(1) Personenbezogene Daten der Schülerinnen und der Schüler sowie der Erziehungsberechtigten dürfen von den Schulen, den Schulträgern, den Trägern der Schulentwicklungsplanung, den Trägern der Schülerbeförderung und von den Schulbehörden verarbeitet werden, soweit dies zur Erfüllung des Unterrichtsund Erziehungsauftrages, der Schulplanung, der Schulorganisation, sowie der Schulaufsicht nach diesem Gesetz und nach anderen Rechtsvorschriften erforderlich ist. Dies gilt in gleicher Weise für Daten, die für den Vollzug von Bewirtschaftungsmaßnahmen erforderlich sind. Schülerinnen und Schüler und Erziehungsberechtigte haben die erforderlichen Angaben zu machen. Schülervertretungen und Vertretungen von Erziehungsberechtigten dürfen personenbezogene Daten der Schülerinnen und Schüler, der Lehrkräfte und der Erziehungsberechtigten verarbeiten, soweit dies für die Erfüllung der ihnen im siebten Teil dieses Gesetzes zugewiesenen Aufgaben erforderlich ist. Schülervertretungen und Vertretungen von Erziehungsberechtigten sind für die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung personenbezogener Daten zu sensibilisieren. Die gemäß Artikel 13 und 14 der Verordnung (EU) 2016/679 des Europäischen Parlamentes und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 04.05.2016, S. 1, L 314, S. 72) mitzuteilenden Informationen sind für minderjährige Schülerinnen und Schüler auch deren Erziehungsberechtigten mitzuteilen.

(2) Von Schülerinnen und von Schülern werden nur die Schülernummer, der Name, die Kontaktdaten, das Geschlecht, die Staatsangehörigkeit, das Geburtsdatum und der Geburtsort sowie Leistungsdaten, Organisations- und Schullaufbahndaten verarbeitet. Von Erziehungsberechtigten werden nur der Name und die Kontaktdaten verarbeitet.

(3) Von Schülerinnen und Schülern dürfen von den besonderen Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 Datenschutz-Grundverordnung nur Gesundheitsdaten, Migrationshintergrund und Religionszugehörigkeit verarbeitet werden, soweit dies zur Erreichung der Zwecke nach Absatz 1 Satz 1 erforderlich ist. Daten über besondere pädagogische, soziale und therapeutische Maßnahmen und deren Ergebnisse dürfen nur verarbeitet werden, soweit für Schülerinnen und Schüler eine besondere schulische Betreuung in Betracht kommt. Eine Verarbeitung dieser Daten zu einem anderen Zweck ist ausgeschlossen.

(4) Personenbezogene Daten nach Absatz 2 dürfen sich Schulen, Schulträger und Schulbehörden wechselseitig offenlegen, soweit dies zur Erfüllung des Unterrichts- und Erziehungsauftrages, der Schulplanung, der Schulorganisation und der Schulaufsicht nach diesem Gesetz erforderlich ist. Soweit im Einzelfall erforderlich, dürfen Schulen zum Zweck der Vermittlung bedarfsgerechter Angebote zur Beratung, Qualifizierung oder Eingliederung in Ausbildung und Beruf, Name und Adresse der Schülerinnen und Schüler und der Erziehungsberechtigten an die örtlichen Agenturen für Arbeit, an die Jobcenter, an die Jugendberufsagenturen und an die Träger der Jugendhilfe und der Grundsicherung für Arbeitssuchende übermitteln. Die Regelung des § 4 Absatz 2 des Landesdatenschutzgesetzes bleibt unberührt.

(5) Lehrkräfte und sonstiges Schulpersonal sollen personenbezogene Daten von Schülerinnen und Schülern, Erziehungsberechtigten, Lehrkräften und sonstigem Schulpersonal unter Nutzung der durch den Schulträger zur Verfügung gestellten Datenverarbeitungsanlagen verarbeiten.

(6) Die oberste Schulbehörde wird ermächtigt, durch Rechtsverordnung

1. 1.

   die nähere Bestimmung der in den Absätzen 1 bis 4 genannten personenbezogenen Daten, insbesondere der Daten, die mittels eines einheitlichen Systems zur Erhebung von Daten im schulischen Kontext automatisiert verarbeitet werden dürfen,

2. 2.

   die Einzelheiten der Verarbeitung der personenbezogenen Daten nach den Absätzen 1 bis 5,

3. 3.

   die zulässigen Verwendungszwecke beim Einsatz der automatisierten Datenverarbeitung und

4. 4.

   die erforderlichen Datensicherungsmaßnahmen und Aufbewahrungsfristen

zu regeln.