Wer wurde wofür sanktioniert?

Angreifer meldeten sich mit anderswo erbeuteten Zugangsdaten massenhaft auf den Websites von GS SHOP (Juni 2024 bis Februar 2025) und GS25 (Dezember 2024 bis Januar 2025) an und griffen Daten von 1.581.025 bzw. 79.128 Personen ab; GS Retail Co., Ltd. erkannte weder die gehäuften Anmeldeversuche aus denselben IP-Adressen noch die steigenden Fehlversuche und stoppte nach dem ersten Fund bei GS25 den parallelen Angriff auf GS SHOP nicht. Die Behörde stellte außerdem eine unzureichende Datenschutzorganisation und die um mehr als 72 Stunden verspätete Benachrichtigung von 1.599 weiteren Betroffenen fest, verhängte ein Bußgeld (Penalty Surcharge) von 12.836.000.000 KRW und ein Verwaltungsbußgeld von 3.000.000 KRW (zusammen 12.839.000.000 KRW) und ordnete Erkennungsmaßnahmen sowie eine Überprüfung der Datenschutzorganisation an.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Art. 34(1); Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

fahrlässig

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um 40 % wegen Kooperation, Abhilfe und Schutzbemühungen (ISMS-P-Zertifizierung, Selbstregulierung, Datenschutz-Folgenabschätzung); Erhöhung um 50 % wegen einer Verstoßdauer von über zwei Jahren.

Haftung von Führungskräften

Angeordnet wurde, eigenes Datenschutzpersonal einzusetzen sowie Befugnisse und Verantwortung des Datenschutzbeauftragten (CPO) klar festzulegen.

Veröffentlicht

31.08.2026

Originalbetrag 12.839.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 26.08.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Ein ehemaliger Beschäftigter nutzte Signaturschlüssel für die Authentifizierung, auf die er während seiner Tätigkeit im Klartext zugreifen konnte und die nach seinem Ausscheiden weder erneuert noch vernichtet wurden, um gefälschte Tokens zu erstellen und von April bis November 2025 Daten von rund 33,22 Mio. Kundinnen und Kunden sowie Lieferdaten von rund 4,33 Mio. weiteren Personen abzurufen. Die Behörde verhängte gegen Coupang Corp. wegen unzureichender Sicherheitsmaßnahmen ein Bußgeld (Penalty Surcharge) von 423.575.000.000 KRW und wegen verspäteter Benachrichtigung und unterlassener Löschung ein Verwaltungsbußgeld von 16.800.000 KRW (zusammen 423.591.800.000 KRW) und rügte den Ausschluss des Datenschutzbeauftragten von der internen Untersuchung. Ein gesonderter Beschluss vom selben Tag verhängte weitere 201.106.000.000 KRW wegen Erhebung von Verhaltensdaten auf fremden Websites und Apps ohne Einwilligung.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Art. 34(1), Art. 21(1), Art. 31(6), Art. 63(2); Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

fahrlässig

Wiederholungsfall

ja

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um 50 % wegen Abhilfe, Entschädigung, Zertifizierung und Verhältnismäßigkeit; Erhöhungen um 25 % (Verstoßdauer), 30 % (mindestens zwei frühere Geldbußen) und 10 % (Behinderung der Untersuchung).

Haftung von Führungskräften

Der Datenschutzbeauftragte (CPO) war von interner Untersuchung und Veröffentlichung ausgeschlossen; angeordnet wurde eine Governance, die seine unabhängige Arbeit und seinen Zugang zu Informationen bei Vorfällen sichert.

Veröffentlicht

11.06.2026

Originalbetrag 423.591.800.000 KRW, umgerechnet zum EZB-Referenzkurs vom 10.06.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Coupang warb vom 26. August 2020 bis 15. Mai 2022 in seinem Onlineshop mit einem „WOW Member Price“ unter dem regulären Verkaufspreis, ohne offenzulegen, dass darin ein nur einmal einlösbarer Coupon für neue Mitglieder des kostenpflichtigen WOW-Abos eingerechnet war. Die KFTC wertete das Verschweigen dieser Information als täuschende Werbung, erließ eine Abhilfeanordnung und verhängte eine Geldbuße von 500 Mio. KRW, den gesetzlichen Höchstbetrag der Pauschalbuße.

Behörde / Gericht

Korea Fair Trade Commission (KFTC)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Irreführende Werbung und Preisangaben

Rechtsgrundlage

Art. 3 Abs. 1 Nr. 2 Act on Fair Labeling and Advertising (täuschende Werbung)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Veröffentlicht

09.06.2026

Originalbetrag 500.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 09.06.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die KFTC stellte fest, dass Musinsa, Shinsung Tongsang, E-Land World und ITX Korea (Betreiber von ZARA in Korea) Lederprodukte, auch solche aus synthetischen Materialien, mit pauschalen Umweltbegriffen wie „eco“ bewarben, ohne ausreichende Belege zu haben, und wertete dies als falsche, übertriebene und irreführende Werbung nach dem Labeling and Advertising Act. Weil alle vier die Verstöße einräumten und selbst korrigierten, beließ sie es bei Verwarnungen, die zwischen dem 2. April und dem 8. Mai 2025 ergingen (Shinsung Tongsang 2. April, Musinsa 10. April, E-Land World und ITX Korea 8. Mai); nach Angaben der KFTC war es der erste sanktionierte Greenwashing-Fall in der Modebranche.

Behörde / Gericht

Korea Fair Trade Commission (KFTC)

Rechtsgebiet

Umwelt und Nachhaltigkeit · Irreführende Umwelt- und Nachhaltigkeitsaussagen

Rechtsgrundlage

Art. 3 Abs. 1 Nr. 1 Act on Fair Labeling and Advertising (Labeling and Advertising Act; falsche oder übertriebene Werbung)

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Mildernde Umstände

Alle vier Unternehmen räumten die Verstöße ein und korrigierten sie selbst; die KFTC beließ es deshalb bei Verwarnungen.

Veröffentlicht

15.05.2025

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink