Die DS-GVO definiert in Artikel 4 den Begriff Verantwortlicher als:
„Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;”
Die Schule als Behörde ist ein Verantwortlicher. Über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet sie gemeinsam mit anderen. Die Zwecke der Verarbeitung werden der Schule durch das Schulgesetz NRW und die dazugehörigen Verordnugnen VO-DV I und II vorgegeben. Über die Mittel kann eine Schule teilweise eigenständig entscheiden, etwa bei der Wahl des Schulverwaltungsprogramms, manche Mittel sind ihr vorgegeben, wie GPC. Durch das Schulgesetz NRW bzw. das übergeordnete Landesdatenschutzgesetz ist der Behördenleiter, die Schulleiterin bzw. der Schulleiter dann die bzw. der eigentliche Verantwortliche.