U brengt vervolgens uw gegevensverwerkingen in kaart en legt deze vast in het SBCM. U legt ook vast welke persoonsgegevens u verwerkt, voor welk doel u de persoonsgegevens verwerkt, wie de betrokkenen zijn, op basis van welke rechtmatigheidsgrondslag u de persoonsgegevens verwerkt, met wie u deze persoonsgegevens deelt, hoelang u de persoonsgegevens bewaart, etc.
Ook de informatiesystemen waarin de verwerkingen plaatsvinden legt u vast. Op een later moment koppelt u de verwerkingen met bijvoorbeeld informatiesystemen en onderzoeken, contracten en andere activiteiten en registers.