Een verwerkingsregister is verplicht als aan één van de onderstaande punten voldaan wordt:
* 250+ personen in dienst 
* de verwerkingen waarschijnlijk een privacy risico inhouden
* de verwerking niet incidenteel is
* bijzondere categorieën van gegevens verwerk worden (zie art. 9.1 en art. 10)

Voor verwerkingsverantwoordelijke:
* naam en contactgegevens van de verwerkingsverantwoordelijke(n) met Functionaris Gegevensbescherming indien van toepassing
* doel van de verwerking
* categorieën van betrokkenen en categorieën van persoonsgegevens;
* categorieën van ontvangers
* cross border transfers
* retentie termijn
* algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen

Voor verwerker:
* naam en contactgegevens van de verwerkers en van de verwerkingsverantwoordelijken waarvoor hij werkt
* de categorieën van verwerkingen die voor iedere verwerkingsverantwoordelijke zijn uitgevoerd;
* cross border transfers
* algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen