Gesetzmässigkeit
Behörden (beispielsweise Mitarbeitende der Schule) dürfen Personendaten bearbeiten, wenn dies zur Erfüllung der gesetzlich umschriebenen Aufgaben geeignet und erforderlich ist. Diese Aufgaben sind in Gesetzen, Verordnungen oder Reglementen umschrieben.
Für das Bearbeiten von besonders schützenswerten Personendaten, wie beispielsweise Gesundheitsdaten, gelten höhere Anforderungen als für (normal schützenswerte) Personendaten. Die Zulässigkeit der Bearbeitung muss sich aus einer formell-gesetzlichen Grundlage ergeben. Es braucht also einen Erlass, der vom Grossen Rat, respektive in den Gemeinden vom jeweiligen Gesetzgeber, meistens vom Gemeinderat, verabschiedet wurde.
Verhältnismässigkeit
Daten dürfen nur verhältnismässig bearbeitet werden. Das heisst, sie müssen für die Aufgabenerfüllung der Schule geeignet und notwendig sein.
Geeignet ist eine Datenbearbeitung, wenn mit dieser das beabsichtigte Ziel erreicht werden kann. Notwendig ist sie, wenn die Aufgabe ohne diese Datenbearbeitung nicht erfüllt werden kann und mildere Massnahmen, welche die Privatsphäre weniger tangieren, ausgeschöpft sind.
Zweckbindung
Personendaten dürfen durch die Behörde nur zu dem Zweck bearbeitet werden, zu dem sie erhoben wurden, es sei denn, es existiert eine rechtliche Grundlage oder die Personen willigen im Einzelfall in eine andere Bearbeitung ein. Die Aufgaben der Volksschule legen den Rahmen für die Zweckbindung der Bearbeitung fest.
Anonymisierte Daten, die nicht auf eine bestimmte Person schliessen lassen, können ohne Einwilligung bearbeitet und bekannt gegeben werden.
Treu und Glauben (Transparenz)
Aus dem Grundsatz von Treu und Glauben folgt, dass die Datenbearbeitung erkennbar und transparent sein muss. Die Schülerinnen und Schüler sowie die Eltern müssen ohne besondere Anstrengung erkennen können, ob und welche Personendaten über sie bearbeitet werden.
Informationssicherheit
Wer Personendaten bearbeitet, sorgt für ihre Sicherung. Die Daten müssen durch angemessene Massnahmen geschützt werden.
Dies bedeutet beispielsweise, dass nur berechtigte Personen Zugriff und somit Kenntnis von Daten erhalten. Auch Massnahmen, die sicherstellen, dass die Daten zur Verfügung stehen oder verhindern, dass sie verloren gehen, gehören dazu.
Richtigkeit und Vollständigkeit
Dieser Grundsatz gibt Schülerinnen und Schülern sowie Eltern das Recht, unrichtige Personendaten über sie korrigieren oder vernichten zu lassen. Personendaten müssen richtig und, soweit es der Zweck des Bearbeitens verlangt, auch vollständig sein.