So erneut unter anderem das Gericht in seinem Urteil vom 5. November 2024 (Az.: 4 U 729/24) im Rahmen eines Rechtsstreits rund um verschiedene Ansprüche um ein „Datenleck“ bei einem Musicstreamingdiensteanbieter. Das Gericht sieht eine sich aus Art. 28 DSGVO ergebende umfassende Handlungspflicht. Es führt unter anderem in den Entscheidungsgründen aus:
„…Vorliegend hat der Auftragsdatenverarbeiter zwar sowohl gegen allgemeine Regeln der DSGVO als auch gegen seine vertraglichen Pflichten verstoßen. Ungeachtet vertraglicher Verpflichtungen ist der Auftragsverarbeiter bereits nach der DSGVO im Rahmen der Auftragsverarbeitung grundsätzlich nicht berechtigt, die im Auftrag verarbeiteten Daten für eigene Zwecke bzw. für die Zwecke Dritter zu verarbeiten. Darüber hinaus hat der Auftragsverarbeiter die Rückgabe- und Löschpflichten nach Beendigung des Auftrags zu beachten (vgl. Plath in: Plath, DSGVO/BDSG/TTDSG, 4. Auflage 2023, Art. 28 Rz. 17 – juris). Vorliegend ist unstreitig, dass Datensätze der Beklagten bei der Firma O…… zum einen unzulässigerweise von der Produktiv- in eine Testumgebung überführt wurden, deren Sphäre verlassen haben und anschließend im Darknet zum Verkauf angeboten wurden, nachdem Mitarbeiter dieser Firma entgegen ihrer Zusicherung aus dem Jahre 2023 nicht alle Datensätze der Beklagten wie vertraglich vereinbart unverzüglich nach Vertragsende gelöscht hatten, sondern zumindest einer der Datensätze schließlich entweder von Hackern erbeutet, oder von Mitarbeitern unbefugt weitergegeben wurden…“
