24

V teh okoliščinah je Bundesverwaltungsgericht (zvezno upravno sodišče) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja: „1. Ali je treba člen 2(d) Direktive [95/46] razlagati tako, da dokončno in izčrpno ureja odgovornost za kršitve varstva podatkov ali lahko v okviru ‚ustreznih ukrepov‘ na podlagi člena 24 [te direktive] in ‚učinkovitih pooblastil za posredovanje‘ na podlagi člena 28(3), druga alinea, [te direktive] v večstopenjskih razmerjih med ponudniki informacij za izbiro vzdrževalca platforme, na kateri se ponujajo informacije, odgovarja tudi organ, ki ni upravljavec podatkov v smislu člena 2(d) [navedene direktive]? 2. Ali iz obveznosti držav članic na podlagi člena 17(2) Direktive [95/46], da določijo, da mora upravljavec, kadar se obdelava podatkov izvaja v njegovem imenu, ‚izbrati obdelovalca, ki zagotavlja zadostne garancije glede tehničnih varnostnih ukrepov in organizacijskih ukrepov, ki urejajo obdelavo, ki jo je treba opraviti‘, na podlagi obratnega sklepanja izhaja, da pri drugih uporabniških razmerjih, ki niso povezana z obdelavo podatkov prek obdelovalca v smislu člena 2(e) [te direktive], ni podana obveznost skrbne izbire in taka obveznost tudi nima podlage v nacionalnem pravu? 3. Ali ima v primerih, v katerih ima matična družba s sedežem zunaj Unije pravno samostojne poslovne enote (hčerinske družbe) v različnih državah članicah, nadzorni organ države članice (v obravnavanem primeru Nemčije) na podlagi členov 4 in 28(6) Direktive 95/46 pravico izvajati pooblastila, ki so mu bila podeljena v skladu s členom 28(3) [te direktive], proti poslovni enoti na ozemlju lastne države članice tudi, če je ta poslovna enota zadolžena samo za pospeševanje prodaje oglasnega prostora in druge ukrepe trženja, katerih ciljna skupina so prebivalci te države članice, medtem ko je samostojna poslovna enota (hčerinska družba) v drugi državi članici (v obravnavanem primeru na Irskem) na podlagi notranje delitve nalog v skupini izključno odgovorna za zbiranje in obdelavo osebnih podatkov v vsej Uniji in tako tudi v drugi državi članici (v obravnavanem primeru Nemčiji), če odločitev o obdelavi podatkov dejansko sprejme matična družba? 4. Ali je treba člena 4(1)(a) in 28(3) Direktive 95/46 razlagati tako, da lahko v primerih, v katerih ima upravljavec poslovno enoto na ozemlju države članice (v obravnavanem primeru na Irskem) in še pravno samostojno poslovno enoto na ozemlju druge države članice (v obravnavanem primeru Nemčije), ki je med drugim zadolžena za prodajo oglasnega prostora in katere dejavnost je namenjena prebivalcem te države, pristojni nadzorni organ v tej drugi državi članici (v obravnavanem primeru v Nemčiji) naslovi ukrepe in odredbe za uveljavljanje zakonodaje o varstvu podatkov tudi zoper drugo poslovno enoto (v obravnavanem primeru v Nemčiji), ki na podlagi notranje delitve nalog in odgovornosti v koncernu ni odgovorna za obdelavo podatkov, ali lahko ukrepe in odredbe v takem primeru sprejema samo nadzorni organ države članice (v obravnavanem primeru Irske), na katere ozemlju ima svoj sedež poslovna enota, ki je v koncernu odgovorna za obdelavo podatkov? 5. Ali je treba člena 4(1)(a) in 28(3) in (6) Direktive 95/46 razlagati tako, da mora v primerih, v katerih nadzorni organ države članice (v obravnavanem primeru Nemčije) na podlagi člena 28(3) [te direktive] ukrepa proti osebi ali organu, ki sta dejavna na njegovem ozemlju, zaradi neskrbne izbire tretje osebe, ki je vključena v proces obdelave podatkov (v obravnavanem primeru Facebook), ker naj bi ta tretja oseba kršila zakonodajo o varstvu podatkov, nadzorni organ (v obravnavanem primeru Nemčije), ki ukrepa, upoštevati presojo glede prava, ki se uporabi za varstvo podatkov, ki jo opravi nadzorni organ druge države članice, v kateri ima tretja oseba, ki je odgovorna za obdelavo podatkov, sedež (v obravnavanem primeru na Irskem), tako da njegova pravna presoja ne sme biti drugačna, ali pa lahko nadzorni organ (v obravnavanem primeru Nemčije), ki ukrepa, v obliki predhodnega vprašanja v okviru svojega ukrepanja samostojno preizkusi zakonitost obdelave podatkov, ki jo izvaja tretja oseba s sedežem v drugi državi članici (v obravnavanem primeru na Irskem)? 6. Če ima nadzorni organ (v obravnavanem primeru Nemčije), ki ukrepa, pravico do samostojnega preverjanja: ali je treba člen 28(6), drugi stavek, Direktive [95/46] razlagati tako, da lahko ta nadzorni organ izvaja učinkovita pooblastila za posredovanje, ki so mu podeljena na podlagi člena 28(3) [te direktive], zoper osebo s prebivališčem ali organ s sedežem na ozemlju te države članice zaradi soodgovornosti za kršitve varstva podatkov, ki jih je storila tretja oseba s sedežem v drugi državi članici, samo in šele, če je pred tem pozval nadzorni organ te druge države članice (v obravnavanem primeru Irske), naj izvaja svoja pooblastila?“