Vom 10. Dezember 2025

Auf Grund des § 1 Absatz 5 Satz 3 des Schülerinnen- und Schülerdatenübermittlungsgesetzes NRW vom 17. Oktober 2023 (GV. NRW. S. 1147), das durch Gesetz vom 10. Juli 2025 (GV. NRW. S. 684) geändert worden ist, verordnet das Ministerium für Arbeit, Gesundheit und Soziales:

§ 1
Anwendungsbereich

(1) Diese Verordnung bezieht sich auf die Entgegennahme und Verarbeitung aller im Rahmen des Verfahrens nach § 1 Absatz 5 des Schülerinnen- und Schülerdatenübermittlungsgesetzes NRW vom 17. Oktober 2023 (GV. NRW. S. 1147), das durch Gesetz vom 10. Juli 2025 (GV. NRW. S. 684) geändert worden ist, anfallenden personenbezogenen Daten.

(2) Die Verarbeitung der Daten im Auftrag des Verantwortlichen hat ausschließlich auf dem Gebiet des Europäischen Wirtschaftsraums stattzufinden.

§ 2
Datenverarbeitung im Auftrag; Zweck der Verarbeitung

(1) Diese Verordnung regelt das Verfahren für die Bereitstellung der Daten für die Stellen, die im Rahmen ihrer bereits bestehenden Aufgaben und Zuständigkeiten dafür zuständig oder dazu befugt sind, den im Sinne des § 31a des Dritten Buches Sozialgesetzbuch – Arbeitsförderung – (Artikel 1 des Gesetzes vom 24. März 1997 BGBl. I S. 594, 595), das zuletzt durch Artikel 60 des Gesetzes vom 23. Oktober 2024 (BGBl. 2024 I Nr. 323) geändert worden ist, betroffenen jungen Menschen weitere Angebote zu unterbreiten und die dafür notwendigen Prozesse der Entgegennahme nach § 1 Absatz 5 Satz 1 des Schülerinnen- und Schülerdatenübermittlungsgesetzes NRW und des Abgleichs der Daten nach § 1 Absatz 5 Satz 2 des Schülerinnen- und Schülerdatenübermittlungsgesetzes NRW.

(2) Die Stellen, die in Nordrhein-Westfalen im Rahmen ihrer bereits bestehenden Aufgaben und Zuständigkeiten dafür zuständig oder dazu befugt sind, den im Sinne des § 31a des Dritten Buches Sozialgesetzbuch betroffenen jungen Menschen weitere Angebote zu unterbreiten, sind für die Verarbeitung der personenbezogenen Daten datenschutzrechtlich verantwortlich. Sie werden nachfolgend als Verantwortliche bezeichnet.

(3) Das für Arbeit zuständige Ministerium wird unter Beachtung des Prinzips der Datentrennung für die Verantwortlichen als Auftragsverarbeiter gemäß Artikel 28 Absatz 3 Satz 1 der Verordnung (EU) 2016/679 vom 27. April 2016 (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom 23.5.2018; L 74 vom 4.3.2021, S. 35) bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr in Verbindung mit § 52 Absatz 1 des Datenschutzgesetzes Nordrhein-Westfalen vom 17. Mai 2018 (GV. NRW. S. 244, ber. S. 278 und S. 404) tätig. Nachfolgend wird das für Arbeit zuständige Ministerium als Auftragsverarbeiter bezeichnet.

(4) Die Datenverarbeitung erfolgt im Rahmen der Zuständigkeit des jeweiligen Verantwortlichen und zu dem Zweck, für diesen die in seinen sachlichen und örtlichen Zuständigkeitsbereich fallenden Datensätze entgegenzunehmen, sofern erforderlich um die Wohnanschrift zu ergänzen und zum Abruf bereitzustellen.

(5) Um die sich aus der Datenverarbeitung ergebenden Rechte und Pflichten gemäß den Vorgaben der Verordnung (EU) 2016/679 und des Datenschutzgesetzes Nordrhein-Westfalen zu konkretisieren, wird die Auftragsverarbeitung mit dieser Verordnung als ein für Verantwortliche und Auftragsverarbeiter geltendes Rechtsinstrument gemäß Artikel 28 Absatz 3 Satz 1 2. Alternative der Verordnung (EU) 2016/679 verbindlich festgelegt.

§ 3
Kategorien betroffener Personen und personenbezogener Daten

(1) Von der Datenverarbeitung betroffene Personen sind die Schülerinnen und Schüler, deren personenbezogene Daten der Auftragsverarbeiter für die Verantwortlichen nach § 1 Absatz 5 Satz 1 des Schülerinnen- und Schülerdatengesetzes NRW entgegennehmen kann.

(2) Gegenstand der Datenverarbeitung sind die personenbezogenen Daten nach § 1 Absatz 3 des Schülerinnen- und Schülerdatenübermittlungsgesetzes NRW.

§ 4
Gegenstand und Dauer der Regelung

(1) Der Auftragsverarbeiter nimmt die von der Agentur für Arbeit gemäß § 31a Absatz 2 des Dritten Buches Sozialgesetzbuch übermittelten Datensätze zentral für die Verantwortlichen entgegen. Zur Datenübermittlung durch die Agentur für Arbeit sowie für den Abruf durch den jeweiligen Verantwortlichen stellt der Auftragsverarbeiter digitale, passwortgeschützte Schnittstellen zur Verfügung.

(2) Der Auftragsverarbeiter informiert die Verantwortlichen über die Möglichkeit des Abrufs der nach Absatz 1 angenommenen Daten.

(3) Die Verantwortlichen informieren den Auftragsverarbeiter über den Wunsch, die in ihren räumlichen Zuständigkeitsbereich gehörenden personenbezogenen Schülerinnen- und Schülerdaten abrufen zu wollen und benennen die zum Abruf berechtigten Stellen. Nach Benennung der zum Abruf berechtigten Stellen ergänzt der Auftragsverarbeiter für diese die nach Absatz 1 entgegengenommenen Daten um die jeweilige Wohnanschrift. Die Zuordnung der Wohnanschrift erfolgt im Rahmen eines Abgleichs der nach § 31a Absatz 2 des Dritten Buches Sozialgesetzbuch übermittelten Datensätze mit denen nach § 31a Absatz 1 des Dritten Buches Sozialgesetzbuch übermittelten Datensätzen. Kriterium für den Abgleich ist die identische Kombination der Merkmale Name, Vorname und Geburtsdatum. Sofern die Agentur für Arbeit in einem Datensatz im Sinne des § 31a Absatz 2 Satz 1 des Dritten Buches Sozialgesetzbuch eine Wohnanschrift übermittelt, da sich diese gegenüber der von den Bezirksregierungen übermittelten Anschrift geändert hat, entfällt der Abgleich gemäß Absatz 3 Satz 2 für die Wohnanschrift in diesem Datensatz.

(4) Der Abruf der Datensätze ist in einem Zeitraum von drei Wochen ab dem Zeitpunkt der Zurverfügungstellung möglich. Mit Ablauf der Frist werden alle Datensätze in der digitalen Schnittstelle gelöscht. Das betrifft auch diejenigen Datensätze, die nicht abgerufen wurden.

(5) Für die Datenverarbeitung werden keine Gebühren oder Auslagen erhoben.

§ 5
Verantwortlichkeit und Weisungsbefugnis

(1) Der Auftragsverarbeiter hat sämtliche ihn betreffenden datenschutzrechtlichen Bestimmungen einzuhalten. Insbesondere hat er durch geeignete technische und organisatorische Maßnahmen sicherzustellen, dass die Verarbeitung im Einklang mit den Anforderungen der Verordnung (EU) 2016/679 und des Datenschutzgesetzes Nordrhein-Westfalen erfolgt und der Schutz der Rechte der betroffenen Personen gewährleistet ist.

(2) Für die Gewährleistung der Betroffenenrechte ist gemäß § 52 Absatz 1 Satz 3 des Datenschutzgesetzes Nordrhein-Westfalen der jeweils Verantwortliche zuständig. Soweit sich eine betroffene Person unmittelbar an den Auftragsverarbeiter wendet, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den jeweils Verantwortlichen weiterleiten.

(3) Der Auftragsverarbeiter darf Daten ausschließlich im Rahmen dieser Verordnung sowie der Weisungen durch den jeweils Verantwortlichen verarbeiten, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Europäischen Union oder durch Bundes- und Landesrecht verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet, Artikel 28Absatz 3 Satz 2 Buchstabe a der Verordnung (EU) 2016/679).

(4) Sofern keine rechtliche Verpflichtung gemäß dieser Verordnung oder anderer Rechtsvorschriften zur Datenverarbeitung besteht, kann der jeweilige Verantwortliche dem Auftragsverarbeiter Weisungen erteilen. Eine Weisung ist die auf einen bestimmten Umgang des Auftragsverarbeiters gerichtete schriftliche, elektronische oder mündliche Anordnung. Die Anordnungen sind zu dokumentieren.

(5) Der Auftragsverarbeiter informiert den jeweiligen Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen Datenschutzbestimmungen verstößt.

§ 6
Zweckbindung

Der Auftragsverarbeiter hat die Daten für keine anderen Zwecke zu verwenden und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben. Auskünfte an Dritte oder die betroffene Person darf der Auftragsverarbeiter nur nach vorheriger ausdrücklicher schriftlicher oder elektronischer Zustimmung durch den jeweils Verantwortlichen erteilen. Kopien und Duplikate werden mit Ausnahme von Sicherheitskopien zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung nicht erstellt.

§ 7
Datenverarbeitung durch Beschäftigte des Auftragsverarbeiters

Der Auftragsverarbeiter gewährleistet, dass ihm unterstellte natürliche Personen, die Zugang zu Daten haben, diese nur im Rahmen dieser Verordnung verarbeiten. Die vom Auftragsverarbeiter eingesetzten Personen müssen die notwendige fachliche Qualifikation und Zuverlässigkeit aufweisen. Dafür gewährleistet der Auftragsverarbeiter, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 8
Gegenseitige Unterstützung

(1) Verantwortliche und Auftragsverarbeiter haben sich gegenseitig beim Nachweis und der Dokumentation der ihnen obliegenden Rechenschaftspflicht im Hinblick auf die Grundsätze ordnungsgemäßer Datenverarbeitung einschließlich der Umsetzung der notwendigen technischen und organisatorischen Maßnahmen nach Artikel 5 Absatz 2, Artikel 24 Absatz 1, Artikel 30 der Verordnung (EU) 2016/679zu unterstützen. Der jeweilige Verantwortliche und der Auftragsverarbeiter stellen sich hierzu bei Bedarf entsprechende Informationen zur Verfügung.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollen und Maßnahmen durch die Aufsichtsbehörden oder falls eine Aufsichtsbehörde im Rahmen ihrer Zuständigkeit bei dem Auftragsverarbeiter anfragt, ermittelt oder sonstige Erkundigungen einzieht.

§ 9
Technisch-organisatorische Maßnahmen und deren Kontrolle

(1) Der Auftragsverarbeiter hat dem Schutzbedarf der verarbeiteten Daten angemessene technische und organisatorische Maßnahmen einzuhalten und diese nach dem aktuellen Stand der Technik fortzuentwickeln.

(2) Technische und organisatorische Maßnahmen unterliegen dem technischen Fortschritt. Insoweit ist es dem Auftragsverarbeiter gestattet, alternative Maßnahmen entsprechend den allgemeinen anerkannten Regeln der Technik umzusetzen. Dabei darf das Sicherheitsniveau der zuvor festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.

(3) Der Auftragsverarbeiter hat dem jeweils Verantwortlichen alle erforderlichen Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung der in dieser Verordnung getroffenen und der gesetzlichen Vorgaben erforderlich sind. Der Auftragsverarbeiter wird insbesondere Überprüfungen und Inspektionen, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglichen und deren Durchführung unterstützen.

§ 10
Mitteilung bei Verstößen durch den Auftragsverarbeiter

Der Auftragsverarbeiter unterrichtet die Verantwortlichen umgehend bei schwerwiegenden Störungen seines Betriebsablaufes, bei Verdacht auf Verstöße gegen diese Verordnung sowie gesetzliche Datenschutzbestimmungen, bei Verstößen gegen solche Bestimmungen oder anderen Unregelmäßigkeiten bei der Verarbeitung der Daten des jeweils Verantwortlichen, nachdem ihm diese Verletzung oder Umstände, die eine Verletzung begründen könnten, bekannt geworden ist.

§ 11
Löschung und Rückgabe von Daten

(1) Wird das Auftragsverarbeitungsverhältnis zwischen dem Verantwortlichen und dem Auftragsverarbeiter beendet oder fordert ein Verantwortlicher den Auftragsverarbeiter dazu auf, sind sämtliche in den Besitz des Auftragsverarbeiters gelangten Unterlagen, erstellten Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, wie auch hiervon gefertigte Kopien oder Reproduktionen, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem jeweils Verantwortlichen auszuhändigen oder nach vorheriger Zustimmung des Verantwortlichen datenschutzgerecht zu vernichten.

(2) Dem Verantwortlichen ist auf Anforderung ein Löschungsprotokoll vorzulegen; die Dokumentation der Löschung ist vom Auftragsverarbeiter zum Zweck der Datenschutzkontrolle gemäß § 52 Absatz 2 Satz 6 des Datenschutzgesetzes Nordrhein-Westfalen drei Jahre aufzubewahren.

(3) Diese Verpflichtungen gelten im Fall einer Beendigung des Auftragsverarbeitungsverhältnisses durch Änderung oder Aufhebung dieser Verordnung fort.

§ 12
Subunternehmen

Der Auftragsverarbeiter darf weitere Auftragsverarbeiter und somit Subunternehmen in Anspruch nehmen. Artikel 28 Absatz 2 und Absatz 4 der Verordnung (EU) 2016/679 gilt uneingeschränkt.

§ 13
Inkrafttreten

Diese Verordnung tritt am Tag nach der Verkündung in Kraft.

Düsseldorf, den 10. Dezember 2025

Der Minister für Arbeit, Gesundheit und Soziales
Karl-Josef  L a u m a n n

GV. NRW. 2025 S. 1150