(1) Personenbezogene Daten der Schüler und Erziehungsberechtigten dürfen von den Schulen, Schulträgern und Schulaufsichtsbehörden erhoben, verarbeitet und genutzt werden, soweit dies zur Erfüllung des Unterrichts- und Erziehungsauftrages nach diesem Gesetz und anderen Rechtsvorschriften erforderlich ist. Schüler und Erziehungsberechtigte haben die erforderlichen Angaben zu machen. Sie sind auf die Rechtsgrundlage für die Erhebung, Verarbeitung und Nutzung hinzuweisen. Die erhobenen Daten dürfen nur zu dem Zweck verarbeitet und genutzt werden, zu dem sie von den Betroffenen mitgeteilt worden sind.

(2) Die im Absatz 1 Satz 1 genannten Daten dürfen einer Schule, der Schulaufsichtsbehörde und dem Schulträger übermittelt werden, soweit sie von diesen zur Erfüllung der ihnen durch Rechtsvorschrift übertragenen Aufgaben benötigt werden. Die Übermittlung an andere öffentliche Stellen ist zulässig, wenn sie zur Erfüllung einer gesetzlichen Aufgabe erforderlich ist, ein Gesetz sie erlaubt oder der Betroffene im Einzelfall eingewilligt hat. An Ausbildungsbetriebe dürfen personenbezogene Daten von Berufsschülern übermittelt werden, soweit es zur Gewährleistung des Ausbildungserfolges erforderlich ist und schutzwürdige Belange der Betroffenen nicht beeinträchtigt werden. Die Übermittlung von Daten der Schüler und Erziehungsberechtigten an Personen oder Stellen außerhalb des öffentlichen Bereichs ist nur zulässig, wenn der Betroffene im Einzelfall eingewilligt hat. Minderjährige Schüler sind einwilligungsfähig, wenn sie die Bedeutung und Tragweite der Einwilligung und ihre rechtlichen Folgen erfassen können und ihren Willen hiernach zu bestimmen vermögen. Anderenfalls ist die Einwilligung von den Erziehungsberechtigten einzuholen. Alle Übermittlungsvorgänge sind aktenkundig zu machen.

(3) Ergebnisse schulärztlicher oder schulpsychologischer Untersuchungen, Daten über gesundheitliche Auffälligkeiten und etwaige Behinderungen sowie Verhaltensdaten von Schülern dürfen automatisiert nicht verarbeitet werden. Daten über besondere pädagogische, soziale und therapeutische Maßnahmen und deren Ergebnisse dürfen nur verarbeitet und genutzt werden, soweit für Schüler eine besondere schulische Betreuung in Betracht kommt.

(4) Lehrer dürfen zur Erfüllung ihrer Aufgaben private Datenverarbeitungsanlagen zur Verarbeitung personenbezogener Daten von Schülern verwenden, wenn sichergestellt ist, dass diese Daten vor dem Zugriff Dritter geschützt sind und sich der Lehrer zuvor durch Abgabe einer schriftlichen Erklärung verpflichtet hat, die datenschutzrechtlichen Vorschriften zu beachten. Er unterliegt auch insoweit der datenschutzrechtlichen Kontrolle durch den Landesbeauftragten für den Datenschutz nach § 30 des Landesdatenschutzgesetzes.

(5) Personenbezogene Daten von Schülern und Erziehungsberechtigten sind durch geeignete technische und organisatorische Maßnahmen vor unberechtigtem Zugriff zu sichern.

(6) Erziehungsberechtigte und Schüler sind berechtigt, Einsicht in die sie betreffenden Unterlagen zu nehmen oder Auskunft über die sie betreffenden Daten und die Stellen zu erhalten, an die Daten übermittelt worden sind. Vom vollendeten 14. Lebensjahr an können Schüler diese Rechte auch ohne Zustimmung der Erziehungsberechtigten geltend machen, sofern die auskunftspflichtige Stelle deren Zustimmung nicht für erforderlich hält. Die Auskunft erfolgt unentgeltlich.

(7) Die oberste Schulaufsichtsbehörde wird ermächtigt, durch Rechtsverordnung das Nähere über den Umgang mit personenbezogenen Daten, insbesondere

1. 1.
   die nähere Bestimmung der in Absatz 1 Satz 1 genannten erforderlichen personenbezogenen Daten,
2. 2.
   das Speichern, Verändern, Sperren, Anonymisierungen und Löschen von Daten,
3. 3.
   die zulässigen Verwendungszwecke beim Einsatz automatisierter Verfahren und
4. 4.
   die erforderlichen Datensicherungsmaßnahmen und Aufbewahrungsfristen zu regeln. Die Rechtsverordnung ist dem Stand der Technik anzupassen.