Я думаю, что самое большое нарушение здесь в том, что вы возвращаете модель домена. Похоже, у вас есть утечки. Что касается DDD принципов, ваш домен не может быть открыт снаружи.
Полагаю, вам следует создать некоторую модель DTO, которая сможет предоставлять только необходимые данные из совокупности пользователей.
Кроме того, я также предлагаю реализовать здесь шаблон CQRS, чтобы различать guish между чтением и записью ...