzeit widerrufen, woraufhin Sie die Verarbeitung einstellen müssen. Wenn die Lohnabrechnung auf dieser Einwilligung beruht, führt ein einziger Widerruf zu erheblichen Problemen. Bewahren Sie die alten Formulare als Nachweis der bisherigen Einhaltung der Vorschriften auf und überarbeiten Sie Ihre Datenschutzerklärung für Mitarbeiter vor Mai 2027 entsprechend Abschnitt 7(i).

Gilt das DPDP-Gesetz auch für ausländische Unternehmen, die in Indien Mitarbeiter beschäftigen?

Ja, überall dort, wo die Verarbeitung in Indien stattfindet. Abschnitt 3 umfasst die Verarbeitung innerhalb Indiens sowie die Verarbeitung außerhalb Indiens im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen an Personen in Indien.

Die Gehaltsabrechnung Ihres EOR in Pune, inklusive der Beiträge zur betrieblichen Altersvorsorge, der Gehaltsüberweisungen und der Gehaltsabrechnungen per E-Mail, findet im einfachsten Sinne innerhalb Indiens statt. Dasselbe gilt für das HR-System Ihrer Tochtergesellschaft. Wenn Sie auch an indische Kunden verkaufen, wirkt sich dies direkt auf Ihre Muttergesellschaft aus.

Die Grauzone betrifft ausländische Muttergesellschaften, die ausschließlich in Indien Mitarbeiter beschäftigen und keine Produkte oder Dienstleistungen an indische Kunden verkaufen. Jemanden zu beschäftigen bedeutet nicht zwangsläufig, ihm Waren oder Dienstleistungen anzubieten. Bisher hat kein Gericht oder Gremium in dieser Frage entschieden, daher sollten Sie Ihre Strategie nicht auf dieser Lücke aufbauen.

Verändert Ihr Einstellungsmodell Ihr DPDP-Risiko?

Ja. Dadurch ändert sich, wer entscheidet, warum und wie die Daten verarbeitet werden, und laut Gesetz ist es diese Entscheidung – nicht die Stellenbezeichnung im Vertrag –, die jemanden zum Datenverantwortlichen macht. Die drei gängigen Modelle verteilen die Verantwortung folgendermaßen.

Wenn Sie sich noch für eine Route entscheiden müssen, wägen Sie die Datengebühren gegen die Kosten in unserem EOR- oder TochtergesellschaftsvergleichEin EOR ermöglicht Ihnen außerdem In Indien ohne juristische Person einstellen und führt die Lohn- und Gehaltsabrechnungen beim rechtlichen Arbeitgeber.

Auftragnehmer benötigen eine andere Datengrundlage. Abschnitt 7(i) regelt nur das Arbeitsverhältnis, daher sind Sie für die Daten, die Ihnen ein Auftragnehmer zur Vertragserfüllung übermittelt, auf Abschnitt 7(a) angewiesen. Ein eingetragener Auftragnehmer kann Verträge und Zahlungen abwickeln. Achten Sie jedoch auf eine falsche Einstufung von Mitarbeitern , da ein falsch eingestufter Auftragnehmer Ihre Datengrundlage und damit auch den Vertrag beeinträchtigt.

Gilt das Gesetz auch für Ihre indische GCC-Niederlassung, wenn diese globale Mitarbeiterdaten verarbeitet?

Größtenteils nicht, aufgrund von Abschnitt 17(1)(d). Wenn ein in Indien ansässiges Unternehmen Daten von Personen außerhalb Indiens im Rahmen eines Vertrags mit einem ausländischen Unternehmen verarbeitet, findet der Großteil des Gesetzes keine Anwendung.

Zwei Pflichten bleiben bestehen. Gemäß Abschnitt 8(1) haftet der Treuhänder, und Abschnitt 8(5) fordert weiterhin angemessene Sicherheitsvorkehrungen. Daher benötigt ein GCC in Indien, das HR-Shared-Services für US-Mitarbeiter betreibt, zwar hohe Sicherheitsvorkehrungen, jedoch keine DPDP-Mitteilungen für diese US-Mitarbeiter.

Die eigenen indischen Mitarbeiter Ihres GCC bleiben vollständig abgesichert, unabhängig davon, ob Sie sie über eine Tochtergesellschaft beschäftigen oder den GCC über ein EOR-Modell aufbauen.

Ist für die Verarbeitung von Mitarbeiterdaten gemäß dem DPDP-Gesetz eine Einwilligung erforderlich?

In der Regel nicht. Gemäß Abschnitt 7(i) gilt die Verarbeitung „zum Zwecke der Beschäftigung“ als legitimer Zweck, sodass für die Kernaufgaben der Personalabteilung keine Einwilligungserklärung erforderlich ist.

Die Klausel schützt Sie auch vor Verlusten oder Haftungsansprüchen, beispielsweise im Zusammenhang mit Wirtschaftsspionage oder dem Verlust von Geschäftsgeheimnissen. Sie erstreckt sich auf alle Dienstleistungen oder Vorteile, die ein Mitarbeiter von Ihnen verlangt.

Was umfasst Abschnitt 7(i) im Alltag?

Es umfasst alle Prozesse, die für den Betrieb eines Teams in Indien erforderlich sind, vom Versand des Angebotsbriefs bis zum Zahlungseingang. Dazu gehören Gehaltsabrechnung, Anmeldung zur Renten- und Krankenversicherung, Urlaub, Leistungsbeurteilungen, Beförderungen, Disziplinarverfahren und IT-Zugriffskontrollen.

Gesetzliche Meldepflichten haben auch eine zweite Grundlage. Abschnitt 7(d) umfasst die Verarbeitung von Daten zur Erfüllung einer gesetzlichen Offenlegungspflicht gegenüber dem Staat. Dazu gehören beispielsweise die Beiträge zur Rentenversicherung (PF) an die EPFO , die Beiträge zur Krankenversicherung (ESI) und die Meldungen zur Quellensteuer (TDS). Unser Leitfaden zur Lohnbuchhaltung in Indien listet die entsprechenden Meldepflichten auf.

Wann ist die Zustimmung eines Mitarbeiters noch erforderlich?

Sie benötigen diese Daten, sobald der Zweck über das Arbeitsverhältnis hinausgeht. Die Verwendung eines Mitarbeiterfotos in einer Werbekampagne, die Weitergabe seiner Daten an einen Partner oder die Wiederverwendung von Personalakten zur Schulung eines Produktmodels fallen allesamt nicht unter Abschnitt 7(i).

Für diese Fälle ist gemäß Abschnitt 5 und Regel 3 eine gesonderte Mitteilung in verständlicher Sprache erforderlich. Abschnitt 5(3) räumt der betroffenen Person zudem die Möglichkeit ein, diese Mitteilung in Englisch oder einer der in Anhang 8 aufgeführten Sprachen zu lesen. Abschnitt 6 verlangt darüber hinaus eine freiwillige, spezifische, informierte und unmissverständliche Einwilligung, die zudem leicht widerrufen werden kann.

Werden Ihre anderen Pflichten durch die Beschäftigungsbefreiung aufgehoben?

Nein. Abschnitt 7(i) beseitigt lediglich die Notwendigkeit einer Einwilligung. Sicherheitsvorkehrungen, Meldepflichten bei Datenschutzverletzungen, Genauigkeitsanforderungen, Aufbewahrungsfristen und Beschwerdeverfahren bleiben weiterhin gültig.

Genauigkeit verdient Ihre Aufmerksamkeit. Gemäß Abschnitt 8(3) sind vollständige, genaue und konsistente Daten erforderlich, unabhängig davon, ob diese zur Entscheidungsfindung über die betreffende Person herangezogen werden. Beurteilungsnoten, die einer Beförderung oder Kündigung zugrunde liegen , fallen eindeutig unter diese Verpflichtung.

Was passiert, wenn Sie Praktikanten oder Auszubildende unter 18 Jahren einstellen?

Behandeln Sie sie als Sonderfall. Gemäß Abschnitt 9 ist die nachweisbare Einwilligung eines Elternteils erforderlich, bevor Sie personenbezogene Daten eines Kindes verarbeiten, und das Gesetz behandelt alle Personen unter 18 Jahren als Kinder.

Abschnitt 9 enthält keine Ausnahmeregelung für Beschäftigungsverhältnisse. Die Ausnahmen in den Bestimmungen beziehen sich auf Einrichtungen wie Schulen, Kliniken und Kinderbetreuungseinrichtungen. Wenn Sie also ein Ausbildungsprogramm für 17-Jährige anbieten, sollten Sie sich vor Beginn der Ausbildung von einem Rechtsbeistand über den Ablauf der elterlichen Einwilligung beraten lassen.

Wie verändert das DPDP-Gesetz die Rekrutierung und die Kandidatendaten?

Es ändert sich mehr als nur die Mitarbeiterdaten, da Kandidaten noch keine Mitarbeiter sind. Die einfachste Grundlage für einen Antrag ist Abschnitt 7(a), der Daten umfasst, die eine Person freiwillig für einen bestimmten Zweck zur Verfügung stellt.

Angenommen, ein Entwickler bewirbt sich auf Ihre Backend-Stelle in Pune. Er hat Ihnen seinen Lebenslauf für diese Stelle zugesandt. Sie können diesen für die Einstellungsentscheidung ohne Einverständniserklärung verwenden, es sei denn, er widerspricht.

Manche Berater interpretieren Abschnitt 7(i) so weit, dass er auch die Personalbeschaffung umfasst. Diese Auslegung ist jedoch nicht erprobt; daher sollte die Planung auf Abschnitt 7(a) ausgerichtet und Abschnitt 7(i) als Ausweichmöglichkeit beibehalten werden.

Sobald Sie den Lebenslauf für eine andere Stelle, einen Talentpool oder ein KI-Modell benötigen, ändert sich der Zweck. Dieser neue Zweck erfordert Benachrichtigung und Zustimmung.

Können Sie Kandidaten über LinkedIn und Jobbörsen rekrutieren?

Teilweise. Gemäß Abschnitt 3(c)(ii) sind personenbezogene Daten, die die Person öffentlich zugänglich gemacht hat, ausgenommen, sodass ein Profil, das jemand öffentlich veröffentlicht hat, möglicherweise nicht unter das Gesetz fällt.

Diese Ausnahme ist eng gefasst. Lesen Sie sie genau. Eine Lebenslaufdatenbank, die Sie von einem Jobportal lizenzieren, sind keine Daten, die der Kandidat selbst öffentlich gemacht hat. Er hat sie dem Portal gemäß dessen Nutzungsbedingungen zur Verfügung gestellt. Sobald Sie einem Profil aus einer externen Quelle Interviewnotizen hinzufügen, erstellen Sie neue Daten, die nicht unter diese Ausnahme fallen.

Informieren Sie daher die von Ihnen kontaktierten Kandidaten bei der ersten Kontaktaufnahme kurz, am besten in derselben Nachricht, in der Sie die Stelle vorstellen. Fragen Sie dann nach, ob Sie die Kandidaten über die ursprünglich angefragte Stelle hinaus im Team behalten möchten.

Wie lange dürfen die Daten eines abgelehnten Bewerbers aufbewahrt werden?

Mindestens ein Jahr lang, und ohne triftigen Grund nicht wesentlich länger. Ab dem 13. Mai 2027 verpflichtet Regel 8(3) jeden Datenverantwortlichen, personenbezogene Daten, Verkehrsdaten und Verarbeitungsprotokolle mindestens ein Jahr nach der Verarbeitung aufzubewahren.

Diese Regelung steht im Widerspruch zur von vielen Personalberatungen empfohlenen automatischen Löschung nach sechs Monaten. SS Ranas Überprüfung der endgültigen Regelungen zeigt, dass die Pflicht auch Daten umfasst, die Ihre Prozessoren speichern, beispielsweise in einem gehosteten Bewerbermanagementsystem (ATS).

Angenommen, ein Kandidat bewirbt sich am 1. Juni 2027 und Sie lehnen ihn am 15. Juli 2027 ab. Archivieren Sie die Akte bis mindestens zum 15. Juli 2028 und bewahren Sie sie außerhalb des Zugriffs Ihrer Personalabteilung auf. Gemäß Anhang VII ist die Akte in diesem Jahr ausschließlich für Anfragen von Bundesbehörden und ähnliche Zwecke bestimmt. Verwenden Sie die Archivdatei daher nicht für Ihre nächste Stellenausschreibung. Löschen Sie die Akte anschließend, es sei denn, der Kandidat wurde mit seiner Zustimmung in Ihren Talentpool aufgenommen. Zwölf Monate, nicht sechs.

Müssen Empfehlungen, Hintergrundüberprüfungen und KI-Screenings separat behandelt werden?

Ja. Jedes Individuum benötigt seine eigene Behandlung.

• • Verweise: Ihr Mitarbeiter gibt Ihnen die Daten eines Freundes, der Ihnen diese Informationen nie freiwillig mitgeteilt hat. Benachrichtigen Sie die empfohlene Person beim ersten Kontakt.
  • Hintergrundkontrollen: Ein Prüfunternehmen, das über eine eigene Datenbank und eigene Prüfmethoden verfügt, kann als eigenständiger Datenverantwortlicher agieren. Ihr Vertrag sollte seine Rolle genau festlegen.
  • KI-Screening: Das DPDP-Gesetz sieht keine Erklärbarkeitspflicht für Algorithmen vor. Die Genauigkeitspflicht gemäß Abschnitt 8(3) greift jedoch, wenn eine Bewertung eine Einstellungsentscheidung beeinflusst, und unsere Ansicht dazu generative KI im Personalwesen deckt die umfassenderen Risiken ab.

Wenn eine Personalagentur für Sie Kandidaten sucht, sollten Sie die Stellenbeschreibungen vor Eingang des ersten Lebenslaufs abstimmen. Unser Leitfaden zur Suche nach einem Personalvermittlungspartner in Indien behandelt die kommerziellen Aspekte dieser Entscheidung.

Wer ist der Datenverantwortliche, wenn Sie über einen EOR (Employee Outsourcing Service) arbeiten?

Sie beide sind Verantwortliche, allerdings für unterschiedliche Daten. Ein Datenverantwortlicher ist derjenige, der allein oder gemeinsam mit anderen über Zweck und Art der Datenverarbeitung entscheidet. Die Antwort richtet sich also nach der Entscheidung, nicht nach der Bezeichnung in Ihrem Vertrag.

Abschnitt 8(1) schließt damit den Ausweg. Ein Treuhänder bleibt für die in seinem Auftrag durchgeführte Datenverarbeitung verantwortlich, „ungeachtet etwaiger entgegenstehender Vereinbarungen“. Eine Klausel, die Ihren EOR als alleinigen Verantwortlichen bezeichnet, entbindet Sie nicht von der Haftung für Daten, über die Sie entscheiden.

Was sollte Ihr EOR-Vertrag bezüglich Mitarbeiterdaten enthalten?

Die Rollen sollten nach Tätigkeiten zugeordnet und die Pflichten bei Verstößen und zur Aufbewahrung schriftlich festgehalten werden. Achten Sie bei der Auswahl eines Arbeitgebers auf sechs Punkte.

1. 1. Ein Rollenplan wie in der obigen Tabelle, von beiden Seiten unterzeichnet.
   2. Sie erhalten innerhalb einer festgelegten Anzahl von Stunden eine Benachrichtigung über den Verstoß, deutlich vor Ablauf der 72-Stunden-Frist des Vorstands.
   3. Eine Liste der Unterauftragnehmer und der Länder, in denen sie Daten speichern.
   4. Aufbewahrungsfristen gemäß den Arbeitsgesetzen und Regel 8(3).
   5. Ihr Recht auf eine Überprüfung oder ein aktueller Sicherheitsbericht eines Drittanbieters.
   6. Schritte zur Datenrückgabe und -löschung, falls Sie Wechseln Sie EOR-Anbieter oder bewegen von einer Tochtergesellschaft zu einem EOR.

Was müssen Sie tun, sobald die Arbeitgeberpflichten am 13. Mai 2027 beginnen?

Sechs Dinge, und wahrscheinlich wenden Sie die meisten davon bereits in einer ähnlichen Form an. Nichts davon ist ungewöhnlich. Sie stammen aus Abschnitt 8 des Gesetzes und den Regeln 6 bis 9 und 14.

Welche Sicherheitsvorkehrungen fordert Regel 6?

Regel 6 legt eine Untergrenze fest, keine Menüoption. Sie benötigen Verschlüsselung, Maskierung, Verschleierung oder Tokenisierung sowie Zugriffskontrollen für die Systeme, die die Daten speichern.

Sie benötigen außerdem ein Protokollierungs- und Überwachungssystem, das unberechtigte Zugriffe erkennt und untersucht, Datensicherungen und eine einjährige Aufbewahrungsfrist für Protokolle. Jeder Prozessorvertrag muss eine Sicherheitsklausel enthalten. Ergänzen Sie diese durch geeignete technische und organisatorische Maßnahmen.

Testen Sie zunächst die Protokollierungsfunktion. Fragen Sie jeden Anbieter von HR-, Gehaltsabrechnungs- und ATS-Systemen, wie lange er Zugriffsprotokolle speichert, und lassen Sie sich eine einjährige Speicherdauer schriftlich bestätigen, bevor Sie den Vertrag verlängern.

Remote Teams erhöhen die Angriffsfläche. Heimnetzwerke und private Geräte befinden sich innerhalb derselben Sicherheitsvorkehrungen. Legen Sie daher in Ihrer Remote-Arbeitsstrategie Geräteregeln fest . Wenn Sie Mitarbeitergeräte aus Sicherheitsgründen überwachen, verknüpfen Sie die Überwachung mit einem klar definierten Zweck und informieren Sie Ihr Team darüber, welche Daten protokolliert werden.

Wie schnell muss eine Datenschutzverletzung bei Mitarbeitern gemeldet werden?

Unverzüglich den betroffenen Mitarbeitern und dem Vorstand, anschließend dem Vorstand innerhalb von 72 Stunden detailliert. Regel 7 lässt drei Zeitzonen laufen, eine vierte läuft bereits heute. Planen Sie für alle vier ein.

Angenommen, Ihr Lohnabrechnungsdienstleister stellt montags um 10:00 Uhr fest, dass er eine Gehaltsliste für 240 Mitarbeiter in Indien an eine externe E-Mail-Adresse gesendet hat. Ab dem Zeitpunkt, an dem Sie dies bemerken:

• • Uhr 1: Informieren Sie alle 240 Mitarbeiter unverzüglich und in einfacher Sprache über die wahrscheinlichen Auswirkungen und die Maßnahmen, die sie ergreifen können.
  • Uhr 2: Informieren Sie den Vorstand unverzüglich über Art, Umfang, Zeitpunkt, Ort und voraussichtliche Auswirkungen des Verstoßes.
  • Uhr 3: Reichen Sie den detaillierten Bericht bis Donnerstag, 10:00 Uhr, beim Vorstand ein, es sei denn, der Vorstand gewährt auf schriftlichen Antrag hin eine Fristverlängerung.
  • Uhr 4: Melden Sie den Vorfall innerhalb von sechs Stunden dem CERT-In. CERT-In-Richtlinien vom April 2022 Dies ist bereits bei Datenschutzverletzungen und Datenlecks vorgeschrieben.

Ihre DPDP-Uhr tickt basierend auf Ihrem eigenen Bewusstsein. Ein Prozessor, der zwei Tage lang die Nachrichten ignoriert, verkürzt Ihre Arbeitszeit, weshalb die Vertragsverletzungsklausel in Ihrem EOR-Vertrag so wichtig ist.

Wie passen die einjährige logarithmische Untergrenze und die Fünfjahresregisterregel zusammen?

Die Aufbewahrungsfristen sind kumulativ. Regel 8(3) sieht eine Mindestaufbewahrungsfrist von einem Jahr für personenbezogene Daten und Protokolle vor, andere Gesetze können längere Fristen vorschreiben. Für die meisten Mitarbeiterakten gelten die entsprechenden Arbeitsgesetze.

Das Zentrum benachrichtigte die Lohnordnung (Zentral) Regeln, 2026 Am 8. Mai 2026 tritt die Regelung in Kraft, und Regel 51(4) legt den Fünfjahreszeitraum fest. Unser Leitfaden dazu Arbeitsgesetze in Indien erklärt, was sich sonst noch geändert hat, als die vier Arbeitsgesetze am 21. November 2025 in Kraft traten.

Ein Austritt führt also nicht automatisch zur Löschung. Beim Offboarding werden Zugriff und aktive Nutzung eingestellt, und die Aufbewahrungsfrist beginnt.

Wer ist für die Beantwortung von Fragen und Beschwerden zu Mitarbeiterdaten zuständig?

Sie müssen eine Kontaktperson benennen und Beschwerden innerhalb von 90 Tagen bearbeiten. Regel 9 fordert Sie auf, die Geschäftskontaktdaten einer Person zu veröffentlichen, die Fragen zu Ihrer Datenverarbeitung beantworten kann, und Regel 14 legt die maximale Frist von 90 Tagen fest.

ELP weist in seinem Kommentar zu den endgültigen Regeln darauf hin, dass der Umfang des 90-Tage-Zeitraums unklar ist; daher sollte man sich deutlich innerhalb dieses Zeitraums bewegen. Ein formeller Datenschutzbeauftragter ist nur für diejenigen Datenverantwortlichen mit bedeutenden Daten verpflichtend, die von der Regierung benannt werden.

Können Sie Mitarbeiterdaten aus Indien an Ihre ausländische Zentrale übertragen?

Ja. Abschnitt 16 fungiert als Negativliste, daher ist ein grenzüberschreitender Datentransfer zulässig, sofern die Regierung ein Land nicht als eingeschränkt einstuft. Abschnitt 16 selbst tritt am 13. Mai 2027 in Kraft, und zum Zeitpunkt der Veröffentlichung dieses Textes war noch kein Land als eingeschränkt eingestuft worden.

Zusätzlich zur Negativliste gelten weiterhin die Branchenregeln. Gemäß Abschnitt 16(2) bleiben alle indischen Gesetze, die höhere Anforderungen stellen, bestehen. Daher sollten Teams aus dem Bank- und Zahlungsverkehr zunächst die Lokalisierungsvorschriften ihrer Aufsichtsbehörde prüfen. Der Vorschlag vom Januar 2026 enthielt auch frühere Übertragungsgrenzen für Treuhänder wichtiger Daten. Die meisten Arbeitgeber werden nicht betroffen sein, aber behalten Sie dies im Auge.

Was ändert sich, wenn sich Ihr Hauptsitz in der EU oder in Großbritannien befindet?

Die Schwierigkeiten verlaufen in die andere Richtung. Indien verfügt über keinen Angemessenheitsbeschluss der EU, wie aus der Angemessenheitsliste der Europäischen Kommission hervorgeht. Daten, die Ihr EU-Unternehmen nach Indien übermittelt, benötigen ein DSGVO-konformes Übermittlungsinstrument wie beispielsweise Standardvertragsklauseln.

Stellen Sie sich ein deutsches Unternehmen vor, dessen Führungskräfte Beurteilungen ihrer indischen Mitarbeiter in einer EU-basierten HR-Software erfassen. Diese Beurteilungen werden anschließend mit Ihrem indischen EOR synchronisiert. Das DPDP-Gesetz erlaubt den freien Datenexport aus Indien, die DSGVO regelt jedoch, ob Daten nach Indien gelangen dürfen. Daher benötigt Ihr EOR-Vertrag möglicherweise neben dem DPDP-Rollenplan auch Standardvertragsklauseln (SCCs). Die britische DSGVO funktioniert analog, allerdings mit den entsprechenden britischen Übertragungstools.

Welche Strafen drohen einem Arbeitgeber gemäß dem DPDP-Gesetz?

Bei Nichteinhaltung angemessener Sicherheitsvorkehrungen drohen Strafen von bis zu 250 Crore ₹, für andere Verstöße gelten niedrigere Höchstbeträge. Die endgültige Höhe der Strafe wird vom Vorstand nach einer Untersuchung festgelegt.

Bei einem Wechselkurs von 88 ₹ pro Dollar ergibt sich ein Gesamtschaden von etwa 28 Millionen US-Dollar. Abschnitt 33 fordert den Vorstand auf, Art, Schwere und Dauer des Datenlecks, die Art der Daten, etwaige Wiederholungen und Ihre Gegenmaßnahmen zu bewerten.

Gemäß Regel 19 hat die Behörde sechs Monate Zeit, eine Untersuchung abzuschließen; diese Frist kann jeweils um drei Monate verlängert werden, wie Cyril Amarchand Mangaldas in einem Mandantenhinweis erläutert. Berufungen sind an das Telekommunikationsstreitbeilegungs- und Berufungsgericht zu richten.

Wie sähe eine Strafe in einem realen HR-Vorfall aus?

Nehmen Sie die E-Mail zur Gehaltsabrechnung aus dem Abschnitt über den Datenverstoß. Wenn das Register unverschlüsselt und öffentlich zugänglich war, greift Abschnitt 8(5) mit einer Obergrenze von bis zu 250 Crore ₹. Wenn Sie anschließend geschwiegen haben, sieht Abschnitt 8(6) eine zusätzliche Obergrenze von bis zu 200 Crore ₹ vor.

Das erste Risiko hängt von Ihren Systemen ab. Das zweite hängt lediglich davon ab, ob Ihr Team ein Notfallhandbuch befolgt. Daher ist ein erprobtes Notfallhandbuch die kostengünstigste Kontrollmaßnahme auf dieser Liste.

Was sollte Ihre DPDP-Compliance-Checkliste für HR-Daten in Indien beinhalten?

Zehn Aufgaben, so angeordnet, dass jede die nächste günstiger macht. Die Termine basieren auf der Annahme, dass der Vorschlag des Ministeriums für Elektronik und Informationstechnologie (MeitY) die Frist noch vorverlegen könnte, sodass die ersten Aufgaben vor dem 13. November 2026 erledigt sind.

Senden Sie anschließend fünf Fragen schriftlich an Ihren indischen Anbieter:

1. 1. Für welche Datenverarbeitungsprozesse betrachten Sie sich als Datenverantwortlicher?
   2. Wo speichern Sie unsere Mitarbeiterdaten und welche Unterauftragnehmer haben Zugriff darauf?
   3. Wie viele Stunden nach Entdeckung einer Sicherheitslücke werden Sie uns informieren?
   4. Wie lange werden Aufzeichnungen nach dem Ausscheiden aufbewahrt und auf welcher Rechtsgrundlage?
   5. Wer ist Ihr bekannter Ansprechpartner für Fragen zum Thema Daten?

Eine unklare Antwort auf Frage eins sollte Sie stutzig machen, da die Rollenverteilung festlegt, wer nach einem Vorfall welche Aufgaben übernimmt. Die vollständige Liste finden Sie in unserer EOR-Compliance-Checkliste für Ihren Anbieter.

Wie unterstützt Remunance Sie bei der Verwaltung von Mitarbeiterdaten in Indien gemäß dem DPDP-Gesetz?

Als Ihr offizieller Arbeitgeber wird Remunance zum rechtlichen Arbeitgeber Ihres Teams in Indien. Daher liegen Lohnabrechnung, gesetzliche Meldungen und Personalakten in unserer Verantwortung, ebenso wie die treuhänderische Sorgfaltspflicht gegenüber Ihren Mitarbeitern.

• • Onboarding: Wir erfassen alle Daten, die für die indische Lohn- und Gehaltsabrechnung sowie für die Meldepflichten erforderlich sind. Onboarding-Prozess für Mitarbeiter [Die geheime Sprache der Vögel] einmal mehr beweist.
  • Lohnabrechnung und Meldungen: Wir übernehmen als gesetzlicher Arbeitgeber die Lohn- und Gehaltsabrechnung sowie die Beiträge zur Rentenversicherung, Krankenversicherung und Lohnsteuer, sodass Sie sich um nichts kümmern müssen. wie man Mitarbeiter in Indien bezahlt dich selber.
  • Leistungsdaten: Wir verwalten die Sozialleistungen für Arbeitnehmer in Indien Ihr Team erhält die Daten, einschließlich der Datenflüsse des Versicherers.
  • Geräte: Unsere IT-Infrastrukturunterstützung für EOR-Teams Umfasst die Laptops und Zugänge, die Ihr Team in Indien nutzt.
  • Ausgänge: Wir kümmern uns um die Endabrechnungen und führen Aufzeichnungen für die im Arbeitsrecht festgelegten Zeiträume.

Sie möchten zuerst die Anbieter vergleichen? Unsere Liste der besten EOR-Dienstleister in Indien zeigt Ihnen, wer welche Leistungen erbringt.

Verwandte Artikel