Ob die Datenbearbeitung auf Gesetzes- oder auf Verordnungsebene geregelt werden muss, ist nach allgemeinen gesetzestechnischen Grundsätzen zu
beurteilen. Massgeblich ist, wieweit eine Datenbearbeitung in die Persönlichkeit der Bürger eingreift. Aus diesen Gründen ist für die Bearbeitung
von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen grundsätzlich eine formelle gesetzliche Grundlage notwendig (vgl.
Art. 17 Abs. 2 DSG und allgemein zum Legalitätsprinzip: ULRICH HÄFE-
LIN/GEORG MÜLLER/FELIX UHLMANN, Allgemeines Verwaltungsrecht,
6. Auflage Zürich/St. Gallen 2010, Rz.