Datenschutz · 12. November 2026
Datenschutzbehörde verschärft Strafen für wiederholte Datenlecks auf bis zu 10 Prozent des Umsatzes
Die südkoreanische Datenschutzbehörde hat am 9. November eine Neuausrichtung ihrer Datenschutzpolitik angekündigt. Sie verlagert den Fokus von nachträglichen Sanktionen nach Datenlecks hin zu vorbeugenden Maßnahmen und verstärkter Verantwortung der Unternehmensführung. Bei wiederholten und schwerwiegenden Verstößen gegen das Datenschutzgesetz können Geldstrafen von bis zu 10 Prozent des Jahresumsatzes verhängt werden.
Die neue Regelung trat am 11. September in Kraft und gilt für Datenlecks, die nach diesem Datum auftreten. Bei der Berechnung der Geldstrafen wird künftig der höhere Wert aus dem durchschnittlichen Umsatz der letzten drei Jahre und dem Umsatz des unmittelbar vorangegangenen Jahres herangezogen. Dies kann für schnell wachsende Unternehmen zu höheren Strafzahlungen führen.
Die Behörde fördert gleichzeitig freiwillige Präventionsinvestitionen durch Anreize. Unternehmen, die nachweislich in Datenschutzmaßnahmen investieren, erhalten bei der Berechnung von Geldstrafen Vergünstigungen. Die Behörde betont, dass Datenschutzinvestitionen nicht als reine Kosten, sondern als Mittel zur Schadensvorbeugung und Risikominderung verstanden werden sollten.
Die Verantwortung der Geschäftsführung wird neu geregelt. Bislang wurden Datenschutzaufgaben häufig allein dem Datenschutzbeauftragten oder dem Informationssicherheitsleiter übertragen. Künftig trägt der Geschäftsführer die Gesamtverantwortung für den Datenschutz. Die Behörde bereitet Handlungsleitfäden und Handbücher vor, die konkrete Rollen und Reaktionsverfahren für Geschäftsführer bei Datenlecks festlegen.
Die Unabhängigkeit des Datenschutzbeauftragten wird gestärkt. Wichtige Datenschutzangelegenheiten müssen dem Aufsichtsrat berichtet werden. Bei der Ernennung eines neuen Datenschutzbeauftragten nach dem 11. September ist ein Aufsichtsratsbeschluss erforderlich, gefolgt von einer Anmeldung bei der Datenschutzbehörde. Diese Anmeldung muss innerhalb von sechs Monaten nach Abschluss des Verfahrens erfolgen. Für bereits ernannte Datenschutzbeauftragte gelten Übergangsbestimmungen.
Die Anforderungen an das Informationssicherheits- und Datenschutzmanagementsystem werden verschärft. Trotz Zertifizierung sind bei zertifizierten Unternehmen großflächige Datenlecks aufgetreten. Die Behörde will die Zertifizierungsprüfungen von formalen Überprüfungen hin zu praktischen Kontrollen vor Ort verlagern und die Nachkontrolle nach der Zertifizierung verstärken. Eine Ausweitung der Zertifizierungspflicht ist für den 1. Juli 2027 geplant.
Die Benachrichtigungspflicht bei Datenlecks wird erweitert. Bislang mussten Betroffene nur benachrichtigt werden, wenn ein Datenleck bestätigt war. Künftig gilt die Benachrichtigungspflicht auch bei hoher Wahrscheinlichkeit eines Lecks. Die Benachrichtigungspflicht erstreckt sich auch auf Fälschung, Verfälschung und Beschädigung von Daten durch Ransomware. Verstöße gegen die Benachrichtigungspflicht können zu Bußgeldern führen und beeinflussen spätere Geldstrafenentscheidungen.
Die Behörde bereitet Maßnahmen zur Stärkung des Schadensersatzes, zur Festlegung von Wiederherstellungsstandards und zur Einführung eines Zustimmungsverfahrens mit Wiederherstellungsvorbehalt vor.
Datenschutz durch Gestaltung wird als Grundprinzip betont. Bestehende Informationssysteme werden oft mit Vorrang für Effizienz und Benutzerfreundlichkeit entworfen, wodurch wesentliche Sicherheitsverfahren wie Mehrfaktor-Authentifizierung wegfallen oder unzureichend umgesetzt werden. Die Behörde fördert die Anwendung von Datenschutzprinzipien bereits in der Entwurfsphase und plant die Gesetzgebung sowie Gestaltungsrichtlinien. Zertifizierungen für Hardware- und Softwareprodukte sollen ausgeweitet werden.
Für kleine und mittlere Unternehmen mit begrenzten Sicherheitsinvestitionen plant die Behörde 2027 ein Beratungsunterstützungsprogramm mit einem Budget von etwa 2,4 Milliarden Won. Dies soll Unternehmen ermöglichen, Schwachstellen durch professionelle Beratung zu identifizieren und Systemverbesserungen zu erhalten.
Die Behörde überwacht auch vernetzte Produkte wie Reinigungsroboter, bei denen Nutzer nicht nachvollziehen können, wie Daten erfasst, übertragen und verarbeitet werden. Ein verstärktes präventives Kontrollsystem mit technischer Analyse ist geplant.
Das Monitoring von Datenlecks im Darknet und auf ausländischen Websites wird ausgeweitet, um Sekundärschäden wie Betrugswarnungen zu verhindern. Die internationale Zusammenarbeit wird intensiviert.
Die Behörde unterstützt gleichzeitig die sichere Nutzung personenbezogener Daten in der künstlichen Intelligenz. Vertrauen in den Datenschutz ist Voraussetzung für gesellschaftliche Akzeptanz von Datennutzung in der künstlichen Intelligenz und Datenwirtschaft. Die Behörde bereitet Sonderregelungen vor, die die Nutzung personenbezogener Daten für künstliche Intelligenz unter bestimmten Bedingungen ermöglichen, und unterstützt die Entwicklung und Kommerzialisierung von Datenschutztechnologien. Unternehmen können bei Unsicherheiten über die Einhaltung des Datenschutzgesetzes bei neuen künstlichen Intelligenz-Diensten Vorabprüfungen und Regulierungssandboxen nutzen.
Bei der internationalen Datenübertragung wird die Behörde Verfahren verbessern, um internationalen Datenaustausch zu unterstützen und gleichzeitig sichere Übertragungsmittel zu gewährleisten.