Der Senat konnte mit Einverständnis der Beteiligten den Rechtsstreit ohne mündliche Verhandlung durch Urteil (§§ 153 Abs. 1, 124 Abs. 2 SGG) entscheiden.

Die Berufung der Klägerin ist form- und fristgerecht erhoben worden. Zutreffende Klageart ist die kombinierte Anfechtungs- und Leistungsklage (§ 54 Abs. 4 SGG). Die isolierte oder echte Leistungsklage eines Bürgers gegen einen öffentlich-rechtlichen Leistungsträger ist innerhalb des Klagesystems des SGG, das im Verhältnis zwischen Bürger und öffentlich-rechtlichem Leistungsträger vom Verwaltungsakt als typischem Regelungsinstrument nach dem SGB X und der darauf aufbauenden Anfechtungs- und Verpflichtungsklage ausgeht, die Ausnahme. Sie kommt nur in Betracht, wenn kein Über- und Unterordnungsverhältnis besteht oder ein konkretes Verhalten, z. B. eine Auskunft des Leistungsträgers, begehrt wird. Sie scheidet vom Wortlaut her aus, wenn - wie vorliegend - ein Verwaltungsakt ergangen ist, weil eine Regelung mit Außenwirkung zu treffen gewesen ist (vgl. Bundessozialgericht (BSG), Urteile vom 21. März 2006 - B 2 U 24/04 R -, RdNr. 25, und vom 18. Dezember 2018 - B 1 KR 31/17 R -, RdNr. 11, m. w. N.; jeweils zitiert nach juris).

Die insoweit zulässige Berufung ist auch begründet.

Rechtsgrundlage des Anspruchs auf Löschung der in der elektronischen Akte des Beklagten gespeicherten und nach Entfernen des Passfotos nur noch unvollständigen Kopien des Personalausweises ist Art. 17 Abs. 1 a der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (DSGVO), in Kraft getreten am 25. Mai 2018. Danach hat die betroffene Person das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind.

Diese Regelung entspricht im Wesentlichen dem zuvor bis zum 24. Mai 2018 in Deutschland geltenden Recht. Sozialdaten waren nach § 84 Abs. 2 SGB X a. F. auch zu löschen, wenn ihre Kenntnis für die verantwortliche Stelle zur rechtmäßigen Erfüllung der in ihrer Zuständigkeit liegenden Aufgaben nicht mehr erforderlich war und kein Grund zu der Annahme bestand, dass durch die Löschung schutzwürdige Interessen des Betroffenen beeinträchtigt würden (vgl. § 84 Abs. 2 Satz 2 SGB X i. d. F. durch Art. 8 § 2 Nr. 18 d des Gesetzes zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze vom 18. Mai 2001, in Kraft getreten am 23. Mai 2001, (a. F., BGBl. I S. 904)).

Die Norm des Art. 17 Abs. 1 DSGVO ist auch anwendbar. Maßgeblicher Zeitpunkt für die Beurteilung der Sach- und Rechtslage ist bei einer kombinierten Anfechtungs- und Leistungsklage der Zeitpunkt der letzten mündlichen Verhandlung (vgl. Keller in Meyer-Ladewig/Keller/Leitherer/Schmidt, SGG, 12. A. 2017, § 54 RdNr. 34 m. w. N.; s. a. BSG, Urteil vom 18. Dezember 2018 - B 1 KR 31/17 R -, RdNr. 14; abweichend LSG Berlin-Brandenburg, Urteil vom 6. Dezember 2018 - L 32 AS 2045/16 -, RdNrn. 32 ff.; jeweils zitiert nach juris). Es sind schließlich keine Anhaltspunkte dafür ersichtlich, dass die DSGVO nach ihrem zeitlichen Geltungswillen das streitige Rechtsverhältnis nicht umfassen soll. Dies gilt im vorliegenden Fall erst recht, weil die begehrte Löschung eine in die Zukunft gerichtete Leistung ist.

Nach § 35 Abs. 2 Satz 1 Sozialgesetzbuch Erstes Buch (SGB I) i. d. F. durch Art. 19 des Gesetzes zur Änderung des Bundesversorgungsgesetzes und anderer Vorschriften vom 17. Juli 2017, in Kraft getreten am 25. Mai 2018, (n. F.; BGBl. I S. 2541) regeln die Vorschriften des Zweiten Kapitels des SGB X und der übrigen Bücher des Sozialgesetzbuchs die Verarbeitung von Sozialdaten abschließend, soweit nicht die DSGVO unmittelbar gilt. Für die Verarbeitungen von Sozialdaten im Rahmen von nicht in den Anwendungsbereich der DSGVO fallenden Tätigkeiten finden die DSGVO und dieses Gesetz entsprechende Anwendung, soweit nicht in diesem oder einem anderen Gesetz Abweichendes geregelt ist (§ 35 Abs. 2 Satz 2 SGB I). Die Speicherung von Kopien eines Personalausweises durch den Beklagten betrifft Sozialdaten im Sinne von § 35 SGB I. Sozialdaten sind personenbezogene Daten (vgl. Art 4 Nr. 1 DSGVO), die von einer in § 35 SGB I genannten Stelle im Hinblick auf ihre Aufgaben nach diesem Gesetzbuch verarbeitet werden (vgl. § 67 Abs. 2 Satz 1 SGB X n. F.). Zu den in § 35 SGB I genannten Stellen gehört der Beklagte im Sinne von §§ 12, 19a Abs. 2 SGB I, der als Kreis für die Erbringung von Leistungen nach dem SGB II zuständig ist.

Im Hinblick auf die Auffangregelung in § 35 Abs. 2 Satz 2 SGB I kann der Senat offen lassen, ob die DSGVO unmittelbare oder entsprechende Anwendung findet (vgl. BSG, Urteil vom 18. Dezember 2018 - B 1 KR 31/17 R -, RdNr. 15, zitiert nach juris). Die Frage stellt sich im hiesigen Fall, weil die DSGVO keine Anwendung auf die Verarbeitung personenbezogener Daten im Rahmen einer Tätigkeit findet, die nicht in den Anwendungsbereich des Unionsrechts fällt (vgl. Art. 2 Abs. 2a DSGVO). Nach Art. 4 Abs. 2 b des Vertrags über die Arbeitsweise der Europäischen Union (AEUV oder auch Vertrag von Lissabon vom 26. Oktober 2012) erstreckt sich die von der Union mit den Mitgliedstaaten geteilte Zuständigkeit u.a. auf die Sozialpolitik hinsichtlich der in dem Vertrag genannten Aspekte (dann direkte Anwendung), nicht aber auf die Verwaltungstätigkeit der Sozialbehörden (dann analoge Anwendung).

Nach den übrigen Regelungen in Art. 2 DSGVO ist die DSGVO sachlich anwendbar. Die von dem Beklagten durchgeführte Speicherung des Personalausweises der Klägerin stellt eine Verarbeitung (Art. 4 Nr. 2 DSGVO) personenbezogener Daten dar, die in einem Dateisystem (Art. 4 Nr. 6 DSGVO) im Sinne von Art. 2 Abs. 1 DSGVO gespeichert worden sind. Der Ausdruck "personenbezogene Daten" bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (auch: betroffene Person) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann (Art. 4 Nr. 1 DSGVO). Dazu gehören die Angaben in dem gespeicherten Personalausweis zu Namen, Geburtstag und -ort, Nationalität, Wohnort, Augenfarbe und Größe der Klägerin sowie Personalausweisnummer, Ausstelldatum und ausstellende Behörde. Der Ausdruck "Verarbeitung" bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung (vgl. Art. 4 Nr. 2 DSGVO). Der Ausdruck "Dateisystem" bezeichnet jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird (vgl. Art. 4 Nr. 6 DSGVO). Eine elektronische Akte, die den gesamten Ablauf des Verwaltungsverfahrens wiedergibt und auch den kopierten Personalausweis enthält, zählt ohne Zweifel hierzu.

Die Voraussetzungen des Anspruchs aus Art. 17 Abs. 1 a DSGVO sind erfüllt, denn der Beklagte als Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO und § 67 Abs. 4 Satz 1 SGB X n. F. hat den Personalausweis der Klägerin als von der Speicherung ihrer personenbezogenen Daten betroffener Person gespeichert. Die Speicherung soll nach den internen Verwaltungsvorschriften zu den Aufbewahrungs- und Löschungsfristen zehn Jahre ab Beginn des auf die letzte Auszahlung folgenden Jahres dauern. Im Fall der Klägerin, die bis zum 31. August 2012 Arbeitslosengeld II von dem Beklagten bezogen und am 4. Februar 2015 die Löschung beantragt hat, bedeutet dies, dass die Kopien erst am 31. Dezember 2022 gelöscht werden sollen.

Der Löschungsanspruch setzt weiter voraus, dass die gespeicherten Kopien des Personalausweises der Klägerin für die Zwecke, für die er gespeichert wurde, nicht mehr notwendig sind.

Die Rechtsgrundlage zur Feststellung der Zwecke, für die der Verantwortliche, also der Beklagte, die Daten erhoben hat, ergibt sich aus der Regelung der rechtmäßigen Datenverarbeitung in Art. 6 DSGVO (vgl. dazu BSG, Urteil vom 18. Dezember 2018 - B 1 KR 31/17 R -, zitiert nach juris). Denn die Norm des Art. 17 Abs. 1 a DSGVO knüpft nach Wortlaut, Regelungssystem (Art. 17 Abs. 1 d DSGVO) und -zweck an die Beendigung einer rechtmäßigen Datenverarbeitung an. Die Verarbeitung ist nach Art. 6 Abs. 1 c DSGVO rechtmäßig, wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Die Rechtsgrundlage hierfür wird u. a. festgelegt durch das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt (Art. 6 Abs. 3 Satz 1 b DSGVO). Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt sein (vgl. Art. 6 Abs. 3 Satz 2 DSGVO).

Eine solche Rechtsgrundlage enthält § 67a Abs. 1 Satz 1 und 2 SGB X n. F. Danach ist die Erhebung von Sozialdaten durch die in § 35 SGB I genannten Stellen zulässig, wenn ihre Kenntnis zur Erfüllung einer Aufgabe der erhebenden Stelle nach diesem Gesetzbuch erforderlich ist. Dies gilt auch für die Erhebung der besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO, die hier jedoch nicht erfolgt ist. Die anschließende Speicherung, Veränderung, Nutzung, Übermittlung, Einschränkung der Verarbeitung und Löschung von Sozialdaten durch die in § 35 SGB I genannten Stellen ist nur erlaubt, soweit datenschutzrechtliche Vorschriften des SGB X oder eine andere Vorschrift des SGB dies erlauben oder anordnen (§ 67b Abs. 1 Satz 1 SGB X n. F.). Hierzu zählen die einschlägigen Regelungen der §§ 50 ff. SGB II. Die dort getroffenen Regelungen enthalten bereichsspezifische Datenschutznormen für die Grundsicherung für Arbeitsuchende. Solche Regelungen des bereichsspezifischen Datenschutzes gehen den allgemeinen Vorschriften des Sozialdatenschutzes der §§ 67 ff. SGB X vor. § 50 SGB II ermächtigt die Grundsicherungsträger zur Datenübermittlung. § 51b SGB II stellt eine Spezialvorschrift über die Datenerhebung und -verarbeitung durch die Träger der Grundsicherung für Arbeitsuchende dar. Ausweislich der Gesetzesmaterialien erfüllt § 51b SGB II auch die Funktion, dass weitere Daten mit Rücksicht auf das Grundrecht auf informationelle Selbstbestimmung der Leistungsempfänger nicht erhoben werden dürfen (vgl. BSG, Urteil vom 19. September 2008 - B 14 AS 45/07 R -, RdNr. 22, zitiert nach juris).

Nach § 51b Abs. 1 SGB II erheben die zuständigen Träger der Grundsicherung für Arbeitsuchende laufend die für die Durchführung der Grundsicherung für Arbeitsuchende erforderlichen Daten. Das Bundesministerium für Arbeit und Soziales wird ermächtigt, durch Rechtsverordnung mit Zustimmung des Bundesrats die nach Satz 1 zu erhebenden Daten, die zur Nutzung für die in Absatz 3 genannten Zwecke erforderlich sind, einschließlich des Verfahrens zu deren Weiterentwicklung festzulegen. Die nach den Absätzen 1 und 2 erhobenen [. ] Daten dürfen nur [. ] für folgende Zwecke verarbeitet und genutzt werden: 1. die zukünftige Gewährung von Leistungen nach diesem und dem Dritten Buch an die von den Erhebungen betroffenen Personen, 2. Überprüfungen der Träger der Grundsicherung für Arbeitsuchende auf korrekte und wirtschaftliche Leistungserbringung, 3. die Erstellung von Statistiken, Kennzahlen für die Zwecke nach § 48a Absatz 2 und § 48b Absatz 5, Eingliederungsbilanzen und Controllingberichten durch die Bundesagentur, der laufenden Berichterstattung und der Wirkungsforschung nach den §§ 53 bis 55, 4. die Durchführung des automatisierten Datenabgleichs nach § 52, 5. die Bekämpfung von Leistungsmissbrauch.

Der Beklagte beruft sich vorliegend auf die Zwecke nach Nrn. 2. und 5.

Danach durfte der Beklagte personenbezogene Daten der Klägerin u. a. zu Familien- und Vornamen, Anschrift, Familienstand, Geschlecht, Geburtsdatum, Staatsangehörigkeit usw. (§ 1 Abs. 2 Nr. 1 der Verordnung zur Erhebung der Daten nach § 51b SGB II vom 12. August 2010, BGBl. I S. 1150) erheben. Dies schließt die Anforderung und Vorlage entsprechender Dokumente zum Nachweis der gemachten Angaben durch die Klägerin nicht aus (vgl. BSG, Urteil vom 19. September 2008 - B 14 AS 45/07 R -, RdNr. 22, zitiert nach juris). Allerdings steht der Speicherung der Kopien des Personalausweises auch nach Löschung des Passbildes bereits entgegen, dass dort Angaben zur Augenfarbe und Größe der Klägerin enthalten sind, die nach § 1 Abs. 2 Nr. 1 der genannten Verordnung gerade nicht zu erheben sind. Es ist auch nicht erkennbar, dass das Vorhalten von Kopien des Personalausweises in der elektronischen Akte der Überprüfung einer korrekten Leistungserbringung und der Bekämpfung von Leistungsmissbrauch dienen kann.

Zunächst ist festzustellen, dass der Beklagte selbst die Vorlage des Personalausweises in seiner Anforderung vom 13. Januar 2009 unter der Rubrik "Ausweispapiere" nur alternativ neben die Vorlage eines Passes oder Meldebescheinigung gestellt hat. Offenbar sollte die Vorlage dieser Dokumente dem Nachweis des Wohnsitzes der Klägerin und damit der Feststellung der Zuständigkeit zur Leistungserbringung des Beklagten dienen. Die Meldebescheinigung ist - neben den Kopien des Personalausweises - zu den Akten genommen worden. Die Daten des Personalausweises sind außerdem mit Ausnahme von Augenfarbe und Größe auch in dem von der Klägerin unterschriebenen Antragsformular enthalten. Zwar sind die beiden Personalausweise ausstellenden Behörden sowie die Personalausweisnummern nicht im Antragsformular oder an anderer Stelle angegeben. Allerdings ist nicht erkennbar, dass diese Angaben zur Erfüllung der Zwecke in § 51b Abs. 3 Nr. 2 und 5 SGB II erforderlich sind. Zur Vermeidung der Bewilligung von Arbeitslosengeld II an einen Dritten, der sich der echten Ausweispapiere eines anderen bedient, kann die gespeicherte Kopie eines Personalausweises ohne Passbild nicht beitragen. Wenn sich ein Antragsteller mit einem Ausweis Leistungen erschleichen will, lässt sich die Identität des Antragstellers nur durch den Abgleich des Gesichts mit dem vorgezeigten Personalausweisbild feststellen. Ein Dokumentenprüfgerät kann die Echtheit eines gefälschten Personalausweises erkennen. Die unvollständige Kopie eines Personalausweises ist dazu nicht geeignet. Der Auffassung des Beklagten, die Kopie sei auch erforderlich, um gegebenenfalls eine noch zehn Jahre nach der Bewilligung erforderliche Aufhebung nach § 45 SGB X zu prüfen, kann ebenfalls nicht gefolgt werden. Denn die in dem Ausweis enthaltenen Daten sind durch den ausgefüllten Leistungsantrag hinlänglich bekannt.

Schließlich sind nach den obigen Ausführungen weder die internen Verwaltungsvorschriften zu den Aufbewahrungs- und Löschungsfristen noch der Aktenplan II der Bundesagentur für Arbeit vom 1. Oktober 2012 mit den dort jeweils geregelten pauschalen Aufbewahrungsfristen geeignet, ein Recht des Beklagten auf Speicherung der Ausweiskopien der Klägerin über eine Frist von zehn Jahren zu begründen.

Die Kostenentscheidung folgt aus § 193 SGG und entspricht dem Ergebnis des Rechtsstreits.

Die Revision ist nicht zuzulassen, da die Voraussetzungen hierfür (§ 160 Abs. 2 Nrn. 1 und 2 SGG) nicht vorliegen.