24

Neil asjaoludel otsustas Bundesverwaltungsgericht (Saksamaa Liitvabariigi kõrgeim halduskohus) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused: „1. Kas direktiivi [95/46] artikli 2 punkti d tuleb tõlgendada nii, et see reguleerib vastutust andmekaitsealaste õigusnormide rikkumise eest täielikult ja ammendavalt, või vastutab [selle direktiivi] artikli 24 kohaste „sobivate meetmete“ ja [direktiivi] artikli 28 lõike 3 teise taande kohaste „tõhusate sekkumisvolituste“ raames oma teabe haldaja valimise eest teabe andjate mitmeastmeliste suhete puhul üksus, kes ei ole [nimetatud direktiivi] artikli 2 punkti d tähenduses vastutav andmetöötleja? 2. Kas liikmesriikidele direktiivi [95/46] artikli 17 lõikega 2 pandud kohustusest nõuda juhul, kui töötlemine toimub volitatud töötleja kaudu, et vastutav töötleja „peab valima volitatud töötleja, kes esitab piisavad tagatised tehniliste turvameetmete ja töötlemist reguleerivate korralduslike meetmete kohta“, tuleneb ümberpöördult, et teistsuguste kasutussuhete puhul, mis ei ole seotud andmete töötlemisega volitatud töötleja poolt [selle direktiivi] artikli 2 punkti e tähenduses, ei kehti valimisel hoolsuskohustus ja seda ei saa ka siseriikliku õiguse alusel kehtestada? 3. Kas juhtudel, kus väljaspool Euroopa Liitu asuval emaettevõtjal on eri liikmesriikides õiguslikult iseseisvad üksused (tütarettevõtjad), on ühe liikmesriigi (käesoleval juhul Saksamaa) järelevalveasutusel direktiivi [95/46] artikli 4 ja artikli 28 lõike 6 alusel õigus kasutada talle vastavalt [selle direktiivi] artikli 28 lõikele 3 antud volitusi ka tema territooriumil registreeritud üksuse suhtes, kui see üksus vastutab üksnes reklaamipinna edendamise ja müügi ning selle riigi elanikele suunatud muu turundustegevuse eest, samal ajal kui teises liikmesriigis (käesoleval juhul Iirimaa) registreeritud iseseisev üksus (tütarettevõtja) on vastavalt kontsernisisesele ülesannete jaotusele ainuvastutav isikuandmete kogumise ja töötlemise eest kogu Euroopa Liidu territooriumil ja seega ka selles teises liikmesriigis (käesoleval juhul Saksamaa), kui tegelikult otsustab andmete töötlemise üle emaettevõtja? 4. Kas direktiivi [95/46] artikli 4 lõiget 1 ja artikli 28 lõiget 3 tuleb tõlgendada nii, et kui vastutaval töötlejal on ühe liikmesriigi (käesoleval juhul Iirimaa) territooriumil üks üksus ja teise liikmesriigi (käesoleval juhul Saksamaa) territooriumil teine õiguslikult iseseisev üksus, kes vastutab muu hulgas ka reklaamimüügi eest ja kelle tegevus on suunatud selle riigi elanikele, võib selle teise liikmesriigi (käesoleval juhul Saksamaa) pädev järelevalveasutus võtta meetmeid ja anda korraldusi kohaldatava andmekaitse õiguse rakendamiseks ka teise (käesoleval juhul Saksamaa) üksuse vastu, kes ei ole kontsernisisese ülesannete ja vastutuse jagunemise kohaselt vastutav andmete töötleja, või peab sel juhul meetmeid võtma ja korraldusi andma ainult selle liikmesriigi (käesoleval juhul Iirimaa) järelevalveasutus, kelle territooriumil on kontsernisisese vastutava töötleja registrijärgne asukoht? 5. Kas direktiivi [95/46] artikli 4 lõike 1 punkti a ning artikli 28 lõikeid 3 ja 6 tuleb tõlgendada nii, et kui ühe liikmesriigi (käesoleval juhul Saksamaa) järelevalveasutus annab tema territooriumil tegutsevale isikule või üksusele [selle direktiivi] artikli 28 lõike 3 kohaselt korralduse seetõttu, et viimane on andmetöötlusesse kaasatud kolmanda isiku (käesoleval juhul Facebooki) valimisel rikkunud hoolsuskohustust, põhjendusel et see kolmas isik rikub andmekaitsealaseid õigusnorme, on meetmeid rakendavale järelevalveasutusele (käesoleval juhul Saksamaa järelevalveasutus) siduv niisuguse teise liikmesriigi järelevalveasutuse hinnang kohaldatavale andmekaitseõigusele, kus andmete töötlemise eest vastutav kolmas isik on registreeritud (käesoleval juhul Iirimaa), selles mõttes, et ta ei või anda sellest lahknevat õiguslikku hinnangut, või kas meetmeid rakendav järelevalveasutus (käesoleval juhul Saksamaa järelevalveasutus) võib teises liikmesriigis (käesoleval juhul Iirimaa) registreeritud kolmanda isiku teostatava andmetöötluse õiguspärasust täiendavalt iseseisvalt kontrollida? 6. Kas juhul, kui meetmeid rakendav järelevalveasutus (käesoleval juhul Saksamaa järelevalveasutus) võib teostada iseseisvat kontrolli, tuleb direktiivi [95/46] artikli 28 lõike 6 teist lauset tõlgendada nii, et see järelevalveasutus võib talle [selle] direktiivi artikli 28 lõike 3 alusel antud tõhusaid sekkumisvolitusi tema territooriumil registreeritud isiku või üksuse suhtes kaasvastutuse tõttu andmekaitsealaste õigusnormide rikkumise eest, mille on toime pannud teises liikmesriigis registreeritud kolmas isik, kasutada ainult ja alles siis, kui ta on eelnevalt kutsunud nimetatud teise liikmesriigi (käesoleval juhul Iirimaa) järelevalveasutust üles oma volitusi kasutama?“