A Bundesverwaltungsgericht (Németország) által 2016. április 14-én benyújtott előzetes döntéshozatal iránti kérelem – Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein kontra Wirtschaftsakademie Schleswig-Holstein GmbH
(C-210/16. sz. ügy)
Az eljárás nyelve: német
A kérdést előterjesztő bíróság
Bundesverwaltungsgericht
Az alapeljárás felei
Alperes, fellebbező és felülvizsgálatot kérelmező fél: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein
Felperes és ellenérdekű fél: Wirtschaftsakademie Schleswig-Holstein GmbH
Beavatkozó: Facebook Ireland Limited
Résztvevő: Vertreter des Bundesinteresses beim Bundesverwaltungsgericht
Az előzetes döntéshozatalra előterjesztett kérdések
1. Úgy kell-e értelmezni a 95/46/EK irányelv1 2. cikkének d) pontját, hogy az kimerítően szabályozza az adatvédelemmel kapcsolatos jogsértésekért való felelősséget, vagy a 95/46/EK irányelv 24. cikke szerinti „megfelelő intézkedések” és a 95/46/EK irányelv 28. cikke (3) bekezdésének második francia bekezdése szerinti „tényleges beavatkozási jogosultságok” keretében többszintű adatszolgáltatói jogviszonyokban lehetőség van valamely, a 95/46/EK irányelv 2. cikkének d) pontja szerinti adatkezelőnek nem minősülő szerv felelősségének megállapítására a saját adatszolgáltatásához való szolgáltatóválasztás körében?
2. Az következik-e a contrario a tagállamoknak a 95/46/EK irányelv 17. cikkének (2) bekezdése szerinti azon kötelezettségéből, hogy a megbízás alapján történő adatkezelés körében rendelkezniük kell arról, hogy az adatkezelő „köteles olyan adatfeldolgozót [helyesen: megbízott adatkezelőt] választani, aki a technikai biztonsági intézkedések és az elvégzendő adatfeldolgozásra vonatkozó szervezési intézkedések [helyesen: aki az adatkezelésre vonatkozó technikai biztonsági intézkedések és szervezési intézkedések] tekintetében megfelelő garanciákat nyújt”, hogy a 95/46/EK irányelv 2. cikkének e) pontja szerinti, megbízás alapján történő adatkezeléssel nem párosuló egyéb használati jogviszonyok esetében nem áll fenn, és a nemzeti jog alapján sem írható elő a gondos kiválasztásra vonatkozó kötelezettség?
3. Azokban az esetekben, amelyekben az Európai Unión kívül székhellyel rendelkező anyavállalat különböző tagállamokban jogilag önálló szervezeteket (leányvállalatokat) tart fenn, a 95/46/EK irányelv 4. cikke és 28. cikkének (6) bekezdése alapján akkor is lehetősége van-e valamely tagállam (a jelen ügyben: Németország) felügyelő hatóságának a 95/46/EK irányelv 28. cikkének (3) bekezdése értelmében ráruházott jogosultságok gyakorlására az említett tagállam saját területén lévő szervezettel szemben, ha e szervezet kizárólag a hirdetések értékesítésének előmozdításáért és az e tagállam lakosságát célzó egyéb marketingintézkedésekért felel, míg a vállalatcsoporton belüli feladatmegosztás alapján a valamely más tagállamban (a jelen ügyben: Írországban) lévő önálló szervezet (leányvállalat) felel kizárólagosan az Európai Unió teljes területén, tehát a másik tagállamban (a jelen ügyben: Németországban) is a személyes adatok gyűjtéséért és kezeléséért, ha az adatkezelésre vonatkozó döntést ténylegesen az anyavállalat hozza meg?
4. Úgy kell-e értelmezni a 95/46/EK irányelv 4. cikke (1) bekezdésének a) pontját és 28. cikkének (3) bekezdését, hogy azokban az esetekben, amelyekben az adatkezelő egy szervezettel rendelkezik valamely tagállam (a jelen ügyben: Írország) területén, és egy további, jogilag önálló szervezet működik valamely más tagállam (a jelen ügyben: Németország) területén, mely utóbbi többek között a hirdetési felületek értékesítéséért felel, és tevékenysége ezen állam lakosságát célozza, e másik tagállam (a jelen ügyben: Németország) felügyelő hatósága a vállalatcsoporton belüli feladat- és felelősségmegosztás alapján az adatkezelésért nem felelős további (a jelen ügyben: németországi) szervezettel szemben is hozhat az adatvédelmi jog végrehajtására irányuló intézkedéseket és határozatokat, vagy az intézkedéseket és határozatokat ebben az esetben csak azon tagállam (a jelen ügyben: Írország) felügyelő hatósága hozhatja meg, amelynek területén a vállalatcsoporton belüli felelős szerv székhelye van?
5. Úgy kell-e értelmezni a 95/46/EK irányelv 4. cikke (1) bekezdésének a) pontját, valamint 28. cikkének (3) és (6) bekezdését, hogy azokban az esetekben, amelyekben valamely tagállam (a jelen ügyben: Németország) felügyelő hatósága eljár az e tagállam területén működő személlyel vagy szervvel szemben a 95/46/EK irányelv 28. cikkének (3) bekezdése alapján az adatkezelési műveletbe bevont harmadik személy (a jelen ügyben: a Facebook) gondatlan kiválasztása miatt, mert e harmadik személy adatvédelmi jogot sért, az eljáró (a jelen ügyben: németországi) felügyelő hatóság kötve van az adatkezelő harmadik személy szervezetének helye szerinti másik tagállam (a jelen ügyben: Írország) felügyelő hatóságának adatvédelmi jogi értékeléséhez olyan értelemben, hogy nem alakíthat ki ettől eltérő jogi értékelést, vagy az eljáró (a jelen ügyben: németországi) felügyelő hatóság saját eljárásának előzetes kérdéseként önállóan megvizsgálhatja a valamely más tagállamban (a jelen ügyben: Írországban) letelepedett harmadik személy által végzett adatkezelés jogszerűségét?
6. Amennyiben az eljáró (a jelen ügyben: németországi) felügyelő hatóság önálló ellenőrzést végezhet: úgy kell-e értelmezni a 95/46/EK irányelv 28. cikke (6) bekezdésének második mondatát, hogy e felügyelő hatóság csak és kizárólag akkor gyakorolhatja a 95/46/EK irányelv 28. cikkének (3) bekezdése értelmében ráruházott tényleges beavatkozási jogosultságokat az illetékességi területén letelepedett személlyel vagy szervvel szemben a más tagállamban letelepedett harmadik személy adatvédelemmel kapcsolatos jogsértéseiért való közös felelősség miatt, ha előtte felkérte e másik tagállam (a jelen ügyben: Írország) felügyelő hatóságát hatáskörének gyakorlására?
____________1 A személyes adatok feldolgozása [helyesen: kezelése] vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló 95/46/EK irányelv (HL L 281., 31. o.; magyar nyelvű különkiadás 13. fejezet, 15. kötet, 355. o.).