Datenschutzgesetz: Ein Leitfaden zur PIPA-Verordnung in Südkorea

Autor: Priyasha Purkayastha, Globaler Content-Manager, TJC Gruppe

Der Schutz der Privatsphäre und der persönlichen Daten war schon immer von grösster Bedeutung. Da die Welt heute die künstliche Intelligenz (KI) in ihr tägliches Leben integriert und persönliche Informationen preisgibt, wird die Einführung strengerer Datenschutzgesetze noch wichtiger. In diesem Sinne präsentieren wir Ihnen die Verordnung zum Datenschutz in Südkorea – PIPA. Lesen Sie weiter, um mehr zu erfahren!

Einführung

In der heutigen digitalen Landschaft bleibt der Datenschutz ein wichtiges Anliegen für Unternehmen, die weltweit tätig sind. Südkorea, ein technologisches Kraftzentrum in Asien, hat mit einem robusten Rahmenwerk zur Aufrechterhaltung des Schutzes personenbezogener Daten eine der strengsten Datenschutzbestimmungen eingeführt. Für Unternehmen, die Daten grenzüberschreitend verwalten, ist das Verständnis des südkoreanischen Ansatzes zum Datenschutz von entscheidender Bedeutung, um die Einhaltung der Vorschriften zu gewährleisten und das Vertrauen koreanischer Kunden und Partner aufrechtzuerhalten.

In der Vergangenheit hat die TJC Group detaillierte Einblicke in verschiedene andere Datenschutzbestimmungen gegeben, wie z. B. die DSGVO in der EU, die DPDP in Indien, das Loi 25 in Quebec, das APPI in Japan usw. – mit der Absicht, unsere Leser auf dem Laufenden zu halten und zu informieren. Mit diesem Artikel verfolgen wir das gleiche Ziel und untersuchen die südkoreanischen Datenschutzgesetze, ihre Anforderungen und wie sie sich mit anderen internationalen Rahmenwerken vergleichen lassen. Ob Sie ein multinationaler Konzern oder ein Unternehmen sind, das eine Expansion in den koreanischen Markt in Erwägung zieht, dieser Leitfaden wird Ihnen helfen, sich in der komplexen Landschaft des südkoreanischen Datenschutzgesetzes zurechtzufinden.

Die Entwicklung des Datenschutzgesetzes in Südkorea

Es wird Sie überraschen, dass der Datenschutz in Südkorea nichts Neues ist. Tatsächlich begann Südkoreas Weg zu einem umfassenden Datenschutz mit dem Erlass des Gesetzes zum Schutz persönlicher Daten (PIPA) im September 2011. Zuvor waren die Datenschutzbestimmungen über verschiedene sektorspezifische Vorschriften verstreut, was zu einem fragmentierten Ansatz zum Datenschutz führte.

PIPA stellte eine bedeutende Verlagerung hin zu einem einheitlicheren und robusteren Datenschutzbestimmungen-Rahmenwerk dar. Seit seiner Einführung wurde das Gesetz mehrfach geändert, um aufkommenden Technologien Rechnung zu tragen. Diese stehen natürlich im Einklang mit internationalen Standards und stärken das Datenschutznetzwerk und die Landschaft für koreanische Bürger. Die jüngsten bedeutenden Änderungen in den Jahren 2020 und 2023 haben den Geltungsbereich und die Wirksamkeit des Gesetzes weiter verbessert und Südkorea als weltweit führendes Land bei der Umsetzung von Datenschutzgesetzen etabliert.

Das Gesetz zum Schutz persönlicher Daten (PIPA): Ein Überblick

PIPA dient als Eckpfeiler des südkoreanischen Datenschutzrahmens und gilt weithin als eines der umfassendsten Datenschutzgesetze weltweit. Das Gesetz gilt in breitem Umfang für öffentliche und private Einrichtungen, die personenbezogene Daten verarbeiten, einschliesslich:

• Regierungsstellen und öffentliche Einrichtungen
• Private Unternehmen aller Grössen
• Gemeinnützige Organisationen
• Ausländische Unternehmen, die die persönlichen Daten von Einwohnern Südkoreas verarbeiten

Der Geltungsbereich von PIPA ist bewusst weit gefasst und deckt nahezu alle Aspekte der Verarbeitung personenbezogener Daten ab. Das Datenschutzgesetz in Südkorea wird von der Kommission für den Schutz persönlicher Daten (PIPC) verwaltet und durchgesetzt, die als unabhängige Aufsichtsbehörde mit erheblichen Durchsetzungsbefugnissen eingerichtet wurde.

Wesentliche Anforderungen und Verpflichtungen gemäss PIPA

Definition von persönlichen Daten

PIPA definiert personenbezogene Daten weit gefasst als „Informationen, die sich auf eine lebende Person beziehen und es ermöglichen, die Person anhand ihres Namens, ihrer Wohnsitzregistrierungsnummer oder ihres Bildes zu identifizieren“. Dies beinhaltet:

• Direkte Kennungen (Name, ID-Nummern, Bilder)
• Indirekte Kennungen, die eine Person in Kombination mit anderen Informationen identifizieren können
• Online-Kennungen wie IP-Adressen und Geräte-IDs
• Standortdaten
• Biometrische Informationen

Anforderungen an die Einwilligung

Einer der strengsten Aspekte von PIPA ist sein Ansatz zur Einwilligung. Diese Datenschutzbestimmung erfordert im Allgemeinen eine ausdrückliche, informierte Einwilligung zur Erhebung und Verwendung personenbezogener Daten. Diese Einwilligung muss:

• Freiwillig ohne Zwang gegeben werden
• Spezifisch für klar definierte Zwecke sein
• Informiert sein, mit detaillierten Offenlegungen
• Eindeutig und bejahend sein

Insbesondere betont die Änderung von 2024, dass Unternehmen Daten ohne Einwilligung nur dann erheben dürfen, wenn dies für die Vertragserfüllung unbedingt erforderlich ist, wobei in den Datenschutzhinweisen keine gebündelten oder zwangsweisen Bedingungen zulässig sind.

Datenminimierung und Zweckbeschränkung

PIPA verpflichtet Organisationen zu:

• Nur die Mindestmenge an personenbezogenen Daten zu erheben, die erforderlich ist
• Personenbezogene Daten nur für die angegebenen Zwecke zu verwenden, für die sie erhoben wurden
• Personenbezogene Daten nur so lange aufzubewahren, wie es zur Erfüllung dieser Zwecke erforderlich ist

Sicherheitsmassnahmen

In Übereinstimmung mit dem südkoreanischen Datenschutzgesetz müssen Organisationen robuste technische, administrative und physische Schutzmassnahmen implementieren, um personenbezogene Daten vor unbefugtem Zugriff, Offenlegung, Veränderung oder Zerstörung zu schützen. Dazu gehören:

• Verschlüsselung für sensible Daten
• Zugriffskontrollen und Authentifizierungsverfahren
• Regelmässige Sicherheitsschulungen für Mitarbeiter
• Regelmässige Risikobewertungen und Sicherheitsaudits

Anforderung eines Datenschutzbeauftragten

PIPA schreibt vor, dass Organisationen, die bestimmte Kriterien erfüllen, einen Datenschutzbeauftragten (CPO) ernennen müssen, der für die Einhaltung des Datenschutzes verantwortlich ist. Der CPO muss über mindestens drei Jahre Erfahrung im Bereich Datenschutzbestimmungen verfügen, was die Ernsthaftigkeit widerspiegelt, mit der Südkorea die Datenschutz-Governance behandelt.

Datenschutzgesetz in Südkorea: die Rechte der betroffenen Personen

PIPA gewährt Einzelpersonen umfassende Rechte in Bezug auf ihre persönlichen Daten:

Recht auf Zugriff und Berichtigung: Einzelpersonen können Zugriff auf ihre persönlichen Daten verlangen und Korrekturen fordern, wenn die Informationen unrichtig sind.

Recht auf Löschung: Betroffene können die Löschung ihrer persönlichen Daten verlangen, wenn der Zweck der Erhebung erfüllt wurde oder wenn sie ihre Einwilligung widerrufen.

Recht der betroffenen Person auf Einschränkung der Verarbeitung: Gemäss dem südkoreanischen Datenschutzgesetz können Einzelpersonen verlangen, dass eine Organisation die Verarbeitung ihrer persönlichen Daten vorübergehend oder dauerhaft einstellt.

Recht auf Datenübertragbarkeit: Ab März 2025 haben Einzelpersonen das Recht, die Übertragung ihrer personenbezogenen Daten an einen anderen Dienstleister in einem sicheren, maschinenlesbaren Format zu verlangen. Organisationen müssen Mechanismen wie verschlüsselte Downloads oder APIs implementieren, um diesen Prozess zu erleichtern.

Recht auf Widerspruch gegen automatisierte Entscheidungsfindung: Die Änderungen von 2023 im Bereich Datenschutz in Südkorea erweiterten die Rechte der betroffenen Personen um das Recht auf Ausschluss von der automatisierten Entscheidungsfindung, was die wachsenden Bedenken hinsichtlich algorithmischer Entscheidungsprozesse widerspiegelt.

Datenschutzbestimmungen: grenzüberschreitende Datenübermittlungen

PIPA legt strenge Kontrollen für internationale Datenübermittlungen fest. Im Allgemeinen dürfen personenbezogene Daten nur dann ausserhalb Südkoreas übermittelt werden, wenn:

• Die betroffene Person hat eine spezifische Einwilligung zur Übermittlung ins Ausland erteilt
• Das Empfängerland gewährleistet ein angemessenes Schutzniveau
• Der Datenverantwortliche hat geeignete Schutzmassnahmen implementiert (z. B. verbindliche interne Datenschutzvorschriften oder Standardvertragsklauseln)
• Diese Bestimmungen machen PIPA zu einem der restriktivsten Rahmenwerke für grenzüberschreitende Datenflüsse, das eine sorgfältige Planung für multinationale Organisationen erfordert.

Durchsetzung und Strafen

Das Datenschutzgesetz PIPA sieht erhebliche Konsequenzen für die Nichteinhaltung seiner Vorschriften und Anforderungen vor, wie z. B.:

Verwaltungsstrafen: Die Behörden können für Verstösse Verwaltungsstrafen von bis zu 3 % des massgeblichen Umsatzes verhängen.

Korrekturanordnungen: Die Aufsichtsbehörden können Anordnungen erlassen, die Organisationen verpflichten, Verstösse zu beheben, Datenverarbeitungsaktivitäten auszusetzen oder unrechtmässig erhobene Daten zu vernichten.

Strafrechtliche Sanktionen: Schwerwiegende Verstösse, wie z. B. die unbefugte Übermittlung personenbezogener Daten zum Zwecke der Gewinnerzielung, können strafrechtliche Sanktionen nach sich ziehen, einschliesslich Freiheitsstrafen und erheblicher Geldstrafen.

Meldepflichten: Im Falle einer Datenschutzverletzung müssen Organisationen die betroffenen Personen und Aufsichtsbehörden innerhalb von 72 Stunden benachrichtigen und detaillierte Informationen über die Verletzung und Abhilfemassnahmen bereitstellen.

Datenschutzgesetz in Südkorea: Änderungen

Südkorea verfeinert sein Datenschutzbestimmungen-Rahmenwerk kontinuierlich, um aufkommenden Herausforderungen zu begegnen. Einige der letzten und bevorstehenden Aktualisierungen sind die folgenden:

Änderung von 2020

Einführung von Konzepten der Pseudonymisierung und Anonymisierung, wodurch die Beschränkungen für die Verwendung von nicht identifizierbaren Daten für Forschungs- und Statistikzwecke gelockert werden.

Änderung von 2023

• Vereinfachte Verfahren zur Streitbeilegung
• Vereinheitlichte Standards für die Online- und Offline-Datenverarbeitung
• Verbesserte Anforderungen an die Benachrichtigung bei Verstössen
• Verstärkte Sicherheitsmassnahmen für die Datenverarbeitung im öffentlichen Sektor

Änderung von 2025

• Die Rechte auf Datenübertragbarkeit traten am 13. März 2025 in Kraft
• Ausländische Unternehmen, die in Korea tätig sind, müssen bis zum 2. Oktober 2025 einen inländischen Vertreter für Datenschutzangelegenheiten benennen
• Verstärkte Aufsicht über KI und automatisierte Entscheidungssysteme

Vergleich mit anderen Datenschutzgesetzen und -rahmenwerken

PIPA vs. DSGVO

Während PIPA und die EU-Datenschutz-Grundverordnung (DSGVO) viele Gemeinsamkeiten aufweisen, darunter strenge Anforderungen an die Einwilligung und umfassende Rechte der betroffenen Personen, unterscheiden sie sich in einigen wichtigen Aspekten:

• PIPA erfordert in der Regel eine ausdrücklichere und spezifischere Einwilligung als die DSGVO
• Die Rechtsgrundlagen der DSGVO für die Verarbeitung sind breiter gefasst als die von PIPA
• Die Sicherheitsanforderungen von PIPA sind präskriptiver als der risikobasierte Ansatz der DSGVO

PIPA vs. US-amerikanische Datenschutzgesetze

Im Gegensatz zum sektoralen Ansatz der Datenschutzbestimmungen der Vereinigten Staaten bietet PIPA einen umfassenden Rahmen, der für alle Branchen gilt. Dies schafft ein einheitlicheres Datenschutzklima in Südkorea im Vergleich zu der fragmentierten Landschaft in den USA.

Beispielsweise erlaubt der California Consumer Privacy Act (CCPA) die Datenerhebung ohne vorherige Einwilligung, was im krassen Gegensatz zu den ausdrücklichen Einwilligungserfordernissen von PIPA steht.

Fazit

Die südkoreanischen Datenschutzgesetze, die sich auf PIPA konzentrieren, stellen einen der strengsten und umfassendsten Ansätze zum Datenschutz weltweit dar. Da im Jahr 2025 bedeutende Änderungen vollständig in Kraft treten, müssen Organisationen bei ihren Compliance-Bemühungen wachsam und proaktiv bleiben.

Die wichtigsten Erkenntnisse umfassen

• PIPA gilt für nahezu alle Unternehmen, die die persönlichen Daten südkoreanischer Personen verarbeiten, unabhängig vom Standort
• Für die Datenerhebung und -verarbeitung ist grundsätzlich eine ausdrückliche Einwilligung erforderlich
• Es sind robuste Sicherheitsmassnahmen und Governance-Strukturen vorgeschrieben
• Die Rechte der betroffenen Personen sind umfassend und werden kontinuierlich erweitert
• Grenzüberschreitende Datenübermittlungen unterliegen erheblichen Beschränkungen
• Die Nichteinhaltung kann zu schweren administrativen und strafrechtlichen Sanktionen führen

Da der Datenschutz in Südkorea und auf der ganzen Welt immer wichtiger wird, wird das Verständnis und die Einhaltung von Rahmenwerken für Organisationen, die Vertrauen aufbauen und einen rechtmässigen Betrieb in den heutigen dynamischen Märkten aufrechterhalten wollen, unerlässlich.

Für Unternehmen, die sich in der Komplexität des Datenmanagements über mehrere Gerichtsbarkeiten hinweg bewegen, wird ein strategischer Ansatz zur Daten-Governance, der die Datenschutzbestimmungen sorgfältig einbezieht, für den Erfolg in den kommenden Jahren entscheidend. Aber auch schon vorher bleibt ein sorgfältiges Datenmanagement der absolute Schlüssel, und hier kommt die TJC Group ins Spiel. Wenn Ihr Unternehmen mit inaktiven Daten oder obsoleten Systemen zu kämpfen hat, kontaktieren Sie uns noch heute!

---