Die neue EU-Produkthaftung: Software als Produkt, Anwendungsbereich und Zeitplan

Problem in der Praxis

Produkthaftung lief in vielen Organisationen als Legal-Thema für physische Produkte, weit weg von der Security. Das trägt nicht mehr: Der neue Produktbegriff erfasst Software und digitale Konstruktionsunterlagen ausdrücklich, verbundene digitale Dienste zählen als Komponenten des Produkts, und Anbieter von KI-Systemen gelten als Hersteller. Damit rücken Softwarehäuser, SaaS-nahe Produktanbieter und Integratoren in eine Haftung, die sich vertraglich weder ausschließen noch begrenzen lässt und die auch die Vernichtung nicht beruflich genutzter Daten als Schaden kennt.

Dazu kommt eine Fassungsfalle: Die Berichtigung vom 07.05.2026 ändert den Wortlaut des Anwendungsstichtags in Art. 2 Abs. 1, aber eine konsolidierte Fassung, die sie einarbeitet, gab es auf EUR-Lex am 03.08.2026 nicht. Wer den Stichtag aus der Hauptfassung übernimmt, übernimmt den Fehler. Und schließlich der Übergang: Für Produkte, die vor dem 09.12.2026 in Verkehr gebracht oder in Betrieb genommen wurden, gilt das alte Recht weiter; maßgeblich ist der Zeitpunkt des Inverkehrbringens je Exemplar, nicht der Schadenszeitpunkt. Zwei Haftungsregime laufen also über Jahre parallel.

CISO-Einordnung

Die Richtlinie wirkt, anders als CRA oder Maschinenverordnung, nicht unmittelbar: Sie ist an die Mitgliedstaaten gerichtet (Art. 24) und entfaltet ihre Wirkung über nationale Umsetzungsgesetze. Zugleich ist sie auf Vollharmonisierung angelegt: Sofern die Richtlinie nichts anderes bestimmt, dürfen die Mitgliedstaaten weder strengere noch mildere Vorschriften beibehalten oder einführen (Art. 3). Der Gestaltungsspielraum des deutschen Gesetzgebers ist entsprechend klein.

Anspruchsberechtigt ist jede natürliche Person, die durch ein fehlerhaftes Produkt einen Schaden erleidet (Art. 5), nicht nur Verbraucher; Unternehmen als juristische Personen können aus der Richtlinie selbst keine Ansprüche herleiten. Ersatzfähig sind Tod und Körperverletzung einschließlich medizinisch anerkannter Beeinträchtigungen der psychischen Gesundheit, Sachschäden außer am fehlerhaften Produkt selbst und an ausschließlich beruflich genutzten Sachen sowie die Vernichtung oder Beschädigung von Daten, die nicht für berufliche Zwecke verwendet werden (Art. 6 Abs. 1). Die Haftung lässt sich gegenüber Geschädigten weder vertraglich noch durch nationales Recht ausschließen oder beschränken (Art. 15); finanzielle Obergrenzen sind ausdrücklich ausgeschlossen (Erwägungsgrund 56), und eine Bagatellschwelle enthält die Richtlinie nicht. Ansprüche aus Vertrag oder aus anderer außervertraglicher Haftung bleiben daneben unberührt, ebenso das Datenschutzrecht (Art. 2 Abs. 4).

Der Produktbegriff (Art. 4 Nr. 1) umfasst jede bewegliche Sache, auch integriert oder verbunden, außerdem Elektrizität, digitale Konstruktionsunterlagen, Rohstoffe und Software. Erwägungsgrund 13 stellt klar, dass Software unabhängig von der Bereitstellungsform Produkt ist, reine Informationen dagegen nicht: Für den Inhalt digitaler Dateien wie Mediendateien oder E-Books oder den reinen Quellcode von Software gilt die Produkthaftung nicht. Freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird, ist ausgenommen (Art. 2 Abs. 2); kommerziell bereitgestellte FOSS bleibt erfasst. Verbundene Dienste, ohne die das Produkt eine oder mehrere Funktionen nicht ausführen könnte, sind Komponenten (Art. 4 Nr. 3 und 4), ihre Anbieter sind Wirtschaftsakteure (Art. 4 Nr. 15); Internetzugangsdienste sollen nicht als verbundene Dienste behandelt werden (Erwägungsgrund 17). Anbieter von KI-Systemen im Sinne der VO (EU) 2024/1689 gelten als Hersteller (Erwägungsgrund 13); die Pflichten des AI Act selbst erklärt der ai-governance-Track.

Wer haftet, regelt die Kaskade des Art. 8: der Hersteller des Produkts und der Hersteller einer fehlerhaften, unter der Kontrolle des Herstellers integrierten Komponente; bei Herstellern außerhalb der Union der Importeur, der Bevollmächtigte, ersatzweise der Fulfilment-Dienstleister; lässt sich kein Wirtschaftsakteur in der Union ermitteln, haftet der Lieferant, der auf Aufforderung nicht binnen eines Monats einen Akteur oder den eigenen Lieferanten benennt (Art. 8 Abs. 3); Entsprechendes gilt für Anbieter von Online-Plattformen (Art. 8 Abs. 4). Mehrere Akteure haften als Gesamtschuldner (Art. 12 Abs. 1); wer ein Produkt außerhalb der Kontrolle des Herstellers wesentlich verändert und es danach bereitstellt oder in Betrieb nimmt, gilt selbst als Hersteller (Art. 8 Abs. 2; Nachmarkt- und Update-Fragen vertieft pld-003).

Was die Richtlinie nicht tut: Sie definiert keine technischen Sicherheitsanforderungen, sondern setzt das Produktsicherheitsrecht als Maßstabsquelle voraus (Art. 7 Abs. 2 Buchst. f, Art. 10 Abs. 2 Buchst. b). CRA und Maschinenverordnung werden in der Richtlinie an keiner Stelle genannt; das Zusammenspiel aus Haftungssicht erklärt pld-005, den Fehlerbegriff pld-002, Offenlegung und Beweislast pld-004.

Umsetzungsperspektive

Die Zeitachse mit Fundstellen:

• 18.11.2024: Veröffentlichung im Amtsblatt (ABl. L, 2024/2853); Inkrafttreten am 08.12.2024 (Art. 23: zwanzigster Tag nach Veröffentlichung).
• 07.05.2026: Berichtigung ABl. L, 2026/90364 (CELEX 32024L2853R(01)). Art. 2 Abs. 1 lautet seither: Die Richtlinie gilt für Produkte, die "nach dem 8. Dezember 2026" in Verkehr gebracht oder in Betrieb genommen werden; die ursprüngliche Amtsblattfassung nannte den 9. Dezember 2026. Erst die berichtigte Fassung passt lückenlos zur Übergangsregel des Art. 21. Eine konsolidierte EUR-Lex-Fassung existierte am 03.08.2026 nicht; die Berichtigung ist beim Zitieren von Hand anzuwenden.
• 09.12.2026, dreifacher Stichtag: Ende der Umsetzungsfrist (Art. 22 Abs. 1); Aufhebung der RL 85/374/EWG (Art. 21); Anwendung der neuen Richtlinie auf Produkte, die ab diesem Tag in Verkehr gebracht oder in Betrieb genommen werden (Art. 2 Abs. 1 in der Fassung der Berichtigung).

Für den Übergang gilt: Die RL 85/374/EWG bleibt auf Produkte anwendbar, die vor dem 09.12.2026 in Verkehr gebracht oder in Betrieb genommen wurden (Art. 21, Erwägungsgrund 63). Das anwendbare Regime bestimmt sich je Produkt nach dem Inverkehrbringen oder der Inbetriebnahme, nicht nach dem Schadenszeitpunkt; wegen der Ausschlussfristen von zehn beziehungsweise 25 Jahren (Art. 17, dazu pld-004) begleiten beide Regime die Produkte noch lange.

Deutschland, Stand 03.08.2026: Es gibt kein verkündetes Umsetzungsgesetz; die Suche im Bundesgesetzblatt-Portal und die EUR-Lex-Übersicht der nationalen Umsetzungsmaßnahmen zeigen für Deutschland keinen Eintrag. Das Verfahren läuft: Regierungsentwurf eines Gesetzes zur Modernisierung des Produkthaftungsrechts vom 17.12.2025, Bundesrats-Durchgang am 30.01.2026, Einbringung in den Bundestag als BT-Drs. 21/4297 (25.02.2026), erste Lesung am 04.03.2026, öffentliche Anhörung im Rechtsausschuss am 13.04.2026; ein späterer Verfahrensschritt war am 03.08.2026 an den geprüften Quellen nicht feststellbar. Der Entwurf schafft ein neues Produkthaftungsgesetz, das am 09.12.2026 in Kraft treten und das ProdHaftG von 1989 zum selben Tag ablösen soll; inhaltliche Aussagen dazu sind bis zur Verkündung als Entwurfsstand zu kennzeichnen.

Typische Fehler

1. Mit der unberichtigten Amtsblattfassung arbeiten und den Anwendungsstichtag falsch wiedergeben; maßgeblich ist Art. 2 Abs. 1 in der Fassung der Berichtigung vom 07.05.2026.
2. Aus der Produkthaftungsrichtlinie Sicherheitsanforderungen, Prüfpflichten oder Meldewege ableiten wollen; Anforderungen stehen im Produktsicherheitsrecht (cra-Track, mvo-Track), hier stehen Haftung und Beweis.
3. Cloud- und SaaS-bereitgestellte Software für nicht erfasst halten, obwohl es auf die Art der Bereitstellung nicht ankommt (Erwägungsgrund 13).
4. Die FOSS-Ausnahme auf kommerziell bereitgestellte Open-Source-Software ausdehnen; ausgenommen ist nur die Bereitstellung außerhalb einer Geschäftstätigkeit (Art. 2 Abs. 2).
5. Ansprüche von Geschäftskunden aus der Richtlinie erwarten; anspruchsberechtigt sind nur natürliche Personen (Art. 5), vertragliche und sonstige Ansprüche laufen separat (Art. 2 Abs. 4).
6. Behaupten, das neue deutsche Produkthaftungsgesetz gelte bereits; verkündet ist nichts (Stand 03.08.2026), es gilt das ProdHaftG 1989.
7. Das anwendbare Regime am Schadenszeitpunkt festmachen statt am Inverkehrbringen oder der Inbetriebnahme des einzelnen Produkts (Art. 2 Abs. 1, Art. 21).

Risiken und Trade-offs

Der erste Trade-off betrifft das Timing der Vorbereitung: Wer auf die deutsche Verkündung wartet, arbeitet mit einem klaren Text, verliert aber Vorlauf für Inventar, Rollenklärung und Nachweisführung; wer früh startet, stützt sich teilweise auf den Entwurfsstand (BT-Drs. 21/4297), dessen Details sich im Ausschuss noch ändern können. Die Leitplanken stehen allerdings fest, denn die Richtlinie harmonisiert voll (Art. 3) und ihr Anwendungsstichtag hängt nicht von der deutschen Umsetzung ab.

Der zweite Trade-off liegt in der Stichtagslogik: Produkte, die um den 09.12.2026 herum ausgeliefert werden, brauchen belastbare Nachweise, wann welches Exemplar in Verkehr gebracht oder in Betrieb genommen wurde, sonst ist im Streitfall schon das anwendbare Regime offen. Bei softwaregetriebenen Produkten kommt hinzu, dass eine spätere wesentliche Änderung ein Altprodukt in das neue Regime heben kann (pld-003); die Regimefrage ist also keine einmalige Stichtagsentscheidung, sondern begleitet den Produktlebenszyklus.

Entscheidungspunkte

• Welche unserer Produkte, Software-Angebote und verbundenen Dienste fallen ab dem 09.12.2026 unter den neuen Produktbegriff?
• Welche Rolle nehmen wir je Produkt in der Kaskade des Art. 8 ein: Hersteller, Komponentenhersteller, Importeur, Bevollmächtigter, Fulfilment-Dienstleister, Lieferant oder Plattform?
• Können wir je Produkt und Version nachweisen, wann es in Verkehr gebracht oder in Betrieb genommen wurde?
• Welche Komponenten und verbundenen Dienste Dritter stecken in unseren Produkten, und wie sind Verantwortung und Rückgriff geregelt (vertieft pld-006)?
• Wer beobachtet das deutsche Gesetzgebungsverfahren und löst bei Verkündung die interne Anpassung aus?

Praktische Empfehlungen

1. Erstellen Sie ein Inventar aller Produkte mit Software-Anteil, digitalen Konstruktionsunterlagen und verbundenen Diensten und ordnen Sie je Position die eigene Rolle nach Art. 8 zu.
2. Dokumentieren Sie je Produkt und Version den Zeitpunkt des Inverkehrbringens oder der Inbetriebnahme; er entscheidet über das anwendbare Haftungsregime.
3. Arbeiten Sie ausschließlich mit der berichtigten Fassung des Art. 2 Abs. 1 (Berichtigung ABl. L, 2026/90364 vom 07.05.2026) und dokumentieren Sie den verwendeten Rechtsstand.
4. Halten Sie Haftung und Konformität auseinander, aber planen Sie sie gemeinsam: Anforderungen und Nachweise aus CRA und Maschinenverordnung (cra-Track, mvo-Track) werden im Haftungsfall zum Maßstab (pld-002, pld-005).
5. Binden Sie Legal und Versicherung früh ein: Haftungsausschlüsse gegenüber Geschädigten sind unwirksam (Art. 15), die Deckung gehört auf Software-Schäden und Datenverlust geprüft.
6. Beobachten Sie das deutsche Umsetzungsverfahren und kennzeichnen Sie Aussagen zum künftigen deutschen Gesetz bis zur Verkündung als Entwurfsstand (BT-Drs. 21/4297).

Relevante Normreferenzen

• Richtlinie (EU) 2024/2853 (neue Produkthaftungsrichtlinie): ABl. L, 2024/2853, 18.11.2024, in der Fassung der Berichtigung ABl. L, 2026/90364 vom 07.05.2026 (CELEX 32024L2853R(01), betrifft Art. 2 Abs. 1); primäre Rechtsquelle, EU-Recht mit Quellenangabe frei zitierbar.
• Richtlinie 85/374/EWG: Vorgängerrechtsakt, aufgehoben mit Wirkung vom 09.12.2026; gilt für davor in Verkehr gebrachte oder in Betrieb genommene Produkte weiter (Art. 21 RL (EU) 2024/2853).
• Produkthaftungsgesetz (ProdHaftG) von 1989: geltendes deutsches Produkthaftungsrecht bis zur Verkündung eines Umsetzungsgesetzes.
• Entwurf eines Gesetzes zur Modernisierung des Produkthaftungsrechts (BT-Drs. 21/4297 vom 25.02.2026): Entwurfsstand im Ausschussverfahren, nicht verkündet (Stand 03.08.2026).
• Cyber Resilience Act (VO (EU) 2024/2847) und Maschinenverordnung (VO (EU) 2023/1230): Marktzugangs- und Konformitätsrecht; in der Richtlinie (EU) 2024/2853 nicht genannt; Zusammenspiel in pld-005 (cra-Track, mvo-Track).