(1) Die automatisierte Verarbeitung der personenbezogenen Daten ist zulässig auf dienstlichen digitalen Geräten und in Netzwerken, wenn jeweils über die Konfiguration die Vertraulichkeit, Integrität und Verfügbarkeit gemäß Artikel 32 der Datenschutz-Grundverordnung gewährleistet sind. Insbesondere ist sicherzustellen, dass Berechtigte nur Zugang zu personenbezogenen Daten erhalten, die für die jeweilige Aufgabenerfüllung erforderlich sind. Beim Einsatz digitaler Lehr- und Lernmittel, von der Schule eingeführter digitaler Kommunikationsmittel sowie IT-Infrastrukturen ist die Verarbeitung von Protokolldaten nur zulässig, soweit dies zum Betrieb technisch erforderlich ist.

(2) Über die automatisierte Verarbeitung von personenbezogenen Daten in der Schule entscheidet die Schulleiterin oder der Schulleiter im Rahmen der geltenden Vorschriften. Sie oder er erstellt auch das Verzeichnis der Verarbeitungstätigkeiten gemäß Artikel 30 der Datenschutz-Grundverordnung. Mit der Datenverarbeitung können Bedienstete des Schulsekretariats, Lehrkräfte und sonstige Bedienstete der Schule beauftragt werden.

(3) Über die automatisierte Verarbeitung personenbezogener Daten entscheidet in den in § 1 Abs. 1 genannten Behörden oder Einrichtungen, die keine Schulen sind, die Leiterin oder der Leiter. Sie oder er erstellt auch das Verzeichnis der Verarbeitungstätigkeiten gemäß Artikel 30 der Datenschutz-Grundverordnung. Mit der Datenverarbeitung und der Erstellung des Verzeichnisses können Mitarbeiterinnen und Mitarbeiter, denen entsprechende Funktionen übertragen worden sind, beauftragt werden.

(4) Die Verarbeitung personenbezogener Daten von Personen, die an Zentren für schulpraktische Lehrerausbildung oder an Schulen ausgebildet werden, auf privaten digitalen Geräten der mit der Ausbildung beauftragten Personen bedarf der schriftlichen, ein Verzeichnis der Verarbeitungstätigkeiten gemäß Artikel 30 der Datenschutz-Grundverordnung enthaltenden Genehmigung. Die Genehmigung für Seminarausbilderinnen und Seminarausbilder erteilt die Leiterin oder der Leiter des Zentrums für schulpraktische Lehrerausbildung. Für Ausbildungslehrerinnen und Ausbildungslehrer an Schulen erfolgt dies durch die Schulleiterin oder den Schulleiter. Die Genehmigung darf nur erteilt werden, wenn die Verarbeitung der Daten nach Art und Umfang für die Ausbildung erforderlich ist und ein angemessener technischer Zugangsschutz nachgewiesen wird. Die für die Verarbeitung zugelassenen Daten ergeben sich aus der Anlage 6. Die Genehmigung darf nicht erteilt werden, wenn ein persönliches dienstliches digitales Gerät für dienstliche Zwecke zur Verfügung gestellt wird. Eine bereits erteilte Genehmigung erlischt mit Aushändigung eines solchen Gerätes. Übergangsweise ist die weitere Nutzung des Privatgeräts für die Dauer von höchstens vier Wochen zulässig, soweit dies zur Übertragung der personenbezogenen Daten auf das dienstliche Gerät erforderlich ist. Unabhängig davon kann die Schulleitung ausnahmsweise in begründeten, von ihr zu dokumentierenden Einzelfällen die Nutzung von Privatgeräten vorübergehend zulassen, soweit dies zur vollumfänglichen schulischen Verarbeitung personenbezogener Daten erforderlich und die datenschutzgerechte Verarbeitung entsprechend der für die Nutzung von Privatgeräten geltenden Standards gewährleistet ist. Für die nach Satz 1 genehmigte Verarbeitung personenbezogener Daten auf privaten digitalen Geräten ist das Zentrum für schulpraktische Lehrerausbildung öffentliche Stelle im Sinne des § 5 Absatz 1 Satz 1 des Datenschutzgesetzes Nordrhein-Westfalen. Soweit die Genehmigung von der Schulleitung erteilt wurde, ist dies die Schule. Die mit der Ausbildung beauftragten Personen sind verpflichtet, alle Auskünfte zu erteilen, die für die Wahrnehmung der datenschutzrechtlichen Verantwortung bei der Genehmigung erforderlich sind.

(5) Sofern dienstliche Dokumente auf privaten digitalen Geräten verarbeitet werden, ist die Verarbeitung personenbezogener Daten von Lehrkräften, anderem Personal der Schule und Personen in Ausbildung zulässig, soweit es sich um in der Schule oder im Zentrum für schulpraktische Lehrerausbildung dienstlich bekannte Daten und Kontaktdaten handelt, die Nennung für die Aufgabenerledigung erforderlich ist und ein angemessener technischer Zugangsschutz gewährleistet wird.

(6) Wenn die Leiterin oder der Leiter einer Schule oder eines Zentrums für schulpraktische Lehrerausbildung personenbezogene Daten von Beschäftigten auf privaten digitalen Geräten verarbeitet, ist dies nur für die in Absatz 5 und Anlage 6 genannten Daten zulässig, soweit die Verarbeitung der Daten zur Aufgabenerfüllung erforderlich ist und der erforderliche Schutz der Daten technisch sichergestellt wird.

(7) Bei der Einführung und Pflege der Verfahren für die automatisierte Verarbeitung personenbezogener Daten sind der Stand der Technik und die Grundsätze der Ergonomie zur effektiven und effizienten Unterstützung der Mitarbeiterinnen und Mitarbeiter bei der Erledigung ihrer Arbeitsaufgaben besonders zu beachten.

(8) Für Zwecke der Zuordnung der Person zu ihren Daten wird ein eindeutiges Merkmal mit der Bezeichnung "ldentnummer" gebildet. Die Identnummer ist vierzehnstellig und besteht in den ersten acht Stellen aus dem Geburtsdatum, in der neunten Stelle aus der Verschlüsselung des Geschlechts, in den Stellen zehn bis zwölf aus einer von 001 bis 999 fortlaufend Nummerierung, in der dreizehnten Stelle aus einer Prüfziffer sowie einem "X" in der vierzehnten Stelle.