Der Datenschutz für Mitarbeiterdaten ist kein reines Verbraucherthema mehr. Im Jahr 2026 zieht eine Welle von Landesgesetzen HR-Daten – Bewerber, Mitarbeiter und Auftragnehmer, die in Kalifornien und anderen betroffenen Bundesstaaten ansässig sind – in dasselbe Datenschutzregime wie Kundendaten, mit Risikobewertungen, Minimierung und Hinweispflichten, die HR übernehmen muss.
Die wichtigste Änderung 2026: CCPA-Risikobewertungen für HR
Ab dem 1. Januar 2026 müssen Arbeitgeber, die dem California Consumer Privacy Act (in der durch den CPRA geänderten Fassung) unterliegen, eine Risikobewertung für den Datenschutz durchführen, bevor sie viele Aktivitäten im Zusammenhang mit HR-Daten ausführen – den personenbezogenen Daten von Bewerbern, Mitarbeitern und unabhängigen Auftragnehmern, die in Kalifornien ansässig sind.
Die California Privacy Protection Agency verlangt die Bewertung für Aktivitäten, die ein erhebliches Risiko für die Privatsphäre darstellen, einschließlich:
- Verkauf oder Weitergabe von HR-Daten, Verarbeitung sensibler personenbezogener Daten (Biometrie, präziser Standort, Gesundheitsdaten) oder Nutzung automatisierter Entscheidungsfindung (KI-gestützte Vorauswahl, Produktivitätsbewertung)
- Mitarbeiterüberwachung – Tastatureingaben, E-Mail, Video, Standortverfolgung und KI-Tools, die Leistung bewerten oder Fehlverhalten kennzeichnen
Die Bewertung muss Zweck, Datenkategorien, Aufbewahrung, Zugriff und Minderungsmaßnahmen identifizieren und auf Anfrage der CPPA vorgelegt werden. Es gibt keine Nachbesserungsfrist – eine fehlende Bewertung ist bereits bei Einreichung ein Verstoß, nicht erst nach einer Abmahnung.
Was 2026 sonst noch in Kraft tritt
- Neue umfassende Datenschutzgesetze – Indiana, Kentucky und Rhode Island – in Kraft ab dem 1. Januar 2026. Indiana (INCDPA), Kentucky (KCDPA) und Rhode Island (RIDPA) schließen sich der Kohorte von 2025 an. Jedes verlangt einen Datenschutzhinweis für jedes Unternehmen mit einer Website, die Daten von Einwohnern des Bundesstaats erheben kann – einschließlich Karriereseiten, die Bewerberdaten erfassen. Zu den Rechten gehören Zugriff, Berichtigung, Löschung und Datenübertragbarkeit; Rhode Island sieht keine Nachbesserungsfrist vor.
- Änderungen in Oregon, Connecticut und Utah. Ab 2026 erweitern Änderungen die Abdeckung auf zusätzliche Datentypen (präziser Standort, Kindesdaten) und verschärfen die Anwendungsschwellen – wodurch mittelständische Arbeitgeber neu in den Anwendungsbereich fallen.
- Biometrie und KI. Das Illinois BIPA, der CCPA und eine Reihe von Gesetzen zu automatisierten Entscheidungswerkzeugen bei der Einstellung (AEDT) regulieren bereits Gesichtserkennung, Fingerabdruck-Zeiterfassung und KI-gesteuerte Einstellung. Der Einsatz von Videointerviews durch HR, die Gesichtsausdrücke oder Stimme analysieren, ist in mehreren Bundesstaaten mit hohem Risiko verbunden.
Was HR jetzt kartieren muss
- Inventar der HR-Datenflüsse. Listen Sie für jedes System – ATS, HRIS, Gehaltsabrechnung, Zeiterfassung, Leistungen, Überwachung – auf, welche personenbezogenen Daten erhoben werden, wo sie gespeichert sind, wer darauf zugreifen kann, wie lange sie aufbewahrt werden und ob sie verkauft, weitergegeben oder für automatisierte Entscheidungen verwendet werden.
- Führen Sie die CCPA-Risikobewertung für jede Hochrisiko-Verarbeitung von HR-Daten kalifornischer Einwohner durch, bevor die Aktivität 2026 fortgesetzt wird. Verwenden Sie die Vorlage der CPPA und bewahren Sie die Bewertung zusammen mit dem Verarbeitungsverzeichnis auf.
- Aktualisieren Sie die Datenschutzhinweise. Fügen Sie einen eigenständigen HR-Datenschutzhinweis für kalifornische Einwohner (und für Einwohner neuer Bundesstaaten, wo erforderlich) hinzu, der die über die Karriereseite erhobenen Kategorien, Zwecke, Aufbewahrung und Rechte offenlegt – getrennt vom Verbraucherhinweis.
- Minimieren und begrenzen. Gemäß dem Maryland MODPA (in Kraft ab dem 1. Oktober 2025) und ähnlichen Minimierungsprinzipien, die sich auf andere Bundesstaaten ausbreiten, erfassen Sie nur, was im Verhältnis zum HR-Zweck steht – eine Karriereseite, die vor einem Angebot die vollständige SSN anfordert, ist Übererfassung.
- HR in das Verarbeitungsverzeichnis aufnehmen. Datenschutzverletzungen bei HR-Daten lösen nun dieselben Meldepflichten aus wie bei Kundendaten; die Vorfallreaktion muss HR-Systeme einschließen.
Buchhalterischer Hinweis
Risikobewertungen für den Datenschutz sind eine Compliance-Kosten und eine Eventualverbindlichkeit. Erfassen Sie die Vorbereitung der Bewertungen, Datenschutzprüfungen von Anbietern und Rückstellungen für die Reaktion auf Datenschutzverletzungen als separate Buchungen (Expenses:Compliance:Privacy), damit die Kosten der neuen Pflichten von 2026 sichtbar sind – und damit eine künftige behördliche Anfrage mit einer Ledger-Spur beantwortet werden kann, nicht aus dem Gedächtnis.
Vereinfachen Sie Ihre Finanzverwaltung
Mitarbeiterdaten sind zu regulierten Daten geworden, mit Bewertungen, die der Verarbeitung vorausgehen müssen, nicht folgen. Beancount.io hält HR-System-Datenzuordnungen, Bewertungstermine und Anbieterprüfungsbuchungen versioniert – damit der veröffentlichte Hinweis zu den Daten passt, die Sie tatsächlich verarbeiten. Starten Sie kostenlos und machen Sie Datenschutz zu einer Kontrolle, nicht zu einem nachträglichen Gedanken.