Domstolens dom (Store Afdeling) af 5. juni 2018 – Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein mod Wirtschaftsakademie Schleswig-Holstein GmbH (anmodning om præjudiciel afgørelse fra Bundesverwaltungsgericht – Tyskland)

(Sag C-210/16) ¹

(Præjudiciel forelæggelse – direktiv 95/46/EF – personoplysninger – beskyttelse af fysiske personer i forbindelse med behandling af disses oplysninger – påbud om deaktivering af en side på Facebook (fanside), som gør det muligt at indsamle og behandle visse oplysninger om brugerne af denne side – artikel 2, litra d) – den registeransvarlige for behandlingen af personoplysninger – artikel 4 – anvendelig national ret – artikel 28 – nationale tilsynsmyndigheder – myndighedernes beføjelser til at gribe ind)

Processprog: tysk

Den forelæggende ret

Bundesverwaltungsgericht

Parter i hovedsagen

Sagsøger: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

Sagsøgt: Wirtschaftsakademie Schleswig-Holstein GmbH

Procesdeltagere: Facebook Ireland Ltd og Vertreter des Bundesinteresses beim Bundesverwaltungsgericht

Konklusion

Artikel 2, litra d), i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger skal fortolkes således, at begrebet »registeransvarlig« som omhandlet i denne bestemmelse omfatter administratoren af en fanside på et socialt netværk.

Artikel 4 og 28 i direktiv 95/46 skal fortolkes således, at i tilfælde, hvor et selskab, som er etableret uden for Den Europæiske Union, har flere virksomheder eller organer i forskellige medlemsstater, er tilsynsmyndigheden i en medlemsstat kompetent til at udøve de beføjelser, der tillægges den i overensstemmelse med direktivets artikel 28, stk. 3, over for en af dette selskabs virksomheder eller organer, der er beliggende på denne medlemsstats område, selv om denne virksomhed eller dette organ ifølge koncernens interne opgavefordeling udelukkende har til opgave at sælge annonceplads og varetage øvrige marketingforanstaltninger på denne medlemsstats område, og eneansvaret for indsamling og behandling af personoplysninger på hele EU’s område tilkommer en virksomhed eller et organ, som er beliggende i en anden medlemsstat.

Artikel 4, stk. 1, litra a), og artikel 28, stk. 3 og 6, i direktiv 95/46 skal fortolkes således, at når tilsynsmyndigheden i en medlemsstat vil udøve sine beføjelser i direktivets artikel 28, stk. 3, til at gribe ind over for et organ, som er beliggende på denne medlemsstats område, på grund af en tilsidesættelse af bestemmelserne om beskyttelse af personoplysninger begået af en registeransvarlig tredjemand, som er etableret i en anden medlemsstat, er denne tilsynsmyndighed kompetent til – uafhængigt af tilsynsmyndigheden i sidstnævnte medlemsstat – at prøve lovligheden af en sådan databehandling og kan udøve sine beføjelser til at gribe ind over for et organ, som er beliggende på dens område, uden på forhånd at have anmodet tilsynsmyndigheden i den anden medlemsstat om at gribe ind.

____________

¹ EUT C 260 af 18.7.2016.