Die rechtlichen Grundlagen finden sich im Bundesdatenbschutzgesetz (BDSG) und der Datenschutzgrundverordnung (DSGVO).
Wichtig ist hier grundsätzlich zu verstehn, dass jegliche Datenverarbeitung verboten ist – es sei denn es gibt eine Erlaubnis dafür. Der Jurist spricht hier von einem Verbvot mit Erlaubnisvorbehalt.
Es ist also verboten, die Daten der Schülerinnen und Schüler, zu verarbeiten! Wenn man das denn trotzdem tun will, braucht man eine Begründung, die den gesetzlichen Vorschriften genüge tut. Erst dann ist eine sichere Verarbeitung der Daten möglich.
Jetzt gibt es findige Leute, die als Begründung etwas windiges, wie: „das brauche ich für meinen Geschäftszweck“ heranziehen und Daten von Schülerinnen und Schülern zum Beispiel für Werbezwecke verwenden. Wenn ich als Firma von Werbung lebe, ist diese Behauptung schnell aufgestellt – doch vor Gericht unterliegt man hiermit regelmäßig.
Das Problem beginnt allerdings damit, dass Daten oft ins außereuropäische Ausland gelangen und damit nicht mehr der Gesetzgebung der EU (bzw BRD) unterliegen und damit für immer dem Zugriff durch entsprechende Gesetze entzogen sind.
Es ist zum Beispiel so gut wie unmöglich, Daten, die illegal in die USA gelangt sind, rechtssicher löschen zu lassen. Aus diesem Grunde ist die Vermeidung von Datenabflüssen höchste Priorität zu geben.