Zwanzig US-Bundesstaaten haben inzwischen umfassende Datenschutzgesetze verabschiedet, und seit dem 1. Januar 2026 sind Indiana, Kentucky und Rhode Island neu dazugekommen. Wenn Sie ein kleines Unternehmen führen und Ihr gedankliches Modell von „Datenschutz-Compliance" noch immer „das ist eine Sache für Kalifornien, und ich mache keine 25 Millionen Dollar Umsatz, also betrifft mich das nicht" lautet, lohnt sich ein zweiter Blick. Die Regeln, die für einen kleinen Arbeitgeber am wichtigsten sind, drehen sich längst nicht mehr nur um Ihre Kunden – sie drehen sich um die Sozialversicherungsnummern, Bankverbindungen, medizinischen Vermerke und biometrischen Zeiterfassungsdaten Ihrer eigenen Mitarbeiter, die irgendwo in Ihrem HR-System liegen (sei es in einem Ordner oder einem SaaS-Dashboard).
Verwirrend wird es dadurch, dass diese Gesetze „Mitarbeiterdaten" von Bundesstaat zu Bundesstaat völlig unterschiedlich behandeln. Kalifornien integriert Personalakten in sein allgemeines Verbraucherdatenschutzgesetz. Colorado und Virginia nehmen Beschäftigungsdaten größtenteils von ihren umfassenden Datenschutzgesetzen aus – doch Colorado hat gerade eine enge, aber weitreichende Ausnahme für biometrische Daten eingeführt, die viele kleine Unternehmen überrascht. Wenn Sie als Buchhalter, Betriebsleiter oder Inhaber mit der Lohnabrechnung zu tun haben, erfahren Sie hier, was sich tatsächlich geändert hat, für wen es gilt und was Sie tun sollten, bevor eine Mitarbeiterbeschwerde (oder ein Klägeranwalt) daraus Ihr Problem macht.
Warum „Mitarbeiterdaten" bislang ein blinder Fleck waren
Als die US-Bundesstaaten begannen, umfassende Datenschutzgesetze zu verabschieden – Virginia und Colorado 2021, die meisten übrigen in den Jahren danach –, übernahmen fast alle eine ähnliche Struktur: Sie definierten den Begriff „Verbraucher", räumten Verbrauchern Rechte ein (Auskunft, Löschung, Berichtigung, Widerspruch gegen den Verkauf) und verpflichteten Unternehmen, die personenbezogene Daten kontrollieren, diese Rechte zu respektieren.
Doch fast alle diese Gesetze – außer dem kalifornischen – definieren „Verbraucher" ausdrücklich so, dass Personen, die im Rahmen eines Beschäftigungsverhältnisses handeln, ausgeschlossen sind. Colorados Gesetz sagt das direkt, Virginias ebenso. Die Logik dahinter: Beschäftigungsverhältnisse werden bereits durch Arbeitsrecht geregelt, weshalb der Gesetzgeber keine doppelten Rahmenwerke schaffen wollte. Die praktische Folge: Ein Angestellter in Richmond oder Denver kann sich in der Regel nicht auf das Verbraucherdatenschutzgesetz seines Bundesstaates berufen, um von seinem Arbeitgeber die Löschung seiner Personalakte, die Korrektur einer Leistungsbeurteilung oder eine Erklärung darüber zu verlangen, was ein internes Analysetool über ihn geschlussfolgert hat.
Kalifornien schlug den entgegengesetzten Weg ein. Als die Ausnahme für Mitarbeiterdaten im California Consumer Privacy Act am 1. Januar 2023 auslief, weitete der California Privacy Rights Act das volle Spektrum an Verbraucherrechten – Auskunft, Löschung, Berichtigung, Widerspruch und mehr – auf Angestellte, Bewerber und unabhängige Auftragnehmer aus. Für einen erfassten kalifornischen Arbeitgeber hat ein Mitarbeiter heute im Wesentlichen dieselben Rechte an seiner Personalakte wie ein Kunde an seiner Kaufhistorie.
Diese Aufspaltung ist wichtig, weil sie bedeutet, dass „Bin ich betroffen?" keine einheitliche landesweite Antwort hat – es ist eine Frage, die sich von Bundesstaat zu Bundesstaat und zunehmend von Datentyp zu Datentyp unterschiedlich beantwortet.
Kalifornien: Der einzige Bundesstaat, in dem HR-Daten vollständig erfasst sind
Wenn Sie Angestellte oder Auftragnehmer haben, die kalifornische Einwohner sind, sollten Sie hier ansetzen.
Wer betroffen ist. Der CCPA/CPRA gilt für gewinnorientierte Unternehmen, die in Kalifornien geschäftlich tätig sind und mindestens eine von drei Schwellen erfüllen: (1) mehr als 25 Millionen Dollar Jahresbruttoumsatz, (2) Kauf, Verkauf oder Weitergabe der personenbezogenen Daten von 100.000 oder mehr kalifornischen Verbrauchern oder Haushalten pro Jahr, oder (3) 50 % oder mehr des Jahresumsatzes stammen aus dem Verkauf oder der Weitergabe personenbezogener Daten. Viele kleine Unternehmen gehen davon aus, dass die Umsatzgrenze von 25 Millionen Dollar sie automatisch ausnimmt – doch die zweite und dritte Schwelle haben überhaupt nichts mit Umsatz zu tun, und ein Unternehmen, das Ad-Tech-Pixel oder Analysetools einsetzt, die Daten mit Dritten „teilen", kann die 100.000-Personen-Schwelle schneller überschreiten als erwartet, sobald Mitarbeiter, Bewerber und Website-Besucher gemeinsam gezählt werden.
Was jetzt speziell für HR-Daten erforderlich ist. Erfasste Arbeitgeber müssen Mitarbeitern und Bewerbern einen Datenschutzhinweis geben, der beschreibt, welche Kategorien personenbezogener Daten sie erfassen und warum, Anfragen auf Auskunft, Berichtigung oder Löschung personenbezogener Daten nachkommen (vorbehaltlich gesetzlicher Aufbewahrungspflichten – Steuer- oder Lohnunterlagen, die Sie aufbewahren müssen, dürfen Sie nicht löschen) und vor bestimmten Verwendungen sensibler personenbezogener Daten wie Sozialversicherungsnummern, präziser Standortdaten oder Gesundheitsdaten eine Einwilligung einholen.
Die Änderung 2026, die Sie im Blick behalten sollten: Risikobewertungen für automatisierte Tools. Seit dem 1. Januar 2026 verlangt Kalifornien eine dokumentierte Datenschutz-Risikobewertung, bevor automatisierte Entscheidungstechnologie (ADMT) eingesetzt wird, um eine „bedeutsame Entscheidung" über einen Bewerber, Angestellten oder Auftragnehmer zu treffen – man denke an Software zur Lebenslauf-Vorprüfung, die Bewertung von Videointerviews oder algorithmische Dienstplan- und Leistungstools. Die vollständige ADMT-Compliance (etwa die Möglichkeit für Beschäftigte, einer automatisierten Entscheidung zu widersprechen oder sie anzufechten) wird bis zum 1. Januar 2027 schrittweise eingeführt, doch die Bewertungspflicht für Verarbeitungen vor 2026 ist bis Ende 2027 fällig. Wenn Ihr Unternehmen ein Bewerbermanagementsystem mit „KI-gestütztem" Lebenslauf-Ranking nutzt oder ein Workforce-Management-Tool, das automatisch Leistungsbewertungen erstellt, ist genau dieser Teil des Gesetzes leicht zu übersehen, weil er in der eingesetzten Software steckt und nicht im Papierkram.
Colorado: Beschäftigungsdaten sind ausgenommen – außer bei biometrischen Daten
Das Colorado Privacy Act schließt, ähnlich wie das Gesetz Virginias, im Allgemeinen Informationen über eine Person in ihrer Eigenschaft als Bewerber oder Angestellter aus. Diese Ausnahme bleibt weiterhin die generelle Regel. Was sich geändert hat, ist eine enge, aber folgenreiche Ergänzung: HB24-1130, der Privacy of Biometric Identifiers and Data Act, in Kraft seit dem 1. Juli 2025.
Dieses Gesetz streicht die üblichen Größenschwellen komplett – es spielt keine Rolle, wie viele Daten von Einwohnern Colorados Sie verarbeiten; sobald Sie ein biometrisches Merkmal (einen Fingerabdruck-Scan, ein Gesichtserkennungs-Login, eine Handgeometrie-Zeiterfassung) eines Einwohners Colorados erfassen, darunter auch von einem Angestellten, sind Sie erfasst. Vor der Erhebung müssen Sie einen Hinweis geben und eine ausdrückliche, spezifische und informierte Einwilligung einholen – nicht bloß eine Zeile, die im Mitarbeiterhandbuch versteckt ist. Arbeitgeber dürfen die Beschäftigung nur für eng begrenzte Sicherheitszwecke von einer biometrischen Einwilligung abhängig machen, etwa für den Zugang zu einer gesicherten Einrichtung oder gesicherter Hardware; Sie dürfen sie nicht verlangen, um den Standort eines Mitarbeiters zu verfolgen oder zu überwachen, wie lange er eine Anwendung nutzt. Zudem benötigen Sie eine schriftliche, öffentlich zugängliche Richtlinie, die Aufbewahrungsfristen, Verfahren bei Sicherheitsvorfällen und Löschpraktiken für biometrische Daten abdeckt.
Wen das tatsächlich betrifft: kleine Hersteller, Lagerhäuser, Restaurants und Kliniken, die Fingerabdruck- oder Gesichtserkennungs-Zeiterfassungssysteme statt Badge-Scannern verwenden – eine beliebte Methode, um „Kollegen stempeln für Kollegen" zu verhindern – sowie jedes Unternehmen mit biometrischem Gebäudezugang oder POS-Logins. Wenn das auf Sie zutrifft, greift die Argumentation „wir machen keine 25 Millionen Umsatz", die vor den meisten Datenschutzgesetzen schützt, hier überhaupt nicht.
Virginia: Den Trend beobachten, (noch) keine Pflicht
Das Consumer Data Protection Act Virginias behält seine generelle Ausnahme für Beschäftigungsdaten bei, und es gibt 2026 kein virginisches Gegenstück zu Colorados Sonderregelung für biometrische Daten. Der Grund, trotzdem aufmerksam zu bleiben, liegt im Muster: Colorado hat einen Teil der Beschäftigungsausnahme herausgelöst, sobald ein bestimmter Datentyp (biometrische Daten) zu einem sichtbaren Risiko wurde. Illinois verfügt seit über einem Jahrzehnt über ein eigenes Gesetz zum Schutz biometrischer Daten mit einem privaten Klagerecht, das einige der größten arbeitsrechtlichen Datenschutzvergleiche des Landes hervorgebracht hat. Dass Virginia oder ein anderer Bundesstaat eine eigene Ausnahme von der Mitarbeiterdaten-Ausnahme schafft – für biometrische Daten, für KI-Einstellungstools oder für etwas anderes –, ist nur eine Frage der Zeit, nicht des Ob. Sich jetzt schon anzugewöhnen zu dokumentieren, welche Mitarbeiterdaten Sie erheben und warum, bedeutet, dass Sie nicht in Hektik geraten, wenn Ihr Bundesstaat nachzieht.
Eine praktische Checkliste für kleine Arbeitgeber
Sie brauchen keine eigene Compliance-Abteilung, um die Grundlagen richtig zu machen:
- Erfassen Sie, was Sie tatsächlich sammeln. Sozialversicherungsnummern und Bankdaten für die Lohnabrechnung, Gesundheitsinformationen für Urlaubsanträge, biometrische Daten von jedem Zeiterfassungs- oder Zugangssystem und alles, was eine HR- oder Bewerbermanagement-Plattform automatisch ableitet (etwa ein „Engagement-Score" oder ein automatisiertes Bewerber-Ranking).
- Prüfen Sie Ihre Zeiterfassung. Scannt sie einen Fingerabdruck oder ein Gesicht, brauchen Sie höchstwahrscheinlich eine schriftliche Biometrie-Richtlinie und eine dokumentierte Einwilligung – unabhängig von Ihrem Umsatz.
- Lesen Sie Ihre Lieferantenverträge. Lohnabrechnungsanbieter, Hintergrundprüfungsdienste und Bewerbermanagementsysteme sollten sich vertraglich verpflichten, die Daten zu schützen, die Sie ihnen anvertrauen – „SOC-2-konform" ist ein Anfang, aber kein Ersatz für eine schriftliche Datenverarbeitungsvereinbarung.
- Wenn Sie kalifornische Mitarbeiter haben, richten Sie jetzt den Anfrageprozess ein. Jemand muss dafür zuständig sein, Auskunfts-, Berichtigungs- oder Löschanfragen innerhalb der gesetzlichen Frist zu bearbeiten, und jemand muss wissen, welche Unterlagen Sie trotz einer Löschanfrage gesetzlich aufbewahren müssen (zum Beispiel Steuerunterlagen).
- Verlassen Sie sich nicht dauerhaft darauf, dass „der Bundesstaat nimmt Beschäftigungsdaten aus". In den meisten Bundesstaaten stimmt das heute noch, doch Colorado hat gerade gezeigt, wie schnell eine enge Ausnahme entstehen kann.
Wo die Buchhaltung in die Compliance-Geschichte passt
Bei all dem geht es eigentlich gar nicht um Buchhaltungssoftware – es geht darum, zu wissen, wo welche sensiblen Daten liegen, und im Fall der Fälle gegenüber einer Behörde oder einem Mitarbeiter belegen zu können, wie Sie damit umgehen. Das ist ebenso sehr ein Frage der Dokumentation wie eine rechtliche. Wenn Ihre Finanzunterlagen in undurchsichtigen, proprietären Formaten verstreut über verschiedene Tools liegen, ist es wirklich schwer zu prüfen, wer worauf Zugriff hat, oder zu belegen, dass Sie Daten nicht länger aufbewahren, als Ihre Richtlinie vorsieht.
Beancount.io verfolgt den entgegengesetzten Ansatz: Klartext-Buchhaltung mit Versionskontrolle, bei der jeder Eintrag transparent, prüfbar und unter Ihrer Kontrolle ist – kein Black-Box-Anbieter, der Ihre Finanzhistorie als Geisel hält. Es wird Ihnen keine Einwilligungsrichtlinie für biometrische Daten schreiben, aber wenn „Wer kann diese Daten sehen, und wie lange" eine Frage ist, die Sie für Ihr gesamtes Unternehmen klar beantworten können möchten, ist der Start mit Finanzunterlagen, die vollständig Ihnen gehören, ein guter Ort, um sich diese Gewohnheit anzueignen. Jetzt kostenlos starten und erleben, wie Klartext-Buchhaltung in der Praxis aussieht.