Postfinance muss für Stimmabdrücke Zustimmung einholen

News

Seit 2018 nutzt die Postfinance Stimmabdrücke, um Kundinnen und Kunden bei Anrufen zu authentifizieren. Bis Anfang 2026 mussten sie selbst widersprechen, wenn sie das nicht wollten. Nun hält das Bundesverwaltungsgericht fest: Für Stimmabdrücke braucht es eine ausdrückliche Einwilligung.

(Source: ArtemisDiana / stock.adobe.com)

Seit September 2018 analysiert die Postfinance bei Anrufen die Stimme von Kundinnen und Kunden und erstellt daraus Profile, die sie bei späteren Gesprächen zur Authentifizierung nutzt. Wer keinen solchen Stimmabdruck wollte, musste bis Mitte Februar 2026 selbst aktiv werden und widersprechen. Nun hat das Bundesverwaltungsgericht entschieden, dass die Post-Tochter dafür vorab eine ausdrückliche Einwilligung einholen muss.

Stimmabdrücke zählen zu den biometrischen Daten. Da sie in diesem Fall der eindeutigen Identifikation dienen, gehören sie laut Bundesverwaltungsgericht zu den besonders schützenswerten Personendaten. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) wies im Rahmen seiner Untersuchung zur Stimmerkennung bei der Postfinance zudem darauf hin, dass sich die Stimme bei einem Missbrauch anders als ein Passwort nicht einfach ersetzen lässt.

Weitersprechen gilt nicht als Zustimmung

Bereits vor dem aktuellen Verfahren gab es datenschutzrechtliche Kritik an der Stimmerkennung der Postfinance. Der EDÖB beschäftigt sich seit 2019 mit dem Thema. Im Mai 2025 verfügte er, dass das Unternehmen vor der Erstellung eines Stimmabdrucks eine ausdrückliche Einwilligung einholen und Daten ohne entsprechende Zustimmung löschen müsse. Die Postfinance focht die Verfügung beim Bundesverwaltungsgericht an.

Dieses gibt dem EDÖB nun im zentralen Punkt recht: Wer nach dem Hinweis auf die Gesprächsaufzeichnung und die Erstellung eines Stimmabdrucks einfach weiterspricht, stimmt damit nicht ausdrücklich zu. Ohne eine solche Einwilligung stellt das Vorgehen eine Persönlichkeitsverletzung dar, wie das Bundesverwaltungsgericht in der Mitteilung zum Urteil festhält.

Postfinance erhält Frist bis Februar 2027

Für bereits gespeicherte Stimmabdrücke räumt das Gericht der Postfinance eine Frist bis Mitte Februar 2027 ein. Bis dahin kann das Unternehmen die ausdrückliche Zustimmung der betroffenen Kundinnen und Kunden nachträglich einholen. Liegt keine Einwilligung vor, muss die Postfinance den jeweiligen Stimmabdruck umgehend löschen.

Seit Mitte Februar 2026 setzt die Postfinance nach eigenen Angaben bereits eine neue Lösung ein, mit der sie die ausdrückliche Zustimmung zur Erstellung von Stimmabdrücken einholt. Ob dieses Verfahren den Datenschutzvorgaben entspricht, hat das Bundesverwaltungsgericht allerdings nicht geprüft.

Die Postfinance kann das Urteil noch ans Bundesgericht weiterziehen.

Übrigens: Auch beim Einsatz von Bodycams sieht der EDÖB datenschutzrechtliche Probleme. Warum die Behörde der Firma Baselland Transport (BLT) die Datenbearbeitung untersagen will und sich die BLT dagegen wehrt, lesen Sie hier.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.