Ergibt sich, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen, müssen Schulen gemäß Artikel 35 EU-DSGVO vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durchführen.
Eine solche Datenschutz-Folgenabschätzung ist für Schulen vor Beginn der Verarbeitung personenbezogener Daten insbesondere erforderlich, sofern sie unter anderem automatisiert personenbezogene Daten von Minderjährigen verarbeiten oder automatisiert eine systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen durchführen, die als Grundlage für Entscheidungen dienen, die Rechtswirkung gegenüber natürlichen Personen entfalten (Systeme zur Leistungsbeurteilung von Schülerinnen und Schülern, Zeugniserstellung, dienstliche Beurteilungen von Lehrkräften und weitere). Ferner bei einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten im Sinne von 1.4 dieser Verwaltungsvorschrift.
