Ihre Stimme, Ihre Daten: Warum Weiterreden keine Einwilligung ist | HÄRTING Rechtsanwälte

Ein kurzer Hinweis am Telefon, danach läuft das Gespräch weiter – doch darf ein Unternehmen daraus einen digitalen Stimmabdruck erstellen? Das Bundesverwaltungsgericht zieht im Fall PostFinance eine klare Grenze: Wer einfach weiterspricht, willigt nicht ausdrücklich in die Verarbeitung seiner biometrischen Daten ein. Das Urteil betrifft weit mehr als das Telefonbanking und stellt Unternehmen vor grundlegende Fragen beim Einsatz von Stimmerkennung, Gesichtsscans und anderen biometrischen Authentifizierungsverfahren.

29. Oktober 2026

Bundesverwaltungsgericht setzt der Stimmerkennung Grenzen

Biometrische Authentifizierungsverfahren versprechen Sicherheit und Komfort: Anstelle eines Passworts oder einer Sicherheitsfrage genügt die eigene Stimme, um sich gegenüber einem Unternehmen zu identifizieren. Was technisch einfach erscheint, ist datenschutzrechtlich jedoch anspruchsvoll. Denn aus einer Stimme lässt sich ein dauerhaft nutzbares Identifikationsmerkmal erzeugen.

Mit Urteil A-4467/2025 vom 13. Oktober 2026 hat das Bundesverwaltungsgericht (BVGer) entschieden, dass die PostFinance AG für die Erstellung solcher Stimmabdrücke eine ausdrückliche Einwilligung der betroffenen Personen benötigt. Das blosse Weiterführen eines Telefongesprächs nach einem entsprechenden Hinweis genügt nicht.

Der Entscheid verdeutlicht, dass eine transparente Information über eine Datenbearbeitung nicht mit deren Zustimmung gleichgesetzt werden darf. Gleichzeitig zeigt er, unter welchen Voraussetzungen Sicherheits- und Effizienzinteressen eines Unternehmens eine biometrische Datenbearbeitung rechtfertigen können.

Der Fall PostFinance: Wenn Schweigen als Zustimmung gilt

PostFinance setzte seit September 2018 ein Verfahren zur Authentifizierung mittels Stimmerkennung ein. Von anrufenden Kundinnen und Kunden mit Wohnsitz in der Schweiz wurde grundsätzlich ein Stimmabdruck erstellt, sofern sie der Speicherung nicht widersprachen. Die Kundschaft wurde zu Beginn des Telefongesprächs über die Aufzeichnung und die Erstellung eines Stimmabdrucks informiert. Wer keine Stimmerkennung wünschte, musste dies dem Kundenbetreuer mitteilen oder die Funktion über die Website deaktivieren. PostFinance setzte damit auf ein sogenanntes Opt-out-Verfahren: Die Datenbearbeitung war standardmässig vorgesehen, während die betroffene Person selbst tätig werden musste, um sie zu verhindern.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beanstandete dieses Vorgehen und verpflichtete PostFinance mit Verfügung vom 16. Mai 2025, eine ausdrückliche Einwilligung einzuholen und Stimmabdrücke ohne entsprechende Zustimmung zu löschen. PostFinance focht die Verfügung an. Das Bundesverwaltungsgericht bestätigte die materiellen Anforderungen des EDÖB, gewährte dem Unternehmen jedoch eine verlängerte Frist, um nachträglich ausdrückliche Einwilligungen einzuholen. Die zentrale Frage lautete somit: Darf ein Unternehmen das blosse Weiterreden nach einem Datenschutzhinweis als Einwilligung zur biometrischen Identifizierung verstehen?

Warum ein Stimmabdruck besonders geschützt ist

Das Schweizer Datenschutzgesetz unterscheidet zwischen gewöhnlichen Personendaten und besonders schützenswerten Personendaten. Gemäss Art. 5 lit. c Ziff. 4 DSG gehören biometrische Daten, die eine natürliche Person eindeutig identifizieren, zu den besonders schützenswerten Personendaten.

Ein Stimmabdruck ist nicht mit einer gewöhnlichen Tonaufnahme gleichzusetzen. Bei der biometrischen Stimmerkennung werden charakteristische Merkmale der Stimme technisch analysiert und in einem digitalen Referenzprofil verarbeitet. Dieses ermöglicht es, die Stimme bei späteren Kontakten mit dem hinterlegten Profil abzugleichen. Der Unterschied liegt somit insbesondere im Zweck und in der technischen Verarbeitung. Nicht jede Sprachaufnahme ist automatisch ein besonders schützenswertes biometrisches Datum. Wird sie jedoch verarbeitet, um eine Person anhand individueller Stimmmerkmale eindeutig zu identifizieren oder ihre Identität zu bestätigen, fällt das daraus gewonnene Profil unter den besonderen Schutz des DSG.

Damit gehen spezifische Risiken einher: Biometrische Merkmale sind eng mit der körperlichen Identität verbunden und lassen sich nicht ohne Weiteres ersetzen. Gelangt ein biometrisches Profil in falsche Hände oder wird es zweckwidrig verwendet, kann dies die betroffene Person langfristig beeinträchtigen. Das Bundesverwaltungsgericht misst deshalb insbesondere der Kontrolle über die eigenen biometrischen Daten, der Transparenz sowie dem Schutz vor einer späteren zweckwidrigen Verwendung erhebliches Gewicht bei.

Ausdrückliche Einwilligung: Information allein genügt nicht

Die gesetzlichen Anforderungen an eine Einwilligung ergeben sich aus Art. 6 Abs. 6 und 7 DSG. Ist eine Einwilligung erforderlich, muss sie nach angemessener Information freiwillig und für eine oder mehrere bestimmte Datenbearbeitungen erteilt werden. Betrifft die Einwilligung besonders schützenswerte Personendaten, verlangt Art. 6 Abs. 7 lit. a DSG zusätzlich, dass sie ausdrücklich erfolgt. Entscheidend ist dabei die Unterscheidung zwischen einer ausdrücklichen und einer konkludenten Einwilligung.

Eine konkludente Einwilligung wird aus dem Verhalten einer Person abgeleitet. Wer nach einer Information über die Stimmerkennung weitertelefoniert, könnte damit beispielsweise zu erkennen geben, dass er das Gespräch fortsetzen möchte. Daraus folgt jedoch nicht, dass dieselbe Person auch der Erstellung und Speicherung eines biometrischen Identifikationsprofils ausdrücklich zustimmt.

Genau diese Unterscheidung betont das Bundesverwaltungsgericht in den Erwägungen seines Urteils. Das Weiterreden stellt keine aktive, eindeutig auf die Erstellung eines Stimmabdrucks gerichtete Willenserklärung dar. Selbst eine vorgängige Information über die Datenbearbeitung vermag die fehlende Ausdrücklichkeit nicht zu ersetzen. Die Konsequenz: Ein Opt-out-Verfahren ist keine ausreichende Grundlage, wenn die konkrete Datenbearbeitung eine ausdrückliche Einwilligung voraussetzt.

Für Unternehmen bedeutet dies, dass die betroffene Person ihren Willen aktiv und unmissverständlich zum Ausdruck bringen muss. Bei einer telefonischen Authentifizierung kann beispielsweise eine gezielte Frage mit einer klaren zustimmenden Antwort in Betracht kommen. Ebenso sind entsprechend ausgestaltete digitale Zustimmungsmöglichkeiten denkbar. Eine bestimmte technische Form der Einwilligung schreibt das DSG dabei nicht generell vor. Massgeblich sind vielmehr die Freiwilligkeit, die ausreichende Information, die Bestimmtheit und die eindeutige Zustimmung zur konkreten Datenbearbeitung.

Können Sicherheitsinteressen die fehlende Einwilligung ersetzen?

Besonders relevant ist der Entscheid, weil sich das Bundesverwaltungsgericht nicht auf die Feststellung einer ungenügenden Einwilligung beschränkt. Nach Art. 30 DSG kann eine gegen die Bearbeitungsgrundsätze verstossende Bearbeitung von Personendaten eine Persönlichkeitsverletzung darstellen. Eine solche Verletzung ist gemäss Art. 31 Abs. 1 DSG jedoch nicht widerrechtlich, wenn sie durch die Einwilligung der betroffenen Person, ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist. Das Schweizer Datenschutzrecht verlangt somit nicht für jede Bearbeitung besonders schützenswerter Personendaten ausnahmslos eine Einwilligung. Liegt keine gültige Einwilligung vor, sind mögliche andere Rechtfertigungsgründe eigenständig zu prüfen.

PostFinance berief sich insbesondere auf die Sicherheit der Kundenkonten, die Verhinderung von Missbräuchen sowie die effizientere Abwicklung telefonischer Kundenanfragen. Das Bundesverwaltungsgericht anerkannte, dass die Bekämpfung von Betrugsversuchen und die Gewährleistung sicherer Finanzdienstleistungen gewichtige Interessen darstellen können. Auch wirtschaftliche Effizienzinteressen sind bei der Interessenabwägung grundsätzlich berücksichtigungsfähig. Diese Interessen rechtfertigen jedoch nicht automatisch jeden Eingriff in die Persönlichkeit. Entscheidend war insbesondere, dass PostFinance keine konkreten Beweismittel dafür vorlegte, dass die eingesetzte Stimmerkennung eine erheblich höhere Sicherheit als alternative Authentifizierungsverfahren gewährleisten würde. Das Gericht verwies dabei unter anderem auf Sicherheitsfragen, PIN-Verfahren und die Mehrfaktor-Authentifizierung.

Demgegenüber steht der erhebliche Eingriff durch die Erstellung eines dauerhaften biometrischen Identifikators. Hinzu kommt, dass PostFinance bereits zuvor zeitweise ein Opt-in-Verfahren eingesetzt hatte, später jedoch für die inländische Kundschaft zur wirtschaftlich vorteilhafteren Opt-out-Lösung zurückkehrte. In seiner Interessenabwägung gelangte das Gericht deshalb zum Schluss, dass die angeführten privaten Interessen die Persönlichkeitsverletzung nicht rechtfertigten. Bemerkenswert ist dabei die differenzierte Argumentation: Das Bundesverwaltungsgericht erklärt die biometrische Stimmerkennung nicht grundsätzlich für unzulässig. Es verwirft vielmehr die konkrete Ausgestaltung ohne ausdrückliche Einwilligung und ohne hinreichenden anderweitigen Rechtfertigungsgrund.

Bereits gespeicherte Stimmabdrücke: Einwilligung nachholen oder löschen

Der Entscheid hat auch Konsequenzen für bereits bestehende biometrische Datenbestände. Gestützt auf Art. 51 Abs. 1 DSG können datenschutzwidrige Bearbeitungen aufsichtsrechtliche Massnahmen nach sich ziehen, einschliesslich der Löschung betroffener Personendaten.

Im konkreten Verfahren bestätigte das Bundesverwaltungsgericht die Verpflichtung von PostFinance, Stimmabdrücke ohne ausdrückliche Einwilligung zu löschen. Aus Gründen der Verhältnismässigkeit räumte es dem Unternehmen jedoch eine Frist bis zum 15. Februar 2027 ein, um die erforderlichen Einwilligungen nachträglich einzuholen. Soweit bis zu diesem Zeitpunkt keine entsprechenden Einwilligungsnachweise vorliegen, müssen die betreffenden Stimmabdrücke umgehend gelöscht werden. Diese Übergangsfrist ist eine auf den konkreten Fall bezogene gerichtliche Anordnung. Daraus lässt sich kein allgemeines Recht anderer Unternehmen ableiten, rechtswidrig erstellte biometrische Profile zunächst weiterzuführen und später nachträglich zu legitimieren.

Die Entscheidung macht deutlich, dass sich Datenschutz-Compliance nicht auf die Gestaltung künftiger Einwilligungsprozesse beschränkt. Unternehmen müssen auch beurteilen, ob ihre bestehenden Datenbestände auf einer tragfähigen rechtlichen Grundlage beruhen.

Was bedeutet das Urteil für Banken, Versicherungen und Arbeitgeber?

Die rechtlichen Überlegungen des Bundesverwaltungsgerichts sind nicht auf den Finanzsektor beschränkt. Sie sind auch für Unternehmen relevant, die Gesichtserkennung, Fingerabdrucksysteme oder andere Verfahren zur biometrischen Authentifizierung verwenden. Für Banken und Versicherungen stellt sich insbesondere die Frage, ob bestehende Identifizierungsverfahren im Kundenservice eine aktive Zustimmung vorsehen oder lediglich einen Widerspruch ermöglichen.

Anbieter von Authentifizierungssoftware müssen berücksichtigen, dass die datenschutzkonforme Ausgestaltung nicht allein von der technischen Sicherheit ihrer Systeme abhängt. Ebenso wichtig sind die konkreten Abläufe zur Information und Einwilligung sowie die Möglichkeiten zur Löschung biometrischer Profile.

Auch im Arbeitsverhältnis ist besondere Zurückhaltung angezeigt. Werden Fingerabdrücke oder Gesichtsscans beispielsweise für Zutrittskontrollen oder Zeiterfassungssysteme verwendet, sind neben den Anforderungen des DSG die arbeitsrechtlichen Beschränkungen der Datenbearbeitung zu beachten. Insbesondere kann die Freiwilligkeit einer Einwilligung im Arbeitsverhältnis aufgrund des bestehenden Abhängigkeitsverhältnisses fraglich sein. Eine ausdrückliche Zustimmung allein macht eine unverhältnismässige oder arbeitsrechtlich unzulässige Bearbeitung nicht rechtmässig.

Handlungsempfehlungen für die Praxis

Unternehmen, die biometrische Authentifizierungsverfahren einsetzen oder einführen möchten, sollten ihre Prozesse anhand folgender Fragen überprüfen:

Welche Daten werden tatsächlich verarbeitet? Zu klären ist, ob lediglich Ton- oder Bildaufnahmen gespeichert oder daraus biometrische Identifikationsmerkmale gewonnen werden.
Besteht eine tragfähige rechtliche Grundlage? Ist eine ausdrückliche Einwilligung erforderlich, oder kommt nach sorgfältiger Prüfung ein anderer Rechtfertigungsgrund in Betracht?
Erfolgt die Zustimmung aktiv und informiert? Der Einwilligungsprozess sollte den konkreten Zweck der biometrischen Bearbeitung klar erkennen lassen und eine eindeutige Entscheidung ermöglichen.
Gibt es eine zumutbare Alternative? Insbesondere bei freiwilligen Angeboten sollte geprüft werden, ob Kundinnen, Kunden oder Mitarbeitende auch ohne biometrische Identifizierung Zugang zur jeweiligen Dienstleistung erhalten können.
Sind die Daten ausreichend geschützt? Zugriffsbeschränkungen, angemessene Aufbewahrungsfristen, Löschprozesse und eine gegebenenfalls erforderliche Datenschutz-Folgenabschätzung sind frühzeitig zu berücksichtigen.
Wie wird mit bestehenden Profilen umgegangen? Fehlt eine tragfähige Grundlage, muss geprüft werden, ob Datenbearbeitungen einzustellen und vorhandene biometrische Profile zu löschen sind.

Wichtig ist zudem, dass Unternehmen die erteilten Einwilligungen nachvollziehbar dokumentieren. Dies ermöglicht es, die Einhaltung der gesetzlichen Anforderungen im Streitfall darzulegen.

Fazit: Biometrische Sicherheit braucht eine bewusste Entscheidung

Das Urteil A-4467/2025 setzt eine wichtige Grenze für den Einsatz biometrischer Authentifizierungsverfahren: Die blosse Fortsetzung einer Dienstleistung ersetzt keine ausdrückliche Einwilligung in die Erstellung eines biometrischen Identifikationsprofils.

Gleichzeitig bestätigt der Entscheid, dass die Interessen an Betrugsprävention, Datensicherheit und effizienten Geschäftsprozessen rechtlich relevant sind. Sie müssen jedoch gegen die Persönlichkeitsrechte der betroffenen Personen abgewogen werden und können eine fehlende Einwilligung nicht ohne Weiteres kompensieren. Für Unternehmen liegt die praktische Herausforderung deshalb nicht darin, biometrische Verfahren generell zu vermeiden, sondern sie von Anfang an datenschutzkonform auszugestalten.

Das Urteil kann noch beim Bundesgericht angefochten werden. Unabhängig von seinem weiteren prozessualen Schicksal zeigt es bereits heute, dass Unternehmen die rechtliche Grundlage ihrer biometrischen Systeme ebenso sorgfältig prüfen sollten wie deren technische Leistungsfähigkeit.