Wenn ein Dritter (Dienstleister) Zugriff auf personenbezogene Daten hat, muss die Schule einen Vertrag über die Datenverarbeitung mit ihm schließen, denn sie bleibt verantwortlich für die Einhaltung des Datenschutzes. Anhaltspunkt für ein angemessenes Schutz-Niveau eines Dienstleisters kann ein Zertifikat oder der Nachweis technischer und organisatorischer Maßnahmen (TOM) zur Datensicherheit sein.
Nutzt die Schule etwa eine Cloud-Plattform wie Office 365 von Microsoft, überträgt sie die Daten an den Dienstleister und sichert sich datenschutzrechtlich ab, indem sie einen Vertrag zur “Auftragsdatenverarbeitung” (ADV) oder “Auftragsverarbeitung” (AV) mit diesem Dienstleister abschließt.