Bundesrecht konsolidiert: Gesamte Rechtsvorschrift für Berechtigung zur Abfrage von Daten aus der Gesamtevidenz, Fassung vom 19.08.2019

§ 0

Langtitel

Verordnung der Bundesministerin für Unterricht, Kunst und Kultur über die Berechtigung zur Abfrage von Daten aus der Gesamtevidenz
StF: BGBl. II Nr. 201/2007

Präambel/Promulgationsklausel

Auf Grund des § 8 Abs. 1, 1b und 2 des Bildungsdokumentationsgesetzes, BGBl. I Nr. 12/2002, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 113/2006, wird verordnet:

Inhaltsverzeichnis

1. Abschnitt

Allgemeine Bestimmungen

§ 1.

Geltungsbereich

§ 2.

Begriffsbestimmungen

2. Abschnitt

Abfrageberechtigung von Landesschulräten

§ 3.

Abfragezweck

§ 4.

Umfang der Abfrageberechtigung

§ 5.

Art der Abfrage

3. Abschnitt

Datensicherheitsmaßnahmen

§ 6.

Verantwortlicher

§ 7.

Belehrungspflicht

§ 8.

Datensicherheit

§ 9.

Technische Vorkehrungen

§ 10.

Entzug der Abfrageberechtigung

§ 11.

Dienstleister

§ 12.

Mitteilungen an den Auftraggeber

4. Abschnitt

Schlussbestimmungen

§ 13.

Geltung und Wirksamkeit anderer Rechtsvorschriften

§ 14.

Personenbezogene Bezeichnungen

§ 15.

Inkrafttreten; Außerkrafttreten

 

§ 1

Text

1. Abschnitt

Allgemeine Bestimmungen

Geltungsbereich

§ 1. Diese Verordnung regelt den Umfang und die Art der Abfrageberechtigung von Landesschulräten im Wege des Datenfernverkehrs auf die in der Gesamtevidenz der Schüler verarbeiteten Daten zum Zweck der Wahrnehmung der ihnen gesetzlich übertragenen Aufgaben (Planung, Steuerung und Wahrung der gesetzlichen Aufsichtspflichten) auf Grundlage statistischer Auswertungen.

§ 2

Text

Begriffsbestimmungen

§ 2. Im Sinne dieser Verordnung sind zu verstehen:

1.

unter Gesamtevidenz: die Gesamtevidenz der Schüler gemäß § 5 und § 6 des Bildungsdokumentationsgesetzes;

2.

unter Auftraggeber (der Gesamtevidenz): der Bundesminister für Unterricht, Kunst und Kultur;

3.

unter Abfrageberechtigter: der Landesschulrat für Burgenland, der Landesschulrat für Kärnten, der Landesschulrat für Niederösterreich, der Landesschulrat für Oberösterreich, der Landesschulrat für Salzburg, der Landesschulrat für Steiermark, der Landesschulrat für Tirol, der Landesschulrat für Vorarlberg sowie der Stadtschulrat für Wien.

§ 3

Text

2. Abschnitt

Abfrageberechtigung von Landesschulräten

Abfragezweck

§ 3. Den Abfrageberechtigten ist zum Zweck der Wahrnehmung der ihnen gesetzlich übertragenen Aufgaben (§ 1) auf Grundlage statistischer Auswertungen eine Abfrageberechtigung auf die in der Gesamtevidenz verarbeiteten indirekt personenbezogenen Daten in der Weise eröffnet, dass ihnen statistische Auswertungen in Bezug auf den jeweiligen örtlichen Wirkungsbereich möglich sind.

§ 4

Text

Umfang der Abfrageberechtigung

§ 4. Der Umfang der Abfrageberechtigung ist auf die in den örtlichen Zuständigkeitsbereich des jeweiligen Abfrageberechtigten fallenden Pflichtschulen sowie mittleren und höheren Schulen (ausgenommen die Zentrallehranstalten) sowie auf die in der Gesamtevidenz enthaltenen Gesamtdatensätze, die von diesen Bildungseinrichtungen gemäß § 2 Abs. 1 Z 1 lit. a, c und g des Bildungsdokumentationsgesetzes übermittelt worden sind, beschränkt.

§ 5

Text

Art der Abfrage

§ 5. (1) Die Abfrage von Daten aus der Gesamtevidenz hat durch Auswahllisten so zu erfolgen, dass der Abfrageberechtigte

1.

die Attribute oder eine Kombination von Attributen der in der Gesamtevidenz enthaltenen Datenarten und

2.

die Gliederungsdarstellung der Datenarten

auswählt.

(2) Das Ergebnis der Abfrage von Daten aus der Gesamtevidenz ist eine summarische Darstellung der in der Gesamtevidenz enthaltenen Datenarten.

(3) Sofern das Ergebnis der Abfrage einen Rückschluss auf Einzelpersonen zulässt, ist durch programmtechnische Vorkehrungen in der summarischen Darstellung die Ausgabe eines Leerfeldes vorzusehen.

§ 6

Text

3. Abschnitt

Datensicherheitsmaßnahmen

Verantwortlicher

§ 6. (1) Jeder Abfrageberechtigte hat dem Auftraggeber zumindest einen Verantwortlichen für die Datensicherheitsmaßnahmen im Rahmen des Zugriffs auf die Gesamtevidenz und der Abfrage von Daten aus der Gesamtevidenz zu benennen.

(2) Der Verantwortliche hat nach Ermächtigung durch den Auftraggeber Abfrageberechtigungen für die Gesamtevidenz zu erteilen. Der Verantwortliche hat für seinen Zuständigkeitsbereich die Abfrageberechtigungen individuell an abfrageberechtigte Mitarbeiter zuzuweisen und deren Identität im Rahmen der Datensicherheitsmaßnahmen aufzuzeichnen.

(3) Sofern eine derartige Ermächtigung nicht erteilt wird, hat der Auftraggeber Abfrageberechtigungen zu vergeben. Abs. 2 zweiter Satz findet sinngemäß Anwendung.

§ 7

Text

Belehrungspflicht

§ 7. Abfrageberechtigte Mitarbeiter sind in regelmäßigen Abständen über datenschutzrechtliche Bestimmungen, insbesondere hinsichtlich der Wahrung des Datengeheimnisses, und den Inhalt dieser Verordnung zu belehren.

§ 8

Text

Datensicherheit

§ 8. (1) Der gemäß § 6 Abs. 1 benannte Verantwortliche hat nach Maßgabe des jeweiligen Standes der Technik und unter Bedachtnahme auf die wirtschaftliche Vertretbarkeit den Zugriffsschutz zu den Daten der Gesamtevidenz und die erforderlichen Datensicherheitsmaßnahmen zu organisieren und umzusetzen. Er hat insbesondere die Zuständigkeiten und Regeln für die Programmverwaltung betreffend die Gesamtevidenz in seinem Zuständigkeitsbereich festzulegen sowie die Voraussetzungen für den physischen Zugriff auf die Daten der Gesamtevidenz in seinem Zuständigkeitsbereich zu schaffen.

(2) Abfrageberechtigte und der Auftraggeber haben für den Bereich der Systeme, über die der Zugang zu der Gesamtevidenz erfolgt, sowie im Zusammenhang mit Abfragen aus der Gesamtevidenz die erforderlichen weiteren Datensicherheitsmaßnahmen zu treffen. Über diese sind Aufzeichnungen zu führen, die mindestens drei und höchstens sechs Jahre aufzubewahren sind.

§ 9

Text

Technische Vorkehrungen

§ 9. (1) Der Auftraggeber hat durch programmtechnische Vorkehrungen sicher zu stellen, dass der Zugriff auf die Gesamtevidenz und die Abfrage von Daten aus der Gesamtevidenz für den Abfrageberechtigten nur in dem in den §§ 4 und 5 vorgesehenen Ausmaß und Umfang möglich sind.

(2) Für den Verbindungsaufbau zu der Gesamtevidenz dürfen nur Geräte zum Einsatz kommen, die für Zwecke von Abfragen aus der Gesamtevidenz über ein nach Maßgabe des jeweiligen Standes der Technik anerkanntes Protokoll kommunizieren.

(3) Zugriffe auf die Gesamtevidenz sind nur nach geeigneter Identifikation der abfrageberechtigten Mitarbeiter (Benutzerkennung und Kennwort) und Bekanntgabe des Abfragezweckes zulässig. Kennwörter sind in geeigneter Weise unter Verschluss zu halten und sind nach Maßgabe der technischen Möglichkeiten in periodischen Zeitabständen zu ändern. Soweit die Nachvollziehbarkeit der Verwendungsvorgänge programmtechnisch nicht möglich ist, sind Aufzeichnungen zu führen, welche die Zulässigkeit der tatsächlichen Zugriffe auf die Gesamtevidenz und Verwendungsvorgänge überprüfbar machen.

(4) Es sind geeignete, dem jeweiligen Stand der Technik entsprechende Vorkehrungen zu treffen, um eine Vernichtung oder Veränderung der Daten in der Gesamtevidenz sowie eine Abfrage von Daten aus der Gesamtevidenz durch Zugriffe nichtberechtigter Personen oder Systeme zu verhindern.

§ 10

Text

Entzug der Abfrageberechtigung

§ 10. (1) Abfrageberechtigte Mitarbeiter sind von dem gemäß § 6 Abs. 1 benannten Verantwortlichen von der Ausübung ihrer Abfrage jedenfalls dann auszuschließen, wenn

1.

die Voraussetzungen, unter denen die individuelle Zuweisung einer Abfrageberechtigung erfolgt ist, nicht mehr vorliegen oder

2.

die individuelle Zuweisung einer Abfrageberechtigung zur weiteren Erfüllung der übertragenen Aufgaben nicht mehr erforderlich ist oder

3.

Daten aus der Gesamtevidenz nicht entsprechend dem Abfragezweck verwendet wurden.

(2) Unter den in Abs. 1 Z 3 genannten Voraussetzungen kann auch der Auftraggeber die individuelle Zuweisung einer Abfrageberechtigung entziehen.

(3) Abfrageberechtigten ist die Abfrageberechtigung nach Maßgabe des § 8 Abs. 3 des Bildungsdokumentationsgesetzes zu entziehen.

§ 11

Text

Dienstleister

§ 11. Bedienen sich der Auftraggeber oder die Abfrageberechtigten für den Datenverkehr zu der Gesamtevidenz eines Dienstleisters, haben sie diesen zur Einhaltung aller datenschutzrechtlichen Bestimmungen und Ergreifung der in dieser Verordnung vorgesehenen Datensicherheitsmaßnahmen zu verpflichten.

§ 12

Text

Mitteilungen an den Auftraggeber

§ 12. (1) Abfrageberechtigte haben dem Auftraggeber unverzüglich mitzuteilen:

1.

Veränderungen in Bezug auf abfrageberechtigte Mitarbeiter gemäß § 6 Abs. 2 (einschließlich des Entzugs der Abfrageberechtigung),

2.

die Inanspruchnahme, den Wechsel oder das Ausscheiden eines Dienstleisters und

3.

das Auftreten von Programmstörungen, die den Datenbestand gefährden können.

§ 13

Text

4. Abschnitt

Schlussbestimmungen

Geltung und Wirksamkeit anderer Rechtsvorschriften

§ 13. Soweit in dieser Verordnung auf andere Rechtsvorschriften verwiesen wird, sind diese in der zum Zeitpunkt des In-Kraft-Tretens dieser Verordnung geltenden Fassung anzuwenden.

§ 14

Text

Personenbezogene Bezeichnungen

§ 14. Personenbezogene Bezeichnungen in dieser Verordnung gelten jeweils auch in ihrer weiblichen Form.

§ 15

Text

Inkrafttreten, Außerkrafttreten

§ 15. (1) Diese Verordnung tritt mit Ablauf des Tages der Kundmachung im Bundesgesetzblatt in Kraft.

(2) Das Inhaltsverzeichnis hinsichtlich der den § 15 betreffenden Zeile, § 1, § 3 samt Überschrift, § 4 samt Überschrift, § 5 Abs. 1 Z 1 und Abs. 2, § 9 Abs. 1, § 12 Abs. 1 Z 1 sowie die Überschrift des § 15 dieser Verordnung in der Fassung der Verordnung BGBl. II Nr. 310/2010 treten mit Ablauf des Tages der Kundmachung im Bundesgesetzblatt in Kraft; gleichzeitig tritt die Anlage zu § 4 außer Kraft.