BGBl. II Nr. 14/2026

(1) IT-Systeme und Dienste für Datenverarbeitungen gemäß § 4 Z 1 für Schulen sind in Rechenzentren zu betreiben, die deren Standorte und deren Hauptniederlassung sich im EWR-Raum bzw. in Staaten, hinsichtlich derer ein Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO besteht, befinden und geeignete und verhältnismäßige technische und organisatorische Sicherheitsvorkehrungen aufweisen. Diese haben den Stand der Technik zu berücksichtigen und dem Risiko, das mit vernünftigem Aufwand feststellbar ist, angemessen zu sein.

(2) IT-Systeme und Dienste für Datenverarbeitungen gemäß § 4 Z 2 bis 4 können über die Regelung in Abs. 1 hinaus auch in sonstigen Rechenzentren sonstiger geeigneter Clouddiensteanbieter gehostet werden. Beim Heranziehen solcher Clouddiensteanbieter sind jedenfalls die Bestimmungen des ist jeweils auf eine vertraglich vereinbarte Bindung der Datenverarbeitungsstandorte im EWR-Raum oder in Staaten, hinsichtlich derer ein Angemessenheitsbeschluss der Europäischen Datenschutzausschusses zu genehmigten Verhaltensregeln nach Kommission gemäß Art. 40 45 DSGVO besteht, Bedacht zu berücksichtigen nehmen. Es sind nur jene Clouddiensteanbieter heranzuziehen, die eine Vereinbarung mit der Bundesministerin oder dem BMBWF Bundesminister für Bildung abgeschlossen haben. Diese hat sich nach den Rahmenbedingungen des Bundesministeriums für Bildung, Wissenschaft und Forschung für den Einsatz privater Clouddiensteanbieter im IKT-gestützten Unterricht zu richten.

(3) Zur Sicherstellung der IT-Sicherheit können IT-Systeme und Dienste für Datenverarbeitungen gemäß § 4 Z 1 bis 5 auch für mehrere Schulen zentral gehostet werden, wobei durch eine Berechtigungsverwaltung sicherzustellen ist, dass auf Schülerinnen- und Schülerdaten einer Schule nur durch die jeweilige Schulleitung zugegriffen werden darf.