Verordnung des Bundesministers für Bildung, Wissenschaft und Forschung über IKT-gestützten Unterricht und Datensicherheitsmaßnahmen im Schulwesen (IKT-Schulverordnung)

Die Zwecke der Verarbeitung von Daten, insbesondere gemäß der Art. 5 und 6 DSGVO im Zusammenhang mit der Bildungsdokumentation ergeben sich überwiegend aus den Regelungen zur Bildungsdokumentation, den Bestimmungen des Schulrechts sowie aus anderen einschlägigen Bestimmungen einzelner Materiengesetze wie zB § 42g Urheberrechtsgesetz, BGBl. Nr. 111/1936 (Öffentliche Zurverfügungstellung von Werken für Unterricht und Lehre) oder aus dem Familienlastenausgleichsgesetz 1967, BGBl. Nr. 376/1967. Weitere Verarbeitungszwecke ergeben sich, wenn auch nur zu einem geringen Ausmaß, aus der Erbringung von Serviceleistungen durch das schulische Umfeld auf Schülerinnen- oder Schülerwunsch (etwa: Kopiersysteme, WLAN-Zugänge an Schulen, Essensbestellungen, Berechtigungsnachweise für die Schülerfreifahrt oder Bereitstellung von vergünstigten Software-Lizenzen).

Aufgrund der Bestimmungen der DSGVO sind neben den Verarbeitungszwecken angemessene Mittel für die Datenverarbeitung (zB Schulverwaltungsprogramme) und damit zusammenhängend geeignete technische und organisatorische Maßnahmen zur Gewährleistung der Datensicherheit zu definieren. Die Festlegung der Mittel für die schulische Datenverarbeitung erfolgte bisher in sehr heterogener Art durch unterschiedliche Akteure im Bildungswesen (BMBWF, Schulerhalter, Bildungsdirektionen, Schulleitungen, Lehrpersonal sowie diesbezügliche schulgemeinschaftliche Gremien).

Hauptziel dieser Verordnung ist die Festlegung gemeinsamer Standards hinsichtlich der Datensicherheit und damit die Harmonisierung der Anforderungen an die eingesetzten Mittel, insbesondere an die Software (im Sinne von IT-Systemen und Diensten) im Bereich der Schulverwaltung. Zu diesem Zweck legt die Verordnung in Entsprechung der Art. 25 und 32 DSGVO in Verbindung mit Erwägungsgrund 78 der DSGVO geeignete technische und organisatorische Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus fest. Diese Maßnahmen haben insbesondere den Grundsätzen des Datenschutzes durch Technik (data protection by design) und durch datenschutzfreundliche Voreinstellungen (data protection by default) Genüge zu tun. Neben den schulgesetzlichen Vorgaben berücksichtigt die Verordnung auch die Dokumentationen, die gemäß § 4 Abs. 2 BilDokG 2020 zu führen sind, eine durch das BMBWF durchgeführte Datenschutzfolgeabschätzung, Verzeichnisse der schulischen Verarbeitungstätigkeiten gemäß Art. 30 DSGVO, sowie die regelmäßig aktualisierte Datenschutzinformation des BMBWF (https://www.bmbwf.gv.at/Themen/schule/schulrecht/ds.html) gemäß Art. 12ff DSGVO im Rahmen der Schulverwaltung an österreichischen Schulen.

Neben diesen technischen und organisatorischen Maßnahmen zur Gewährleistung der Datensicherheit regelt die Verordnung auch die gegenseitigen Verpflichtungen bei Datenverarbeitungen durch gemeinsame Verantwortliche gemäß Art. 26 DSGVO. Nicht Gegenstand dieser Verordnung sind Regelungen gemäß § 4 Abs. 3 Z 2 BilDokG 2020, wobei aber geplant ist, den in § 6 dieser Verordnung geregelten Bildungsportalverbund auch für Zwecke der Ermittlung des bereichsspezifischen Personenkennzeichens aus dem Stammzahlenregister gemäß den Bestimmungen einer späteren Verordnung zu § 4 Abs. 3 Z 2 BilDokG 2020 einzusetzen.

Neben dem großen Bereich des Datenschutzes in der Schulverwaltung enthält die Verordnung einen zweiten großen Bereich zum IT-Einsatz im pädagogischen Umfeld (IKT-gestützter Unterricht).

Die Verordnung ist somit folgendermaßen aufgebaut:

Zuerst werden Kategorien von schulischen Verarbeitungstätigkeiten festgelegt. Auf diesen aufbauend werden technische und organisatorische Maßnahmen zum Hosting, zur Authentifizierung an Endgeräten zum Aufbau eines Identity and Access Management System im Rahmen von Bildungsstammportalen, sowie zu IT-Systemen und Diensten sowie zu den eingesetzten Endgeräten geregelt. Neben der Festlegung geeigneter technischer und organisatorischer Maßnahmen werden schließlich IT-Nutzungsbedingungen festgelegt, die einen über den Datenschutz hinausgehenden rechtskonformen IT-Einsatz im schulischen Umfeld, insbesondere bezüglich urheberrechtlicher, strafrechtlicher oder wettbewerbsrechtlicher Vorschriften, gewährleisten sollen.

Aus Gründen der Effizienz und Vereinheitlichung der Verwaltung werden hier auch allgemeine Standards und Richtlinien der österreichischen E-Government-Strategie berücksichtigt, wie etwa E-Government-Gesetz, NIS-Gesetz, Portalverbundprotokoll (https://neu.ref.wien.gv.at/at.gv.wien.ref-live/web/reference-server/ag-iz-portalverbund), Ergebnisse der Interministerielle Arbeitsgruppe Cloud Computing (AG Cloud), sowie Schnittstellen im Rahmen des Registerverbundes etwa zum Stammzahlenregister und anderen behördlichen Registern (Registerverbundsystem).