Die neue Produkthaftungsrichtlinie (EU) 2024/2853 stellt klar, dass auch Software ein Produkt ist, und Deutschland setzt sie mit einem neuen Produkthaftungsgesetz um. Bisher war Produkthaftung vor allem ein Thema für Hersteller von Maschinen, Geräten und Konsumgütern. Der Bundestag hat das Gesetz am 8. Oktober 2026 beschlossen, der Bundesrat hat es am 16. Oktober 2026 passieren lassen; es soll am 9. Dezember 2026 in Kraft treten, dem Tag, an dem die Umsetzungsfrist der Richtlinie endet. Dieser Beitrag erklärt, was das für Unternehmen bedeutet, die Software entwickeln, anpassen oder in Produkte einbauen, und was Anwender wissen sollten.
Was Produkthaftung ist und was die Produkthaftungsrichtlinie ändert
Produkthaftung bedeutet: Wer ein fehlerhaftes Produkt in Verkehr bringt, haftet für bestimmte Schäden, die dadurch entstehen, und zwar unabhängig davon, ob ihn ein Verschulden trifft. Diese verschuldensunabhängige Haftung gibt es in Deutschland seit 1989. Die Reform ist die erste umfassende Überarbeitung seitdem.
Zur Einordnung: Eine EU-Richtlinie gilt nicht unmittelbar für Unternehmen, sondern muss von jedem Mitgliedstaat in nationales Recht umgesetzt werden. In Deutschland geschieht das mit dem Produkthaftungsgesetz 2026, das für neu in Verkehr gebrachte Produkte an die Stelle des bisherigen Gesetzes tritt. Maßgeblich für Sie ist also das deutsche Gesetz, inhaltlich folgt es eng der Richtlinie.
Die wichtigsten Änderungen nach dem Gesetzentwurf (Drucksache 21/4297):
- Software ist Produkt, unabhängig davon, ob sie auf einem Datenträger, als Download, eingebettet in ein Gerät oder als Dienst bereitgestellt wird. Das erfasst ausdrücklich auch KI-Systeme.
- Datenverlust wird ersatzfähig, allerdings nur für Daten, die nicht beruflich genutzt werden. Betriebsdaten eines Unternehmens fallen nicht darunter.
- Selbstbeteiligung und Höchstgrenze entfallen. Die bisherige Selbstbeteiligung bei Sachschäden und die Gesamthöchstgrenze bei Personenschäden gibt es nach dem neuen Recht nicht mehr.
- Mehr mögliche Haftende: Unter bestimmten Voraussetzungen können auch Importeure, Bevollmächtigte des Herstellers, Fulfilment-Dienstleister und Online-Plattformen in Anspruch genommen werden.
- Leichtere Beweisführung für Geschädigte durch Offenlegungspflichten und gesetzliche Vermutungen.
Wichtig für die Einordnung: Ersatzfähig sind nach dem Produkthaftungsrecht Schäden natürlicher Personen, also Tod, Körperverletzung, Gesundheitsschäden, Schäden an Sachen, die nicht ausschließlich beruflich genutzt werden, und eben an privaten Daten. Ein Unternehmen, dessen eigene Server durch fehlerhafte Software ausfallen, stützt Ansprüche weiterhin auf Vertrag und allgemeines Deliktsrecht, nicht auf das Produkthaftungsgesetz.
Updates und Sicherheitslücken: der Kern für die IT
Für die Produkthaftung bei Software ist eine Neuerung besonders wichtig. Bisher kam es für die Frage, ob ein Produkt fehlerhaft ist, auf den Zeitpunkt an, zu dem es in Verkehr gebracht wurde. Nach neuem Recht gilt: Solange ein Hersteller die Kontrolle über ein Produkt behält, etwa weil er Updates ausliefert oder es mit einem eigenen Online-Dienst verbunden ist, verschiebt sich dieser Zeitpunkt nach hinten.
Daraus folgt: Ein Hersteller kann sich nicht darauf berufen, ein Fehler sei erst später entstanden, wenn er auf Software, ein Update oder auf ein fehlendes, sicherheitsrelevantes Update zurückgeht. Wer also Software vertreibt und eine bekannte Sicherheitslücke nicht schließt, obwohl er die Kontrolle über das Produkt hat, trägt ein Haftungsrisiko, wenn dadurch eine Person zu Schaden kommt.
Gleichzeitig stellt der Entwurf klar: Ein Produkt ist nicht allein deshalb fehlerhaft, weil es später ein besseres Produkt oder ein Update gibt.
Hier zeigt sich die Verbindung zum Cyber Resilience Act, der für Produkte mit digitalen Elementen eigene Pflichten zu Sicherheitsupdates und Schwachstellenmeldung einführt. Die Produkthaftung regelt die Folgen im Schadensfall, der Cyber Resilience Act die Pflichten davor. Mehr dazu in unserem Beitrag zum Cyber Resilience Act und seinen Meldepflichten.
Wen die neue Produkthaftungsrichtlinie betrifft
Unternehmen, die Software entwickeln und vertreiben
Wer Software geschäftlich in Verkehr bringt, ist Hersteller im Sinne des Gesetzes. Das gilt für Standardsoftware ebenso wie für Apps und Software-as-a-Service. Freie und Open-Source-Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird, ist ausgenommen. Wer solche Software aber in ein eigenes kommerzielles Produkt einbaut, haftet für das Gesamtprodukt.
Unternehmen, die Produkte mit Software verkaufen
Maschinenbauer, Gerätehersteller und Anbieter vernetzter Produkte haften künftig auch für Fehler, die in der Steuerungssoftware, der App oder einem verbundenen Dienst liegen. Auch zugelieferte Softwarekomponenten werden relevant: Der Hersteller eines fehlerhaften Bauteils, auch eines Software-Bauteils, kann neben dem Endhersteller haften.
Unternehmen, die Produkte wesentlich verändern
Wer ein Produkt außerhalb der Kontrolle des ursprünglichen Herstellers wesentlich verändert und wieder bereitstellt, wird selbst zum Hersteller. Bei Software kann das etwa ein tiefgreifender Umbau einer fremden Lösung sein, die anschließend weitervertrieben wird. Wo die Grenze zur „wesentlichen“ Veränderung genau liegt, werden Gerichte klären müssen.
Anwender
Für Unternehmen, die Software nur einsetzen, entstehen keine neuen Pflichten aus dem Produkthaftungsgesetz. Zwei Punkte sind trotzdem relevant. Erstens: Wer angebotene Sicherheitsupdates nicht installiert, kann sich im Schadensfall schwerer auf einen Fehler des Herstellers berufen. Die Richtlinie sieht vor, dass eigenes Mitverschulden des Geschädigten die Haftung mindern kann. Zweitens: Wer Software intern anpasst und an Kunden weitergibt, sollte prüfen, ob er damit in die Herstellerrolle rutscht.
Übergang: was für ältere Produkte gilt
Das neue Recht gilt für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden. Für Produkte, die bis einschließlich 8. Dezember 2026 in Verkehr gebracht wurden, bleibt das alte Gesetz anwendbar. Eine Zeit lang laufen also zwei Haftungsregime parallel.
Offen ist, wie Software zu behandeln ist, die vor dem Stichtag ausgeliefert und danach weiter aktualisiert wird. Reine Wartungsupdates dürften das Produkt in der Regel nicht zu einem neuen Produkt machen, eine wesentliche Veränderung schon. Diese Abgrenzung wird die Rechtsprechung schärfen müssen.
Ansprüche erlöschen grundsätzlich zehn Jahre nach dem Inverkehrbringen. Bei wesentlich veränderten Produkten beginnt die Frist mit der erneuten Bereitstellung, bei bestimmten Gesundheitsschäden mit langer Latenzzeit verlängert sie sich auf 25 Jahre.
Checkliste: erste Schritte
- Klären, ob Ihr Unternehmen Software oder Produkte mit Software an Dritte abgibt, auch als Teil einer Dienstleistung.
- Erfassen, welche Produkte vor und welche nach dem 9. Dezember 2026 in Verkehr gebracht werden.
- Einen geregelten Update- und Schwachstellenprozess für ausgelieferte Software festlegen, inklusive Supportzeitraum.
- Zugelieferte Softwarekomponenten und Open-Source-Bestandteile inventarisieren, etwa mit einer Softwarestückliste (SBOM).
- Verträge mit Zulieferern und Kunden auf Regressregeln und Updatepflichten prüfen.
- Die Betriebshaftpflicht- bzw. Produkthaftpflichtversicherung auf Software-Risiken abstimmen.
- Technische Dokumentation so führen, dass Sie im Streitfall Konstruktion, Tests und Updates nachweisen können.
- Bei Unklarheiten zur Herstellerrolle einen Anwalt einbeziehen.
Wie DAVINCI unterstützt
Wir unterstützen Sie bei einem geregelten Update- und Patch-Prozess für Ihre Systeme und dokumentieren ihn nachvollziehbar, etwa mit einem Software-Updates-Testat. Für eigene Softwareprojekte finden Sie unsere Leistungen unter Software. Für die rechtliche Bewertung Ihrer Herstellerrolle arbeiten Sie bitte mit Ihrem Anwalt zusammen. Sprechen Sie uns über die Kontaktseite an.
Häufige Fragen
Wann gilt die neue Produkthaftungsrichtlinie?
Die Richtlinie selbst richtet sich an die Mitgliedstaaten; für Unternehmen zählt das nationale Umsetzungsgesetz. In Deutschland soll das neue Produkthaftungsgesetz am 9. Dezember 2026 in Kraft treten, dem Ende der Umsetzungsfrist. Es gilt für Produkte, die ab diesem Tag in Verkehr gebracht werden; für ältere Produkte bleibt das bisherige Recht maßgeblich.
Wie ist die Beweislast nach der Produkthaftungsrichtlinie geregelt?
Grundsätzlich muss weiterhin der Geschädigte darlegen, dass das Produkt fehlerhaft war und der Schaden darauf beruht. Die Richtlinie erleichtert das aber: Gerichte können den Hersteller zur Offenlegung von Unterlagen verpflichten, und unter bestimmten Voraussetzungen wird der Fehler oder der Ursachenzusammenhang vermutet, etwa wenn der Nachweis bei einem besonders komplexen Produkt übermäßig schwierig wäre. Für Softwarehersteller heißt das: Eine nachvollziehbare Dokumentation von Entwicklung, Tests und Updates wird im Streitfall wichtig.
Gilt die Produkthaftungsrichtlinie auch für KI-Systeme?
Ja. Software ist nach dem neuen Recht Produkt, und das erfasst ausdrücklich auch KI-Systeme. Wer ein KI-System als Produkt in Verkehr bringt oder in ein eigenes Produkt einbaut, ist damit Hersteller im Sinne des Gesetzes. Die Pflichten aus der europäischen KI-Verordnung bestehen davon unabhängig; eine Einordnung finden Sie auf unserer Seite zum EU AI Act.
Wir passen Software für einzelne Kunden an. Sind wir jetzt Hersteller?
Das hängt davon ab, ob Sie ein Produkt in Verkehr bringen oder eine Dienstleistung erbringen und ob Sie ein fremdes Produkt wesentlich verändern. Reine Konfiguration beim Kunden ist etwas anderes als ein eigenes Softwareprodukt. Lassen Sie Ihre konkrete Konstellation im Einzelfall anwaltlich bewerten.
Haftet ein Softwarehersteller jetzt, wenn unsere Firmendaten verloren gehen?
Nach dem Produkthaftungsgesetz nicht. Ersatzfähig sind nur Schäden an Daten, die nicht beruflich genutzt werden. Für Firmendaten bleiben Vertrag und allgemeines Haftungsrecht maßgeblich. Eine funktionierende Datensicherung ersetzt das Gesetz ohnehin nicht.
Müssen wir als Anwender jetzt jedes Update sofort installieren?
Das Produkthaftungsgesetz schreibt Anwendern nichts vor. Sicherheitsupdates zeitnah einzuspielen, ist aber aus Sicherheitssicht ohnehin geboten und kann im Schadensfall auch rechtlich eine Rolle spielen. Ein geplanter Patch-Prozess mit Tests ist der sinnvolle Mittelweg.
Verwandte Themen: Wer hier weiterdenkt, liest bei Cyber Resilience Act, EU Data Act und Meldepflichten bei Vorfällen weiter.
Im Text erwähnt
Quellen
- Richtlinie (EU) 2024/2853 über die Haftung für fehlerhafte Produkte · EUR-Lexamtlich
- Drucksache 21/4297, Gesetzentwurf zur Modernisierung des Produkthaftungsrechts · Deutscher Bundestag
- Bundestag beschließt Modernisierung des Produkthaftungsrechts (8.10.2026) · Deutscher Bundestag
- Abschluss des Gesetzgebungsverfahrens in Bundestag und Bundesrat · Pharma Deutschland
