Postfinance muss für die Erstellung von Stimmabdrücken eine ausdrückliche Einwilligung der Betroffenen einholen. Laut einem Urteil des Bundesverwaltungsgerichts sind bereits erstellte Abdrücke bis Mitte Februar 2027 nachträglich zu genehmigen oder zu löschen.

Die frühere Praxis von Postfinance ist nicht datenschutzkonform, wie das Gericht entschieden hat. Das Finanzunternehmen ging nach einer entsprechenden Information zu Beginn des Telefongesprächs von einer stillschweigenden Zustimmung aus, wenn die Kundinnen und Kunden nicht aktiv wurden.

Das Bundesverwaltungsgericht hat festgehalten, dass Stimmabdrücke als besonders schützenswerte biometrische Daten gelten. Sie ermöglichten eine Identifizierung einer Person. Die Bearbeitung solcher Daten erfordert gemäss Datenschutzgesetz eine "ausdrückliche Einwilligung" der betroffenen Person. Allein indem eine Person nach der Information weiterspreche, sei keine solche ausdrückliche Einwilligung. Diese Opt-Out-Lösung stelle eine Persönlichkeitsverletzung dar.

Rechtfertigungsgründe für das Vorgehen bei der Erstellung des Stimmabdrucks gibt es laut Gericht nicht. Die von Postfinance geltend gemachten Effizienz- und Sicherheitsinteressen sowie Kosteneinsparungen von 720'000 Franken vermögen die Persönlichkeitsverletzung nicht zu rechtfertigen.

Die Richter in St. Gallen betonten, dass der Schutz der Persönlichkeit und die Verfügungsfreiheit der betroffenen Personen ein sehr hohes Gewicht haben, insbesondere bei der Bearbeitung sensitiver biometrischer Daten. Eine Rechtfertigung einer Persönlichkeitsverletzung werde mit grosser Zurückhaltung angenommen.

Obwohl Postfinance im Februar 2026 eine neue Lösung zur Einholung expliziter Einwilligungen einführte, war dies nicht Gegenstand der gerichtlichen Prüfung. Das Bundesverwaltungsgericht hat die Verpflichtung bestätigt, wonach eine ausdrückliche Einwilligung einzuholen ist und Stimmabdrücke ohne Einwilligung zu löschen sind.

Aus Gründen der Verhältnismässigkeit räumte das Gericht Postfinance eine Frist bis zum 15. Februar 2027 ein, um für die bestehenden Stimmabdrücke nachträglich eine ausdrückliche Einwilligung der Kundinnen und Kunden einzuholen. Liegt bis zu diesem Datum keine solche vor, müssen die Daten gelöscht werden.

Postfinance hat mitgeteilt, für die Stimmerkennung werde seit Anfang 2026 eine ausdrückliche Einwilligung in Form eines gesprochenen "Ja" eingeholt. Zudem stelle das Unternehmen sicher, dass ältere Stimmabdrücke bis Mitte Februar 2027 gelöscht würden.

Postfinance führte im September 2018 in ihrem Kontaktcenter die Authentifizierung durch Stimmerkennung ein. Sie speicherte Stimmabdrücke von anrufenden Kundinnen und Kunden in Form eines Codewertes auf Servern in der Schweiz. Auf ihrer Website informierte das Unternehmen, dass die Stimmabdrücke zu Authentifizierungszwecken verwendet würden.

Bei erstmaligen Anrufen wurden die Kunden und Kundinnen durch eine automatische Ansage über den Einsatz der Stimmerkennung informiert. Diese Ansage lautete: "Dieses Gespräch wird zu Sicherheits- und Wiedererkennungszwecken aufgezeichnet. Postfinance erstellt aus der Aufnahme einen Stimmabdruck, um Ihre Identität bei jedem Anruf anhand Ihrer Stimme zu verifizieren. Wünschen Sie keinen Stimmabdruck, bitten wir Sie, dies dem Kundenbetreuer mitzuteilen."

Inländische Kundschaft musste sich aktiv gegen die Stimmerkennung aussprechen, während ausländische Kundinnen und Kunden explizit um ihr Einverständnis gebeten wurden.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (Edöb) leitete nach mehreren Schriftwechseln und einer Besprechung im September 2024 eine Untersuchung ein. Er prüfte, ob die Bearbeitung der Stimmabdrücke die Persönlichkeit der Schweizer Kundschaft verletze und ob eine solche Verletzung gerechtfertigt sei.

Im Mai 2025 verpflichtete der Edöb Postfinance per Verfügung, bei der Erstellung von Stimmabdrücken eine ausdrückliche Einwilligung einzuholen. Gegen diese Verfügung erhob Postfinance Beschwerde beim Bundesverwaltungsgericht. Sie beantragte die Aufhebung der Verfügung und die Abschreibung des Verfahrens als gegenstandslos (Urteil A-4467/2025 vom 13.10.2026).