24

På denne baggrund har Bundesverwaltungsgericht (forbundsdomstol i forvaltningsretlige sager) besluttet at udsætte sagen og at forelægge Domstolen følgende præjudicielle spørgsmål: »1) Skal artikel 2, litra d), i direktiv 95/46 fortolkes således, at den endeligt og udtømmende regulerer ansvaret for brud på datasikkerheden, eller bliver der inden for rammerne af »de fornødne foranstaltninger« i henhold til [direktivets] artikel 24 [...] og [af beføjelser til at kunne] »gribe effektivt ind« i henhold til [direktivets] artikel 28, stk. 3, andet led, i flertrins informationsudbyderforhold plads til et ansvar for et organ, som ikke er ansvarligt for databehandling i den betydning, hvori udtrykket er anvendt i [direktivets] artikel 2, litra d), [...] ved valget af en registerfører til dets informationsudbud? 2) Kan det af medlemsstaternes forpligtelse i henhold til artikel 17, stk. 2, i direktiv 95/46 til at fastsætte i forbindelse med databehandling ved en registerfører, at »den registeransvarlige skal vælge en registerfører, som frembyder den fornødne garanti med hensyn til de tekniske sikkerhedsforanstaltninger og organisatoriske foranstaltninger, der skal træffes«, omvendt sluttes, at der ved andre udbyder/bruger-relationer, som ikke er forbundet med databehandling ved en registerfører som omhandlet i [direktivets] artikel 2, litra e), [...], ikke består nogen forpligtelse til at foretage et omhyggeligt valg, og at det heller ikke kan begrundes efter national ret? 3) Er en tilsynsmyndighed i en medlemsstat (i det foreliggende tilfælde Tyskland) i tilfælde, hvor en moderkoncern, som er hjemmehørende uden for Den Europæiske Union, driver juridisk selvstændige virksomheder (datterselskaber) i forskellige medlemsstater, kompetent i henhold til artikel 4, og artikel 28, stk. 6, i direktiv 95/46 til at udøve de beføjelser, der tillægges den i overensstemmelse med artikel 28, stk. 3, [heri] over for en virksomhed, der ligger på medlemsstatens eget område, også i det tilfælde, hvor denne virksomhed udelukkende har til opgave at reklamere og sælge reklameplads og øvrige marketingforanstaltninger rettet mod indbyggerne i denne medlemsstat, mens den selvstændige virksomhed (det datterselskab), der ligger i en anden medlemsstat (i det foreliggende tilfælde Irland), ifølge koncernens interne opgavefordeling er eneansvarlig for indsamling og behandling af personoplysninger på hele EU’s område og dermed også i den anden medlemsstat (i det foreliggende tilfælde Tyskland), når afgørelsen om databehandling rent faktisk træffes af moderkoncernen? 4) Skal artikel 4, stk. 1, litra a), og artikel 28, stk. 3, i direktiv 95/46 fortolkes således, at i tilfælde, hvor den registeransvarlige er ejer af en virksomhed på én medlemsstats område (i det foreliggende tilfælde Irland), og der findes en yderligere juridisk selvstændig virksomhed på en anden medlemsstats område (i det foreliggende tilfælde Tyskland), som bl.a. har til opgave at sælge reklameplads, og hvis aktivitet er rettet mod indbyggerne i denne stat, kan den kompetente tilsynsmyndighed i denne anden medlemsstat (i det foreliggende tilfælde Tyskland) også rette foranstaltninger og påbud til gennemførelse af reglerne om databeskyttelse mod den anden virksomhed, som ifølge den koncerninterne opgave- og ansvarsfordeling ikke er ansvarlig for databehandling (i det foreliggende tilfælde i Tyskland), eller kan der i så fald kun træffes foranstaltninger og gives påbud af tilsynsmyndigheden i den medlemsstat (i det foreliggende tilfælde Irland), på hvis område det koncerninterne ansvarlige organ har sit hjemsted? 5) Skal artikel 4, stk. 1, litra a), og artikel 28, stk. 3 og 6, i direktiv 95/46 fortolkes således, at i tilfælde, hvor tilsynsmyndigheden i en medlemsstat (i det foreliggende tilfælde Tyskland) i henhold til [direktivets] artikel 28, stk. 3, [...] rejser krav mod en person eller et organ, som er aktiv(t) på denne stats område, på grund af manglende omhu ved valget af en tredjemand, som er involveret i databehandlingsprocessen (i det foreliggende tilfælde Facebook), fordi denne tredjemand overtræder reglerne om databeskyttelse, er den tilsynsmyndighed, der griber ind (i det foreliggende tilfælde Tyskland), da bundet til den databeskyttelsesretlige vurdering hos tilsynsmyndigheden i den anden medlemsstat, hvor den for databehandlingen ansvarlige tredjemand har sin virksomhed (i det foreliggende tilfælde Irland), i den forstand, at den ikke må foretage en herfra afvigende retlig vurdering, eller kan den indgribende tilsynsmyndighed (i det foreliggende tilfælde Tyskland) foretage en selvstændig undersøgelse af lovligheden af den databehandling, som udføres af den tredjemand, der er etableret i en anden medlemsstat (i det foreliggende tilfælde Irland), som et indledende spørgsmål vedrørende dens egen indgriben? 6) For så vidt som den indgribende tilsynsmyndighed (i det foreliggende tilfælde Tyskland) kan foretage en selvstændig efterprøvelse: Skal artikel 28, stk. 6, andet punktum, i direktiv 95/46 fortolkes således, at denne tilsynsmyndighed først må udøve de beføjelser, som er tillagt den i henhold til direktivets artikel 28, stk. 3, [...], til at gribe effektivt ind over for en person eller et organ, der er etableret på denne stats område, på grund af medansvar for brud på datasikkerheden, som er begået af en i en anden medlemsstat etableret tredjemand, når og kun når den på forhånd har anmodet tilsynsmyndigheden i denne anden medlemsstat (i det foreliggende tilfælde Irland) om at måtte udøve sine beføjelser?«