Das Bundesverwaltungsgericht stoppt die Stimmerkennung von PostFinance: Wer einen Stimmabdruck will, braucht ein ausdrückliches «Ja» – weiterreden genügt nicht.

Wer in den letzten Jahren bei PostFinance anrief, hörte zuerst eine Ansage: Das Gespräch werde «zu Sicherheits- und Wiedererkennungszwecken» aufgezeichnet; wer das nicht wolle, solle es der Kundenberaterin mitteilen. Aus der Aufnahme erstellte die Bank einen Stimmabdruck, mit dem sie die Anrufenden beim nächsten Mal an der Stimme erkannte. Wer einfach weitersprach, hatte nach Lesart der Bank zugestimmt. Seit September 2018 lief das so – bis der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) im Mai 2025 die ausdrückliche Einwilligung und die Löschung aller ohne Einwilligung erstellten Stimmabdrücke verfügte. PostFinance wehrte sich – und hat nun vor dem Bundesverwaltungsgericht im Wesentlichen verloren (Urteil A-4467/2025 vom 13. Oktober 2026, im Zeitpunkt der Publikation dieses Artikels noch nicht rechtskräftig; Medienmitteilung).

Aufzeichnen ist zuerst eine Frage des Strafrechts

Bevor der Datenschutz ins Spiel kommt, stellt sich die Grundfrage: Darf ein Unternehmen Kundengespräche überhaupt aufzeichnen? Die Antwort gibt das Strafgesetzbuch. Wer als Gesprächsteilnehmer ein nichtöffentliches Gespräch ohne Einwilligung der anderen Beteiligten auf einen Tonträger aufnimmt, macht sich strafbar – ebenso, wer eine solche Aufnahme aufbewahrt oder auswertet (Art. 179ter StGB). Telefongespräche sind nichtöffentlich, Heimlichkeit ist nicht erforderlich. Eine Ausnahme gilt nur für Fernmeldegespräche im Geschäftsverkehr, «welche Bestellungen, Aufträge, Reservationen und ähnliche Geschäftsvorfälle zum Inhalt haben» – und auch diese Aufnahmen dürfen ausschliesslich zur Beweisführung verwendet werden (Art. 179quinquies StGB). Kundenberatung, Beschwerdemanagement oder Auskünfte fallen nach der Lehre nicht darunter (E. 7.8) – und die Erstellung eines Stimmabdrucks ist ohnehin keine Beweisführung. Die Hotline braucht also die Einwilligung. Strafrechtlich genügt dafür allerdings eine konkludente: Wer weiss, dass aufgezeichnet wird, und trotzdem weiterspricht, ist einverstanden. Genau darauf hat PostFinance gebaut – und sich dabei verrechnet (zum Thema auch: Darf man Zoom-Sitzungen aufzeichnen?).

Der Stimmabdruck ist biometrisch – und braucht ein ausdrückliches «Ja»

Denn das Datenschutzgesetz ist strenger. Ein Stimmabdruck ist ein biometrisches Datum, das eine Person eindeutig identifiziert, und damit ein besonders schützenswertes Personendatum (Art. 5 lit. c Ziff. 4 DSG). Die Stimme, so das Gericht, transportiert nicht nur Sprache, sondern auch Emotionen, Gesundheitszustand und Persönlichkeitsmerkmale; ihre Analyse schafft einen dauerhaften Identifikator, der sich – anders als ein Passwort – nie mehr ändern lässt. Ist für solche Daten eine Einwilligung nötig, muss sie ausdrücklich erfolgen (Art. 6 Abs. 7 lit. a DSG). «Ausdrücklich» heisst nach Wortlaut, Botschaft und herrschender Lehre: eine aktive Handlung mit unmissverständlicher Zustimmung zu einer klar umschriebenen Bearbeitung – ein gesprochenes «Ja», ein Häkchen, ein Klick. Blosses Weitersprechen ist bestenfalls konkludent, und das reicht nicht; dass es strafrechtlich genügt, ändert daran nichts, denn «nicht alles, was in strafrechtlicher Hinsicht nicht ausdrücklich verboten ist», ist «privatrechtlich zulässig» (E. 8.8). Die Opt-Out-Lösung von PostFinance ist damit eine Persönlichkeitsverletzung (Art. 30 DSG). Gerechtfertigt ist sie nicht (Art. 31 DSG): Das Sicherheitsinteresse der Bank wiegt nur mittel, weil sie nicht belegen konnte, dass der Stimmabdruck sicherer ist als etwa eine Mehrfaktor-Authentifizierung; die Effizienz – nach Angaben der Bank rund CHF 720’000 Ersparnis pro Jahr (E. 5.2) – wiegt ebenfalls nur mittel. Dem steht ein schwerer Eingriff in den höchstpersönlichen Bereich gegenüber.

Pikant ist die Argumentation der Bank: Das Verfahren «erfreue sich grosser Beliebtheit» . Einen Beleg dafür liefert sie nicht – und bei einem Opt-Out-Verfahren, bei dem schweigt, wer nicht widerspricht, misst «Beliebtheit» vor allem die Passivität der Kundschaft. Das Gericht hält denn auch fest, dass PostFinance die Opt-In-Lösung 2018 bereits zwei Monate lang im Einsatz hatte – und für die Schweizer Kundschaft bewusst zum Opt-Out zurückkehrte, obwohl ihr das vom EDÖB geforderte Schutzniveau bekannt war (E. 9.7).

Was bleibt

Biometrie an der Hotline ist nicht verboten – das Gericht hält ausdrücklich fest, dass der EDÖB einen Verzicht nicht einfach mit der Begründung verlangen darf, es gäbe Alternativen. Aber sie braucht vorher ein echtes, aktives «Ja». PostFinance muss für die alten Stimmabdrücke bis zum 15. Februar 2027 eine nachträgliche Einwilligung einholen oder sie löschen; gegenüber Keystone-SDA hat sie angekündigt, die Daten zu löschen. Seit Februar 2026 fragt ihr Sprachroboter zuerst um Erlaubnis – ob diese neue Lösung genügt, hat das Gericht nicht geprüft. Das Urteil ist noch nicht rechtskräftig. Für alle anderen, die ihre Kundschaft an der Stimme erkennen – die Luzerner Zeitung nennt die Zürcher Kantonalbank –, ist es trotzdem schon jetzt eine klare Ansage.

Ueli Grüter, LL.M., Rechtsanwalt, Hochschuldozent, www.hslu.ch, www.linkedin.com/in/ueli-grueter, www.digilaw.ch, advolab.ai, www.intla.ch