(1) Die Übermittlung von personenbezogenen Daten an öffentliche Stellen oder an Stellen außerhalb des öffentlichen Bereichs richtet sich nach § 120 Absatz 7 des Schulgesetzes NRW.

(2) Die Datenübermittlung kann schriftlich, mündlich, automatisiert oder auf Datenträgern erfolgen. Datenträger, die versandt werden, dürfen personenbezogene Daten nur enthalten, soweit diese für die Empfängerin oder den Empfänger bestimmt sind. Eine automatisierte Datenübermittlung kann auch über eine gemeinsam genutzte informationstechnische Basis-Infrastruktur erfolgen, sofern die technischen und organisatorischen Sicherheitsanforderungen des Artikel 32 in Verbindung mit Artikel 5 der Datenschutz-Grundverordnung erfüllt werden. Eine Datenübermittlung auf Datenträgern bedarf einer Verschlüsselung nach dem aktuellen Stand der Technik. Automatisierte Verfahren, die die Übermittlung personenbezogener Daten durch Abruf ermöglichen, sind unzulässig.

(3) Das für die Schule zuständige Ministerium kann zum Zwecke der einheitlichen Erfüllung der datenschutz-rechtlichen Bestimmungen für die

1. 1.

   zur Übermittlung von Daten einzusetzende Hard- und Software,

2. 2.

   zur Übermittlung von Daten einzusetzenden Verfahren,

3. 3.

   Maßnahmen und Verfahren zur Einhaltung der datenschutzrechtlichen Bestimmungen auf dem Übermittlungswege.

Rahmenbedingungen schaffen oder im Einvernehmen mit den Schulträgern den Einsatz bestimmter Hardware, Software, Maßnahmen oder Verfahren vorschreiben.