Öffentliche Stellen, die personenbezogene Daten verarbeiten, haben einen Beauftragten für den Datenschutz zu bestellen.
Seine Aufgabe ist es, den Einzelnen davor zu schützen, dass er durch die Verarbeitung personenbezogener Daten durch öffentliche Stellen in unzulässiger Weise in seinem Recht beeinträchtigt wird, selbst über die Preisgabe und Verwendung seiner Daten zu bestimmen (informationelles Selbstbestimmungsrecht).
Das Datenschutzgesetz NRW enthält die allgemeinen Vorgaben für die Verarbeitung personenbezogener Daten durch die öffentlichen Stellen in Nordrhein-Westfalen. Ein wesentlicher Grundsatz ist dabei, dass sich die Verarbeitung auf den erforderlichen Umfang beschränken muss und dass Daten grundsätzlich nur für die Zwecke verarbeitet werden dürfen, für die sie erhoben wurden. Wesentlich ist auch das Recht der oder des Betroffenen auf Auskunft, Berichtigung, Sperrung und Löschung.
Speziell für Schulen enthält das Schulgesetz NRW im § 120 und den beiden Verordnungen VO-DV I und VO-DV II die umfassenden Bestimmungen über die Verarbeitung personenbezogener Daten an Schulen.