(1) ¹Schulen dürfen personenbezogene Daten von Schülerinnen und Schülern, deren Eltern und Lehrerinnen und Lehrern verarbeiten, soweit dies zur rechtmäßigen Erfüllung des Bildungs- und Erziehungsauftrags der Schule und für einen jeweils damit verbundenen Zweck oder zur Durchführung schulorganisatorischer Maßnahmen erforderlich ist. ²Über jede Schülerin und jeden Schüler wird eine Schülerakte geführt; sie ist vertraulich zu behandeln und vor unbefugter Einsicht zu schützen. ³Zur Schülerakte gehören alle Unterlagen einschließlich der in Dateien gespeicherten, die die Schülerin oder den Schüler betreffen, soweit sie mit dem Schulverhältnis in einem unmittelbaren Zusammenhang stehen (Schüleraktendaten). ⁴Die Übermittlung personenbezogener Daten an andere öffentliche Stellen ist zulässig, soweit die Kenntnis der Daten zur Erfüllung der dem Empfänger durch Rechtsvorschrift zugewiesenen Aufgaben erforderlich ist.

(2) ¹Schulträger und Schulaufsichtsbehörden dürfen personenbezogene Daten von Schülerinnen und Schülern, deren Eltern und Lehrerinnen und Lehrern verarbeiten, soweit dies zur rechtmäßigen Erfüllung der in ihrer Zuständigkeit liegenden Aufgaben der Schulplanung, der Schulorganisation und der Schulaufsicht und einem jeweils damit verbundenen Zweck oder zur Durchführung organisatorischer Maßnahmen erforderlich ist. ²Abs. 1 Satz 4 gilt entsprechend.

(3) Schülerinnen und Schüler, deren Eltern und Lehrerinnen und Lehrer sind verpflichtet, die erforderlichen Angaben zu machen.

(4) ¹Zur Evaluation der Schulen nach § 98 können die Schulen und die Schulaufsichtsbehörden oder von ihnen beauftragte Dritte methodisch geeignete Verfahren einsetzen und durch Befragungen, Erhebungen und Unterrichtsbeobachtungen gewonnene Daten verarbeiten. ²Die Betroffenen werden vorab über das Ziel des Vorhabens, die Art ihrer Beteiligung an der Untersuchung, die Verarbeitung ihrer Daten sowie über die zur Einsichtnahme in die Daten und Ergebnisse Berechtigten informiert. ³Personenbezogene Daten für diese Zwecke dürfen ohne Einwilligung der Betroffenen verarbeitet werden, wenn das öffentliche Interesse an der Durchführung eines von der obersten Schulaufsichtsbehörde veranlassten oder genehmigten Vorhabens die schutzwürdigen Belange der Betroffenen erheblich überwiegt und der Zweck des Vorhabens auf andere Weise nicht oder nur mit einem unverhältnismäßigen Aufwand erreicht werden kann. ⁴Unter diesen Voraussetzungen dürfen personenbezogene Daten auch Dritten, die mit der externen Evaluation beauftragt sind, überlassen werden. ⁵§ 33 Abs. 2 und 3 des Hessischen Datenschutzgesetzes gilt entsprechend.

(5) ¹Für Zwecke der Lehreraus- und -fortbildung sowie der Qualitätsentwicklung des Unterrichts dürfen Bild- und Tonaufzeichnungen des Unterrichts erfolgen, wenn die Betroffenen rechtzeitig über die beabsichtigte Aufzeichnung und den Aufzeichnungszweck schriftlich informiert worden sind und nicht widersprochen haben. ²Die Aufzeichnungen sind spätestens nach fünf Jahren zu löschen, soweit schutzwürdige Belange der Betroffenen nicht eine frühere Löschung erfordern.

(6) ¹Im Rahmen der Schulgesundheitspflege und der Tätigkeit der Schulpsychologinnen und Schulpsychologen dürfen die für die Durchführung der schulärztlichen oder schulpsychologischen Untersuchungen sowie sonderpädagogischen Überprüfungen nach § 71 erforderlichen personenbezogenen Daten verarbeitet werden. ²Der schulärztliche Dienst und die Schulpsychologinnen und Schulpsychologen dürfen der Schule nur das Ergebnis der Pflichtuntersuchungen übermitteln. ³Personenbezogene Daten über freiwillige Untersuchungen dürfen nur mit schriftlicher Einwilligung der Betroffenen übermittelt werden. ⁴Die von den Schulpsychologinnen und Schulpsychologen erhobenen personenbezogenen Daten dürfen automatisiert nur verarbeitet werden, wenn sie dabei nach dem jeweiligen Stand der Technik hinreichend sicher verschlüsselt werden. ⁵Die Übermittlung personenbezogener Daten durch die Schulpsychologinnen und Schulpsychologen ist zulässig, wenn tatsächliche Anhaltpunkte dafür vorliegen, dass die Kenntnis der Daten zur Abwehr einer erheblichen Gefahr für die öffentliche Sicherheit oder zur Abwehr einer erheblichen Gefährdung Dritter erforderlich ist.

(7) Die automatisierte Verarbeitung personenbezogener Daten darf in der Schule nur mit schuleigenen Datenverarbeitungsgeräten erfolgen, es sei denn, dass die Beachtung der erforderlichen Datensicherheitsmaßnahmen gewährleistet ist.

(8) Soweit in diesem Gesetz nichts anderes geregelt ist, gilt das Hessische Datenschutzgesetz in der jeweils geltenden Fassung.

(9) Umfang und Einzelheiten der personenbezogenen Datenverarbeitung in der Schule werden durch Rechtsverordnung näher geregelt; dabei ist zu bestimmen, welche Sicherheitsmaßnahmen bei der Verarbeitung personenbezogener Daten außerhalb der Schule zu berücksichtigen sind.