So das Gericht in seinem Urteil vom 11. November 2025 (Az.: VI ZR 396/24) in einem Rechtsstreit rund um Ansprüche aus einem „Datenleck“ bei einem Unternehmen, dass Streamingdienstleistungen für Musik anbietet. In dem Rechtsstreit wurde ein Schadensersatzanspruch nach Art. 82 DSGVO geltend gemacht. Im Zuge dessen war auch zu klären, ob eine Pflichtverletzung des beklagten Unternehmens nach Art. 5 II .V.m. Art. 5 I lit.c.), e.) und f.) DSGVO sowie aus Art. 32 I DSGVO vorlag. Das Gericht sah dies als erwiesen an. Dabei führt es zur Begründung unter anderem in den Entscheidungsgründen des Urteils aus:
„…Gemäß Art. 32 Abs. 2 DSGVO sind bei der Beurteilung des angemessenen Schutzniveaus insbesondere die Risiken zu berücksichtigen, die mit der Datenverarbeitung verbunden sind, unter anderem durch den unbefugten Zugang zu gespeicherten Daten. Das Risiko eines unbefugten Zugriffs auf die gespeicherten Daten besteht nicht erst bei einem Cyberangriff durch außenstehende Dritte, sondern schon dann, wenn die Daten nach Beendigung des Auftragsverhältnisses beim Auftragsverarbeiter gespeichert bleiben, obwohl dessen Zugriffsrecht mit der Beendigung des Auftrags erloschen ist. Dies hat der Verantwortliche durch geeignete Maßnahmen „so weit wie möglich“ zu verhindern (zu dieser Einschränkung vgl. EuGH, Urteil vom 14. Dezember 2023 – C-340/21, NJW 2024, 1091 Rn. 30). Er hat daher das seinerseits nach den Umständen des Einzelfalls Erforderliche dazu beizutragen, dass sichergestellt ist, dass es bei Auftragsende tatsächlich zur Rückgabe bzw. Löschung der personenbezogenen Daten beim Auftragsverarbeiter kommt. Die Beweislast für die Geeignetheit seiner insoweit getroffenen Sicherheitsmaßnahmen liegt beim Verantwortlichen (vgl. EuGH aaO Rn. 52, 56). Hat der Verantwortliche diese ihm selbst obliegende Pflicht verletzt und insbesondere nicht auf ein vertragskonformes Verhalten des Auftragsverarbeiters hinsichtlich der Datenlöschung bzw. -rückgabe bei Auftragsende gedrängt, so kann er sich seiner Verantwortung hierfür nicht schon durch den Hinweis auf einen Aufgabenexzess entziehen, den der Auftragsverarbeiter dadurch begeht, dass er die Daten vertragswidrig behält und weiter verarbeitet. Für die Folgen seines eigenen Pflichtenverstoßes hat der Verantwortliche selbst einzustehen…“
