Wenn Regulierer zum Marktteilnehmer werden: Kartellrecht, Datenrecht und KI-Regeln verändern SaaS

# Wenn Regulierer zum Marktteilnehmer werden: Kartellrecht, Datenrecht und KI-Regeln verändern SaaS

2023 begann Microsoft, Teams in Europa und schließlich weltweit getrennt von Microsoft 365 zu verkaufen, senkte den Preis und entbündelte ein Produkt, das seit 2017 kostenlos im Paket enthalten war. Das war kein strategischer Kurswechsel, sondern eine behördliche Anordnung. Der Digital Markets Act (DMA) der EU, ein Gesetz von 2022, das großen „Gatekeeper“-Plattformen konkrete Pflichten auferlegt, zwang Microsoft dazu, nachdem eine Beschwerde des Wettbewerbers Slack im Jahr 2020 ein Kartellverfahren ausgelöst hatte.

Diese eine Entbündelung hat reale Marktanteile verschoben. Konkurrenten wie Slack, Zoom und Google Chat konkurrieren in Europa plötzlich unter faireren Bedingungen. Das ist der Kerngedanke dieser Lektion: Regulierer sind keine Schiedsrichter, die außerhalb des SaaS-Marktes (Software as a Service) stehen und auf Fouls achten. Sie sind aktive Spieler, die neu zeichnen, wer mit wem und zu welchen Bedingungen konkurriert.

Regulierer als fünfte Kraft

In den meisten Wettbewerbsanalysen erfassen Sie Incumbents, Challenger, Lieferanten und Vertriebspartner. Im heutigen SaaS-Markt brauchen Sie eine fünfte Kategorie: Regulierer, die die Marktstruktur einseitig verändern kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen.

Drei Institutionen sind derzeit global am wichtigsten:

• Die Europäische Kommission, die DMA und DSGVO (die EU-Datenschutz-Grundverordnung von 2018) durchsetzt.
• Die US Federal Trade Commission (FTC) und das Department of Justice (DOJ), die Kartellverfahren nach bestehendem US-Recht führen (ein US-Bundesäquivalent zum DMA gibt es Stand 2026 nicht).
• Nationale Datenschutzbehörden, etwa die irische Data Protection Commission (die wegen der dortigen EU-Zentralen die meisten US-Tech-Konzerne beaufsichtigt) und die deutschen Aufsichtsbehörden auf Bundes- und Länderebene.

Anders als ein neuer Wettbewerber, der in einen Markt eintritt, kann ein Regulierer handeln, ohne ein Produkt zu bauen, Kapital aufzunehmen oder Kunden zu gewinnen. ErErThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → schreibt einfach eine Regel, und die Incumbents müssen sich darum herum neu aufstellen. Das ist eine andere Art von Macht, und sie verändert, wie Incumbents planen.

Fall 1: Der DMA und die Gatekeeper-Pflichten

Der DMA benennt bestimmte große Plattformen als „Gatekeeper“ (Unternehmen, die den Zugang zu wichtigen digitalen Diensten für andere Unternehmen und Verbraucher kontrollieren) und legt ihnen direkte Pflichten auf. Zu den Gatekeepern zählen laut Benennungen der Europäischen Kommission derzeit Alphabet (Google), Amazon, Apple, ByteDance, Meta und Microsoft.

Für SaaS relevante Gatekeeper-Pflichten sind unter anderem:

• Interoperabilitätsanforderungen: Gatekeeper müssen konkurrierenden Diensten auf bestimmte Weise die Anbindung an ihre Kernplattformen ermöglichen.
• Bündelungsverbote: Die Teams-Entbündelung ist eine direkte Folge davon.
• Datenportabilität: Geschäftskunden müssen ihre Daten leicht mitnehmen kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen.
• Verbot der Selbstbevorzugung: Gatekeeper dürfen eigene Dienste in Suche oder App Stores nicht über die von Wettbewerbern stellen.

Die praktische Wirkung auf die SaaS-Wettbewerbsdynamik: Ein Challenger wie Slack konkurriert nicht mehr nur über das Produkt, sondern bekommt auch regulatorischen Rückenwind gegen Microsofts natürlichen Bündelungsvorteil. Hier gestaltet Regulierung die Wettbewerbslandkarte aktiv um, statt nur Fehlverhalten im Nachhinein zu sanktionieren.

Die tatsächlichen Gatekeeper-Pflichten des DMA kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen Sie auf der DMA-Seite der Europäischen Kommission nachlesen.

Fall 2: DSGVO und der Aufstieg europäischer Cloud-Anbieter

Die DSGVO, seit 2018 in Kraft, stellt strenge Regeln dafür auf, wie Unternehmen personenbezogene Daten von EU-Bürgern verarbeiten, einschließlich Anforderungen an Einwilligung, Datenminimierung und Datentransfers in Drittländer.

Die Regeln zu Drittlandtransfers erwiesen sich, gewollt oder nicht, als Wettbewerbswaffe. Nach dem *Schrems II*-Urteil des Europäischen Gerichtshofs von 2020 wurde die Übermittlung personenbezogener EU-Daten an US-Cloud-Anbieter rechtlich heikel, weil das US-Überwachungsrecht als unvereinbar mit dem EU-Datenschutz eingestuft wurde. Für europäische Unternehmen, die AWS, Azure oder Google Cloud für regulierte Daten nutzen, entstand damit ein echtes Rechtsrisiko.

Das Ergebnis: Es entstand die Kategorie „Sovereign Cloud“. Anbieter wie OVHcloud (Frankreich), die Cloud-Dienste der Deutschen Telekom sowie die EU-lokalisierten „souveränen“ Angebote von Microsoft und AWS vermarkten Datenresidenz und Rechtsraum als Kernmerkmale, nicht als Randnotiz. Auch Frankreich und Deutschland haben die öffentliche Beschaffung teils aus diesem Grund in Richtung EU-basierter Anbieter gelenkt.

Das ist ein zweiter Mechanismus, über den Regulierung den Wettbewerb umformt: nicht indem sie das Produkt eines Incumbents aufbricht, sondern indem sie Geografie und Rechtsraum zu einem Produktmerkmal macht, das vorher weniger zählte.

Wie sich damit die Machtverhältnisse entlang der Wertschöpfungskette verschieben

Überlegen Sie, wer bei regulatorischen Eingriffen an Hebelwirkung gewinnt und wer verliert:

| Akteur | Wirkung von Regulierung im Stil von DMA/DSGVO |

|---|---|

| Große US-Hyperscaler (AWS, Azure, GCP) | Verlieren einen Teil ihrer Bündelungs- und Datentransfervorteile; müssen Compliance-Infrastruktur aufbauen (teuer, aber zugleich ein MoatMoatA lasting edge over competitors: a resource, capability or position they cannot easily replicate, letting a firm earn above-average returns over time.Vollständige Definition ansehen → gegen kleinere Newcomer) |

| Challenger (Slack, regionale SaaS-Anbieter) | Gewinnen erzwungenen Zugang und gleichere Wettbewerbsbedingungen, zumindest in der EU |

| Europäische SaaS-/Cloud-Anbieter | Gewinnen ein echtes Differenzierungsmerkmal (Datensouveränität), das vorher kommerziell kaum Gewicht hatte |

| Unternehmenskunden | Gewinnen Verhandlungsmacht, mehr Portabilität, mehr Anbieterauswahl, geringere Wechselkosten |

| Regulierer selbst | Werden zu einer laufenden Variable der Wettbewerbsstrategie, nicht zu einem einmaligen Ereignis |

Beachten Sie das Detail der Compliance-Kosten: Der Aufbau von DSGVO- oder DMA-Compliance-Infrastruktur ist teuer. Große Incumbents kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen diese Kosten leichter tragen als kleine Challenger. Regulierung, die die Macht der Incumbents beschneiden soll, kann damit zugleich die Eintrittsbarrieren für genau die Challenger erhöhen, denen sie helfen will. Das ist ein echter Zielkonflikt, keine Fußnote.

Die nächste Front: der EU AI Act

Der EU AI Act, 2024 in Kraft getreten mit gestaffelten Pflichten bis 2026 und darüber hinaus, klassifiziert KI-Systeme nach Risikostufen und knüpft daran Pflichten (Transparenzanforderungen für KI-Modelle mit allgemeinem Verwendungszweck, strengere Regeln für „hochriskante“ Anwendungen wie Recruiting oder Kreditscoring).

Für SaaS-Anbieter, die KI-Funktionen einbetten (2026 sind das nahezu alle), bedeutet das:

• Dokumentations- und Transparenzpflichten für Foundation Models, die in Produkten stecken (relevant für Anbieter wie OpenAI, Anthropic, Mistral und jedes SaaS-Unternehmen, das darauf aufbaut).
• Compliance-Kosten, die erneut für große Player besser skalieren.
• Eine mögliche Wiederholung des Sovereign-Cloud-Musters: Europäische KI-Anbieter (Mistral AI, Aleph Alpha) vermarkten EU-basierte, EU-konforme KI als Differenzierungsmerkmal gegenüber US-Anbietern von Foundation Models.

Beobachten Sie das 2026 bis 2027 genau: Es ist das DMA/DSGVO-Muster, das sich in Echtzeit erneut abspielt, auf einer neuen Ebene des Stacks.

Das regulatorische Schachbrett lesen als strategische Fähigkeit

Wer die Wettbewerbsposition eines SaaS-Unternehmens beurteilt, sollte neben den üblichen Produkt- und Marktfragen drei weitere stellen:

1. Ist das Unternehmen ein „Gatekeeper“ oder konkurriert es gegen einen? Allein dieser Status sagt kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →ünftige Pflichten oder Vorteile voraus.

2. Wie stark ist die Datenarchitektur des Unternehmens dem Transferrisiko im Stil der DSGVO ausgesetzt? Das wirkt sich direkt auf die Vertriebszyklen im EU-Enterprise-Geschäft aus.

3. Schafft Regulierung hier einen Moat oder beseitigt sie einen? Compliance-Kosten wirken in beide Richtungen: Sie beschneiden die Bündelungsmacht der Incumbents, legen aber auch die Latte für Challenger höher.

Eine nützliche öffentliche Quelle, um Durchsetzungsmaßnahmen in Echtzeit zu verfolgen, ist das Wettbewerbsfallregister der Europäischen Kommission, das laufende DMA- und Kartellverfahren gegen namentlich genannte Unternehmen auflistet.

Key Takeaways

• Regulierer gestalten die Wettbewerbsstruktur im SaaS-Markt heute aktiv mit, statt sie nur im Nachhinein zu kontrollieren: Microsofts Teams-Entbündelung unter dem DMA ist ein direktes, nachvollziehbares Beispiel dafür, wie ein Gesetz Marktanteilsdynamiken verändert.
• Die DSGVO-Regeln zu Drittlandtransfers haben, besonders nach dem *Schrems II*-Urteil, europäischen „Sovereign Cloud“-Anbietern wie OVHcloud eine echte kommerzielle Chance ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen →öffnet und den Rechtsraum zu einem Produktmerkmal gemacht.
• Regulierung verteilt Macht ungleich um: Challenger gewinnen oft erzwungenen Zugang oder Portabilitätsrechte, doch Compliance-Kosten begünstigen zugleich große Incumbents, die sie leichter tragen kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen.
• Der EU AI Act dürfte dieses Muster bis 2026 und darüber hinaus in der KI-Ebene von SaaS wiederholen, mit Transparenz- und Risikoklassifizierungsregeln, die sowohl neue Kosten als auch neue Marktchancen für souveräne KI schaffen.
• Wenn Sie die Wettbewerbsposition eines SaaS-Unternehmens beurteilen, behandeln Sie „Gatekeeper-Status“, „Datentransfer-Exposure“ und „Asymmetrie der Compliance-Kosten“ als zentrale strategische Variablen, nicht als juristische Fußnoten.