Grundsätzlich ist vom Auftragsbearbeiter selbst sowie auch vom Verantwortlichen je ein Bearbeitungsverzeichnis zu führen. Das revidierte Datenschutzgesetz (revDSG) sieht allerdings für Unternehmen, die weniger als 250 Mitarbeiterinnen und Mitarbeiter beschäftigen und deren Datenbearbeitung ein geringes Risiko von Verletzungen der Persönlichkeit der betroffenen Personen mit sich bringt, eine Ausnahme vor. Im Umkehrschluss ist ein Bearbeitungsverzeichnis auch von kleineren Unternehmen zu führen, sobald die Bearbeitung der Daten ein hohes Risiko mit sich bringt. Ein hohes Risiko birgt unter anderem die Bearbeitung von besonders schützenswerten Personendaten, wie z.B. Gesundheitsdaten.