Erstellung von Stimmabdrücken erfordert ausdrückliche Zustimmung der Betroffenen

Seit September 2018 erstellt die PostFinance AG von anrufenden Kundinnen und Kunden einen Stimmabdruck, um diesen bei weiteren Anrufen zur Authentifizierung zu verwenden. Die Kundinnen und Kunden, die keinen Stimmabdruck wünschen, müssen zu dessen Verhinderung selbst aktiv werden. Mit einer separaten Mitteilung an den Kundenberater oder einer Änderung der Voreinstellung auf der Website von PostFinance können sie die Speicherung des Stimmabdrucks verhindern. Im Mai 2019 kontaktierte der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) in dieser Angelegenheit die PostFinance AG. Es folgten diverse Schriftenwechsel und eine Besprechung. 

Ausdrückliche Einwilligung erforderlich
Da keine Einigung erzielt wurde, verfügte der EDÖB am 16. Mai 2025, dass die PostFinance AG aus Datenschutzgründen eine ausdrückliche Einwilligung der Betroffenen einzuholen habe. Zudem seien jene Stimmabdrücke zu löschen, für die keine Einwilligung vorliege. Gegen diese Verfügung erhob die PostFinance AG am 18. Juni 2025 Beschwerde beim Bundesverwaltungsgericht (BVGer). Im März 2026 teilte sie dem BVGer mit, dass sie seit Mitte Februar 2026 eine neue Lösung zum Einholen einer ausdrücklichen Zustimmung für die Erstellung von Stimmabdrücken einsetze.

Nachträgliche Zustimmung bis Mitte Februar 2027
Das BVGer kommt zum Schluss, dass die datenschutzkonforme Bearbeitung eines Stimmabdrucks, der zu den besonders schützenswerten Personendaten gehört, einer ausdrücklichen Einwilligung der Betroffenen bedarf. Wenn die betroffene Person nach der Information über die Aufzeichnung des Gesprächs und die Erstellung eines Stimmabdrucks einfach weiterspricht, so stimmt sie hiermit nicht ausdrücklich zu. Das Erstellen eines Stimmabdrucks ohne ausdrückliche Einwilligung des Betroffenen begründet eine Persönlichkeitsverletzung. Ein Rechtfertigungsgrund für dieses Vorgehen liegt nicht vor.
 
Mit Rücksicht auf den Grundsatz der Verhältnismässigkeit hat das BVGer der PostFinance AG eine Frist bis Mitte Februar 2027 eingeräumt, innert der sie für die bereits erstellten Stimmabdrücke die ausdrückliche Einwilligung von den betroffenen Kundinnen und Kunden einholen kann. In Fällen, in denen keine Einwilligung vorliegt, sind die Daten umgehend zu löschen. Ob die von der PostFinance AG Mitte Februar 2026 eingeführte neue Lösung datenschutzkonform ist, war vom BVGer nicht zu prüfen. Das Gericht heisst die Beschwerde somit teilweise gut.

Das Urteil kann beim Bundesgericht angefochten werden.