Bei der Beantwortung der Frage, was eine Verarbeitungstätigkeit ausmacht und wie sie zu definieren ist, ist die EU-DSGVO nicht sehr eindeutig. Immerhin definiert Art. 4 Satz 2 EU-DSGVO "Verarbeitung" als "jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung".
Bei einer "Verarbeitungstätigkeit" müssen (als wichtigstes Kriterium) personenbezogene Daten verarbeitet werden, wobei das Gesetz nicht zwischen manueller oder automatisierter Verarbeitung unterscheidet. Eine Kartei, welche händisch beschrieben wird, ist also genauso zu behandeln, wie eine Excel Tabelle, die jeden Tag automatisiert aktualisiert wird. Eine "Verarbeitungstätigkeit" bezieht sich dabei nicht auf das eingesetzte Tool (hier: Excel), sondern auf die mithilfe dieses Tools erfolgende Verarbeitung von personenbezogenen Daten. Ein Bürokommunikationsprogramm (oder auch ein manuelles Verfahren) allein stellt per se noch keine Verarbeitungstätigkeit dar, solange kein Bezug zu einer Verarbeitung personenbezogener Daten vorliegt. Also ist z.B. Excel für sich genommen keine Verarbeitungstätigkeit, sondern lediglich ein Tool, mit dessen Hilfe Verarbeitungstätigkeiten für bestimmte Zwecke vorgenommen werden können. Dagegen sind das Erstellen und Führen von Dateien mithilfe eines Bürokommunikationsprogrammes ein Verfahren, welches im Verzeichnis der Verarbeitungstätigkeiten abgebildet sein muss. Zwecke der Verarbeitung können beispielsweise sein: