Der Bundesgerichtshof stellt fest: Bleiben personenbezogene Daten nach Vertragsende beim Auftragsverarbeiter, haftet der Verantwortliche – einschließlich Schadensersatz nach Art. 82 DSGVO, wenn die Daten später abgegriffen und im Darknet angeboten werden. Die Haftung ist nur dann ausgeschlossen, bei nachweisbaren Rückgabe-/Löschprozessen, einem wirksamen Zugriffsentzug und einer aussagekräftigen Dokumentation; eine bloße Löschungsaufforderung