Stimmabdruck bei PostFinance: Weitersprechen ist keine ausdrückliche Einwilligung

Quelle: Dieser Beitrag beruht auf der Mitteilung des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) vom 21. Oktober 2026, «Authentifizierung mittels Stimmerkennung: Bundesverwaltungsgericht bestätigt Haltung des EDÖB zur Einholung einer ausdrücklichen Einwilligung», auf der Medienmitteilung des Bundesverwaltungsgerichts vom selben Tag und auf dem Urteil A-4467/2025 vom 13. Oktober 2026 (PDF). Zitate stammen wörtlich aus diesen Dokumenten, «E.» verweist auf die Erwägungen des Urteils. Die Einordnung ist unsere eigene und ersetzt keine Rechtsberatung. Alle Quellen stehen am Ende des Beitrags.

Seit September 2018 erstellte die PostFinance AG von anrufenden Kundinnen und Kunden einen Stimmabdruck, um sie bei späteren Anrufen an der Stimme zu erkennen. Beim ersten Anruf hörten sie diese Ansage:

«Dieses Gespräch wird zu Sicherheits- und Wiedererkennungszwecken aufgezeichnet. PostFinance erstellt aus der Aufnahme einen Stimmabdruck, um Ihre Identität bei jedem Anruf anhand Ihrer Stimme zu verifizieren. Wünschen Sie keinen Stimmabdruck, bitten wir Sie, dies dem Kundenbetreuer mitzuteilen.»

Wer nichts sagte und einfach weitersprach, bekam einen Stimmabdruck. Das Bundesverwaltungsgericht hat nun entschieden, dass dies keine ausdrückliche Einwilligung ist. Die Begründung reicht weit über das Callcenter einer Bank hinaus, denn sie legt fest, was «ausdrücklich» im Datenschutzgesetz (DSG) bedeutet.

Was hat das Bundesverwaltungsgericht entschieden?

Punkt	Inhalt
Gericht	Bundesverwaltungsgericht, Abteilung I
Urteil	A-4467/2025 vom 13. Oktober 2026
Parteien	PostFinance AG gegen den EDÖB
Angefochten	Verfügung des EDÖB vom 16. Mai 2025
Ergebnis	Beschwerde teilweise gutgeheissen, und zwar nur bei der Frist
Frist	Nachträgliche ausdrückliche Einwilligung bis 15. Februar 2027, sonst Löschung
Weiterzug	Beschwerde ans Bundesgericht möglich

In der Sache hat das Gericht den EDÖB bestätigt:

• Stimmabdrücke sind besonders schützenswert. Es handelt sich um biometrische Daten, die eine eindeutige Identifizierung oder Authentifizierung ermöglichen (Artikel 5 Buchstabe c Ziffer 4 DSG; E. 8.2).
• Ihre Bearbeitung verlangt eine ausdrückliche Einwilligung nach Artikel 6 Absatz 7 Buchstabe a DSG (E. 8.6).
• Weitersprechen genügt nicht. Die bisherige Opt-out-Lösung stellt eine Persönlichkeitsverletzung dar (E. 8.9).
• Es gibt keinen Rechtfertigungsgrund. Weder Sicherheit noch Effizienz wiegen das Interesse der Betroffenen auf (E. 9.8).
• Was ohne Einwilligung bleibt, wird gelöscht. Aus Gründen der Verhältnismässigkeit erhält PostFinance bis zum 15. Februar 2027 Zeit, die Einwilligung für bestehende Stimmabdrücke nachzuholen (E. 10.3.4).

In einem zweiten Urteil (A-6813/2025) bestätigte das Gericht, dass der EDÖB seine Verfügung veröffentlichen darf. Laut EDÖB geschieht das, sobald dieses Urteil rechtskräftig ist.

Zur Vollständigkeit: In einem Punkt bekam PostFinance recht. Der EDÖB hatte in seiner Verfügung nicht hinreichend begründet, warum die Löschung verhältnismässig sein soll und ob er Alternativen geprüft hatte. Das Gericht sieht darin eine Verletzung der Begründungspflicht, heilte sie aber im Beschwerdeverfahren (E. 3.3 und 3.4).

Was heisst «ausdrücklich» nach dem Urteil?

Das ist der Kern des Urteils, und das Gericht formuliert ihn klar:

«Aus dem Gesagten folgt, dass sowohl der Wortlaut und die Gesetzesmaterialien als auch der Zweck der Bestimmung den Schluss nahelegen, dass die ‹Ausdrücklichkeit› der Einwilligung nur bejaht werden darf, wenn eine aktive Handlung der betroffenen Person und ihre unmissverständliche Zustimmung zu einer bestimmten, hinreichend klar umschriebenen Datenbearbeitung vorliegen. Eine nur konkludente oder gar stillschweigende Zustimmung genügt in diesem Zusammenhang jedenfalls nicht.» (E. 8.6.6)

Daraus ergeben sich drei Merkmale, die zusammen vorliegen müssen:

1. Eine aktive Handlung. Die Person tut etwas. Nichtstun, Schweigen oder Weitermachen reicht nicht.
2. Eine unmissverständliche Zustimmung. Die Handlung hat keinen anderen Sinn als «Ja, einverstanden».
3. Eine bestimmte, klar umschriebene Bearbeitung. Die Person weiss, wozu sie Ja sagt.

Dazu kommen die Voraussetzungen, die für jede Einwilligung gelten (Artikel 6 Absatz 6 DSG): Sie muss nach angemessener Information über Gegenstand, Zweck, Umfang und Risiken erteilt werden, und sie muss freiwillig sein. Freiwillig heisst nach dem Urteil, dass die Person über eine zumutbare Alternative verfügt und bei einer Weigerung keine unverhältnismässigen Nachteile hat (E. 8.3).

Was das in der Praxis bedeutet, zeigt die folgende Gegenüberstellung. Die linke Spalte gibt die Beispiele wieder, die das Urteil aus der Lehre übernimmt (E. 8.6.5), und die Umschreibung aus der Botschaft zum DSG, wonach eine Einwilligung durch geschriebene oder gesprochene Worte oder ein Zeichen erfolgen kann (E. 8.6.3):

Ausdrücklich	Nicht ausdrücklich
Anklicken einer Schaltfläche neben dem Informationstext	Weitersprechen nach einer Ansage
Ankreuzen eines Kästchens	Schweigen oder Nichtwidersprechen
Aktive Auswahl bestimmter Einstellungen	Schlüssiges (konkludentes) Verhalten
Ein gesprochenes oder geschriebenes «Ja» auf eine klare Frage	Eine Voreinstellung, die man selbst abschalten muss

Ein Teil der Lehre hatte vertreten, «ausdrücklich» beziehe sich nur auf den Gegenstand der Einwilligung, nicht auf die Art, wie sie geäussert wird. Das Gericht folgt dem nicht (E. 8.6.5 und 8.6.6). Es verweist zudem auf die europäische Datenschutz-Grundverordnung (DSGVO), die für biometrische Daten ebenfalls eine ausdrückliche Einwilligung verlangt und konkludentes Verhalten nicht genügen lässt (E. 8.6.4).

Ein Hinweis im Urteil verdient besondere Aufmerksamkeit. Das Gericht gibt eine Stimme aus der Lehre wieder, wonach sich der «Durchschnittsadressat» Studien zufolge bei Einwilligungen passiv verhält. Verhielten sich tatsächlich vier von fünf Personen passiv, entstünden bei einer Opt-out-Lösung deutlich mehr «Einwilligungen» als bei einer Opt-in-Lösung (E. 8.3). Genau diesen Unterschied macht die aktive Handlung aus, die das Gesetz bei heiklen Daten verlangt.

Warum reichten Sicherheit und Effizienz nicht als Rechtfertigung?

PostFinance hatte geltend gemacht, die Stimmerkennung sei sicher und beliebt, bringe allen Beteiligten einen beträchtlichen Zeitgewinn und spare damit laut eigenen Angaben Kosten von 720 000 Franken (E. 5.2). Das Gericht wog ab:

• Sicherheit: mittleres Gewicht. Das Interesse am Schutz der Konten vor Betrug wiegt grundsätzlich hoch. PostFinance legte aber keine Belege vor, dass der Stimmabdruck sicherer ist als Alternativen wie eine Zwei- oder Mehrfaktor-Authentifizierung (E. 9.6.1).
• Effizienz: mittleres Gewicht. Dass der Stimmabdruck schneller und wirtschaftlicher ist als Sicherheitsfragen, hielt das Gericht für plausibel (E. 9.6.2).
• Schutz der Betroffenen: sehr grosses Gewicht. Es geht um besonders sensible Daten, einen schweren Eingriff und einen «dauerhaften Identifikator», der ohne Mitwirkung der Betroffenen künftig eingesetzt werden kann (E. 9.6.3).

Dazu kommt ein Detail aus der Vorgeschichte: PostFinance hatte 2018 bereits einmal während rund zwei Monaten eine Opt-in-Lösung im Einsatz und kehrte für Kundinnen und Kunden in der Schweiz danach zum Opt-out zurück, obwohl ihr das höhere Schutzniveau bewusst war (E. 9.7). Kundschaft mit Wohnsitz im Ausland wurde dagegen aktiv gefragt.

Wichtig für alle, die biometrische Verfahren einsetzen: Das Gericht widerspricht dem EDÖB in einem Punkt. Ein vollständiger Verzicht auf biometrische Daten darf nicht mit dem Hinweis verlangt werden, es gebe mildere Mittel wie Sicherheitsfragen. Sind die Bearbeitungsgrundsätze gewahrt und liegt eine gültige ausdrückliche Einwilligung vor, ist die Stimmerkennung zulässig (E. 9.6.2). Das Urteil verbietet die Technik also nicht. Es verlangt, dass die Betroffenen vorher Ja sagen.

Gelten alte Einwilligungen weiter?

Nein, jedenfalls nicht in dieser Konstellation. PostFinance argumentierte, die unter dem alten DSG eingeholten Einwilligungen seien weiterhin gültig, weil sich die Bearbeitung seit 2018 nie verändert habe. Das Gericht sieht das anders: Die Stimmabdrücke werden weiterhin gespeichert und verwendet, es handelt sich um einen andauernden Sachverhalt, auf den das neue Recht anwendbar ist (E. 10.2.2).

«Vor diesem Hintergrund, insbesondere in Anbetracht der erhöhten Anforderungen des revidierten Rechts an das Vorliegen einer rechtsgültigen Einwilligung sowie der Fortsetzung der Bearbeitung der Daten, haben die unter dem Regime des alten DSG eingeholten Zustimmungen keine Geltung mehr. Vielmehr ist für die weitere Bearbeitung dieser Daten eine ausdrückliche Einwilligung, bezogen auf das heute gültige Recht, erforderlich.» (E. 10.2.2)

Unsere Einordnung: Wer besonders schützenswerte Daten auf eine Einwilligung stützt, die vor dem 1. September 2023 eingeholt wurde, und diese Daten weiterhin bearbeitet, sollte prüfen, ob die Einwilligung den heutigen Anforderungen genügt. Genügt sie nicht, lässt sie sich nach dem Urteil nachholen; eine nachträgliche ausdrückliche Einwilligung hielt das Gericht im konkreten Fall für geeignet, den rechtmässigen Zustand wiederherzustellen (E. 10.3.3).

Was heisst das für Hotlines und Sprachassistenten?

Zwei Dinge sind auseinanderzuhalten:

Die Aufzeichnung des Gesprächs. Strafrechtlich genügt hier eine schlüssige Zustimmung: Wer weiss, dass das Gespräch aufgezeichnet wird, und trotzdem weiterspricht, ist nach Artikel 179ter des Strafgesetzbuchs einverstanden, sofern er nicht zur Äusserung genötigt wird (E. 7.8). Das Gericht betont aber, dass nicht alles, was strafrechtlich erlaubt ist, auch datenschutzrechtlich genügt (E. 8.8).

Der Stimmabdruck. Sobald aus der Stimme ein biometrisches Merkmal gebildet wird, das eine Person eindeutig identifiziert, braucht es die ausdrückliche Einwilligung. Ob ein Telefon- oder Sprachassistent das tut, hängt von der Technik ab. Eine Spracherkennung, die Gesprochenes in Text umwandelt, ist etwas anderes als eine Sprechererkennung, die feststellt, wer spricht. Unternehmen sollten das bei ihrem Anbieter erfragen, statt es anzunehmen.

Für Unternehmen, die eine Stimmerkennung einsetzen oder einführen wollen, heisst das konkret:

1. Vor dem Stimmabdruck fragen, nicht danach. Eine klare Frage, auf die mit Ja oder Nein geantwortet wird.
2. Konkret informieren: was erfasst wird, wozu, wie lange und mit welchen Risiken.
3. Eine Alternative anbieten, die nicht unzumutbar ist, etwa Sicherheitsfragen oder eine andere Authentifizierung.
4. Die Antwort nachweisbar festhalten. Wer sich auf eine Einwilligung beruft, muss sie belegen.
5. Bestehende Abdrücke prüfen: Wo keine ausdrückliche Einwilligung vorliegt, nachholen oder löschen.

PostFinance setzt nach eigenen Angaben seit dem 16. Februar 2026 einen Sprachroboter ein, der vor dem Gespräch fragt, ob die Kundin dem Stimmabdruck zustimmt. Ob diese Lösung datenschutzkonform ist, hat das Gericht ausdrücklich nicht geprüft (E. 8.9).

Was bedeutet das Urteil für Websites und Cookie-Banner?

Das Urteil betrifft keine Website. Die Auslegung von «ausdrücklich» bezieht sich aber auf Artikel 6 Absatz 7 DSG, und diese Bestimmung gilt überall, wo eine ausdrückliche Einwilligung verlangt ist: bei besonders schützenswerten Personendaten (Buchstabe a) und bei einem Profiling mit hohem Risiko durch private Personen (Buchstabe b).

Für gewöhnliche Cookies verlangt das DSG grundsätzlich keine Einwilligung. Der EDÖB hält in seinem Leitfaden zu Cookies und Online-Tracking aber fest, dass bei Bearbeitungen mit hoher Eingriffsintensität vorher eine ausdrückliche Einwilligung einzuholen ist. Wann das der Fall ist, erklären wir im Beitrag zum Risiko-Radar des EDÖB. Ein naheliegendes Beispiel sind Gesundheitsangebote, wie unsere Messung auf Spital-Websites zeigt.

Wo eine ausdrückliche Einwilligung nötig ist, liegt die Übertragung nahe. Unsere Einordnung:

• «Mit der weiteren Nutzung dieser Website stimmen Sie zu» ist strukturell dasselbe wie das Weitersprechen nach einer Ansage: Information plus Weitermachen. Nach diesem Urteil dürfte das nicht genügen.
• Ein Banner, das beim Scrollen verschwindet oder dessen Schliessen-Kreuz als Zustimmung gilt, liefert keine unmissverständliche Zustimmung zu einer bestimmten Bearbeitung.
• Vorangekreuzte Kästchen sind keine aktive Handlung der Person. Für Besucher aus der EU hat das der Europäische Gerichtshof bereits 2019 entschieden (Urteil Planet49, C-673/17).
• Ein Klick auf «Akzeptieren» neben einer verständlichen Information, mit einer gleichwertigen Möglichkeit abzulehnen, entspricht dagegen dem Beispiel, das das Urteil selbst nennt.

Und wie bei PostFinance gilt: Die Einwilligung nützt nur, wenn sie sich belegen lässt. Aiara protokolliert jede Wahl im Banner im Moment der Entscheidung mit Zeitpunkt, Aktion und gewählten Kategorien und stellt die Einträge monatlich als Archiv der Einwilligungen bereit. Was ins Protokoll gehört und wie lange es aufzubewahren ist, steht im Beitrag zum Consent-Log.

Was Unternehmen jetzt prüfen sollten

1. Wo bearbeiten wir besonders schützenswerte Daten? Nach Artikel 5 Buchstabe c DSG gehören dazu unter anderem Daten über die Gesundheit, genetische Daten, biometrische Daten, die eine Person eindeutig identifizieren, religiöse oder politische Ansichten, verwaltungs- und strafrechtliche Verfolgungen sowie Massnahmen der sozialen Hilfe.
2. Worauf stützen wir uns dabei? Wo es die Einwilligung ist, muss sie ausdrücklich sein: aktive Handlung, unmissverständlich, für eine bestimmte Bearbeitung.
3. Gibt es Opt-out-Lösungen? Voreinstellungen, «wer nicht widerspricht, stimmt zu», Hinweise ohne Wahl: ersetzen durch eine echte Frage.
4. Stammen Einwilligungen aus der Zeit vor September 2023? Prüfen, ob sie den heutigen Anforderungen genügen, und gegebenenfalls nachholen.
5. Können wir jede Einwilligung belegen? Mit Zeitpunkt, Inhalt und Antwort, festgehalten im Moment der Entscheidung.
6. Bleibt eine zumutbare Alternative? Wer Nein sagt, darf keine unverhältnismässigen Nachteile haben.

---

Aiara ist ein Schweizer Anbieter für Cookie-Banner, Einwilligungsnachweise und Rechtstexte. Dieser Beitrag gibt die Mitteilung des EDÖB, die Medienmitteilung des Bundesverwaltungsgerichts und das Urteil wieder und ordnet sie ein. Er ersetzt keine Rechtsberatung im Einzelfall. Stand: 28. Oktober 2026; das Urteil kann noch beim Bundesgericht angefochten werden.

Quellen

• EDÖB, Mitteilung vom 21. Oktober 2026: «Authentifizierung mittels Stimmerkennung: Bundesverwaltungsgericht bestätigt Haltung des EDÖB zur Einholung einer ausdrücklichen Einwilligung», abgerufen am 28. Oktober 2026
• Bundesverwaltungsgericht, Medienmitteilung vom 21. Oktober 2026: «Erstellung von Stimmabdrücken erfordert ausdrückliche Zustimmung der Betroffenen»
• Bundesverwaltungsgericht, Urteil A-4467/2025 vom 13. Oktober 2026 (PDF)
• Bundesverwaltungsgericht, Urteil A-6813/2025 betreffend Publikation der Verfügung
• EDÖB, Mitteilung vom 7. August 2025: «EDÖB schliesst Untersuchung zur Stimmerkennung bei PostFinance ab»
• Bundesgesetz über den Datenschutz (DSG), SR 235.1