Kurz beantwortet: Die neue Produkthaftungsrichtlinie kennt einen Katalog von Haftungsausschlüssen, etwa dass der Hersteller das Produkt nicht in Verkehr gebracht hat, dass der Fehler bei Inverkehrbringen noch nicht bestand oder die Entwicklungsrisiko-Einrede. Für Software greift die praktisch wichtigste dieser Einreden gerade nicht, wenn der Fehler auf Software, Updates oder fehlende Sicherheitsaktualisierungen zurückgeht, die der Kontrolle des Herstellers unterliegen. Die Ausschlüsse sind deshalb keine Sicherheitsnetze, sondern eng begrenzte Ausnahmen, die der Hersteller jeweils selbst beweisen muss.

Wer haftet, will auch wissen, wann er nicht haftet. Die neue EU-Produkthaftungsrichtlinie (Richtlinie (EU) 2024/2853) enthält einen Katalog von Haftungsausschlüssen. Für Software- und KI-Hersteller ist entscheidend, dass die wichtigste dieser Einreden gerade bei Software durchlöchert ist. Wer sich auf die alte „Entwicklungsrisiko“-Verteidigung verlässt, geht bei vernetzten und updatefähigen Produkten fehl.

Das Wichtigste in Kürze

  • Art. 11 Abs. 1 RL 2024/2853 zählt die Umstände auf, bei deren Nachweis ein Wirtschaftsakteur nicht haftet, darunter die Entwicklungsrisiko-Einrede.
  • Die Beweislast für jeden Befreiungsgrund trägt der Hersteller.
  • Für Software greift die Entwicklungsrisiko-Einrede gerade nicht, wenn der Fehler auf kontrollierter Software, Updates oder fehlenden Sicherheitsaktualisierungen beruht (Art. 11 Abs. 2 RL 2024/2853).
  • Ein unterlassenes sicherheitsrelevantes Update kann ein zunächst sicheres Produkt nachträglich fehlerhaft machen.

Welche Befreiungsgründe zählt Artikel 11 auf?

Art. 11 Abs. 1 RL 2024/2853 zählt die Umstände auf, bei deren Nachweis ein Wirtschaftsakteur nicht haftet. Dazu gehören unter anderem: dass er das Produkt nicht in Verkehr gebracht hat (lit. a); dass die Fehlerhaftigkeit zum Zeitpunkt des Inverkehrbringens wahrscheinlich noch nicht bestand (lit. c); dass die Fehlerhaftigkeit darauf beruht, dass das Produkt zwingenden rechtlichen Anforderungen entspricht (lit. d); und, die praktisch wichtigste, die Entwicklungsrisiko-Einrede: dass der Fehler nach dem objektiven Stand von Wissenschaft und Technik zum maßgeblichen Zeitpunkt nicht erkennbar war (lit. e). Die Beweislast für diese Umstände trägt jeweils der Hersteller.

Warum trägt die Entwicklungsrisiko-Einrede bei Software gerade nicht?

Für Softwareunternehmen ist Art. 11 Abs. 2 RL 2024/2853 der eigentliche Kern. Danach wird ein Wirtschaftsakteur gerade nicht von der Haftung befreit, auch nicht über lit. c, wenn die Fehlerhaftigkeit zurückzuführen ist auf einen verbundenen Dienst, auf Software einschließlich Updates oder Upgrades, auf das Fehlen sicherheitsrelevanter Updates oder auf eine wesentliche Änderung des Produkts, sofern diese Umstände der Kontrolle des Herstellers unterliegen. Wer die Software und ihre Updates kontrolliert, kann sich damit nicht darauf berufen, der Fehler sei erst nach dem Inverkehrbringen entstanden. Die dynamische Natur von Software wird zum Haftungsverstärker, nicht zur Entlastung.

Wie wird das Fehlen von Updates zur Haftungsquelle?

Besonders folgenreich ist der Ausschluss für das Fehlen sicherheitsrelevanter Updates. Ein Produkt, das zum Zeitpunkt der Auslieferung sicher war, kann durch eine unterlassene Sicherheitsaktualisierung fehlerhaft werden, und der Hersteller haftet. Die Pflicht, Sicherheitsupdates bereitzustellen, wird damit haftungsrechtlich unterlegt und verzahnt sich mit den Vorgaben des Cyber Resilience Act. Wer den Support zu früh einstellt, öffnet ein Haftungsfenster. Wie diese Update-Pflicht bereits während der laufenden Kontrolle des Herstellers wirkt, ordnet der Beitrag zu Updates und Cybersecurity ein.

Befreiungsgrund Norm Trägt bei Software?
Produkt nicht in Verkehr gebracht Art. 11 Abs. 1 lit. a RL 2024/2853 Ja
Fehler bestand bei Inverkehrbringen noch nicht Art. 11 Abs. 1 lit. c RL 2024/2853 Nein, wenn Ursache in kontrollierter Software liegt
Konformität mit zwingenden Vorgaben Art. 11 Abs. 1 lit. d RL 2024/2853 Ja, bei lückenloser Compliance-Doku
Entwicklungsrisiko-Einrede Art. 11 Abs. 1 lit. e RL 2024/2853 Nein, bei kontrollierter Software (Art. 11 Abs. 2 RL 2024/2853)

Was sollten Sie daraus für Ihre Praxis ableiten?

  • Entwicklungsrisiko neu bewerten: Die Einrede trägt bei kontrollierter Software gerade nicht.
  • Update-Strategie absichern: Sicherheitsupdates über den gesamten Unterstützungszeitraum planen und dokumentieren.
  • Kontrolle abgrenzen: Vertraglich und technisch klären, welche Komponenten und Dienste Ihrer Kontrolle unterliegen.
  • Konformität nachweisen: Die Einrede der Rechtskonformität (lit. d) setzt lückenlose Compliance-Dokumentation voraus.

Die Richtlinie gilt für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht werden. Die Haftungsausschlüsse sollten Sie also nicht als Sicherheitsnetz, sondern als eng begrenzte Ausnahme verstehen. Die Gesamtübersicht bietet der Leitfaden zur Produkthaftung für Software & KI.

Häufige Fragen

Welche Haftungsausschlüsse kennt die Produkthaftungsrichtlinie?

Art. 11 Abs. 1 RL 2024/2853 nennt unter anderem, dass der Wirtschaftsakteur das Produkt nicht in Verkehr gebracht hat, dass die Fehlerhaftigkeit zum Zeitpunkt des Inverkehrbringens wahrscheinlich noch nicht bestand, dass das Produkt zwingenden rechtlichen Anforderungen entspricht, sowie die Entwicklungsrisiko-Einrede. Die Beweislast trägt jeweils der Hersteller.

Was bedeutet die Entwicklungsrisiko-Einrede?

Die Entwicklungsrisiko-Einrede nach Art. 11 Abs. 1 lit. e RL 2024/2853 befreit den Hersteller, wenn der Fehler nach dem objektiven Stand von Wissenschaft und Technik zum maßgeblichen Zeitpunkt nicht erkennbar war.

Warum trägt die Entwicklungsrisiko-Einrede bei Software oft nicht?

Nach Art. 11 Abs. 2 RL 2024/2853 wird der Wirtschaftsakteur nicht befreit, wenn die Fehlerhaftigkeit auf einen verbundenen Dienst, auf Software einschließlich Updates, auf das Fehlen sicherheitsrelevanter Updates oder auf eine wesentliche Änderung zurückgeht, sofern diese Umstände seiner Kontrolle unterliegen.

Haftet der Hersteller für fehlende Sicherheitsupdates?

Ein Produkt, das zum Zeitpunkt der Auslieferung sicher war, kann durch eine unterlassene Sicherheitsaktualisierung fehlerhaft werden, sodass der Hersteller haftet. Wer den Support zu früh einstellt, öffnet damit ein Haftungsfenster.

Quellen & Rechtsgrundlagen

Sie wollen wissen, worauf Sie sich bei Softwarefehlern noch berufen können? In einem 30-minütigen Erstgespräch klären wir die Haftungsausschlüsse für Ihr Produkt. Für die vertragliche Umsetzung begleitet Sie die Rechtsberatung im IT-Recht.

→ Erstgespräch anfragen