Geltungsbereich
§ 2Begriffsbestimmungen
§ 3Abfragezweck
§ 4Umfang der Abfrageberechtigung
§ 5Art der Abfrage
§ 6Verantwortlicher
§ 7Belehrungspflicht
§ 8Datensicherheit
§ 9Technische Vorkehrungen
§ 10Entzug der Abfrageberechtigung
§ 11Dienstleister
§ 12Mitteilungen an den Auftraggeber
§ 13Geltung und Wirksamkeit anderer Rechtsvorschriften
§ 14Personenbezogene Bezeichnungen
§ 15Inkrafttreten, Außerkrafttreten
Vorwort
Im Sinne dieser Verordnung sind zu verstehen:
1. unter Gesamtevidenz: die Gesamtevidenz der Schüler gemäß § 5 und § 6 des Bildungsdokumentationsgesetzes;
2. unter Auftraggeber (der Gesamtevidenz): der Bundesminister für Unterricht, Kunst und Kultur;
3. unter Abfrageberechtigter: der Landesschulrat für Burgenland, der Landesschulrat für Kärnten, der Landesschulrat für Niederösterreich, der Landesschulrat für Oberösterreich, der Landesschulrat für Salzburg, der Landesschulrat für Steiermark, der Landesschulrat für Tirol, der Landesschulrat für Vorarlberg sowie der Stadtschulrat für Wien.
Den Abfrageberechtigten ist zum Zweck der Wahrnehmung der ihnen gesetzlich übertragenen Aufgaben (§ 1) auf Grundlage statistischer Auswertungen eine Abfrageberechtigung auf die in der Gesamtevidenz verarbeiteten indirekt personenbezogenen Daten in der Weise eröffnet, dass ihnen statistische Auswertungen in Bezug auf den jeweiligen örtlichen Wirkungsbereich möglich sind.
Der Umfang der Abfrageberechtigung ist auf die in den örtlichen Zuständigkeitsbereich des jeweiligen Abfrageberechtigten fallenden Pflichtschulen sowie mittleren und höheren Schulen (ausgenommen die Zentrallehranstalten) sowie auf die in der Gesamtevidenz enthaltenen Gesamtdatensätze, die von diesen Bildungseinrichtungen gemäß § 2 Abs. 1 Z 1 lit. a, c und g des Bildungsdokumentationsgesetzes übermittelt worden sind, beschränkt.
(1) Die Abfrage von Daten aus der Gesamtevidenz hat durch Auswahllisten so zu erfolgen, dass der Abfrageberechtigte
1. die Attribute oder eine Kombination von Attributen der in der Gesamtevidenz enthaltenen Datenarten und
2. die Gliederungsdarstellung der Datenarten
auswählt.
(2) Das Ergebnis der Abfrage von Daten aus der Gesamtevidenz ist eine summarische Darstellung der in der Gesamtevidenz enthaltenen Datenarten.
(3) Sofern das Ergebnis der Abfrage einen Rückschluss auf Einzelpersonen zulässt, ist durch programmtechnische Vorkehrungen in der summarischen Darstellung die Ausgabe eines Leerfeldes vorzusehen.
(1) Jeder Abfrageberechtigte hat dem Auftraggeber zumindest einen Verantwortlichen für die Datensicherheitsmaßnahmen im Rahmen des Zugriffs auf die Gesamtevidenz und der Abfrage von Daten aus der Gesamtevidenz zu benennen.
(2) Der Verantwortliche hat nach Ermächtigung durch den Auftraggeber Abfrageberechtigungen für die Gesamtevidenz zu erteilen. Der Verantwortliche hat für seinen Zuständigkeitsbereich die Abfrageberechtigungen individuell an abfrageberechtigte Mitarbeiter zuzuweisen und deren Identität im Rahmen der Datensicherheitsmaßnahmen aufzuzeichnen.
(3) Sofern eine derartige Ermächtigung nicht erteilt wird, hat der Auftraggeber Abfrageberechtigungen zu vergeben. Abs. 2 zweiter Satz findet sinngemäß Anwendung.
Abfrageberechtigte Mitarbeiter sind in regelmäßigen Abständen über datenschutzrechtliche Bestimmungen, insbesondere hinsichtlich der Wahrung des Datengeheimnisses, und den Inhalt dieser Verordnung zu belehren.
(1) Der gemäß § 6 Abs. 1 benannte Verantwortliche hat nach Maßgabe des jeweiligen Standes der Technik und unter Bedachtnahme auf die wirtschaftliche Vertretbarkeit den Zugriffsschutz zu den Daten der Gesamtevidenz und die erforderlichen Datensicherheitsmaßnahmen zu organisieren und umzusetzen. Er hat insbesondere die Zuständigkeiten und Regeln für die Programmverwaltung betreffend die Gesamtevidenz in seinem Zuständigkeitsbereich festzulegen sowie die Voraussetzungen für den physischen Zugriff auf die Daten der Gesamtevidenz in seinem Zuständigkeitsbereich zu schaffen.
(2) Abfrageberechtigte und der Auftraggeber haben für den Bereich der Systeme, über die der Zugang zu der Gesamtevidenz erfolgt, sowie im Zusammenhang mit Abfragen aus der Gesamtevidenz die erforderlichen weiteren Datensicherheitsmaßnahmen zu treffen. Über diese sind Aufzeichnungen zu führen, die mindestens drei und höchstens sechs Jahre aufzubewahren sind.
(1) Der Auftraggeber hat durch programmtechnische Vorkehrungen sicher zu stellen, dass der Zugriff auf die Gesamtevidenz und die Abfrage von Daten aus der Gesamtevidenz für den Abfrageberechtigten nur in dem in den §§ 4 und 5 vorgesehenen Ausmaß und Umfang möglich sind.
(2) Für den Verbindungsaufbau zu der Gesamtevidenz dürfen nur Geräte zum Einsatz kommen, die für Zwecke von Abfragen aus der Gesamtevidenz über ein nach Maßgabe des jeweiligen Standes der Technik anerkanntes Protokoll kommunizieren.
(3) Zugriffe auf die Gesamtevidenz sind nur nach geeigneter Identifikation der abfrageberechtigten Mitarbeiter (Benutzerkennung und Kennwort) und Bekanntgabe des Abfragezweckes zulässig. Kennwörter sind in geeigneter Weise unter Verschluss zu halten und sind nach Maßgabe der technischen Möglichkeiten in periodischen Zeitabständen zu ändern. Soweit die Nachvollziehbarkeit der Verwendungsvorgänge programmtechnisch nicht möglich ist, sind Aufzeichnungen zu führen, welche die Zulässigkeit der tatsächlichen Zugriffe auf die Gesamtevidenz und Verwendungsvorgänge überprüfbar machen.
(4) Es sind geeignete, dem jeweiligen Stand der Technik entsprechende Vorkehrungen zu treffen, um eine Vernichtung oder Veränderung der Daten in der Gesamtevidenz sowie eine Abfrage von Daten aus der Gesamtevidenz durch Zugriffe nichtberechtigter Personen oder Systeme zu verhindern.
(1) Abfrageberechtigte Mitarbeiter sind von dem gemäß § 6 Abs. 1 benannten Verantwortlichen von der Ausübung ihrer Abfrage jedenfalls dann auszuschließen, wenn
1. die Voraussetzungen, unter denen die individuelle Zuweisung einer Abfrageberechtigung erfolgt ist, nicht mehr vorliegen oder
2. die individuelle Zuweisung einer Abfrageberechtigung zur weiteren Erfüllung der übertragenen Aufgaben nicht mehr erforderlich ist oder
3. Daten aus der Gesamtevidenz nicht entsprechend dem Abfragezweck verwendet wurden.
(2) Unter den in Abs. 1 Z 3 genannten Voraussetzungen kann auch der Auftraggeber die individuelle Zuweisung einer Abfrageberechtigung entziehen.
(3) Abfrageberechtigten ist die Abfrageberechtigung nach Maßgabe des § 8 Abs. 3 des Bildungsdokumentationsgesetzes zu entziehen.
Bedienen sich der Auftraggeber oder die Abfrageberechtigten für den Datenverkehr zu der Gesamtevidenz eines Dienstleisters, haben sie diesen zur Einhaltung aller datenschutzrechtlichen Bestimmungen und Ergreifung der in dieser Verordnung vorgesehenen Datensicherheitsmaßnahmen zu verpflichten.
(1) Abfrageberechtigte haben dem Auftraggeber unverzüglich mitzuteilen:
1. Veränderungen in Bezug auf abfrageberechtigte Mitarbeiter gemäß § 6 Abs. 2 (einschließlich des Entzugs der Abfrageberechtigung),
2. die Inanspruchnahme, den Wechsel oder das Ausscheiden eines Dienstleisters und
3. das Auftreten von Programmstörungen, die den Datenbestand gefährden können.
Soweit in dieser Verordnung auf andere Rechtsvorschriften verwiesen wird, sind diese in der zum Zeitpunkt des In-Kraft-Tretens dieser Verordnung geltenden Fassung anzuwenden.
Personenbezogene Bezeichnungen in dieser Verordnung gelten jeweils auch in ihrer weiblichen Form.
(1) Diese Verordnung tritt mit Ablauf des Tages der Kundmachung im Bundesgesetzblatt in Kraft.
(2) Das Inhaltsverzeichnis hinsichtlich der den § 15 betreffenden Zeile, § 1, § 3 samt Überschrift, § 4 samt Überschrift, § 5 Abs. 1 Z 1 und Abs. 2, § 9 Abs. 1, § 12 Abs. 1 Z 1 sowie die Überschrift des § 15 dieser Verordnung in der Fassung der Verordnung BGBl. II Nr. 310/2010 treten mit Ablauf des Tages der Kundmachung im Bundesgesetzblatt in Kraft; gleichzeitig tritt die Anlage zu § 4 außer Kraft.
Diese Verordnung regelt den Umfang und die Art der Abfrageberechtigung von Landesschulräten im Wege des Datenfernverkehrs auf die in der Gesamtevidenz der Schüler verarbeiteten Daten zum Zweck der Wahrnehmung der ihnen gesetzlich übertragenen Aufgaben (Planung, Steuerung und Wahrung der gesetzlichen Aufsichtspflichten) auf Grundlage statistischer Auswertungen.
