(1) Die automatisierte Verarbeitung der personenbezogenen Daten ist zulässig auf ADV-Arbeitsplätzen und in Netzwerken, die für Verwaltungszwecke eingerichtet sind, auf sonstigen dienstlichen ADV-Anlagen und in sonstigen Netzwerken, wenn jeweils über die Konfiguration die Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität, Revisionsfähigkeit und Transparenz gemäß § 10 des Datenschutzgesetzes Nordrhein-Westfalen gewährleistet sind. Insbesondere ist sicherzustellen, dass Berechtigte nur Zugang zu personenbezogenen Daten erhalten, die für die jeweilige Aufgabenerfüllung erforderlich sind.

(2) Über die automatisierte Verarbeitung von personenbezogenen Daten in der Schule entscheidet die Schulleiterin oder der Schulleiter im Rahmen der geltenden Vorschriften. Sie oder er erstellt auch das Verfahrensverzeichnis gemäß § 8 DSG NRW. Mit der Datenverarbeitung können Mitarbeiterinnen und Mitarbeiter des Schulsekretariats sowie Lehrerinnen und Lehrer, denen entsprechende Funktionen übertragen worden sind, beauftragt werden.

(3) Über die automatisierte Verarbeitung personenbezogener Daten entscheidet in den in § 1 Abs. 1 genannten Behörden oder Einrichtungen, die keine Schulen sind, die Leiterin oder der Leiter. Sie oder er erstellt auch das Verfahrensverzeichnis gemäß § 8 DSG NRW. Mit der Datenverarbeitung und der Erstellung des Verfahrensverzeichnisses können Mitarbeiterinnen und Mitarbeiter, denen entsprechende Funktionen übertragen worden sind, beauftragt werden.

(4) Die Verarbeitung personenbezogener Daten von Lehramtsanwärterinnen und Lehramtsanwärtern und Lehrkräften in Ausbildung in privaten ADV-Anlagen der mit der Ausbildung beauftragten Personen bedarf der schriftlichen, ein Verfahrensverzeichnis gemäß § 8 DSG NRW enthaltenden Genehmigung durch die Leiterin oder den Leiter des Zentrums für schulpraktische Lehrerausbildung. Die Genehmigung darf nur erteilt werden, wenn die Verarbeitung der Daten nach Art und Umfang für die Ausbildung erforderlich ist und ein angemessener technischer Zugangsschutz nachgewiesen wird. Die für die Verarbeitung zugelassenen Daten ergeben sich aus der Anlage 6. Für die nach Satz 1 genehmigte Verarbeitung personenbezogener Daten in privaten ADV-Anlagen ist das Zentrum für schulpraktische Lehrerausbildung öffentliche Stelle im Sinne des § 2 Absatz 1 DSG NRW. Die mit der Ausbildung beauftragten Personen sind verpflichtet, der Leiterin oder dem Leiter des Zentrums für schulpraktische Lehrerausbildung alle Auskünfte zu erteilen, die für die Wahrnehmung der datenschutzrechtlichen Verantwortung erforderlich sind.

(5) Bei der Einführung und Pflege der Verfahren für die automatisierte Verarbeitung personenbezogener Daten sind der Stand der Technik und die Grundsätze der Ergonomie zur effektiven und effizienten Unterstützung der Mitarbeiterinnen und Mitarbeiter bei der Erledigung ihrer Arbeitsaufgaben besonders zu beachten.

(6) Für Zwecke der Zuordnung der Person zu ihren Daten wird ein eindeutiges Merkmal mit der Bezeichnung "ldentnummer" gebildet. Die Identnummer ist vierzehnstellig und besteht in den ersten acht Stellen aus dem Geburtsdatum, in der neunten Stelle aus der Verschlüsselung des Geschlechts (3 für männlich, 4 für weiblich), in den Stellen zehn bis zwölf aus einer von 001 bis 999 fortlaufend Nummerierung, in der dreizehnten Stelle aus einer Prüfziffer sowie einem "X" in der vierzehnten Stelle.