Über ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, ergänzt um eine Systemübersicht. Das Verzeichnis listet je Tätigkeit Zweck, Datenkategorien, Empfänger, Löschfristen und Rechtsgrundlage. Die Systemübersicht zeigt, welche Daten technisch wohin fließen.
Der zweite Teil ist der, nach dem in Prüfungen tatsächlich gefragt wird. Ein formal korrektes Verzeichnis ohne Abbildung der realen Datenflüsse fällt auf, sobald jemand nach einem konkreten Weg fragt. Bau die Übersicht deshalb aus deiner System Map und halte beide zusammen aktuell. Rechne für den ersten Durchlauf zwei bis drei Tage. Nachträglich unter Zeitdruck ist es ein Mehrfaches davon. Das ist keine Rechtsberatung.