In der Schule werden auf verschieder Weise personenbezogene Daten von Schülern, Eltern und Lehrern verarbeitet. Im Wesentlichen geschieht das über das Schülerverwaltungsprogramm der Schule, aber auch über Werkzeuge der Schulorganisation und Stundenplanung. Teilweise sind hier auch Datenübermittlungen an andere Stellen vorgesehen.
In einem Verzeichnis von Verarbeitungstätigkeiten (ehemals Verfahrensverzeichnis) wird dokumentiert, welche personenbezogenen Daten mit welchem Verfahren auf welche Weise verarbeitet oder weitergegeben werden und welche Schutzmaßnahmen getroffen wurden.
Die DSGVO verlangt in Artikel 30 von der verantwortlichen Stelle die Erstellung eines solchen Verzeichnisses. Die Aufbewahrung erfolgt durch die verantwortliche Stelle. Das Verzeichnis muss den Aufsichtsbehörden jederzeit vorgelegt werden können.
Die bisherige Pflicht gem. §§ 8, 10 DSG a. F. , ein Verfahrensverzeichnis zur Führung und Einsichtnahme bei den behördlichen Datenschutzbeauftragten zu erstellen und ihnen das Verzeichnis zur Vorabkontrolle vorzulegen, entfällt.
Für die Erstellung hat das Ministerium für Schule und Bildung in Zusammenarbeit mit der Medienberatung NRW und der Landesbeauftragten für Datenschutz und Informationsfreiheit (LDI) Formulare bereitgestellt.
Bereits vorhandene Verfahrensverzeichnisse behalten ihre Gültigkeit.