In augustus 2021, noyb verschillende klachten ingediend tegen nieuwssites die onwettige 'Pay or OK'-systemen gebruiken bij Duitse gegevensbeschermingsautoriteiten (DPA's). Ondanks het feit dat slechts 3 tot 10% van de mensen tracking voor gepersonaliseerde reclame wil, leiden deze systemen tot toestemmingspercentages van meer dan 99%. Bijna vier jaar na het indienen van de klachten zijn de gegevensbeschermingsautoriteiten van Noordrijn-Westfalen en Hessen er nog steeds niet in geslaagd een beslissing ten gronde te nemen. Integendeel: Om te voorkomen dat de zaak definitief wordt beslist, heeft de DPA van Noordrijn-Westfalen zelfs een 12 pagina's tellende beslissing uitgevaardigd waarover ze nog geen beslissing kan nemen. Vandaag, noyb beide instanties voor de rechter gedaagd voor hun jarenlange inactiviteit.
Achtergrond van 'Betalen of OK'. In augustus 2021, noyb twee GDPR-klachten ingediend tegen de 'Pay or OK'-banners op de nieuwssites faz.net en t-online.de. Destijds moest de klager (en alle andere gebruikers) beslissen of ze de websites toestonden hun persoonlijke gegevens te verwerken en te verspreiden voor advertentietracering of dat ze een betaald abonnement namen om hun privacy gerespecteerd te zien. De GDPR vereist expliciet dat toestemming "uit vrije wil" moet worden gegeven. Desondanks, gaat meer dan 99,9% van de gebruikers akkoord met tracking wanneer ze geconfronteerd worden met 'Betalen of akkoord'-systemen - ook al wil slechts 3 tot 10% van de mensen daadwerkelijk gevolgd worden voor gepersonaliseerde reclame. Ondertussen heeft zelfs de Europese Commissie overwogen dat deze aanpak illegaal is in een zaak tegen Meta.
Max Schrems, erevoorzitter van noyb: "Aan uw privacy- en gegevensbeschermingsrechten mag geen prijskaartje hangen. Wanneer 99,9% ergens mee instemt, maar slechts 3% het ook echt wil, is het duidelijk dat ze geen vrije en echte keuze hadden. Helaas lijkt zo'n duidelijke inactiviteit op pure politieke onwil om de GDPR af te dwingen tegen mediabedrijven."
"Niet-besluit" van NRW. Nadat de DPA van Noordrijn-Westfalen in augustus 2021 de ontvangst van de klacht tegen t-online.de had bevestigd, noyb een tijdje geen substantiële updates ontvangen. In november 2022, meer dan een jaar na de bevestiging, nam de autoriteit vervolgens contact op met noyb om te zeggen dat ze de klacht op noyb's website - maar nooit had ontvangen. noyb antwoordde snel met de ontvangstbevestiging die het DPA het jaar daarvoor had verstuurd het jaar daarvoor. Hierop volgde een uitwisseling van talloze schriftelijke opmerkingen en meerdere pogingen van noyb om uiteindelijk een beslissing te verkrijgen. In mei 2025 kwam het DPA dan eindelijk met een beslissing waarin stond dat het nog geen beslissing kon nemen - bijna vier jaar nadat de klacht was ingediend.
Jonas Breyer, advocaat van de klager: "Het is een schande dat de gegevensbeschermingsautoriteiten van Noordrijn-Westfalen en Hessen na bijna vier jaar nog steeds geen beslissing over de inhoud hebben uitgevaardigd. En dit is geen op zichzelf staand geval. Je vraagt je af wat deze autoriteiten met het geld van de belastingbetaler doen."
Duitse efficiëntie - een mythe? De Hessische gegevensbeschermingsautoriteit heeft ook geen beslissing genomen in de zaak tegen faz.net. Zij rechtvaardigde dit door te wijzen op de complexiteit van de zaak en de mogelijkheid dat er in de toekomst nieuwe richtlijnen zouden kunnen worden ingevoerd. Maar deze potentiële onzekerheden vormden geen belemmering voor de DPA van Nedersaksen om al in 2023 een beslissing te nemen over een soortgelijke klacht. Hoewel Duitsland bekend staat om zijn zogenaamd strenge standpunt ten aanzien van gegevensbescherming, is de realiteit dat de gegevensbeschermingsautoriteiten van het land grotendeels tandeloos zijn en zichzelf steeds meer zien als "business enablers". Volgens een noyb analyse van EDPB-statistieken tussen 2018 en 2023 heeft slechts 1,26% van de zaken voor alle Duitse gegevensbeschermingsautoriteiten tot een boete geleid. De gegevensbeschermingsautoriteit van Hessen heeft bijvoorbeeld slechts 115 corrigerende maatregelen opgelegd in 2024ondanks de ontvangst van 3.839 klachten.
Felix Mikolasch, advocaat gegevensbescherming bij noyb: "Het is duidelijk dat "pay or OK"-systemen niet de mogelijkheid bieden om "uit vrije wil" toestemming te geven. Desondanks lijken de gegevensbeschermingsautoriteiten in Hessen en Noordrijn-Westfalen geen enkel belang te hebben bij een consequente toepassing van de GDPR. Dit is zeer twijfelachtig."
Rechtszaak tegen de autoriteiten. De klager in de zaken tegen t-online en faz.net heeft nu twee rechtszaken aangespannen bij de administratieve rechtbanken van respectievelijk Wiesbaden en Düsseldorf. Als de procedure succesvol is, moeten de autoriteiten een beslissing nemen over de oorspronkelijke klachten en deze toewijzen.
De klager wordt vertegenwoordigd door Jonas Breyer van Breyer Legal.
