Was ist eine CCPA-Prüfung? Ein Leitfaden zur Einhaltung der Vorschriften für Personalvermittler

Wenn Ihr Rekrutierungsteam Daten von Bewerbern aus Kalifornien verarbeitet, gilt der CCPA für Sie, und es steht mehr auf dem Spiel als früher. Die Ausnahmeregelung für die Personalabteilung wurde abgeschafft, was bedeutet, dass Lebensläufe, Hintergrundüberprüfungen und Notizen zu Vorstellungsgesprächen nun gesetzlich geschützte Verbraucherdaten sind. [1] Die kalifornische Datenschutzbehörde kann Führungskräfte nun persönlich für Fahrlässigkeit haftbar machen. Vor jeder risikoreichen Datenverarbeitung benötigt Ihr Unternehmen eine formelle schriftliche Bewertung, eine sogenannte CCPA-Bewertung, aus der hervorgeht, dass Ihre Vorgehensweisen das Datenschutzrisiko rechtfertigen. Hier erfahren Sie, wie Sie dieses Compliance-Rahmenwerk aufbauen.

Was ist eine CCPA-Prüfung?

Eine CCPA-Prüfung, oft auch als Datenschutz-Risikobewertung bezeichnet, ist eine vorgeschriebene Bewertung, die Unternehmen durchführen müssen, bevor sie mit der Suche nach Stellen beginnen, die mit der Verarbeitung risikoreicher Daten verbunden sind, wie beispielsweise Führungspositionen, datensensible, technische oder Stellen mit hohem Datenaufkommen. Diese Prüfung stellt sicher, dass die Erhebung sensibler Bewerberdaten durch betriebliche Erfordernisse rechtlich gerechtfertigt ist, mindert gleichzeitig Datenschutzrisiken und dokumentiert, dass die erforderlichen Sicherheitsmaßnahmen getroffen wurden.

Schritt-für-Schritt-Leitfaden zur Einhaltung des CCPA für Personalbeschaffungsteams

In Übereinstimmung mit den neuesten CCPA-Anforderungen für 2026 helfen diese Schritte Ihrem Talent-Acquisition-Team dabei, rechtliche Risiken zu minimieren, Bewerberdaten zu schützen und einen vertrauenswürdigen Einstellungsprozess aufzubauen.

Schritt 1: Überprüfen und erfassen Sie Ihre Rekrutierungsdaten

Eine fundierte CCPA-Bewertung beginnt damit, genau zu wissen, wo sich die Daten der Bewerber befinden. Erfassen Sie alle Quellen, mit denen Ihr Team zu tun hat:

• Bewerbermanagementsysteme: Ihr ATS speichert Bewerbungen, Lebensläufe und Kommunikationsprotokolle. Durch die Nutzung einer Plattform wie Manatal wird die Datenverwaltung direkt in Ihren Arbeitsablauf integriert. Veraltete Software oder gemeinsam genutzte Unternehmenslaufwerke führen zu einer erheblichen Datenflut.
• E-Mail-Posteingänge: Bewerber senden ihre Lebensläufe häufig direkt per E-Mail an Personalvermittler. Diese Dateien bleiben auf unbestimmte Zeit in den einzelnen Postfächern verborgen, was es schwierig macht, Löschanfragen vollständig umzusetzen.
• Anmerkungen zum Interview: Leistungsbeurteilungen, die auf Papier oder in persönlichen digitalen Dokumenten festgehalten werden, gelten nach kalifornischem Recht als personenbezogene Daten. Sie unterliegen denselben Schutzbestimmungen wie amtliche Unterlagen.
• Hintergrundüberprüfung Portale: Diese Anbieter verarbeiten hochsensible Daten, darunter Adressen und Identifikationsnummern. In Ihrer Datenverarbeitungsvereinbarung müssen deren Löschpflichten ausdrücklich festgelegt sein.
• Stellenbörsen von Drittanbietern: Rekrutierungsplattformen wie LinkedIn oder Indeed Bewerberprofile. Der Import dieser Daten in Ihr System löst Compliance-Verpflichtungen aus, was bedeutet, dass Ihr Arbeitsablauf einen ordnungsgemäßen Prozess zur Einholung der Einwilligung beinhalten muss.

Die manuelle Verwaltung von Einwilligungen, Aufbewahrungsfristen und Löschanfragen in Tabellenkalkulationen ist nicht mehr tragbar. Manatal zentralisiert Bewerberdaten in sicheren Datenbanken und vereinfacht die Einhaltung von Vorschriften durch integrierte Tools. Wenn ein Bewerber einen Löschantrag stellt, können Teams diesen sofort über das Profil des Bewerbers ausführen, anstatt E-Mails durchsuchen zu müssen.

{{cta}}

Schritt 2: Datenminimierung umsetzen

Entfernen Sie überflüssige Datenfelder, bevor Sie Ihre Datenschutzerklärung verfassen. Sie müssen wissen, welche Daten Sie tatsächlich erheben, bevor Sie diese offenlegen. Wenn in einem Bewerbungsformular Informationen ohne klare gesetzliche Grundlage abgefragt werden, wie beispielsweise das Geburtsdatum, entfernen Sie diese. Setzen Sie Ihren dokumentierten Aufbewahrungsplan durch und löschen Sie veraltete Profile und unqualifizierte Lebensläufe systematisch. Eine Bewerberdatenbank mit veralteten Datensätzen ohne dokumentierte Aufbewahrungsrichtlinie birgt ein erhebliches Risiko hinsichtlich der Durchsetzungder CCPA/CPRA-Vorschriften, einschließlich potenzieller Strafen von bis zu 7.500 US-Dollar pro vorsätzlichem Verstoß. [2]

Schritt 3: Aktualisieren Sie Ihre Datenschutzerklärung für Bewerber

Stellen Sie Ihre Datenschutzerklärung zum Zeitpunkt der Datenerhebung bereit, bevor Bewerber ihre Lebensläufe einreichen. Die Erklärung muss die Kategorien der erhobenen Daten, den Zweck der Erhebung, die Aufbewahrungsfristen, die Weitergabe an Dritte sowie die Rechte gemäß dem CCPA enthalten.

Veröffentlichen Sie die Ausschreibung auf Ihrer Karriereseite, verlinken Sie sie mit allen Bewerbungsformularen und fügen Sie sie in Ihre ersten Kontaktnachrichten an von uns ausgewählte Kandidaten ein.

Schritt 4: Erstellung eines DSAR-Protokolls

Ein Protokoll für Auskunftsersuchen betroffener Personen (DSAR) ist ein strukturierter Unternehmensworkflow, der zur Bearbeitung individueller rechtlicher Anfragen bezüglich der Kontrolle personenbezogener Daten dient. Erstellen Sie einen klaren Workflow zur Bearbeitung von drei Arten von Anfragen: Auskunft, Berichtigung und Löschung. Bestimmen Sie einen Teamverantwortlichen, dokumentieren Sie die 45-tägige Antwortfrist und führen Sie ein Protokoll über alle ergriffenen Maßnahmen. Schulen Sie die Personalvermittler darin, Anfragen sofort zu erkennen und weiterzuleiten.

Das größte Risiko bei der Umsetzung besteht hier darin, dass Daten über verschiedene Systeme verstreut sind. Wenn ein Bewerber die Löschung seiner Daten beantragt, muss Ihr Team die Datensätze im ATS, in E-Mail-Verläufen, in Notizen zu Vorstellungsgesprächen und in allen mit diesem Profil verknüpften Aktivitätsprotokollen ausfindig machen und entfernen. Das Aktivitäts- und Notizmanagement von Manatal bündelt all diese Interaktionen zentral in einem einzigen Bewerberdatensatz. Das bedeutet: eine zentrale Stelle zur Überprüfung, eine zentrale Stelle zum Ergreifen von Maßnahmen und ein dokumentierter Prüfpfad, falls CalPrivacy jemals Nachweise anfordert.

Schritt 5: Überprüfung von Drittanbietern

Überprüfen Sie alle Rekrutierungstools, die Bewerberdaten verarbeiten, darunter Hintergrundüberprüfungen, Kompetenzbewertungen, Video-Vorstellungsgespräche und CRM-Plattformen für die Personalbeschaffung. Vergewissern Sie sich, dass jeder Drittanbieter über eine unterzeichnete Datenverarbeitungsvereinbarung verfügt, die den gesetzlichen Anforderungen entspricht und die Verpflichtungen zur Datenlöschung ausdrücklich festlegt. Ersetzen Sie alle Anbieter, die sich weigern, diese Anforderungen zu erfüllen.

Schritt 6: Führen Sie eine Risikobewertung für ADMT durch

Unter „Automated Decision-Making Technology“ (ADMT) versteht man jedes KI- oder algorithmische System, das ohne direkte menschliche Einwirkung zur Vorauswahl, Bewertung oder Einstufung von Bewerbern eingesetzt wird. Führen Sie eine formelle Risikobewertung durch, bevor Sie KI-gestützte automatisierte Tools für Bewerber in Kalifornien einsetzen. Dokumentieren Sie die Funktionsweise des Tools, die Datennutzung, die Auswirkungen auf den Einstellungsprozess, das Risiko von Verzerrungen sowie die angewandten Schutzmaßnahmen. Halten Sie diese Dokumentation für eine Überprüfung durch CalPrivacy bereit.

Checkliste zur Einhaltung der CCPA-Vorschriften im Personalwesen

Diese Checkliste stützt sich in erster Linie auf den California Consumer Privacy Act (CCPA) und die entsprechenden Leitlinien der California Privacy Protection Agency (CPPA) sowie auf sich abzeichnende regulatorische Erwartungen hinsichtlich KI und Technologien zur automatisierten Entscheidungsfindung im Bereich Beschäftigung und Personalbeschaffung.

Bestandsaufnahme und Kartierung von Daten

• Alle potenziellen Datenquellen erfassen (ATS, E-Mail, Notizen zu Vorstellungsgesprächen, Portale für Hintergrundüberprüfungen, Jobbörsen)
• Dokumentieren Sie die Kategorien der erhobenen personenbezogenen Daten und den geschäftlichen Zweck für jede Kategorie
• Ermitteln Sie alle Dienstleister, Auftragnehmer und Dritte, die Bewerberdaten erhalten
• Stellen Sie sicher, dass entsprechende Vereinbarungen mit Anbietern (wie beispielsweise Datenverarbeitungsverträge oder die vom CCPA vorgeschriebenen Bedingungen für Dienstleister) vorliegen

Datenschutzerklärung

• Aktualisieren Sie die Datenschutzerklärung auf der Karriereseite Ihres Unternehmens, um die Anforderungen des CCPA/CPRA an die Datenschutzerklärung zu erfüllen.
• Link zur Datenschutzerklärung in Bewerbungsformularen und Rekrutierungsprozessen, in denen personenbezogene Daten erhoben werden
• Wird ADMT bei Einstellungsentscheidungen eingesetzt, sind die erforderlichen Informationen über den Einsatz automatisierter Entscheidungstechnologien sowie über etwaige Rechte der Bewerber offenzulegen.

Aufbewahrung und Einwilligung

• Aufbewahrungsfristen für die verschiedenen Kategorien von Bewerberdaten festlegen
• Konfigurieren Sie die HR-Systeme so, dass sie nach Ablauf der Aufbewahrungsfristen Workflows zum Löschen oder zur Überprüfung unterstützen.
• Dokumentieren Sie, wie Bewerberdaten von externen Rekrutierungsplattformen bezogen werden
• Stellen Sie sicher, dass die E-Mail-Postfächer der Personalvermittler und die Tools zur Zusammenarbeit in die Aufbewahrungs- und Löschprozesse einbezogen werden

Vorbereitung auf Anträge betroffener Personen (DSAR)

• Erstellung und Dokumentation eines Arbeitsablaufs zur Bearbeitung von Datenschutzanfragen aus Kalifornien innerhalb der gesetzlich vorgeschriebenen Fristen
• Beauftragen Sie zuständiges Personal mit der Entgegennahme und Koordination von Anfragen
• Führen Sie ein Anfragprotokoll, in dem die Entgegennahme, die Antwortfristen und die ergriffenen Maßnahmen dokumentiert werden
• Schulen Sie Personalvermittler und Mitarbeiter der Personalabteilung darin, Datenschutzanfragen zu erkennen und weiterzuleiten

ADMT und Risikobewertung

• KI-basierte Instrumente zur Bestandsaufnahme oder automatisierte Entscheidungshilfen, die bei der Personalbeschaffung oder -einstellung zum Einsatz kommen
• Prüfen Sie, ob die kalifornischen ADMT-Vorschriften für jedes einzelne Werkzeug gelten und ob etwaige arbeitsrechtliche Ausnahmen zutreffen.
• Führen Sie Überprüfungen hinsichtlich Voreingenommenheit, Diskriminierung und Genauigkeit bei ADMT-Tools im Zusammenhang mit der Personalauswahl durch und dokumentieren Sie diese
• Sofern gesetzlich vorgeschrieben, sind die Rechte auf Benachrichtigung, Auskunft, Widerspruch oder Einspruch im Zusammenhang mit der Verarbeitung von ADMT zu gewähren.

Zugriffskontrollen und Sicherheit

• Rollenbasierte Zugriffskontrollen für Rekrutierungssysteme implementieren
• Aktivieren Sie die Multi-Faktor-Authentifizierung (MFA) für Benutzer aus den Bereichen Personalwesen und Personalbeschaffung
• Überprüfen Sie regelmäßig die Zugriffsberechtigungen und entfernen Sie nicht benötigte Berechtigungen.
• Überprüfen Sie die Verschlüsselung während der Übertragung und im Ruhezustand für Systeme, in denen Kandidateninformationen gespeichert werden

Interne Schulung

• Schulung von Personalvermittlern und Mitarbeitern der Personalabteilung zu den Datenschutzrechten in Kalifornien und den DSAR-Verfahren
• Schulung von Personalverantwortlichen in den Bereichen Datenminimierung und angemessene Dokumentation von Vorstellungsgesprächen
• Führen Sie Aufzeichnungen über die Teilnahme an Compliance- und Datenschutzschulungen

Wichtige Fragen zur CCPA-Prüfung für Personalvermittler

Diese Vorlage für CCPA-Bewertungsfragen basiert auf den CCPA/CPRA-Vorschriften , die die Datenpraktiken von Arbeitgebern und Bewerbern regeln. Sie dient als Compliance-Prüfung, umTransparenz (Hinweis bei der Datenerhebung),ausdrückliche Einwilligung und denSchutz der Datenschutzrechte von Bewerbern während des gesamten Rekrutierungsprozesses sicherzustellen.

1. Bestätigung des Erhalts der Datenschutzerklärung

• Frage/Aussage: „Bevor wir Ihre Bewerbungsunterlagen prüfen, hatten Sie bereits Gelegenheit, unsere offizielle Datenschutzerklärung für Bewerber in Kalifornienzu lesen, in der die spezifischen Kategorien der von uns erfassten personenbezogenen Daten sowie deren Verwendung detailliert beschrieben sind?“
• Compliance-Ziel: Erfüllt die Anforderung des CCPA bezüglich der Benachrichtigung bei der Datenerhebung.

2. Einwilligung zur Überprüfung sensibler personenbezogener Daten (SPI)

• Frage/Erklärung: „Da diese konkrete Stelle eine umfassende Überprüfung des Hintergrunds, des Strafregisters oder der Bonität erfordert, erklären Sie sich hiermit ausdrücklich mit der Erhebung und Verarbeitung diesersensiblen personenbezogenen Daten ausschließlich zum betrieblichen Zweck der Überprüfung Ihrer Bewerbung?“
• Compliance-Ziel: Stellt sicher, dass für die Verarbeitung von Daten mit hohem Risiko bzw. SPI-Daten eine ausdrückliche Einwilligung vorliegt.

3. Offenlegung von Technologien zur automatisierten Entscheidungsfindung (KI-Tools)

• Frage/Aussage: „Unser erster Bewertungsprozess nutzt automatisierte Profilierungs- und Screening-Tools zur Beurteilung der technischen Kernkompetenzen. Sind Sie damit einverstanden, diese automatisierte Bewertung durchzuführen, und wissen Sie, wie Sie bei Bedarf eine manuelle Überprüfung Ihrer Ergebnisse beantragen können?“
• Compliance-Ziel: Behandelt die CCPA-Vorschriften hinsichtlich automatisierter Entscheidungsfindung und Profiling-Risiken.

4. Einwilligung zur Weitergabe von Daten an Dritte

• Frage/Erklärung: „Um Ihre Bewerbung weiterzuverfolgen, müssen wir Ihre Identitäts- und Kontaktdaten an unsere geprüften Anbieter für Hintergrundüberprüfungen weitergeben. Erteilen Sie uns die Erlaubnis, Ihre Daten an diese autorisierten Dritten ausschließlich für diesen Überprüfungsprozess weiterzugeben und weiterzugeben?“
• Compliance-Ziel: Verhindert die unbefugte „Weitergabe oder den Verkauf“ von Verbraucher- bzw. Bewerberdaten.

5. Einwilligung zur künftigen Beibehaltung im Talentpool

• Frage/Hinweis: „Sollten Sie für diese derzeit offene Stelle nicht ausgewählt werden, möchten wir Ihren Lebenslauf und Ihre Bewerbungsunterlagen bis zu 12 Monate für zukünftige Stellenangebote aufbewahren. Sind Sie mit dieser Aufbewahrungsfrist einverstanden, oder möchten Sie lieber, dass wir Ihre Daten nach Abschluss des Auswahlverfahrens für diese konkrete Stelle löschen?“
• Compliance-Ziel: Einhaltung der Datenminimierung und präziser Transparenz bei der Aufbewahrungsdauer.

6. Überprüfung des „Rechts auf Information“ und des Zugangs

• Frage/Aussage: „Sind Sie sich Ihres Rechts gemäß dem CCPA bewusst, formell Zugang zu den spezifischen personenbezogenen Daten – einschließlich Notizen von Personalvermittlern oder aus Vorstellungsgesprächen –, die wir im Rahmen dieses Einstellungsverfahrens über Sie erfasst haben, oder eine übertragbare Kopie davon zu verlangen?“bestimmter personenbezogener Daten, einschließlich Notizen von Personalvermittlern oder aus Vorstellungsgesprächen, die wir im Rahmen dieses Einstellungsverfahrens über Sie erfasst haben?“
• Compliance-Ziel: Fördert die Einhaltung des Rechts der Verbraucher auf Information und Zugang.

7. Ausführliche Hinweise zum „Recht auf Löschung“

• Frage/Aussage: „Sollten Sie sich zu irgendeinem Zeitpunkt entscheiden, Ihre Kandidatur zurückzuziehen oder die Löschung Ihres Profils zu beantragen, wissen Sie, wie Sie einen formellen Antrag stellen können, damit Ihre persönlichen Daten dauerhaft gelöscht aus unseren aktiven Rekrutierungsdatenbanken zu lassen?“
• Compliance-Ziel: Erfüllt die Verpflichtung, einen klaren Mechanismus für das Recht auf Löschung (Recht auf Vergessenwerden) bereitzustellen.

8. Erklärung zur Nichtdiskriminierung

• Frage/Erklärung: „Seien Sie versichert, dass die Ausübung Ihrer Datenschutzrechte als Verbraucher gemäß dem CCPA keine negativen Auswirkungen auf Ihre Bewerbung, Ihre Bewertung oder die Beurteilung für diese Stelle haben wird. Haben Sie noch Fragen zu Ihren Datenschutzrechten, bevor wir zur nächsten Phase übergehen?“
• Compliance-Ziel: Gewährleistet die strikte Einhaltung des im CCPA verankerten Rechts auf Nichtdiskriminierung bei der Ausübung von Datenschutzrechten.

Schlussfolgerung

Die CCPA-Vorschriften von 2026 legen den Schwerpunkt darauf, die Rechenschaftspflicht im Datenschutz wie die finanzielle Rechenschaftspflicht zu behandeln, und verlangen Dokumentation, Audits sowie benannte Verantwortliche. Dieses Modell breitet sich aus – sechs US-Bundesstaaten verfügen bereits über umfassende Datenschutzgesetze – und wird sich voraussichtlich landesweit durchsetzen. Investitionen in ein zentralisiertes Datenmanagement und eine solide Daten-Governance im Rahmen der Personalbeschaffung sind für die künftige Einhaltung der Vorschriften von entscheidender Bedeutung. Personalagenturen sollten Datenschutzmaßnahmen proaktiv integrieren, anstatt die Einhaltung der Vorschriften lediglich als Verwaltungsaufwand zu betrachten. Der Einstieg mit CCPA-Bewertungen und aktualisierten Datenschutzerklärungen ist unerlässlich und verdeutlicht, wie wichtig es ist, den Datenschutz bereits jetzt ernst zu nehmen.

Starten Sie noch heute Ihre 14-tägige kostenlose Testphase bei Manatal, um Bewerberdaten zu zentralisieren und die Einhaltung der CCPA-Vorschriften in großem Maßstab zu verwalten.

Häufig gestellte Fragen

F: Nutzt Ihr Personalteam automatisierte Tools für die Personalbeschaffung?

A: Wenn Ihr ATS, wie beispielsweise Manatal, Lebensläufe bewertet, bevor ein Personalverantwortlicher sie sichtet, handelt es sich um ADMT. Wenn Ihre Video-Interview-Plattform Bewerber nach ihrem Kommunikationsstil einstuft, handelt es sich ebenfalls um ADMT. Diese Tools erfordern eine separate Risikobewertung und müssen den Bewerbern offengelegt werden. Bewerber haben gemäß dem CCPA das Recht, der automatisierten Entscheidungsfindung zu widersprechen, und Sie benötigen ein Verfahren, um diesem Recht nachzukommen.

F: Wer hat Zugriff auf Bewerberdaten, und wie geht ein ATS mit diesem Compliance-Risiko um?

A: Ein uneingeschränkter Datenzugriff innerhalb eines Unternehmens stellt ein erhebliches Compliance-Risiko dar. Ein ATS wie Manatal löst dieses Problem durch eine strenge rollenbasierte Zugriffskontrolle. Anstatt jedem im Unternehmen die Suche in der gesamten Bewerberdatenbank zu gestatten, wird die Sichtbarkeit je nach Rolle individuell angepasst: Personalvermittler erhalten vollen Zugriff auf den Bewerbungsverlauf, Personalverantwortliche sehen nur Lebensläufe und Notizen zu Vorstellungsgesprächen, und der Zugriff für die Finanzabteilung ist vollständig eingeschränkt. Gleichzeitig behalten Personalvorstände und Sicherheitsteams den erforderlichen Zugriff für Audit-Zwecke.

F: Welche Sicherheitsmaßnahmen schützen die Daten der Bewerber?

A: Führen Sie diese konkret auf. Rollenbasierte Zugriffskontrollen. Verschlüsselung im Ruhezustand und während der Übertragung. MFA für die Anmeldungen von Personalvermittlern. Workflows zur automatischen Datenlöschung. Prüfprotokolle darüber, wer auf welche Daten zugegriffen hat. Datenschutzvereinbarungen mit Anbietern. In diesem Abschnitt entscheidet sich, ob Ihre CCPA-Prüfung erfolgreich verläuft oder ins Stocken gerät. Die Verordnung verlangt eine „Abwägungsentscheidung“, also eine dokumentierte Feststellung, dass Ihre Sicherheitsmaßnahmen die Risiken so weit reduzieren, dass die Datenverarbeitung gerechtfertigt ist.

Zitat

1. SHRM
2. CA Civ Code § 1798.155 (2025)