PIPA

Rechtsgrundlagen für die Verarbeitung nach dem PIPA

Das PIPA verlangt nicht für jede Erhebung oder Nutzung personenbezogener Informationen eine Einwilligung.

Je nach den Umständen kann eine Verarbeitung aufgrund gesetzlicher Grundlagen zulässig sein, darunter:

• Einwilligung der betroffenen Person
• Erforderlichkeit für den Abschluss oder die Erfüllung eines Vertrags
• Erfüllung gesetzlicher Pflichten
• Verarbeitung, die für bestimmte im PIPA anerkannte berechtigte Interessen erforderlich ist
• Notfälle, in denen Leben, Körper oder Eigentum betroffen sind
• Sonstige vom Gesetz ausdrücklich zugelassene Umstände

Die PIPC hat ausdrücklich betont, dass Organisationen eine Verarbeitung nicht fälschlich als einwilligungsbedürftig kennzeichnen sollten, wenn eine gesetzliche Grundlage wie die vertragliche Erforderlichkeit greift.

Diese Unterscheidung ist bei der Gestaltung von Einwilligungserlebnissen auf Websites wichtig.

Einwilligung nach dem PIPA

Wird die Einwilligung als Rechtsgrundlage genutzt, sollten Organisationen den betroffenen Personen klare Informationen über die Verarbeitung bereitstellen und die Einwilligung gemäß den Anforderungen des PIPA einholen.

Einwilligungsoberflächen sollten die jeweiligen Verarbeitungstätigkeiten unterscheiden, statt voneinander unabhängige Zwecke in einer einzigen unklaren Auswahl zu bündeln.

Organisationen sollten Nachweise darüber führen:

• welche Informationen angezeigt wurden
• welchem Zweck die Verarbeitung dient
• welche Einwilligungsoption angeboten wurde
• welche Entscheidung die Person getroffen hat
• zu welchem Datum und welcher Uhrzeit eingewilligt wurde
• welche Version der Datenschutzrichtlinie oder des Hinweises maßgeblich war
• ob die Einwilligung später widerrufen oder geändert wurde

ConsentX kann dabei helfen, diese Nachweise für Einwilligungen auf Website-Ebene zu führen.

Anforderungen an gesonderte Einwilligungen

Das PIPA sieht Fälle vor, in denen eine gesonderte oder zusätzliche Einwilligung erforderlich ist.

Dazu kann eine Verarbeitung gehören, die Folgendes betrifft:

• Sensible personenbezogene Informationen
• Eindeutig identifizierende Informationen
• Bestimmte Offenlegungen gegenüber Dritten
• Bestimmte grenzüberschreitende Übermittlungen

Die PIPC ist bereits gegen Unternehmen vorgegangen, die für grenzüberschreitende Verarbeitungen keine Einwilligung eingeholt oder diese nicht ordnungsgemäß kommuniziert hatten.

Sensible personenbezogene Informationen

Das PIPA gewährt sensiblen personenbezogenen Informationen einen verstärkten Schutz.

Dazu gehören Informationen, die etwa folgende Bereiche offenbaren oder betreffen:

• Weltanschauung
• Politische Meinungen
• Religiöse Überzeugungen
• Gesundheits- und medizinische Informationen
• Sexualleben
• Sonstige gesetzlich festgelegte Kategorien

Die Verarbeitung sensibler personenbezogener Informationen ist eingeschränkt und erfordert eine geeignete Rechtsgrundlage sowie zusätzliche Sicherheitsvorkehrungen. Ist die Einwilligung die maßgebliche Grundlage, ist eine gesonderte Einwilligung erforderlich.

Organisationen sollten gesonderte Kontrollen einrichten für:

• Erhebung
• Zweckbestimmung
• Zugriff
• Speicherung
• Offenlegung
• Aufbewahrung
• Sicherheit
• Einwilligung

Eindeutig identifizierende Informationen

Das PIPA sieht zusätzlichen Schutz für eindeutig identifizierende Informationen vor.

Organisationen, die Informationen wie bestimmte Identifikationsnummern verarbeiten, müssen spezifische gesetzliche Anforderungen erfüllen.

Ist eine Einwilligung erforderlich, sollten Organisationen nicht davon ausgehen, dass eine allgemeine Datenschutzeinwilligung die Verarbeitung eindeutig identifizierender Informationen automatisch abdeckt.

Einwilligungs- und Datenschutzabläufe sollten diese Verarbeitung gegebenenfalls klar abgrenzen.

Personenbezogene Informationen von Kindern

Das PIPA sieht zusätzlichen Schutz für Kinder unter 14 Jahren vor.

Soweit erforderlich, müssen Organisationen die Einwilligung des gesetzlichen Vertreters des Kindes einholen und geeignete Verfahren zur Überprüfung und Dokumentation dieser Einwilligung einführen. Die Leitlinien der PIPC für ausländische Unternehmen nennen die Einwilligung des gesetzlichen Vertreters für Kinder unter 14 Jahren ausdrücklich als wichtige Pflicht nach dem PIPA.

Organisationen, die Angebote für Kinder bereitstellen, sollten daher Folgendes berücksichtigen:

• Altersüberprüfung
• Identifizierung des gesetzlichen Vertreters
• Einwilligung des gesetzlichen Vertreters
• Einwilligungsnachweise
• Kindgerechte Datenschutzhinweise
• Angemessene Datenminimierung
• Kontrollen für Löschung und Aufbewahrung

Rechte betroffener Personen nach dem PIPA

Das PIPA räumt betroffenen Personen wichtige Rechte in Bezug auf ihre personenbezogenen Informationen ein.

Je nach den Umständen können betroffene Personen unter anderem folgende Rechte ausüben:

• Auskunft über personenbezogene Informationen
• Berichtigung unrichtiger Informationen
• Löschung
• Aussetzung der Verarbeitung
• Aussetzung der Übermittlung
• Sonstige im Gesetz vorgesehene Rechte

Die PIPC stellt Verfahren bereit, über die betroffene Personen Auskunft, Berichtigung, Löschung und Aussetzung der Verarbeitung beantragen können.

Organisationen sollten dokumentierte Abläufe für Folgendes vorhalten:

1. 1Entgegennahme von Anfragen
2. 2Überprüfung der anfragenden Person
3. 3Ermittlung der betreffenden personenbezogenen Informationen
4. 4Bewertung der Anfrage
5. 5Anwendung gesetzlicher Einschränkungen oder Ausnahmen
6. 6Durchführung der beantragten Maßnahme
7. 7Mitteilung des Ergebnisses
8. 8Aufbewahrung von Nachweisen über die Antwort

Datenschutzhinweise

Das PIPA verpflichtet Organisationen, eine angemessene Datenschutzrichtlinie festzulegen und offenzulegen.

Die Richtlinie sollte verständliche Informationen über die maßgebliche Verarbeitung personenbezogener Informationen enthalten, etwa zu:

• erhobenen personenbezogenen Informationen
• Zweck der Verarbeitung
• Aufbewahrungs- und Nutzungsdauer
• Bereitstellung an Dritte
• Auftragsverarbeitung
• grenzüberschreitender Verarbeitung
• Rechten betroffener Personen
• Sicherheitsmaßnahmen
• Kontaktdaten und verantwortlichen Personen
• sonstigen nach dem PIPA erforderlichen Informationen

Die PIPC hebt die Offenlegung der Datenschutzrichtlinie ausdrücklich als Pflicht ausländischer Unternehmen hervor, die dem PIPA unterliegen.

Datenminimierung und Zweckbindung

Organisationen sollten personenbezogene Informationen nur in dem Umfang erheben und nutzen, der für rechtmäßige und festgelegte Verarbeitungszwecke erforderlich ist.

Unternehmen sollten regelmäßig prüfen:

• welche Informationen erhoben werden
• warum sie erhoben werden
• ob jedes Feld weiterhin erforderlich ist
• wie lange Informationen aufbewahrt werden
• welche Dritten sie erhalten
• ob die Informationen für weitere Zwecke genutzt werden

Nicht mehr benötigte Daten sollten gemäß den geltenden Anforderungen des PIPA vernichtet werden.

Anforderungen an die Datensicherheit

Das PIPA verpflichtet Organisationen, angemessene Sicherheitsvorkehrungen zu treffen, um personenbezogene Informationen zu schützen vor:

• Verlust
• Diebstahl
• Datenabfluss
• Unbefugtem Zugriff
• Veränderung
• Zerstörung
• Sonstigen Sicherheitsvorfällen

Organisationen sollten sowohl technische als auch organisatorische Kontrollen einrichten.

Dazu können gehören:

Technische Sicherheitsvorkehrungen

• Zugriffskontrollen
• Authentifizierung
• Verschlüsselung
• Sicherheitsüberwachung
• Schwachstellenmanagement
• Netzwerkschutz
• Protokollierung von Zugriffen

Organisatorische Sicherheitsvorkehrungen

• Datenschutzrichtlinien
• Schulung der Mitarbeitenden
• Verfahren zur Zugriffsverwaltung
• Pläne zur Reaktion auf Vorfälle
• Überwachung von Dienstleistern
• Regelmäßige Sicherheitsbewertungen
• Zugewiesene Datenschutzverantwortlichkeiten

Die PIPC legt zunehmend Wert auf ein präventives Datenschutz- und Sicherheitsmanagement, statt sich allein auf die Durchsetzung nach einem Vorfall zu verlassen.

Meldung von Verletzungen des Schutzes personenbezogener Informationen

Organisationen müssen auf meldepflichtige Verletzungen des Schutzes personenbezogener Informationen unverzüglich reagieren.

Nach dem geltenden Rahmen müssen Unternehmen die zuständige Behörde und die betroffenen Personen in der Regel unverzüglich und innerhalb von 72 Stunden benachrichtigen, wenn die geltenden Meldepflichten ausgelöst werden. Die PIPC hat die 72-Stunden-Anforderung auch für ausländische Unternehmen hervorgehoben, die Informationen koreanischer betroffener Personen verarbeiten.

Ein Programm zur Reaktion auf Datenschutzverletzungen sollte Folgendes umfassen:

• Erkennung von Vorfällen
• Risikobewertung
• Eindämmung
• Meldung an die Aufsichtsbehörde
• Benachrichtigung der betroffenen Personen
• Abhilfemaßnahmen
• Sicherung von Beweisen
• Nachbereitung des Vorfalls

Die PIPC hat erhebliche Sanktionen verhängt, wenn Organisationen keine angemessenen Sicherheitsvorkehrungen getroffen oder Meldungen von Datenschutzverletzungen verzögert hatten.

Grenzüberschreitende Datenübermittlungen

Das PIPA enthält spezifische Anforderungen an die Übermittlung personenbezogener Informationen aus Südkorea heraus.

Je nach den Umständen und dem maßgeblichen Mechanismus müssen Organisationen unter Umständen:

• eine gesonderte Einwilligung einholen
• die erforderlichen Informationen zur Übermittlung bereitstellen
• geeignete vertragliche Vereinbarungen schließen
• einen anderen rechtlich anerkannten Übermittlungsmechanismus nutzen
• die erforderlichen Bewertungen durchführen
• angemessene Sicherheitsvorkehrungen aufrechterhalten

Die PIPC hat diese Vorschriften aktiv gegenüber Unternehmen durchgesetzt, die Informationen koreanischer Nutzer ins Ausland übermittelt haben, ohne die geltenden Anforderungen zu erfüllen.

Grenzüberschreitende Verarbeitung durch ausländische Dienstleister

Organisationen sollten unterscheiden zwischen:

Auftragsverarbeitung

Ein ausländischer Dienstleister verarbeitet personenbezogene Informationen im Auftrag der Organisation im Rahmen der maßgeblichen Outsourcing- bzw. Beauftragungsvereinbarung.

Bereitstellung an Dritte

Der Empfänger erhält oder verarbeitet die Informationen eigenständig in einer Weise, die über die gewöhnliche Auftragsverarbeitung hinausgeht.

Die Unterscheidung ist wichtig, weil sich die maßgebliche Rechtsgrundlage, die Transparenz, die vertraglichen Pflichten und die Übermittlungsanforderungen unterscheiden können.

Die PIPC hat ausdrücklich betont, dass es nicht genügt, jede externe Übermittlung einfach als „Weitergabe“ oder „Outsourcing“ zu bezeichnen; Organisationen sollten das Verhältnis zutreffend einordnen.

Inländischer Vertreter für ausländische Unternehmen

Bestimmte ausländische Unternehmen, die dem PIPA unterliegen, müssen unter Umständen einen inländischen Vertreter in Korea benennen.

Der Vertreter kann als wichtige Anlaufstelle für datenschutzbezogene Kommunikation, regulatorische Angelegenheiten und die Rechte betroffener Personen dienen.

Ausländische Organisationen sollten prüfen, ob ihre Geschäftstätigkeit und ihr Verarbeitungsvolumen die geltenden Anforderungen an einen inländischen Vertreter auslösen.

Datenschutzverantwortlicher und Datenschutz-Governance

Das PIPA legt großen Wert auf die Rechenschaftspflicht der Organisation.

Organisationen sollten klare Verantwortlichkeiten für den Schutz personenbezogener Informationen festlegen, gegebenenfalls einschließlich der Rolle des Datenschutzverantwortlichen (CPO).

Die Änderungen von 2026 stärken die Rechenschaftspflicht der Unternehmensleitung und die Rolle der Datenschutzbeauftragten weiter, darunter Maßnahmen für Organisationen, die große Mengen personenbezogener Informationen oder sensible Informationen verarbeiten.

Die Datenschutz-Governance sollte Folgendes abdecken:

• Interne Datenschutzrichtlinien
• Aufsicht über die Datenverarbeitung
• Risikomanagement
• Koordination der Sicherheit
• Schulung der Mitarbeitenden
• Reaktion auf Datenschutzverletzungen
• Dienstleistermanagement
• Compliance-Überprüfungen
• Berichterstattung an die Geschäftsleitung

Datenschutz-Folgenabschätzungen

Organisationen, die personenbezogene Informationen unter Umständen verarbeiten, die von den Bewertungsanforderungen des PIPA erfasst werden, müssen möglicherweise eine Folgenabschätzung für personenbezogene Informationen (PIA) durchführen.

Eine PIA kann Organisationen helfen, Folgendes zu erkennen:

• Verarbeitungsrisiken
• Sicherheitslücken
• Übermäßige Datenerhebung
• Datenschutzrisiken für betroffene Personen
• Geeignete Maßnahmen zur Risikominderung

Organisationen sollten prüfen, ob ihre Verarbeitungstätigkeiten unter die verpflichtenden PIA-Anforderungen fallen.

Cookies und Online-Tracking nach dem PIPA

Das PIPA ist kein eigenständiges Gesetz über Cookie-Einwilligungen.

Cookies, Pixel, Werbe-IDs, Analysetools, Gerätekennungen und andere Tracking-Technologien können jedoch je nach ihrer Verwendung personenbezogene Informationen oder eine Verarbeitung mit Bezug zu personenbezogenen Informationen umfassen.

Organisationen sollten daher prüfen:

• welche Informationen der Tracker erhebt
• ob die Informationen personenbezogene Informationen darstellen
• ob sie mit identifizierbaren Personen verknüpft werden können
• welchem Zweck die Verarbeitung dient
• welche Rechtsgrundlage gilt
• ob Informationen an Dritte bereitgestellt werden
• ob Informationen aus Korea heraus übermittelt werden
• ob eine gesonderte Einwilligung erforderlich ist

Bei Websites sollten Organisationen nicht davon ausgehen, dass jedes Cookie nach dem PIPA automatisch eine Einwilligung erfordert. Stattdessen sollten die konkrete Verarbeitungstätigkeit und die maßgebliche Rechtsgrundlage geprüft werden.

Online-Werbung und personenbezogene Informationen

Werbe- und Analyse-Ökosysteme können zusätzliche Compliance-Fragen nach dem PIPA aufwerfen.

Organisationen sollten Folgendes überprüfen:

• Werbe-IDs
• Verhaltensanalysen
• Retargeting
• Zielgruppensegmentierung
• Pixel von Drittanbietern
• SDKs
• Grenzüberschreitend tätige Analyseanbieter
• Datenweitergabe an Werbeplattformen

Verarbeitet oder nutzt ein Dritter personenbezogene Informationen eigenständig, sollte die Organisation prüfen, ob es sich um eine Auftragsverarbeitung oder eine Bereitstellung an Dritte handelt, und die geltenden rechtlichen Anforderungen ermitteln.

Automatisierte Entscheidungsfindung

Das PIPA enthält Schutzvorschriften zur automatisierten Entscheidungsfindung.

Organisationen, die automatisierte Systeme für Entscheidungen einsetzen, die sich auf Personen auswirken, sollten die geltenden Anforderungen an Transparenz, Erläuterung, Widerspruch und sonstige Anforderungen prüfen.

Dieser Bereich ist besonders relevant für:

• KI-Systeme
• Kredit- oder Risikobewertungen
• Empfehlungssysteme
• Systeme zur Personalauswahl
• Personalisierte Werbung
• Automatisierte Entscheidungen über Anspruchsberechtigungen

Organisationen sollten dokumentieren, wie die automatisierte Verarbeitung funktioniert, und die geltenden Rechte und Schutzmaßnahmen ermitteln.

KI und PIPA

Südkoreas Datenschutzbehörde hat zunehmend Leitlinien zur Nutzung personenbezogener Informationen bei der Entwicklung und Bereitstellung von KI-Diensten erarbeitet.

Die PIPC hat berechtigte Interessen als mögliche Rechtsgrundlage für bestimmte KI-bezogene Verarbeitungen öffentlich verfügbarer Daten anerkannt, sofern die gesetzlichen Anforderungen erfüllt sind, darunter die Legitimität des Zwecks, die Erforderlichkeit und eine Abwägung der Interessen und der Rechte betroffener Personen.

Organisationen, die personenbezogene Informationen für KI nutzen, sollten daher Folgendes bewerten:

• Herkunft der Trainingsdaten
• Rechtsgrundlage
• Erforderlichkeit
• Datenminimierung
• Datenschutzrisiken
• Sicherheitskontrollen
• Rechte betroffener Personen
• De-Identifizierung
• Schutzmaßnahmen für Modelle und Ausgaben
• Datenschutz-Folgenabschätzungen, sofern zutreffend

Änderungen des PIPA 2026

Die am 11. September 2026 in Kraft getretene Änderung des PIPA bringt erhebliche Neuerungen für Südkoreas Rahmen zur Durchsetzung und Governance im Datenschutz.

Zu den wichtigsten Entwicklungen gehören:

Strengere Sanktionen bei schwerwiegenden und wiederholten Verletzungen

Der geänderte Rahmen führt für bestimmte Fälle wiederholter und schwerwiegender Datenschutzverletzungen Sanktionen mit Strafcharakter von bis zu 10 % des Jahresumsatzes ein.

Stärkere Rechenschaftspflicht der Unternehmensleitung

Die Änderungen stärken die Verantwortung von CEOs und Datenschutzverantwortlichen für den Schutz personenbezogener Informationen.

Entwicklungen bei ISMS-P

Der geänderte Rahmen stärkt die Verbindung zwischen Datenschutz und der ISMS-P-Zertifizierung, einschließlich zusätzlicher Mechanismen zur Aufsicht und Prävention.

KI-bezogene Änderung

Im August 2026 verabschiedete die Nationalversammlung zudem eine weitere Änderung des PIPA zur rechtmäßigen Nutzung personenbezogener Informationen für die KI-Entwicklung im öffentlichen Interesse, zusammen mit zusätzlichen Datenschutzvorkehrungen und Aufsichtsmechanismen der PIPC. Organisationen sollten das Datum des Inkrafttretens und die Umsetzungsanforderungen dieser Änderung verfolgen.

Aufbewahrung und Vernichtung von Daten

Organisationen sollten personenbezogene Informationen nur so lange aufbewahren, wie es für den maßgeblichen Verarbeitungszweck erforderlich oder anderweitig gesetzlich vorgeschrieben ist.

Aufbewahrungsprogramme sollten Folgendes festlegen:

• Aufbewahrungsfristen
• Zweck der weiteren Aufbewahrung
• Datenkategorien
• Gesetzliche Aufbewahrungspflichten
• Auslöser für die Löschung
• Sichere Vernichtungsmethoden
• Dokumentation der Vernichtung

Die PIPC hat betont, wie wichtig es ist, personenbezogene Informationen zu vernichten, sobald sie nicht mehr erforderlich sind, um die Auswirkungen möglicher Datenschutzverletzungen zu minimieren.

Auftragsverarbeiter

Organisationen, die Dienstleister mit der Verarbeitung personenbezogener Informationen beauftragen, sollten eine angemessene Aufsicht sicherstellen.

Dazu gehören:

• Due-Diligence-Prüfung von Dienstleistern
• Verarbeitungsvereinbarungen
• Sicherheitsanforderungen
• Vertraulichkeit
• Kontrollen für Unterauftragsverarbeiter
• Anforderungen an die Meldung von Datenschutzverletzungen
• Löschung von Daten
• Zugriffskontrollen
• Bewertung grenzüberschreitender Übermittlungen
• Überwachung der Compliance

Verarbeitet ein ausländischer Dienstleister koreanische personenbezogene Informationen, sollte die Organisation die grenzüberschreitenden Anforderungen des PIPA gesondert bewerten.