Conformément à l'article 35, paragraphe 4 du RGPD, les autorités de contrôle publient des listes d'activités de traitement pour lesquelles une DSFA doit être obligatoirement effectuée. La liste des "must" publiée par les autorités allemandes de protection des données peut être téléchargée à titre indicatif.