Postfinance muss für Stimmabdrücke Zustimmung einholen

Ausgangslage

Seit September 2018 wertet die Postfinance bei Telefonaten die Stimmen von Kundinnen und Kunden aus und erstellt daraus Profile zur Identitätsbestätigung. Bis Anfang 2026 mussten Kundinnen und Kunden selbst widersprechen, wenn sie diese Methode nicht wollten. Das Bundesverwaltungsgericht hat nun entschieden, dass für die Erstellung von Stimmabdrücken eine ausdrückliche Einwilligung notwendig ist.

Hintergrund

Die Postfinance analysiert bei Anrufen die Stimme der Kundinnen und Kunden und erstellt daraus Profile zur Authentifizierung. Diese Praxis wurde datenschutzrechtlich kritisiert, da Stimmabdrücke zu den biometrischen Daten gehören und besonders schützenswert sind. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) forderte bereits im Mai 2025, dass eine ausdrückliche Einwilligung eingeholt werden muss.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat bereits seit 2019 datenschutzrechtliche Bedenken gegenüber der Stimmerkennung der Postfinance geäussert. Die Postfinance focht diese Verfügung beim Bundesverwaltungsgericht an, das nun dem EDÖB in diesem zentralen Punkt recht gegeben hat.

Einordnung für die Schweiz

Das Urteil des Bundesverwaltungsgerichts stärkt den Datenschutz in der Schweiz. Es unterstreicht die Bedeutung der ausdrücklichen Zustimmung bei der Verarbeitung besonders schützenswerter Personendaten. Dies könnte Auswirkungen auf andere Unternehmen haben, die ähnliche Technologien einsetzen.

Was das für Unternehmen bedeutet

Unternehmen, die biometrische Daten wie Stimmabdrücke verwenden, müssen sicherstellen, dass sie eine ausdrückliche Einwilligung der betroffenen Personen einholen. Dies erfordert möglicherweise Anpassungen in den Prozessen und Systemen. Zudem müssen bereits gespeicherte Daten gelöscht werden, wenn keine Zustimmung vorliegt.

Betroffene Branchen und Berufe

Die Entscheidung des Bundesverwaltungsgerichts betrifft nicht nur die Postfinance, sondern hat Potenzial, auch andere Branchen zu beeinflussen, die biometrische Daten zur Authentifizierung nutzen. Dazu gehören beispielsweise Banken, Versicherungen und Telekommunikationsunternehmen, die ähnliche Technologien einsetzen, um ihre Kundinnen und Kunden zu identifizieren. Auch im Gesundheitswesen oder im öffentlichen Sektor könnten biometrische Daten verwendet werden, etwa zur Zugangskontrolle oder zur Identifikation von Patientinnen und Patienten.

Für die betroffenen Berufe, insbesondere in den Bereichen IT-Sicherheit, Datenschutz und Kundenservice, bedeutet das Urteil eine erhöhte Verantwortung. Sie müssen sicherstellen, dass die neuen Vorgaben umgesetzt werden und dass die Einwilligung der Kundinnen und Kunden korrekt eingeholt und dokumentiert wird. Dies erfordert möglicherweise Schulungen und Anpassungen in den Arbeitsabläufen.

Offene Fragen und nächste Schritte

Trotz des klaren Urteils des Bundesverwaltungsgerichts bleiben einige Fragen offen. So hat das Gericht beispielsweise nicht geprüft, ob die neue Lösung der Postfinance, mit der sie die ausdrückliche Zustimmung einholt, den Datenschutzvorgaben entspricht. Es bleibt abzuwarten, wie die Postfinance diese Lösung umsetzt und ob sie den Anforderungen gerecht wird.

Ausblick

Sollte keine Einwilligung vorliegen, müssen die Stimmabdrücke gelöscht werden. Die Postfinance hat die Möglichkeit, das Urteil ans Bundesgericht weiterzuziehen.

Einordnung

Das Urteil des Bundesverwaltungsgerichts betont die Wichtigkeit des Datenschutzes bei der Verwendung biometrischer Daten. Es stellt sicher, dass die Privatsphäre der Kundinnen und Kunden gewahrt bleibt und unterstreicht die Notwendigkeit klarer Zustimmungsprozesse.

Was das für KMU bedeutet

Für Schweizer KMU bedeutet das Urteil, dass sie bei der Verwendung von biometrischen Daten wie Stimmabdrücken besonders auf die Einhaltung datenschutzrechtlicher Vorgaben achten müssen. Dies kann zusätzliche administrative und technische Anpassungen erfordern.