Sobald du eine On-Premise Lösung hast, die du selbst betreibst funktioniert das schon nicht mehr. Auch bei SaaS oder IaaS Lösungen funktioniert das nicht, wenn du einen Teil des Betriebs selbst übernimmst. Das geht lediglich, wenn der gesamte Betrieb inkl. die Administration von Rechten, Backup, u.v.a.m an den DL ausgelagert ist. Und auch dann hat er im Projekt sicherzustellen, dass die AV vorliegt und korrekt ist. Immer noch ein Einstiegspunkt für Prüfer.
Nur weil die Software DSGVO-konform ist oder so genutzt werden kann ist man nicht auf der sicheren Seite, da wesentlich mehr Aspekte als die Software dazugehören.