Ein indisches Entwicklungsteam kann für einen deutschen Auftraggeber personenbezogene Daten verarbeiten, wenn die konkrete Beziehung rechtlich und technisch tragfähig gestaltet ist. Eine pauschale Länderfreigabe gibt es nicht: Indien steht am 8. September 2026 nicht auf der Angemessenheitsliste der Europäischen Kommission. Für tatsächliche Drittlandübermittlungen ist deshalb ein anderer passender Weg nach Kapitel V DSGVO erforderlich.
Bei laufender Auftragsverarbeitung sind insbesondere Standardvertragsklauseln und die Bewertung ihrer praktischen Wirksamkeit relevant. Die indische Datenschutzreform ersetzt diese Prüfung nicht. Dieser Leitfaden verbindet den Vertragsweg mit konkreten Fragen zu Entwicklung, Support, Sicherheitsprotokollen und staatlichen Zugriffsbefugnissen.
1. Datenzugriff und Gesellschaften zuerst erfassen
Die erste Frage lautet, welche juristische Person die Daten tatsächlich erhält. Ein deutscher IT-Anbieter, der für Kunden als Auftragsverarbeiter arbeitet, kann eine indische Gesellschaft als Unterauftragsverarbeiter einsetzen. Beauftragt dagegen der deutsche Verantwortliche diese Gesellschaft unmittelbar, liegt eine andere Vertragskonstellation vor. Eine interne Abteilungsbezeichnung wie „Global Delivery“ beantwortet die Rollenfrage nicht.
Erfassen Sie auch reine Sichtzugriffe. Wenn ein rechtlich eigenständiges indisches Supportunternehmen personenbezogene Daten in einer europäischen Produktivumgebung einsehen kann, verhindert der europäische Serverstandort den Drittlandtransfer nicht. Ein eigener Mitarbeiter derselben juristischen Person auf Auslandsreise ist anders einzuordnen; hier fehlt nicht automatisch jede Sicherheitsfrage, aber die Übermittlung an einen anderen Empfänger muss konkret vorliegen.
Praktisch sollten mindestens Entwicklungsumgebung, Produktivsystem, Ticketsystem, Protokollplattform und Dateiablage getrennte Zeilen erhalten. Besonders leicht übersehen werden Bildschirmaufnahmen und Fehlerberichte, in denen Namen oder Nachrichteninhalte auftauchen. Die Kartierung der IT-Systemlandschaft schafft dafür die Verbindung zwischen Datenfluss, Anwendung und verantwortlicher Gesellschaft.
2. SCC-Modul und Weisungskette zusammenbringen
Die Standardvertragsklauseln im Beschluss 2021/914 unterscheiden vier Rollenbeziehungen. Für einen deutschen Verantwortlichen und einen indischen Auftragsverarbeiter ist grundsätzlich Modul 2 relevant. Für einen deutschen Auftragsverarbeiter und einen indischen Unterauftragsverarbeiter ist es Modul 3. Modul 1 betrifft zwei Verantwortliche; Modul 4 die Übermittlung durch einen Auftragsverarbeiter an einen Drittlandverantwortlichen.
Vorher ist eine wichtige Anwendungsgrenze zu prüfen: Die Klauseln betreffen Importeure, deren jeweilige Verarbeitung nicht bereits der DSGVO unterliegt. Die Kommissions-FAQ erläutert diese Beschränkung. Eine eigenständige Artikel-3-Anwendbarkeit beim indischen Empfänger beseitigt Kapitel V nicht und darf nicht durch ein ungeprüftes Standardmodul übergangen werden.
Bei Modul 3 müssen die Weisungen des ursprünglichen Verantwortlichen in der Kette tatsächlich berücksichtigt werden. Prüfen Sie, ob der deutsche Anbieter die Unterbeauftragung wirksam genehmigen lassen muss und welche Änderungsinformationen vereinbart sind. Eine Kundenfreigabe für eine bestimmte Supportleistung deckt nicht automatisch eine zusätzliche Produktentwicklung mit denselben Daten.
Die Rollenabgrenzung zwischen Verantwortlichem und Auftragsverarbeiter ist besonders wichtig, wenn die indische Gesellschaft eigene Analysen oder Modelltraining vorsehen möchte. Ein eigener Zweck kann eine gesonderte Verarbeitung und andere Pflichten begründen. Er lässt sich nicht unauffällig in eine technische Leistungsbeschreibung aufnehmen.
3. Indiens Datenschutzreform zeitlich korrekt behandeln
Der Digital Personal Data Protection Act 2023 wird gestaffelt wirksam. Die amtliche Bekanntmachung G.S.R. 843(E) vom November 2025 sieht neben unmittelbar wirksamen organisatorischen Vorschriften weitere Stufen nach einem Jahr und nach achtzehn Monaten vor. Die zentrale spätere Stufe umfasst unter anderem Sections 3 bis 17 mit den dort bezeichneten Ausnahmen und Differenzierungen. Im September 2026 darf deshalb nicht behauptet werden, sämtliche materiellen Pflichten seien bereits anwendbar.
Auch die endgültigen DPDP Rules 2025 enthalten in Rule 1 einen eigenen Zeitplan. Beispielsweise gehören die Regeln zu Sicherheitsmaßnahmen, Datenschutzverletzungen und Auslandsübermittlungen zur späteren Achtzehnmonatsstufe. Für die Beschaffung bedeutet das: aktuelle Pflichten und die Vorbereitung auf bereits erlassene künftige Pflichten getrennt dokumentieren.
Das Inkrafttreten einer indischen Vorschrift ist keine Anerkennung durch die Europäische Kommission. Ebenso wenig sollte der Vertrag eine neue Vorschrift schon als aktuell geltende Rechtsgrundlage ausgeben, wenn ihre Anwendbarkeit erst später beginnt. Benennen Sie stattdessen den zuständigen Beobachter, den betroffenen Prozess und den vorgesehenen Anpassungsschritt vor dem maßgeblichen Stichtag.
4. Staatliche Zugriffsbefugnisse konkret bewerten
Ein TIA benötigt mehr als die Zusage, der Anbieter respektiere europäische Datenschutzstandards. Für die indische Rechtsanalyse ist unter anderem Section 69 des Information Technology Act 2000 relevant. Die Vorschrift betrifft unter gesetzlichen Voraussetzungen Anordnungen zur Überwachung, zum Abfangen oder zur Entschlüsselung von Informationen und enthält Mitwirkungspflichten. Zu prüfen sind außerdem die einschlägigen Verfahrensregeln und Schutzmechanismen.
Lassen Sie sich die Verbindung zum konkreten Dienst erläutern: Welche Daten oder technischen Fähigkeiten könnte eine Anordnung erfassen? Wer kann sie prüfen? Welche Rechtsbehelfe und Kontrollen bestehen? Welche Information des Exporteurs ist zulässig? Eine abstrakte Liste von Behörden oder ein vollständiger Abdruck des Gesetzes ersetzt diese Bewertung nicht.
Beschreiben Sie sowohl Befugnisse als auch wirksame Grenzen und tatsächliche Praxis. Ein bloßer Hinweis auf die Seltenheit bisheriger Anfragen darf einschlägige problematische Rechtsregeln nicht verdrängen. Ebenso wäre ein negatives Gesamturteil über jeden indischen Datenfluss allein aus der Existenz von Sicherheitsbefugnissen zu pauschal. Der Leitfaden zum Transfer Impact Assessment zeigt, wie diese Einzelprüfung mit Quellen und technischen Annahmen dokumentiert wird.
5. CERT-In: Meldewege und Logs in die Architektur aufnehmen
Die CERT-In Directions vom 28. April 2022 richten sich unter anderem an Dienstleister, Vermittler, Rechenzentren und Unternehmen im bezeichneten Anwendungsbereich. Sie sehen für die erfassten Cybervorfälle eine Meldung innerhalb von sechs Stunden ab Kenntnis beziehungsweise Mitteilung vor. Außerdem verlangen sie eine sichere rollierende Aufbewahrung von ICT-Systemprotokollen für 180 Tage und enthalten Vorgaben zur indischen Jurisdiktion.
Lesen Sie die offiziellen FAQ dazu mit. Frage 30 erläutert die zunächst verfügbare Meldung mit späteren Ergänzungen und nennt Kriterien für meldepflichtige Vorfälle. Frage 35 lässt auch eine Speicherung außerhalb Indiens zu, wenn Logs innerhalb angemessener Zeit vorgelegt werden; Frage 36 adressiert die indische Aufbewahrung bei Dienstleistungen für dortige Nutzer. Eine pauschale Aussage „Jedes Log darf ausschließlich in Indien liegen“ wäre daher zu grob.
Für den Vertragsentwurf benötigen Sie eine nachvollziehbare Zuordnung von Vorschrift, erfasster Gesellschaft, System und Daten. Der Anbieter sollte erklären, welche Protokolle er für welche Pflicht vorhält und welche Informationen im konkreten Meldefall herausgegeben werden könnten. Verwechseln Sie die lokale Cybermeldung nicht mit der europäischen Datenschutzmeldung; Adressat, Auslöser und Zeitvorgaben sind gesondert zu organisieren.
Ein Logkonzept für Sicherheitsereignisse hilft, technische Nachweise gezielt zu erfassen. Freitext aus Kundenanfragen oder vollständige Datensätze sollten nicht allein aus Bequemlichkeit in Diagnoseprotokolle kopiert werden. Prüfen Sie den erforderlichen Inhalt, bevor eine vermeintlich harmlose Protokollplattform selbst zur umfangreichsten Kundendatenbank wird.
6. Welche ergänzenden Maßnahmen tatsächlich helfen
Die finalen EDPB-Empfehlungen 01/2020 unterscheiden die konkrete Wirksamkeit technischer und weiterer Maßnahmen. Transportverschlüsselung schützt den Weg. Sie verhindert nicht, dass ein Supportmitarbeiter auf der Empfängerseite den Klartext sieht. Auch eine verschlüsselte Datenbank kann für einen Administrator vollständig zugänglich sein.
Für die Entwicklung ist deshalb eine synthetische Umgebung oft die erste prüfenswerte Option. Ein Testfall kann dieselbe Feldstruktur, Zeichencodierung und Fehlersituation aufweisen, ohne einen echten Kunden abzubilden. Prüfen Sie allerdings, ob solche Testdaten tatsächlich unabhängig erzeugt wurden oder ob seltene reale Datensätze nur oberflächlich verändert sind.
Pseudonymisierung kann den Personenbezug begrenzen, ist aber kein automatisches Ende der Prüfung. Welche zusätzlichen Informationen sind verfügbar? Lassen Zeitstempel oder seltene Merkmale Rückschlüsse zu? Wer besitzt Zuordnungstabellen? Bei der Anonymisierung und Pseudonymisierung muss das konkrete Empfängerumfeld berücksichtigt werden; ein bloß umbenanntes Namensfeld genügt nicht.
Wenn das TIA eine einschlägige problematische Zugriffslage feststellt und die Leistung weiterhin Klartextzugriff benötigt, müssen ergänzende Maßnahmen genau diese Lücke wirksam schließen. Eine Verschwiegenheitserklärung oder ein Protokoll des Zugriffs allein kann einen zwingenden Zugriff nicht verhindern. Bleibt die Lücke, ist das Verarbeitungsmodell zu ändern oder der Transfer zu unterlassen beziehungsweise auszusetzen.
7. Ausgefüllter Prüfpfad für ein Entwicklungsteam
Die fiktive Mainservice GmbH betreibt Software im Auftrag deutscher Unternehmenskunden. Eine eigenständige indische Gesellschaft soll Fehler beheben. Die erste Anforderung lautet, jeden Abend eine vollständige Produktionskopie in die Entwicklungsumgebung zu übertragen. Die Daten enthalten Kundenkontakte, Bestellinformationen und gelegentlich sensible Freitexte.
Das Beschaffungsteam hält folgende Entscheidungen fest:
| Bereich | Ausgefüllter Prüfvermerk |
|---|---|
| Weisungskette | Mainservice handelt für Kunden; Unterbeauftragung und Modul 3 prüfen |
| Anwendungsgrenze | Eigenständige Artikel-3-Reichweite der indischen Verarbeitung vor Vertragsabschluss klären |
| Entwicklungsdaten | Tägliche Produktionskopie abgelehnt; synthetische Fälle als Standard vereinbart |
| Ausnahmefall | Personenbezogene Fehlerdaten nur nach dokumentierter Erforderlichkeitsprüfung und abgeschlossener Transferfreigabe |
| Protokolle | Felder, Systeme, lokale Pflichten und tatsächliche Speicherorte vom Anbieter schriftlich erläutern lassen |
| TIA | Konkrete Rechtsanalyse und Zugriffsmöglichkeiten fehlen noch; keine positive Gesamtbewertung behaupten |
| Verantwortung | Technische Leitung prüft Umstellung; Einkauf hält Produktivzugriff bis zum belegten Abschluss gesperrt |
Der Zwischenstand lautet damit: „Entwicklungsauftrag mit synthetischen Daten vorbereitet; personenbezogene Produktivübermittlungen noch nicht freigegeben.“ Das lässt sinnvolle Arbeit zu, ohne fehlende rechtliche Ergebnisse zu erfinden. Eine spätere Ausnahmefreigabe muss die tatsächlich erforderlichen Daten, den Empfänger, den Zweck und die wirksamen Garantien benennen.
Für den ersten fachlichen Abgleich erhält das Team einen synthetischen Fehlerfall mit derselben Datumsformatierung wie der problematische Import. Gelingt damit die Reproduktion, entfällt die zunächst behauptete Notwendigkeit einer vollständigen Kopie. Scheitert sie, folgt eine gezielte Analyse des fehlenden Merkmals, bevor echte Daten angefordert werden. So entsteht eine überprüfbare Begründung für den kleinsten erforderlichen Umfang.
8. Freigabe und Änderungen organisatorisch absichern
Ein unterschriebenes Klauselpaket sollte mit den technischen Einstellungen übereinstimmen. Kontrollieren Sie insbesondere Mandantentrennung, administrative Konten, lokale Exporte, Ticketanhänge und die Entziehung von Berechtigungen. Die im Vertrag beschriebene Einschränkung ist wertlos, wenn ein dauerhaftes Sammelkonto weiterhin alle Daten einsehen kann.
Legen Sie Änderungen fest, die eine erneute Bewertung auslösen: neuer Unterauftragnehmer, zusätzliche Supportregion, neue Datenkategorie, veränderte staatliche Zugriffsregel oder Umstellung der Schlüsselverwaltung. Für ein konzerninternes Modell können auch genehmigte BCR relevant werden; der Vergleich von BCR, SCC und DPF ordnet die unterschiedlichen Wege ein. Eine Konzernrichtlinie ohne die erforderlichen Voraussetzungen ist keine genehmigte BCR.
Häufige Fragen
Reicht ein ISO-27001-Zertifikat des indischen Dienstleisters?
Es kann ein Sicherheitsnachweis im passenden Geltungsbereich sein. Es ersetzt weder das Transferinstrument noch die Prüfung der konkreten Rechtslage und tatsächlichen Zugriffsmöglichkeiten. Kontrollieren Sie, ob die vertraglich genutzte Gesellschaft, Leistung und Umgebung vom Nachweis erfasst sind.
Kann ein vorhandenes TIA für mehrere Kunden verwendet werden?
Eine gemeinsame Bewertung kann für tatsächlich vergleichbare Szenarien genutzt werden. Prüfen Sie Datenarten, Zwecke, Empfänger, Zugriffe und Maßnahmen bei jeder Zuordnung. Ein TIA für technische Telemetrie deckt nicht automatisch die Verarbeitung von Gesundheitsdaten oder vollständigen Personalakten.
Macht das neue indische Datenschutzrecht SCC überflüssig?
Nein. Lokale Pflichten und ihre zeitliche Anwendbarkeit sind in der Rechtsanalyse zu berücksichtigen. Ein EU-Angemessenheitsbeschluss entsteht dadurch nicht. Der deutsche Exporteur muss seinen konkreten Transfer weiterhin eigenständig nach Kapitel V beurteilen.