Das Verzeichnis der Verarbeitungstätigkeiten (VVT) dient dazu, die im datenverarbeitenden Unternehmen ausgeführten Prozesse zu dokumentieren. Für die DSGVO-Dokumentation sind lediglich die Prozesse relevant, bei denen personenbezogene Daten verarbeitet werden. Je nach Tätigkeitsbereich des Unternehmens können dies fast alle vorhandenen Prozesse (Kanzleien, Arztpraxen oder Onlineshops) sein oder nur ein geringer Anteil (produzierendes Gewerbe, Industrie). Das Verzeichnis muss zwar verpflichtend erstellt werden, jedoch muss es nicht nach außen (auch nicht auf Anfrage) für Dritte einsehbar sein. Lediglich die Aufsichtbehörden haben das Recht, das Verzeichnis der Verarbeitungstätigkeiten anzufordern und einzusehen.
Innerhalb des VVT müssen alle Vorgänge mit Personenbezug niedergeschrieben werden und der Verarbeitungszweck, die Arten der verarbeiteten Daten, die Gesetztegrundlage, Löschfristen, die möglichen Empfänger der Daten dokumentiert werden.