- Der EDÖB verpflichtete PostFinance, Stimmabdrücke zur Authentifizierung nur mit ausdrücklicher Einwilligung zu erheben und nicht konsentierte Profile zu löschen.
- Der EDÖB befand, die Biometrieverwendung zur Authentifizierung verletze den Verhältnismässigkeitsgrundsatz; PostFinance bestreitet dies und hat Beschwerde eingereicht.
Der EDÖB hat mitgeteilt, dass er eine Untersuchung gegen die PostFinance geführt hat wegen der Authentifizierung mittels Stimmerkennung. Die Untersuchung wurde am 16. Mai 2025 abgeschlossen, mit einer Verfügung, Stimmabdrücke zur Authentifizierung nur mit der ausdrücklichen Einwilligung von den betroffenen Personen einzuholen. Stimmabdrücke ohne solche Einwilligung seien zu löschen.
Die Begründung ist nicht öffentlich, die Verfügung wurde beim Bundesverwaltungsgericht angefochten. Der EDÖB hat in seiner Medienmitteilung aber mitgeteilt (weshalb er dazu eine Mitteilung macht, sieht man nicht), dass zur Stimmabdrücke zur Identifikation einer Person besonders schützenswerte Personendaten sind (richtig), dass damit vor “dem Hintergrund des zunehmenden technologischen Fortschritts” aber Risiken verbunden sind und die Verwendung biometrischer Daten zu Authentifizierungszwecken durch die PostFinance AG gegen den Grundsatz der Verhältnismässigkeit verstosse:
Die Untersuchung des EDÖB ergab, dass die Bearbeitung von biometrischen Daten zu Authentifizierungszwecken […] gegen den Grundsatz der Verhältnismässigkeit verstösst. Zudem werden die Stimmabdrücke ohne die aktive Abgabe einer Willenserklärung von Kundinnen und Kunden erstellt. Das heisst, die Kundinnen und Kunden, welche den Einsatz von Stimmerkennung ablehnen, müssen selber aktiv werden. […]
Der EDÖB erachtet dieses Vorgehen als datenschutzrechtswidrig und hat die PostFinance AG mittels Verfügung verpflichtet, von betroffenen Personen bei Erstellung von Stimmabdrücken zur Authentifizierung durch Stimmerkennung eine ausdrückliche Einwilligung einzuholen. Die PostFinance AG wird zudem angewiesen, diejenigen Stimmabdrücke zu löschen, bei welchen keine ausdrückliche Einwilligung der betroffenen Person vorliegt. […]
Der Eindruck liegt nahe, dass der EDÖB nach dem bekannten Muster vorgeht – die Verhältnismässigkeit von Datenbearbeitungen nicht am Zweck der Bearbeitung zu messen (z.B. Convenience, die ein legitimes Ziel des Verantwortlichen sein kann), sondern an einem nicht objektivierten, sondern letztlich vom EDÖB konstruierten Masstab (dazu auch hier und hier). Falls dem so ist – wie gesagt liegt die Verfügung selbst nicht vor –, wird das Bundesverwaltungsgericht hoffentlich für Klärung sorgen.
Eine weitere Frage wäre jene, ob die PostFinance in einer Prüfung zum Ergebnis gekommen war, die Verwendung von Stimmprofilen sei sicherer als andere Authentifizierungsmethoden. Es ist anzunehmen, dass auch diese Frage Gegenstand der Untersuchung war, der EDÖB dabei aber zum Ergebnis gelangt ist, dass ein Sicherheitsgewinn nicht ausreichend gewichtig ist.
Die PostFinance hat ihrerseits eine Medienmitteilung veröffentlicht, in der sie festhält, dass der EDÖB vor Erlass der Verfügung über ein neues Verfahren mit Einwilligung informiert worden war, das auf der Einwilligung der Kunden beruht. Offenbar hielt es der EDÖB dennoch für angezeigt, eine Verfügung zu erlassen – vielleicht um eine Löschung der bereits erhobenen Profile zu erreichen, vielleicht aus anderen Gründen.