Citation: BGE 143 I 253 E. 6.2

Im vorliegenden Zusammenhang fällt dazu erschwerend in Betracht, dass die demokratische Herleitung des Verordnungsrechts BGE 143 I 253 S. 265 zusätzlich abgeschwächt ist. Üblicherweise überträgt der Gesetzgeber die Verordnungskompetenz an die Exekutive, d.h. auf Bundesebene dem Bundesrat (vgl. Art. 182 Abs. 1 BV). Dieser wird zwar nicht unmittelbar vom Volk, aber doch immerhin von der Vereinigten Bundesversammlung gewählt (Art. 175 Abs. 2 in Verbindung mit Art. 157 Abs. 1 lit. a BV). Demgegenüber delegiert Art. 23 Abs. 1 FINMAG die Verordnungskompetenz für die Regelung der Einzelheiten bei der Datenbearbeitung im Bereich der Finanzmarktaufsicht der FINMA, die insofern durch deren Verwaltungsrat handelt (vgl. Art. 9 Abs. 1 FINMAG), der auch die Datenverordnung-FINMA erlassen hat. Wahlorgan für den Verwaltungsrat der FINMA ist der Bundesrat (Art. 9 Abs. 3 FINMAG) und nicht die Bundesversammlung. Damit erweist sich die demokratische Legitimation der Datenverordnung-FINMA als schwächer als dies bei einer bundesrätlichen Verordnung zutrifft. Umso bestimmter hat die Verankerung im formellen Gesetz zu sein. Diese demokratische Funktion des Legalitätsprinzips findet nicht zuletzt ihren Niederschlag in Art. 17 Abs. 2 DSG (SARAH BALLENEGGER, in: Basler Kommentar, Datenschutzgesetz, Öffentlichkeitsgesetz, 3. Aufl. 2014, N. 21 zu Art. 17 DSG).