De verwerkingsverantwoordelijke (of controller) kan dus elke organisatie zijn, van een bedrijf of een afdeling dat op zoek is naar winst, tot een liefdadigheidsinstelling of overheid.

Een verwerker (of processor) kan een bedrijf of afdeling zijn dat de eigenlijke gegevensverwerking uitvoert.

Zelfs als de verwerkingsverantwoordelijken en verwerkers buiten de EU zijn gevestigd, zal de GDPR voor hen blijven gelden zolang zij gegevens van ingezetenen van de EU behandelen.

Het is de verantwoordelijkheid van de verwerkingsverantwoordelijke om ervoor te zorgen dat zijn verwerker zich houdt aan de wetgeving inzake gegevensbescherming en verwerkers moeten zich zelf houden aan regels om registers bij te houden van hun verwerkingsactiviteiten.

Als verwerkers betrokken zijn bij een gegevensinbreuk, zijn zij veel meer aansprakelijk op grond van de GDPR dan op grond van de Wet gegevensbescherming