(1) Personenbezogene Daten der Schülerinnen, Schüler und Eltern dürfen von den Schulen, den Schulträgern und Schulaufsichtsbehörden verarbeitet werden, soweit dies zur Erfüllung ihrer Aufgaben erforderlich ist. Es sind dies:

1. 1.

   bei Schülerinnen und Schülern:

   Schüler-Kennnummer (auch landeseindeutig), Vor- und Familienname, Tag und Ort der Geburt, Geschlecht, Adressdaten (einschließlich Telefon und E-Mail-Adresse), Adressdaten im Fall einer Unterbringung gemäß § 111 Absatz 4, Staatsangehörigkeit, Herkunfts- und Verkehrssprache, Konfession, Krankenversicherung, Leistungs- und Schullaufbahndaten, Daten über das allgemeine Lernverhalten, das Sozialverhalten sowie über einen Unterstützungsbedarf im Übergang von der Schule zum Beruf, beabsichtigter Bildungs- oder Berufsweg nach Entlassung aus der Schule, die Ergebnisse der schulärztlichen, schulpsychologischen und sonderpädagogischen Untersuchungen, Daten über sonderpädagogischen Förderbedarf und Gesundheitsdaten, soweit sie für den Schulbesuch, insbesondere zur individuellen Förderung, von Bedeutung sind; bei Berufsschülerinnen und -schülern ferner die Daten über Vorbildung, Berufsausbildung, Berufspraktikum und Berufstätigkeit sowie die Adressdaten (einschließlich Telefon und E-Mail-Adresse) des Ausbildungsbetriebes oder der Praktikumsstelle;

2. 2.

   bei Eltern:

   Name, Adressdaten (einschließlich Telefon und E-Mail-Adresse).

   Schülerinnen, Schüler und Eltern haben die erforderlichen Angaben zu machen.

Darüber hinaus dürfen personenbezogene Daten verarbeitet werden, soweit dies zur Nutzung digitaler Lehr- und Lernformen im Sinne des § 4a und des § 46a Absatz 1 erforderlich ist. Dies gilt auch für Daten, die erst bei der Nutzung entstehen.

(2) Soweit die Verarbeitung automatisiert erfolgt, dürfen Schulen, Schulträger und Schulaufsichtsbehörden die Daten der Schülerinnen, Schüler und Eltern grundsätzlich nur mit dienstlich zur Verfügung gestellten informationstechnischen Geräten und Programmen verarbeiten, welche die Gewähr dafür bieten, die Maßnahmen im Sinne von Artikel 32 Absatz 1 und 2 der Verordnung (EU) 2016/6791 durchführen zu können und insbesondere das nach dem Stand der Technik und der Schutzbedürftigkeit der Daten erforderliche und angemessene Maß an Vertraulichkeit sicherzustellen. Ausnahmen von der Pflicht zur Nutzung dienstlich zur Verfügung gestellter Geräte und Programme kann das für Bildung zuständige Ministerium durch Verordnung regeln.

(2a) Das für Bildung zuständige Ministerium kann ferner für die Schulen für deren Verwaltungs- oder deren pädagogisch-didaktische Tätigkeit eine andere Stelle als Auftragsverarbeiter gemäß Artikel 28 der Verordnung (EU) 2016/679 beauftragen, personenbezogene Daten von Schülerinnen und Schülern und deren Eltern in einem automatisierten Verfahren zu verarbeiten; die Schulen bleiben für die Datenverarbeitung verantwortlich, das für Bildung zuständige Ministerium ist zentral für die Gewährleistung der Ordnungsgemäßheit des automatisierten Verfahrens verantwortlich. Für automatisierte Verfahren, die mehreren Verantwortlichen gemeinsam die Verarbeitung personenbezogener Daten ermöglichen, kann das für Bildung zuständige Ministerium auf Grundlage von § 7 Absatz 4 des Landesdatenschutzgesetzes durch Verordnung Regelungen festlegen und eine zentrale Stelle bestimmen. Es kann ferner die nach Artikel 28 Absatz 3 der Verordnung (EU) 2016/679 erforderlichen Bestimmungen durch Verordnung regeln.

(3) Die Übermittlung personenbezogener Daten mit Ausnahme von Gesundheitsdaten im Sinne von Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 zwischen den in Absatz 1 genannten Stellen und anderen öffentlichen Stellen ist zulässig, soweit dies zur jeweiligen Aufgabenerfüllung erforderlich ist. Gleiches gilt für die Datenübermittlung von und zu einer Schule in freier Trägerschaft. Die Übermittlung personenbezogener Daten an das Jobcenter (§ 6 d SGB II) oder die örtliche Agentur für Arbeit (§ 367 Absatz 2 SGB III) darf zu Zwecken der Förderung der beruflichen Ausbildung oder der Vermittlung in ein Ausbildungsverhältnis oder ein Qualifizierungsangebot erfolgen. Die Übermittlungsvorgänge sind aktenkundig zu machen.

(4) Die Übermittlung von Gesundheitsdaten im Sinne von Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 zwischen den in Absatz 1 genannten Stellen und anderen öffentlichen Stellen ist zulässig, soweit dies zur jeweiligen Aufgabenerfüllung zwingend erforderlich ist. Absatz 3 Satz 4 und § 12 des Landesdatenschutzgesetzes gelten entsprechend.

(5) Für Zwecke der Schulverwaltung und der Schulaufsicht können durch das für Bildung zuständige Ministerium und das Statistische Amt für Hamburg und Schleswig-Holstein statistische Erhebungen durchgeführt werden. Zur Erstellung von Bildungsverlaufsanalysen auf wissenschaftlicher Grundlage können die Daten auch in pseudonymisierter Form unter den nachfolgenden Bedingungen verarbeitet werden:

1. 1.

   Die Nutzung erfolgt ausschließlich durch Verwendung einer zweiten Datenbank, die nur pseudonymisierte Daten enthält;

2. 2.

   die zweite Datenbank ist unter Berücksichtigung des Stands der Technik mit den erforderlichen technisch-organisatorischen Sicherheitsmaßnahmen zu schützen;

3. 3.

   das Pseudonym ist so zu gestalten, dass ein Bezug zu Datensätzen der zweiten Datenbank herstellbar, die Identifikation einer Schülerin oder eines Schülers aber ausgeschlossen ist;

4. 4.

   die Ergebnisse der pseudonymisierten Untersuchungen dürfen keine Einzelmerkmale enthalten, die einen Rückschluss auf die Identität einzelner Schülerinnen und Schüler zulassen.

(6) Um die Erfüllung der Schulpflicht zu gewährleisten, übermittelt die Meldebehörde der zuständigen Grundschule folgende Daten der im jeweiligen Schulbezirk gemeldeten Kinder, die in dem folgenden Jahr erstmals schulpflichtig werden:

1. 1.

   Vor- und Familiennamen,

2. 2.

   Tag und Ort der Geburt,

3. 3.

   Geschlecht,

4. 4.

   gesetzliche Vertreterin oder gesetzlicher Vertreter (Vor- und Familiennamen sowie Anschrift), abweichend hiervon in Fällen des § 51 Absatz 5 Nummer 2 des Bundesmeldegesetzes Vor- und Familiennamen nur der Personen, bei denen das Kind wohnt,

5. 5.

   Staatsangehörigkeiten und

6. 6.

   Anschrift.

(7) Ferner übermittelt die Meldebehörde dem zuständigen Schulamt zu dem in Absatz 6 genannten Zweck die dort genannten Daten sowie den Tag des Einzugs von schulpflichtigen Kindern und Jugendlichen (§§ 20, 22 und 23), die nach Schleswig-Holstein gezogen sind. Wird ein Kind oder Jugendlicher im schulpflichtigen Alter gemäß § 17 Absatz 2 des Bundesmeldegesetzes abgemeldet, übermittelt die Meldebehörde dem zuständigen Schulamt zu dem in Absatz 6 genannten Zweck die dort zu den Nummern 1, 2 und 4 genannten Daten sowie den Tag des Auszugs.

(8) Um die Erfüllung der Berufsschulpflicht zu gewährleisten, übermitteln die weiterführenden allgemein bildenden Schulen und die Förderzentren der zuständigen Berufsschule die folgenden Daten der minderjährigen Schülerinnen und Schüler, die die Schule oder das Förderzentrum nach Erfüllung der Vollzeitschulpflicht verlassen:

1. 1.

   Vor- und Familiennamen,

2. 2.

   Tag und Ort der Geburt,

3. 3.

   gesetzliche Vertreterin oder gesetzlicher Vertreter (Vor- und Familienname sowie Adressdaten (einschließlich Telefon und E-Mail-Adresse)),

4. 4.

   Adressdaten (einschließlich Telefon und E-Mail-Adresse),

5. 5.

   Gesamtnoten und Ergebnisse der letzten beiden erteilten Zeugnisse,

6. 6.

   Zeitpunkt und Ergebnis der Abschlussprüfung.

(9) Das Recht auf Auskunft und Einsichtnahme gemäß Artikel 15 der Verordnung (EU) 2016/679 in die von Schulen verarbeiteten Daten kann durch die Schule eingeschränkt oder versagt werden, soweit der Schutz der betroffenen Schülerin oder des betroffenen Schülers, der Eltern oder Dritter dieses erfordert. Schülerinnen und Schüler sowie Eltern sind über die Einschränkung zu informieren, soweit ihr Zweck dadurch nicht gefährdet wird.

(10) Für persönliche Zwischenbewertungen des allgemeinen Lernverhaltens und des Sozialverhaltens in der Schule sowie persönliche Notizen der Lehrkräfte über Schülerinnen, Schüler und Eltern bestehen die Rechte der betroffenen Personen gemäß Artikel 12 bis 21 der Verordnung (EU) 2016/679 nicht. Die Daten dürfen für Entscheidungen und Maßnahmen innerhalb des Schulverhältnisses gemäß § 11 Absatz 1 verwendet werden. Eine Übermittlung der Daten ist nur an die zuständige Schulaufsichtsbehörde oder an ein Gericht für die Durchführung von Verwaltungs-, Rechtsbehelfs- oder Gerichtsverfahren zulässig.

(11) Soweit es zur Erfüllung der sich nach diesem Gesetz ergebenden Aufgaben der Schule und der Schulaufsicht sowie zur Wahrung gesetzlicher Mitwirkungsrechte erforderlich und es unter Wahrung der überwiegenden schutzwürdigenden Belange der betroffenen Personen sowie der Verordnung (EU) 2016/679 möglich und zulässig ist, kann das für Bildung zuständige Ministerium durch Verordnung regeln:

1. 1.

   weitere Einzelheiten zur Datenverarbeitung, insbesondere zur Erhebung, Übermittlung, Organisation, zum Ordnen, zur Speicherung, Veränderung, Verwendung, Einschränkung der Verarbeitung, zum Löschen und zur Vernichtung,

2. 2.

   den zulässigen Zweck sowie den Umfang der Verarbeitung von Daten,

3. 3.

   die Datensicherung,

4. 4.

   die Daten der Schulverwaltung,

5. 5.

   die Datenverarbeitung durch Lehrkräfte außerhalb der Schule,

6. 6.

   die Datenverarbeitung durch Elternvertretungen,

7. 7.

   automatisierte Verfahren der Datenverarbeitung,

8. 8.

   die für statistische Erhebungen maßgebenden Erhebungs- und Hilfsmerkmale, den Berichtszeitraum und die Periodizität,

9. 9.

   die für die Aufgabe nach Absatz 5 Satz 2 zuständige Stelle,

10. 10.

    Zeitpunkt und Stand der nach Absatz 6 zu übermittelnden Daten,

11. 11.

    besondere technische und organisatorische Maßnahmen, die die Nutzung von digitalen Lehr- und Lernformen nach § 4a und § 46a Absatz 1 erforderlich macht.

(12) Regelungen in anderen Rechtsvorschriften des Landes, insbesondere im Landesdatenschutzgesetz, oder des Bundes über die Verarbeitung von Daten bleiben unberührt, soweit sich nicht aus den datenschutzrechtlichen Bestimmungen dieses Gesetzes etwas anderes ergibt.