(1) IT-Systeme und Dienste für Datenverarbeitungen gemäß § 4 Z 1 für Schulen sind in Rechenzentren zu betreiben, deren Standorte und deren Hauptniederlassung sich im EWR-Raum bzw. in Staaten, hinsichtlich derer ein Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO besteht, befinden und geeignete und verhältnismäßige technische und organisatorische Sicherheitsvorkehrungen aufweisen. Diese haben den Stand der Technik zu berücksichtigen und dem Risiko, das mit vernünftigem Aufwand feststellbar ist, angemessen zu sein.

(2) IT-Systeme und Dienste für Datenverarbeitungen gemäß § 4 Z 2 bis 4 können über die Regelung in Abs. 1 hinaus auch in Rechenzentren sonstiger geeigneter Clouddiensteanbieter gehostet werden. Beim Heranziehen solcher Clouddiensteanbieter ist jeweils auf eine vertraglich vereinbarte Bindung der Datenverarbeitungsstandorte im EWR-Raum oder in Staaten, hinsichtlich derer ein Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO besteht, Bedacht zu nehmen. Es sind nur jene Clouddiensteanbieter heranzuziehen, die eine Vereinbarung mit der Bundesministerin oder dem Bundesminister für Bildung abgeschlossen haben. Diese hat sich nach den Rahmenbedingungen des Bundesministeriums für Bildung für den Einsatz privater Clouddiensteanbieter im IKT-gestützten Unterricht zu richten.

(3) Zur Sicherstellung der IT-Sicherheit können IT-Systeme und Dienste für Datenverarbeitungen gemäß § 4 Z 1 bis 5 auch für mehrere Schulen zentral gehostet werden, wobei durch eine Berechtigungsverwaltung sicherzustellen ist, dass auf Schülerinnen- und Schülerdaten einer Schule nur durch die jeweilige Schulleitung zugegriffen werden darf.