Ist es sicher, sensible Aufgaben nach Indien auszulagern?

Ja, es ist unbedenklich, sensible Aufgaben nach Indien auslagern, allerdings nur, wenn Sie aufhören, dies als reinen Kaufgeschäft zu betrachten.

Das eigentliche Risiko geht nicht von Indien als Land aus. Es ergibt sich vielmehr aus der Art und Weise, wie die Zusammenarbeit strukturiert ist. Die Unternehmen, die geistiges Eigentum verlieren oder Datenverluste erleiden, sind fast immer diejenigen mit lückenhaften Verträgen, ohne Einblick in die Identität der tatsächlich tätigen Person und mit einem Dienstleister, der das Projekt stillschweigend an Subunternehmer weitergibt. Die Unternehmen, die es richtig machen, wählen das richtige Rechtsmodell, erstellen die richtigen Dokumente und behandeln den Datenschutz als ein zentrales Element ihres Betriebs, nicht als Nebensache.

Dieser Leitfaden erläutert, was das Gesetz tatsächlich vorsieht, wo die tatsächlichen Risiken liegen und wie eine ordnungsgemäße Umsetzung im Jahr 2026 aussehen wird.

Ist Indien ein sicheres Land, in das man sensible Aufgaben auslagern kann?

Ja. Indien ist seit jeher der weltweit größte Standort für Software, Forschung und Entwicklung sowie Finanzen, Rechts- und Analysetätigkeiten Seit über zwei Jahrzehnten verlagern globale Unternehmen weiterhin hochsensible Geschäftsbereiche ins Ausland.

Was Indien zu einem geeigneten Standort für sensible Tätigkeiten macht:

• Ein moderner Rechtsrahmen für personenbezogene Daten, elektronische Aufzeichnungen und geistiges Eigentum
• Ein englischsprachiges Rechtssystem, das auf den Grundsätzen des Common Law basiert, mit denen Rechtsanwälte aus den USA und Großbritannien vertraut sind
• Gerichte, die ausländische Urteile und Schiedssprüche in vielen Fällen anerkennen
• Ein etabliertes Netzwerk von Fachleuten aus den Bereichen Wirtschaftsprüfung, Sicherheit und Compliance

Was Indien nicht automatisch sicher macht:

• Das Lieferland
• Allein der Ruf des Anbieters
• Eine unterzeichnete Rahmenvereinbarung (MSA), die aus einer US-amerikanischen Vorlage kopiert wurde

Aus unserer Erfahrung bei der Unterstützung ausländischer Unternehmen die Geschäftstätigkeit in Indien aufbauen… wird das Risiko auf Länderebene in der Regel überschätzt und das Risiko auf Vertragsebene hingegen unterschätzt. Die meisten Vorfälle, von denen wir hören, wären unabhängig vom geografischen Standort ohnehin eingetreten, da die zugrunde liegenden Unterlagen mangelhaft waren.

Welche rechtlichen Schutzmaßnahmen gibt es in Indien für geistiges Eigentum und vertrauliche Daten?

Indien verfügt hierfür über eine umfassendere rechtliche Infrastruktur, als den meisten ausländischen Käufern bewusst ist. Die wesentlichen Aspekte sind:

• Das Gesetz zum Schutz personenbezogener Daten im digitalen Bereich von 2023 (DPDP-Gesetz): Indiens modernes Datenschutzgesetz. Es gilt für digitale personenbezogene Daten, die innerhalb Indiens verarbeitet werden, sowie in vielen Fällen für Verarbeitungen außerhalb Indiens, die sich auf betroffene Personen in Indien beziehen. Die Strafen können bis zu 250 Crore Rupien pro Verstoß betragen.
• Das Gesetz über die Informationstechnologie von 2000: Behandelt elektronische Aufzeichnungen, digitale Signaturen und Cyberkriminalität. Die §§ 43A und 72A regeln ausdrücklich die Entschädigung und die strafrechtliche Haftung bei der vertragswidrigen Weitergabe personenbezogener Daten.
• Das Urheberrechtsgesetz von 1957: Software gilt nach indischem Urheberrecht als literarisches Werk. Indien ist Mitglied der Berner Übereinkunft und des TRIPS-Abkommens, wodurch das Urheberrecht der USA, des Vereinigten Königreichs und der EU anerkannt wird.
• Das Patentgesetz von 1970: Patentrechte werden anerkannt, allerdings erteilt Indien keine Patente für reine Software, es sei denn, diese ist mit einem Hardware-Element oder einer technischen Wirkung verbunden.
• Das indische Vertragsgesetz von 1872: Vertraulichkeitsvereinbarungen, Abtretungen von geistigem Eigentum und Vertraulichkeitsklauseln sind durchsetzbar, wobei die Gewährung von Unterlassungsansprüchen davon abhängt, wie die Vereinbarung formuliert ist.
• Der Rechtsrahmen für Geschäftsgeheimnisse: In Indien gibt es kein eigenständiges Gesetz zum Schutz von Geschäftsgeheimnissen, sodass der Schutz über das Vertragsrecht und das Gewohnheitsrecht erfolgt. Daher ist der Wortlaut Ihrer Vertraulichkeitsvereinbarung in Indien von größerer Bedeutung als in den USA.

Die praktische Erkenntnis: Das Gesetz stellt Ihnen Instrumente zur Verfügung. Sie müssen diese jedoch im Vertrag korrekt anwenden.

Welche tatsächlichen Risiken in Bezug auf geistiges Eigentum und Vertraulichkeit bestehen bei der Beauftragung eines indischen Anbieters?

Aufgrund unserer umfangreichen Erfahrung bei der Unterstützung internationaler Teams, die in den indischen Markt eintreten, lassen sich die tatsächlichen Risiken in fünf Kategorien einteilen, und fast keine davon hängt mit einer Schwäche des indischen Rechts zusammen.

1. Stille Vergabe von Unteraufträgen. Der Anbieter unterzeichnet den Rahmenvertrag (MSA). Anschließend wird der Auftrag an einen kleineren Dienstleister, einen Freiberufler oder eine Offshore-Tochtergesellschaft weitergeleitet, von der Sie nie etwas erfahren haben. Ihre Vertraulichkeitsvereinbarung (NDA) ist für diese Personen nicht bindend, da sie diese nie unterzeichnet haben. Dies ist die mit Abstand häufigste Ursache für Informationslecks.

2. Unzureichende oder nicht signierte IP-Zuordnung zum jeweiligen Mitarbeiter. Nach indischem Recht gilt der Arbeitgeber als erster Eigentümer der im Rahmen des Arbeitsverhältnisses geschaffenen Werke, jedoch nur, wenn das Arbeitsverhältnis und die Bestimmungen zum geistigen Eigentum eindeutig geregelt sind. Hat der Entwickler des Anbieters niemals eine ordnungsgemäße Urkunde über das geistige Eigentum unterzeichnet, ist die Eigentumsfrage strittig.

3. Fluktuation bei den Mitarbeitern des Lieferanten. Die Fluktuation in der indischen IT-Branche ist hoch. Ein Entwickler, der im letzten Quartal Ihr Kernmodul erstellt hat, arbeitet möglicherweise inzwischen für einen anderen Arbeitgeber. Sollte er eine Vertraulichkeitsvereinbarung ausschließlich mit dem Anbieter unterzeichnet haben, sind Ihre vertraglichen Rechtsmittel gegen ihn persönlich begrenzt.

4. Vermischte Daten und gemeinsam genutzte Umgebungen. Viele Anbieter betreiben mehrere Kundenumgebungen auf einer gemeinsam genutzten Infrastruktur, mit gemeinsam genutzten Laptops und auf der Grundlage gemeinsamer Codebasen. Es kommt zu einem Verlust sensibler Daten, wenn ein Entwickler unbeabsichtigt Einblick in die Umgebung eines anderen Kunden erhält.

5. Fehler bei der grenzüberschreitenden Datenübermittlung. Kundendaten, die aus Indien übertragen werden, müssen den DPDP-Vorschriften entsprechen und – je nach Art der Daten – auch der DSGVO oder dem HIPAA. Anbieter gehen damit oft nachlässig um.

Unternehmen unterschätzen häufig, inwieweit es sich hierbei um vertragliche und betriebliche Aspekte handelt und nicht um technische.

Inwiefern unterscheidet sich das Anbieter-Modell hinsichtlich des Risikos im Zusammenhang mit geistigem Eigentum von einem EOR-Modell?

Dies ist die Frage, die den Verlauf des Gesprächs verändert, und die meisten Käufer stellen sie nicht.

In einem Anbieter-Modell, unterzeichnen Sie einen Rahmenvertrag (MSA) mit einem indischen Unternehmen. Dieses Unternehmen beschäftigt die Mitarbeiter, die die Arbeit ausführen. In der Regel wählen Sie diese nicht selbst aus, Sie haben keinen Einblick in deren Arbeitsvertrag, Sie können einen Ingenieur nicht ohne Weiteres entlassen, ohne die Leistungsbeschreibung (SOW) neu zu verhandeln, und Sie stehen in keiner direkten rechtlichen Beziehung zu der Person, die Ihre Arbeit ausführt.

In einem Employer of Record (EOR) Modell, Sie wählen die Person aus. Der EOR stellt sie in Ihrem Namen in Indien ein. Der Arbeitsvertrag des EOR überträgt das geistige Eigentum direkt an Sie, bindet den Mitarbeiter an Ihre Geheimhaltungsvereinbarung und gewährt Ihnen die operative Kontrolle, als stünde er auf Ihrer Gehaltsliste. Es gibt keinen Zwischenhändler, der eine Marge einbehält und dessen Anreize im Widerspruch zu Ihren Interessen stehen.

Hier ist der Unterschied in einfachen Worten:

Keines der beiden Modelle ist grundsätzlich besser. Anbieter sind für kurze, klar definierte Aufgaben mit geringer Sensibilität sinnvoll. EOR ist dann sinnvoll, sobald es um Ihr zentrales geistiges Eigentum, Kundendaten, Quellcode, Finanzunterlagen oder sonstige Informationen geht, die Sie nicht von Fremden eingesehen haben möchten.

Wie sieht ein sicherer Outsourcing-Vertrag mit einem indischen Partner aus?

Ein praktikabler Vertrag für sensible Aufträge in Indien besteht nicht aus einem einzigen Dokument. Es handelt sich vielmehr um einen ganzen Stapel. Die vier Dokumente, auf die es tatsächlich ankommt, sind:

1. Der Rahmenvertrag über Dienstleistungen oder der Arbeitsvertrag. Hier werden Umfang, Leistungen, Laufzeit, Kündigung und anwendbares Recht festgelegt. Bei besonders sensiblen Projekten lässt sich das anwendbare indische Recht in Verbindung mit einem Schiedsgerichtssitz in Bangalore, Mumbai oder Delhi in der Regel schneller durchsetzen als bei der Wahl von New York oder London.

2. Die IP-Abtretung oder die IP-Urkunde. Die Vereinbarung muss von der Person unterzeichnet werden, die die Arbeit tatsächlich ausführt, und nicht nur vom Anbieterunternehmen. Sie sollte aktuelle und zukünftige Arbeiten, den Quellcode, die Dokumentation, Modelle und abgeleitete Ergebnisse abdecken. Es sollte sich um eine Urkunde nach indischem Recht handeln, wenn Sie möchten, dass die Vereinbarung auch dann ihre Gültigkeit behält, wenn der Mitarbeiter den Anbieter verlässt.

3. Die Geheimhaltungsvereinbarung. Beidseitig, unbefristet für Geschäftsgeheimnisse, befristet für allgemeine vertrauliche Informationen, mit konkret benannten Konsequenzen und einer klaren Definition vertraulicher Informationen. Die Vereinbarung muss für die betroffene Person verbindlich sein, nicht nur für das Unternehmen.

4. Die Vereinbarung zur Datenverarbeitung (DPA). Gemäß dem DPDP-Gesetz vorgeschrieben, wenn personenbezogene Daten betroffen sind, und auch in anderen Fällen sinnvoll. Behandelt die Themen Verwendungszweck, Aufbewahrungsfristen, Sicherheitsmaßnahmen, Genehmigung von Unterauftragsverarbeitern, Fristen für die Meldung von Datenschutzverletzungen sowie die Rückgabe oder Vernichtung der Daten nach Beendigung des Auftragsverhältnisses.

Ein Muster, das uns immer wieder auffällt: Unternehmen legen übermäßig großen Wert auf die MSA und vernachlässigen dabei die IP-Urkunde und die DPA. Das ist genau das Gegenteil von dem, was richtig wäre.

Wie schützen Sie in der Praxis Quellcode, Kundendaten und Geschäftsgeheimnisse?

Die Dokumentation ist zwar notwendig, reicht aber nicht aus. Die eigentliche Arbeit leisten die operativen Kontrollmaßnahmen.

Was Unternehmen, die in Indien sensible Geschäftstätigkeiten ausüben, in der Regel umsetzen:

• Identitäts- und Zugriffsmanagement: Das Single-Sign-On ist an das Verzeichnis des Käufers gebunden, nicht an das des Anbieters. Die Mitarbeiter melden sich über Ihr IdP ab, nicht über ein System, auf das Sie keinen Einblick haben.
• Endpunktkontrollen: Vom Unternehmen bereitgestellte Laptops mit MDM, Speicherverschlüsselung, USB-Sperre und klaren Richtlinien zur zulässigen Nutzung. Das Verleihen von Laptops an Mitarbeiter von Lieferanten führt unweigerlich dazu, dass der Überblick über die Geräte verloren geht.
• Netzwerksegmentierung: Vertrauliche Arbeiten werden in Ihrer VPC oder Ihrer Umgebung durchgeführt. Die Mitarbeiter stellen eine Verbindung dorthin her. Der Code wird nicht auf lokale Rechner geklont.
• Überprüfbare Repos: Der Quellcode befindet sich in Ihrem GitHub- oder GitLab-Repository, nicht in dem des Anbieters. Pull-Anfragen werden von Ihren Prüfern begutachtet.
• Datenminimierung: Mitarbeiter, die Kundendaten verarbeiten, sehen nur das, was sie benötigen. Personenbezogene Daten werden, soweit möglich, maskiert oder tokenisiert.
• Hintergrundüberprüfung: Hintergrundüberprüfungen vor der Einstellung gemäß dem in Indien üblichen BGV-Verfahren, die Angaben zu Ausbildung, früheren Beschäftigungsverhältnissen, Wohnadresse und Vorstrafen umfassen, soweit dies gesetzlich zulässig ist.
• Onboarding- und Austrittsprozesse: Der Zugriff wird über einen einzigen Workflow bereitgestellt und innerhalb von Stunden nach Ausscheiden vollständig widerrufen – nicht erst nach Tagen.

In vielen Fällen stellen globale Arbeitgeber erst im Nachhinein fest, dass sie zwar über die richtigen rechtlichen Unterlagen verfügten, und das falsche Betriebsmodell. Es geht darum, beide aufeinander abzustimmen.

Auf welche Warnsignale sollten Sie bei einem indischen Anbieter oder Partner achten?

Einige Signale sind zuverlässige Indikatoren für Probleme. Achten Sie auf:

• Zurückhaltung bei der Nennung der konkreten Personen, die mit Ihrer Arbeit betraut werden sollen
• Die Weigerung, diesen Personen zu gestatten, eine direkte Vertraulichkeitsvereinbarung oder eine Urkunde über geistiges Eigentum mit Ihnen zu unterzeichnen
• Keine Stellungnahme zur Frage, ob die Vergabe von Unteraufträgen zulässig ist
• Es gibt keinen internen Datenschutzbeauftragten und keinen benannten Datenschutzverantwortlichen gemäß dem DPDP-Gesetz
• Eine allgemeine Vorlage für eine Vertraulichkeitsvereinbarung, die seit 2020 nicht mehr aktualisiert wurde
• Ein Preis, der im Verhältnis zur Gehaltsspanne der Stelle, die angeblich besetzt werden soll, zu günstig erscheint
• Ein Anbieter, der die Kundenumgebungen nicht voneinander trennt
• Vage Antworten zur Hintergrundüberprüfung

Ein seriöser Partner beantwortet all diese Fragen direkt und schriftlich. Ein unseriöser Partner antwortet nur mit Allgemeinplätzen.

Inwiefern trägt Wisemonk dazu bei, Risiken im Zusammenhang mit Vertraulichkeit und geistigem Eigentum in Indien zu verringern?

Wisemonk fungiert als In Indien ansässiger „Employer of Record“, was bedeutet, dass sich das Risikoprofil strukturell von einer Zusammenarbeit mit einem Dienstleister unterscheidet. Der Mitarbeiter wird speziell für Sie eingestellt, und zwar im Rahmen eines Vertrags, der die Rechte am geistigen Eigentum sowie die Vertraulichkeitsverpflichtungen direkt Ihrem Unternehmen zuweist; die Beschäftigung erfolgt nach indischem Recht über die eigene Infrastruktur von Wisemonk.

Konkret ändert sich Folgendes:

• Die IP-Zuweisung erfolgt direkt an Sie. Der Arbeitsvertrag von Wisemonk überträgt Arbeitsergebnisse und geistiges Eigentum bereits an der Quelle auf den Kunden, wodurch die oft problematische Übertragungskette vom Dienstleister zum Kunden entfällt.
• Vertraulichkeitsvereinbarungen binden den Menschen. Jeder Mitarbeiter unterzeichnet Ihre Vertraulichkeitsvereinbarung persönlich vor dem Onboarding, nicht erst im Nachhinein.
• DPDP-konforme Datenverarbeitung. Wisemonk verwaltet die Lohn- und Gehaltsabrechnung, personenbezogene Daten und gesetzlich vorgeschriebene Meldungen auf seiner eigenen Plattform in Indien, sodass die Flüsse personenbezogener Daten kontrolliert und nachvollziehbar sind und nicht auf verschiedene Drittanbieter verteilt sind.
• Keine verdeckte Vergabe von Unteraufträgen. Die Mitarbeiter werden für Sie und ausschließlich für Sie eingestellt. In der Lieferkette gibt es keinen Zwischenanbieter.
• Schnelles, strukturiertes Onboarding. Die Hintergrundüberprüfung, die Unterzeichnung von Dokumenten und die Bereitstellung der Ausrüstung werden innerhalb von 24 bis 48 Stunden abgewickelt, sodass Sie keine Fachkräfte aufgrund langwieriger Verwaltungsabläufe verlieren.
• Unterstützung bei der Umstellung von Entitäten. Wenn Ihr Team so stark wächst, dass Sie eine eigene indische Tochtergesellschaft gründen, unterstützt Wisemonk Sie bei der Umstellung, sodass die Beschäftigungsverhältnisse und die Kette der geistigen Eigentumsrechte gewahrt bleiben.

Für die meisten Unternehmen, die sensible Aufgaben nach Indien auslagern, lautet die Frage weniger „Ist Indien sicher?“, sondern vielmehr „Ist unser Kooperationsmodell sicher?“. Ein EOR-Modell beseitigt einen Großteil des strukturellen Risikos, das bei Lieferantenmodellen standardmäßig besteht.