13.

Mot denna bakgrund beslutade Oberlandesgericht Düsseldorf (Regionöverdomstolen i Düsseldorf) att vilandeförklara målet och ställa följande frågor till domstolen: ”1) a) Är det förenligt med artikel 51 och följande artiklar [i datatskyddsförordningen] att en nationell konkurrensmyndighet i en medlemsstat, såsom Bundeskartellamt (som inte är tillsynsmyndighet i den mening som avses i artikel 51 och följande artiklar i datatskyddsförordningen), i samband med konkurrensrättslig tillsyn av missbruk av dominerande ställning, fastställer att avtalsvillkoren avseende behandling av personuppgifter för ett i en annan medlemsstat beläget huvudsakligt verksamhetsställe för ett företag som har hemvist utanför Europeiska unionen och tillämpningen av dessa villkor åsidosätter [dataskyddsförordningen] samt meddelar ett föreläggande om att överträdelsen ska upphöra, då det huvudsakliga verksamhetsstället är ensamt ansvarig för behandlingen av personuppgifter inom hela Europeiska unionen och företaget har ett verksamhetsställe i den förstnämnda medlemsstaten, vilket understödjer det huvudsakliga verksamhetsstället med marknadsföring, kommunikation och public relations? b) Om denna fråga ska besvaras jakande, är detta då förenligt med artikel 4.3 FEU om det samtidigt pågår en utredning av det huvudsakliga verksamhetsställets avtalsvillkor avseende behandling av personuppgifter, som genomförs av den ansvariga tillsynsmyndigheten i den medlemsstat där det huvudsakliga verksamhetsstället är beläget i den mening som avses i artikel 56.1 [dataskyddsförordningen]? Om fråga 1 ska besvaras jakande: 2) a) Om internetanvändare antingen endast går in på webbplatser eller appar som omfattas av kriterierna i artikel 9.1 [dataskyddsförordningen] – såsom flört-appar, dejtingsajter för homosexuella, politiska partiers webbplatser eller hälsorelaterade webbplatser – eller även lämnar uppgifter på dessa webbplatser eller appar, exempelvis genom att registrera sig eller göra beställningar, och ett annat företag, såsom Facebook Ireland, använder gränssnitt som är integrerade i dessa webbplatser eller appar, såsom Facebook Tools, eller webbkakor eller andra lagringstekniker som är inlagda på internetanvändarens dator eller mobilenhet, för att samla in uppgifter om besöken på dessa webbplatser eller appar och om de uppgifter som de lämnat där, och knyter samman dessa uppgifter med uppgifter från internetanvändarnas Facebookkonton, ska denna insamling och/eller sammanknytning och/eller användning anses utgöra behandling av känsliga personuppgifter i den mening som avses i denna bestämmelse? b) Om denna fråga ska besvaras jakande, innebär då användarens besök av dessa webbplatser och appar och/eller lämnande av uppgifter och/eller klickande på någon av de knappar som integrerats på webbplatserna och apparna av en tjänsteleverantör som Facebook Ireland (’sociala insticksprogram’ som ’gilla’, ’dela’ eller ’Facebook Login’ och ’Account Kit’) att användaren har offentliggjort uppgifterna om besöket som sådant och/eller de inmatade uppgifterna på ett tydligt sätt, i den mening som avses i artikel 9.2 e [dataskyddsförordningen]? 3) Kan ett företag som Facebook Ireland, som driver ett reklamfinansierat digitalt socialt nätverk och som enligt sina användarvillkor erbjuder personaliserat innehåll, personaliserad reklam, nätverkssäkerhet, produktförbättring och kontinuerlig och sömlös användning av alla koncernens produkter, motivera att det, för detta ändamål, samlar in uppgifter från andra koncerntjänster och från tredje parts webbplatser och appar via gränssnitt som är integrerade i dessa, såsom ’Facebook Business Tools’, eller via webbkakor eller liknande lagringstekniker som är inlagda på internetanvändarens dator eller mobilenhet, och att företaget använder uppgifterna och sammanknyter dem med användarens Facebookkonto, med hänvisning till att behandlingen av personuppgifter är laglig på den grunden att den är nödvändig för att fullgöra ett avtal i enlighet med artikel 6.1 b [dataskyddsförordningen], eller att den är nödvändig för ändamål som rör berättigade intressen i enlighet med artikel 6.1 f [dataskyddsförordningen]? 4) Kan i ett sådant fall även – den omständigheten att användaren är minderårig, med avseende på personaliseringen av innehåll och reklam, produktförbättring, nätverkssäkerhet och kommunikation med användaren som inte är relaterad till marknadsföring, – tillhandahållande av mätningar, analyser och andra företagstjänster till annonsörer, utvecklare och andra partner, i syfte att de ska kunna utvärdera och förbättra sina tjänster, – tillhandahållande av marknadsföringskommunikation till användaren för att företaget ska kunna förbättra sina produkter och bedriva direktmarknadsföring, – samhällsnyttig forskning och innovation för att främja den tekniska utvecklingen och den vetenskapliga förståelsen av viktiga sociala frågor och för att påverka samhället och världen positivt, – att dela information med brottsbekämpande myndigheter och besvara förelägganden för att förhindra, avslöja och bekämpa brott, otillåten användning, brott mot användarvillkor och policyer och annat skadligt beteende, utgöra berättigade intressen i den mening som avses i artikel 6.1 f [dataskyddsförordningen], när företaget för dessa ändamål sammanknyter uppgifter från andra koncerntjänster och från tredje mans webbplatser och appar med användarens Facebookkonto, via integrerade gränssnitt, såsom ”Facebook Business Tools”, eller via webbkakor eller andra lagringstekniker som är inlagda på internetanvändarens dator eller mobilenehet, och använder uppgifterna? 5) Är det i ett sådant fall möjligt att i det enskilda fallet, med stöd av artikel [6.1] c, d och e [dataskyddsförordningen], motivera att företaget samlar in uppgifter från andra koncerntjänster och från tredje mans webbplatser och appar via integrerade gränssnitt, såsom ’Facebook Business Tools’, eller via webbkakor eller andra lagringstekniker som är inlagda på internetanvändarens dator eller mobilenhet och använder uppgifterna och sammanknyter dem med användarens Facebookkonto, eller använder uppgifter som redan har samlats in och sammanknutits på annat lagligt sätt – exempelvis för att besvara en rättsligt giltig begäran avseende vissa uppgifter (led c), för att bekämpa skadligt beteende och främja säkerhet (led d), för samhällsnyttig forskning och för att främja trygghet, integritet och säkerhet (led e)? 6) Går det att lämna giltigt samtycke, i den mening som avses i artikel 6.1 a och 9.2 a [dataskyddsförordningen], och i synnerhet frivilligt samtycke enligt artikel 4[led 11] [dataskyddsförordningen], till ett företag med dominerande ställning, såsom Facebook Ireland? Om fråga 1 ska besvaras nekande: 7) a) Får en nationell konkurrensmyndighet i en medlemsstat, såsom Bundeskartellamt (som inte är tillsynsmyndighet i den mening som avses i artikel 51 och följande artiklar [dataskyddsförordningen]), och som prövar ett dominerande företags överträdelse av det konkurrensrättsliga förbudet mot missbruk av denna ställning, vilken dock inte består i att företagets avtalsvillkor avseende behandling av personuppgifter och tillämpningen av dessa villkor strider mot [dataskyddsförordningen], till exempel inom ramen för intresseavvägningen, fastställa att företagets avtalsvillkor avseende behandling av personuppgifter och deras genomförande strider mot [dataskyddsförordningen]? b) Om denna fråga ska besvaras jakande: Gäller detta, mot bakgrund av artikel 4.3 FEU, även om det samtidigt pågår en utredning av företagets avtalsvillkor avseende behandling av personuppgifter som genomförs av den ansvariga tillsynsmyndigheten enligt artikel 56.1 [dataskyddsförordningen]? Om fråga 7 ska besvaras jakande krävs ett svar på frågorna 3–5 med avseende på uppgifter som härrör från användningen av koncernens tjänst Instagram.”