„Bei Verwendung einer 2-Faktor-Authentifizierung auf Basis von Einmalpasswörtern (OTP- bzw. TOTP-Verfahren) ist zu deren Erzeugung grundsätzlich ein zweites Gerät zwingend erforderlich. Dieses Gerät muss sich im persönlichen Besitz der Lehrkraft befinden. Die Lehrkraft hat für einen Zugriffsschutz entsprechend dem Stand der Technik zu sorgen. Sofern sich das Gerät, mittels dem auf Webmail zugegriffen werden soll, im ausschließlichen persönlichen Besitz der Lehrkraft befindet (also z. B. ein Tablet, das alleine von dieser Lehrkraft genutzt wird und nicht im Klassenzimmer verbleibt), ist es zulässig, dass der zweite Faktor auch auf diesem Gerät erzeugt wird.
Zudem sollen nur Softwareanwendungen zur Erzeugung dieser Einmalpasswörter genutzt werden, welche aus der EU bzw. EWR-Raum stammen (Geltungsbereich der EU-DSGVO). Es wird empfohlen, keine Softwarelösungen von Anbietern aus Drittstaaten (z.B. USA, China, Russland, …) zu verwenden.“

(Quelle: Ministerium für Kultus Baden-Württemberg, Datenschutzrechtliche Hinweise, 5. Authentifizierung)