Produkthaftungsrecht · Software und KI
Die Bereitstellungsform zählt nicht, der Stichtag schon
Ein Anbieter betreibt seine Planungssoftware nur in der Cloud und hat nie einen Datenträger ausgeliefert. Wer daraus schließt, die verschuldensunabhängige Produkthaftung treffe ihn nicht, verkennt die zentrale Vorschrift. Nach § 2 Absatz 1 Nummer 3 des Entwurfs eines neuen Produkthaftungsgesetzes (BT-Drucksache 21/4297 vom 25. Februar 2026) ist Software ein Produkt, und die Begründung nennt Cloud-Abruf und Software-as-a-Service ausdrücklich. Wer den 9. Dezember 2026 verpasst, ohne Rolle, Updatewege und Beweisvorsorge geklärt zu haben, verhandelt später mit Klägervertretern, Versicherern und Einkäufern über Fragen, die sich mit rechtzeitigem Vorlauf strukturiert klären ließen.
Worum es geht
Ein Unternehmen verkauft eine Steuerungssoftware für Heizungsanlagen. Die Software wird nicht auf einem Datenträger bereitgestellt, sondern aus der Cloud abgerufen. Ein Fehler in der Steuerungslogik führt zu einem Wohnungsbrand. Die Bewohnerin erleidet eine Rauchgasvergiftung, ihr privat genutzter Hausrat wird beschädigt. Sie kennt weder den Hersteller der Software noch die übrigen Akteure der Lieferkette.
Bisher half ihr das Produkthaftungsgesetz nur begrenzt. Es stammt aus dem Jahr 1989 und erfasst nach seinem Wortlaut bewegliche Sachen sowie Elektrizität. Ob reine Software darunter fällt, war umstritten. Der Bundestag berät deshalb über ein neues Produkthaftungsgesetz. Es soll Software ausdrücklich erfassen, unabhängig davon, wie sie bereitgestellt wird.
Für Anbieter steht dabei viel auf dem Spiel. Die Produkthaftung setzt kein Verschulden voraus. Sie greift auch ohne Vertrag mit dem Geschädigten. Wer sie falsch einschätzt, kalkuliert Versicherung und Verträge auf einer falschen Grundlage. Wer sie richtig einschätzt, ordnet sein Programm rechtzeitig ein.
Drei Fragen entscheiden darüber. Welche Software erfasst das neue Gesetz? Ab welchem Tag gilt es für ein bestimmtes Programm? Und wer steht dafür ein?
Die Antwort in drei Sätzen
Der Regierungsentwurf zur Modernisierung des Produkthaftungsrechts fasst das Produkthaftungsgesetz vollständig neu und rechnet Software nach § 2 Absatz 1 Nummer 3 ProdHaftG-E unabhängig von der Art ihrer Bereitstellung oder Nutzung zu den Produkten, sodass Betriebssysteme, Firmware, Anwendungen, über Cloud oder Software-as-a-Service bezogene Programme und KI-Systeme erfasst sind, während freie und quelloffene Software ausgenommen bleibt, soweit sie außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird.[1] Die Haftung bleibt verschuldensunabhängig, setzt nach § 1 Absatz 1 ProdHaftG-E einen Schaden bei einer natürlichen Person an Leben, Körper oder Gesundheit, an einer anderen als der fehlerhaften und nicht ausschließlich beruflich genutzten Sache oder an nicht beruflich genutzten Daten voraus und kennt weder eine Selbstbeteiligung noch einen Haftungshöchstbetrag mehr, wobei den Anspruch nach Art. 5 Absatz 2 der Richtlinie auch Rechtsnachfolger, Zessionare und klagebefugte Verbände geltend machen können. Das Gesetz ist noch nicht verkündet, sein Inkrafttreten ist für den 9. Dezember 2026 vorgesehen, und nach § 23 ProdHaftG-E bleibt für Produkte, die bis einschließlich 8. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen wurden, das Produkthaftungsgesetz von 1989 anwendbar.
Was Softwareanbieter aus dem Entwurf mitnehmen
§ 2 Absatz 1 Nummer 3 ProdHaftG-E knüpft an Software an, nicht an einen Datenträger.
Die Begründung nennt Speicherung auf einem Gerät, Abruf über Kommunikationsnetze, Cloud-Technologien und Software-as-a-Service in einem Atemzug. Eine Definition von Software enthält der Entwurf bewusst nicht.[1]
Der Stichtag knüpft an das einzelne Produkt an, nicht an das Unternehmen.
Für Produkte bis einschließlich 8. Dezember 2026 gilt das alte Recht weiter (§ 23 ProdHaftG-E). Beide Regime laufen deshalb jahrelang nebeneinander.
Schon die bloße Möglichkeit, Updates bereitzustellen, hält den Hersteller nach dem Entwurf in der Kontrolle.
§ 8 Absatz 2 Satz 2 Nummer 2 ProdHaftG-E verschiebt dann den Beurteilungszeitpunkt nach hinten. Erst § 9 Absatz 2 Satz 2 sperrt in vier Fällen die Entlastung nach Satz 1, der Fehler sei erst später entstanden. Ob diese Konstruktion richtlinienkonform ist, wird bezweifelt.[21]
Der Schaden muss nach § 1 Absatz 1 ProdHaftG-E bei einer natürlichen Person eintreten.
Das fehlerhafte Produkt selbst, ausschließlich beruflich genutzte Sachen und beruflich genutzte Daten bleiben außen vor. Geltend machen können den Anspruch auch Rechtsnachfolger, Zessionare und klagebefugte Verbände.
Selbstbeteiligung und Haftungsobergrenze entfallen ersatzlos.
Bisher trug der Geschädigte 500 Euro selbst (§ 11 ProdHaftG), und die Haftung für Personenschäden endete bei 85 Millionen Euro (§ 10 ProdHaftG). Beides hat im Entwurf keine Entsprechung.[4]
Die Anordnung nach § 19 ProdHaftG-E lässt sich vorbereiten.
Wer Versionsstände, Risikobewertungen und Updatehistorien geordnet vorhält und Geschäftsgeheimnisse kennzeichnet, kann die Anordnung erfüllen und die Fehlervermutung wegen unterbliebener Offenlegung vermeiden. Die übrigen Vermutungen bleiben unberührt.
Was der Entwurf im Einzelnen anordnet
Die Übersicht führt die tragenden Regelungsgegenstände mit Ergebnis und Fundstelle auf, einschließlich dessen, was der Entwurf nicht regelt.
| Gegenstand | Ergebnis | Fundstelle |
|---|---|---|
| Software als Produkt | Erfasst unabhängig von der Art der Bereitstellung oder Nutzung | § 2 Abs. 1 Nr. 3 ProdHaftG-E |
| Freie und quelloffene Software | Ausgenommen nur bei Entwicklung oder Bereitstellung außerhalb einer Geschäftstätigkeit | § 2 Abs. 1 Nr. 3 Halbsatz 2, § 4 Abs. 1 S. 1 und 3 |
| Beurteilungszeitpunkt | Umstritten Inverkehrbringen oder Inbetriebnahme, bei fortbestehender Kontrolle deren Ende | § 8 Abs. 1 und 2 |
| Fehlendes Sicherheitsupdate | Keine Entlastung wenn Herstellerkontrolle bestand und der Fehler auf dem fehlenden, zur Aufrechterhaltung der Sicherheit erforderlichen Update beruht | § 8 Abs. 2, § 9 Abs. 2 S. 2 Nr. 3 |
| Cybersicherheitsanforderungen | Fließen in die Fehlerbeurteilung ein | § 7 S. 2 Nr. 5 |
| Datenverlust | Ersatzfähig nur bei nicht beruflich verwendeten Daten | § 1 Abs. 1 Nr. 3, § 14 Abs. 1 |
| Weitere Haftende | Importeur, Beauftragter, Fulfilment-Dienstleister, Lieferant, Plattformanbieter, teils nebeneinander, teils subsidiär gestuft | §§ 10 bis 13 |
| Offenlegung von Beweismitteln | Gerichtliche Anordnung auf Antrag nach Plausibilitätsdarlegung | § 19 Abs. 1 bis 5 |
| Nicht geregelt | Keine eigenständigen präventiven Produkt- oder Updatepflichten | Erwägungsgrund 51 der Richtlinie |
| Bundesratsvorschläge | Überwiegend abgelehnt die Bundesregierung erwartet nur moderate Mehrbelastung | Gegenäußerung, Anlage 3 zu BT-Drs. 21/4297[15] |
Reichweite und Grenzen
Der Entwurf regelt eine verschuldensunabhängige Einstandspflicht für Schäden natürlicher Personen. Er leistet ausdrücklich nicht das Folgende, sodass die jeweils genannten Rechtsgebiete eigenständig zu prüfen bleiben.
- Er begründet keine Pflicht, Updates bereitzustellen. Erwägungsgrund 51 der Richtlinie stellt das klar.[2]
- Er gewährt juristischen Personen keinen originären Anspruch wegen eigener Unternehmensschäden. Aus abgeleitetem Recht können sie Ansprüche erwerben und verfolgen.
- Er ersetzt nicht das Gewährleistungsrecht. Der Mangel am Produkt selbst bleibt Sache des Vertrags, für digitale Produkte gelten die §§ 327 ff. BGB (IT- und Softwarevertrag).
- Er verdrängt nicht die Produzentenhaftung nach den §§ 823 ff. BGB. § 21 Absatz 2 ProdHaftG-E lässt sie ausdrücklich unberührt.
- Er regelt keine Marktzugangspflichten. Diese stehen in der KI-Verordnung (EU) 2024/1689 und in der Cyberresilienz-Verordnung (EU) 2024/2847, und Arzneimittel bleiben nach § 21 Absatz 1 ProdHaftG-E den §§ 84 ff. AMG vorbehalten.
- Er ist noch nicht geltendes Recht. Bis zum Inkrafttreten gilt das Produkthaftungsgesetz von 1989, und bis zur Verkündung stehen endgültiger Wortlaut und Inkrafttretensregelung nicht fest.
Worauf die Aussagen dieses Beitrags beruhen
Nicht jede Aussage hat dasselbe Gewicht. Die Übersicht trennt Normtext, Entwurfsstand, Begründung und eigene Bewertung.
| Aussage | Grundlage | Einordnung |
|---|---|---|
| Software ist Produkt, unabhängig von der Bereitstellung | § 2 Abs. 1 Nr. 3 ProdHaftG-E | Entwurfstext |
| SaaS und Cloud-Abruf sind erfasst | Begründung zu § 2 Abs. 1 Nr. 3, BT-Drs. 21/4297, S. 26 | Entwurfsbegründung |
| Umsetzungsfrist und Anwendungsbeginn | Art. 22 Abs. 1 und Art. 2 Abs. 1 der Richtlinie (EU) 2024/2853 in berichtigter Fassung | Normtext |
| Selbstbeteiligung 500 Euro und Höchstbetrag 85 Millionen Euro gelten heute | §§ 10, 11 ProdHaftG in der geltenden Fassung | Normtext |
| Verfahrensstand des Entwurfs | Erste Lesung am 4.3.2026, Anhörung am 13.4.2026, danach keine weitere Lesung ausgewiesen | Amtliche Angabe |
| Richtlinie und Entwurf laufen beim Stichtag gleich | Art. 2 Abs. 1 der Richtlinie in der Fassung der Berichtigung ABl. L, 2026/90364, § 23 ProdHaftG-E | Normtext |
| Die Richtlinienkonformität des § 8 wird bezweifelt | Stellungnahme Wendehorst zur Anhörung, Ausschussdrucksache 21(6)74d | Fachdebatte |
| Fortlaufend ausgerollte Software wirft eine ungeklärte Stichtagsfrage auf | Eigene Bewertung anhand § 6 Abs. 1 und § 23 ProdHaftG-E, keine Rechtsprechung | Eigene Auslegung |
| Kritik an Softwarebegriff und Open-Source-Ausnahme | Stellungnahmen der Sachverständigen zur Anhörung am 13.4.2026 | Fachdebatte |
Der Entwurf verschiebt die Produkthaftung aus der Welt körperlicher Gegenstände in die Welt fortlaufend gepflegter Systeme. Wie Produktfehler, Updates und Lieferkette insgesamt zusammenhängen, ordnet Produkthaftungsrecht ein. Wer Rollen und Fristen der KI-Verordnung klären muss, findet sie unter Künstliche Intelligenz und operativ unter KI-Verordnung umsetzen. Für Copyleft, Notices und Stücklisten führt Open-Source-Recht weiter, für die Vertragsebene SaaS-Vertrag prüfen und Softwareentwicklungsvertrag. Den übergreifenden Rahmen setzt der Hub IT-Recht und Digitalisierung.
Der Begründungsteil wertet den Wortlaut der §§ 1 bis 23 ProdHaftG-E gegen die Richtlinie (EU) 2024/2853 aus, bestimmt für jede Haftung ihr Anknüpfungsereignis und trennt den Entwurfstext von der Begründung. Hinzu kommen Verfahrensstand, Regressweg, gerichtliche Zuständigkeit und die Frage nach dem Recht für fortlaufend ausgerollte Software.
¶Jede Haftung hat ihr eigenes Anknüpfungsereignis
Der Entwurf kennt nicht eines, sondern mindestens fünf Anknüpfungsereignisse. Inverkehrbringen oder Inbetriebnahme entscheiden über Regime und Beginn der Erlöschensfrist, der Beurteilungszeitpunkt für die Fehlerhaftigkeit kann später liegen. Die Haftung des Lieferanten und des Plattformanbieters knüpft an ein Verlangen der geschädigten Person an, und die Offenlegung von Beweismitteln setzt eine erhobene Klage voraus.
Wer alles über einen Kamm schert, irrt bei Lieferantenhaftung und Beurteilungszeitpunkt. Die Übersicht ordnet jeder Haftung ihr Ereignis, ihr Bezugsobjekt und ihren Adressaten zu.
| Tatbestand | Anknüpfungsereignis | Bezugsobjekt | Adressat | Zeitliche Wirkung |
|---|---|---|---|---|
| Herstellerhaftung, § 1 Abs. 1 | Rechtsgutsverletzung durch einen Produktfehler | je Produkt | Hersteller, § 3 | nur Produkte ab dem 9.12.2026, § 23 |
| Komponenten und verbundene Dienste, § 4 Abs. 1 | Integration oder Verbindung durch den Produkthersteller oder mit dessen Einverständnis durch einen Dritten | je Komponente und je Produkt | Produkthersteller sowie Komponentenhersteller oder Anbieter des verbundenen Dienstes | nur für Produkte des neuen Regimes nach § 23 |
| Wesentliche Änderung, § 5 Abs. 1 | Bereitstellung oder Inbetriebnahme nach der Änderung | je verändertes Produkt | der Dritte, der ohne Einverständnis ändert | neue Frist nach § 17 Abs. 2, auch bei Änderung durch den Hersteller |
| Beurteilungszeitpunkt, § 8 Abs. 1 | Inverkehrbringen oder Inbetriebnahme | je Produkt | Hersteller | punktuell |
| Fortbestehende Kontrolle, § 8 Abs. 2 | Zustand der Update- oder Änderungsmöglichkeit | jeweiliges Produkt, Abgrenzung bei Software offen | Hersteller | fortdauernd bis zum Ende der Kontrolle |
| Lieferant, § 12 | Aufforderung des Gläubigers und Ablauf eines Monats, ohne dass ein vorrangiger Akteur oder der eigene Lieferant benannt wird | je Aufforderung | jeder bereitstellende Akteur der Lieferkette außer Hersteller und Importeur, § 12 Abs. 2 | erfasst auch länger zurückliegende Lieferungen im neuen Regime |
| Plattformanbieter, § 13 | wie § 12, zusätzlich Ermöglichung von Fernabsatzverträgen zwischen Verbrauchern und Unternehmern sowie Vorliegen der Voraussetzungen des Art. 6 Abs. 3 DSA | je Aufforderung | Anbieter einer Online-Plattform ohne eigene Rolle nach den §§ 3 bis 12 | nur für Produkte des neuen Regimes, Haftung nach fruchtlosem Monatsablauf |
| Offenlegung, § 19 Abs. 1 | erhobene Klage und Plausibilitätsdarlegung | je Verfahren | beklagte Partei | prozessual |
Eigene Auslegung Die größte Einzelfehlerquelle sehen wir in § 8. Absatz 1 knüpft an eine Handlung an, das Inverkehrbringen oder die Inbetriebnahme. Absatz 2 Satz 2 Nummer 2 knüpft an einen Zustand an, nämlich daran, dass der Hersteller Updates bereitstellen kann. Dieser endet erst mit dem Wegfall der Möglichkeit, und der Beurteilungszeitpunkt wandert bis dahin mit.
¶Ein Datum trennt zwei Haftungsregime
Der 9. Dezember 2026 ist zugleich das Ende der Umsetzungsfrist nach Art. 22 Abs. 1 der Richtlinie (EU) 2024/2853 und der im Entwurf vorgesehene Tag des Inkrafttretens (Art. 5 Abs. 1 des Gesetzentwurfs).[2] Am selben Tag tritt das Produkthaftungsgesetz von 1989 nach Art. 2 des Entwurfs außer Kraft, bleibt aber für jedes Produkt anwendbar, das bis einschließlich 8. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen wurde (§ 23 ProdHaftG-E).
Damit laufen zwei Haftungsregime über Jahre nebeneinander. Im alten Recht erlischt der Anspruch nach § 13 Abs. 1 ProdHaftG zehn Jahre nach dem Inverkehrbringen, ohne Verlängerung bei Latenzzeit.[4] Für einen am 8. Dezember 2026 in Verkehr gebrachten Steuerungsrechner erlöschen Ansprüche nach altem Recht am 8. Dezember 2036, sofern nicht zuvor ein Rechtsstreit oder ein Mahnverfahren anhängig geworden ist. Erst das neue Recht kennt in § 17 Abs. 3 ProdHaftG-E die Verlängerung auf 25 Jahre, und nur, wenn der Gläubiger gerade wegen der Latenzzeit einer Körper- oder Gesundheitsverletzung kein Verfahren einleiten konnte.
Auf den Referentenentwurf vom 11.9.2025[12] folgten Kabinettbeschluss und Stellungnahme des Bundesrates,[15] die erste Lesung am 4. März 2026[13] und die Anhörung am 13. April 2026.[14] Danach weist der Vorgang im Dokumentationssystem des Bundestages keine weitere Lesung aus.[16]
¶Die Zahlen des Entwurfs sind Rechengrößen
Die unionsrechtliche Grundlage ist belegt. Der Kommissionsvorschlag KOM(2022) 495 final stützt sich auf eine Folgenabschätzung (SWD(2022) 316 final) und auf die Evaluierung der alten Richtlinie.[17] Der deutsche Entwurf verweist darauf und führt keine eigene Erhebung zum Verfahrensaufkommen im Softwarebereich. Eine Veränderung des Erfüllungsaufwands für die Wirtschaft weist er nicht aus.
Die zur Abschätzung des Verfahrensaufkommens genutzten Zahlen sind Rechengrößen der Justizverwaltung. Sie beruhen auf einer Schätzung von rund 10.000 Produkthaftungsverfahren jährlich, aus der die Begründung 2.000 Berufungsverfahren und rund 1.000 Offenlegungsanträge ableitet.[1] Diese Werte sind ausdrücklich als grobe Schätzung bezeichnet und stammen nicht aus einer amtlichen Erhebung zur Produkthaftung. Sie taugen daher nicht als Prognose des Prozessrisikos einzelner Anbieter.
Wo die Grundlage dünn bleibt
Die Bundesregierung erwartet in ihrer Gegenäußerung nur eine moderate Mehrbelastung der Wirtschaft.[15] Eine Bezifferung enthält der Entwurf nicht. Wer eine Versicherungssumme kalkuliert, findet dort keine Grundlage dafür, sondern nur den Wegfall der bisherigen Obergrenze von 85 Millionen Euro.
¶Vier Kernvorschriften öffnen den Haftungstatbestand
Die Haftung für Software ergibt sich nicht aus einer einzigen Norm. Sie setzt sich aus einer Anspruchsgrundlage, einer Produktdefinition, einer Zurechnungsregel für Komponenten und einem Fehlerbegriff zusammen. Wer nur den Produktbegriff prüft, übersieht, dass ein Dienst, der selbst kein Produkt ist, über § 4 ProdHaftG-E dennoch zur Haftung führen kann.
§ 1 Abs. 1 ProdHaftG-E ist die Anspruchsgrundlage und zugleich die engste Vorschrift des Entwurfs. § 1 Abs. 1 nennt drei Schadenskategorien, und der Schaden muss bei einer natürlichen Person eintreten: Leben, Körper und Gesundheit einschließlich medizinisch anerkannter psychischer Beeinträchtigungen, Sachen, die weder das fehlerhafte Produkt selbst sind noch ausschließlich beruflich genutzt werden, sowie Daten, die nicht beruflich verwendet werden. Der eigene Vermögensschaden eines Unternehmens liegt damit außerhalb des Anwendungsbereichs, und daran ändert die Ausdehnung des Produktbegriffs nichts.
Das bedeutet nicht, dass nur natürliche Personen klagen könnten. Art. 5 Abs. 2 der Richtlinie lässt die Geltendmachung durch Personen zu, auf die der Anspruch übergegangen ist, und durch Personen, die im Namen geschädigter Personen handeln. Die Begründung hält das für bereits geregelt und verweist auf Vertretung, Forderungsübergang, Erbfolge und die Verbandsklage nach dem Verbraucherrechtedurchsetzungsgesetz.[1] Ein Versicherer, der den Schaden eines Verbrauchers reguliert hat, verfolgt den Anspruch aus übergegangenem Recht.
Sachschaden: gemischte Nutzung schadet nicht
- Erfasst ist jede Sache, die nicht ausschließlich beruflich verwendet wird.
- Nutzt die geschädigte Person ein Notebook privat und beruflich, ist der Schaden nach der Begründung ersatzfähig.
- Auf die Verwendung im Schadenszeitpunkt kommt es dabei nicht an.
Datenschaden: jede berufliche Nutzung schadet
- Ersatzfähig sind nur Daten, die nicht für berufliche Zwecke verwendet werden.
- Nach der Begründung fallen auch gemischt genutzte Daten heraus.
- Ob jede geringfügige berufliche Nutzung genügt oder die überwiegende entscheidet, ist offen. Wendehorst empfiehlt die zweite Lösung in Anlehnung an § 13 BGB.[21]
- § 14 Abs. 1 ProdHaftG-E erklärt § 249 Abs. 2 BGB für entsprechend anwendbar, ersatzfähig ist damit der zur Wiederherstellung erforderliche Geldbetrag. Ist die Wiederherstellung unmöglich oder unverhältnismäßig, greift § 251 BGB nur, soweit die Daten wirtschaftlichen Wert haben.
Diese Asymmetrie folgt dem Wortlaut des Art. 6 Abs. 1 lit. b und c der Richtlinie. Derselbe Vorfall kann bei der Hardware ersatzfähig und bei den darauf gespeicherten Daten nicht ersatzfähig sein. Für Speicher- und Synchronisationsdienste ist das eine wirtschaftlich erhebliche Einschränkung.
Der Fehlerbegriff des § 7 ProdHaftG-E knüpft an die Sicherheit an, nicht an die Funktionsfähigkeit.
Vier der acht Umstände betreffen digitale Produkte unmittelbar: Lernfähigkeit (Nr. 3), vorhersehbare Auswirkungen anderer Produkte (Nr. 4), Sicherheitsanforderungen einschließlich Cybersicherheit (Nr. 5) und Produktrückrufe (Nr. 6). Ein Rückruf begründet nach Erwägungsgrund 34 der Richtlinie keine Vermutung der Fehlerhaftigkeit.
¶Software endet dort, wo Information beginnt
Der Entwurf definiert Software nicht. Die Begründung nennt den Grund: Offenheit für künftige technische Entwicklungen. Was Software ist, ergibt sich daher aus der Aufzählung des Erwägungsgrunds 13 der Richtlinie und aus einer Negativabgrenzung in der Begründung.
„Software mit Ausnahme von freier und Open-Source-Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird“
§ 2 Absatz 1 Nummer 3 des Entwurfs eines Produkthaftungsgesetzes, BT-Drucksache 21/4297, S. 9.[1]Der Wortlaut entscheidet zweimal. Eine Einschränkung nach Erscheinungsform fehlt, weshalb die Begründung Speicherung auf einem Gerät, Abruf über Kommunikationsnetze, Cloud-Technologien und Software-as-a-Service gleich behandelt. Und der Relativsatz bezieht sich auf die freie und quelloffene Software, nicht auf Software allgemein, sodass die Ausnahme eng bleibt.
Aus der Erfassung von Cloud-Angeboten folgt nicht, dass jeder digitale Dienst ein Produkt wäre. Dienste sind nach der Begründung gerade keine Produkte im Sinne des § 2 ProdHaftG-E und werden nur über § 4 Abs. 1 einbezogen, wenn sie als verbundener Dienst mit einem Produkt verbunden sind. Christiane Wendehorst empfiehlt deshalb klarzustellen, dass jedenfalls digitale Produkte im Sinne des § 327 BGB erfasst sind.[21]
Die Negativabgrenzung ist für Digitalanbieter praktisch bedeutsamer als die Definition. Nicht erfasst sind nach der Begründung Informationen, also der Inhalt digitaler Dateien wie Mediendateien oder E-Books, und der reine Quellcode einer Software.[1] Die Grenze verläuft damit zwischen der ausführbaren Funktion und dem bloßen Inhalt. Ein Nachschlagewerk in Dateiform ist kein Produkt, die Anwendung, die es interpretiert, dagegen schon.
Wo technische und rechtliche Kategorie auseinanderfallen
Ein Sprachmodell ist technisch eine Sammlung von Gewichten ohne eigene Ausführung. Der Entwurf fragt nicht nach dieser Trennung, sondern behandelt das KI-System nach Erwägungsgrund 13 der Richtlinie als Software. Die rechtliche Kategorie setzt damit nicht beim Modell an, sondern beim System, das eine Funktion ausführt. Sie beantwortet aber nicht, ob separat bereitgestellte Modellgewichte selbst Software, eine Komponente oder bloße Information sind. Eigene Auslegung Diese Frage bleibt offen.
¶Die Rolle bestimmt die Haftung, nicht die Firmierung
Wer eine eigene Anwendung entwickelt, fremde Bibliotheken einbindet, ein Fremdprodukt unter eigener Marke vertreibt und daneben eine Plattform für Dritte betreibt, findet sich in vier verschiedenen Vorschriften wieder. Die Rolle ist deshalb je Produkt und je Vertriebsweg zu bestimmen, nicht einmal für das ganze Unternehmen.
| Rolle | Auslösender Umstand | Haftungsfolge | Norm |
|---|---|---|---|
| Hersteller | Entwickeln, Herstellen oder Entwerfen- und Herstellenlassen | volle Haftung | § 3 S. 1 |
| Quasi-Hersteller | Anbringen von Name, Marke oder Erkennungszeichen, auch durch Gestattung an Dritte | volle Haftung | § 3 S. 2 |
| Komponentenhersteller | Integration oder Verbindung durch den Hersteller oder mit dessen Einverständnis | Haftung neben dem Produkthersteller, nicht für Schäden an dem Produkt | § 4 Abs. 1 S. 1 und 2 |
| Anbieter eines verbundenen Dienstes | Dienst, ohne den eine Produktfunktion nicht ausführbar wäre | Der Dienst gilt als Komponente. Sein Anbieter haftet nach § 4 Abs. 1 S. 1, wenn der fehlerhafte Dienst durch den Produkthersteller oder mit dessen Einverständnis durch einen Dritten verbunden wurde und einen Fehler des Produkts verursacht | § 4 Abs. 1 S. 1, Abs. 2 S. 1 und 2 |
| Veränderer | wesentliche Änderung ohne Einverständnis und anschließende Bereitstellung oder Inbetriebnahme | Haftung als Hersteller des veränderten Produkts | § 5 Abs. 1 |
| Importeur und Beauftragter | Inverkehrbringen aus einem Drittstaat oder schriftliche Beauftragung bei Hersteller außerhalb der Union | Haftung wie der Hersteller, nachrangig auch der Fulfilment-Dienstleister | § 10, § 11 |
| Lieferant, also jeder bereitstellende Akteur der Lieferkette außer Hersteller und Importeur | kein vorrangiger Akteur ermittelbar, binnen eines Monats wird weder ein solcher Akteur noch der eigene Lieferant benannt | Haftung wie der Hersteller | § 12 Abs. 1 und 2 |
| Plattformanbieter | Die Plattform ermöglicht Verbrauchern den Abschluss von Fernabsatzverträgen mit Unternehmern und erfüllt Art. 6 Abs. 3 der Verordnung (EU) 2022/2065. Eine eigene Rolle nach den §§ 3 bis 12 besteht nicht | Haftung wie der Lieferant | § 13 |
Zwei Punkte werden übersehen. Der Anbieter eines verbundenen Dienstes haftet auch, wenn sein Dienst kein Produkt ist, weil § 4 Abs. 2 S. 1 ProdHaftG-E den Dienst den Komponenten zurechnet und S. 2 ihn definiert. Die Haftung tritt nicht automatisch ein, sondern nur unter den Voraussetzungen des § 4 Abs. 1 S. 1. Erforderlich ist, dass der fehlerhafte Dienst durch den Produkthersteller oder mit dessen Einverständnis durch einen Dritten verbunden wurde und einen Fehler des Produkts verursacht. Für die Zurechnung genügt nicht, dass ein Hersteller die Verbindung technisch ermöglicht oder nicht verbietet. Erforderlich ist ein Einverständnis.
¶Updatefähigkeit verschiebt den Beurteilungszeitpunkt
Die dogmatisch folgenreichste Vorschrift des Entwurfs für Softwareanbieter ist nicht der Produktbegriff, sondern § 8. Er bestimmt, auf welchen Zeitpunkt sich die Sicherheitserwartung bezieht, an der die Fehlerhaftigkeit gemessen wird. Der Regelfall des Absatzes 1 ist das Inverkehrbringen oder die Inbetriebnahme. Absatz 2 verschiebt ihn nach hinten, wenn der Hersteller die Kontrolle behalten hat.
„[Die Kontrolle des Herstellers besteht, wenn] er in der Lage ist, Software-Updates oder Software-Upgrades selbst bereitzustellen oder durch einen Dritten bereitstellen zu lassen.“
§ 8 Absatz 2 Satz 2 Nummer 2 des Entwurfs eines Produkthaftungsgesetzes, BT-Drucksache 21/4297, S. 11. Ergänzung in eckigen Klammern vom Verfasser.[1]Der Wortlaut verlangt keine Handlung, sondern eine Fähigkeit. Wer updaten kann, steht in der Kontrolle, auch ohne je ein Update auszuliefern. Nach der Begründung trifft ihn dann eine Obliegenheit, das Produkt an neue Sicherheitsanforderungen anzupassen. Je nach technischer und vertraglicher Ausgestaltung kann die Kontrolle damit bis zur endgültigen Aufgabe des Updatewegs fortbestehen.
Aus der verschobenen Fehlerbeurteilung folgt weder eine Haftung noch ein späterer Beginn der Erlöschensfrist. Erforderlich bleiben Herstellerstellung, Fehler, Rechtsgutsverletzung, Ursachenzusammenhang und das Fehlen eines Ausschlussgrundes. Die Zehnjahresfrist des § 17 Abs. 1 ProdHaftG-E läuft unabhängig davon ab Inverkehrbringen oder Inbetriebnahme, mit Neubeginn nach Absatz 2 bei wesentlicher Änderung.
Die Konstruktion des § 8 ist unionsrechtlich umstritten
Fachdebatte Art. 7 Abs. 2 lit. e der Richtlinie führt den Zeitpunkt, zu dem das Produkt die Kontrolle des Herstellers verlässt, nur als eines von mehreren Kriterien einer Gesamtbetrachtung auf. § 8 ProdHaftG-E erhebt ihn dagegen zum maßgeblichen Zeitpunkt. Christiane Wendehorst stellt die Richtlinienkonformität des § 8 Abs. 1 und 2 ProdHaftG-E in ihrer Stellungnahme zur Anhörung deshalb ausdrücklich infrage und empfiehlt, beide Absätze zu streichen und das Kriterium in den Katalog des § 7 aufzunehmen.[21] Sie weist zugleich darauf hin, dass die Definition der Kontrolle des Herstellers zu den Schwachstellen der Richtlinie gehört. Alle folgenden Aussagen zum Beurteilungszeitpunkt stehen unter diesem Vorbehalt.
Zwei Klarstellungen begrenzen die Reichweite. Nach § 8 Abs. 3 ProdHaftG-E ist ein Produkt nicht schon deshalb fehlerhaft, weil ein besseres Produkt oder ein Update auf dem Markt ist. Nach Erwägungsgrund 51 der Richtlinie folgt aus ihr keine Pflicht zur Bereitstellung von Updates.[2] Eine Aktualisierungspflicht kann sich aus dem Vertrag, aus § 327f BGB oder aus sektorspezifischem Produktrecht ergeben. Das Produkthaftungsrecht knüpft erst an, wenn das Fehlen eines Sicherheitsupdates zu einem Fehler mit ersatzfähigem Schaden führt.
Die Kehrseite: Mitverschulden des Nutzers
§ 14 Abs. 2 S. 1 ProdHaftG-E erklärt § 254 BGB für anwendbar. Die Begründung nennt als Beispiel für ein Verschulden der geschädigten Person ausdrücklich, dass sie es unterlässt, vom Hersteller bereitgestellte Sicherheitsupdates zu installieren. Wer Updates nachweisbar angeboten und ihre Bedeutung verständlich erklärt hat, verbessert damit seine Position im Prozess. Die Dokumentation der Bereitstellung und der Nutzerinformation ist deshalb keine Formalie, sondern Beweisvorsorge.
¶Die Open-Source-Ausnahme schützt nicht den Einbinder
Die Ausnahme in § 2 Abs. 1 Nr. 3 Halbsatz 2 ProdHaftG-E wird regelmäßig zu weit gelesen. Sie setzt zweierlei voraus: freie und quelloffene Software, wofür nach Erwägungsgrund 14 der Richtlinie offen geteilter Quellcode und freie Nutzungs- und Weitergabemöglichkeit kennzeichnend sind, und Entwicklung oder Bereitstellung außerhalb einer Geschäftstätigkeit. Lizenz und Geschäftsmodell tragen die Einordnung nicht allein.
Zur Geschäftstätigkeit nennt die Begründung Beispiele, keine abschließende Aufzählung: die Bereitstellung gegen einen Preis und die Bereitstellung gegen personenbezogene Daten, sofern diese anders als ausschließlich zur Verbesserung von Sicherheit, Kompatibilität oder Interoperabilität verwendet werden. Aus der Unentgeltlichkeit folgt umgekehrt nicht, dass keine Geschäftstätigkeit vorliegt. Die Bereitstellung durch eine Organisation ohne Erwerbszweck erfolgt nach der Begründung im Grundsatz außerhalb einer Geschäftstätigkeit.
Für die Lieferkette folgt daraus eine klare Zuordnung. Wird quelloffene Software, die außerhalb einer Geschäftstätigkeit bereitgestellt wurde, anschließend von einem Unternehmen als Komponente in ein Produkt eingebaut, haftet dieses Unternehmen für Fehler der Software, nicht deren Hersteller (§ 4 Abs. 1 S. 1 und 3 ProdHaftG-E). Die Ausnahme verlagert die Verantwortung damit auf das einbauende Unternehmen und beseitigt sie nicht. Ein Rückgriff nach dem Produkthaftungsgesetz scheidet gegenüber dem privilegierten Hersteller aus. Vertragliche, deliktische und sonstige Ansprüche bleiben davon unberührt.
Die Abgrenzung ist in der Anhörung des Rechtsausschusses ausdrücklich beanstandet worden. Der Deutsche Anwaltsverein hat die Privilegierung durch seinen Vertreter Rupert Bellinghausen als unklar, schwer abgrenzbar und missbrauchsanfällig bezeichnet und zugleich verlangt, den Softwarebegriff zu präzisieren und ausdrücklich auf KI-Systeme zu erstrecken.[14] Fachdebatte Ob der Ausschuss dem folgt, ist offen. Für die Praxis bedeutet der Stand, dass die Einordnung eines Bestandteils als privilegierte quelloffene Software beides voraussetzt: eine Prüfung der Lizenz und eine Prüfung der Umstände der Bereitstellung.
Wer eine Stückliste führt, muss sie um eine Angabe ergänzen, die dort üblicherweise fehlt: unter welchen Umständen der Bestandteil bereitgestellt wurde. Die operative Seite behandelt Open-Source-Compliance, die lizenzrechtlichen Fragen Open-Source-Recht.
¶Die Vermutungen greifen nicht von selbst
Der Entwurf kehrt die Beweislast nicht um. Er ergänzt die allgemeine Regel, wonach die geschädigte Person Fehler, Rechtsgutsverletzung und Ursachenzusammenhang zu beweisen hat, um ein Offenlegungsverfahren und um Vermutungen mit je eigenen Voraussetzungen. Diese sind echte, aber punktuelle und widerlegbare Beweislastverschiebungen. Wer von einer generellen Beweislastumkehr spricht, verkürzt den Entwurf dort, wo er am differenziertesten ist.
Am Anfang steht § 19 Abs. 1 ProdHaftG-E. Das Gericht ordnet die Offenlegung an, wenn der Kläger Klage erhoben und die Plausibilität seines Anspruchs ausreichend gestützt hat, beschränkt auf das erforderliche und verhältnismäßige Maß und unter Schutz von Geschäftsgeheimnissen über die entsprechend geltenden §§ 16 bis 20 des Geschäftsgeheimnisgesetzes. Der Beklagte hat ein spiegelbildliches Antragsrecht.
| Wirkung | Voraussetzung | Was der Kläger nachweisen muss | Norm |
|---|---|---|---|
| Fehler vermutet | Der Beklagte legt entgegen gerichtlicher Anordnung nicht offen | Anordnung und deren Nichtbefolgung | § 20 Abs. 1 Nr. 1 |
| Fehler vermutet | Verstoß gegen verbindliche Produktsicherheitsanforderungen | Verstoß und Schutzrichtung der verletzten Anforderung | § 20 Abs. 1 Nr. 2 |
| Fehler vermutet | offensichtliche Funktionsstörung bei vorhersehbarem Gebrauch | Funktionsstörung und Ursächlichkeit für die Verletzung | § 20 Abs. 1 Nr. 3 |
| Ursachenzusammenhang vermutet | Fehler steht fest und die Verletzung ist typisch für ihn | Fehlerhaftigkeit und Typizität | § 20 Abs. 2 |
| Fehler, Ursachenzusammenhang oder beides angenommen | übermäßige Beweisschwierigkeit trotz Offenlegung | Wahrscheinlichkeit des jeweils angenommenen Merkmals | § 20 Abs. 3 |
Besonders anspruchsvoll ist § 20 Abs. 3 ProdHaftG-E. Die Vorschrift greift erst nach der Offenlegung und verlangt übermäßige Beweisschwierigkeit wegen technischer oder wissenschaftlicher Komplexität sowie den Nachweis der Wahrscheinlichkeit. Der zweite Teil bleibt eine Hürde. Den Rahmen setzt Produkthaftungsrecht.
Was sich rechtlich belastbarer gestalten lässt
- Versionsstände, Buildartefakte und Auslieferungszeitpunkte revisionssicher vorhalten, damit der Zustand zum Beurteilungszeitpunkt beweisbar ist.
- Risikobewertungen datiert dokumentieren, weil § 5 Abs. 2 ProdHaftG-E unmittelbar an die ursprüngliche Risikobewertung anknüpft. Für § 9 Abs. 1 Nr. 3 können Unterlagen nur den objektiven Stand von Wissenschaft und Technik belegen.
- Geschäftsgeheimnisse vorab kennzeichnen, damit im Verfahren über den Umfang der Offenlegung verhandelt wird. Die Vermutungen wegen Verstoßes gegen Sicherheitsanforderungen und wegen offensichtlicher Funktionsstörung bleiben davon unberührt.
- Updatehistorie samt Nutzerinformation archivieren, weil sie das Mitverschulden nach § 14 Abs. 2 ProdHaftG-E trägt.
¶Fünf Regime treffen denselben Softwarefehler
Ein sicherheitsrelevanter Softwarefehler löst mehrere Rechtsfolgen aus. Der Entwurf regelt allein den zivilrechtlichen Ausgleich. Eine eigenständige unionsrechtliche KI-Haftungsrichtlinie gibt es nicht, weil die Kommission ihren Vorschlag zurückgezogen hat.[18]
| Regime | Adressat | Auslöser | Rechtsfolge | Rechtsnatur und Verschuldensbezug |
|---|---|---|---|---|
| Produkthaftungsgesetz neu | Hersteller und die Akteure der §§ 10 bis 13 | Fehler mit Rechtsgutsverletzung | Ersatz von Schäden, die bei natürlichen Personen eingetreten sind, Verfolgung auch aus abgeleitetem Recht | zivilrechtlich, verschuldensunabhängig |
| Produzentenhaftung, §§ 823 ff. BGB | Hersteller, auch gegenüber Unternehmen | Verletzung von Verkehrs- und Sorgfaltspflichten | Schadensersatz, insbesondere bei Schäden an betrieblich genutztem Eigentum | zivilrechtlich, verschuldensabhängig |
| Vertragsrecht, §§ 327 ff. und 434 ff. BGB | Vertragspartner | Mangel des digitalen Produkts, fehlende Aktualisierung | Nacherfüllung, Minderung, Rücktritt, Schadensersatz | zivilrechtlich, beim Schadensersatz verschuldensabhängig |
| KI-Verordnung (EU) 2024/1689 | je nach Vorschrift Anbieter, Betreiber, Bevollmächtigte, Einführer, Händler, Produkthersteller | Verstoß gegen Pflichten vor und nach dem Inverkehrbringen | Aufsichtsmaßnahmen und Geldbußen | aufsichtsrechtlich, Vorsatz und Fahrlässigkeit als Zumessungsfaktor nach Art. 99, ausdrücklich vorausgesetzt in Art. 101[5] |
| Cyberresilienz-Verordnung (EU) 2024/2847 | Hersteller, Bevollmächtigte, Einführer und Händler von Produkten mit digitalen Elementen, für quelloffene Software zusätzlich deren Verwalter mit eigenem Regime nach Art. 24 | Inverkehrbringen oder Bereitstellen, für die Meldepflichten zusätzlich eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt | Produkt-, Schwachstellenbehandlungs-, Support- und Konformitätspflichten, Meldepflichten nach Art. 14 ab 11.9.2026, die genannten allgemeinen Produktpflichten grundsätzlich ab 11.12.2027, für Altprodukte nach Art. 69 erst bei späterer wesentlicher Änderung | aufsichtsrechtlich, Art. 64 setzt Vorsatz oder Fahrlässigkeit nicht allgemein voraus[6] |
Zwei Verhältnisse zählen besonders. Die Produzentenhaftung bleibt nach § 21 Abs. 2 ProdHaftG-E unberührt und kann Schäden an betrieblich genutztem Eigentum und die daraus folgenden Vermögensschäden erfassen. Reine Vermögensschäden erfasst § 823 Abs. 1 BGB grundsätzlich nicht. Und die Pflichten der Cyberresilienz-Verordnung wirken über § 7 S. 2 Nr. 5 ProdHaftG-E in die Fehlerbeurteilung hinein, sodass ein Verstoß gegen deren Anhang I Material für eine Fehlervermutung nach § 20 Abs. 1 Nr. 2 liefert, sofern die Anforderung zeitlich und sachlich anwendbar ist und gerade vor dem eingetretenen Risiko schützen soll.[6] Dazu CRA-Check.
¶Kenntnis startet die Verjährung, nicht das Erlöschen
Verjährung, Erlöschen, Gesamtschuld und Regress haben je eigene Auslöser und dürfen nicht zusammengezogen werden.
Die Verjährung nach § 16 ProdHaftG-E beträgt drei Jahre. Sie beginnt mit dem Tag, an dem der Gläubiger von dem Fehler des Produkts, dem Schaden und der Identität des Schuldners Kenntnis erlangt hat oder hätte erlangen müssen. Davon zu trennen ist das Erlöschen nach § 17 ProdHaftG-E: zehn Jahre ab Inverkehrbringen oder Inbetriebnahme, 25 Jahre nur, wenn die Latenzzeit einer Körper- oder Gesundheitsverletzung die Verfahrenseinleitung innerhalb der zehn Jahre verhindert hat, Neubeginn nach § 17 Abs. 2 bei einem wesentlich veränderten Produkt. Der Anspruch erlischt nicht, wenn der Gläubiger vor Ablauf der Frist ein Verfahren gegen den Schuldner eingeleitet hat.
Gesamtschuld und Gestaltungsgrenze
Mehrere Ersatzpflichtige haften nach § 15 S. 1 ProdHaftG-E als Gesamtschuldner, der Innenausgleich richtet sich nach den Umständen, insbesondere den Verursachungsbeiträgen. § 18 ProdHaftG-E verbietet jede Abweichung zulasten der geschädigten Person, Freistellungsklauseln wirken nur im Innenverhältnis.
Die Veröffentlichungspflicht wird kaum beachtet, obwohl sie die Durchsetzungslage verändert. § 22 ProdHaftG-E macht die Veröffentlichung für rechtskräftige Berufungs- und Revisionsurteile zur Pflicht und erfasst erstinstanzliche Urteile und Vergleiche nicht. Eigene Auslegung Der vollständigere Bestand senkt die Kosten der Anspruchsprüfung.
¶Ohne Aufsichtsbehörde bleibt der Zivilrechtsweg
Das Produkthaftungsrecht kennt keine Aufsichtsbehörde, keinen Bußgeldtatbestand und keine Anordnungsbefugnis. Es ist reines Zivilrecht, und der Rechtsweg zu den ordentlichen Gerichten folgt aus § 13 GVG. Eine ausdrückliche Rechtswegzuweisung braucht der Entwurf nicht, weil er einen bürgerlich-rechtlichen Anspruch begründet.
Die sachliche Zuständigkeit hat sich zum 1. Januar 2026 verschoben. Der Zuständigkeitsstreitwert der Amtsgerichte liegt nach § 23 Nr. 1 GVG bei 10.000 Euro.[7] Eine streitwertunabhängige Zuweisung an das Landgericht besteht nicht, und der Katalog der obligatorischen Spezialkammern in § 72a Abs. 1 GVG führt Produkthaftung nicht auf.[8] § 72a Abs. 2 GVG ermächtigt die Landesregierungen jedoch, weitere Sachgebiete durch Rechtsverordnung zuzuweisen. Vor Klageerhebung ist deshalb die Verordnungslage des betroffenen Landes zu prüfen.
Örtlich greift neben dem allgemeinen Gerichtsstand der Deliktsgerichtsstand des § 32 ZPO. Bei Auslandsberührung ist die internationale Zuständigkeit eigenständig zu prüfen und nicht mit der örtlichen zu vermengen, für Beklagte mit Sitz in der Union über Art. 7 Nr. 2 der Verordnung (EU) 1215/2012. Für Hersteller außerhalb der Union kann der Entwurf über die §§ 10 bis 13 ProdHaftG-E einen in der Union ansässigen Anspruchsgegner eröffnen, nicht notwendig einen deutschen.
Wo der wirtschaftliche Druck tatsächlich entsteht
Eine lauterkeitsrechtliche Flanke über § 3a UWG besteht hier nicht, weil das Produkthaftungsgesetz keine Marktverhaltensregelung enthält, sondern eine Haftungsfolge anordnet. Der Druck entsteht an vier anderen Stellen: bei der Produkthaftpflichtversicherung, weil der Wegfall der Obergrenze die Deckungssummen zur Verhandlungssache macht, in Softwareverträgen mit Zusicherungen zur Rechtskonformität, in Transaktionsprüfungen und bei Verbandsklagen nach dem Verbraucherrechtedurchsetzungsgesetz.[1]
¶Was bis zum 9. Dezember zu klären ist
Empfehlung des Verfassers, kein Normtext
Die folgenden Schritte sind eine risikoorientierte Empfehlung, die Zeitangaben sind interne Zielwerte und keine gesetzlichen Fristen. Im Entwurf vorgesehen ist allein der Tag, ab dem das neue Recht gelten soll, und auch dieser steht unter dem Vorbehalt der Verkündung.
- Produkt- und Releaseinventar erstellenErfassen Sie jede Software, jeden verbundenen Dienst und jede digitale Konstruktionsunterlage. Halten Sie fest, wann das Produkt erstmals bereitgestellt wurde und worauf Sie dabei abstellen, etwa auf Version, Kundeninstanz oder Kopie.
- Rolle je Produkt festlegenBestimmen Sie schriftlich Ihre Rolle nach den §§ 3 bis 5 und 10 bis 13 ProdHaftG-E. Prüfen Sie Eigenmarken, White-Label und Konzernstrukturen eigens.
- Kontrollverhältnis dokumentierenHalten Sie je Produkt fest, ob und wie lange Sie Updates bereitstellen können, wer sie ausliefert und wann das endet. Diese Umstände sind für den Beurteilungszeitpunkt nach § 8 Abs. 2 ProdHaftG-E maßgeblich.
- Fremdbestandteile einordnenErgänzen Sie Ihre Softwarestückliste um Lizenz und Umstände der Bereitstellung. Nur außerhalb der Privilegierung kommt ein Rückgriff nach dem Produkthaftungsgesetz gegen den Komponentenhersteller in Betracht, andere Anspruchsgrundlagen sind gesondert zu prüfen.
- Sicherheitsupdates und Supportende schriftlich regelnLegen Sie fest, welche Ereignisse ein Sicherheitsupdate auslösen und wie Nutzer informiert werden. Bestimmen Sie das Supportende je Produktlinie und teilen Sie es nachweisbar mit.
- Beweisvorsorge und Geheimnisschutz vorbereitenArchivieren Sie Versionsstände, Risikobewertungen und Updatehistorien so, dass Sie eine Anordnung nach § 19 ProdHaftG-E erfüllen können, und kennzeichnen Sie Geschäftsgeheimnisse vorab.
- Verträge auf die Haftungskette ausrichtenNehmen Sie Regress-, Freistellungs- und Mitwirkungsklauseln in Liefer- und Entwicklungsverträge auf. § 18 ProdHaftG-E schließt jede Abweichung zulasten der geschädigten Person aus, solche Klauseln wirken nur im Innenverhältnis. Zielwert: bis Ende Oktober 2026.
- Versicherungsdeckung neu bewertenSprechen Sie den Wegfall der Haftungsobergrenze mit Ihrem Versicherer durch und prüfen Sie, ob Ihre Police reine Softwareprodukte erfasst.
Unterlagen für den Streitfall
Produkt und Version
Releaseliste mit Datum der erstmaligen Bereitstellung, Änderungsprotokoll je Version, Mitgliedstaaten der Bereitstellung.
Sicherheit
Risikobewertung mit Datum, Testberichte, Schwachstellenmeldungen, Nachweis über bereitgestellte Sicherheitsupdates.
Mikrotext zum Übernehmen
Interne Feststellung zum Beurteilungszeitpunkt
Für das Produkt [Bezeichnung, Version] wurde die erstmalige Bereitstellung auf dem Unionsmarkt am [Datum] dokumentiert. Der Hersteller kann für dieses Produkt bis zum [Datum] Software-Updates bereitstellen oder durch [Bezeichnung des Dritten] bereitstellen lassen. Die Kontrolle im Sinne des § 8 Abs. 2 S. 2 ProdHaftG-E besteht daher bis zu diesem Zeitpunkt fort. Ab dem [Datum] entfällt die technische Möglichkeit der Aktualisierung, weil [Grund]. Die Nutzer wurden hierüber am [Datum] über [Kanal] informiert.
¶Der Stichtag entscheidet je Produkt, nicht je Anbieter
Das Übergangsrecht ist knapp und in seiner Wirkung weitreichend. § 23 ProdHaftG-E knüpft an das einzelne Produkt an, nicht an Unternehmen, Vertrag oder Schadenszeitpunkt. Ein Anbieter kann für sein Portfolio parallel nach beiden Regimen in Anspruch genommen werden.
„Für Produkte, die bis einschließlich 8. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen worden sind, ist das Produkthaftungsgesetz vom 15. Dezember 1989 […] in seiner bis einschließlich 8. Dezember 2026 geltenden Fassung weiter anzuwenden.“
§ 23 des Entwurfs eines Produkthaftungsgesetzes, BT-Drucksache 21/4297, S. 16. Auslassung vom Verfasser.[1]Der Wortlaut entscheidet zweimal. Er stellt auf den Tag des Inverkehrbringens oder der Inbetriebnahme ab, nicht auf den Tag des Schadens, sodass ein Schaden aus dem Jahr 2032 an einem 2025 ausgelieferten Produkt nach altem Recht zu beurteilen ist. Und er zieht die Grenze am 8. Dezember 2026, sodass der 9. Dezember bereits zum neuen Regime gehört.
Mit dem Unionsrecht läuft das gleich, seit die Richtlinie berichtigt worden ist. Die ursprünglich veröffentlichte Fassung des Art. 2 Abs. 1 erfasste Produkte, die „nach dem 9. Dezember 2026“ in Verkehr gebracht werden, was zur Aufhebungsregel des Art. 21 nicht passte. Die Berichtigung vom 7. Mai 2026 stellt auf Produkte nach dem 8. Dezember 2026 um.[3] Wer eine unberichtigte Fassung heranzieht, konstruiert eine Abweichung, die es nicht gibt.
Offen lässt der Entwurf eine praktisch schwerere Frage. § 6 Abs. 1 ProdHaftG-E knüpft an die erstmalige Bereitstellung des jeweiligen Produkts an, nicht ohne Weiteres an die erstmalige Markteinführung eines Produkttyps. Die Begründung übernimmt die Definition aus Art. R1 Nr. 2 des Anhangs I des Beschlusses Nr. 768/2008/EG.[1] Verwaltungsauslegung Dazu hält der Leitfaden der Kommission fest, dass sich das Inverkehrbringen auf jedes einzelne Produkt bezieht, nicht auf eine Produktart.[19] Er ist unverbindlich.
Bei Software bleibt offen, was das einzelne Produkt ist: Kopie, Lizenz, Kundeninstanz, Version oder laufende Anwendung. Davon zu trennen ist die wesentliche Änderung eines bereitgestellten Produkts nach § 5 Abs. 2 ProdHaftG-E. Ob eine 2024 erstmals bereitgestellte und seither wöchentlich neu ausgerollte Anwendung 2028 noch dem alten Regime unterfällt, beantwortet der Entwurf nicht.
Drei Fragen, die jetzt zu klären sind
- Was ist bei Software das einzelne Produkt, dessen erstmalige Bereitstellung § 6 Abs. 1 ProdHaftG-E meint: Kopie, Lizenz, Kundeninstanz, Version oder laufende Anwendung?
- Kann ein Update, das die Leistung, den Zweck oder die Art der Software verändert, eine wesentliche Änderung nach § 5 Abs. 2 ProdHaftG-E darstellen und damit ein neues Produkt begründen, obwohl der Hersteller selbst handelt?
- Löst eine wesentliche Änderung nach dem Stichtag über § 17 Abs. 2 ProdHaftG-E eine neue Erlöschensfrist aus, und ab wann läuft sie?
Zur zweiten Frage lässt sich der Entwurf teilweise auslegen. § 5 Abs. 1 ProdHaftG-E bestimmt nur, wann ein verändernder Dritter zum Hersteller des veränderten Produkts wird. Ändert der ursprüngliche Hersteller sein Produkt selbst wesentlich, bleibt er Hersteller und verliert nach § 9 Abs. 2 S. 2 Nr. 4 ProdHaftG-E die Entlastung nach Absatz 2 Satz 1.
Damit ist die Fristenfrage nicht beantwortet. § 5 Abs. 2 ProdHaftG-E definiert die wesentliche Änderung, und die Begründung überträgt sie ausdrücklich auf Software-Updates, Upgrades und das fortlaufende Lernen eines KI-Systems.[1] Die Begründung nennt das wesentlich veränderte Produkt ein neues Produkt, und § 17 Abs. 2 ProdHaftG-E lässt die Erlöschensfrist neu beginnen, ohne danach zu unterscheiden, wer die Änderung vorgenommen hat. Eigene Auslegung Ein Upgrade, das Leistung, Zweck oder Art über die ursprüngliche Risikobewertung hinaus verändert und die Gefahrenlage erhöht, kann als neu bereitgestellt gelten und eine neue Zehnjahresfrist auslösen. Ein gewöhnlicher Sicherheitspatch erfüllt sie regelmäßig nicht.
Offene Frage Für die erste Frage fehlt eine belastbare Grundlage in Entwurf, Begründung und Richtlinie. Für Altprodukte stellt sich die Frage nach dem Beurteilungszeitpunkt des § 8 ProdHaftG-E dagegen nicht, solange kein Update eine wesentliche Änderung darstellt und damit ein neues Produkt begründet.
¶Sechs Aussagen im Abgleich mit dem Entwurf
Die folgenden Aussagen kursieren in der Beratungspraxis und in Fachbeiträgen. Jede wird gegen den Entwurfstext und die Richtlinie geprüft.
Unzutreffend · Cloud- und SaaS-Angebote sind nicht erfasst
§ 2 Abs. 1 Nr. 3 ProdHaftG-E nennt Software ohne Einschränkung nach Erscheinungsform. Die Begründung führt Speicherung auf einem Gerät, Abruf über Kommunikationsnetze, Cloud-Technologien und Software-as-a-Service nebeneinander auf.[1] Ein Datenträger ist keine Voraussetzung der Produkteigenschaft.
Überholt · Richtlinie und deutscher Entwurf haben verschiedene Stichtage
Diese Aussage beruhte auf der ursprünglich veröffentlichten Fassung des Art. 2 Abs. 1 der Richtlinie, die Produkte erst „nach dem 9. Dezember 2026“ erfasste. Die Berichtigung vom 7. Mai 2026 stellt auf Produkte nach dem 8. Dezember 2026 ab.[3] Damit deckt sich der unionsrechtliche Anwendungsbeginn mit § 23 ProdHaftG-E. Zahlreiche Fachbeiträge geben weiterhin die unberichtigte Fassung wieder.
Verkürzt · Open-Source-Software ist von der Produkthaftung ausgenommen
Ausgenommen ist nur freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird (§ 2 Abs. 1 Nr. 3 Halbsatz 2 ProdHaftG-E). Bereitstellung gegen Entgelt ist nach Erwägungsgrund 14 der Richtlinie ein Beispiel für eine Geschäftstätigkeit und kein abschließendes Kriterium. Wer solche Software gewerblich in sein Produkt einbindet, haftet nach § 4 Abs. 1 S. 1 und 3 ProdHaftG-E selbst.
Im Ergebnis falsch, in der Begründung nachvollziehbar · Ab dem 9. Dezember 2026 gilt das neue Recht für den gesamten Produktbestand
Richtig ist, dass das Produkthaftungsgesetz von 1989 an diesem Tag außer Kraft tritt. § 23 ProdHaftG-E ordnet jedoch seine Weitergeltung für Produkte an, die bis einschließlich 8. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen wurden. Der Bestand bleibt damit im alten Regime, dessen Ansprüche nach § 13 Abs. 1 ProdHaftG zehn Jahre nach dem Inverkehrbringen erlöschen.
So pauschal unzutreffend · Hersteller müssen künftig Sicherheitsupdates liefern
Aus dem Produkthaftungsrecht folgt keine Updatepflicht. Erwägungsgrund 51 der Richtlinie stellt das ausdrücklich klar.[2] Eine Aktualisierungspflicht kann sich je nach Produkt, Rolle und Vertragsbeziehung aus dem Vertrag, aus § 327f BGB oder aus sektorspezifischem Produktrecht ergeben, trifft aber nicht jeden Hersteller. § 9 Abs. 2 S. 2 Nr. 3 ProdHaftG-E ist keine eigenständige Sanktion, sondern nimmt die Entlastung nur, wenn Kontrolle bestand und der Fehler auf dem fehlenden Update beruht.
Unzutreffend · Neben dem Produkthaftungsrecht gilt eine eigene KI-Haftungsrichtlinie
Die Kommission hat ihren Vorschlag für eine Richtlinie zur Anpassung der außervertraglichen zivilrechtlichen Haftung an künstliche Intelligenz im Arbeitsprogramm 2025 zurückgezogen, weil sie keine Einigung erwartete.[18] Für KI-Systeme gilt daher das allgemeine Produkthaftungsrecht, ergänzt um die Pflichten der KI-Verordnung (EU) 2024/1689. Einen eigenen Haftungstatbestand für künstliche Intelligenz enthält auch der deutsche Entwurf nicht.
¶Die Richtung überzeugt, die Begriffe nicht
Der Entwurf löst ein seit Jahrzehnten offenes Problem. Das Gesetz von 1989 dachte in körperlichen Gegenständen, und die Einordnung von Software als Sache war streitig. Das beseitigt § 2 Abs. 1 Nr. 3 ProdHaftG-E. Überzeugend ist auch die Haftung in § 1 als geschlossener Tatbestand. Gerhard Wagner hebt hervor, dass sich die Haftungselemente dadurch nicht aus verschiedenen Normen zusammensetzen lassen müssen.[20]
Schwach bleibt der Entwurf dort, wo er unbestimmte Begriffe ohne eigene Präzisierung übernimmt: Softwarebegriff, Abgrenzung zur bloßen Information, Open-Source-Ausnahme und Formel der beruflichen Zwecke. Die Sachverständigen haben das aus entgegengesetzten Richtungen beanstandet.
Deutsche Industrie- und Handelskammer
Julian Kulaga hält den Anwendungsbereich für zu weit ausgedehnt und vermisst prozessuale Sicherungen für Geschäftsgeheimnisse. Er erwartet eine Verteuerung der erfassten Produkte.[14]
Verbraucherzentrale Bundesverband
Felix Methmann fordert einen vorgerichtlichen Auskunftsanspruch mit prozessualer Durchsetzung und regt einen Entschädigungsfonds an.[14]
Universität Wien
Christiane Wendehorst hält den Verzicht auf eigene Gestaltung für einen Fehlschluss, weil die Rechtsprechung die Produzentenhaftung außerhalb des Gesetzes über Beweiserleichterungen fortbilden kann. Sie stellt zudem die Richtlinienkonformität des § 8 Abs. 1 und 2 ProdHaftG-E infrage und empfiehlt deren Streichung.[21]
Universität Bayreuth
Martin Schmidt-Kessel beanstandet, dass die Formel der beruflichen Zwecke auch arbeitnehmerisch genutzte Sachen und Daten aus dem Schutzbereich nehmen könne, und schlägt eine Begrenzung auf selbständig berufliche Zwecke vor.[14]
Der Einwand von Schmidt-Kessel trifft den Alltag. Ein Beschäftigter, dessen eigenes Notebook ein Softwarefehler zerstört, ist nach dem Wortlaut nicht geschützt, wenn er es ausschließlich beruflich nutzt. Ob der Gesetzgeber das beabsichtigt hat, lässt sich der Begründung nicht entnehmen.
| Offene Frage | Betroffene Norm | Praktische Bedeutung |
|---|---|---|
| Wo verläuft die Grenze zwischen Software und bloßer Information? | § 2 Abs. 1 Nr. 3 ProdHaftG-E | Entscheidet über die Produkteigenschaft von Modellgewichten, Konfigurationsdateien und Wissensdatenbanken |
| Was ist bei Software das einzelne Produkt im Sinne des Inverkehrbringens? | § 6 Abs. 1 und 2, § 23 ProdHaftG-E | Entscheidet bei SaaS und fortlaufend ausgerollter Software über das anwendbare Regime |
| Umfasst „berufliche Zwecke“ auch die Nutzung durch Beschäftigte? | § 1 Abs. 1 Nr. 2 und 3 ProdHaftG-E | Entscheidet über den Schutz von Geräten und Daten, die Beschäftigte ausschließlich beruflich nutzen |
| Genügt bei Daten jede berufliche Nutzung, oder entscheidet die überwiegende? | § 1 Abs. 1 Nr. 3 ProdHaftG-E | Entscheidet über den Ersatz bei gemischt genutzten Datenbeständen |
| Wann liegt eine Bereitstellung im Rahmen einer Geschäftstätigkeit vor? | § 2 Abs. 1 Nr. 3 Halbsatz 2, § 6 Abs. 2 ProdHaftG-E | Entscheidet über die Reichweite der Open-Source-Ausnahme und über Regressmöglichkeiten |
| Ist § 8 ProdHaftG-E mit Art. 7 Abs. 2 lit. e der Richtlinie vereinbar? | § 8 Abs. 1 und 2 ProdHaftG-E | Entscheidet über den Maßstab der Fehlerbeurteilung bei allen aktualisierbaren Produkten |
| Löst ein wesentliches Upgrade des Herstellers eine neue Erlöschensfrist aus? | § 5 Abs. 2, § 17 Abs. 2 ProdHaftG-E | Entscheidet, wie lange langlebige Softwareprodukte angreifbar bleiben |
Rechtsprechung zum neuen Produkthaftungsrecht existiert nicht. Das ist bei einem nicht verkündeten Gesetz folgerichtig, sollte aber gesagt werden, weil viele Praxisbeiträge eine Bestimmtheit suggerieren, die nur gefestigte Auslegung rechtfertigen würde. Eine Klärung durch den Gerichtshof setzt Vorlagen aus Verfahren über Produkte des neuen Regimes voraus. Die fachöffentliche Auswertung behandelt vor allem Produktbegriff und Beweislast, kaum Übergangsrecht und Berichtigung.
¶Ohne rechtzeitiges Inkrafttreten bleibt das alte Recht
KI-Verordnung und Cyberresilienz-Verordnung bestimmen, unter welchen Bedingungen ein Produkt auf den Markt darf, das Produkthaftungsrecht bestimmt, wer einsteht, wenn es Schaden anrichtet. Der Entwurf enthält deshalb keine Produktpflichten, hängt in seiner Wirkung aber von deren Einhaltung ab.
Drei Verläufe sind absehbar. Sie sind Prognosen, keine Feststellungen, und knüpfen an benennbare Umstände an.
Verabschiedung im Herbst 2026
Auslöser: Beschlussempfehlung, zweite und dritte Lesung, zweiter Durchgang im Bundesrat und rechtzeitige Verkündung. Rechtsfolge: Das Gesetz tritt planmäßig in Kraft. Wirtschaftlich: Der Stichtag wird zur harten Planungsgröße für Release und Versicherung. Anknüpfung: die Umsetzungsfrist des Art. 22 Abs. 1 der Richtlinie.
Änderungen am Entwurfstext
Auslöser: Der Ausschuss greift die Kritik an der Open-Source-Abgrenzung, an den beruflichen Zwecken oder an § 8 auf. Rechtsfolge: Abweichungen vom Regierungsentwurf im verkündeten Text. Wirtschaftlich: Wer seine Stückliste geordnet hat, muss nur nachjustieren. Anknüpfung: die Stellungnahmen zur Anhörung vom 13. April 2026.
Verkündung nach dem Stichtag
Auslöser: Verzögerung im parlamentarischen Verfahren. Rechtsfolge: Zwischen Privaten bleibt das Produkthaftungsgesetz von 1989 die Anspruchsgrundlage, weil eine Richtlinie insoweit nicht unmittelbar wirkt.[9] Die Gerichte haben das nationale Recht nach Ablauf der Umsetzungsfrist aber so weit wie möglich richtlinienkonform auszulegen.[10] Gegenüber dem Staat kommt unionsrechtliche Staatshaftung in Betracht.[11] Wirtschaftlich: Unsicherheit über den maßgeblichen Stichtag. Anknüpfung: der am 6. August 2026 ausgewiesene Verfahrensstand.
Wirtschaftlich entscheidet über die nächsten 12 bis 24 Monate weniger die Auslegung als die Zuordnung. Wer sein Portfolio nach dem Datum der erstmaligen Bereitstellung sortiert, investiert richtig. Verträge und Versicherungssummen sollten änderbar bleiben.
¶Häufige Fragen
Ab wann gilt das neue Produkthaftungsgesetz?
Der Entwurf sieht das Inkrafttreten für den 9. Dezember 2026 vor, den Tag, an dem auch die Umsetzungsfrist des Art. 22 Abs. 1 der Richtlinie (EU) 2024/2853 endet. Das Gesetz ist noch nicht verkündet. Nach der ersten Lesung am 4. März 2026 und der Anhörung im Rechtsausschuss am 13. April 2026 stehen die zweite und dritte Lesung sowie der zweite Durchgang im Bundesrat aus.
Welcher Stichtag gilt nach der Richtlinie und welcher nach dem Entwurf?
Beide laufen gleich. § 23 ProdHaftG-E lässt altes Recht für Produkte gelten, die bis einschließlich 8. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen wurden. Art. 2 Abs. 1 der Richtlinie erfasst seit der Berichtigung vom 7. Mai 2026 Produkte nach dem 8. Dezember 2026. Die ursprüngliche Fassung nannte den 9. Dezember 2026 und passte nicht zur Aufhebungsregel des Art. 21. Wer sie heranzieht, kommt zu einem abweichenden Ergebnis.
Ist SaaS-Software ein Produkt im Sinne des Entwurfs?
Ja. § 2 Abs. 1 Nr. 3 ProdHaftG-E erfasst Software unabhängig von Bereitstellung und Nutzung. Die Begründung nennt Software, die über Kommunikationsnetze, Cloud-Technologien oder Software-as-a-Service abgerufen wird. Auf eine Verkörperung kommt es nicht an.
Haftet ein KI-Anbieter nach dem neuen Recht anders als andere Softwareanbieter?
Einen eigenen KI-Haftungstatbestand gibt es nicht, entscheidend ist die jeweilige Rolle nach dem ProdHaftG-E. KI-Systeme sind nach Erwägungsgrund 13 der Richtlinie ein Fall der Software. Bei der Fehlerbeurteilung berücksichtigt § 7 S. 2 Nr. 3 ProdHaftG-E aber die Fähigkeit, weiter zu lernen. Eine eigenständige KI-Haftungsrichtlinie gibt es nicht, die Kommission hat ihren Vorschlag 2025 zurückgezogen.
Gilt das neue Recht auch für Software, die heute schon im Markt ist?
Nicht automatisch. Nach § 23 ProdHaftG-E bleibt für Produkte, die bis einschließlich 8. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen wurden, das Produkthaftungsgesetz von 1989 anwendbar, dessen Ansprüche nach § 13 Abs. 1 ProdHaftG zehn Jahre nach dem Inverkehrbringen erlöschen. Die Verlängerung auf 25 Jahre kennt erst das neue Recht, und dort nur, wenn die Latenzzeit einer Körper- oder Gesundheitsverletzung die Verfahrenseinleitung verhindert hat. Updates und Upgrades eines Altprodukts bleiben nach der Begründung im alten Regime, sofern die Änderung nicht wesentlich ist und damit ein neues Produkt nach § 5 begründet. Bei SaaS ist offen, was als das einzelne Produkt gilt.
Ist Open-Source-Software von der Haftung befreit?
Nur teilweise. Ausgenommen ist freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird. Eine Geschäftstätigkeit liegt nach Erwägungsgrund 14 der Richtlinie insbesondere bei Bereitstellung gegen Entgelt vor, ebenso gegen personenbezogene Daten, die nicht ausschließlich der Verbesserung von Sicherheit, Kompatibilität oder Interoperabilität dienen. Wird solche Software gewerblich eingebaut, haftet auf der Herstellerebene nach § 4 Abs. 1 S. 1 und 3 ProdHaftG-E allein der einbauende Produkthersteller, weitere Anspruchsgegner können sich aus den §§ 10 bis 13 ergeben.
Muss ein Hersteller nach dem neuen Recht Sicherheitsupdates bereitstellen?
Aus dem Produkthaftungsrecht folgt keine solche Pflicht, wie Erwägungsgrund 51 der Richtlinie klarstellt. Bestand aber Herstellerkontrolle und beruht der Fehler auf einem fehlenden Sicherheitsupdate, kann sich der Hersteller nach § 9 Abs. 2 S. 2 Nr. 3 ProdHaftG-E nicht darauf berufen, der Fehler sei erst später entstanden. Eine Aktualisierungspflicht kann sich aus dem Vertrag, aus § 327f BGB oder aus sektorspezifischem Produktrecht ergeben.
Was bedeutet die fortbestehende Kontrolle des Herstellers?
Sie verschiebt den Zeitpunkt der Sicherheitserwartung. Nach § 8 Abs. 2 ProdHaftG-E besteht Kontrolle, wenn der Hersteller oder ein Dritter mit seinem Einverständnis Komponenten oder Updates bereitstellt oder Änderungen vornimmt. Außerdem besteht Kontrolle schon, wenn der Hersteller Updates selbst oder durch einen Dritten bereitstellen kann. Eine Haftung folgt daraus nicht von selbst, und die zehnjährige Erlöschensfrist läuft unabhängig davon ab Inverkehrbringen oder Inbetriebnahme. Ob diese Lösung mit der Gesamtbetrachtung des Art. 7 Abs. 2 der Richtlinie vereinbar ist, wird bezweifelt.
Können Unternehmen Ansprüche nach dem neuen Produkthaftungsgesetz geltend machen?
Einen eigenen Anspruch wegen eigener Schäden nicht. § 1 Abs. 1 ProdHaftG-E setzt einen Schaden bei einer natürlichen Person voraus, ausschließlich beruflich genutzte Sachen und beruflich genutzte Daten sind ausgenommen. Juristische Personen können ihn aus abgeleitetem Recht verfolgen, etwa als Erbe, Zessionar oder Versicherer, klagebefugte Verbände im Namen geschädigter Personen (Art. 5 Abs. 2 der Richtlinie). Für eigene Schäden bleibt es bei Vertrag und §§ 823 ff. BGB.
¶Was noch nicht bekannt ist
- Ein Termin für die zweite und dritte Lesung im Bundestag ist nicht ausgewiesen.
- Ob der Ausschuss für Recht und Verbraucherschutz eine Beschlussempfehlung mit Änderungen vorlegt und welche Vorschriften sie betrifft, steht aus.
- Das Datum der Verkündung und damit die endgültige Fassung des Gesetzestextes stehen nicht fest.
- Wie weit die Umsetzung in den übrigen Mitgliedstaaten gediehen ist und ob die Kommission Vertragsverletzungsverfahren einleitet, ist nicht bekannt.
¶Begriffe
- Beurteilungszeitpunkt
- Zeitpunkt, auf den sich die Sicherheitserwartung bezieht. Regelfall sind Inverkehrbringen oder Inbetriebnahme, bei fortbestehender Kontrolle deren Ende. § 8 ProdHaftG-E.
- Geschäftstätigkeit
- Im Entwurf nicht eigenständig definiert. Erwägungsgrund 14 der Richtlinie nennt als Beispiele die Abgabe gegen Entgelt oder gegen personenbezogene Daten, die nicht allein der Sicherheit, Kompatibilität oder Interoperabilität dienen. Grenze der Open-Source-Ausnahme. § 6 Abs. 2 ProdHaftG-E, Erwägungsgrund 14 der Richtlinie.
- Quasi-Hersteller
- Wer durch Anbringen seines Namens oder seiner Marke als Hersteller auftritt oder dies gestattet. § 3 S. 2 ProdHaftG-E.
- Verbundener Dienst
- Digitaler Dienst, ohne den eine oder mehrere Produktfunktionen nicht ausführbar wären. § 4 Abs. 2 S. 1 ProdHaftG-E rechnet ihn den Komponenten zu, S. 2 definiert ihn. Sein Anbieter haftet nach § 4 Abs. 1 S. 1, wenn der fehlerhafte Dienst durch den Produkthersteller oder mit dessen Einverständnis durch einen Dritten verbunden wurde und einen Fehler des Produkts verursacht.
- Inverkehrbringen
- Erstmaliges Bereitstellen des jeweiligen Produkts auf dem Unionsmarkt. Bestimmt zusammen mit der Inbetriebnahme Regime und Beginn der Erlöschensfrist. § 6 Abs. 1 ProdHaftG-E.
- Kontrolle des Herstellers
- Zustand, in dem der Hersteller Komponenten oder Updates bereitstellt, Änderungen vornimmt oder ihnen zustimmt oder auch nur bereitstellen lassen könnte. § 8 Abs. 2 S. 2 Nr. 1 und 2 ProdHaftG-E.
- Wesentliche Änderung
- Änderung, die Leistung, Zweck oder Art über die ursprüngliche Risikobewertung hinaus verändert und die Gefahrenlage erhöht. § 5 ProdHaftG-E.
¶Quellen
Primärdokument und Normtext
- Deutscher Bundestag, Drucksache 21/4297 vom 25.2.2026, Entwurf eines Gesetzes zur Modernisierung des Produkthaftungsrechts, Artikel 1 §§ 1 bis 23 ProdHaftG-E nebst Begründung, dserver.bundestag.de, abgerufen am 6.8.2026.
- Richtlinie (EU) 2024/2853 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über die Haftung für fehlerhafte Produkte und zur Aufhebung der Richtlinie 85/374/EWG des Rates, ABl. L, 2024/2853 vom 18.11.2024, dort Art. 2, 6, 7, 11, 17, 21 und 22 sowie die Erwägungsgründe 13, 14, 17, 22, 34 und 51, EUR-Lex, abgerufen am 6.8.2026.
- Berichtigung der Richtlinie (EU) 2024/2853, ABl. L, 2026/90364 vom 7.5.2026, Ratsdokument ST/16888/2025/INIT, betrifft unter anderem Art. 2 Abs. 1, EUR-Lex, abgerufen am 6.8.2026. Wiedergegeben im konsolidierten Text CELEX 02024L2853-20241118.
- Produkthaftungsgesetz vom 15. Dezember 1989 (BGBl. I S. 2198), zuletzt geändert durch Artikel 5 des Gesetzes vom 17. Juli 2017 (BGBl. I S. 2421), dort §§ 10, 11, 12 und 13, gesetze-im-internet.de, abgerufen am 6.8.2026.
- Verordnung (EU) 2024/1689 (KI-Verordnung) in der konsolidierten Fassung vom 27.7.2026, geändert durch die Verordnung (EU) 2026/1744 vom 8.7.2026 (Digital-Omnibus-Verordnung zur KI), dort Art. 99 und 101, EUR-Lex, abgerufen am 6.8.2026.
- Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung), dort Art. 13, 14, 64, 69 und 71 sowie Anhang I, EUR-Lex, abgerufen am 6.8.2026.
- Gerichtsverfassungsgesetz, § 23 in der Fassung des Gesetzes vom 8. Dezember 2025 (BGBl. 2025 I Nr. 318), in Kraft seit dem 1.1.2026, gesetze-im-internet.de, abgerufen am 6.8.2026.
- Gerichtsverfassungsgesetz, § 72a in der seit dem 1.1.2026 geltenden Fassung, Katalog der obligatorischen Zivilkammern und Verordnungsermächtigung für die Länder, gesetze-im-internet.de, abgerufen am 6.8.2026.
Rechtsprechung des Gerichtshofs der Europäischen Union
- EuGH, Urteil vom 14.7.1994, Rechtssache C-91/92 (Faccini Dori), ECLI:EU:C:1994:292, zur fehlenden unmittelbaren Wirkung von Richtlinien zwischen Privaten, EUR-Lex, abgerufen am 6.8.2026.
- EuGH, Urteil vom 5.10.2004, verbundene Rechtssachen C-397/01 bis C-403/01 (Pfeiffer u. a.), ECLI:EU:C:2004:584, zur Pflicht, das nationale Recht so weit wie möglich richtlinienkonform auszulegen, EUR-Lex, abgerufen am 6.8.2026.
- EuGH, Urteil vom 8.10.1996, verbundene Rechtssachen C-178/94, C-179/94 und C-188/94 bis C-190/94 (Dillenkofer u. a.), ECLI:EU:C:1996:375, zur unionsrechtlichen Staatshaftung bei nicht fristgerechter Umsetzung, EUR-Lex, abgerufen am 6.8.2026.
Amtliche Quellen und Verfahrensstand
- Bundesministerium der Justiz und für Verbraucherschutz, Gesetzgebungsverfahren „Gesetz zur Modernisierung des Produkthaftungsrechts“, Referentenentwurf vom 11.9.2025, bmjv.de, abgerufen am 6.8.2026.
- Deutscher Bundestag, Erste Lesung zur Modernisierung des Produkthaftungsrechts, Textarchiv zur Sitzung vom 4.3.2026, bundestag.de, abgerufen am 6.8.2026.
- Deutscher Bundestag, Textarchiv zur öffentlichen Anhörung des Ausschusses für Recht und Verbraucherschutz vom 13.4.2026 mit den Stellungnahmen 21(6)74a bis 21(6)74e, bundestag.de, Stand der Seite 6.8.2026, abgerufen am 6.8.2026.
- Deutscher Bundestag, Kurzmeldung vom 2.3.2026 zu Kabinettbeschluss, Stellungnahme des Bundesrates und Gegenäußerung, bundestag.de, abgerufen am 6.8.2026.
- Deutscher Bundestag, Dokumentations- und Informationssystem, Vorgang „Entwurf eines Gesetzes zur Modernisierung des Produkthaftungsrechts“, laufender Verfahrensstand, dip.bundestag.de, abgerufen am 6.8.2026.
- Europäische Kommission, Folgenabschätzung zum Vorschlag für eine Richtlinie über die Haftung für fehlerhafte Produkte, SWD(2022) 316 final vom 28.9.2022, zum Vorschlag KOM(2022) 495 final, EUR-Lex, abgerufen am 6.8.2026. Die vorangegangene Evaluierung trägt die Bezeichnung SWD(2018) 157.
- Europäische Kommission, Vorschlag für eine Richtlinie zur Anpassung der Vorschriften über außervertragliche zivilrechtliche Haftung an künstliche Intelligenz, KOM(2022) 496 final, Verfahren 2022/0303 (COD), Verfahrensstand: Rücknahme durch die Kommission am 6.10.2025, EUR-Lex, abgerufen am 6.8.2026.
- Bekanntmachung der Kommission, Leitfaden für die Umsetzung der Produktvorschriften der EU 2022 („Blue Guide“), 2022/C 247/01, ABl. C 247 vom 29.6.2022, Abschnitt 2 zum Inverkehrbringen und zur Bereitstellung, rechtlich unverbindlich, EUR-Lex, abgerufen am 6.8.2026.
Fachöffentliche Auswertungen
- Gerhard Wagner, Gutachtliche Stellungnahme, Ausschussdrucksache 21(6)74c vom 10.4.2026, bundestag.de, abgerufen am 6.8.2026.
- Christiane Wendehorst, Schriftliche Stellungnahme zur öffentlichen Anhörung im Rechtsausschuss am 13. April 2026, Ausschussdrucksache 21(6)74d vom 10.4.2026, dort Abschnitte II.1 bis II.3, bundestag.de, abgerufen am 6.8.2026.
Zur Quellenlage
Maßgeblich für das Unionsrecht ist die im Amtsblatt veröffentlichte deutsche Sprachfassung der Richtlinie (EU) 2024/2853 in der Fassung der Berichtigung ABl. L, 2026/90364 vom 7. Mai 2026. Sie betrifft unter anderem Art. 2 Abs. 1 und damit den Anwendungsbeginn. Maßgeblich für das deutsche Recht ist bis zum Inkrafttreten des neuen Gesetzes das Produkthaftungsgesetz vom 15. Dezember 1989 in seiner geltenden Fassung.
Der Gesetzentwurf der Bundesregierung ist kein geltendes Recht. Alle Angaben zu den §§ 1 bis 23 ProdHaftG-E geben den Stand der Bundestagsdrucksache 21/4297 wieder und können sich im weiteren Verfahren ändern. Letztverbindlich legt die Richtlinie allein der Gerichtshof der Europäischen Union aus.
Der Leitfaden der Kommission zu den Produktvorschriften der EU ist unverbindlich, bindet weder die Gerichte noch die Kommission und gilt nicht unmittelbar für das Produkthaftungsrecht. Auslegungsaussagen, die nicht unmittelbar aus dem Wortlaut folgen, stützen sich auf die Begründung des Entwurfs. Die Positionen der Sachverständigen geben die Darstellung des Deutschen Bundestages zur Anhörung vom 13. April 2026 sowie die Ausschussdrucksachen 21(6)74c und 21(6)74d wieder.
Rechtsprechung zum neuen Produkthaftungsrecht existiert nicht, weder im Eil- noch im Hauptsacheverfahren. Zum erwarteten Verfahrensaufkommen in Deutschland liegt keine amtliche Erhebung vor. Die im Entwurf genannten Zahlen von rund 10.000 Verfahren, 2.000 Berufungen und 1.000 Offenlegungsanträgen sind vom Entwurfsverfasser ausdrücklich als grobe Schätzung bezeichnete Rechengrößen zum Erfüllungsaufwand und keine amtlich festgestellten Werte.
Eigene Bewertungen sind im Text durch ein Zeichen gekennzeichnet. Das betrifft fortlaufend ausgerollte Software, die Wirkung eines wesentlichen Upgrades auf die Erlöschensfrist, die Reichweite des § 22 ProdHaftG-E und sämtliche Szenarien. Die Aussagen zu § 8 ProdHaftG-E stehen unter dem Vorbehalt der in der Anhörung bezweifelten Richtlinienkonformität. Umsetzungsabschnitt und Merkblatt sind Empfehlungen. Rechtsstand ist der 6. August 2026.
Weiterlesen
- Produkthaftungsrecht: Produktfehler, Update-Risiken, Lieferkette und Regress
- IT- und Softwarevertrag: Einstieg in die Vertragstypen
- Künstliche Intelligenz: Rollen, Fristen und Haftung
- Open-Source-Recht: Copyleft, Notices und Stücklisten
- CRA-Check: Betroffenheit von Produkten mit digitalen Elementen
- Hub IT-Recht und Digitalisierung
Zitiervorschlag: Bohne, Jean Paul: Neues Produkthaftungsgesetz: Software, SaaS und KI als Produkt, ITMR Rechtsanwälte PartGmbB, 6. August 2026, itmr-legal.de/blog/produkthaftungsgesetz-software-saas-ki.
Änderungsprotokoll
- 7. August 2026 · ErstveröffentlichungRechtsstand 6. August 2026. Ausgewertet wurden der Regierungsentwurf in der Fassung der Bundestagsdrucksache 21/4297, die Richtlinie (EU) 2024/2853 in der Fassung der Berichtigung ABl. L, 2026/90364 vom 7. Mai 2026, die Stellungnahmen zur Anhörung vom 13. April 2026, der Leitfaden der Kommission zu den Produktvorschriften der EU und der am 6. August 2026 ausgewiesene Verfahrensstand.
Eine Aktualisierung erfolgt unter derselben Adresse, sobald der Ausschuss für Recht und Verbraucherschutz eine Beschlussempfehlung vorlegt, der Bundestag in zweiter und dritter Lesung entscheidet, der Bundesrat sich im zweiten Durchgang äußert, das Gesetz verkündet wird oder eine erste gerichtliche Entscheidung zum neuen Recht ergeht.
Zum Verfasser
Jean Paul Bohne ist Rechtsanwalt und Partner der ITMR Rechtsanwälte PartGmbB in Düsseldorf. Er berät Softwareanbieter, Hersteller vernetzter Produkte und Plattformbetreiber zu IT-Recht, Datenschutzrecht und produktbezogener Digitalregulierung, einschließlich der Produkthaftung für Software, der KI-Verordnung und der Cyberresilienz-Verordnung.
Softwareportfolio vor dem 9. Dezember 2026 zuordnen
Typische Mandate zu diesem Thema: Bestimmung der Herstellerrolle bei White-Label- und Konzernvertrieb, Einordnung von SaaS- und Cloud-Angeboten nach dem Stichtag des § 23 ProdHaftG-E, Prüfung der Open-Source-Bestandteile nach ihrem Bereitstellungsmodell, Aufbau einer offenlegungsfesten Dokumentation mit Geheimnisschutz sowie Gestaltung von Regress-, Freistellungs- und Updateklauseln in Liefer- und Softwareverträgen.
Rechtsstand: . Dieser Beitrag gibt den Stand zum genannten Datum wieder. Das besprochene Gesetz ist ein Entwurf und noch nicht verkündet.
Inhalt
- Worum es geht
- Die Antwort in drei Sätzen
- Was der Entwurf im Einzelnen anordnet
- Reichweite und Grenzen
- Worauf die Aussagen beruhen
- Jede Haftung hat ihr eigenes Anknüpfungsereignis
- Ein Datum trennt zwei Haftungsregime
- Die Zahlen des Entwurfs sind Rechengrößen
- Vier Kernvorschriften öffnen den Haftungstatbestand
- Software endet dort, wo Information beginnt
- Die Rolle bestimmt die Haftung, nicht die Firmierung
- Updatefähigkeit verschiebt den Beurteilungszeitpunkt
- Die Open-Source-Ausnahme schützt nicht den Einbinder
- Die Vermutungen greifen nicht von selbst
- Fünf Regime treffen denselben Softwarefehler
- Kenntnis startet die Verjährung, nicht das Erlöschen
- Ohne Aufsichtsbehörde bleibt der Zivilrechtsweg
- Was bis zum 9. Dezember zu klären ist
- Der Stichtag entscheidet je Produkt, nicht je Anbieter
- Sechs Aussagen im Abgleich mit dem Entwurf
- Die Richtung überzeugt, die Begriffe nicht
- Ohne rechtzeitiges Inkrafttreten bleibt das alte Recht
- Häufige Fragen
- Was noch nicht bekannt ist
- Begriffe
- Quellen