(1) Schulen und Schulaufsichtsbehörden sind gemäß § 120 Abs. 1 Satz 1, Abs. 3 in Verbindung mit § 3 des Schulgesetzes NRW, im Übrigen nach den allgemeinen datenschutzrechtlichen Vorschriften, berechtigt und verpflichtet, personenbezogene Daten

1. 1.

   der Schülerinnen und Schüler,

2. 2.

   der Eltern gemäß § 123 des Schulgesetzes NRW,

3. 3.

   der Verpflichteten gemäß § 41 des Schulgesetzes NRW

in Dateien und/oder Akten zu verarbeiten, soweit diese Verordnung oder andere Rechtsvorschriften dies zulassen. Die Datenverarbeitung kann soweit erforderlich auch bei schulischen Aufgaben erfolgen, die außerhalb der Schulgebäude wahrgenommen werden.

(2) Die zur Verarbeitung zugelassenen Daten sind in den Anlagen genannt. Die nicht für die automatisierte Datenverarbeitung zugelassenen Daten sind in den Anlagen besonders gekennzeichnet. Sofern die Erfüllung der übertragenen Aufgaben die Verarbeitung von in den Anlagen nicht genannten Daten im Einzelfall erforderlich macht, gelten die allgemeinen datenschutzrechtlichen Vorschriften. Die Zulässigkeit der Verarbeitung erstreckt sich auch auf in der Anlage nicht genannte Daten, soweit sie aus den in den Anlagen genannten Daten gebildet oder abgeleitet werden und zur Erfüllung der übertragenen Aufgaben erforderlich sind. Die Verarbeitung umfasst auch die Auswertungen von Daten, die zur Erfüllung der übertragenen Aufgaben erforderlich sind.

(3) Für die Schule stellt die Schulleiterin oder der Schulleiter, für die Schulaufsichtsbehörde die Leiterin oder der Leiter der Behörde durch technische oder organisatorische Maßnahmen sicher, dass der Schutz der verarbeiteten Daten gemäß Artikel 32 in Verbindung mit Artikel 5 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1, L 314 vom 22.11.2016, S. 72, L 217 vom 23.5.2018, S. 2, L 74 vom 4.3.2021, S. 35) gewährleistet ist und die Löschungsbestimmungen eingehalten werden. Die Zuständigkeit der gemäß § 1 Abs. 6 VO-DV II bestellten behördlichen Datenschutzbeauftragten (Artikel 37 bis 39 der Datenschutz-Grundverordnung) besteht auch für die Kontrolle der Einhaltung der datenschutzrechtlichen Vorschriften in Bezug auf die Daten der Schülerinnen, Schüler und Eltern.