Wenn du ein kleines Unternehmen in Kalifornien betreibst und bisher dachtest, Verbraucherdatenschutzrecht sei ein Problem für Tech-Giganten, ist 2026 das Jahr, in dem diese Annahme nicht mehr trägt. Die Mitarbeiter- und Bewerberdaten, die dein Unternehmen jeden Tag sammelt – Sozialversicherungsnummern auf einem W-4-Formular, eine Fingerabdruck-Stempeluhr, ein Attest für eine FMLA-Beurlaubung, sogar der Lebenslauf, den dir ein Bewerber per E-Mail geschickt hat – fällt jetzt eindeutig unter Kaliforniens Datenschutzrecht, und eine neue Reihe staatlicher Vorschriften, die am 1. Januar 2026 in Kraft treten, hebt die Anforderungen an den Umgang mit diesen Daten erneut an.
Wie Mitarbeiterdaten unter ein Datenschutzgesetz für „Verbraucher" fielen
Als der California Consumer Privacy Act (CCPA) ursprünglich verabschiedet wurde, bekamen Arbeitgeber eine Verschnaufpause: Eine Ausnahmeregelung sorgte dafür, dass Daten über die eigenen Mitarbeiter, Bewerber und Auftragnehmer größtenteils ausgeklammert blieben, während der Gesetzgeber separate, arbeitsrechtsspezifische Regeln ausarbeitete. Diese Ausnahme war von Anfang an befristet und lief am 1. Januar 2023 aus, als die Änderungen durch den California Privacy Rights Act (CPRA) vollständig in Kraft traten. Seitdem werden Personalakten, Gehaltsabrechnungsdaten, Daten zur Sozialleistungsanmeldung und Bewerbermanagementsysteme genauso behandelt wie die Kaufhistorie eines Kunden: als personenbezogene Daten, die den Zugriffs-, Lösch-, Berichtigungs- und Offenlegungsregeln des Gesetzes unterliegen.
Dieser eine Stichtag hat einen riesigen Teil der alltäglichen Geschäftsunterlagen neu geprägt. Jedes I-9-Formular, jedes Formular für die Direktüberweisung des Gehalts, jede Leistungsbeurteilung, jeder biometrische Zeiterfassungsscan – all das sind jetzt personenbezogene Daten, die ein Mitarbeiter gesetzlich einsehen, berichtigen und in vielen Fällen löschen lassen darf.
Wer tatsächlich zur Einhaltung verpflichtet ist
Nicht jedes kleine Unternehmen ist in der Pflicht, und die Schwellenwerte sind wichtiger, als es die Schlagzeilen vermuten lassen. Der CPRA gilt für gewinnorientierte Unternehmen, die in Kalifornien Geschäfte tätigen und personenbezogene Daten kalifornischer Einwohner (einschließlich Mitarbeiter) erheben, sofern mindestens eines der folgenden Kriterien zutrifft:
- Jährlicher Bruttoumsatz über $25 Millionen (Stand: 1. Januar des Kalenderjahres), oder
- Kauft, verkauft oder gibt weiter die personenbezogenen Daten von 100.000 oder mehr kalifornischen Verbrauchern, Haushalten oder Geräten pro Jahr, oder
- Erzielt 50 % oder mehr des Jahresumsatzes aus dem Verkauf oder der Weitergabe personenbezogener Daten von Verbrauchern
Viele wirklich kleine Arbeitgeber liegen unter allen drei Schwellenwerten und sind nicht betroffen. Aber der zweite Test – 100.000 Verbraucher, Haushalte oder Geräte – erfasst mehr Unternehmen, als Inhaber erwarten würden, denn „Geräte" können auch Website-Besucher umfassen, die per Cookie verfolgt werden, nicht nur Kunden oder Mitarbeiter. Ein zehnköpfiges Beratungsunternehmen mit einem populären Blog oder ein E-Commerce-Shop mit hohem Besucheraufkommen kann diesen Schwellenwert weit vor der Einstellung des hundertsten Mitarbeiters überschreiten. Wenn du dir nicht sicher bist, auf welcher Seite dieser Grenze du stehst, solltest du das mit einem Anwalt klären, bevor du davon ausgehst, dass das Gesetz für dich nicht gilt – die unten beschriebenen Bußgeldrisiken sind real genug, um Raten zu einer schlechten Strategie zu machen.
Welche Rechte Mitarbeiter jetzt tatsächlich haben
Bei betroffenen Arbeitgebern erhalten aktuelle und ehemalige Mitarbeiter, Bewerber und unabhängige Auftragnehmer dieselben Kernrechte, die Kalifornien auch Verbrauchern einräumt:
- Recht auf Wissen, welche Kategorien personenbezogener Daten du über sie erhebst und warum
- Recht auf Zugriff auf eine Kopie der konkreten Daten, die du über sie gespeichert hast
- Recht auf Berichtigung unrichtiger Informationen
- Recht auf Löschung ihrer personenbezogenen Daten, vorbehaltlich Ausnahmen (du darfst weiterhin behalten, was du für Steuerunterlagen, gesetzliche Vorgaben oder einen laufenden Rechtsanspruch benötigst)
- Recht auf Einschränkung der Nutzung sensibler personenbezogener Daten – eine Kategorie, die Sozialversicherungsnummern, Details zu Finanzkonten, präzise Geolokalisierung, rassische oder ethnische Herkunft, Gesundheitsdaten und zu Identifikationszwecken erfasste biometrische Daten umfasst
Bei dieser letzten Kategorie werden viele kleine Arbeitgeber überrascht. Biometrische Zeiterfassungssysteme sind im Einzelhandel, in Restaurants, Lagerhäusern und im Baugewerbe weit verbreitet, weil sie das Einstempeln für Kollegen erschweren. Nach dem CPRA gilt ein Fingerabdruck- oder Handscan, der zum Ein- und Ausstempeln verwendet wird, als „sensible personenbezogene Daten" – das bedeutet strengere Informations- und Nutzungsbeschränkungspflichten als bei einem gewöhnlichen Stundenzettel.
In der Praxis bedeutet Compliance eine schriftliche Datenschutzerklärung, die erklärt, was du erhebst und warum, ein Verfahren, mit dem Mitarbeiter Anfragen stellen können, und – das ist der Punkt, an dem viele stolpern – mindestens zwei festgelegte Wege zur Einreichung dieser Anfragen, von denen in der Regel einer eine gebührenfreie Telefonnummer sein muss, plus etwas wie ein Webformular oder eine E-Mail-Adresse als zweite Option. Ein Klebezettel mit der Aufschrift „E-Mail an die Personalabteilung" erfüllt diese Vorgabe nicht.
Die neuen Regeln, die am 1. Januar 2026 in Kraft treten
Zusätzlich zu den grundlegenden CPRA-Anforderungen hat die California Privacy Protection Agency 2025 einen neuen Regelungssatz verabschiedet, der ab dem 1. Januar 2026 schrittweise in Kraft tritt und speziell den Einsatz von Technologie durch Arbeitgeber zur Steuerung ihrer Belegschaft betrifft:
- Risikobewertungen vor risikoreicher Verarbeitung. Bevor ein betroffenes Unternehmen eine Tätigkeit beginnt (oder fortsetzt), die ein „erhebliches Risiko" darstellt – der Verkauf oder die Weitergabe personenbezogener Daten, die Verarbeitung sensibler personenbezogener Daten, der Einsatz automatisierter Entscheidungsfindungstechnologie für eine bedeutsame Entscheidung oder die Nutzung von Biometrie zur Identitätsprüfung –, muss es eine dokumentierte Risikobewertung durchführen. War die Tätigkeit bereits vor dem 1. Januar 2026 im Gange, verschiebt sich die Frist für die Bewertung auf den 31. Dezember 2027, was bestehenden Programmen etwas Vorlaufzeit verschafft.
- Regeln zur automatisierten Entscheidungsfindungstechnologie (ADMT), die schrittweise mit einem Compliance-Stichtag zum 1. Januar 2027 eingeführt werden. Das ist der Punkt, den Personalabteilungen genau im Auge behalten sollten: KI-gestütztes Screening von Lebensläufen, algorithmische Dienstplanungstools und automatisierte Systeme zur Leistungsbewertung, die für „bedeutsame Entscheidungen" über Beschäftigung, Vergütung oder Disziplinarmaßnahmen genutzt werden, erfordern künftig eine Verbraucherbenachrichtigung, ein Widerspruchsrecht und ein Zugriffsrecht.
- Jährliche unabhängige Cybersicherheitsaudits, die gestaffelt nach Umsatz eingeführt werden – beginnend 2028 bei den größten Unternehmen und ausgeweitet auf kleinere betroffene Unternehmen bis 2030.
Nichts davon erfordert eine Compliance-Abteilung wie bei einem Fortune-500-Unternehmen. Es bedeutet aber, dass ein kleines Unternehmen, das ein handelsübliches Bewerbermanagement-Tool mit KI-gestütztem Lebenslauf-Ranking oder die biometrische Stempelfunktion eines Gehaltsabrechnungsanbieters nutzt, tatsächlich nachlesen muss, was dieser Anbieter mit den Daten macht – denn als Arbeitgeber bist du gegenüber deinen Mitarbeitern und den Aufsichtsbehörden verantwortlich, nicht der Anbieter.
Ein realistisches Szenario: Die Restaurantgruppe mit Fingerabdruck-Zeiterfassung
Stell dir eine Restaurantgruppe mit 40 Mitarbeitern und drei Standorten in Los Angeles County vor. Sie nutzt eine biometrische Stempeluhr, um das Einstempeln für Kollegen zu verhindern, eine Bewerbermanagement-Plattform mit KI-gestütztem Lebenslauf-Screening, um das hohe Bewerberaufkommen bei Stundenlöhnern zu bewältigen, sowie einen Gehaltsabrechnungsanbieter, der Daten zur Direktüberweisung und zum Steuerabzug speichert. Für sich genommen klingt nichts davon ungewöhnlich – das ist Standardbetrieb für ein Gastronomieunternehmen mit mehreren Standorten. Betrachtet man das Ganze aber durch die CPRA-Brille: Die Fingerabdruckscans sind sensible personenbezogene Daten, die eine spezifische Informationspflicht und Offenlegung der Nutzungsbeschränkung erfordern; das KI-gestützte Lebenslauf-Screening ist genau die Art von automatisierter Entscheidungsfindungstechnologie, auf die die Vorschriften von 2026–2027 abzielen; und jedes W-4- und Direktüberweisungsformular im Gehaltsabrechnungssystem ist jetzt personenbezogene Daten, die ein Mitarbeiter anfordern, berichtigen oder löschen lassen kann.
Überschreitet diese Gruppe die Umsatz- oder Datenvolumen-Schwellenwerte des CPRA, kann keines dieser drei Systeme unverändert weiterlaufen – ohne Datenschutzerklärung, ein dokumentiertes Verfahren zur Bearbeitung von Mitarbeiteranfragen und, sobald die ADMT-Regeln greifen, eine Möglichkeit, Bewerber darüber zu informieren, dass ein Algorithmus ihren Lebenslauf bewertet, und ihnen die Möglichkeit zum Widerspruch zu geben. Nichts davon erfordert, die Technologie zu entfernen. Es erfordert, zu dokumentieren, was die Technologie tut, und den Mitarbeitern die Transparenz und Kontrolle zu geben, die das Gesetz ihnen jetzt garantiert.
Bewerber genießen denselben Schutz wie eingestellte Mitarbeiter
Man denkt leicht, „Mitarbeiterdatenschutz" beginne erst am ersten Arbeitstag, aber die Definition von „Mitarbeiter" im CPRA reicht für diese Zwecke weiter zurück. Auch Bewerber sind erfasst, was für jedes Unternehmen relevant ist, das Hintergrundprüfungen, Software zur Lebenslaufauswertung oder Einstellungstests durchführt. Ein abgelehnter Bewerber hat dasselbe Recht zu erfahren, welche personenbezogenen Daten du während des Einstellungsprozesses erhoben hast, und – vorbehaltlich Ausnahmen wie einer laufenden gesetzlichen Aufbewahrungspflicht – dasselbe Recht, die Löschung dieser Daten zu verlangen. Wenn dein Bewerbermanagementsystem abgelehnte Lebensläufe unbegrenzt „für alle Fälle" aufbewahrt, ist genau diese Aufbewahrungspraxis das, was eine Datenschutz-Risikobewertung aufdecken soll.
Wo die Regeln zur automatisierten Entscheidungsfindung am stärksten greifen
Die ADMT-Anforderungen verdienen besondere Aufmerksamkeit, weil sie genau die Tools ins Visier nehmen, die kleine Unternehmen eingeführt haben, um bei Einstellung und Dienstplanung Zeit zu sparen: algorithmisches Ranking von Lebensläufen, automatisierte Bewertung von Vorstellungsgesprächen, Software zur Schichtplanung, die Stunden anhand eines Produktivitätswerts zuweist, sowie Tools zur Leistungsüberwachung, die Mitarbeiter zur Überprüfung markieren, ohne dass zuvor ein Mensch eingebunden wird. Keines dieser Tools ist verboten. Aber ab dem 1. Januar 2027 erfordert ihr Einsatz für eine „bedeutsame Entscheidung" – Einstellung, Beförderung, Disziplinarmaßnahme oder Kündigung – dass die betroffene Person klar darüber informiert wird, dass ADMT eingesetzt wurde, in den meisten Fällen ein Widerspruchsrecht erhält und die Möglichkeit hat, zu erfragen, welche Faktoren in die Entscheidung eingeflossen sind. Wenn dein HR-Tech-Stack ein Tool enthält, das sich selbst als „KI-gestützt" vermarktet, ist das ein starkes Signal, dass es lange vor der Frist 2027 auf deine Risikobewertungsliste gehört.
Bußgelder sind real – auch für kleine Betriebe
Die Durchsetzung ist hier keine bloße Theorie. Verstöße können zivilrechtliche Bußgelder von bis zu $2.500 pro unbeabsichtigtem Verstoß und bis zu $7.500 pro vorsätzlichem Verstoß nach sich ziehen, und die Bußgelder werden in der Regel pro betroffener Person berechnet – das heißt, eine falsch bearbeitete Datenanfrage oder eine unverschlüsselte Datenpanne, die einige Hundert Mitarbeiterdatensätze betrifft, kann sich für ein Unternehmen dieser Größe schnell summieren. Sowohl der California Attorney General als auch die California Privacy Protection Agency haben Durchsetzungsbefugnisse, und anders als bei manchen bundesstaatlichen Gesetzen verlangt Kalifornien nicht bei jeder Verstoßart eine formelle Nachbesserungsfrist.
Eine praktische Checkliste zum Einstieg
Wenn du ein betroffener Arbeitgeber bist (oder glaubst, nahe am Schwellenwert zu liegen), fängst du am besten hier an:
- Erfasse, was du tatsächlich sammelst. Gehaltsabrechnung, Sozialleistungen, biometrische Zeiterfassung, Hintergrundprüfungen, Leistungsbeurteilungen, Bewerberdaten – bringe alles in eine Liste, bevor du eine Datenschutzerklärung dazu verfasst.
- Kennzeichne sensible personenbezogene Daten separat. Sozialversicherungsnummern, Gesundheitsdaten, biometrische Daten und Finanzkontonummern unterliegen zusätzlichen Handhabungsvorgaben.
- Verfasse (oder aktualisiere) deine Datenschutzerklärung für Mitarbeiter, sodass sie die aktuellen Datenkategorien, Zwecke und Aufbewahrungsfristen widerspiegelt.
- Richte mindestens zwei Kanäle zur Anfrageneinreichung ein, einschließlich einer gebührenfreien Telefonnummer, falls du dazu verpflichtet bist.
- Frage deine HR-Tech- und Gehaltsabrechnungsanbieter direkt, ob ihre Tools automatisierte Entscheidungsfindung für Einstellungs- oder Leistungsentscheidungen nutzen, und lass dir das schriftlich bestätigen.
- Trage die für dein Unternehmen relevante Frist zur Risikobewertung ein – 1. Januar 2026 für neue risikoreiche Verarbeitung, 31. Dezember 2027 für Verarbeitung, die bereits vor der Regel bestand.
Halte deine Finanzunterlagen so sauber wie dein Datenschutzprogramm
Wenn du den Umgang mit Mitarbeiterdaten richtig hinbekommst, zeigt sich oft dieselbe Lücke, die auch in der Buchhaltung auftritt: Niemand kann einen klaren, prüfbaren Nachweis darüber liefern, was wann passiert ist. Dieselbe Disziplin, die eine Datenschutzanfrage leicht beantwortbar macht – genau zu wissen, was du hast, wo es liegt und wer darauf zugegriffen hat –, macht auch die Steuersaison schmerzfrei. Beancount.io bietet dir plain-text accounting, das vollständig transparent und versionskontrolliert ist, sodass jede Ausgabe für Gehälter und Sozialleistungen einen klaren, prüfbaren Pfad hat statt einer Blackbox. Jetzt kostenlos starten und erfahre, warum Entwickler und finanzbewusste Unternehmer zu plain-text accounting wechseln.