Ein Verfahren wird auch als Verarbeitungstätigkeit bezeichnet und beschreibt die Art und Weise, wie eine Verarbeitung von personenbezogenen Daten abläuft. Die DSGVO fordert, dass die Verfahren in einem Verzeichnis von Verarbeitungstätigkeiten aufgeführt werden müssen.
Praxisbeispiel: die Gesichtserkennung ist ein Verfahren zur Erhebung und Erfassung von biometrischen Daten des Betroffenen, das Schreddern von Dokumenten ist ein Verfahren zur Löschung von Daten.