24

Ilyen körülmények között a Bundesverwaltungsgericht (szövetségi közigazgatási bíróság) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé: „1) Úgy kell‑e értelmezni a [95/46] irányelv 2. cikkének d) pontját, hogy az kimerítően szabályozza az adatvédelemmel kapcsolatos jogsértésekért való felelősséget, vagy [az ezen] irányelv 24. cikke szerinti »megfelelő intézkedések« és […] 28. cikke (3) bekezdésének második francia bekezdése szerinti »tényleges beavatkozási jogosultságok« keretében többszintű adatszolgáltatói jogviszonyokban lehetőség van valamely, a[z említett] irányelv 2. cikkének d) pontja szerinti adatkezelőnek nem minősülő szerv felelősségének megállapítására az információ‑kínálatát terjesztő szolgáltató megválasztása miatt? 2) Az következik‑e a contrario a tagállamoknak a [95/46] irányelv 17. cikkének (2) bekezdése szerinti azon kötelezettségéből, hogy a megbízás alapján történő adatkezelés körében rendelkezniük kell arról, hogy az adatkezelő »köteles olyan adatfeldolgozót választani, aki az adatkezelésre vonatkozó technikai biztonsági intézkedések és szervezési intézkedések tekintetében megfelelő garanciákat nyújt«, hogy ezen irányelv 2. cikkének e) pontja szerinti, megbízás alapján történő adatkezeléssel nem párosuló egyéb használati jogviszonyok esetében nem áll fenn, és a nemzeti jog alapján sem írható elő a gondos kiválasztásra vonatkozó kötelezettség? 3) Azokban az esetekben, amelyekben az Európai Unión kívül székhellyel rendelkező anyavállalat különböző tagállamokban jogilag önálló szervezeteket (leányvállalatokat) tart fenn, a [95/46] irányelv 4. cikke és 28. cikkének (6) bekezdése alapján akkor is lehetősége van‑e valamely tagállam (a jelen ügyben: Németország) felügyelő hatóságának a [95/46] irányelv 28. cikkének (3) bekezdése értelmében ráruházott jogosultságok gyakorlására az említett tagállam saját területén lévő szervezettel szemben, ha e szervezet kizárólag a hirdetések értékesítésének előmozdításáért és az e tagállam lakosságát célzó egyéb marketingintézkedésekért felel, míg a vállalatcsoporton belüli feladatmegosztás alapján a valamely más tagállamban (a jelen ügyben: Írországban) lévő önálló szervezet (leányvállalat) felel kizárólagosan az Unió teljes területén, tehát a másik tagállamban (a jelen ügyben: Németországban) is a személyes adatok gyűjtéséért és kezeléséért, ha az adatkezelésre vonatkozó döntést ténylegesen az anyavállalat hozza meg? 4) Úgy kell‑e értelmezni a [95/46] irányelv 4. cikkének (1) bekezdését és 28. cikkének (3) bekezdését, hogy azokban az esetekben, amelyekben az adatkezelő egy szervezettel rendelkezik valamely tagállam (a jelen ügyben: Írország) területén, és egy további, jogilag önálló szervezet működik valamely más tagállam (a jelen ügyben: Németország) területén, mely utóbbi többek között a hirdetési felületek értékesítéséért felel, és tevékenysége ezen állam lakosságát célozza, e másik tagállam (a jelen ügyben: Németország) felügyelő hatósága a vállalatcsoporton belüli feladat‑ és felelősségmegosztás alapján az adatkezelésért nem felelős további (a jelen ügyben: németországi) szervezettel szemben is hozhat az adatvédelmi jog végrehajtására irányuló intézkedéseket és határozatokat, vagy az intézkedéseket és határozatokat ebben az esetben csak azon tagállam (a jelen ügyben: Írország) felügyelő hatósága hozhatja meg, amelynek a területén a vállalatcsoporton belüli adatkezelő székhelye van? 5) Úgy kell‑e értelmezni a [95/46] irányelv 4. cikke (1) bekezdésének a) pontját, valamint 28. cikkének (3) és (6) bekezdését, hogy azokban az esetekben, amelyekben valamely tagállam (a jelen ügyben: Németország) felügyelő hatósága eljár az e tagállam területén működő személlyel vagy szervvel szemben [ezen] irányelv 28. cikkének (3) bekezdése alapján az adatkezelési műveletbe bevont harmadik személy (a jelen ügyben: a Facebook) gondatlan kiválasztása miatt, mert e harmadik személy adatvédelmi jogot sért, az eljáró (a jelen ügyben: németországi) felügyelő hatóság kötve van az adatkezelő harmadik személy szervezetének helye szerinti másik tagállam (a jelen ügyben: Írország) felügyelő hatóságának adatvédelmi jogi értékeléséhez olyan értelemben, hogy nem alakíthat ki ettől eltérő jogi értékelést, vagy az eljáró (a jelen ügyben: németországi) felügyelő hatóság saját eljárásának előzetes kérdéseként önállóan megvizsgálhatja a valamely más tagállamban (a jelen ügyben: Írországban) letelepedett harmadik személy által végzett adatkezelés jogszerűségét? 6) Amennyiben az eljáró (a jelen ügyben: németországi) felügyelő hatóság önálló ellenőrzést végezhet: úgy kell‑e értelmezni a [95/46] irányelv 28. cikke (6) bekezdésének második mondatát, hogy e felügyelő hatóság csak és kizárólag akkor gyakorolhatja [az ezen] irányelv 28. cikkének (3) bekezdése értelmében ráruházott tényleges beavatkozási jogosultságokat az illetékességi területén letelepedett személlyel vagy szervvel szemben a más tagállamban letelepedett harmadik személy adatvédelemmel kapcsolatos jogsértéseiért való közös felelősség miatt, ha előtte felkérte e másik tagállam (a jelen ügyben: Írország) felügyelő hatóságát hatáskörének gyakorlására?”