Allereerst is het belangrijk om te kijken of de ouderraad verwerkingsverantwoordelijke of verwerker is. Dit hangt af van de taken en verantwoordelijkheden van de oudervereniging.

De school en oudervereniging als verwerkingsverantwoordelijken
Zowel de school als de oudervereniging zijn beide verwerkingsverantwoordelijken wanneer beide het doel en de middelen van de verwerking zelf bepalen. Wanneer de oudervereniging fungeert als ondersteuning voor de school en zelf allerlei activiteiten organiseert, waaronder wellicht het innen van de vrijwillige ouderbijdrage, dan zijn zowel de school als de oudervereniging verwerkingsverantwoordelijken. Vanwege de eigen verantwoordelijkheid is in dat geval een verwerkersovereenkomst niet nodig. Niettemin zou je er toch voor kunnen kiezen om een overeenkomst op te stellen om de privacy te waarborgen. Dit is echter niet verplicht.

Drie aandachtspunten:

• Doorgeven van gegevens: het is geoorloofd dat de school contactgegevens doorsluist naar de oudervereniging.
• Dataminimalisatie: De vraag is wel om welke gegevens het gaat. Het is belangrijk om na te gaan of een oudervereniging bepaalde gegevens echt nodig heeft of doorgespeeld moet krijgen, zoals betaalgegevens. Deze gegevens zou de oudervereniging ook zelf op kunnen vragen.
• Informatieplicht: De school moet de betrokkenen informeren, bijv. in de privacyverklaring, dat gegevens worden doorgegeven aan de oudervereniging om de school te ondersteunen in haar onderwijstaak. Ook de oudervereniging heeft deze informatieplicht.

De school als verwerkingsverantwoordelijke en oudervereniging als verwerker
Bovenstaande situatie kan zich ook voordoen. Het zou zo kunnen zijn dat de oudervereniging weinig vrijheid heeft in het organiseren en uitvoeren van haar taken. Met andere woorden: de oudervereniging functioneert alleen als uitvoerend orgaan van de school.
De school kan de oudervereniging bijvoorbeeld alleen de opdracht geven om de ouderbijdragen te innen. Dan kan de oudervereniging ook verwerker zijn. De school bepaalt dan het doel en de middelen van de verwerking, de oudervereniging voert het slechts uit. In dat geval is een verwerkersovereenkomst wel nodig! Ook dan geldt de informatieplicht voor school als oudervereniging.