Produkthaftung für Software und KI: Neue Regeln ab Dezember

Was die Richtlinie (EU) 2024/2853 und das neue Produkthaftungsgesetz für Softwarehersteller und KI-Anbieter bedeuten

Bislang galt reine Software in Deutschland nicht als Produkt im Sinne des Produkthaftungsgesetzes. Das ändert sich grundlegend: Die neue EU-Produkthaftungsrichtlinie bezieht Software und KI-Systeme ausdrücklich in die verschuldensunabhängige Haftung ein und ist bis zum 9. Dezember 2026 umzusetzen. Für Anbieter bedeutet die neue Produkthaftung für Software und KI, dass ein Fehler im Code, ein fehlendes Sicherheitsupdate oder ein unerwartet lernendes System Schadensersatzansprüche auslösen kann, ohne dass ein Verschulden nachgewiesen werden muss. Dieser Beitrag erklärt die Neuerungen und zeigt, wie sich Unternehmen vorbereiten.

Neue Produkthaftungsrichtlinie: Rechtsgrundlage und Stand der Umsetzung

Die Richtlinie (EU) 2024/2853 vom 23. Oktober 2024 ersetzt die Produkthaftungsrichtlinie von 1985. Sie ist am 9. Dezember 2024 in Kraft getreten und muss nach Art. 22 bis zum 9. Dezember 2026 in nationales Recht umgesetzt werden. Deutschland setzt sie durch ein vollständig neu gefasstes Produkthaftungsgesetz um. Der Regierungsentwurf eines Gesetzes zur Modernisierung des Produkthaftungsrechts liegt als Bundestagsdrucksache 21/4297 vor.

Die erste Lesung im Bundestag fand am 4. März 2026 statt, am 13. April 2026 hörte der Rechtsausschuss Sachverständige an. Nach den verfügbaren Informationen ist das Gesetzgebungsverfahren zum Veröffentlichungsstand dieses Beitrags noch nicht abgeschlossen. Das neue Recht soll im Wesentlichen am 9. Dezember 2026 in Kraft treten. Die in diesem Beitrag genannten Paragrafen beziehen sich deshalb auf den Regierungsentwurf (ProdHaftG-E) und können sich im weiteren Verfahren noch ändern.

Entscheidend ist die Übergangsregel: Für Produkte, die bis einschließlich 8. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden, gilt nach § 23 ProdHaftG-E das bisherige Recht weiter. Das neue Recht erfasst Produkte ab dem 9. Dezember 2026. Unternehmen werden deshalb über Jahre mit zwei Haftungsregimen nebeneinander arbeiten.

Lassen Sie prüfen, welche Ihrer Produkte und Releases vor und welche nach dem Stichtag in Verkehr gebracht werden, denn davon hängt das anwendbare Haftungsrecht ab.

Software und KI-Systeme als Produkt: Was künftig erfasst ist

Kern der Reform ist der erweiterte Produktbegriff. Nach § 2 Abs. 1 Nr. 3 ProdHaftG-E gilt Software künftig als Produkt, unabhängig davon, wie sie bereitgestellt oder genutzt wird. Erfasst sind damit lokal installierte Programme, Apps, Firmware, SaaS-Lösungen und Cloud-Dienste. KI-Systeme fallen ausdrücklich darunter.

• Software jeder Bereitstellungsform: eigenständige Anwendungen ebenso wie eingebettete Steuerungssoftware und KI-Systeme.
• Digitale Konstruktionsunterlagen: etwa Dateien, mit denen sich Gegenstände herstellen lassen, zum Beispiel Vorlagen für 3D-Drucker.
• Verbundene digitale Dienste: Dienste, ohne die ein Produkt eine oder mehrere Funktionen nicht erfüllen kann, gelten als Komponente des Produkts.
• Open-Source-Software: ausgenommen, soweit sie außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird; wer sie in ein kommerzielles Produkt integriert, haftet als Hersteller des Gesamtprodukts.

Wichtig ist die Abgrenzung zum Vertragsrecht. Die Produkthaftung knüpft nicht an mangelnde Funktionsfähigkeit an, sondern an fehlende Sicherheit. Ein Programm, das nur schlecht funktioniert, löst keine Produkthaftung aus. Ein System, das Personen verletzt, Sachen beschädigt oder private Daten vernichtet, dagegen schon.

Lassen Sie Ihr Produktportfolio daraufhin einordnen, welche Software, Dienste und KI-Funktionen künftig als Produkt gelten und wer im Einzelfall als Hersteller anzusehen ist.

Haftung für Software-Updates, Cybersicherheit und lernende KI

Die neue Produkthaftung reicht über den Zeitpunkt des Inverkehrbringens hinaus. Das ist für Softwareanbieter die vielleicht folgenreichste Änderung.

Kontrolle nach dem Inverkehrbringen

Behält der Hersteller nach dem Inverkehrbringen die Kontrolle über das Produkt, etwa weil er Updates oder Upgrades bereitstellen kann, haftet er nach §§ 8 Abs. 2, 9 Abs. 2 ProdHaftG-E auch für Fehler, die erst durch spätere Updates entstehen oder die auf das Unterlassen erforderlicher Sicherheitsupdates zurückgehen. Ein fehlerhaftes Update kann damit ebenso haftungsauslösend sein wie ein nicht bereitgestellter Sicherheitspatch.

Cybersicherheit als Teil des Fehlerbegriffs

Bei der Beurteilung, ob ein Produkt fehlerhaft ist, sind nach § 7 ProdHaftG-E ausdrücklich auch sicherheitsrelevante Anforderungen an die Cybersicherheit zu berücksichtigen. Eine bekannte, aber nicht geschlossene Sicherheitslücke kann den Produktfehler begründen. Hier greifen Produkthaftung, Cyber Resilience Act und KI-Verordnung ineinander: Nach Art. 42 Abs. 3 KI-VO in der Fassung des Digital Omnibus begründet die Konformität mit dem Cyber Resilience Act eine Vermutung der Konformität mit den Cybersicherheitsanforderungen des Art. 15 KI-VO. Wie sich Sicherheitsvorfälle bei KI-Systemen haftungsrechtlich auswirken, zeigt unser Beitrag zum KI-Hackerangriff.

Selbstlernende Systeme und Wechselwirkungen

Ebenfalls zu berücksichtigen ist die Fähigkeit eines Produkts, nach dem Inverkehrbringen weiterzulernen oder neue Funktionen zu erwerben. Entwickelt ein KI-System dadurch ein gefährliches Verhalten, kann es fehlerhaft sein. Hinzu kommen vernünftigerweise vorhersehbare Wechselwirkungen mit anderen Produkten, etwa in vernetzten Umgebungen. Behördliche Rückrufe und vergleichbare Maßnahmen sind bei der Fehlerbeurteilung zu berücksichtigen, begründen für sich allein aber keine Fehlervermutung.

Lassen Sie Ihr Update-, Patch- und Monitoring-Management rechtlich bewerten, denn nach dem neuen Recht wird die Pflege eines Produkts selbst zur Haftungsfrage.

Wer haftet und für welche Schäden: Erweiterter Kreis der Haftenden

Primär haftet der Hersteller, also wer ein Produkt entwickelt, herstellen lässt oder unter eigenem Namen oder eigener Marke vertreibt. Das neue Recht erweitert den Kreis der Verantwortlichen erheblich. Neben Herstellern und Importeuren können der Bevollmächtigte eines Herstellers aus einem Drittstaat, Fulfilment-Dienstleister, Lieferanten und unter bestimmten Voraussetzungen Online-Plattformen in Anspruch genommen werden. Wer ein Produkt ohne Einverständnis des Herstellers wesentlich verändert und erneut bereitstellt, gilt für das veränderte Produkt als Hersteller. Das kann auch bei tiefgreifenden Software-Upgrades oder beim Nachtrainieren eines KI-Systems relevant werden.

Auch der Schadensumfang wächst. Der bisherige Selbstbehalt von 500 Euro bei Sachschäden und die Haftungshöchstgrenze von 85 Millionen Euro bei Personenschäden entfallen ersatzlos. Ersatzfähig sind künftig ausdrücklich medizinisch anerkannte psychische Gesundheitsschäden sowie die Vernichtung oder Beschädigung von Daten, die nicht für berufliche Zwecke genutzt werden. Schäden an ausschließlich beruflich genutzten Sachen und Daten bleiben ausgenommen. Die absolute Ausschlussfrist beträgt grundsätzlich zehn Jahre, bei latenten Gesundheitsschäden 25 Jahre.

Mehrere Verantwortliche haften als Gesamtschuldner. Haftungsausschlüsse zulasten Geschädigter sind unwirksam. Im Verhältnis der Unternehmen untereinander entscheidet deshalb der Vertrag, wer den Schaden am Ende trägt. Rückgriffsrechte, Freistellungen und Informationspflichten gegenüber Zulieferern und KI-Anbietern gehören in jede Vertragsprüfung. Unterstützung bietet unsere KI-Vertragsprüfung.

Lassen Sie Lieferanten-, Lizenz- und Plattformverträge vor dem Stichtag auf Regressregeln, Freistellungen und Informationspflichten prüfen.

Beweiserleichterungen und Offenlegungspflichten im Produkthaftungsprozess

Bisher mussten Geschädigte Fehler, Schaden und Ursachenzusammenhang vollständig beweisen. Bei komplexer Software war das kaum möglich. Die Reform führt deshalb zwei Instrumente ein, die die Prozesslage deutlich zugunsten der Anspruchsteller verschieben.

Nach § 19 ProdHaftG-E kann das Gericht auf Antrag anordnen, dass der Hersteller relevante Beweismittel offenlegt, sofern der Geschädigte seinen Anspruch plausibel dargelegt hat. Dazu können Entwicklungsunterlagen, Testberichte, Sicherheitskonzepte und Erkenntnisse aus der Produktbeobachtung gehören. Die Offenlegung ist auf das Erforderliche und Verhältnismäßige beschränkt, Geschäftsgeheimnisse sind nach dem Geschäftsgeheimnisgesetz zu schützen.

§ 20 ProdHaftG-E enthält gesetzliche Vermutungen. Ein Fehler wird vermutet, wenn der Hersteller eine angeordnete Offenlegung verweigert, wenn das Produkt verbindliche Sicherheitsanforderungen nicht erfüllt oder wenn der Schaden durch eine offensichtliche Funktionsstörung bei vorhersehbarem Gebrauch entstanden ist. Ist der Beweis wegen technischer oder wissenschaftlicher Komplexität übermäßig schwierig, genügt es, dass Fehler oder Ursachenzusammenhang wahrscheinlich sind. Diese Komplexitätsregel zielt erkennbar auf KI-Systeme.

Hier zeigt sich die Verbindung zur KI-Verordnung: Wer die Pflichten der KI-Verordnung nicht einhält, riskiert, dass daraus ein Verstoß gegen verbindliche Sicherheitsanforderungen abgeleitet wird. Umgekehrt ist eine sorgfältige Dokumentation im Haftungsprozess das wirksamste Verteidigungsmittel. Wie eine belastbare Nachweisstruktur aufgebaut wird, beschreibt unsere Seite zur KI-Dokumentationspflicht. Welche Pflichten der KI-Verordnung derzeit gelten, fasst unser Beitrag zu den Pflichten nach dem Digital Omnibus zusammen.

Lassen Sie Ihre technische Dokumentation so strukturieren, dass sie im Streitfall entlastet und Geschäftsgeheimnisse von vornherein klar gekennzeichnet sind.

Vorbereitung auf die neue Produkthaftung: Checkliste für Software- und KI-Anbieter

Bis zum 9. Dezember 2026 bleibt wenig Zeit. Folgende Schritte sollten Anbieter jetzt angehen:

• Haftungsrolle bestimmen: für jedes Produkt klären, ob das Unternehmen Hersteller, Importeur, Bevollmächtigter, Plattform oder wesentlicher Veränderer ist.
• Portfolio und Stichtag abgleichen: festhalten, welche Produkte und Versionen vor oder nach dem 9. Dezember 2026 in Verkehr gebracht werden.
• Update- und Patch-Prozesse dokumentieren: Test, Freigabe, Auslieferung und Supportzeiträume nachvollziehbar regeln.
• KI-Systeme überwachen: Verhalten nach dem Inverkehrbringen beobachten, Modelländerungen dokumentieren und Eingriffsmöglichkeiten sichern.
• Dokumentation prozessfest machen: Entwicklungs-, Test- und Sicherheitsunterlagen strukturiert ablegen und Geschäftsgeheimnisse markieren.
• Verträge anpassen: Regress, Freistellung, Informations- und Kooperationspflichten mit Zulieferern, Modellanbietern und Kunden regeln.
• Versicherungsschutz prüfen: Deckungssummen und Bedingungen der Produkthaftpflichtversicherung an den Wegfall der Haftungsobergrenze und neue Schadensarten anpassen.

Die Aufgaben überschneiden sich stark mit den Anforderungen der KI-Verordnung. Wer Inventar, Rollenklärung und Dokumentation ohnehin aufbaut, sollte beide Regelwerke in einem gemeinsamen Prozess abbilden, etwa unter der Koordination eines externen KI-Beauftragten. Kommt es zu behördlichen Maßnahmen wegen eines unsicheren Systems, zeigt unser Beitrag zur KI-Aufsicht der Bundesnetzagentur, welche Rechte Unternehmen im Verfahren haben.

Wann lohnt sich anwaltliche Beratung zur Produkthaftung für Software und KI?

Beratung ist sinnvoll, sobald ein Unternehmen Software, KI-Funktionen oder vernetzte Produkte entwickelt, unter eigenem Namen vertreibt, in Produkte integriert oder wesentlich verändert. Gerade die Bestimmung der Haftungsrolle, die Abgrenzung zwischen altem und neuem Recht und die Gestaltung von Regressklauseln lassen sich vor dem Stichtag deutlich einfacher lösen als im Schadensfall.

Kommt es zu einem Schadensfall, zählen andere Fragen: Wie wird mit einem Offenlegungsantrag umgegangen, wie lassen sich gesetzliche Vermutungen entkräften, und wie werden Geschäftsgeheimnisse im Prozess geschützt? Parallel kann ein behördliches Verfahren nach der KI-Verordnung laufen, dessen Ergebnis sich auf den Haftungsprozess auswirkt.

Rogert & Ulbrich berät Software- und KI-Anbieter zu Produkthaftung, Verträgen und KI-Compliance und vertritt Unternehmen im Haftungsprozess sowie im Aufsichts- und Bußgeldverfahren. Die Kanzlei mit Sitz in Düsseldorf arbeitet bundesweit und auf Deutsch, Englisch und Niederländisch, was bei internationalen Lieferketten und ausländischen Modellanbietern die Abstimmung erleichtert.

Lassen Sie Ihre Haftungsrisiken vor dem 9. Dezember 2026 einordnen und vereinbaren Sie eine Ersteinschätzung.

Fazit: Produkthaftung für Software und KI wird zur Pflichtaufgabe

Mit der neuen Produkthaftungsrichtlinie endet die Sonderstellung von Software. Softwareprodukte, SaaS-Dienste und KI-Systeme unterliegen künftig der verschuldensunabhängigen Haftung, einschließlich der Verantwortung für Updates, Cybersicherheit und lernende Systeme. Haftungshöchstgrenze und Selbstbehalt entfallen, und Offenlegungspflichten sowie gesetzliche Vermutungen stärken die Position von Geschädigten deutlich.

Unternehmen, die ihre Rolle klären, Update-Prozesse und Dokumentation strukturieren und ihre Verträge anpassen, schaffen die Grundlage für eine wirksame Verteidigung. Weil sich die Anforderungen mit der KI-Verordnung überschneiden, lohnt ein gemeinsamer Ansatz für Compliance und Haftungsvorsorge.

Rechtsstand: 15. September 2026. Berücksichtigt sind die Richtlinie (EU) 2024/2853, der Regierungsentwurf zur Modernisierung des Produkthaftungsrechts (BT-Drs. 21/4297) und die KI-Verordnung in der Fassung der Verordnung (EU) 2026/1744.

FAQs: Häufig gestellte Fragen zur Produkthaftung für Software und KI