De algemene regel is dat organisaties met minder dan 250 medewerkers geen verwerkingsregister hoeven op te stellen en bij te houden. Op deze algemene regel bestaan een aantal uitzonderingen, waarmee een verwerkingsregister wel een verplichting is:

• Wanneer persoonsgegevens niet incidenteel verwerkt worden, maar structureel;
• Wanneer verwerkte persoonsgegevens een hoog risico opleveren;
• Wanneer er persoonsgegevens verwerkt worden die aangemerkt worden als bijzondere persoonsgegevens.

Deze drie uitzonderingen zijn in principe altijd van toepassing op zowel kleine als grote onderwijsinstellingen. Ook kleine scholen moeten om die reden een verwerkingsregister opstellen. Zie ook: https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/algemene-informatie-avg/verantwoordingsplicht (Bron: Kennisnet)