Unternehmen oder Einrichtungen haben laut DSGVO die Pflicht, ein sogenanntes Verarbeitungsverzeichnis zu führen, in dem sie alle Prozesse mit denen personenbezogene Daten verarbeitet werden, aufzeigen. Dies geschieht durch die Auflistung aller Verarbeitungstätigkeiten, -systeme und -verfahren und ist Bestandteil einer gut aufgestellten Datenschutzorganisation. Ausnahmen von dieser Pflicht gibt es unter weiteren Voraussetzungen nur für Unternehmen oder Einrichtungen mit weniger als 250 Mitarbeitern.