Produkthaftung für Software & KI: Der Leitfaden
Die neue EU-Produkthaftungsrichtlinie (Richtlinie (EU) 2024/2853) stellt Software und KI mit klassischen Produkten gleich: mit verschuldensunabhängiger Haftung, Beweiserleichterungen und Haftung für fehlende Sicherheitsupdates. Als Richtlinie wirkt sie nicht automatisch, Deutschland muss sie bis zum 9. Dezember 2026 in ein eigenes Umsetzungsgesetz gießen. Was bis dahin zählt.
◆Stand: September 2026 · Umsetzungsfrist: 9. Dezember 2026
1. Was sich ändert
Die EU hat ihre Produkthaftung grundlegend modernisiert. Die neue Richtlinie (EU) 2024/2853 löst die alte Regelung von 1985 ab und bezieht Software und KI ausdrücklich als Produkte ein. Damit gilt auch für digitale Produkte die verschuldensunabhängige Haftung: Geschädigte müssen kein Verschulden nachweisen, sondern nur Fehler, Schaden und Ursachenzusammenhang.
Für Softwareunternehmen ist das ein Paradigmenwechsel: Wer Software oder KI in Verkehr bringt, haftet künftig ähnlich streng wie ein klassischer Produkthersteller.
2. Wen es trifft
Die Haftung trifft nicht nur den klassischen Hersteller. Erfasst werden u. a.:
- Entwickler und Anbieter von Software und KI-Systemen,
- wer ein Produkt unter eigenem Namen oder eigener Marke vertreibt,
- wer ein bestehendes Produkt außerhalb der Kontrolle des Herstellers wesentlich verändert und bereitstellt,
- Hersteller fehlerhafter Komponenten, die unter der Kontrolle des Produktherstellers integriert wurden,
- bei Herstellern außerhalb der EU Importeure, Bevollmächtigte und nachrangig Fulfilment-Dienstleister,
- subsidiär Lieferanten und Online-Plattformen, wenn sich kein Verantwortlicher mit EU-Sitz ermitteln lässt.
Gerade bei zusammengesetzten digitalen Produkten lohnt der genaue Blick, wer im konkreten Fall als Verantwortlicher gilt.
Anspruch haben nach der Richtlinie nur natürliche Personen (Art. 5 Abs. 1 RL 2024/2853). Ihr Unternehmenskunde selbst kann deshalb keinen Anspruch aus der Richtlinie geltend machen, dessen Beschäftigte bei Personenschäden sehr wohl.
3. Software & KI als „Produkt“
Bislang war umstritten, ob reine Software ein Produkt im Sinne der Produkthaftung ist. Die neue Richtlinie stellt klar: Software zählt dazu, unabhängig davon, ob sie auf einem Datenträger, in der Cloud oder als eingebettete Komponente bereitgestellt wird. Auch KI-Systeme fallen darunter. Reine Open-Source-Software außerhalb einer geschäftlichen Tätigkeit ist nach der Richtlinie grundsätzlich ausgenommen.
4. Der neue Fehlerbegriff
Ein Produkt ist fehlerhaft, wenn es nicht die Sicherheit bietet, die man erwarten darf. Neu ist, was dabei ausdrücklich mitzählt:
Fehlende Updates
Auch das Ausbleiben sicherheitsrelevanter Updates kann einen Fehler begründen. Ihre Verantwortung endet nicht mit dem Release.
Cybersicherheit
Sicherheitslücken und mangelnde Resilienz gegen Angriffe fließen in die Fehlerbewertung ein.
Lern- & Folgeverhalten
Bei KI zählt auch, wie sich das System nach dem Inverkehrbringen weiterentwickelt, nicht nur der Auslieferungszustand.
Vernetzung & Datenversorgung
Auch das Zusammenspiel mit anderen Produkten und Diensten kann die Sicherheitserwartung prägen.
5. Beweiserleichterungen für Geschädigte
Der praktisch größte Hebel liegt in der erleichterten Beweisführung, die die Richtlinie Geschädigten einräumt. Unternehmen können zur Offenlegung von Beweismitteln verpflichtet werden, und ist der Nachweis in technisch komplexen Fällen, gerade bei KI, übermäßig schwierig und macht der Geschädigte Fehler oder Ursachenzusammenhang wahrscheinlich, werden sie vermutet. Diese Vermutung ist widerlegbar, verschiebt aber die Last spürbar in Richtung der Anbieter. Wer seine Sorgfalt dokumentiert, ist hier klar im Vorteil.
6. Der Stichtag 9. Dezember 2026: Richtlinie statt Verordnung
Hier lohnt eine genaue Unterscheidung, die in der öffentlichen Diskussion oft verschwimmt. Der EU AI Act ist eine Verordnung: Er gilt unmittelbar in jedem Mitgliedstaat, ohne dass ein nationales Gesetz dazwischentritt. Die neue Produkthaftung ist dagegen eine Richtlinie, die die Mitgliedstaaten zu einem Ergebnis verpflichtet, aber nicht von selbst gegenüber Unternehmen wirkt. Deutschland muss die Richtlinie (EU) 2024/2853 erst durch ein eigenes Umsetzungsgesetz in nationales Recht gießen. Das geschieht mit einem neuen Produkthaftungsgesetz, das das bisherige ProdHaftG ablöst.
Die Richtlinie ist am 8. Dezember 2024 in Kraft getreten. Die Umsetzungsfrist für die Mitgliedstaaten läuft bis zum 9. Dezember 2026. Die neuen Regeln gelten für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden (Art. 2 Abs. 1 der Richtlinie in der Fassung der Berichtigung vom 7. Mai 2026: „nach dem 8. Dezember 2026“). Der Bundestag hat das Gesetz zur Modernisierung des Produkthaftungsrechts am 8. Oktober 2026 beschlossen (Regierungsentwurf BT-Drs. 21/4297, Beschlussempfehlung BT-Drs. 21/8429). Der Bundesrat hat am 16. Oktober 2026 keinen Antrag auf Einberufung des Vermittlungsausschusses gestellt (BR-Drs. 584/26 (B)). Es fehlen nur noch Ausfertigung und Verkündung (Stand 17. Oktober 2026). Wer früh ordnet, geht ohne Zeitdruck in den Stichtag hinein.
Das beschlossene deutsche Gesetz. Es schafft ein neues Produkthaftungsgesetz, das am 9. Dezember 2026 in Kraft treten soll; das bisherige ProdHaftG tritt am selben Tag außer Kraft und gilt für Produkte, die bis einschließlich 8. Dezember 2026 in Verkehr gebracht wurden, weiter (§ 23). Das neue Gesetz ersetzt Datenschäden nur, wenn die Daten nicht (auch) beruflich genutzt werden (§ 1 Abs. 2 Nr. 3), nennt Software als Produkt samt Ausnahme für Open-Source-Software (§ 2 Abs. 1 Nr. 3) und regelt Komponenten und verbundene Dienste (§ 4) sowie die wesentliche Änderung (§ 5). Cybersicherheitsanforderungen sind bei der Fehlerbeurteilung zu berücksichtigen (§ 7 Nr. 5). Die Haftungsausschlüsse stehen in § 9, die Regeln zu Software-Updates in § 9 Abs. 2, und die §§ 10 bis 13 betreffen Importeur und Bevollmächtigten, Fulfilment-Dienstleister, Lieferanten mit einer Benennungsfrist von einem Monat sowie Online-Plattformen. Den Entwicklungsrisiko-Ausschluss sieht das Gesetz weiterhin vor, der Selbstbehalt bei Sachschäden und die Haftungshöchstgrenze bei Personenschäden entfallen. Der Rechtsausschuss hat den Entwurf im Produkthaftungsrecht nur bei der Offenlegung von Beweismitteln geändert (§ 19): Die Offenlegung kann jetzt auch gegenüber Dritten angeordnet werden, und zum Schutz von Geschäftsgeheimnissen kann das Gericht einen Sachverständigen in einem selbstständigen Beweisverfahren hinzuziehen, zu dem die anderen Parteien nur über ihre Prozessvertreter Zugang erhalten. Die Paragrafenangaben entsprechen der beschlossenen Fassung (Quellen: BT-Drs. 21/4297; BT-Drs. 21/8429; BR-Drs. 584/26 (B); Wahl/Nikolay, ZfPC 2026, 64).
7. Was bis dahin zu tun ist
Bis zum 9. Dezember 2026 bleibt Zeit, vier Punkte in der eigenen Organisation zu ordnen:
- Produktinventur: Welche Software- und KI-Angebote bringen Sie nach dem Stichtag neu oder in wesentlich veränderter Form in Verkehr, und fallen sie damit unter die neuen Regeln?
- Update- und Sicherheitsprozesse dokumentieren: Patch-Management und Schwachstellenbehebung werden haftungsrelevant, ihre Dokumentation ist Ihr Nachweis.
- Verträge in der Lieferkette prüfen: Wer haftet gegenüber wem, und tragen Regress- und Freistellungsklauseln zwischen Hersteller, Integrator und „wesentlich Veränderndem“?
- Versicherungsschutz prüfen: Deckt Ihre Produkthaftpflicht auch Software-, KI- und Cyberrisiken in der neuen Schärfe ab?
8. Alle Vertiefungs-Beiträge nach Anlass
Die Beiträge dieses Clusters vertiefen einzelne Stationen der neuen Produkthaftung. Am schnellsten finden Sie den passenden, wenn Sie ihn nach Ihrem aktuellen Anlass wählen:
Bin ich betroffen?
- Produkthaftung verstehen: die verschuldensunabhängige Haftung nach dem ProdHaftG (§ 1, § 3 ProdHaftG): die Grundlagen vor der Reform, als Ausgangspunkt für den Vergleich.
- Software als Produkt: warum die neue PLD ab Dezember 2026 alles ändert (Art. 4 RL 2024/2853): ob und wie Ihr Angebot künftig als Produkt gilt.
- Wer haftet? Die Wirtschaftsakteure-Kette (Art. 8 RL 2024/2853): Hersteller, Komponentenhersteller, Importeur oder wesentlich Verändernder, und welche Rolle Sie dabei einnehmen.
Was ändert sich?
- Haftung für Updates und Cybersecurity unter der neuen Produkthaftung: warum ein unterlassenes Sicherheitsupdate zum Produktfehler werden kann.
- Welche Schäden ersetzt die neue Produkthaftung? (Art. 6 RL 2024/2853): Personen-, Sach- und erstmals Datenschäden.
- Verjährung und Ausschlussfrist (Art. 16, 17 RL 2024/2853): der Zeithorizont für Dokumentation und Versicherung.
- Beweislast und Offenlegung von Beweismitteln (Art. 9, 10 RL 2024/2853): warum Dokumentation zur Verteidigung wird.
- Wann Softwarehersteller nicht haften (Art. 11 RL 2024/2853): und warum die Einrede des später entstandenen Fehlers bei kontrollierter Software nicht trägt.
- Deliktische Produzentenhaftung neben dem ProdHaftG (§ 823 BGB): warum beide Haftungssysteme nebeneinander gelten, unabhängig vom Umsetzungsstand.
Was tun?
- Überblick: Software & KI haften ab Dezember 2026: der schnelle Einstieg mit den fünf wichtigsten Punkten und den vier Schritten bis zum Stichtag.
Sie wollen wissen, wie hart Sie die neue Produkthaftung trifft? Wir prüfen Ihre Haftungslage und Ihre Verträge und setzen die Punkte um, die vor dem Stichtag zählen.
Häufige Fragen
Neue Produkthaftung: rechtzeitig prüfen, was Ihre Software betrifft.
Ich ordne Ihre Haftungslage ein: Was ändert sich konkret, wo besteht Handlungsbedarf, welche Verträge und Prozesse gehören angepasst.
Erstgespräch anfragenDas Formular ist der erste Schritt. Ich melde mich innerhalb von 48 Stunden an Werktagen persönlich. Wenn es passt, vereinbaren wir danach den Termin.