Teil unserer Compliance & Regulation-Serie

Südkorea PIPA: Datenschutz-Compliance-Leitfaden

Das südkoreanische Gesetz zum Schutz personenbezogener Daten (PIPA – 개인정보 보호법) gilt weithin als eines der strengsten Datenschutzgesetze der Welt. PIPA ist umfassend im Umfang, detailliert in den technischen Anforderungen und wird von der Personal Information Protection Commission (PIPC – 개인정보보호위원회) energisch durchgesetzt. Es hat erhebliche Auswirkungen auf jedes Unternehmen, das in Südkoreas hochgradig digitalisiertem Markt tätig ist oder diesen bedient.

PIPA wurde im Jahr 2011 in Kraft gesetzt und im Jahr 2023 grundlegend geändert. Es orientiert sich nun stärker an internationalen Standards – einschließlich der EU-DSGVO – und behält gleichzeitig charakteristische koreanische Merkmale wie obligatorische Verschlüsselungsanforderungen, spezifische technische Standards und eine einheitliche Durchsetzungsstruktur im Rahmen des PIPC bei, nachdem die Rollen der Korea Communications Commission (KCC) und der Korea Internet & Security Agency (KISA) zur Durchsetzung des Datenschutzes integriert wurden.

Wichtige Erkenntnisse

PIPA gilt für alle öffentlichen und privaten Einrichtungen, die personenbezogene Daten in Südkorea verarbeiten, mit extraterritorialem Geltungsbereich

Sensible Informationen (Biometrie, Gesundheit, Strafregister, Standort usw.) erfordern eine ausdrückliche Einwilligung – der Einwilligungsstandard ist strenger als in den meisten anderen Gerichtsbarkeiten

Die Datenschutzrichtlinie muss öffentlich veröffentlicht und durch die jährliche Prüfungsrichtlinie des PIPC genehmigt werden

Benachrichtigung über Datenschutzverletzungen ist innerhalb von 72 Stunden (bei bestimmten Vorfällen 5 Tagen) an PIPC erforderlich

Grenzüberschreitende Übermittlungen sind ohne Zustimmung, vertragliche Garantien oder Angemessenheitsfeststellung verboten

PIPC kann Bußgelder in Höhe von bis zu 3 % des Gesamtumsatzes verhängen; strafrechtliche Sanktionen bis zu 5 Jahren Freiheitsstrafe

Obligatorische technische Standards: spezifische Verschlüsselungsalgorithmen (AES-256 für sensible Daten), Anforderungen an die Zugriffskontrolle, Leitlinien zur Pseudonymisierung

Ausländische Betreiber mit südkoreanischen Nutzern müssen einen lokalen Vertreter benennen

PIPA-Framework und -Umfang

Abdeckung

PIPA gilt für:

Verarbeiter personenbezogener Daten: Jede öffentliche Einrichtung, Körperschaft, Organisation oder Einzelperson, die personenbezogene Daten für geschäftliche Zwecke verarbeitet
Sowohl Einrichtungen des öffentlichen Sektors (Regierungsbehörden) als auch des privaten Sektors
Ausländische Betreiber: Nicht in Südkorea niedergelassene Unternehmen, die Waren oder Dienstleistungen für südkoreanische Einwohner bereitstellen oder das Verhalten südkoreanischer Einwohner überwachen (Artikel 2 und 39-11)

Dieser extraterritoriale Geltungsbereich – der in den Änderungen von 2023 hinzugefügt wurde – spiegelt Artikel 3 Absatz 2 der DSGVO wider und verlangt von ausländischen Betreibern, einen südkoreanischen Vertreter zu benennen.

Definition persönlicher Informationen

Unter personenbezogenen Daten (개인정보) im Sinne von PIPA versteht man Informationen über eine lebende Person, die eine Identifizierung dieser Person ermöglichen (einschließlich Kombination mit anderen Informationen), einschließlich:

Name, Registrierungsnummer (주민등록번호), Bild
Informationen, die leicht mit anderen Informationen kombiniert werden können, um eine Person zu identifizieren

Pseudonyme Informationen (가명정보): Persönliche Informationen, die so verarbeitet werden, dass eine Identifizierung ohne zusätzliche Informationen unmöglich ist. Kann ohne Zustimmung und mit besonderen Einschränkungen für statistische Erhebungen, Recherchen und Archivierungen verwendet werden.

Anonymisierte Informationen: Informationen, die unter keinen Umständen erneut identifiziert werden können – keine personenbezogenen Daten mehr und außerhalb des Geltungsbereichs von PIPA.

Sensible Informationen

PIPA definiert sensible Informationen (민감정보) so, dass für deren Erhebung und Nutzung eine ausdrückliche Zustimmung erforderlich ist, mit begrenzten Ausnahmen. Zu den Kategorien gehören:

Ideologie, Glaube
Beitritt zu oder Austritt aus Gewerkschaften oder politischen Parteien
Politische Meinungen
Gesundheits- und medizinische Informationen
Sexualleben und sexuelle Orientierung
Frühere Strafregister (Verbrechen und Strafen)
Biometrische Informationen, die Personen identifizieren können
Rassen- oder ethnischer Hintergrund
Finanzinformationen (Kontonummern, Kartennummern – klassifiziert als eindeutige Identifikationsinformationen, die einer besonderen Behandlung bedürfen)

Einwohnerregistrierungsnummern (주민등록번호 – koreanischer Personalausweis): Wird mit dem höchsten Schutz behandelt. Die Sammlung ist grundsätzlich verboten, es sei denn, dies ist gesetzlich ausdrücklich gestattet. Die Verarbeitung und Weitergabe an Dritte unterliegt strengen Regelungen. Dies ist einer der strengsten Schutzmaßnahmen für nationale ID-Nummern weltweit.

Rechtsgrundlagen für die Verarbeitung personenbezogener Daten

Artikel 15 des PIPA sieht fünf Rechtsgrundlagen für die Erhebung und Nutzung personenbezogener Daten vor:

Vorherige Einwilligung der betroffenen Person
Besondere gesetzliche Bestimmungen oder zur Erfüllung gesetzlicher Verpflichtungen erforderlich
Eindeutige und wichtige Interessen der betroffenen Person oder eines Dritten, bei dem eine vorherige Einholung einer Einwilligung nicht möglich ist (lebenswichtige Interessen)
Erforderlich zur Erfüllung der durch Gesetze und Verordnungen übertragenen Aufgaben für öffentliche Einrichtungen
Berechtigte Interessen des Verarbeiters personenbezogener Daten – wenn die Verarbeitung für die berechtigten Interessen des Verarbeiters in einem angemessenen Umfang eindeutig erforderlich ist

Einwilligungsvoraussetzungen:

Informiert: Die betroffene Person muss über die erfassten Daten, den Zweck, die Aufbewahrungsfrist und das Recht auf Widerruf der Einwilligung mit Konsequenzen informiert werden
Freiwillig: Die Bereitstellung von Waren/Dienstleistungen kann nicht von der Zustimmung zur optionalen Verarbeitung abhängig gemacht werden
Spezifisch: separate Einwilligung für jeden Zweck
Schriftlicher Nachweis: Bewahren Sie den Nachweis der Einwilligung auf

Anforderungen an die Datenschutzrichtlinie

Artikel 30 verlangt von den Verarbeitern personenbezogener Daten, eine Datenschutzrichtlinie zu erstellen und öffentlich zu veröffentlichen (처리방침). Erforderliche Inhalte:

Verarbeitete personenbezogene Daten
Zweck der Verarbeitung
Aufbewahrungsfrist (Vernichtungsfrist)
Bei Weitergabe an Dritte die Angaben zu den Dritten, den bereitgestellten Gegenständen, dem Zweck und der Aufbewahrungsfrist
Angelegenheiten der Beauftragung mit der Verarbeitung (Auftragsverarbeiter)
Rechte und Pflichten der betroffenen Personen und Art und Weise, diese auszuüben
Maßnahmen zur Gewährleistung der Sicherheit personenbezogener Daten
Name und Kontaktinformationen des Personal Information Protection Officer (PIPO – 개인정보 보호책임자)
Abteilung, die Anfragen zu den Rechten betroffener Personen bearbeitet
Informationen zu Auslandsüberweisungen
Automatische Erfassungsgeräte (Cookies)

Aktualisierung der Datenschutzerklärung: Änderungen müssen im Voraus mitgeteilt werden. Das PIPC bietet Musterrichtlinien für Datenschutzrichtlinien und eine jährliche Bewertung – Unternehmen, die unter einem Mindeststandard liegen, erhalten Verbesserungsempfehlungen.

Datenschutzbeauftragter (PIPO)

Artikel 31 verpflichtet alle Verarbeiter personenbezogener Daten, einen Datenschutzbeauftragten (개인정보 보호책임자) zu benennen. Der PIPO muss:

Seien Sie ein leitender Angestellter mit Autorität und Verantwortung für den Datenschutz
Beschwerden über den Umgang mit personenbezogenen Daten entgegenzunehmen und zu bearbeiten
Überwachen Sie die Einhaltung
Schulung und Sensibilisierung verwalten
Führen Sie Datenschutzrisikobewertungen durch

Kriterien für PIPO: Muss über erhebliche Autorität in der Organisation verfügen – nicht nur eine nominelle Bezeichnung. Der PIPO muss befugt sein, technische Maßnahmen zu leiten, auf alle persönlichen Informationssysteme zuzugreifen und direkt mit der Führung zu kommunizieren.

Betreiber im Ausland: Sie müssen einen inländischen Vertreter in Südkorea benennen, der für PIPO-Funktionen verantwortlich ist.

Technische und Sicherheitsanforderungen

PIPA und seine Durchführungsbestimmungen (Personal Information Safety Measures Standards – 개인정보의 안전성 확보조치 기준) legen detaillierte technische Anforderungen fest – darunter die strengsten weltweit:

Verschlüsselungsanforderungen:

Passwörter: müssen mit einem Einweg-Verschlüsselungsalgorithmus verschlüsselt werden; Klartextspeicherung verboten
Einwohnermeldenummern, biometrische Daten und Finanzinformationen: müssen mit AES-256 oder einem gleichwertigen Verfahren verschlüsselt werden
Übertragungsverschlüsselung: TLS/SSL ist für alle über Netzwerke übertragenen persönlichen Daten erforderlich
Speicherung auf Mobilgeräten: Verschlüsselung für persönliche Daten auf Mobilgeräten erforderlich

Zugriffskontrollanforderungen:

Eindeutige Benutzer-IDs; gemeinsame Konten verboten
Zugriffskontrolle basierend auf der Aufgabennotwendigkeit (geringste Privilegien) – Sitzungs-Timeout nach maximal 30 Minuten Inaktivität für Webdienste
Kontosperrung nach 5 fehlgeschlagenen Anmeldeversuchen
Für den administrativen Zugriff auf persönliche Informationssysteme ist eine Zwei-Faktor-Authentifizierung erforderlich

Zugriffsprotokollverwaltung:

Jeder Zugriff auf Datenbanken mit personenbezogenen Daten muss protokolliert werden
Protokolle müssen Folgendes enthalten: Zugriffs-ID, Datum und Uhrzeit, Art des Vorgangs (Erstellen, Lesen, Aktualisieren, Löschen)
Protokolle müssen mindestens 1 Jahr lang aufbewahrt werden (3 Jahre für sensible und gesundheitsbezogene Informationen).
Protokolle müssen vor Manipulation geschützt werden; Anomalieerkennung implementiert

Netzwerktrennung:

Für Auftragsverarbeiter, die personenbezogene Daten von mehr als 100.000 Personen verarbeiten oder sensible Informationen verarbeiten, ist eine Netzwerktrennung zwischen mit dem Internet verbundenen Systemen und internen personenbezogenen Informationssystemen erforderlich
Die Firewall-Konfiguration muss dokumentiert werden

Schwachstellenmanagement:

Sicherheitspatches, die innerhalb von 6 Monaten nach der Veröffentlichung durch den Anbieter für Betriebssysteme und Hauptsoftware angewendet werden
Sicherheitsschwachstellenbewertungen mindestens einmal jährlich

Rechte der betroffenen Person

PIPA gewährt betroffenen Personen Rechte, die innerhalb einer bestimmten Frist erfüllt werden müssen:

Richtig	Reaktionszeitleiste	Notizen
Zugriffsrecht	10 Tage	Für das Kopieren kann eine angemessene Gebühr erhoben werden
Recht auf Berichtigung	Ohne Verzögerung	Nutzung/Bereitstellung während Korrekturprüfung aussetzen
Recht auf Löschung	Ohne Verzögerung	Ausnahmen von gesetzlichen Aufbewahrungspflichten
Recht auf Aussetzung der Verarbeitung	Innerhalb von 10 Tagen	Kann ablehnen, wenn ein Rechtsgrund vorliegt
Recht auf Widerruf der Einwilligung	Ohne Verzögerung	Für den Rückzug kann keine Strafe verhängt werden
Recht auf Portabilität (neu im Jahr 2023)	Ohne Verzögerung, wenn möglich	Elektronisches Format
Recht auf automatisierte Entscheidungserklärung	Innerhalb von 10 Tagen	Bitte um Erklärung oder Einspruch

Grenzüberschreitende Datenübertragung

Artikel 28-8 (Änderung von 2023) regelt internationale Datenübermittlungen:

Zulässige Mechanismen:

Einwilligung: Ausdrückliche, vorherige Einwilligung nach Offenlegung von: Empfängerinformationen, Übertragungszweck, übertragenen Gegenständen, Aufbewahrungsfrist und Informationen über Ablehnungsrechte
Angemessenheitsfeststellung: Übertragung in Länder, die laut PIPC einen angemessenen Schutz bieten
Standardvertragsklauseln: Verwendung von PIPC-genehmigten SCCs mit dem ausländischen Empfänger
Verbindliche Unternehmensregeln: Von PIPC für gruppeninterne Übertragungen genehmigt
Vertragliche Notwendigkeit: Übermittlung erforderlich für den Vertrag mit der betroffenen Person
Rechtliche Verpflichtung: Durch Vertrag oder internationale Vereinbarung erforderlich

PIPC-Angemessenheitsliste: Das PIPC entwickelt seine Liste angemessener Länder. Derzeit unterhält die EU eine gegenseitige Angemessenheitsbeziehung mit Südkorea. Japan ist im Gespräch.

Meldepflichten für einwilligungsbasierte Übermittlungen: Zur obligatorischen Offenlegung vor Einholung der Einwilligung gehören: Name des Auslands, Name und Kontakt des Empfängers, Zweck der Übertragung, übertragene Gegenstände, Aufbewahrungs-/Nutzungszeitraum sowie Informationen zur Verweigerung der Einwilligung und deren Konsequenzen.

Benachrichtigung über Verstöße

Artikel 34 erfordert eine Benachrichtigung bei Entdeckung eines Verlusts, Diebstahls oder der Offenlegung personenbezogener Daten:

Benachrichtigung an PIPC (Artikel 34(3)): Erforderlich, wenn personenbezogene Daten verloren gehen, gestohlen oder preisgegeben werden – innerhalb von 72 Stunden bei Vorfällen mit:

1.000 oder mehr betroffene Personen
Sensible Informationen oder eindeutige Identifikationsinformationen
Jeder Betrag, bei dem ein Verdacht auf einen systemischen Verstoß besteht

Bei anderen Vorfällen: Meldung an die Datenschutzbehörde (KISA betreibt im Auftrag von PIPC ein Meldeportal) innerhalb von 5 Werktagen.

Einzelne Benachrichtigung (Artikel 34 Absatz 1): Unverzüglich erforderlich, wenn Verlust, Diebstahl oder Leckage auftreten. Muss enthalten:

Persönliche Daten, die verloren gegangen sind, gestohlen wurden oder durchgesickert sind
Zeitpunkt des Vorfalls (sofern bekannt)
Maßnahmen, die betroffene Personen ergreifen können
Kontaktinformationen für den Verarbeiter personenbezogener Daten

Benachrichtigung an PIPC: Nutzen Sie das PIPC/KISA-Vorfallberichtsportal (privacy.go.kr).

PIPC-Durchsetzung und Strafen

Die Personal Information Protection Commission (PIPC) wurde 2020 als unabhängige Kommission gestärkt und durch die Änderungen von 2023 weiter gestärkt.

Verwaltungsrechtliche Sanktionen:

Bußgelder bis zu 3 % des Gesamtumsatzes/-ertrags für Verstöße im Zusammenhang mit der Erhebung personenbezogener Daten ohne legitime Grundlage oder der unbefugten Weitergabe an Dritte
Bußgelder bis zu 3 % des Gesamtumsatzes bei schwerwiegenden Verstößen gegen technische Schutzmaßnahmen
Korrekturanordnungen: PIPC kann betriebliche Änderungen, Datenvernichtung und öffentliche Bekanntmachungen anordnen

Strafrechtliche Sanktionen (Artikel 70–74):

Sammeln personenbezogener Daten ohne Einwilligung: bis zu 5 Jahre Haft + Geldstrafen bis zu 50 Millionen ₩
Weitergabe an Dritte ohne Zustimmung: bis zu 5 Jahre Haft + Geldstrafe bis zu ₩50 Millionen
Verstoß gegen das Verbot der Verarbeitung von Einwohnermeldenummern: bis zu 5 Jahre Haft + Geldstrafen bis zu 100 Millionen ₩
Verstöße gegen Datenbroker: bis zu 10 Jahre Haft

Jüngste Durchsetzung: Das PIPC verhängte gegen Meta im Jahr 2022 eine Geldstrafe von 6,7 Milliarden ₩ (5 Millionen US-Dollar) wegen der Sammlung sensibler Informationen ohne Zustimmung. Samsung Electronics hat mehrere PIPC-Leitmaßnahmen erhalten. Gegen Kakao wurden Datenverarbeitungspraktiken untersucht. Die Durchsetzung ist aktiv und weitet sich aus.

PIPA-Compliance-Checkliste

Häufig gestellte Fragen

Warum gilt PIPA als eines der strengsten Datenschutzgesetze weltweit?

PIPA vereint einen umfassenden Anwendungsbereich (gilt für alle Unternehmen, einschließlich Kleinunternehmen), strenge Einwilligungsanforderungen (explizit, zweckspezifisch, freiwillig), präskriptive technische Standards (obligatorische Verschlüsselungsalgorithmen, spezifische Zugriffsprotokollanforderungen, Netzwerktrennung), strenge Durchsetzung (strafrechtliche Sanktionen bis zu 10 Jahren, Verwaltungsstrafen von 3 % des Umsatzes) und das Verbot der Verwendung nationaler Einwohnermeldenummern – einer der strengsten nationalen ID-Schutzmaßnahmen weltweit. Das PIPC hat seine Bereitschaft gezeigt, Geldstrafen gegen große in- und ausländische Unternehmen zu verhängen. Darüber hinaus lassen die detaillierten Durchführungsbestimmungen von PIPA weniger Spielraum für alternative Compliance-Ansätze als das prinzipienbasierte Rahmenwerk der DSGVO.

Was sind die spezifischen Verschlüsselungsanforderungen gemäß PIPA?

Die PIPA-Durchführungsbestimmungen (Personal Information Safety Measures Standards) legen Folgendes fest: (1) Passwörter müssen mit einer Einweg-Hash-Funktion (bcrypt, Argon2 oder genehmigte Algorithmen) gespeichert werden – Klartext oder reversible Verschlüsselung sind verboten; (2) Sensible Informationen, Einwohnermeldenummern, biometrische Informationen und Finanzkontonummern müssen zur Speicherung mit mindestens AES-128 (AES-256 empfohlen) verschlüsselt werden. (3) Alle über Netzwerke übertragenen personenbezogenen Daten müssen TLS 1.2 oder höher verwenden; (4) Persönliche Daten auf mobilen Geräten müssen verschlüsselt werden; (5) Für cloudbasierte Systeme wird eine Ende-zu-Ende-Verschlüsselung empfohlen.

Was sind pseudonyme Informationen gemäß den PIPA-Änderungen von 2023?

Pseudonyme Informationen (가명정보) wurden mit der Änderung von 2020 (gültig ab 2023) als Kategorie zwischen personenbezogenen Daten und anonymisierten Informationen eingeführt. Dabei handelt es sich um personenbezogene Daten, die so verarbeitet werden, dass eine bestimmte Person ohne die Verwendung zusätzlicher Informationen, die mit Sicherheitsmaßnahmen getrennt aufbewahrt werden, nicht identifiziert werden kann. Pseudonyme Informationen können ohne Zustimmung für statistische Erhebungen, wissenschaftliche Forschung oder die Aufbewahrung öffentlicher Aufzeichnungen verwendet werden – was Datenanalysen ermöglicht und gleichzeitig das Datenschutzrisiko verringert. Auftragsverarbeiter müssen: die Zusatzinformationen (Mapping-Tabelle) getrennt und sicher aufbewahren; Versuche zur erneuten Identifizierung verbieten; Aufzeichnungen über Pseudonymisierung führen; technische und administrative Sicherheitsmaßnahmen umsetzen.

Wie funktioniert die Grundlage „berechtigter Interessen“ von PIPA?

Die Grundlage für berechtigte Interessen gemäß PIPA (Artikel 15 Absatz 1 Nummer 6) wurde in den Änderungen von 2023 eingeführt. Es erlaubt die Verarbeitung, wenn dies eindeutig für die berechtigten Interessen des Auftragsverarbeiters erforderlich ist, ohne dass dabei die Rechte der betroffenen Personen außer Kraft gesetzt werden. Dies spiegelt die berechtigten Interessen der DSGVO wider, jedoch mit einer engeren Anwendung – die Gesetzgebungsgeschichte von PIPA weist darauf hin, dass dies für eine zufällige, ergänzende Verarbeitung und nicht als allgemeine Grundlage anstelle der Einwilligung verwendet werden sollte. Der Auftragsverarbeiter muss das berechtigte Interesse dokumentieren, beurteilen, ob es die Interessen der betroffenen Personen überwiegt, und Sicherheitsmaßnahmen ergreifen. Sensible Informationen können nicht im Rahmen berechtigter Interessen erfasst/verwendet werden – hierfür ist eine ausdrückliche Einwilligung oder eine besondere gesetzliche Genehmigung erforderlich.

Was stellt einen Datenschutzverstoß dar, der eine 72-Stunden-Benachrichtigung an PIPC erfordert?

Die 72-Stunden-Benachrichtigungspflicht gilt, wenn: (1) 1.000 oder mehr betroffene Personen von Verlust, Diebstahl oder Datenlecks betroffen sind; (2) Sensible Informationen oder eindeutige Identifikationsinformationen (Einwohnerregistrierungsnummern, Reisepassnummern, Führerscheinnummern, Ausländerregistrierungsnummern) sind bei jedem Verstoß beteiligt; (3) Der Verstoß scheint systemischer Natur zu sein (was auf eine größere Verwundbarkeit hindeutet). Andere Verstöße (von denen weniger als 1.000 Personen mit nicht sensiblen Daten betroffen sind) erfordern eine Benachrichtigung innerhalb von 5 Werktagen. Die Meldung muss über das PIPC/KISA-Meldeportal (privacy.go.kr) eingereicht werden. Unabhängig vom Ausmaß ist eine individuelle Benachrichtigung erforderlich – sofort nach Entdeckung eines Verstoßes.

Nächste Schritte

Südkoreas PIPA ist ein anspruchsvolles Compliance-Rahmenwerk, das Investitionen sowohl in organisatorische Prozesse als auch in die technische Infrastruktur erfordert. Für Unternehmen, die in den südkoreanischen Markt eintreten oder bestehende Korea-Aktivitäten erweitern, ist die Integration der PIPA-Konformität von Anfang an in Ihre Systemarchitektur – insbesondere die Verschlüsselungsanforderungen und die Zugriffsprotokollierung – deutlich effizienter als eine Nachrüstung.

Das Technologieimplementierungsteam von ECOSIRE kann dabei helfen, PIPA-konforme Architekturen zu entwerfen, die spezifischen erforderlichen technischen Standards zu implementieren und für den südkoreanischen Markt geeignete Datenschutzmanagementprozesse zu entwickeln.

Weitere Informationen: ECOSIRE Services

Haftungsausschluss: Dieser Leitfaden dient nur zu Informationszwecken und stellt keine Rechtsberatung dar. PIPA wurde erheblich geändert und entwickelt sich weiter. Wenden Sie sich an einen qualifizierten koreanischen Rechtsberater, um spezifische Ratschläge für Ihre Organisation zu erhalten.

Schlagworte:south-korea pipa compliance data-protection privacy

E

Geschrieben von

ECOSIRE Research and Development Team

Entwicklung von Enterprise-Digitalprodukten bei ECOSIRE. Einblicke in Odoo-Integrationen, E-Commerce-Automatisierung und KI-gestützte Geschäftslösungen.

Alle Beiträge ansehen

South Korea PIPA: Data Protection Compliance Guide