Grundsätzlich ist nicht vorgeschrieben, wo die Dokumentation zu erfolgen hat. Aus praktischen Gesichtspunkten ergibt sich allerdings die Empfehlung, das ganze direkt im Verzeichnis von Verarbeitungstätigkeiten zu dokumentieren und zu jeder Verarbeitungstätigkeit auch gleich ein Risikoprofil zu erstellen. In den Vorlagenpaketen wird die Risikoanalyse direkt mit den Verarbeitungstätigkeiten "abgehakt" dieses Vorgehen hat sich in der Praxis bewährt.