DSG bedürfen Abrufverfahren von Personendaten,
soweit es nicht um besonders schützenswerte Personendaten oder um
Persönlichkeitsprofile geht, nicht einer ausdrücklichen Grundlage in
einem formellen Gesetz, sondern sie können auch durch Verordnung
vorgesehen werden (vgl. Jean-Philippe Walter, DSG-Kommentar, N. 32 zu
Art. 19). Allerdings gilt auch für die Regelung eines Abrufverfahrens auf
Verordnungsstufe nach Art. 19 Abs. 3 Satz 1 DSG das allgemeine Erfordernis
von Art. 17 Abs. 1 DSG, wonach Organe des Bundes Personendaten nur
bearbeiten dürfen, wenn dafür eine gesetzliche Grundlage besteht.