Datenschutz bei Gehaltsdaten im Jahr 2026: Ein Leitfaden für kleine Arbeitgeber zu Kalifornien, Colorado und Virginia

Wenn Sie auch nur eine Person beschäftigen, die in Kalifornien lebt, sind das hinterlegte W-4-Formular, die Bankverbindung für die direkte Einzahlung und die von Ihnen erfassten Arbeitsstunden pro Abrechnungszeitraum nicht mehr nur Gehaltsunterlagen. Seit dem 1. Januar 2023 gelten sie als personenbezogene Daten dieser Person im Sinne des staatlichen Datenschutzrechts, mit denselben Rechten auf Auskunft, Löschung und Berichtigung wie bei jedem Verbraucher, der Ihre Website besucht. Und obwohl Colorado und Virginia einen anderen Weg eingeschlagen haben, bedeuten die neuen Änderungen von 2025 und 2026, dass Sie sich nirgendwo auf eine "Mitarbeiterausnahme" verlassen können, um den Datenschutz bei Gehaltsdaten zu ignorieren – insbesondere nicht, wenn Sie Fingerabdruck-Zeiterfassungsgeräte, KI-Einstellungstools oder einen Cloud-Gehaltsabrechnungsdienst nutzen.

Die gute Nachricht: Die Lösung ist kein maßgeschneidertes Rechtsprojekt für jeden Bundesstaat. Es ist eine kurze Reihe von Gewohnheiten – ein klarer Hinweis, eine Datenkarte, ein Aufbewahrungsplan, ehrliche Lieferantenverträge und ein Reaktionsplan – die den strengsten Bundesstaat (Kalifornien) zufriedenstellen und Sie in allen anderen zu 90 % abdecken.

Warum Gehaltsdaten zu "personenbezogenen Daten" wurden​

Jahrelang enthielt das erste umfassende Datenschutzgesetz des Landes, der California Consumer Privacy Act (CCPA) in der durch den California Privacy Rights Act (CPRA) geänderten Fassung, eine vorübergehende Ausnahmeregelung für Mitarbeiterdaten. Arbeitgeber mussten lediglich einen Datenschutzhinweis geben und die Daten angemessen sichern.

Diese Ausnahme lief am 31. Dezember 2022 aus. Sie wurde nicht erneuert. Am 1. Januar 2023 wurden kalifornische Arbeitnehmer, Bewerber, unabhängige Auftragnehmer und sogar Notfallkontakte und Leistungsempfänger zu vollwertigen "Verbrauchern" im Sinne des Datenschutzes.

Zwei andere frühe umfassende Gesetze verfolgten den gegenteiligen Ansatz. Der Virginia Consumer Data Protection Act (VCDPA), in Kraft seit dem 1. Januar 2023, und der Colorado Privacy Act (CPA), in Kraft seit dem 1. Juli 2023, definieren "Verbraucher" als einen Einwohner, der nur in einem individuellen oder haushaltsbezogenen Kontext handelt – und schließen damit ausdrücklich jeden aus, der in einem kommerziellen oder beschäftigungsbezogenen Kontext handelt. Nach dieser Definition fallen gewöhnliche Personal- und Gehaltsakten nicht unter den CPA und den VCDPA.

Warum steht also immer noch auf Ihrer TODO-Liste, Gehaltsdaten in allen drei Bundesstaaten als geschützt zu behandeln? Weil sich das Flickwerk weiterentwickelt hat.

• Kaliforniens Verordnungen von 2026 legen die Messlatte erneut höher (mehr dazu weiter unten).
• Colorado hat ab dem 1. Juli 2025 biometrische Identifikatoren für Arbeitnehmer und Bewerber wieder in sein Gesetz aufgenommen – Fingerabdruck, Gesicht, Stimme, Augenscans, die mit einer Zeiterfassung oder einem Sicherheitsausweis erfasst werden, lösen nun CPA-Pflichten aus, auch wenn der Rest der Gehaltsakte dies nicht tut.
• In Colorado erlegen separate KI-Regeln von 2026 nun Hinweis- und Human-Review-Pflichten auf, wenn automatisierte Entscheidungstools Einstellung, Vergütung, Beförderung oder Kündigung wesentlich beeinflussen – Rechte, die der CPA selbst den Arbeitnehmern nicht einräumt.
• Virginia hat allgemeine Beschäftigungsdaten nicht wieder in den VCDPA aufgenommen, aber sein gesetzgeberischer Vorstoß von 2026 – Lohntransparenz, Erweiterung des Human Rights Act auf Arbeitgeber mit fünf Beschäftigten und neue Lizenzierung von Gehaltsabrechnungsdienstleistern – zeigt die gleiche Richtung: Mitarbeiterinformationen werden als sensibel und reguliert behandelt.

Bis Mitte 2026 haben etwa 20 Bundesstaaten umfassende Verbraucherdatenschutzgesetze in Kraft oder unterzeichnet, die meisten folgen dem Virginia/Colorado-Haushaltskontext-Modell. Kalifornien bleibt der einzige, der das Beschäftigungsverhältnis vollständig abdeckt. Wenn Sie in einem oder mehreren dieser Bundesstaaten tätig sind – oder Remote-Mitarbeiter haben, die dort leben – ist die sicherste und einfachste Haltung, Gehaltsdaten überall so zu behandeln, als wären sie im Geltungsbereich.

Der Drei-Staaten-Realitätscheck​

Kalifornien: Vollständig abgedeckt und 2026 anspruchsvoller​

Wer ist abgedeckt? Sie sind ein "Unternehmen" im Sinne des CCPA/CPRA, wenn Sie in Kalifornien Geschäfte tätigen und einen der folgenden (für 2024 angepassten) Schwellenwerte erfüllen: ein jährlicher Bruttoumsatz von über 25 Millionen US-Dollar; Sie verarbeiten die personenbezogenen Daten von 100.000 oder mehr kalifornischen Einwohnern oder Haushalten pro Jahr; oder Sie erzielen 50 % oder mehr Ihres Jahreseinkommens aus dem Verkauf oder der Weitergabe personenbezogener Daten. Dienstleister und Auftragnehmer, die Daten in Ihrem Auftrag verarbeiten, haben eigene Pflichten.

Wenn Sie auch nur einen kalifornischen Einwohner auf der Gehaltsliste haben, zählen deren Daten zusammen mit Ihren Kunden und Website-Besuchern zu diesem Schwellenwert von 100.000 Einwohnern. Viele kleine Unternehmen mit einer überschaubaren Kundenliste überschreiten den Schwellenwert gerade deshalb, weil die Mitarbeiterdaten sie darüber hinwegtreiben.

Welche Rechte haben Arbeitnehmer? Dieselben wie Verbraucher:

• Recht auf Auskunft darüber, was Sie erhoben haben, Ihre Quellen, Zwecke und an wen Sie es weitergegeben haben
• Recht auf Löschung, vorbehaltlich gesetzlicher Aufbewahrungsausnahmen (Steuer-, Lohn- und Leistungsunterlagen, die Sie aufbewahren müssen)
• Recht auf Berichtigung unrichtiger Informationen
• Recht auf Widerspruch gegen den Verkauf oder die Weitergabe personenbezogener Daten und auf Einschränkung der Verwendung sensibler personenbezogener Daten
• Recht auf Nichtdiskriminierung bei der Ausübung dieser Rechte

Was gilt als sensible personenbezogene Daten? Gehaltsdaten erfüllen fast jede Kategorie: Sozialversicherungsnummern, Führerschein- oder Reisepassnummern, Finanzkonten + Anmeldedaten, präzise Geolokalisierung (Firmenhandy oder Flotten-GPS), rassische oder ethnische Herkunft und biometrische Daten.

Was ist am 1. Januar 2026 neu? Am 23. September 2025 erhielt die California Privacy Protection Agency die endgültige Genehmigung für ihr Update der CCPA-Verordnungen. Die Kernänderungen treten am 1. Januar 2026 in Kraft, mit gestaffelten Compliance-Fristen:

• Risikobewertungen für risikoreiche Verarbeitungen – einschließlich jeder Verwendung sensibler personenbezogener Daten, des Verkaufs/der Weitergabe oder automatisierter Entscheidungsfindung – sind ab dem 1. Januar 2026 erforderlich, wobei die Dokumentation der CPPA auf Anfrage zur Verfügung zu stellen und die formelle Einreichung bis zum 1. April 2028 erfolgt.
• Regeln für automatisierte Entscheidungstechnologie (ADMT) mit Rechten auf Benachrichtigung, Widerspruch und Erläuterung treten am 1. Januar 2027 in Kraft.
• Jährliche Cybersicherheitsaudits durch einen unabhängigen Fachmann sind nach einem umsatzbasierten Zeitplan erforderlich: Zertifizierung bis zum 1. April 2028 für Unternehmen über 100 Millionen US-Dollar, bis zum 1. April 2029 für 50–100 Millionen US-Dollar und bis zum 1. April 2030 für unter 50 Millionen US-Dollar.

Für einen kleinen Arbeitgeber, der einen KI-Lebenslauf-Screener, einen Produktivitäts-Score oder ein dynamisches Vergütungstool verwendet – selbst über einen Anbieter – sind dies keine Zukunftssorgen mehr.

Durchsetzung: Der kalifornische Attorney General und die CPPA können Zivilklagen einreichen. Vorsätzliche Verstöße gegen den CCPA erreichen 7.500 US-Dollar pro Verstoß; unbeabsichtigte Verstöße kosten jeweils 2.500 US-Dollar, wobei eine 30-tägige Heilungsfrist nicht mehr garantiert ist. Arbeitnehmer haben außerdem ein eingeschränktes privates Klagerecht für Datenschutzverletzungen, die durch die Nichtumsetzung angemessener Sicherheitsmaßnahmen verursacht wurden.

Colorado und Virginia: Ausgenommen, aber nicht so, wie Sie denken​

Die grundlegende Ausnahme ist breit. Sowohl nach dem CPA als auch nach dem VCDPA ist ein Arbeitnehmer, der einstempelt, oder ein Auftragnehmer, der eine Rechnung einreicht, kein "Verbraucher". Sie schulden ihnen nicht die vollständigen CCPA-artigen Rechte auf Auskunft/Löschung/Widerspruch für gewöhnliche Gehaltsdaten.

Das überrascht Eigentümer, die annehmen, dass jeder Bundesstaat Kalifornien spiegelt. Deshalb waren nationale Checklisten, die besagen, dass "VCDPA und CPA nicht für HR-Daten gelten", in den Jahren 2023–2024 technisch korrekt.

Die Ausnahme, die in Colorado zählt: House Bill 1130, die Biometrie-Änderung, in Kraft seit dem 1. Juli 2025, hebt die Ausnahme in einem Hochrisikobereich auf. Wenn Sie biometrische Identifikatoren von Arbeitnehmern oder Bewerbern erfassen – Fingerabdruck- oder Handflächenscan für eine Zeiterfassung, Gesichtsscan für den Gebäudezugang, Stimmabdruck für die Telefonauthentifizierung – sind Sie nun ein "Verantwortlicher" für diese Daten im Sinne des CPA, auch für Arbeitnehmer.

Sie müssen dann:

• Einen schriftlichen Zeitplan für die Aufbewahrung und Vernichtung biometrischer Daten annehmen und veröffentlichen
• Vor der Erfassung eine Einwilligung einholen, außer für enge, gesetzlich definierte Sicherheitszugriffszwecke
• Biometrische Daten nur für den offengelegten Zweck verwenden, sie nicht länger als nötig aufbewahren und sie nach einem festgelegten Zeitplan löschen
• Sie mit angemessener Sicherheit schützen und einen schriftlichen Plan zur Reaktion auf Sicherheitsvorfälle haben
• Bereit sein, dem Attorney General oder den Bezirksstaatsanwälten, die die Änderung durchsetzen (kein privates Klagerecht), Dokumentation vorzulegen

Die Definition von Arbeitnehmer ist breit – Vollzeit, Teilzeit, auf Abruf, Auftragnehmer, Subunternehmer, Praktikanten, Stipendiaten – daher zählt der Fingerabdruck eines Bau-Subunternehmers auf Ihrem Tablet auf der Baustelle.

Colorados separates Gesetz zur künstlichen Intelligenz, das im Mai 2026 neu verabschiedet wurde, geht weiter. Ein Arbeitgeber, der eine abgedeckte ADMT verwendet, um eine folgenreiche Beschäftigungsentscheidung wesentlich zu beeinflussen, muss im Voraus benachrichtigen und dem Arbeitnehmer nach einer negativen Entscheidung die Möglichkeit geben, unrichtige personenbezogene Daten zu korrigieren und eine menschliche Überprüfung zu erhalten. Diese Pflichten bestehen, obwohl der CPA selbst allgemeine Beschäftigungsunterlagen weiterhin ausschließt.

Virginia bleibt für allgemeine Daten von der Beschäftigung ausgenommen, aber zwei Trends von 2026 schließen die praktische Lücke:

1. Die Schwelle für einen abgedeckten Arbeitgeber ist anderswo gesunken. Virginias Human Rights Act gilt ab dem 1. Juli 2026 für Arbeitgeber mit fünf oder mehr Beschäftigten, und sein Lohntransparenzgesetz verlangt Gehaltsspannen in Stellenausschreibungen. Unternehmen, die ihre Handbücher für diese Gesetze aktualisieren, stellen fest, dass ihre Personalakten ohnehin genauer geprüft werden.
2. Das Fehlen eines Bundesgesetzes befeuert staatliche Maßnahmen. Ohne ein umfassendes Bundesdatenschutzgesetz lässt Virginias Modell – 100.000 Einwohner oder 25.000, wenn Sie Daten verkaufen, plus Datenschutz-Folgenabschätzungen für gezielte Werbung, Datenverkäufe, Profiling und die Verarbeitung sensibler Daten – die meisten sehr kleinen Arbeitgeber außerhalb des VCDPA. Wenn Sie jedoch über der Schwelle für Kundendaten liegen, erwarten Prüfer und Kunden zunehmend, dass Sie dieselbe Sorgfalt auf Mitarbeiterdaten anwenden.

Praktische Erkenntnis: Vermarkten Sie keine Politik mit der Aussage "Mitarbeiter in Virginia haben keine Datenschutzrechte". Das Gesetz besagt, dass gewöhnliche Gehaltsakten keine Verbraucher-personenbezogenen Daten im Sinne des VCDPA sind, aber die Sozialversicherungsnummer eines Einwohners von Virginia auf einem W-2-Formular ist dennoch ein sensibles Datum im Rahmen Ihrer Meldepflicht bei Datenschutzverletzungen, und der Vertrag mit Ihrem Gehaltsabrechnungsdienstleister benötigt weiterhin denselben Schutz, den Sie für kalifornische Arbeitnehmer aufbauen.

Das Flickwerk, das Sie tatsächlich verfolgen müssen​

Ab 2026 sind umfassende Gesetze mit unterschiedlichen Schwellenwerten, Definitionen sensibler Daten und Rechten in Kalifornien, Virginia, Colorado, Connecticut, Utah, Texas, Oregon, Delaware, Montana, Iowa, Indiana, Tennessee, Florida und anderen in Kraft oder unterzeichnet. Wichtige Variablen:

• Schwellenwerte: 100.000 Verbraucher sind üblich (Virginia, Colorado, viele Nachfolger), aber Kalifornien verwendet 100.000 Einwohner/Haushalte und Texas verwendet entweder 100.000 oder 25.000, wenn Sie Daten verkaufen. Eine kleine E-Commerce-Marke mit einer großen Kundenliste kann auch mit fünf Mitarbeitern in den Geltungsbereich fallen.
• Sensible Daten: Umfassen immer die Sozialversicherungsnummer, präzise Geolokalisierung, biometrische, Gesundheits- und Minderjährigendaten, aber einige Bundesstaaten fügen zusätzliche Kategorien hinzu.
• Rechte und Rechtsmittel: Alle gewähren Rechte auf Auskunft/Zugriff, Berichtigung, Löschung und Widerspruch gegen gezielte Werbung/Verkauf. Die meisten verlangen ein Rechtsmittelverfahren und eine Antwort innerhalb von 45 Tagen (mit einer Verlängerung um 45 Tage).
• Bewertungen: Die meisten verlangen Datenschutz-Folgenabschätzungen für risikoreiche Verarbeitungen, bevor Sie beginnen, und deren Vorlage auf Anfrage des Attorney General innerhalb von 30 Tagen.
• Durchsetzung: Fast alle nur durch den Attorney General, mit Heilungsfristen, die schrumpfen oder verschwinden. Die Durchsetzung durch die kalifornische Behörde ist am aktivsten, und ihre Ermittlungswellen des Attorney General von 2026 haben sich gezielt auf die Datenschutzhinweise für Mitarbeiter von Arbeitgebern konzentriert.

Sie brauchen keine 20 Datenschutzprogramme. Sie brauchen ein einziges verteidigungsfähiges Programm, das auf die strengsten Anforderungen der Bundesstaaten zugeschnitten ist, in denen Ihre Mitarbeiter leben.

Was als personenbezogene Gehaltsdaten gilt​

Kartieren Sie es einmal und Sie werden sehen, warum sich Regulierungsbehörden Sorgen machen:

• Kernidentifikatoren: Name, Alias, Sozialversicherungsnummer, Führerschein oder staatlicher Ausweis, Reisepass, Geburtsdatum, persönliche E-Mail und Telefon, Privatadresse
• Finanziell: Bankkontonummer und Bankleitzahl für die direkte Einzahlung, Gehaltskartennummern, Lohnsatz, geleistete Arbeitsstunden, Abzüge, Pfändungen, 401(k)-Wahlen, Aktien- oder Optionszusagen
• Sensible HR-Daten: Rasse, ethnische Zugehörigkeit oder nationale Herkunft, die Sie für EEO-1 oder affirmative action erheben; Staatsbürgerschafts- oder Arbeitserlaubnisdokumente; Behinderungs- oder Vorkehrungsnotizen; Urlaubs- und Arbeiterunfallakten
• Sicherheit und Überwachung: Benutzername + Passwort für HRIS, Ausweiszugriffsprotokolle, CCTV-Standbilder, Fingerabdruck- oder Gesichtsscan für Zeiterfassung, Sprachaufnahmen von Servicezentren
• Leistung: Beurteilungen, Disziplinarvermerke, Untersuchungen, Überwachung von Firmengeräten oder -fahrzeugen

Jede oben genannte Kategorie ist entweder überall "personenbezogene Daten" oder in Kalifornien "sensible personenbezogene Daten". Eine Tabellenkalkulation mit Namen und Nettogehalt ist daher keine risikoarme Datei – sie ist ein Hauptbuch sensibler Daten.

Die Kernpflichten des Arbeitgebers, die Sie nicht ignorieren können​

1. Geben Sie bei der Erhebung einen Datenschutzhinweis für Mitarbeiter​

Kalifornien verlangt einen vorherigen Hinweis, der Folgendes angibt:

• Kategorien personenbezogener Daten, die Sie erheben, und die Zwecke für jede
• Wie lange Sie jede Kategorie aufbewahren (oder die Kriterien, die Sie verwenden)
• Ob Sie sie verkaufen oder weitergeben, und die Kategorien Dritter
• Ihre Aufbewahrungs- und Sicherheitspraktiken und die Rechte, die die Person ausüben kann

Tun Sie dies, auch wenn Sie glauben, unterhalb der CCPA-Schwelle zu liegen. Der Hinweis selbst ist kostengünstig, er erfüllt die Anforderungen kalifornischer Arbeitnehmer und dient gleichzeitig als Transparenzdokument, das jeder staatliche Attorney General jetzt zuerst anfordert. Veröffentlichen Sie ihn in Ihrem HR-Portal, nehmen Sie ihn in Angebotsschreiben auf und händigen Sie ihn jedem neuen Mitarbeiter zusammen mit dem W-4-Formular aus.

2. Minimieren Sie, dann dokumentieren Sie, warum Sie aufbewahren, was Sie aufbewahren​

Datenschutzrecht besagt: Erheben Sie nur, was Sie für einen offengelegten Zweck benötigen, und bewahren Sie es nicht länger als nötig auf. Steuer- und Lohnrecht besagt: Bewahren Sie es jahrelang auf. Beides ist wahr – Sie überbrücken es mit einem schriftlichen Aufbewahrungsplan.

• Gehalts- und Zeitnachweise: 3 Jahre nach dem bundesstaatlichen FLSA und vielen staatlichen Lohngesetzen; bewahren Sie die zugrunde liegenden Stunden- und Gehaltsberechnungen auf, nicht nur den endgültigen Gehaltszettel.
• Steuerunterlagen (W-4, W-2, staatliche Einbehalte, Arbeitslosenmeldungen): 4 Jahre nach Fälligkeit der Steuer, gemäß IRS (und bis zu 7 Jahre, wenn Sie eine Position mit uneinbringlichen Forderungen oder wertlosen Wertpapieren verteidigen möchten – das "3-4-6-7"-Framework).
• Leistungen und Formulare 5500, COBRA, FMLA: 6 bis 8 Jahre sind übliche Empfehlung.
• Bewerbungs- und Lebenslaufakten für nicht Eingestellte: 1 Jahr (3 Jahre für Bundesauftragnehmer) gemäß EEOC.
• Biometrische Vorlagen: Colorado verlangt die Löschung, wenn der ursprüngliche Zweck erfüllt ist oder innerhalb eines expliziten Zeitplans, den Sie veröffentlichen – oft 30 Tage nach Beendigung des Arbeitsverhältnisses, sofern kein anhängiger Rechtsstreit eine längere Aufbewahrung erfordert.
• Sicherheitsprotokolle und Zugriffsüberprüfungen: Richten Sie sich nach Ihrem Cybersicherheits-Auditzyklus, wobei Sie im Allgemeinen mindestens 12 Monate Zugriffsprotokolle für das Audit aufbewahren.

Schreiben Sie den Plan, veröffentlichen Sie die Zeitrahmen in Ihrem Hinweis und weisen Sie Verantwortliche für die Löschung zu. Eine Erinnerung wie "Wir löschen biometrische Vorlagen 30 Tage nach Beendigung des Arbeitsverhältnisses, sofern kein Lohnanspruch anhängig ist" ist mehr wert als ein allgemeines "Wir bewahren Daten so lange auf, wie es nötig ist".

3. Behandeln Sie Sicherheit als einen Angemessenheitsstandard, den Sie nachweisen können​

Das private Klagerecht des CCPA bei Datenschutzverletzungen hängt davon ab, ob Sie "angemessene Sicherheitsverfahren und -praktiken" implementiert haben. Die Cybersicherheits-Auditverordnungen von 2026 geben diesem Begriff Zähne:

• Verschlüsseln Sie Sozialversicherungsnummern und Bankkonten im Ruhezustand und bei der Übertragung, einschließlich Exporten nach Excel und Backups
• Setzen Sie die Multi-Faktor-Authentifizierung für Ihr HRIS, Ihre Gehaltsabrechnung und Ihre Dateifreigabe durch, wo diese Daten liegen
• Beschränken Sie den Zugriff nach dem Need-to-know-Prinzip: Gehaltsadministratoren sehen Bankkonten; Manager sehen Zeitgenehmigungen, keine SSNs; IT sieht Protokolle, keine Inhalte
• Protokollieren und überprüfen Sie den Zugriff monatlich – wer hat Gehaltsdaten eingesehen oder exportiert, wer hat Details zur direkten Einzahlung geändert
• Haben Sie einen getesteten Plan zur Reaktion auf Sicherheitsvorfälle, der HR-Daten abdeckt, nicht nur Kundendaten, mit einem Workflow zur Erstellung von Bewertungen innerhalb von 30 Tagen
• Bewahren Sie Ihr Audit-Trail fünf Jahre lang auf

Sie brauchen kein Enterprise-SOC-Team, um den Angemessenheitstest für kleine Unternehmen zu bestehen. Sie brauchen MFA, Verschlüsselung, Zugriff nach dem Need-to-know-Prinzip und einen schriftlichen Plan, den Sie tatsächlich einmal im Jahr üben.

4. Bauen Sie einen einfachen Workflow für Anträge auf Rechteausübung auf​

Selbst wenn Sie in Virginia oder Colorado ausgenommen sind, führen Sie denselben einzigen Workflow für jeden Arbeitnehmer in jedem Bundesstaat aus:

• Ein einziger Posteingang (privacy@ oder hr-privacy@) und ein Web- oder Papierformular, das die Identitätsüberprüfung erfasst, ohne mehr sensible Daten zu erheben
• Ein Verifizierungsschritt, der dem Risiko angemessen ist (bei Gehaltsdaten die Identität verifizieren, bevor Sie eine SSN offenlegen – senden Sie niemals eine vollständige SSN unverschlüsselt per E-Mail)
• Eine 45-Tage-Frist mit einer dokumentierten 45-Tage-Verlängerung bei Bedarf
• Ein Abgleich mit rechtlichen Aufbewahrungspflichten, die eine Löschung verhindern: offene Lohnansprüche, Beweissicherungsverfügungen, Steueraufbewahrungsfristen oder endgültige Einreichungen des Gehaltsabrechnungsanbieters

Machen Sie einmal eine Tischübung: Ein ehemaliger Mitarbeiter bittet darum, "alles, was Sie über mich haben", zu löschen. Ihre Antwort ist kein pauschales Ja oder Nein – es ist ein Schreiben, das auflistet, was Sie gelöscht haben, was Sie aufbewahrt haben und warum (unter Angabe der Aufbewahrungsvorschrift und des Zwecks) und wie die Person Einspruch einlegen kann.

5. Korrigieren Sie Ihre Lieferantenverträge vor dem Vorfall​

Ihr Gehaltsabrechnungsanbieter (ob ADP, Gusto, QuickBooks Workforce oder ein PEO) ist Ihr Dienstleister oder Auftragsverarbeiter im Sinne des Datenschutzes. Jedes umfassende Gesetz verlangt einen schriftlichen Vertrag, der:

• Den Anbieter darauf beschränkt, personenbezogene Daten nur zur Erbringung des Gehaltsabrechnungsdienstes zu verwenden
• Den Verkauf oder die Weitergabe verbietet und Vertraulichkeit für alle verlangt, die damit in Berührung kommen
• Den Anbieter verpflichtet, Ihnen bei der Beantwortung von Anträgen auf Rechteausübung zu helfen und Daten bei Vertragsbeendigung zu löschen oder zurückzugeben
• Angemessene Sicherheit, unverzügliche Benachrichtigung bei Datenschutzverletzungen (und innerhalb einer vereinbarten SLA, oft 24 bis 72 Stunden) und Zusammenarbeit bei Bewertungen verlangt

Prüfen Sie 2026 insbesondere zwei Klauseln: automatische Einreichung und Datenmakler-Status. QuickBooks Workforce beispielsweise reicht ab dem 1. Juli 2026 bestimmte Lohnsteuerformulare automatisch ein – Sie verlieren einen manuellen Genehmigungs-Kontrollpunkt und gewinnen eine Abhängigkeit von der Sicherheit und Genauigkeit des Anbieters. Stellen Sie sicher, dass die DPA diesen Einreichungspfad abdeckt. Und wenn Ihr Anbieter de-identifizierte Vergütungs-Benchmarks monetarisiert, bestätigen Sie, ob Ihr Bundesstaat dies als "Verkauf" oder "Weitergabe" behandelt und ob Sie einen Widerspruchsmechanismus benötigen.

6. Führen Sie vor risikoreichen Maßnahmen eine Datenschutz-Risikobewertung durch​

Nach den kalifornischen Regeln von 2026 und üblich im gesamten Flickwerk müssen Sie vorher bewerten, bevor Sie:

• Eine neue biometrische Zeiterfassung oder ein kontinuierliches Produktivitätsmonitoring einführen
• Bewerberdaten durch ein KI-Screening- oder Bewertungstool laufen lassen
• Beginnen, Gehaltseinblicke an eine Benchmarking-Genossenschaft zu verkaufen oder einem Leistungsmakler den Weiterverkauf von Daten zu gestatten
• Eine Pilotstudie zur Mitarbeiterüberwachung starten, die Tastatureingaben, Standort oder Chat-Stimmung verfolgt

Die Bewertung muss für einen Betrieb mit zehn Personen keine 40 Seiten umfassen. Eine Seite pro Initiative – Zweck, Datenkategorien, Notwendigkeit, Risiken für Arbeitnehmer, Schutzmaßnahmen und Restrisiko –, die in der Akte aufbewahrt und innerhalb von 30 Tagen vorgelegt wird, wenn der Attorney General fragt, erfüllt die Form. Wenn Sie es vor dem Einkauf tun, vermeiden Sie den Kauf eines Tools, dessen Datenpraktiken Sie später nicht verteidigen können.

Eine praktische 30-Tage-Checkliste für kleine Arbeitgeber​

Verwenden Sie dies als Arbeitsliste mit Ihrem Buchhalter, Gehaltsadministrator und IT-Generalisten. Sie ist auf Kaliforniens Obergrenze ausgerichtet, sodass Sie auch anderswo abgedeckt sind.

Woche 1 – Wissen, was Sie haben

• Listen Sie jeden Ort auf, an dem Gehalts- und HR-Informationen liegen: HRIS, Gehaltsplattform, Zeiterfassungs-App, Leistungsportal, Dateifreigaben, lokale Tabellenkalkulationen, E-Mails, Papierpersonalakten und die Laptops aller, die Daten exportieren
• Erstellen Sie eine Datenflusskarte: Datenkategorien → Zweck → System → wer hat Zugriff → Drittempfänger
• Erfassen Sie, welche Mitarbeiter und Auftragnehmer in welchen Bundesstaaten leben

Woche 2 – Informieren Sie die Leute ehrlich

• Veröffentlichen oder aktualisieren Sie Ihren Datenschutzhinweis für Mitarbeiter (Englisch plus jede Sprache, die von 10 % oder mehr Ihrer Belegschaft gesprochen wird, ist gute Praxis)
• Fügen Sie den Hinweis dem Onboarding-Paket und Ihrem Intranet hinzu
• Dokumentieren Sie Ihren Aufbewahrungsplan mit spezifischen Zeitrahmen und dem Gesetz, das jeden antreibt

Woche 3 – Verschärfen Sie die Kontrollen

• Aktivieren Sie MFA und Verschlüsselung für jedes System, das SSNs oder Bankkonten berührt
• Reduzieren Sie den Zugriff auf das Need-to-know-Prinzip – prüfen Sie eine HRIS-Berechtigungsgruppe pro Woche, bis alles sauber ist
• Unterzeichnen oder aktualisieren Sie DPAs mit Ihren Gehalts-, Leistungs-, Hintergrundprüfungs- und Rekrutierungsanbietern; bestätigen Sie SLAs für die Benachrichtigung bei Datenschutzverletzungen und Klauseln zur Löschung bei Beendigung

Woche 4 – Bereiten Sie sich auf die Reaktion vor

• Richten Sie das einzige Formular für Anträge auf Rechteausübung und das 45-Tage-Tracking-Protokoll ein
• Schreiben Sie einen einseitigen Nachtrag zur Reaktion auf Sicherheitsvorfälle für HR-Daten mit Anrufbaum und Vorlagen für die Benachrichtigung von Kunden/Mitarbeitern
• Führen Sie eine Tischübung zu einem Löschungsantrag und einen simulierten Vorfall mit verlorenem Laptop durch; beheben Sie, was Sie finden

Laufend

• Vierteljährlich: Überprüfen Sie Zugriffsprotokolle, testen Sie Ihre Fähigkeit, eine Datenkarte und Risikobewertung innerhalb von 30 Tagen zu erstellen
• Jährlich: Aktualisieren Sie die Selbsteinschätzung zum Cybersicherheitsaudit, zertifizieren Sie Anbieter-DPAs neu und schulen Sie Manager zum Thema "keine Vergeltung" bei Datenschutzanfragen

Sie müssen nicht alles in einem Monat abschließen, um Fortschritte zu machen. Wenn Sie die Datenkarte, den Hinweis, MFA und die Anbieter-DPA in 30 Tagen abschließen, sind Sie bereits den meisten Arbeitgebern mit unter 100 Mitarbeitern voraus, die in AG-Überprüfungen geraten.

Drei heiße Punkte, die kleine Unternehmen 2026 stolpern lassen​

Fingerabdruck-Zeiterfassungsgeräte​

Eine Zeiterfassung für 3.000 US-Dollar mit Fingerabdruckleser fühlt sich wie ein Zuverlässigkeits-Upgrade an – kein Buddy-Punching, keine verlorenen Karten. Es sind auch biometrische Daten: hochsensibel, unveränderlich und jetzt getrennt von den Gehaltszahlen daneben reguliert.

Colorados Biometrie-Änderung ist das klarste Signal, aber der Biometric Information Privacy Act von Illinois und seine Nachahmer inspirierten die Colorado-Sprache und setzen weiterhin private Klagerechte aus. Wenn Sie Biometrie irgendwo verwenden:

• Bieten Sie eine nicht-biometrische Alternative an und dokumentieren Sie die Einwilligung (oder eine enge, sicherheitsbegründete Ausnahme, wenn Ihr Gesetz dies zulässt)
• Veröffentlichen Sie den schriftlichen Aufbewahrungs- und Vernichtungsplan bevor Sie den ersten Finger erfassen
• Bewahren Sie Vorlagen nur auf dem Gerät oder im verschlüsselten Speicher auf, nicht in der Gehaltsabrechnungs-Exporttabelle

Wenn Sie mit Ausweis + PIN eine zuverlässige Zeiterfassung erreichen können, eliminieren Sie eine gesamte regulierte Kategorie.

KI bei Einstellung, Planung und Vergütung​

Ein KI-Screener, der Lebensläufe parst, ein Planungsoptimierer, der vorhersagt, wer krankmeldet, oder ein Vergütungsbudget-Tool, das Gehaltserhöhungen empfiehlt – all das zählt nach den kalifornischen Verordnungen von 2026 als ADMT. Selbst wenn Sie ein kleiner Nutzer des Produkts eines großen Anbieters sind, sind Sie das Unternehmen, das es einsetzt.

Fragen Sie vor der Verlängerung Ihren Anbieter nach: der Logik in einfacher Sprache, Bias-Tests der Trainingsdaten, Genauigkeit in Ihrem Kontext und wie ein Arbeitnehmer ein Ergebnis anfechten kann. Legen Sie diese Dokumentation in Ihre Risikobewertungsakte. Kalifornien wird sie erwarten; Colorados KI-Gesetz auch; und eine gutgläubige Bewertung ist der beste Beweis dafür, dass eine negative Vergütungsentscheidung nicht willkürlich war.

Ihr Gehaltsabrechnungsanbieter ist Ihr größtes Konzentrationsrisiko​

Ob Sie Intuit, ADP, Gusto, Rippling oder die Sammelabrechnung eines lokalen CPA nutzen, dieser Anbieter hält jede SSN, jedes Bankkonto und jeden Nettolohnbetrag für jeden Arbeitnehmer. Die MoveIT-Verstöße von 2024 lehrten kleine Arbeitgeber, dass ein Anbieterverstoß ihre Meldepflicht gegenüber den Arbeitnehmern ist.

Bestätigen Sie schriftlich: Behält der Anbieter Daten nach Ihrer Kündigung gemäß seiner eigenen Datenschutzrichtlinie? Wie lange? Können Sie Löschung oder Rückgabe verlangen? Wer ist die Sub-Auftragsverarbeiter-Liste und wie werden Sie über Änderungen informiert? Und da viele Anbieter jetzt Benchmarking oder "Brancheneinblicke" bündeln, bestätigen Sie, ob Ihre Konfiguration Ihre Daten aus jedem Programm zum Verkauf de-identifizierter Daten ausschließt.

Wo Buchhaltung auf Datenschutz trifft – und wo Sie die Trennung richtig hinbekommen​

Buchhaltung und Datenschutz ziehen in entgegengesetzte Richtungen, und ein guter Kontenplan plus Dateidisziplin versöhnt sie.

Datenschutz sagt: Bewahren Sie personenbezogene Daten nicht länger als nötig auf. Rechnungswesen und Steuerrecht sagen: Bewahren Sie Gehaltsregister, W-2/W-4-Kopien, Zeitnachweise und Berichte über Leistungsabzüge je nach Aufzeichnungsart 3 bis 8 Jahre auf. Die Antwort ist nicht, sich für eines zu entscheiden. Es geht darum, Buchhaltungsunterlagen auf der zusammengefassten Ebene aufzubewahren, die Sie benötigen, und personenbezogene Identifikatoren nur dort, wo Sie sie benötigen.

Praktische Buchhaltungsgewohnheiten:

• Trennen Sie Systeme der Aufzeichnung. Führen Sie Ihr Hauptbuch und Gehaltsregister mit Mitarbeiter-ID oder Gehalts-ID als Schlüssel; bewahren Sie die SSN-zu-Name-Zuordnung im HRIS auf, nicht im Buchhaltungsexport, der monatlich per E-Mail versendet wird.
• Sperren Sie den Export. Wenn Sie Gehälter von der Gehaltsplattform ins Hauptbuch buchen, exportieren Sie Beträge und Konten ohne SSNs und beschränken Sie, wer einen detaillierten Bericht mit SSNs ausführen kann.
• Benennen Sie Ihre Dateien ehrlich. "Gehalt-2026-01-Bericht-nur-ID.xlsx" sagt einem zukünftigen Käufer oder Prüfer, dass Sie durch Design minimiert haben; "Gehalt-alles.xlsx" lädt zu einer Ausweitung des Umfangs ein, wenn ein Antrag auf Rechteausübung oder eine Verstoßbewertung eintrifft.
• Bauen Sie Aufbewahrung in den Abschluss ein. Fügen Sie einen Schritt zur Jahresend-Checkliste hinzu: Archivieren Sie die Gehaltsdetails im verschlüsselten, zugriffsprotokollierten Speicher, bereinigen Sie lokale Downloads und notieren Sie das Löschdatum in Ihrem Aufbewahrungsprotokoll.

Sie werden Aufbewahrungskonflikte nicht beseitigen, aber Sie werden sie von "wir bewahren alles für immer auf, weil die Buchhaltung es gesagt hat" zu "wir bewahren dieses Gehaltsregister vier Jahre lang auf, weil IRS Revenue Procedure und CCPA-Aufbewahrungsoffenlegung es sagen, und wir löschen die biometrische Vorlage 30 Tage nach dem Ausscheiden, weil Colorado es sagt" machen.

Halten Sie Ihren Gehaltsdatenschutz und Ihre Bücher von Anfang an im Einklang​

Gehaltsdaten als geschützte personenbezogene Daten zu behandeln, ist 2026 nicht mehr nur ein kalifornisches Anliegen – es ist die praktische Mindestanforderung für die Beschäftigung von Personen im gesamten wachsenden staatlichen Datenschutz-Flickwerk. Dieselbe Sorgfalt, die Ihre Finanzunterlagen vertrauenswürdig macht – eine klare Karte, wo Daten leben, ein Aufbewahrungsplan, den Sie tatsächlich befolgen, und Zugriffskontrollen, die Sie nachweisen können – ist das, was Kaliforniens Risikobewertungs- und Cybersicherheits-Auditregeln von 2026 nun von Ihnen verlangen.

Beancount.io gibt Ihnen diese Grundlage auf der Finanzseite: Klartext-Buchhaltung mit Versionskontrolle, die vollständig transparent, prüfbar und KI-bereit ist – keine Black Boxes, keine Lock-in-Effekte und eine vollständige Historie jeder Änderung an Ihren Büchern. Kombinieren Sie diese Disziplin mit einem einfachen Datenschutzhinweis für Mitarbeiter und einem Lieferantenvertrag, den Sie tatsächlich gelesen haben, und Sie sind bereit für das, was die nächsten Staatsänderungen hinzufügen.

Kostenlos loslegen und sehen Sie, warum Entwickler und Finanzprofis auf Klartext-Buchhaltung umsteigen.