Geltungsbereich
§ 2Begriffsbestimmungen
§ 3Abfragezweck
§ 4Umfang der Abfrageberechtigung
§ 5Antragstellung
§ 6Art der Abfrage
§ 7Abfrageberechtigte Personen
§ 8Belehrungspflicht
§ 9Datensicherheit
§ 10Technische Vorkehrungen
§ 11Entzug der Abfrageberechtigung
§ 12Mitteilungen an die Verantwortliche bzw. den Verantwortlichen der Gesamtevidenz
§ 13Verweise auf Bundesgesetze
§ 14Personenbezogene Bezeichnungen
§ 15Inkrafttreten, Anwendbarkeit anderer Bestimmungen
Vorwort
Im Sinne dieser Verordnung sind zu verstehen:
1. unter Gesamtevidenz: die Gesamtevidenz der Schülerinnen und Schüler gemäß § 7 des Bildungsdokumentationsgesetzes 2020, BGBl. I Nr. 20/2021;
2. unter dem Begriff „Verantwortliche oder Verantwortlicher (der Gesamtevidenz)“: die Bundesministerin oder der Bundesminister für Bildung, Wissenschaft und Forschung als Verantwortliche bzw. Verantwortlicher gemäß Art. 4 Z 7 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1 (im Folgenden: DSGVO);
3. unter dem Begriff „Abfrageberechtigte oder Abfrageberechtigter“: die Leiterin bzw. der Leiter des IQS sowie die Leiterinnen und Leiter der Bildungsdirektionen für Burgenland, für Kärnten, für Niederösterreich, für Oberösterreich, für Salzburg, für Steiermark, für Tirol, für Vorarlberg sowie für Wien.
Den Abfrageberechtigten ist zum Zweck der Wahrnehmung der ihnen gesetzlich übertragenen Aufgaben (§ 1) auf Antrag eine Abfrageberechtigung auf die in der Gesamtevidenz verarbeiteten personenbezogenen Daten in einer Weise zu eröffnen, dass ihnen statistische Auswertungen nach Maßgabe der §§ 4, 6 und 10 möglich sind.
Der Umfang der Abfrageberechtigung umfasst
1. hinsichtlich der Bildungsdirektorinnen und Bildungsdirektoren: die in der Gesamtevidenz enthaltenen Gesamtdatensätze, die von den Bildungseinrichtungen gemäß § 2 Abs. 1 Z 1 lit. a, c und e des Bildungsdokumentationsgesetzes 2020 übermittelt worden sind, bezogen auf die in den gesetzlich definierten sachlichen und örtlichen Zuständigkeitsbereich des jeweiligen Abfrageberechtigten fallenden Schulen;
2. hinsichtlich des IQS: sämtliche Daten der Gesamtevidenz.
Der Antrag ist gemäß dem von der Bundesministerin oder dem Bundesminister für Bildung, Wissenschaft und Forschung vorgegebenen Format zu stellen. Er hat jedenfalls folgende Informationen zu enthalten: Angaben zur Antragstellerin oder zum Antragsteller (Name, Bezeichnung der Dienststelle), Angaben zur abfrageberechtigten Person (Name, abfragerelevante Aufgaben), Angaben zum Abfragezweck.
(1) Die Abfrage von Daten aus der Gesamtevidenz hat durch Auswahllisten so zu erfolgen, dass der Abfrageberechtigte
1. die Attribute oder eine Kombination von Attributen der in der Gesamtevidenz enthaltenen Datenarten und
2. die Gliederungsdarstellung der Datenarten
auswählt.
(2) Das Ergebnis der Abfrage von Daten aus der Gesamtevidenz ist eine summarische Darstellung der in der Gesamtevidenz enthaltenen Datenarten und hat keine personenbezogenen Daten zu enthalten.
(3) Um einen Rückschluss auf Einzelpersonen auszuschließen, ist durch programmtechnische Vorkehrungen in der summarischen Darstellung die Ausgabe eines „*“ anstatt der konkreten Merkmalsausprägung vorzusehen, wenn die summarische Darstellung höchstens zwei Ergebnisse liefern würde.
Jede bzw. jeder Abfrageberechtigte hat der bzw. dem Verantwortlichen ausgewählte Personen, die an der betreffenden Institution (Bildungsdirektion oder IQS) tätig sind, zu benennen, denen die bzw. der Verantwortliche in Folge eine individuelle Abfrageberechtigung für die Gesamtevidenz einräumen kann. Die oder der Abfrageberechtigte ist in jedem Fall auf Antrag auch eine abfrageberechtigte Person.
Abfrageberechtigte Personen sind in regelmäßigen Abständen über datenschutzrechtliche Bestimmungen, insbesondere hinsichtlich der Wahrung des Datengeheimnisses gemäß § 6 des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, Datenschutzgesetz – DSG, BGBl. I Nr. 165/1999, und des Inhalts dieser Verordnung zu belehren.
(1) Die oder der Abfrageberechtigte hat nach Maßgabe des jeweiligen Standes der Technik die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO zu organisieren und umzusetzen.
(2) Die bzw. der Verantwortliche der Gesamtevidenz und die Abfrageberechtigten haben für den Bereich der Systeme, über die der Zugang zu der Gesamtevidenz erfolgt, sowie im Zusammenhang mit Abfragen aus der Gesamtevidenz die erforderlichen weiteren Datensicherheitsmaßnahmen zu treffen und umzusetzen. Zu diesen Datensicherheitsmaßnahmen sind Aufzeichnungen zu führen, die sechs Jahre aufzubewahren sind.
(1) Die bzw. der Verantwortliche der Gesamtevidenz hat durch technische und organisatorische Maßnahmen sicherzustellen, dass der Zugriff auf die Gesamtevidenz und die Abfrage von Daten aus der Gesamtevidenz für die Abfrageberechtigte oder den Abfrageberechtigten nur in der Art und in dem Umfang, wie in § 4 und § 6 vorgesehen, möglich sind.
(2) Für den Verbindungsaufbau zu der Gesamtevidenz dürfen nur Geräte zum Einsatz kommen, die für Zwecke von Abfragen aus der Gesamtevidenz über ein nach Maßgabe des jeweiligen Standes der Technik anerkanntes Protokoll kommunizieren.
(3) Zugriffe auf die Gesamtevidenz sind nur nach geeigneter Identifikation der abfrageberechtigten Personen (Benutzerkennung und Kennwort) und Bekanntgabe des Abfragezweckes zulässig. Kennwörter sind in geeigneter Weise unter Verschluss zu halten und sind nach Maßgabe der technischen Möglichkeiten in periodischen Zeitabständen zu ändern. Soweit die Nachvollziehbarkeit der Verwendungsvorgänge programmtechnisch nicht möglich ist, sind Aufzeichnungen zu führen, welche die Zulässigkeit der tatsächlichen Zugriffe auf die Gesamtevidenz und Verwendungsvorgänge überprüfbar machen.
(4) Es sind geeignete, dem jeweiligen Stand der Technik entsprechende Vorkehrungen zu treffen, um eine Vernichtung oder Veränderung der Daten in der Gesamtevidenz sowie eine Abfrage von Daten aus der Gesamtevidenz durch Zugriffe nichtberechtigter Personen oder Systeme zu verhindern.
(1) Abfrageberechtigte Personen sind von der bzw. dem Abfrageberechtigten von der Ausübung ihrer Abfrage jedenfalls dann auszuschließen, wenn
1. die Voraussetzungen, unter denen die individuelle Abfrageberechtigung erfolgt ist, nicht mehr vorliegen oder
2. die individuelle Abfrageberechtigung zur weiteren Erfüllung der übertragenen Aufgaben nicht mehr erforderlich ist oder
3. Daten aus der Gesamtevidenz nicht entsprechend dem Abfragezweck verwendet wurden.
(2) Unter den in Abs. 1 Z 3 genannten Voraussetzungen kann auch die bzw. der Verantwortliche der Gesamtevidenz die individuelle Abfrageberechtigung entziehen.
(3) Abfrageberechtigten ist die Abfrageberechtigung nach Maßgabe des § 4 Abs. 6 des Bildungsdokumentationsgesetzes 2020 zu entziehen.
Abfrageberechtigte haben der bzw. dem Verantwortlichen der Gesamtevidenz unverzüglich mitzuteilen:
1. Veränderungen in Bezug auf abfrageberechtigte Personen gemäß § 7 (einschließlich des Ausschlusses von der Ausübung der Abfrageberechtigung gemäß § 11 Abs. 1),
2. das Auftreten von Programmstörungen, die den Datenbestand gefährden können.
Soweit in dieser Verordnung auf Bundesgesetze verwiesen wird, sind diese in der mit dem Inkrafttreten der jeweils letzten Novelle dieser Verordnung geltenden Fassung anzuwenden.
Personenbezogene Bezeichnungen in dieser Verordnung beziehen sich auf alle Geschlechtsformen in gleicher Weise.
(1) Diese Verordnung tritt mit Ablauf des Tages der Kundmachung im Bundesgesetzblatt in Kraft.
(2) Bis zu dem in Abs. 1 genannten Zeitpunkt gilt die Verordnung der Bundesministerin für Unterricht, Kunst und Kultur über die Berechtigung zur Abfrage aus der Gesamtevidenz, BGBl. II Nr. 201/2007, weiter.
Diese Verordnung regelt den Umfang und die Art der Abfrageberechtigung der Bildungsdirektorinnen und Bildungsdirektoren sowie der Leiterin bzw. des Leiters des Instituts des Bundes für Qualitätssicherung im österreichischen Schulwesen (IQS) im Wege des Datenfernverkehrs auf die in der Gesamtevidenz der Schülerinnen und Schüler verarbeiteten Daten zum Zweck der Wahrnehmung der diesen gesetzlich übertragenen Aufgaben (hinsichtlich der Bildungsdirektorinnen und -direktoren die Planung, Steuerung und Wahrung der gesetzlichen Aufsichtspflichten, hinsichtlich der Leitung des IQS die Aufgaben gemäß § 2 Abs. 2 des IQS-Gesetzes – IQS-G, BGBl. I Nr. 50/2019), die statistische Auswertungen aus der Gesamtevidenz der Schülerinnen und Schüler erfordern.
