BUNDESGESETZBLATT
FÜR DIE REPUBLIK ÖSTERREICH

Jahrgang 2007

Ausgegeben am 10. August 2007

Teil römisch zwei

201. Verordnung:

Berechtigung zur Abfrage von Daten aus der Gesamtevidenz

201. Verordnung der Bundesministerin für Unterricht, Kunst und Kultur über die Berechtigung zur Abfrage von Daten aus der Gesamtevidenz

Auf Grund des Paragraph 8, Absatz eins, eins b und 2 des Bildungsdokumentationsgesetzes, Bundesgesetzblatt Teil eins, Nr. 12 aus 2002,, zuletzt geändert durch das Bundesgesetz Bundesgesetzblatt Teil eins, Nr. 113 aus 2006,, wird verordnet:

Inhaltsverzeichnis

1. Abschnitt, Allgemeine Bestimmungen

Paragraph eins,

Geltungsbereich

Paragraph 2,

Begriffsbestimmungen

2. Abschnitt, Abfrageberechtigung von Landesschulräten

Paragraph 3,

Abfragezweck

Paragraph 4,

Umfang der Abfrageberechtigung

Paragraph 5,

Art der Abfrage

3. Abschnitt, Datensicherheitsmaßnahmen

Paragraph 6,

Verantwortlicher

Paragraph 7,

Belehrungspflicht

Paragraph 8,

Datensicherheit

Paragraph 9,

Technische Vorkehrungen

Paragraph 10,

Entzug der Abfrageberechtigung

Paragraph 11,

Dienstleister

Paragraph 12,

Mitteilungen an den Auftraggeber

4. Abschnitt, Schlussbestimmungen

Paragraph 13,

Geltung und Wirksamkeit anderer Rechtsvorschriften

Paragraph 14,

Personenbezogene Bezeichnungen

Paragraph 15,

In-Kraft-Treten

1. Abschnitt
Allgemeine Bestimmungen

Geltungsbereich

Paragraph eins,

Diese Verordnung regelt den Umfang und die Art der Abfrageberechtigung von Landesschulräten im Wege des Datenfernverkehrs auf die in der Gesamtevidenz der Schüler verarbeiteten Daten zum Zweck der summarischen Darstellung des Schulerfolges im Rahmen abschließender Prüfungen.

Begriffsbestimmungen

Paragraph 2,

Im Sinne dieser Verordnung sind zu verstehen:

  1. Ziffer eins
    unter Gesamtevidenz: die Gesamtevidenz der Schüler gemäß Paragraph 5 und Paragraph 6, des Bildungsdokumentationsgesetzes;
  2. Ziffer 2
    unter Auftraggeber (der Gesamtevidenz): der Bundesminister für Unterricht, Kunst und Kultur;
  3. Ziffer 3
    unter Abfrageberechtigter: der Landesschulrat für Burgenland, der Landesschulrat für Kärnten, der Landesschulrat für Niederösterreich, der Landesschulrat für Oberösterreich, der Landesschulrat für Salzburg, der Landesschulrat für Steiermark, der Landesschulrat für Tirol, der Landesschulrat für Vorarlberg sowie der Stadtschulrat für Wien.

2. Abschnitt
Abfrageberechtigung von Landesschulräten

Abfragezweck

Paragraph 3,

Den Abfrageberechtigten ist für Zwecke der Schulaufsicht eine Abfrageberechtigung auf die in der Gesamtevidenz verarbeiteten indirekt personenbezogenen Daten in der Weise eröffnet, dass ihnen statistische Auswertungen in Bezug auf den Schulerfolg im Rahmen abschließender Prüfungen möglich sind.

Umfang der Abfrageberechtigung

Paragraph 4,

Der Umfang der Abfrageberechtigung ist auf den sachlichen und örtlichen Zuständigkeitsbereich des jeweiligen Abfrageberechtigten sowie auf die in der Anlage genannten Datenarten der Gesamtdatensätze, die von Bildungseinrichtungen gemäß Paragraph 2, Absatz eins, Ziffer eins, Litera a und c des Bildungsdokumentationsgesetzes übermittelt worden sind, beschränkt.

Art der Abfrage

Paragraph 5,

  1. Absatz eins,Die Abfrage von Daten aus der Gesamtevidenz hat durch Auswahllisten so zu erfolgen, dass der Abfrageberechtigte
    1. Ziffer eins
      die Attribute oder eine Kombination von Attributen der in der Anlage genannten Datenarten und
    2. Ziffer 2
      die Gliederungsdarstellung der Datenarten
    auswählt.
  2. Absatz 2,Das Ergebnis der Abfrage von Daten aus der Gesamtevidenz ist eine summarische Darstellung der in der Anlage genannten Datenarten.
  3. Absatz 3,Sofern das Ergebnis der Abfrage einen Rückschluss auf Einzelpersonen zulässt, ist durch programmtechnische Vorkehrungen in der summarischen Darstellung die Ausgabe eines Leerfeldes vorzusehen.

3. Abschnitt
Datensicherheitsmaßnahmen

Verantwortlicher

Paragraph 6,

  1. Absatz eins,Jeder Abfrageberechtigte hat dem Auftraggeber zumindest einen Verantwortlichen für die Datensicherheitsmaßnahmen im Rahmen des Zugriffs auf die Gesamtevidenz und der Abfrage von Daten aus der Gesamtevidenz zu benennen.
  2. Absatz 2,Der Verantwortliche hat nach Ermächtigung durch den Auftraggeber Abfrageberechtigungen für die Gesamtevidenz zu erteilen. Der Verantwortliche hat für seinen Zuständigkeitsbereich die Abfrageberechtigungen individuell an abfrageberechtigte Mitarbeiter zuzuweisen und deren Identität im Rahmen der Datensicherheitsmaßnahmen aufzuzeichnen.
  3. Absatz 3,Sofern eine derartige Ermächtigung nicht erteilt wird, hat der Auftraggeber Abfrageberechtigungen zu vergeben. Absatz 2, zweiter Satz findet sinngemäß Anwendung.

Belehrungspflicht

Paragraph 7,

Abfrageberechtigte Mitarbeiter sind in regelmäßigen Abständen über datenschutzrechtliche Bestimmungen, insbesondere hinsichtlich der Wahrung des Datengeheimnisses, und den Inhalt dieser Verordnung zu belehren.

Datensicherheit

Paragraph 8,

  1. Absatz eins,Der gemäß Paragraph 6, Absatz eins, benannte Verantwortliche hat nach Maßgabe des jeweiligen Standes der Technik und unter Bedachtnahme auf die wirtschaftliche Vertretbarkeit den Zugriffsschutz zu den Daten der Gesamtevidenz und die erforderlichen Datensicherheitsmaßnahmen zu organisieren und umzusetzen. Er hat insbesondere die Zuständigkeiten und Regeln für die Programmverwaltung betreffend die Gesamtevidenz in seinem Zuständigkeitsbereich festzulegen sowie die Voraussetzungen für den physischen Zugriff auf die Daten der Gesamtevidenz in seinem Zuständigkeitsbereich zu schaffen.
  2. Absatz 2,Abfrageberechtigte und der Auftraggeber haben für den Bereich der Systeme, über die der Zugang zu der Gesamtevidenz erfolgt, sowie im Zusammenhang mit Abfragen aus der Gesamtevidenz die erforderlichen weiteren Datensicherheitsmaßnahmen zu treffen. Über diese sind Aufzeichnungen zu führen, die mindestens drei und höchstens sechs Jahre aufzubewahren sind.

Technische Vorkehrungen

Paragraph 9,

  1. Absatz eins,Der Auftraggeber hat durch programmtechnische Vorkehrungen sicher zu stellen, dass der Zugriff auf die Gesamtevidenz und die Abfrage von Daten aus der Gesamtevidenz für den Abfrageberechtigten nur in dem zur Erreichung des Abfragezweckes erforderlichen Ausmaß möglich sind (Paragraph 4 und Paragraph 5,).
  2. Absatz 2,Für den Verbindungsaufbau zu der Gesamtevidenz dürfen nur Geräte zum Einsatz kommen, die für Zwecke von Abfragen aus der Gesamtevidenz über ein nach Maßgabe des jeweiligen Standes der Technik anerkanntes Protokoll kommunizieren.
  3. Absatz 3,Zugriffe auf die Gesamtevidenz sind nur nach geeigneter Identifikation der abfrageberechtigten Mitarbeiter (Benutzerkennung und Kennwort) und Bekanntgabe des Abfragezweckes zulässig. Kennwörter sind in geeigneter Weise unter Verschluss zu halten und sind nach Maßgabe der technischen Möglichkeiten in periodischen Zeitabständen zu ändern. Soweit die Nachvollziehbarkeit der Verwendungsvorgänge programmtechnisch nicht möglich ist, sind Aufzeichnungen zu führen, welche die Zulässigkeit der tatsächlichen Zugriffe auf die Gesamtevidenz und Verwendungsvorgänge überprüfbar machen.
  4. Absatz 4,Es sind geeignete, dem jeweiligen Stand der Technik entsprechende Vorkehrungen zu treffen, um eine Vernichtung oder Veränderung der Daten in der Gesamtevidenz sowie eine Abfrage von Daten aus der Gesamtevidenz durch Zugriffe nichtberechtigter Personen oder Systeme zu verhindern.

Entzug der Abfrageberechtigung

Paragraph 10,

  1. Absatz eins,Abfrageberechtigte Mitarbeiter sind von dem gemäß Paragraph 6, Absatz eins, benannten Verantwortlichen von der Ausübung ihrer Abfrage jedenfalls dann auszuschließen, wenn
    1. Ziffer eins
      die Voraussetzungen, unter denen die individuelle Zuweisung einer Abfrageberechtigung erfolgt ist, nicht mehr vorliegen oder
    2. Ziffer 2
      die individuelle Zuweisung einer Abfrageberechtigung zur weiteren Erfüllung der übertragenen Aufgaben nicht mehr erforderlich ist oder
    3. Ziffer 3
      Daten aus der Gesamtevidenz nicht entsprechend dem Abfragezweck verwendet wurden.
  2. Absatz 2,Unter den in Absatz eins, Ziffer 3, genannten Voraussetzungen kann auch der Auftraggeber die individuelle Zuweisung einer Abfrageberechtigung entziehen.
  3. Absatz 3,Abfrageberechtigten ist die Abfrageberechtigung nach Maßgabe des Paragraph 8, Absatz 3, des Bildungsdokumentationsgesetzes zu entziehen.

Dienstleister

Paragraph 11,

Bedienen sich der Auftraggeber oder die Abfrageberechtigten für den Datenverkehr zu der Gesamtevidenz eines Dienstleisters, haben sie diesen zur Einhaltung aller datenschutzrechtlichen Bestimmungen und Ergreifung der in dieser Verordnung vorgesehenen Datensicherheitsmaßnahmen zu verpflichten.

Mitteilungen an den Auftraggeber

Paragraph 12,

  1. Absatz eins,Abfrageberechtigte haben dem Auftraggeber unverzüglich mitzuteilen:
    1. Ziffer eins
      Veränderungen in Bezug auf abfrageberechtigte Mitarbeiter (einschließlich des Entzugs der Abfrageberechtigung), sofern nicht eine Ermächtigung gemäß Paragraph 6, Absatz 3, erteilt worden ist,
    2. Ziffer 2
      die Inanspruchnahme, den Wechsel oder das Ausscheiden eines Dienstleisters und
    3. Ziffer 3
      das Auftreten von Programmstörungen, die den Datenbestand gefährden können.

4. Abschnitt
Schlussbestimmungen

Geltung und Wirksamkeit anderer Rechtsvorschriften

Paragraph 13,

Soweit in dieser Verordnung auf andere Rechtsvorschriften verwiesen wird, sind diese in der zum Zeitpunkt des In-Kraft-Tretens dieser Verordnung geltenden Fassung anzuwenden.

Personenbezogene Bezeichnungen

Paragraph 14,

Personenbezogene Bezeichnungen in dieser Verordnung gelten jeweils auch in ihrer weiblichen Form.

In-Kraft-Treten

Paragraph 15,

Diese Verordnung tritt mit Ablauf des Tages der Kundmachung im Bundesgesetzblatt in Kraft.

Schmied