Die Datenschutz-Grundverordnung (DS-GVO) sieht in Art. 30 ein Verzeichnis über alle Verarbeitungstätigkeiten mit personenbezogenen Daten vor. Dieses muss von den Verantwortlichen und Auftragsverarbeiter:innen geführt werden. Auf Anfrage ist es der Aufsichtsbehörde zur Verfügung zu stellen (siehe Art. 30 Abs. 4 DS-GVO und ErwGr. 82).

Das Verzeichnis soll die wesentlichen Angaben zu Verantwortlichen, der Art der verarbeiteten Daten, Kategorien von Datenempfänger:innen, Löschfristen und Sicherheitsmaßnahmen enthalten. Als Hilfestellung hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) Mustervorlagen für Verantwortliche sowie Auftragsverarbeiter:innen herausgegeben und Hinweise zum Verzeichnis von Verarbeitungstätigkeiten nach der DS-GVO veröffentlicht. Weitere Informationen enthält auch das Kurzpapier Nr. 1 der DSK zum Verzeichnis der Verarbeitungstätigkeiten.