IKT-Schulverordnung

1. Abschnitt

Allgemeine Bestimmungen

Geltungsbereich

§ 1. Diese Verordnung gilt für

Regelungszweck

§ 2. Diese Verordnung verfolgt die Zwecke

Personenbezogene Bezeichnungen

§ 3. Soweit in dieser Verordnung auf natürliche Personen bezogene Bezeichnungen angeführt sind, beziehen sich diese auf alle Geschlechtsformen in gleicher Weise. Bei der Anwendung der Bezeichnung auf bestimmte natürliche Personen ist die jeweils geschlechtsspezifische Form zu verwenden.

Begriffsbestimmungen

§ 4. Im Sinne dieser Verordnung sind zu verstehen:

2. Abschnitt

Technische und organisatorische Maßnahmen zur Gewährleistung der Sicherheit der Datenverarbeitung bei schulischen Verarbeitungen

Authentifizierung

§ 5. (1) Beim Login an IT-Systemen und Diensten, etwa durch Anmeldung im Schulnetz bzw. an einem Bildungsstammportal, ist eine Authentifizierung durch personenbezogene Benutzerkennung und Passwort erforderlich. Dabei sind die IT-Systeme und Dienste so zu konfigurieren, dass Passwörter ausreichend komplex zu gestalten sind. Weiters sind die Benutzerinnen und Benutzer zu belehren, dass Passwörter nicht weitergegeben werden dürfen.

(2) Bei IT-Systemen und Diensten für Datenverarbeitungen gemäß § 4 Z 1 und 2 ist zusätzlich eine Mehr-Faktor-Authentifizierung erforderlich (etwa mittels Technologien wie Handysignatur, TANs über dienstliche Mail-Adresse, biometrische Merkmale oder gleichwertige Maßnahmen).

(3) Zur Gewährleistung der IT-Sicherheit in Schulen, in der Schulverwaltung und zum Schutz der Rechte von Schülerinnen und Schülern, Lehrpersonen und Erziehungsberechtigten ist die Anmeldung und Nutzung von IT-Systemen und Diensten im Schulwesen ausschließlich über ein Bildungsstammportal gemäß § 6e BilDokG 2020 zulässig.

Datenmanagement im Bildungsportal

§ 6. (1) Allen Schülerinnen und Schülern an Schulen gemäß § 2 Z 1 BilDokG 2020 sowie deren Erziehungsberechtigten ist die Teilnahme am Bildungsportal zu ermöglichen.

(2) Die für das Berechtigungsmanagement zum Bildungsportal notwendigen Identitätsdaten nach § 6d BilDokG 2020 werden im IT-System „edu.IDAM“ verwaltet.

Anforderungen an IT-Systeme und Dienste

§ 7. (1) Zur Integration weiterer IT-Systeme und Dienste in das Bildungsportal auf Vorschlag einer Bildungsdirektion oder eines privaten Schulerhalters ist durch den Diensteanbieter als Auftragsverarbeiter eine Auftragsverarbeitervereinbarung mit der Bundesministerin oder dem Bundesminister für Bildung als Verantwortlicher für das Bildungsportal abzuschließen und zu dokumentieren, wie die technischen und organisatorischen Maßnahmen dieser Verordnung sowie die Schnittstellenspezifikation und Teilnahmebedingungen des Bildungsportals eingehalten werden.

(2) IT-Systeme und Dienste für Datenverarbeitungen gemäß § 4 Z 1 und 2 sind grundsätzlich webbasiert zur Verfügung zu stellen, soweit sie nicht ausschließlich auf dienstlichen Endgeräten im Schulnetz verwendet werden. Beim Design des IT-Systems oder Dienstes ist darauf zu achten, dass die für die Anwenderinnen und Anwender benötigte Funktionalität grundsätzlich ohne Speicherung personenbezogener Daten am Endgerät gewährleistet ist. Die Datensicherheit der IT-Systeme und Dienste kann insbesondere über einschlägige Zertifizierungen nachgewiesen werden. Im Zuge der ersten Inbetriebnahme ist ein dem Stand der Technik entsprechender und dem Risikopotential der Anwendung angemessener Penetrationstest sowie ein Third Party Review zur Bewertung der IT-Sicherheit durchzuführen.

(3) Für IT-Systeme und Dienste, die in einem Bildungsstammportal per Single sign-on (SSO) angebunden sind, ist ein Deep-Link bereitzustellen, der es der Bildungsportalnutzerin bzw. dem Bildungsportalnutzer ermöglicht, direkt über den SSO-Dienst des Bildungsportals in das jeweilige Bildungsstammportal zu gelangen, ohne dass es einer weiteren Anmeldung in diesem bedarf. Weiters ist durch das jeweilige Bildungsstammportal sicherzustellen, dass über eine Schnittstelle des Bildungsportals automatisiert die Berechtigung gepflegt wird, welche Personen oder Personengruppen der jeweiligen Bildungseinrichtung diesen Link (zum jeweiligen IT-Service oder Dienst) aufzurufen berechtigt sind. Dazu ist eine bidirektionale SSO-Kopplung zwischen dem Bildungsportal und dem jeweiligen Bildungsstammportal einzurichten.

(4) Im IT-System und Dienst ist im Zuge jedes Anmeldevorganges sicherzustellen, dass die aktuelle Rollen- und Berechtigungssituation berücksichtigt wird. Daher sind im Zuge des Anmeldevorganges die Informationen aus dem SSO-Token des Bildungsportals zu übernehmen oder die Nutzerdatenschnittstelle des Bildungsportals abzufragen.

Hosting

§ 8. (1) IT-Systeme und Dienste für Datenverarbeitungen gemäß § 4 Z 1 für Schulen sind in Rechenzentren zu betreiben, deren Standorte und deren Hauptniederlassung sich im EWR-Raum bzw. in Staaten, hinsichtlich derer ein Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO besteht, befinden und geeignete und verhältnismäßige technische und organisatorische Sicherheitsvorkehrungen aufweisen. Diese haben den Stand der Technik zu berücksichtigen und dem Risiko, das mit vernünftigem Aufwand feststellbar ist, angemessen zu sein.

(2) IT-Systeme und Dienste für Datenverarbeitungen gemäß § 4 Z 2 bis 4 können über die Regelung in Abs. 1 hinaus auch in Rechenzentren sonstiger geeigneter Clouddiensteanbieter gehostet werden. Beim Heranziehen solcher Clouddiensteanbieter ist jeweils auf eine vertraglich vereinbarte Bindung der Datenverarbeitungsstandorte im EWR-Raum oder in Staaten, hinsichtlich derer ein Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO besteht, Bedacht zu nehmen. Es sind nur jene Clouddiensteanbieter heranzuziehen, die eine Vereinbarung mit der Bundesministerin oder dem Bundesminister für Bildung abgeschlossen haben. Diese hat sich nach den Rahmenbedingungen des Bundesministeriums für Bildung für den Einsatz privater Clouddiensteanbieter im IKT-gestützten Unterricht zu richten.

(3) Zur Sicherstellung der IT-Sicherheit können IT-Systeme und Dienste für Datenverarbeitungen gemäß § 4 Z 1 bis 5 auch für mehrere Schulen zentral gehostet werden, wobei durch eine Berechtigungsverwaltung sicherzustellen ist, dass auf Schülerinnen- und Schülerdaten einer Schule nur durch die jeweilige Schulleitung zugegriffen werden darf.

Organisatorische Datensicherheitsmaßnahmen

§ 9. Die Schulleitung, die Bildungsdirektorinnen und -direktoren sowie die Stelle gemäß § 6e Abs. 5 BilDokG 2020 haben jeweils in ihrem Verantwortungsbereich gemäß § 4 Abs. 1 BilDokG 2020 sicherzustellen, dass

3. Abschnitt

Technische und organisatorische Maßnahmen bei digitalen Endgeräten

Endgeräteverwaltung für digitale Endgeräte

§ 10. Um die Funktionalität und Sicherheit aller digitalen Endgeräte mittels geeigneter technischer Maßnahmen, insbesondere durch Integration in eine Endgeräteverwaltung, sicherzustellen, haben die von der Stelle gemäß § 6d Abs. 5 BilDokG 2020 bzw. vom Dienstgeber eingesetzten Systeme zur Endgeräteverwaltung folgende technische und organisatorische Maßnahmen zu gewährleisten:

Anwendungsbezogene Anforderungen an digitale Endgeräte

§ 11. (1) Die Verwendung digitaler Endgeräte ist zulässig

(2) Wenn an einem Schulstandort die Entscheidung für die einheitliche Verwendung digitaler Endgeräte insbesondere im Rahmen eines Digitalisierungskonzepts gemäß § 2 Abs. 2 SchDigiG getroffen wurde, so ist eine Beschreibung der Gerätetypen festzulegen und sind ausschließlich Endgeräte dieser Typen zu verwenden.

(3) Um die Speicherung personenbezogener Schülerinnen- und Schülerdaten am Endgerät zu vermeiden, sind IT-Systeme und Dienste für Datenverarbeitungen gemäß § 4 Z 1 und 2 grundsätzlich webbasiert zur Verfügung zu stellen. Stehen ausnahmsweise an Schulen keine webbasierten IT-Systeme und Dienste für die genannten Datenverarbeitungen zur Verfügung, so sind durch die jeweiligen Stellen gemäß § 6e Abs. 5 BilDokG 2020 technische und organisatorische Maßnahmen, die eine gleichwertige IT-Sicherheit wie beim Einsatz webbasierter Lösungen gewährleisten, vorzusehen und diesbezügliche Regelungen, wie etwa Festplattenverschlüsselung, für die Verwendung festzulegen.

(4) Anstelle einer Einbindung in eine Endgeräteverwaltung gemäß § 10 können Zugriffe auf IT-Systeme und Dienste über ein schulseitig betriebene Remote Desktop Service erfolgen, sofern gewährleistet ist, dass alle Anforderungen dieser Verordnung hinsichtlich Authentifizierung, Hosting des Remote Desktop Service, organisatorischer Maßnahmen sowie eines sicheren Betriebs ohne direkte Datenhaltung am Endgerät durch die Funktionalität des Remote Desktop Services erfüllt werden.,

4. Abschnitt

Technische und organisatorische Maßnahmen beim IKT-gestützten Unterricht und für Lern- und Arbeitsplattformen

IT-Nutzungsbedingungen

§ 12. (1) Unter Berücksichtigung der Anforderungen des § 11 ist die Verwendung eines digitalen Endgerätes im Schulnetz als Arbeitsmittel im IKT-gestützten Unterricht, zum eigenständigen Lernen und für Zwecke der Schulverwaltung zulässig.

(2) Unzulässig ist

(3) Über die Zulässigkeit einer konkreten Verwendung hat im Zweifelsfall die Schulleitung zu entscheiden.

(4) Die Schulleitung kann weitere standortspezifische IT-Nutzungsbedingungen anordnen. Sie kann dabei das Schulforum bzw. den Schulgemeinschaftsausschuss beratend beiziehen.

Funktionalitäten der Endgeräte im IKT-gestützten Unterricht

§ 13. (1) Die im IKT-gestützten Unterricht eingesetzten IT-Systeme und Dienste haben den Videoeinsatz und die Präsentationsmöglichkeiten zu unterstützen.

(2) Bei Aktivierung der Kameras sind die technischen Möglichkeiten der Schülerinnen und Schüler, der Schutz der familiären Privatsphäre in der Wohnung der Schülerinnen und Schüler sowie die besonderen Bedürfnisse von Schülerinnen und Schülern mit Behinderung nach Maßgabe der technischen Möglichkeiten zu berücksichtigen.

(3) Aufzeichnungen des Unterrichts durch Video- oder Audioaufnahmen oder Screenshots sind nur mit Einwilligung aller Betroffenen gemäß Art. 7 DSGVO in Verbindung mit § 4 Abs. 4 DSG zulässig.

Elektronische Kommunikation mit Erziehungsberechtigten

§ 14. Sofern die Erziehungsberechtigten die Möglichkeit einer elektronischen Kommunikation mit der Schule nützen wollen, ist durch die zum Einsatz kommenden IT-Systeme und Dienste sicherzustellen, dass die elektronische Kommunikation mit den Erziehungsberechtigten der jeweiligen Schülerin bzw. des jeweiligen Schülers erfolgt und die Kenntnisnahme der Nachricht durch die Erziehungsberechtigten für die Schule nachvollziehbar ist.

6. Abschnitt

Schlussbestimmungen

Übergangsbestimmung

§ 16. Bis zur Herstellung der nötigen Schnittstellen zwischen dem Datenverbund der Schulen und dem Bundesministerium für Inneres zur Vollziehung des § 6a BilDokG 2020 einerseits und der nötigen Schnittstellen zwischen dem Datenverbund der Schulen und den lokalen Evidenzen zur Vollziehung der §§ 6a und 6b BilDokG 2020 andererseits haben die Schulleitungen, die das Bildungsstammportal gemäß § 6e BilDokG 2020 nutzen, die Daten gemäß § 6d BilDokG 2020 über Schnittstellen aus den jeweiligen lokalen Evidenzen gemäß § 5 BilDokG 2020 für Zwecke des Identitätsmanagements und der Synchronisation in den IT-Systemen Bildungsportal-bildung.gv.at und edu.IDAM an den Datenverbund der Schulen zu übermitteln. Sie haben die Kosten zu tragen, die durch die Herstellung und den Betrieb der Schnittstelle zur Anbindung an das Bildungsstammportal des Bundes entstehen.

Verweise auf Bundesgesetze

§ 17. Soweit in dieser Verordnung auf Bundesgesetze verwiesen wird, sind diese in der mit dem Inkrafttreten der jeweils letzten Novelle dieser Verordnung geltenden Fassung anzuwenden.

Inkrafttreten

§ 18. (1) Diese Verordnung tritt mit 1. September 2021 in Kraft.

(2) Das Inhaltsverzeichnis der den § 6 betreffenden Eintrag, § 1, § 2 Z 2, § 4 Z 1 lit. b, § 4 Z 2, § 4 Z 7 bis 13, § 5 Abs. 3, § 6 samt Überschrift, § 7 Abs. 1, 3 und 4, § 8 Abs. 1 und 2, § 9, § 10, § 11 Abs. 3 und § 16 in der Fassung der Verordnung BGBl. II Nr. 14/2026 treten mit Ablauf des Tages der Kundmachung der genannten Verordnung in Kraft und sind nach Maßgabe der technischen Möglichkeiten anzuwenden. Gleichzeitig treten der den 5. Abschnitt des Inhaltsverzeichnisses betreffende Eintrag sowie der 5. Abschnitt außer Kraft.