Bisher war Software ein Sonderfall: Ob ein fehlerhaftes Programm überhaupt unter die Produkthaftung fällt, war jahrelang umstritten. Damit ist Schluss. Die neue EU-Produkthaftungsrichtlinie stellt Software, einschließlich KI, ausdrücklich den klassischen Industrieprodukten gleich. Für jedes Unternehmen, das Software entwickelt, vertreibt oder wesentlich verändert, verschiebt das die Haftung spürbar, mit einer Umsetzungsfrist, die Sie sich merken sollten: 9. Dezember 2026.

Das Wichtigste in Kürze

  • Die neue Produkthaftungsrichtlinie stellt Software einschließlich KI ausdrücklich den klassischen Produkten gleich.
  • Sie ist seit dem 8. Dezember 2024 in Kraft und bis zum 9. Dezember 2026 in nationales Recht umzusetzen.
  • Es bleibt bei der verschuldensunabhängigen Haftung: Die geschädigte Person muss Fehler, Schaden und Ursachenzusammenhang nachweisen, kein Verschulden.
  • Updates, Cybersicherheit, dazulernende KI und Datenverlust werden haftungsrelevant, und der Kreis der Haftenden erweitert sich.

Eine Checkliste mit den Prüfpunkten für Softwareanbieter bis zum 9. Dezember 2026 finden Sie weiter unten in diesem Beitrag, auf Wunsch auch als PDF zum Abhaken.

Worum es geht: in drei Sätzen

Die neue Produkthaftungsrichtlinie (Richtlinie (EU) 2024/2853) ersetzt die alte Regelung von 1985. Als Richtlinie gilt sie nicht unmittelbar: Sie ist seit dem 8. Dezember 2024 in Kraft und muss von den Mitgliedstaaten bis zum 9. Dezember 2026 in nationales Recht umgesetzt werden. Erst das jeweilige nationale Umsetzungsgesetz verpflichtet Unternehmen unmittelbar, in Deutschland ein neues Produkthaftungsgesetz, das der Bundestag am 8. Oktober 2026 beschlossen hat und das am 9. Dezember 2026 in Kraft treten soll. Es bleibt bei der verschuldensunabhängigen Haftung: Der Geschädigte muss kein Verschulden nachweisen, sondern Fehler, Schaden und Ursachenzusammenhang. Anspruch haben nur natürliche Personen (Art. 5 Abs. 1): Ein Unternehmenskunde selbst kann keinen Anspruch aus der Richtlinie geltend machen, dessen Beschäftigte bei Personenschäden schon.

Wie die einzelnen Stationen der neuen Produkthaftung im Detail geregelt sind, mit den jeweiligen Artikeln der Richtlinie, ordnet der ausführliche Leitfaden zur Produkthaftung für Software & KI ein.

Die entscheidende Neuerung: Software ist ein Produkt

Software fällt künftig ausdrücklich unter die Produkthaftung, unabhängig davon, wie sie bereitgestellt wird: lokal installiert, aus der Cloud, als SaaS. KI-Systeme gelten dabei als Unterfall von Software. Auch Software-Updates und -Upgrades sind erfasst. Damit endet die alte Diskussion, ob ein reiner Programmierfehler ein „Produktfehler" sein kann.

Die fünf Punkte, die für Software- und KI-Anbieter zählen

  • Updates und Cybersicherheit werden haftungsrelevant. Eine generelle Pflicht zu Updates schafft die Richtlinie nicht (Erwägungsgrund 51). Unterbleibt aber ein nötiges Sicherheitsupdate, oder wird ein fehlerhaftes ausgespielt, kann das die Fehlerhaftigkeit des Produkts begründen. Die Verantwortung endet nicht mit der Auslieferung.
  • KI, die dazulernt. Der Hersteller kann auch für Fehler einstehen, die erst durch das fortlaufende Lernen eines KI-Systems nach dem Inverkehrbringen entstehen. Selbstanpassung entlässt nicht automatisch aus der Haftung.
  • Datenverlust kann ein ersatzfähiger Schaden sein. Erfasst werden künftig auch Vernichtung oder Beschädigung von Daten, die nicht für berufliche Zwecke genutzt werden. Schon eine teilweise berufliche Nutzung schließt den Ersatz aus, was für IT- und Cloud-Produkte im B2B-Geschäft zentral ist. Welche drei Schadensarten die Richtlinie abschließend nennt, ordnet der Beitrag zu ersatzfähigen Schäden nach der PLD ein.
  • Mehr Haftende. Neben dem Hersteller haften Hersteller fehlerhafter Komponenten. Sitzt der Hersteller außerhalb der EU, haften zusätzlich Importeur und Bevollmächtigter, fehlen beide, der Fulfilment-Dienstleister. Lieferanten und Online-Plattformen können subsidiär haften, wenn sich kein Verantwortlicher mit EU-Sitz ermitteln lässt. Wer eine Software außerhalb der Kontrolle des Herstellers wesentlich verändert und bereitstellt, haftet wie ein Hersteller. Die vollständige Haftungskette zeigt der Beitrag zu den haftenden Wirtschaftsakteuren.
  • Beweiserleichterungen für Geschädigte. Ist der Nachweis bei technisch komplexen Produkten übermäßig schwierig und macht der Geschädigte Fehler oder Ursachenzusammenhang wahrscheinlich, werden sie widerlegbar vermutet. Hinzu kommt: Gerichte können auf Antrag die Offenlegung technischer Informationen anordnen. Details zu Vermutungsregeln und Offenlegungsanspruch ordnet der Beitrag zu Beweislast und Offenlegung nach der PLD ein. Wer sich verweigert, riskiert, dass der Fehler vermutet wird.

Wie lange Sie haften

Grundsätzlich gilt eine Haftung von zehn Jahren ab Inverkehrbringen. Bei Personenschäden mit langer Latenzzeit kann sich dieser Zeitraum auf bis zu 25 Jahre verlängern. Nur wenn ein Produkt wesentlich verändert wird, auch per Update, beginnt die Frist neu zu laufen.

Eine wichtige Ausnahme: Open Source

Freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird, fällt nicht unter die Richtlinie (Art. 2 Abs. 2). Wird Software gegen einen Preis bereitgestellt oder gegen personenbezogene Daten, die nicht ausschließlich der Sicherheit, Kompatibilität oder Interoperabilität dienen, liegt eine Geschäftstätigkeit vor (Erwägungsgrund 14). Integrieren Sie freie Software im Rahmen Ihrer Geschäftstätigkeit als Komponente in Ihr Produkt, können Sie für deren Fehler als Hersteller haften; der Entwickler der nicht kommerziell bereitgestellten Software haftet dagegen nicht (Erwägungsgrund 15). Die Abgrenzung ist im Einzelfall sorgfältig zu prüfen.

Und die KI-Haftungsrichtlinie?

Die ursprünglich geplante separate KI-Haftungsrichtlinie wurde von der EU-Kommission zurückgezogen. Damit ist die Produkthaftungsrichtlinie das zentrale EU-Instrument für die verschuldensunabhängige Haftung bei KI. Für verschuldensabhängige Ansprüche bleibt es beim nationalen Recht (in Deutschland insbesondere § 823 BGB), flankiert vom AI Act als Produktsicherheitsrahmen.

Vier Schritte, die Sie jetzt gehen sollten

  1. Produktinventur: Welche Ihrer Software- und KI-Angebote werden ab dem 9. Dezember 2026 in Verkehr gebracht?
  2. Update- und Security-Prozesse: Sind Patch-Management und Schwachstellenbehebung vertraglich und organisatorisch sauber geregelt?
  3. Lieferkette: Greifen Regress- und Freistellungsklauseln zwischen Hersteller, Integrator und „wesentlich Verändernden"?
  4. Versicherung: Deckt Ihre Produkthaftpflicht auch Software-, KI- und Cyberrisiken ab?

Fazit

Die neue Produkthaftung ist kein Grund, digitale Produkte zu fürchten, sondern ein Grund, Verträge, Update-Prozesse und Versicherungsschutz vor dem 9. Dezember 2026 zu ordnen. Wer früh prüft, geht ohne Last-Minute-Risiko in die neue Rechtslage. Eine Vertiefung der einzelnen Stationen, von der Wirtschaftsakteure-Kette bis zur Beweislast, bietet der Leitfaden zur Produkthaftung für Software & KI.

Primärquelle: Richtlinie (EU) 2024/2853 (Produkthaftungsrichtlinie) — EUR-Lex, berichtigt durch ABl. L 2026/90364 vom 7. Mai 2026 (Art. 2 Abs. 1: „nach dem 8. Dezember 2026“). Die nationale Umsetzung in Deutschland ist parlamentarisch abgeschlossen: Der Bundestag hat das Gesetz zur Modernisierung des Produkthaftungsrechts am 8. Oktober 2026 beschlossen (Regierungsentwurf BT-Drs. 21/4297, Beschlussempfehlung BT-Drs. 21/8429), der Bundesrat hat am 16. Oktober 2026 keinen Antrag auf Einberufung des Vermittlungsausschusses gestellt (BR-Drs. 584/26 (B)). Es fehlen noch Ausfertigung und Verkündung (Stand 17. Oktober 2026).

Wie das in der Praxis aussieht

Ein Beispiel, wie es in dieser Form häufig vorkommt: Ein Softwarehaus mit rund 45 Mitarbeitenden liefert die Steuerung für Schrankenanlagen in Parkhäusern. Für ein Release Anfang 2027 bindet es ein zugekauftes Modul zur Kennzeichenerkennung und eine frei verfügbare Open-Source-Bibliothek ein, Sicherheitsupdates spielt es laufend aus. Zu klären ist, welche Versionen ab dem 9. Dezember 2026 in Verkehr gebracht werden, wie Patch-Management und Schwachstellenbehebung geregelt sind und wer in der Lieferkette für Fehler einsteht. Als Hersteller haftet es auch für Fehler integrierter Komponenten.

Danach trennen sich die Wege. Für das zugekaufte Modul gibt es einen Vertrag mit dem Zulieferer; dort werden Regress- und Freistellungsklauseln geprüft und, wo sie fehlen, nachverhandelt. Für die Open-Source-Bibliothek, die ihr Entwickler außerhalb einer Geschäftstätigkeit bereitstellt, haftet dieser nicht, und ein Rückgriff scheidet aus; hier tragen eigene Tests, Versionsführung und ein Prozess für Sicherheitsupdates. Parallel wird geprüft, ob die Produkthaftpflicht Software-, KI- und Cyberrisiken abdeckt. Am Ende steht eine Übersicht, welche Risiken vertraglich verteilt sind und welche im eigenen Haus bleiben. Wo Ihre Verträge zur neuen Produkthaftung noch nicht passen, zeigt das Rechtliche Audit.

Kostenlose Checkliste

Checkliste: Neue Produkthaftung für Software und KI

21 Prüfpunkte bis zum 9. Dezember 2026: Betroffenheit, Updates und Cybersicherheit, Dokumentation, Verträge und Regress, Versicherung und Fristen. Die Checkliste steht vollständig unten. Als PDF zum Abhaken senden wir sie Ihnen gern zu.

Wichtiger Hinweis: Die Checkliste gibt eine allgemeine Orientierung nach dem Rechtsstand vom 22. Oktober 2026 und ersetzt keine individuelle Rechtsberatung. Die Besonderheiten Ihres Unternehmens, Ihrer Verträge und Ihrer Branche lassen sich darin nicht berücksichtigen. Lassen Sie Ihren konkreten Fall rechtlich prüfen, bevor Sie Entscheidungen treffen oder ein Dokument einsetzen. Durch die Nutzung entsteht kein Mandatsverhältnis.

PDF zum Abhaken

Einmaliger Versand nach Bestätigung Ihrer E-Mail-Adresse. Informationsmails nur mit gesonderter Einwilligung.

Checkliste: Neue Produkthaftung für Software und KI
Für Softwareanbieter, SaaS-Unternehmen und Hersteller mit Software im Produkt · Fassung 1.0, Stand 22.10.2026

Wichtiger Hinweis: Diese Checkliste gibt eine allgemeine Orientierung nach dem Rechtsstand vom 22. Oktober 2026 und ersetzt keine individuelle Rechtsberatung. Die Besonderheiten Ihres Unternehmens, Ihrer Verträge und Ihrer Branche lassen sich darin nicht berücksichtigen. Lassen Sie Ihren konkreten Fall rechtlich prüfen, bevor Sie Entscheidungen treffen oder ein Dokument einsetzen. Durch die Nutzung entsteht kein Mandatsverhältnis.

Worum es geht: Für Software und KI, die ab dem 9. Dezember 2026 in Verkehr gebracht werden, gilt das neue Produkthaftungsrecht. Grundlage ist die Richtlinie (EU) 2024/2853, in Deutschland umgesetzt durch ein neues Produkthaftungsgesetz, das der Bundestag am 8. Oktober 2026 beschlossen hat (Stand 22.10.2026 noch nicht verkündet). Gehaftet wird ohne Verschulden, gegenüber natürlichen Personen. Die Checkliste hilft Ihnen, die eigenen offenen Punkte zu finden. Sie ersetzt keine Prüfung Ihres Einzelfalls.

A. Sind Sie betroffen?

  • ☐ Software ist Produkt. Wir bieten Software an, lokal installiert, als App, als SaaS oder als Teil eines Geräts, einschließlich KI-Funktionen.
  • ☐ Wer Ansprüche hat. Ansprüche haben nur natürliche Personen (Art. 5). Das können auch Beschäftigte unserer Geschäftskunden sein, etwa bei Personenschäden.
  • ☐ Welche Schäden zählen. Tod und Körperverletzung einschließlich anerkannter psychischer Beeinträchtigungen, Schäden an Sachen, außer am fehlerhaften Produkt selbst und an Sachen, die ausschließlich beruflich genutzt werden, sowie Vernichtung oder Beschädigung von Daten, die nicht für berufliche Zwecke verwendet werden (Art. 6). Für rein beruflich genutzte Daten greift die Produkthaftung nicht.
  • ☐ Unsere Rolle. Wir haben geklärt, ob wir Hersteller sind, Hersteller einer Komponente, Importeur oder Bevollmächtigter eines Herstellers außerhalb der EU, oder ob wir ein fremdes Produkt wesentlich verändern und damit wie ein Hersteller haften (Art. 8).
  • ☐ Stichtag. Wir wissen, welche Produkte und Versionen wir ab dem 9. Dezember 2026 in Verkehr bringen. Auch eine wesentliche Änderung per Update kann ein Produkt neu in den Anwendungsbereich bringen und die Frist neu starten (Art. 17 Abs. 1 lit. b).

B. Produkt und Prozesse

  • ☐ Sicherheitsupdates. Es gibt einen festen Prozess, um Schwachstellen zu erkennen und Sicherheitsupdates bereitzustellen. Fehlt ein nötiges Sicherheitsupdate, das in unserer Kontrolle liegt, können wir uns nicht damit entlasten, dass der Fehler bei Auslieferung noch nicht bestand (Art. 11 Abs. 2 lit. c).
  • ☐ Updates selbst. Fehlerhafte Updates und Upgrades sind haftungsrelevant (Art. 11 Abs. 2 lit. b). Wir testen sie vor dem Ausspielen und können zurückrollen.
  • ☐ Cybersicherheit. Wir kennen die für uns geltenden Sicherheitsanforderungen, etwa aus dem Cyber Resilience Act, und dokumentieren, wie wir sie erfüllen. Sie fließen in die Beurteilung der Fehlerhaftigkeit ein (Art. 7 Abs. 2 lit. f).
  • ☐ KI, die dazulernt. Wo unser Produkt nach dem Inverkehrbringen weiterlernt oder neue Funktionen erwirbt, überwachen wir die Auswirkungen (Art. 7 Abs. 2 lit. c).
  • ☐ Zusammenspiel mit anderen Produkten. Wir haben bedacht, mit welchen Produkten und Diensten unsere Software vernünftigerweise zusammen verwendet wird (Art. 7 Abs. 2 lit. d).
  • ☐ Anleitungen und Hinweise. Installations-, Gebrauchs- und Sicherheitshinweise sind aktuell und verständlich (Art. 7 Abs. 2 lit. a).

C. Dokumentation und Beweise

  • ☐ Offenlegung vorbereitet. Ein Gericht kann uns auf Antrag verpflichten, relevante Beweismittel offenzulegen (Art. 9). Unsere technische Dokumentation, Testprotokolle, Versionsstände und Update-Historie sind so abgelegt, dass wir sie geordnet vorlegen können und Geschäftsgeheimnisse schützen können.
  • ☐ Vermutungen kennen. Wer nicht offenlegt, riskiert, dass die Fehlerhaftigkeit vermutet wird. Bei technisch komplexen Produkten kann das Gericht Fehler und Ursachenzusammenhang unter Umständen vermuten (Art. 10). Gute Dokumentation ist die beste Verteidigung.
  • ☐ Aufbewahrung. Die Dokumentation bewahren wir so lange auf, wie Ansprüche drohen: grundsätzlich zehn Jahre ab Inverkehrbringen oder wesentlicher Änderung, bei Körperverletzungen mit langer Latenzzeit bis zu 25 Jahre (Art. 17).

D. Verträge und Lieferkette

  • ☐ Kein Ausschluss gegenüber Geschädigten. Die Haftung gegenüber der geschädigten Person lässt sich weder durch AGB noch durch Vertrag beschränken oder ausschließen (Art. 15). Unsere AGB versprechen das auch nicht.
  • ☐ Regress geregelt. Haften mehrere, haften sie gesamtschuldnerisch (Art. 12). Wer zahlt, kann nach nationalem Recht Rückgriff nehmen (Art. 14). In unseren Verträgen mit Zulieferern, Komponentenherstellern, Integratoren und Vertriebspartnern ist geregelt, wer im Innenverhältnis einsteht, mit Freistellung, Mitwirkung und Informationspflichten. Achtung: Gegen Kleinst- und Kleinunternehmen, die eine Softwarekomponente liefern, entfällt der Rückgriff, wenn er vertraglich ausgeschlossen wurde (Art. 12 Abs. 2). Solche Verzichtsklauseln prüfen wir bewusst.
  • ☐ Open Source. Freie Software, die außerhalb einer Geschäftstätigkeit bereitgestellt wird, fällt nicht unter die Richtlinie (Art. 2 Abs. 2). Bauen wir sie in unser Produkt ein, haften wir als Hersteller auch für ihre Fehler (Erwägungsgrund 15). Wir kennen unsere Open-Source-Komponenten.
  • ☐ Kundenverträge abgestimmt. Unsere B2B-Verträge regeln Updates, Mitwirkungspflichten des Kunden bei Sicherheitsupdates und den Umgang mit Veränderungen am Produkt durch den Kunden.

E. Absicherung und Fristen

  • ☐ Versicherung. Unsere Produkthaftpflicht- oder Betriebshaftpflichtversicherung deckt Software, KI und Cyberrisiken ausdrücklich ab. Wir haben das schriftlich bestätigen lassen.
  • ☐ Fristen im Blick. Ansprüche verjähren in drei Jahren ab Kenntnis von Schaden, Fehlerhaftigkeit und Haftendem (Art. 16). Unabhängig davon erlöschen sie grundsätzlich zehn Jahre nach dem Inverkehrbringen (Art. 17).
  • ☐ Verantwortung im Haus. Bei uns ist eine Person benannt, die diese Punkte bis zum 9. Dezember 2026 nachhält und danach regelmäßig prüft.

Auswertung: Jeder nicht abgehakte Punkt ist eine offene Aufgabe. Fehlen Punkte in Abschnitt B oder D, lohnt eine genauere Prüfung vor dem 9. Dezember 2026.

Checkliste der Kanzlei Caroline Herrmann, Rechtsanwältin, caroline-herrmann.com. Stand 22.10.2026. Ersetzt keine individuelle Rechtsberatung.

Checkliste der Kanzlei Caroline Herrmann, Rechtsanwältin. Ersetzt keine rechtliche Prüfung im Einzelfall.

Häufige Fragen

Ab wann gilt die neue Produkthaftung für Software?

Die Richtlinie (EU) 2024/2853 ist seit dem 8. Dezember 2024 in Kraft und bis zum 9. Dezember 2026 in nationales Recht umzusetzen. Sie gilt für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden. Unmittelbar verpflichtet erst das jeweilige nationale Umsetzungsgesetz, in Deutschland das neue Produkthaftungsgesetz, das der Bundestag am 8. Oktober 2026 beschlossen hat und das am 9. Dezember 2026 in Kraft treten soll.

Gilt Software als Produkt im Sinne der Produkthaftung?

Ja. Software fällt künftig ausdrücklich unter die Produkthaftung, unabhängig davon, ob sie lokal installiert, aus der Cloud oder als SaaS bereitgestellt wird. KI-Systeme gelten als Unterfall von Software, und auch Updates und Upgrades sind erfasst.

Fällt Open-Source-Software unter die neue Produkthaftung?

Freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird, fällt nicht unter die Richtlinie. Integriert ein Hersteller solche Software im Rahmen seiner Geschäftstätigkeit als Komponente in sein Produkt, kann er dafür haften, der nicht kommerzielle Entwickler selbst nicht.

Wie lange haftet ein Hersteller nach der neuen Regelung?

Grundsätzlich gilt eine Haftung von zehn Jahren ab Inverkehrbringen. Bei Personenschäden mit langer Latenzzeit kann sich dieser Zeitraum auf bis zu 25 Jahre verlängern, und bei wesentlicher Veränderung kann die Frist neu zu laufen beginnen.

Quellen & Rechtsgrundlagen

  • Richtlinie (EU) 2024/2853 – Produkthaftungsrichtlinie
  • Gesetz zur Modernisierung des Produkthaftungsrechts: Regierungsentwurf BT-Drs. 21/4297, Beschlussempfehlung BT-Drs. 21/8429, vom Bundestag am 8. Oktober 2026 beschlossen, Bundesrat ohne Anrufung des Vermittlungsausschusses BR-Drs. 584/26 (B) – Stand 17. Oktober 2026 noch nicht verkündet
  • § 823 BGB – verschuldensabhängige Haftung nach nationalem Recht
  • Art. 2 Abs. 2 RL 2024/2853 – Ausnahme für freie und quelloffene Software
  • Art. 5 Abs. 1 RL 2024/2853 – Anspruch natürlicher Personen
  • Art. 8 RL 2024/2853 – haftende Wirtschaftsakteure

Was die neue Produkthaftung für Ihre Verträge bedeutet, prüft die Geschäftsführung oft erst, wenn ein Kunde danach fragt. Das Rechtliche Audit prüft Ihre Vertragsdokumente vorher und zeigt, wo sie zur neuen Produkthaftung noch nicht passen. Rechtliches Audit: Ihre Verträge auf die neue Produkthaftung prüfen

Sie entwickeln oder vertreiben Software und wollen wissen, was die neue Produkthaftung konkret für Ihre Verträge bedeutet? In einem 60-minütigen Strategiegespräch klären wir Ihren Handlungsbedarf, fundiert und ohne Juristendeutsch. Für die vertragliche Umsetzung begleitet Sie die Rechtsberatung im IT-Recht.