Wer wurde wofür sanktioniert?

Laut Sanktionsveröffentlichung des Financial Supervisory Service (FSS) übermittelte die Online-Kreditvermittlungsplattform PFC Technologies am 28. September 2022 die Personenkennnummern von 8.497 Kunden ohne deren Einwilligung an einen Dritten, um die Fehlerquote eines neuen Dienstes für Hypothekenkunden zu berechnen, und erhielt von diesem ebenfalls ohne Einwilligung Kreditinformationen zu denselben Kunden (etwa Adresse und amtlicher Wert ihrer Immobilien); zudem hatte sie bei Prüfungsbeginn keine Passwortregeln gegen leicht zu erratende Zahlen umgesetzt. Die Sanktion vom 17. September 2026 umfasst eine institutionelle Verwarnung, eine Geldbuße (과태료) von 24 Mio. KRW und eine Geldauflage (과징금) von 49 Mio. KRW, zusammen 73 Mio. KRW.

Behörde / Gericht

Financial Supervisory Service (FSS)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 19, 32 und 34 Credit Information Use and Protection Act; Art. 16, 28 und 29 Durchführungsverordnung

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

17.09.2026

Originalbetrag 73.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 17.09.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Sechs Hersteller und Händler von Druckpapier legten laut KFTC bei sechs Ausschreibungen des Verlags Nongmin News Corp. zwischen Juni 2021 und November 2024 vorab Zuschlagsempfänger, Scheinbieter und Gebotspreise fest; die durchschnittliche Zuschlagsquote lag bei rund 96,2 % gegenüber 87,6 % in den Jahren 2018 bis 2020. Die KFTC erließ Abhilfeanordnungen, verhängte Geldbußen von insgesamt 3.009 Mio. KRW (Moorim SP 59 Mio., Moorim Paper 573 Mio., Moorim P&P 948 Mio., Hansol Paper 556 Mio., Hankuk Paper 515 Mio., Hongwon Paper 358 Mio. KRW).

Behörde / Gericht

Korea Fair Trade Commission (KFTC)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Art. 40 Abs. 1 Nr. 8 MRFTA (Monopoly Regulation and Fair Trade Act)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Industrie und Maschinenbau

Veröffentlicht

09.09.2026

Originalbetrag 3.009.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 09.09.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Angreifer meldeten sich mit anderswo erbeuteten Zugangsdaten massenhaft auf den Websites von GS SHOP (Juni 2024 bis Februar 2025) und GS25 (Dezember 2024 bis Januar 2025) an und griffen Daten von 1.581.025 bzw. 79.128 Personen ab; GS Retail Co., Ltd. erkannte weder die gehäuften Anmeldeversuche aus denselben IP-Adressen noch die steigenden Fehlversuche und stoppte nach dem ersten Fund bei GS25 den parallelen Angriff auf GS SHOP nicht. Die Behörde stellte außerdem eine unzureichende Datenschutzorganisation und die um mehr als 72 Stunden verspätete Benachrichtigung von 1.599 weiteren Betroffenen fest, verhängte ein Bußgeld (Penalty Surcharge) von 12.836.000.000 KRW und ein Verwaltungsbußgeld von 3.000.000 KRW (zusammen 12.839.000.000 KRW) und ordnete Erkennungsmaßnahmen sowie eine Überprüfung der Datenschutzorganisation an.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Art. 34(1); Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

fahrlässig

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um 40 % wegen Kooperation, Abhilfe und Schutzbemühungen (ISMS-P-Zertifizierung, Selbstregulierung, Datenschutz-Folgenabschätzung); Erhöhung um 50 % wegen einer Verstoßdauer von über zwei Jahren.

Haftung von Führungskräften

Angeordnet wurde, eigenes Datenschutzpersonal einzusetzen sowie Befugnisse und Verantwortung des Datenschutzbeauftragten (CPO) klar festzulegen.

Veröffentlicht

31.08.2026

Originalbetrag 12.839.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 26.08.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Angreifer kopierten Zertifikate aus verlorenen Femtozellen der KT Corporation in selbst gebaute Geräte, waren damit rund elf Monate unbemerkt mit dem Mobilfunknetz verbunden, fingen Daten von 16.647 Teilnehmern ab (Telefonnummer, IMSI, IMEI) und lösten mit abgefangenen Bestätigungscodes unberechtigte Handyzahlungen von rund 240 Mio. KRW bei 368 Betroffenen aus. Die Behörde verhängte wegen mangelhafter Zugangskontrolle – zehn Jahre gültige Zertifikate, keine IP-Beschränkung, keine Erkennung fremder Cell-IDs – ein Bußgeld (Penalty Surcharge) von 53.979.000.000 KRW und ordnete Schwachstellenprüfungen und eine Stärkung des Datenschutzbeauftragten an.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Sanktion nach Art. 64-2(1) Nr. 9; gesonderter Beschluss 제2026-015-094호: Art. 63(1)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um weitere 50 % wegen Kooperation, Abhilfe, Entschädigung der Betroffenen und Schutzbemühungen; Erhöhung um 50 % wegen einer Verstoßdauer von über zwei Jahren.

Haftung von Führungskräften

Angeordnet wurde, Verantwortung und Rolle des Datenschutzbeauftragten (CPO) für das gesamte Unternehmen klar festzulegen und die Governance zu überarbeiten.

Veröffentlicht

30.07.2026

Originalbetrag 53.979.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 29.07.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Agoda Company Pte. Ltd. zeigte bei Flugbuchungen im Buchungsablauf nicht klar an, ob ein Ticket erstattungsfähig ist und welche Storno- oder Umbuchungsgebühren anfallen – die Angaben waren nur über einen Link zu Gepäckbestimmungen erreichbar –, und wies bei Unterkünften mit späterer Zahlung einen Preis ohne den möglichen Aufschlag von bis zu 5 % aus, teils in Fremdwährung. Die Behörde sah darin einen Verstoß gegen die Pflicht, wesentliche Bedingungen nach dem Telecommunications Business Act (전기통신사업법) zu erläutern, verhängte ein Bußgeld von 2.424.000.000 KRW und ordnete an, Bedingungen, Gebühren und Endpreise früh und klar anzuzeigen, Bildschirmabläufe intern vorab zu prüfen und koreanische Übersetzungen fachlich kontrollieren zu lassen.

Behörde / Gericht

Korea Media and Communications Commission (KMCC, 방송미디어통신위원회)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Informationspflichten im Onlinehandel

Rechtsgrundlage

Telecommunications Business Act (전기통신사업법) Art. 50(1) Nr. 5-2, Art. 52, Art. 53; Enforcement Decree Art. 42 i. V. m. Anhang 4

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Wiederholungsfall

nein

Mildernde Umstände

Minderung um 10 %, weil in den drei Jahren zuvor kein Bußgeld der Behörde verhängt worden war; die nach Beginn der Untersuchung teilweise freiwillig vorgenommenen Korrekturen wurden nicht als Milderungsgrund anerkannt.

Veröffentlicht

06.07.2026

Originalbetrag 2.424.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 06.07.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Ein ehemaliger Beschäftigter nutzte Signaturschlüssel für die Authentifizierung, auf die er während seiner Tätigkeit im Klartext zugreifen konnte und die nach seinem Ausscheiden weder erneuert noch vernichtet wurden, um gefälschte Tokens zu erstellen und von April bis November 2025 Daten von rund 33,22 Mio. Kundinnen und Kunden sowie Lieferdaten von rund 4,33 Mio. weiteren Personen abzurufen. Die Behörde verhängte gegen Coupang Corp. wegen unzureichender Sicherheitsmaßnahmen ein Bußgeld (Penalty Surcharge) von 423.575.000.000 KRW und wegen verspäteter Benachrichtigung und unterlassener Löschung ein Verwaltungsbußgeld von 16.800.000 KRW (zusammen 423.591.800.000 KRW) und rügte den Ausschluss des Datenschutzbeauftragten von der internen Untersuchung. Ein gesonderter Beschluss vom selben Tag verhängte weitere 201.106.000.000 KRW wegen Erhebung von Verhaltensdaten auf fremden Websites und Apps ohne Einwilligung.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Art. 34(1), Art. 21(1), Art. 31(6), Art. 63(2); Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

fahrlässig

Wiederholungsfall

ja

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um 50 % wegen Abhilfe, Entschädigung, Zertifizierung und Verhältnismäßigkeit; Erhöhungen um 25 % (Verstoßdauer), 30 % (mindestens zwei frühere Geldbußen) und 10 % (Behinderung der Untersuchung).

Haftung von Führungskräften

Der Datenschutzbeauftragte (CPO) war von interner Untersuchung und Veröffentlichung ausgeschlossen; angeordnet wurde eine Governance, die seine unabhängige Arbeit und seinen Zugang zu Informationen bei Vorfällen sichert.

Veröffentlicht

11.06.2026

Originalbetrag 423.591.800.000 KRW, umgerechnet zum EZB-Referenzkurs vom 10.06.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Coupang warb vom 26. August 2020 bis 15. Mai 2022 in seinem Onlineshop mit einem „WOW Member Price“ unter dem regulären Verkaufspreis, ohne offenzulegen, dass darin ein nur einmal einlösbarer Coupon für neue Mitglieder des kostenpflichtigen WOW-Abos eingerechnet war. Die KFTC wertete das Verschweigen dieser Information als täuschende Werbung, erließ eine Abhilfeanordnung und verhängte eine Geldbuße von 500 Mio. KRW, den gesetzlichen Höchstbetrag der Pauschalbuße.

Behörde / Gericht

Korea Fair Trade Commission (KFTC)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Irreführende Werbung und Preisangaben

Rechtsgrundlage

Art. 3 Abs. 1 Nr. 2 Act on Fair Labeling and Advertising (täuschende Werbung)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Veröffentlicht

09.06.2026

Originalbetrag 500.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 09.06.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Sieben Mehlhersteller mit zusammen 87,7 % des B2B-Markts stimmten laut KFTC von November 2019 bis Oktober 2025 bei 24 Gelegenheiten Zeitpunkt und Umfang von Preisänderungen sowie Liefermengen und Lieferrangfolgen gegenüber Großabnehmern wie Nudel- und Süßwarenherstellern ab, auch während sie staatliche Preisstabilisierungszuschüsse erhielten. Die KFTC ordnete neben der Unterlassung eine eigenständige Neufestsetzung der Preise an und verhängte Geldbußen von insgesamt 671.045 Mio. KRW, den bislang höchsten Betrag in einem Kartellfall: Sajo DongAOne 183.097 Mio., Daehan Flour Mills 179.273 Mio., CJ CheilJedang 131.701 Mio., Samyang 94.787 Mio., Daesun Flour Mills 38.448 Mio., Hantop 24.291 Mio., Samhwa Flour Mills 19.448 Mio. KRW.

Behörde / Gericht

Korea Fair Trade Commission (KFTC)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Art. 40 Abs. 1 Nr. 1 und Nr. 3 MRFTA (Monopoly Regulation and Fair Trade Act)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Lebensmittel und Landwirtschaft

Wiederholungsfall

ja

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

20.05.2026

Originalbetrag 671.045.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 20.05.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

KT Corporation hatte im eigenen Onlineshop für die Vorbestellung des Galaxy S25 erklärt, Vorteile gälten, sofern kein Ende der Aktion angezeigt werde, beschränkte sie dann aber auf die ersten 1.000 Bestellungen und stornierte einseitig 7.127 Vorbestellungen, die über einen YouTube-Kanal und Genie TV eingegangen und bereits vollständig abgeschlossen waren. Die Behörde wertete dies als falsche Angabe über wesentliche Bedingungen und als ungerechtfertigte Verweigerung des Vertragsschlusses nach dem Telecommunications Business Act (전기통신사업법), verhängte ein Bußgeld von 640.000.000 KRW und ordnete an, Zusatzvorteile bei Vorbestellungen künftig klar erkennbar anzugeben.

Behörde / Gericht

Korea Media and Communications Commission (KMCC, 방송미디어통신위원회)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Irreführende Werbung und Preisangaben

Rechtsgrundlage

Telecommunications Business Act (전기통신사업법) Art. 50(1) Nr. 5 und Nr. 5-2

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

08.05.2026

Originalbetrag 640.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 08.05.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die KoFIU stellte fest, dass die Kryptobörse Bithumb von August 2022 bis April 2025 45.772 Übertragungen von Kryptowerten mit 18 Kryptodienstleistern abwickelte, die ihrer Meldepflicht nicht nachgekommen waren, und in großer Zahl Pflichten zur Kundenidentifizierung und die daran geknüpften Transaktionsbeschränkungen verletzte; hinzu kamen Mängel bei Verdachtsmeldungen, Aufbewahrung und der Risikobewertung neuer Produkte. Sie ordnete am 17. März 2026 eine sechsmonatige teilweise Geschäftssperre an (keine Übertragung von Kryptowerten für Neukunden vom 27. März bis 26. September 2026) und verhängte eine Geldbuße von 36.873,5 Mio. KRW. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Korea Financial Intelligence Unit (KoFIU)

Rechtsgebiet

Geldwäsche und Terrorismusfinanzierung · Kundensorgfalt

Rechtsgrundlage

Art. 4, 5, 5-2, 5-4 und 8 Act on Reporting and Using Specified Financial Transaction Information; Art. 9, 10-6, 10-9 und 10-20 Durchführungsverordnung (Teilsperre wegen Art. 8 i. V. m. Art. 10-20 DVO: Geschäfte mit nicht gemeldeten Anbietern)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

17.03.2026

Originalbetrag 36.873.500.000 KRW, umgerechnet zum EZB-Referenzkurs vom 17.03.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die vier Banken tauschten laut KFTC über längere Zeit ihre vollständigen Beleihungsquoten (LTV) für Hypothekarkredite aus, je Bank zwischen 736 und 7.500 Einzelwerte, und passten ihre eigenen Quoten daran an; verfolgt wurde nur das Verhalten ab Dezember 2021, als das ausdrückliche Verbot des wettbewerbsbeschränkenden Informationsaustauschs in Kraft trat. Die KFTC erließ Unterlassungsanordnungen und Geldbußen von insgesamt 272.014 Mio. KRW (Kookmin 69.747 Mio., Shinhan 63.801 Mio., Woori 51.535 Mio., Hana 86.931 Mio. KRW), die erste Anwendung dieser Vorschrift.

Behörde / Gericht

Korea Fair Trade Commission (KFTC)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Art. 40 Abs. 1 Nr. 9 MRFTA i. V. m. Art. 44 Abs. 2 Nr. 3 Durchführungsverordnung (Monopoly Regulation and Fair Trade Act)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

21.01.2026

Originalbetrag 272.014.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 21.01.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die KoFIU stellte fest, dass Dunamu, Betreiber der Kryptobörse Upbit, von Oktober 2021 bis Oktober 2024 in 5.324.165 Fällen die Kundenidentifizierung nicht mit der gebotenen Sorgfalt durchführte, etwa bei nicht prüfbaren Ausweisen, bloßen Kopien oder Fotos von Ausweisen und leeren oder unplausiblen Adressen, und in 3.331.570 dieser Fälle dennoch Transaktionen zuließ. Hinzu kamen unterlassene Verdachtsmeldungen zu 15 Kunden mit Bezug zu Beschlussanträgen von Ermittlungsbehörden und ein Überwachungssystem, das auffällige Muster wie hohe Krypto-Einzahlungen mit anschließendem Verkauf und Auszahlung nicht erkannte; die KoFIU verhängte am 9. Dezember 2025 eine Geldbuße von 35.215,6 Mio. KRW. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Korea Financial Intelligence Unit (KoFIU)

Rechtsgebiet

Geldwäsche und Terrorismusfinanzierung · Kundensorgfalt

Rechtsgrundlage

Art. 4, 5, 5-2 und 8 Act on Reporting and Using Specified Financial Transaction Information; Art. 9, 10-4, 10-6 und 10-20 Durchführungsverordnung

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

09.12.2025

Originalbetrag 35.215.600.000 KRW, umgerechnet zum EZB-Referenzkurs vom 09.12.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Starbucks Corporation ließ Zulieferer in Korea im Rahmen ihres Ethical-Sourcing-Programms durch Elevate Hong Kong Holdings Limited prüfen, schloss dafür keinen Auftragsverarbeitungsvertrag mit allen gesetzlichen Inhalten und beaufsichtigte den Dienstleister nicht ausreichend; Elevate verarbeitete unnötig viele Daten von Zulieferbeschäftigten, etwa Personalunterlagen, Lohn- und Arbeitszeitaufzeichnungen, und übertrug sie aus den Betrieben heraus. Die Behörde ordnete an, solche Aufträge nur mit schriftlichem Vertrag mit allen Pflichtangaben zu vergeben und den Dienstleister zu schulen und zu überwachen, und empfahl Datenminimierung; gegen Elevate erging eine eigene Anordnung.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 26(1) und (4)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Lebensmittel und Landwirtschaft

Beschäftigte

10.000 und mehr

Veröffentlicht

27.11.2025

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Angreifer infizierten im Januar 2025 den Arbeitsrechner eines Beschäftigten des Online-Stellenportals Incruit mit Schadsoftware, übernahmen dessen Datenbankzugang und leiteten bis Februar 2025 Daten aller 7.275.843 Mitglieder sowie 54.475 gespeicherte Lebensläufe, Anschreiben und Zeugniskopien ab (insgesamt 438 GB). Trotz auffälliger Datenbankzugriffe außerhalb der Geschäftszeiten bemerkte das Unternehmen den Abfluss erst durch eine Erpressungsnachricht; bereits im Juli 2023 war es wegen mangelhafter Zugriffskontrollen sanktioniert worden. Die Behörde verhängte ein Bußgeld (Penalty Surcharge) von 463.000.000 KRW und ordnete die Benennung eines fachkundigen Datenschutzbeauftragten sowie einen Plan zur Vermeidung weiterer Vorfälle und zur Unterstützung der Betroffenen an.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29; Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Wiederholungsfall

ja

Mildernde Umstände

Minderung um 55 %, weil kein Vorteil erzielt wurde und das Unternehmen ein mittleres Unternehmen nach dem koreanischen KMU-Rahmengesetz ist, sowie um weitere 20 % wegen Kooperation, Abhilfe und Selbstregulierung; Erhöhung um 65 % wegen einer Verstoßdauer von über zwei Jahren und der Sanktion vom Juli 2023.

Haftung von Führungskräften

Angeordnet wurde, einen fachkundigen Datenschutzbeauftragten (CPO) neu zu benennen und seine Verantwortung klar festzulegen.

Veröffentlicht

23.10.2025

Originalbetrag 463.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 22.10.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Angreifer, die seit August 2021 Schadsoftware in Systemen der SK Telecom Co., Ltd. platziert hatten, entwendeten im April 2025 vom Home Subscriber Server 9,82 GB Daten zu rund 23 Mio. Teilnehmern, darunter USIM-Authentifizierungsschlüssel und IMSI. Die Behörde stellte fehlende Netztrennung und Zugangskontrollen, nicht sicher verschlüsselte Authentifizierungsdaten, unterlassene Sicherheitsupdates, eine unzureichende Aufstellung des Datenschutzbeauftragten und eine verspätete Benachrichtigung der Betroffenen fest. Sie verhängte ein Bußgeld (Penalty Surcharge) von 134.791.000.000 KRW und ein Verwaltungsbußgeld von 9.600.000 KRW (zusammen 134.800.600.000 KRW) sowie Anordnungen zu Sicherheit, Governance und Aufsicht über Dienstleister und Vertriebspartner.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Art. 31(1) und (3), Art. 34(1); Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

ja

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um weitere 50 % wegen abgeschlossener Abhilfe, Entschädigung der Betroffenen und Schutzbemühungen; Erhöhung um 50 % wegen einer Verstoßdauer von über zwei Jahren. Kooperation wurde wegen verzögerter Vorlage von Unterlagen nicht mildernd berücksichtigt.

Haftung von Führungskräften

Es fehlte ein Datenschutzbeauftragter (CPO) mit Gesamtverantwortung; angeordnet wurde, Verantwortung und Rolle des CPO klar festzulegen und die Governance neu aufzustellen.

Veröffentlicht

28.08.2025

Originalbetrag 134.800.600.000 KRW, umgerechnet zum EZB-Referenzkurs vom 27.08.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die beiden führenden Plattformen für Unterkunftsbuchungen verkauften kleinen und mittleren Beherbergungsbetrieben Werbepakete, deren Preis Rabattcoupons für Gäste enthielt, und ließen nicht eingelöste Coupons ohne Ausgleich verfallen (Yanolja am Ende der Vertragslaufzeit, Yeogi Eottae durch eine Gültigkeit von nur einem Tag). Die KFTC wertete dies als Missbrauch einer überlegenen Verhandlungsposition, erließ Abhilfe- und Mitteilungsanordnungen und verhängte Geldbußen von insgesamt 1.540 Mio. KRW: 540 Mio. KRW gegen Nol Universe (Yanolja) und 1.000 Mio. KRW, den gesetzlichen Höchstbetrag der Pauschalbuße, gegen Yeogi Eottae.

Behörde / Gericht

Korea Fair Trade Commission (KFTC)

Rechtsgebiet

Kartellrecht und Wettbewerb · Missbrauch von Marktmacht

Rechtsgrundlage

Art. 45 Abs. 1 Nr. 6 MRFTA i. V. m. Art. 52 und Anhang 2 Nr. 6 lit. d Durchführungsverordnung (Monopoly Regulation and Fair Trade Act)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Veröffentlicht

12.08.2025

Originalbetrag 1.540.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 12.08.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die KFTC stellte fest, dass Musinsa, Shinsung Tongsang, E-Land World und ITX Korea (Betreiber von ZARA in Korea) Lederprodukte, auch solche aus synthetischen Materialien, mit pauschalen Umweltbegriffen wie „eco“ bewarben, ohne ausreichende Belege zu haben, und wertete dies als falsche, übertriebene und irreführende Werbung nach dem Labeling and Advertising Act. Weil alle vier die Verstöße einräumten und selbst korrigierten, beließ sie es bei Verwarnungen, die zwischen dem 2. April und dem 8. Mai 2025 ergingen (Shinsung Tongsang 2. April, Musinsa 10. April, E-Land World und ITX Korea 8. Mai); nach Angaben der KFTC war es der erste sanktionierte Greenwashing-Fall in der Modebranche.

Behörde / Gericht

Korea Fair Trade Commission (KFTC)

Rechtsgebiet

Umwelt und Nachhaltigkeit · Irreführende Umwelt- und Nachhaltigkeitsaussagen

Rechtsgrundlage

Art. 3 Abs. 1 Nr. 1 Act on Fair Labeling and Advertising (Labeling and Advertising Act; falsche oder übertriebene Werbung)

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Mildernde Umstände

Alle vier Unternehmen räumten die Verstöße ein und korrigierten sie selbst; die KFTC beließ es deshalb bei Verwarnungen.

Veröffentlicht

15.05.2025

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die Vertriebsstelle Incheon der Woori Card Co., Ltd. fragte von Juli 2022 bis April 2024 im Händlerverwaltungssystem Daten von mindestens 207.538 Inhabern von Akzeptanzstellen ab, darunter Resident Registration Numbers, und gab sie per Chat und E-Mail an Kartenvermittler weiter, die damit neue Kreditkarten bewarben; 74.692 der Betroffenen hatten nicht in Werbung eingewilligt. Die Behörde beanstandete zudem zu weit gefasste Zugriffsrechte und dass das Unternehmen trotz monatlich über 30 Mio. Abrufen und Downloads nicht eingriff, und verhängte ein Bußgeld (Penalty Surcharge) von 13.451.000.000 KRW. Angeordnet wurden eine Überprüfung der internen Kontrollen, Schulung und Aufsicht der Beschäftigten, minimierte Zugriffsrechte und regelmäßige Protokollkontrollen.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 18(1), Art. 24-2(1), Art. 29; Sanktion nach Art. 64-2(1) Nr. 1

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Minderung um 50 % wegen einer ISMS-P-Zertifizierung; Erhöhung um 25 % wegen einer Verstoßdauer von rund einem Jahr und neun Monaten.

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

27.03.2025

Originalbetrag 13.451.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 26.03.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die drei Mobilfunknetzbetreiber vereinbarten laut KFTC im November 2015, die Netto-Zu- und -Abgänge bei Neukunden mit Rufnummernmitnahme so auszugleichen, dass sie sich nicht bei einem Anbieter ballen, und setzten dies bis Ende September 2022 um, indem sie ihre Verkaufsanreize für Händler untereinander abstimmten; die Informationen tauschten sie in einer gemeinsamen Marktbeobachtungsgruppe mit dem Branchenverband KAIT aus. Die KFTC erließ Unterlassungsanordnungen und setzte vorläufig Geldbußen von insgesamt 114.026 Mio. KRW fest (SK Telecom 42.662 Mio., KT 33.029 Mio., LG Uplus 38.334 Mio. KRW).

Behörde / Gericht

Korea Fair Trade Commission (KFTC)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Art. 40 Abs. 1 Nr. 3 MRFTA (Monopoly Regulation and Fair Trade Act)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

12.03.2025

Originalbetrag 114.026.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 12.03.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Kakaopay Corp. übermittelte 2018 dreimal Daten aller Nutzer und von Juni 2019 bis Mai 2024 täglich Daten von rund 40 Mio. Nutzern ohne Einwilligung an Alipay in Singapur, das damit für Apple einen Wert zur Wahrscheinlichkeit fehlender Deckung bei gebündelten App-Store-Zahlungen (NSF-Score) berechnete. Die Behörde wertete dies als unzulässige Übermittlung ins Ausland, verhängte ein Bußgeld (Penalty Surcharge) von 5.968.000.000 KRW und ordnete Abhilfe sowie die Veröffentlichung der Entscheidung auf der eigenen Website an. In getrennten Beschlüssen desselben Tages erhielt Apple ein Bußgeld von 2.405.000.000 KRW und ein Verwaltungsbußgeld von 2.200.000 KRW, Alipay die Anordnung, das Bewertungsmodell zu löschen.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 28-8(1); Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Minderung um 30 % wegen abgeschlossener Abhilfe, Kooperation und ISMS-P-Zertifizierung; Erhöhung um 50 % wegen einer Verstoßdauer von über zwei Jahren (Juni 2019 bis Mai 2024).

Veröffentlicht

23.01.2025

Originalbetrag 5.968.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 22.01.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Über einen für Komfortzwecke geöffneten Port zwischen internem und externem Netz drangen Angreifer in den E-Justiz-Server der National Court Administration ein und entwendeten 1.014 GB Prozessunterlagen; in den wiederhergestellten 4,7 GB fanden sich Daten von 17.998 Personen einschließlich Resident Registration Numbers. Die Behörde beanstandete unverschlüsselt gespeicherte Dokumente, unveränderte leicht zu erratende Initialpasswörter von Administratorkonten, fehlende Sicherheitssoftware auf einem Server und eine Meldung erst im Dezember 2023, obwohl Hinweise auf den Abfluss seit April 2023 vorlagen. Sie verhängte ein Bußgeld (Penalty Surcharge) von 207.000.000 KRW und ein Verwaltungsbußgeld von 6.000.000 KRW (zusammen 213.000.000 KRW), empfahl Disziplinarmaßnahmen und Verbesserungen und veröffentlicht die Verhängung des Verwaltungsbußgelds ein Jahr lang auf ihrer Website.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 24(3), Art. 24-2(2), Art. 29, Art. 34(1) und (3); Sanktion nach Art. 34-2 a. F.

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Verschulden

fahrlässig

Mildernde Umstände

Nach einer Erhöhung um 20 % wurde der Betrag um 25 % gemindert; berücksichtigt wurden dabei Schutzbemühungen wie eine ISMS-Zertifizierung (2020–2023).

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

09.01.2025

Originalbetrag 213.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 08.01.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Kakao Mobility, mit einem Anteil von 96 % (2022) marktbeherrschend bei der App-basierten allgemeinen Taxivermittlung, verlangte laut KFTC von vier konkurrierenden Franchise-Taxibetreibern (UT, TADA, Banban, Macaron Taxi) Partnerschaftsverträge mit Echtzeitzugang zu geschäftssensiblen Daten und schloss deren Fahrer andernfalls von der allgemeinen Vermittlung über Kakao T aus. Nach der Plenarberatung vom 25. September 2024 ordnete die KFTC Abhilfe an und nannte eine vorläufige Geldbuße von 72,4 Mrd. KRW; nachdem die Securities and Futures Commission die Nettobilanzierung der Umsätze festgelegt hatte, gab sie am 17. Dezember 2024 die endgültige Festsetzung der Geldbuße auf 15,1 Mrd. KRW bekannt.

Behörde / Gericht

Korea Fair Trade Commission (KFTC)

Rechtsgebiet

Kartellrecht und Wettbewerb · Missbrauch von Marktmacht

Rechtsgrundlage

Art. 5 Abs. 1 Nr. 3 und Art. 45 Abs. 1 Nr. 6 MRFTA (Monopoly Regulation and Fair Trade Act)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Veröffentlicht

17.12.2024

Originalbetrag 15.100.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 17.12.2024.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Hyundai Marine & Fire Insurance zeigte Nutzern seines Online-Prämienrechners für Kfz-Versicherungen, die eine Einwilligung in Produktwerbung abgelehnt hatten, ein erneutes Pop-up, vertauschte im Juli 2022 die Wirkung von dessen Schaltflächen und nannte darin weder die Datenverarbeitung noch die Pflichtangaben; die so erlangten Zustimmungen waren unwirksam, und andere Versicherer übernahmen das Muster. Die Behörde verhängte ein Bußgeld (Penalty Surcharge) von 6.198.000.000 KRW und ordnete eine rechtmäßige Einwilligung, die Löschung von Daten aus abgebrochenen Prämienberechnungen sowie stärkere interne Kontrollen und eigenständige Befugnisse für den Datenschutzbeauftragten an. In derselben Sitzung wurden elf weitere Direktversicherer sanktioniert, darunter AXA General Insurance (2.715.000.000 KRW) und Hana Insurance (273.000.000 KRW). Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법, frühere Fassung) Art. 39-3(1), Art. 31(2), Art. 21(1); Sanktion nach Art. 39-15(1) Nr. 6 a. F.

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Wiederholungsfall

nein

Mildernde Umstände

Minderung um 50 %, weil in den drei Jahren zuvor keine Geldbuße verhängt worden war, um weitere 30 % u. a. wegen Kooperation in der Untersuchung und abschließend um 40 % nach Beratung der Kommission; Erhöhung um 25 % wegen einer Verstoßdauer von Juli 2022 bis September 2023.

Haftung von Führungskräften

Marketing und Direktvertrieb konnten die Einwilligungsstrecke ohne jede Beteiligung des Datenschutzbeauftragten (CPO) gestalten; die Behörde stellte einen Verstoß gegen Art. 31(2) a. F. fest und ordnete an, dem CPO unabhängige Befugnisse zu geben.

Veröffentlicht

12.12.2024

Originalbetrag 6.198.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 11.12.2024.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Nach einer rund 75-minütigen Anmeldestörung bei Instagram am 22.03.2024, die etwa 3,35 Mio. Nutzer in Korea betraf, meldete Meta Platforms den Vorfall trotz dreimaliger Nachfrage des Ministeriums erst 24 Stunden und 19 Minuten nach Beginn. Vorgeschrieben ist eine Meldung binnen 10 Minuten und ein schriftlicher Bericht binnen zwei Stunden; das Ministerium verhängte nach dem Framework Act on Broadcasting and Communications Development (방송통신발전 기본법) ein Verwaltungsbußgeld von 5.000.000 KRW. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Ministry of Science and ICT (MSIT, 과학기술정보통신부)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Framework Act on Broadcasting and Communications Development (방송통신발전 기본법) Art. 38; Basisplan zum Management von Kommunikationsstörungen 2024

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Beschäftigte

10.000 und mehr

Veröffentlicht

28.11.2024

Originalbetrag 5.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 28.11.2024.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Meta Platforms, Inc. erhob über Facebook-Profile und das Nutzungsverhalten sensible Merkmale von rund 980.000 Nutzern in Korea – etwa Religion, politische Haltung oder gleichgeschlechtliche Ehe – und stellte daraus gebildete Werbethemen rund 4.000 Werbetreibenden zur Verfügung, ohne eine gesonderte Einwilligung einzuholen. Zudem lehnte Meta Auskunftsersuchen ohne berechtigten Grund ab und ließ eine nicht mehr genutzte Seite zur Kontowiederherstellung online, über die mit gefälschten Ausweisen Passwörter zurückgesetzt und Daten von zehn Nutzern abgegriffen wurden. Die Behörde verhängte ein Bußgeld (Penalty Surcharge) von 21.613.000.000 KRW und ein Verwaltungsbußgeld von 10.200.000 KRW (zusammen 21.623.200.000 KRW) sowie Abhilfeanordnungen.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법, frühere Fassung) Art. 23(1), Art. 29, Art. 35(3)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Beschäftigte

10.000 und mehr

Veröffentlicht

05.11.2024

Originalbetrag 21.623.200.000 KRW, umgerechnet zum EZB-Referenzkurs vom 04.11.2024.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink