(1) Schulen und Schulaufsichtsbehörden sind gemäß § 120 Abs. 1 Satz 1, Abs. 3 in Verbindung mit § 3 SchulG, im Übrigen nach den allgemeinen datenschutzrechtlichen Vorschriften, berechtigt und verpflichtet, personenbezogene Daten

1. 1.

   der Schülerinnen und Schüler,

2. 2.

   der Eltern gemäß § 123 SchulG,

3. 3.

   der Verpflichteten gemäß § 41 SchulG

in Dateien und/oder Akten zu verarbeiten, soweit diese Verordnung oder andere Rechtsvorschriften dies zulassen.

(2) Die zur Verarbeitung zugelassenen Daten sind in den Anlagen genannt. Die nicht für die automatisierte Datenverarbeitung zugelassenen Daten (Verhaltensdaten von Schülerinnen und Schülern, Daten über gesundheitliche Auffälligkeiten und etwaige Behinderungen, Ergebnisse aus in § 120 Abs. 3 Satz 1 SchulG aufgeführten Tests, aus psychologischen und ärztlichen Untersuchungen) sind in den Anlagen besonders gekennzeichnet. Sofern die Erfüllung der übertragenen Aufgaben die Verarbeitung von in den Anlagen nicht genannten Daten im Einzelfall erforderlich macht, gelten die allgemeinen datenschutzrechtlichen Vorschriften. Die Zulässigkeit der Verarbeitung erstreckt sich auch auf in der Anlage nicht genannte Daten, soweit sie aus den in den Anlagen genannten Daten gebildet oder abgeleitet werden und zur Erfüllung der übertragenen Aufgaben erforderlich sind. Die Verarbeitung umfasst auch die Auswertungen von Daten, die zur Erfüllung der übertragenen Aufgaben erforderlich sind.

(3) Für die Schule stellt die Schulleiterin oder der Schulleiter, für die Schulaufsichtsbehörde die Leiterin oder der Leiter der Behörde durch technische oder organisatorische Maßnahmen sicher, dass der Schutz der verarbeiteten Daten gemäß § 10 DSG NRW gewährleistet ist und die Löschungsbestimmungen eingehalten werden. Die Zuständigkeit der gemäß § 1 Abs. 6 VO-DV II bestellten behördlichen Datenschutzbeauftragten (§ 32a DSG NRW) besteht auch für die Kontrolle der Einhaltung der datenschutzrechtlichen Vorschriften in Bezug auf die Daten der Schülerinnen, Schüler und Eltern.