BVGer A-4467/2025 — Stimmerkennung und ausdrückliche Einwilligung im Datenschutzrecht

Rechtsgebiet: Datenschutzrecht · Vorinstanz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) · Besetzung: Abteilung I, Richterin Christine Ackermann (Vorsitz), Richter Stephan Metzger, Richter Alexander Misic, Gerichtsschreiber Roland Hochreutener · Verfahrensergebnis: Beschwerde teilweise gutgeheissen (Fristverlängerung); im Übrigen abgewiesen

Executive Summary

• Kernpunkt: Das Bundesverwaltungsgericht bestätigt, dass die Erstellung biometrischer Stimmabdrücke zur Authentifizierung eine ausdrückliche Einwilligung der betroffenen Personen im Sinne von Art. 6 Abs. 7 lit. a DSG erfordert. Das bloss konkludente «Weitersprechen» bei einer Opt-Out-Lösung genügt diesem Erfordernis nicht.
• Entscheidung: Die Beschwerde der PostFinance AG wird teilweise gutgeheissen; die Löschungsanordnung des EDÖB wird bestätigt, die Umsetzungsfrist jedoch bis zum 15. Februar 2027 verlängert, damit nachträglich ausdrückliche Einwilligungen eingeholt werden können.
• Bedeutung: Der Entscheid klärt erstmals durch ein Bundesgericht, dass biometrische Stimmabdrücke besonders schützenswerte Personendaten sind und dass die gesetzlich geforderte Ausdrücklichkeit der Einwilligung nicht durch ein Opt-Out-Verfahren erreicht werden kann — eine Frage, die bislang nicht höchstrichterlich geklärt war.

Sachverhalt

Die PostFinance AG führt seit September 2018 in ihrem Kontaktcenter ein Authentifizierungsverfahren mittels Stimmerkennung ein. Beim ersten Anruf werden Kundinnen und Kunden durch eine automatische Ansage darüber informiert, dass ein Stimmabdruck erstellt wird, sofern sie dies nicht ausdrücklich ablehnen (Opt-Out-Lösung). Ausländische Kundinnen und Kunden werden hingegen ausdrücklich nach ihrer Zustimmung gefragt. Der Stimmabdruck wird als Codewert auf Servern in der Schweiz gespeichert; die Stimmabdrücke werden ausschliesslich zu Authentifikationszwecken verwendet.

Der EDÖB nahm 2019 Kontakt mit der PostFinance AG auf und beanstandete die unterschiedliche Behandlung in- und ausländischer Kundinnen und Kunden. Nach weiteren Abklärungen und einem Schriftenwechsel eröffnete der EDÖB am 4. September 2024 eine Untersuchung. Mit Verfügung vom 16. Mai 2025 verpflichtete er die PostFinance AG, von betroffenen Personen bei der Erstellung von Stimmabdrücken eine ausdrückliche Einwilligung einzuholen (Dispositiv-Ziff. 1), die ohne Einwilligung erstellten Stimmabdrücke zu löschen (Dispositiv-Ziff. 2) und setzte eine Umsetzungsfrist bis zum 1. Oktober 2025 (Dispositiv-Ziff. 3).

Gegen diese Verfügung erhob die PostFinance AG Beschwerde beim Bundesverwaltungsgericht. Sie machte im Wesentlichen geltend, dass eine Einwilligung nicht erforderlich sei, dass das Opt-Out-Verfahren den gesetzlichen Anforderungen genüge und dass die Löschungsanordnung unverhältnismässig sei. Am 16. Februar 2026 führte sie — nach eigenen Angaben ohne Anerkennung einer Rechtspflicht — eine neue Sprachroboterlösung ein, die eine ausdrückliche Zustimmung («Ja») einholt.

Erwägungen

Zuständigkeit und Eintreten

Das Bundesverwaltungsgericht ist zuständig (Art. 31 VGG; der EDÖB ist administrativ der Bundeskanzlei zugeordnet, Art. 33 Bst. d VGG). Die Beschwerdeführerin ist als Adressatin der Verfügung formell und materiell beschwert und damit beschwerdelegitimiert (Art. 48 Abs. 1 VwVG). Die Beschwerde ist nicht gegenstandslos geworden, obwohl die PostFinance AG zwischenzeitlich eine Opt-In-Lösung eingeführt hat: Die Vorinstanz hält an der angefochtenen Verfügung fest, und es besteht weiterhin ein Rechtsschutzinteresse an der verbindlichen Klärung der Rechtsfrage sowie der Löschungsfrage.

Verfahrensrüge: Verletzung der Begründungspflicht

Die Beschwerdeführerin rügt eine Verletzung des rechtlichen Gehörs (Art. 29 Abs. 2 BV), weil die Vorinstanz weder mildere Mittel als die Löschung geprüft noch die Verhältnismässigkeit der Löschungsanordnung dargelegt habe. Das Bundesverwaltungsgericht hält diese Rüge für begründet: Die Vorinstanz hat nicht dargelegt, von welchen Überlegungen sie sich bei der Interessenabwägung leiten liess und ob sie Alternativen geprüft hat. Da die Gehörsverletzung jedoch nur einen Teilaspekt betrifft und nicht allzu schwer wiegt, wird sie im Beschwerdeverfahren geheilt (vgl. BGE 137 I 195 E. 2.3.2). Eine Rückweisung würde zu einem formalistischen Leerlauf führen. Der Gehörsverletzung wird bei der Kostenverteilung Rechnung getragen.

Anwendbares Recht

Die Untersuchung des EDÖB wurde am 4. September 2024 — nach dem Inkrafttreten des revidierten DSG am 1. September 2023 — eröffnet. Somit ist das neue DSG anwendbar (Art. 70 DSG). Die intertemporalrechtliche Frage, ob unter dem alten Recht eingeholte Einwilligungen unter dem neuen Recht weitergelten, wird unter E. 10.2 geklärt.

Biometrische Daten als besonders schützenswerte Personendaten

Stimmabdrücke sind biometrische Daten, die auf einem technischen Verfahren beruhen und eine eindeutige Identifikation einer natürlichen Person ermöglichen. Sie fallen unter Art. 5 Bst. c Ziff. 4 DSG und sind somit besonders schützenswerte Personendaten. Die menschliche Stimme zählt — wie das Recht am eigenen Bild — zum Schutzbereich von Art. 28 ZGB (BGE 110 II 411 E. 3b). Die Aufnahme und Analyse der Stimme sowie die Erstellung eines Stimmabdrucks greifen in den höchstpersönlichen Bereich der Persönlichkeit ein und stellen eine Persönlichkeitsverletzung dar (Art. 30 Abs. 2 Bst. a DSG), und zwar ungeachtet der Beachtung der Bearbeitungsgrundsätze.

Zudem bedarf die Aufzeichnung des Gesprächs der Zustimmung der Kundin bzw. des Kunden auch unter dem strafrechtlichen Blickwinkel von Art. 179ter StGB, der die Vertraulichkeit privater Gespräche schützt (BGE 146 IV 126 E. 2 und 3). Fehlt eine rechtsgültige Einwilligung, ist das Vorgehen auch als Persönlichkeitsverletzung im Sinne von Art. 30 Abs. 2 Bst. a DSG zu qualifizieren.

Ausdrückliche Einwilligung (Art. 6 Abs. 7 lit. a DSG)

Das zentrale Auslegungsproblem betrifft die Frage, ob die von der PostFinance AG praktizierte Opt-Out-Lösung (Weitersprechen nach Information ohne aktiven Widerspruch) die gesetzliche Anforderung der «ausdrücklichen» Einwilligung nach Art. 6 Abs. 7 lit. a DSG erfüllt. Das Gericht legt den Begriff «ausdrücklich» anhand aller Auslegungselemente aus:

Art. 6 Abs. 6 und 7 DSG (SR 235.1)Kommentierung auf glossagens.ch

«6 Ist die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird. 7 Die Einwilligung muss ausdrücklich erfolgen für: a. die Bearbeitung von besonders schützenswerten Personendaten; b. ein Profiling mit hohem Risiko durch eine private Person; oder c. ein Profiling durch ein Bundesorgan.»

Grammatikalische Auslegung: Das Adjektiv «ausdrücklich» bringt Eigenschaften wie «eindeutig, unmissverständlich, mit Nachdruck, klar» zum Ausdruck. Historische Auslegung: Nach der Botschaft gilt eine Einwilligung als ausdrücklich, wenn sie durch geschriebene oder gesprochene Worte oder ein Zeichen erfolgt und der geäusserte Wille aus den verwendeten Worten unmittelbar hervorgeht. Das Erfordernis der Ausdrücklichkeit steht im Zusammenhang mit der von der DSG-Revision verfolgten Leitlinie der Stärkung der Rechte der betroffenen Personen. Teleologische Auslegung: Der Gesetzgeber will bei besonders schützenswerten Personendaten erhöhte Anforderungen an die Bearbeitung stellen. Systematische Auslegung: Im europäischen Datenschutzrecht (DSGVO) ist bei biometrischen Daten eine ausdrückliche Einwilligung erforderlich; eine konkludente oder stillschweigende Zustimmung genügt nicht.

Die herrschende Lehre bejaht das Erfordernis einer aktiven Handlung. Ein Teil der Lehre vertritt zwar, dass sich die «Ausdrücklichkeit» nur auf den Gegenstand, nicht auf die Art der Kundgabe beziehe und folglich auch konkludent erfolgen könne. Das Gericht folgt jedoch der herrschenden Auffassung: Weder der Wortlaut und die Gesetzesmaterialien noch der Zweck der Bestimmung lassen den Schluss zu, dass eine konkludente oder stillschweigende Zustimmung genügt.

Im Ergebnis mangelt es bei der Opt-Out-Lösung der Beschwerdeführerin an der Ausdrücklichkeit: Im blossen Weitersprechen nach vorgängiger Information kann keine ausdrückliche, auf die Speicherung des Stimmabdrucks gerichtete Zustimmung erblickt werden. Dass strafrechtlich eine konkludente Zustimmung genügen kann, ist nicht entscheidend, da die spezialgesetzliche Bestimmung von Art. 6 Abs. 7 DSG unmissverständlich ist und nicht alles, was strafrechtlich nicht verboten ist, auch privatrechtlich zulässig ist.

Persönlichkeitsverletzung und Rechtfertigung

Da die Einwilligung den Anforderungen von Art. 6 Abs. 7 DSG nicht genügt, liegt eine Persönlichkeitsverletzung nach Art. 30 Abs. 2 Bst. a DSG vor. Zu prüfen bleibt, ob diese gerechtfertigt werden kann:

Art. 30 DSG (SR 235.1)

«1 Wer Personendaten bearbeitet, darf die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen. 2 Eine Persönlichkeitsverletzung liegt insbesondere vor, wenn: a. Personendaten entgegen den Grundsätzen nach den Artikeln 6 und 8 bearbeitet werden; b. Personendaten entgegen der ausdrücklichen Willenserklärung der betroffenen Person bearbeitet werden; c. Dritten besonders schützenswerte Personendaten bekanntgegeben werden. 3 In der Regel liegt keine Persönlichkeitsverletzung vor, wenn die betroffene Person die Personendaten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat.»

Eine Rechtfertigung durch Gesetz oder öffentliches Interesse fällt ausser Betracht. Auch der Rechtfertigungsgrund der Einwilligung entfällt, da die Voraussetzungen für eine rechtsgültige Zustimmung fehlen. Zu prüfen bleibt, ob ein überwiegendes privates Interesse nach Art. 31 Abs. 2 DSG vorliegt:

Art. 31 Abs. 1 und 2 Bst. a DSG (SR 235.1)

«1 Eine Persönlichkeitsverletzung ist widerrechtlich, wenn sie nicht durch Einwilligung der betroffenen Person, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist. 2 Ein überwiegendes Interesse des Verantwortlichen fällt insbesondere in folgenden Fällen in Betracht: a. Der Verantwortliche bearbeitet die Personendaten über die Vertragspartnerin oder den Vertragspartner in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags.»

Die Beschwerdeführerin beruft sich auf Sicherheits- und Effizienzinteressen sowie auf den Zusammenhang mit der Vertragserfüllung (Art. 31 Abs. 2 Bst. a DSG). Das Gericht räumt dem Sicherheitsinteresse ein mittleres Gewicht ein, da nicht nachgewiesen wurde, dass die Stimmerkennung sicherer ist als alternative Verfahren wie Multi-Faktor-Authentifizierung. Dem Effizienzinteresse wird ebenfalls mittleres Gewicht beigelegt. Das Gericht korrigiert dabei die Vorinstanz: Die Erforderlichkeit darf nicht mit der Begründung verneint werden, dass alternative Authentifizierungsmethoden zur Verfügung stünden — die Stimmerkennung ist effizienter und wirtschaftlicher und damit nicht gleichermassen geeignet, so dass der Grundsatz der sachlichen Erforderlichkeit nicht verletzt ist.

Auf der anderen Seite wiegen die Interessen am Schutz der Persönlichkeit und der Verfügungsfreiheit der betroffenen Personen sehr schwer: Es geht um besonders sensitive biometrische Daten, einen schweren Eingriff in den höchstpersönlichen Bereich und die Schaffung eines dauerhaften Identifikators. Hinzu kommt, dass die Beschwerdeführerin die Opt-In-Lösung 2018 bereits einmal eingeführt hatte und dann zur Opt-Out-Lösung zurückkehrte, obwohl ihr das höhere Schutzniveau bewusst war. Die Interessenabwägung ergibt, dass die Persönlichkeitsverletzung nicht gerechtfertigt werden kann — der Einsatz des Verfahrens bis zum 15. Februar 2026 stellt eine widerrechtliche Persönlichkeitsverletzung dar. Eine Rechtfertigung einer Persönlichkeitsverletzung wird rechtsprechungsgemäss nur mit grosser Zurückhaltung angenommen (BGE 147 IV 16 E. 2.3; BGE 138 II 346 E. 7.1; BGE 136 II 508 E. 5.2.4).

Löschungsanordnung und Intertemporalrecht

Die Vorinstanz verfügte die Löschung aller ohne ausdrückliche Einwilligung erstellten Stimmabdrücke (Art. 51 Abs. 1 DSG). Die Beschwerdeführerin macht geltend, die unter dem alten Recht eingeholten Einwilligungen seien auch nach dem Inkrafttreten des neuen DSG weiter gültig. Das Gericht verneint dies: Die Bearbeitung der vor dem 1. September 2023 erhobenen Daten dauert mit deren Speicherung zum Zweck des Stimmenvergleichs noch an (Dauersachverhalt). Die Anwendung neuen Rechts auf zeitlich offene Dauersachverhalte ist zulässig (BGE 148 II 1 E. 5.1). Der Gesetzgeber hat die Anforderungen an die Einwilligung mit der Revision wesentlich erhöht; diese Verschärfung soll ab dem Inkkrafttreten des neuen DSG gelten. Die unter dem alten Recht eingeholten Zustimmungen haben folglich keine Geltung mehr.

Die Löschung erweist sich als grundsätzlich notwendig, da sämtliche Verfahren ohne rechtsgültige Einwilligung den Anforderungen des DSG widersprechen. Aus Gründen der Verhältnismässigkeit ist der Beschwerdeführerin jedoch eine Frist einzuräumen, in der sie eine ausdrückliche Einwilligung nachträglich einholen kann. Nach herrschender Lehre muss die Einwilligung zwar vor oder mit der ersten Datenbearbeitung erfolgen; eine nachträgliche Einwilligung kann jedoch die Persönlichkeitsverletzung rechtfertigen, soweit dadurch ein Verzicht auf die Geltendmachung von Ansprüchen zum Ausdruck gebracht wird. Die Frist wird bis zum 15. Februar 2027 festgesetzt — dies entspricht dem Antrag der Beschwerdeführerin auf eine einjährige Übergangsfrist.

Dispositiv

Die Beschwerde wird teilweise gutgeheissen: Das Datum in Satz 1 von Dispositiv-Ziff. 3 der angefochtenen Verfügung wird auf den 15. Februar 2027 abgeändert, Satz 2 von Dispositiv-Ziff. 3 wird aufgehoben. Im Übrigen wird die Beschwerde abgewiesen. Verfahrenskosten von Fr. 1'500.– werden der Beschwerdeführerin auferlegt; die Vorinstanz hat eine Parteientschädigung von Fr. 5'000.– zu bezahlen (Rechnungstag der Gehörsverletzung der Vorinstanz).

Einordnung in die Rechtsprechung

Der Entscheid des Bundesverwaltungsgerichts ist der erste gerichtliche Entscheid in der Schweiz, der sich mit den Anforderungen an die Einwilligung bei der Authentifizierung mittels Stimmerkennung unter dem revidierten DSG befasst. Er bestätigt und präzisiert die Auffassung des EDÖB, der in seiner Verfügung vom 16. Mai 2025 die Opt-Out-Lösung beanstandet hatte.

In der Rechtsprechung des Bundesgerichts war die Frage der Ausdrücklichkeit der Einwilligung bei biometrischen Daten bislang nicht geklärt. Das Bundesgericht hatte sich zwar mit dem Schutz der Stimme unter Art. 28 ZGB befasst (BGE 110 II 411) und die restriktive Rechtfertigung von Persönlichkeitsverletzungen im Datenschutzrecht betont (BGE 147 IV 16 E. 2.3; BGE 138 II 346 E. 7.1 — beide zu Art. 12 Abs. 2 aDSG, dessen Grundsatz in Art. 31 Abs. 1 DSG übernommen wurde). Die spezifische Frage, ob ein Opt-Out-Verfahren der Ausdrücklichkeitsanforderung von Art. 6 Abs. 7 lit. a DSG genügt, war jedoch höchstrichterlich noch nicht entschieden.

Der Entscheid reiht sich ein in die Linie der restriktiven Praxis zur Rechtfertigung von Persönlichkeitsverletzungen und entspricht der herrschenden Lehre, die eine konkludente Zustimmung bei besonders schützenswerten Daten als ungenügend erachtet. Er steht im Einklang mit der europäischen Regelung (Art. 9 DSGVO), die bei biometrischen Daten ebenfalls eine ausdrückliche Einwilligung verlangt und konkludente oder stillschweigende Zustimmung ausschliesst. Wie der Kommentar zu Art. 6 DSG auf glossagens.ch darlegt, gilt das Formerfordernis der Ausdrücklichkeit als «qualifiziert» und stellt eine Abweichung vom Grundsatz der Formfreiheit dar — eine ungültige, weil nicht ausdrücklich erteilte Einwilligung vermag eine Persönlichkeitsverletzung nicht zu rechtfertigen.

Das Bundesverwaltungsgericht korrigiert die Vorinstanz in einem wichtigen Punkt: Die Erforderlichkeit der Stimmerkennung darf nicht mit dem Argument verneint werden, dass mildere Mittel (Sicherheitsfragen) zur Verfügung stünden. Die Stimmerkennung ist effizienter und wirtschaftlicher und damit nicht gleichermassen geeignet — ein vollständiger Verzicht auf biometrische Verfahren kann der Beschwerdeführerin unter dem Gesichtspunkt der Erforderlichkeit nicht auferlegt werden, sofern die übrigen Bearbeitungsgrundsätze gewahrt sind. Damit grenzt sich der Entscheid von einer zu strengen Auslegung des Verhältnismässigkeitsprinzips durch die Vorinstanz ab, ohne jedoch das Einwilligungserfordernis zu relativieren.

Ein Weiterzug ans Bundesgericht ist möglich (Art. 82 ff. BGG, Frist 30 Tage). In der Datenbank von OpenCaseLaw ist bislang keine Instanzenkette für diesen Entscheid verzeichnet.

Fazit

Der Entscheid klärt eine bislang offene Rechtsfrage des revidierten Datenschutzgesetzes: Bei der Bearbeitung biometrischer Daten — konkret bei der Authentifizierung mittels Stimmerkennung — ist eine ausdrückliche Einwilligung der betroffenen Person erforderlich. Ein Opt-Out-Verfahren, bei dem die Kundin oder der Kunde durch bloses Weitersprechen nach Information als einverstanden gilt, genügt den Anforderungen von Art. 6 Abs. 7 lit. a DSG nicht. Die Praxis der PostFinance AG stellt somit eine widerrechtliche Persönlichkeitsverletzung dar, die auch nicht durch überwiegende private Interessen gerechtfertigt werden kann. Die Löschung der ohne gültige Einwilligung erstellten Stimmabdrücke wird bestätigt, jedoch mit einer grosszügigen Übergangsfrist bis zum 15. Februar 2027, innerhalb derer nachträglich ausdrückliche Einwilligungen eingeholt werden können. Der Entscheid hat praktische Bedeutung über den Einzelfall hinaus: Er setzt einen klaren Massstab für alle Unternehmen, die biometrische Authentifizierungsverfahren einsetzen, und dürfte den Wechsel von Opt-Out- zu Opt-In-Lösungen in der Schweizer Finanzbranche beschleunigen.