(1) Schulen dürfen personenbezogene Daten von Schülerinnen und Schülern, deren Eltern und Lehrerinnen und Lehrern verarbeiten, soweit dies zur rechtmäßigen Erfüllung des Bildungs- und Erziehungsauftrags der Schule und für einen jeweils damit verbundenen Zweck oder zur Durchführung schulorganisatorischer Maßnahmen erforderlich ist. Die Übermittlung personenbezogener Daten an andere öffentliche Stellen ist zulässig, soweit die Kenntnis der Daten zur Erfüllung der dem Empfänger durch Rechtsvorschrift zugewiesenen Aufgaben erforderlich ist.

(2) Schulträger und Schulaufsichtsbehörden dürfen personenbezogene Daten von Schülerinnen und Schülern, deren Eltern und Lehrerinnen und Lehrern verarbeiten, soweit dies zur rechtmäßigen Erfüllung der in ihrer Zuständigkeit liegenden Aufgaben der Schulplanung, der Schulorganisation und der Schulaufsicht und einem jeweils damit verbundenen Zweck oder zur Durchführung organisatorischer Maßnahmen erforderlich ist. Abs. 1 Satz 2 gilt entsprechend.

(3) Schülerinnen und Schüler, deren Eltern und Lehrerinnen und Lehrer sind verpflichtet, die erforderlichen Angaben zu machen.

(4) Zur Evaluation der Schulen nach § 98 können die Schulen und die Schulaufsichtsbehörden oder von ihnen beauftragte Dritte methodisch geeignete Verfahren einsetzen und durch Befragungen, Erhebungen und Unterrichtsbeobachtungen gewonnene Daten verarbeiten. Die Betroffenen werden vorab über das Ziel des Vorhabens, die Art ihrer Beteiligung an der Untersuchung, die Verarbeitung ihrer Daten sowie über die zur Einsichtnahme in die Daten und Ergebnisse Berechtigten informiert. Personenbezogene Daten für diese Zwecke dürfen ohne Einwilligung der Betroffenen verarbeitet werden, wenn das öffentliche Interesse an der Durchführung eines von der obersten Schulaufsichtsbehörde veranlassten oder genehmigten Vorhabens die schutzwürdigen Belange der Betroffenen erheblich überwiegt und der Zweck des Vorhabens auf andere Weise nicht oder nur mit einem unverhältnismäßigen Aufwand erreicht werden kann. Unter diesen Voraussetzungen dürfen personenbezogene Daten auch Dritten, die mit der externen Evaluation beauftragt sind, überlassen werden. § 33 Abs. 2 und 3 des Hessischen Datenschutzgesetzes gilt entsprechend.

(5) Für Zwecke der Lehreraus- und -fortbildung sowie der Qualitätsentwicklung des Unterrichts dürfen Bild- und Tonaufzeichnungen des Unterrichts erfolgen, wenn die Betroffenen rechtzeitig über die beabsichtigte Aufzeichnung und den Aufzeichnungszweck schriftlich informiert worden sind und nicht widersprochen haben. Die Aufzeichnungen sind spätestens nach fünf Jahren zu löschen, soweit schutzwürdige Belange der Betroffenen nicht eine frühere Löschung erfordern.

(6) Im Rahmen der Schulgesundheitspflege und des schulpsychologischen Dienstes dürfen die für die Durchführung der schulärztlichen oder schulpsychologischen Untersuchungen sowie sonderpädagogischen Überprüfungen nach § 71 erforderlichen personenbezogenen Daten verarbeitet werden. Der schulärztliche und der schulpsychologische Dienst dürfen der Schule nur das Ergebnis der Pflichtuntersuchungen übermitteln. Personenbezogene Daten über freiwillige Untersuchungen dürfen nur mit schriftlicher Einwilligung der Betroffenen übermittelt werden. Medizinische Befunde dürfen nicht automatisiert verarbeitet werden, ausgenommen die medizinischen Befunde der für die Schulgesundheitspflege zuständigen Behörden (§ 149). Personenbezogene Daten des schulpsychologischen Dienstes dürfen nur automatisiert verarbeitet werden, wenn sie dabei nach dem jeweiligen Stand der Technik hinreichend sicher verschlüsselt werden.

(7) Die automatisierte Verarbeitung personenbezogener Daten darf in der Schule nur mit schuleigenen Datenverarbeitungsgeräten erfolgen, es sei denn, dass die Beachtung der erforderlichen Datensicherheitsmaßnahmen gewährleistet ist.

(8) Soweit in diesem Gesetz nichts anderes geregelt ist, gilt das Hessische Datenschutzgesetz in der jeweils geltenden Fassung.

(9) Umfang und Einzelheiten der personenbezogenen Datenverarbeitung in der Schule werden durch Rechtsverordnung näher geregelt; dabei ist zu bestimmen, welche Sicherheitsmaßnahmen bei der Verarbeitung personenbezogener Daten außerhalb der Schule zu berücksichtigen sind.