Ein Verarbeitungsverzeichnis muss jeder Unternehmer erstellen, der mehr als 250 Mitarbeiter beschäftigt. Beschäftigt ein Arbeitgeber weniger Mitarbeiter muss er dennoch ein Verzeichnis erstellen, wenn die von ihm vorgenommen Verarbeitung Risiken für Betroffene darstellt, die Verarbeitung nicht nur gelegentlich ist oder personenbezogene Daten besonderer Kategorien, wie zum Beispiel Gesundheitsdaten oder andere sensible Daten, erfolgt.