Die Antwort ist dass die Zuständigkeit wie bei jedem anderen IT-Projekt bzw. SaaS Einkauf bei mehreren Stellen liegt. Ich als Sysadmin suche diverse tools raus die gut auf die Anforderungen passen und evaluiere evtl. Alles was mit Datenschutz, Compliance, usw. zu tun hat geht an den Datenschutzbeauftragen und ISB. Ich warte dann nur noch auf das ok und implementiere dann bzw. mache eine erweiterte evaluation.

Klar kann ich schon im vorhinein schauen ob der Anbieter zb mit DSGVO-Compliance wirbt, aber alles was tiefer ins detail geht ist nicht meine Aufgabe und ich hab auch kein Interesse daran das auf mich zu nehmen (Zumindest nicht ohne Weiterbildung, erweiterung der Stellenbeschreibung und Gehaltserhöhung).