Die neue EU-Produkthaftung

Die neue EU-Produkthaftungsrichtlinie verändert die Spielregeln grundlegend: Software gilt ausdrücklich als Produkt. Der Verlust nicht beruflich genutzter Daten wird ein Haftungsgrund. Und eine allgemeine Haftungsobergrenze sieht die Richtlinie nicht vor.

Die neuen Regeln gelten für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden.

Was hat sich geändert? #

Die bisherige Produkthaftungsrichtlinie stammt aus dem Jahr 1985 - einer Zeit, in der eigenständig vertriebene Software nicht ausdrücklich erfasst war. Die neue Fassung schafft Klarheit:

• Software ist ein Produkt. Software, die geschäftlich auf dem EU-Markt bereitgestellt wird, unterliegt der Produkthaftung - unabhängig davon, ob sie in ein physisches Gerät eingebettet ist oder eigenständig vertrieben wird.
• Datenverlust als Haftungsgrund. Erstmals können Geschädigte Schadensersatz für die Vernichtung oder Beschädigung nicht beruflich genutzter Daten geltend machen.
• Keine allgemeine Haftungsobergrenze. Die neue Richtlinie sieht für Schadensersatzansprüche keine allgemeine Obergrenze vor. Die Haftung ist damit theoretisch unbegrenzt.
• Erweiterte Haftungsgründe. Nicht nur der Hersteller haftet, sondern potenziell auch der Importeur oder der Vertreiber, wenn der Hersteller nicht greifbar ist.
• Offenlegungspflichten. Hersteller können verpflichtet werden, relevante Beweismittel offenzulegen. Verweigern sie das, kann das Gericht zugunsten des Klägers entscheiden.
• Beweislasterleichterung. Steht der Produktfehler fest, wird sein ursächlicher Zusammenhang mit dem Schaden vermutet, wenn der Schaden seiner Art nach typischerweise auf diesen Fehler zurückzuführen ist. Die Vermutung ist widerlegbar.
• Cybersicherheit ist Sicherheitsmerkmal. Art. 7 Abs. 2 lit. f zählt die "sicherheitsrelevanten Cybersicherheitsanforderungen" ausdrücklich zu den Kriterien, nach denen die Fehlerhaftigkeit eines Produkts beurteilt wird. Ein Produkt, das einschlägige Cybersicherheitsanforderungen (etwa aus dem CRA) nicht erfüllt, gilt damit im Haftungsfall als fehlerhaft - auch dann, wenn es ansonsten funktioniert. Fehlende Sicherheitsupdates, ungepatchte Schwachstellen oder eine vernachlässigte Lieferkette sind nicht mehr nur Compliance-Themen, sondern unmittelbare Fehlerindizien.

Zusammenspiel mit dem CRA #

Die Produkthaftungsrichtlinie und der Cyber Resilience Act ergänzen sich: Der CRA definiert die Sicherheitsanforderungen, die ein Produkt erfüllen muss. Die Produkthaftung greift, wenn ein Produkt trotz dieser Anforderungen Schäden verursacht. Ein Verstoß gegen CRA-Pflichten - etwa fehlende Sicherheitsupdates oder eine nicht gepflegte SBOM - kann als Nachweis für einen Produktfehler im Sinne der Produkthaftung herangezogen werden.

Gesetzesreferenzen #

Die neue Produkthaftungsrichtlinie (RL EU 2024/2853):

• Art. 4 Nr. 1: Software ist ein Produkt im Sinne der Richtlinie
• Art. 6 Abs. 1 lit. c: Vernichtung oder Beschädigung nicht beruflich genutzter Daten als ersatzfähiger Schaden
• Art. 7 Abs. 2 lit. f: Cybersicherheitsanforderungen als Kriterium der Fehlerhaftigkeit
• Art. 8: Haftung des Herstellers für fehlerhafte Produkte und Komponenten
• Art. 9: Offenlegungspflicht - Hersteller müssen auf Verlangen relevante Beweismittel offenlegen
• Art. 10: Beweislasterleichterung - bei technischer Komplexität kann das Gericht den Fehler vermuten
• Art. 11 Abs. 2: Kein Einwand „erst später fehlerhaft“ bei fehlenden nötigen Sicherheitsupdates unter Herstellerkontrolle
• Art. 12: Gesamtschuldnerische Haftung

Im Zusammenspiel mit dem CRA:

• CRA Art. 13 Abs. 5: Sorgfaltspflicht bei der Integration von Open-Source-Komponenten
• CRA Anhang I Teil II Nr. 1: SBOM-Pflicht zur Dokumentation zumindest der obersten Abhängigkeiten
• CRA Anhang I Teil II Nr. 2: Unverzügliche Behandlung und Behebung von Schwachstellen
• CRA Art. 13 Abs. 8: Grundsätzlich mindestens 5 Jahre Security-Support; kürzer bei kürzerer erwarteter Nutzungsdauer
• CRA Art. 65: Verbandsklagen für Verbraucherschutz anwendbar

Wer diese Pflichten nachweislich erfüllt, reduziert sein Haftungsrisiko erheblich. Wer sie vernachlässigt, schafft eine Angriffsfläche für Schadensersatzklagen.

Umsetzung in Deutschland #

Die neue EU-Produkthaftungsrichtlinie muss national umgesetzt werden. In Deutschland ist dafür das bestehende Produkthaftungsgesetz (ProdHaftG) anzupassen. Die Umsetzungsfrist endet am 9. Dezember 2026. Die konkreten nationalen Ausgestaltungen - etwa zur Zuständigkeit der Gerichte und zu Verfahrensregeln -werden im Rahmen der Umsetzung festgelegt. In anderen EU-Ländern gelten vergleichbare Regelungen mit potenziell abweichenden Details.

Was bedeutet das für Sie? #

Wenn Ihr Unternehmen Software herstellt, importiert oder vertreibt, können Sie für Schäden durch Produktfehler haften - einschließlich Verlusten privat genutzter Daten. Die beste Verteidigung ist dokumentierte Sorgfalt: Eine aktuelle SBOM, nachweisbares Schwachstellenmanagement und eine lückenlose Maßnahmenhistorie zeigen, dass Sie Ihre Pflichten ernst nehmen. Ohne diese Nachweise stehen Sie im Schadensfall ohne Verteidigungslinie da.

Weiterlesen #

• Produkthaftung und OTTRIA im Detail
• Was ist der Cyber Resilience Act?
• D&O-Haftung und die neuen Cybergesetze

Factsheet herunterladen: Produkthaftungs-Factsheet (in Erstellung)

Sie möchten Ihr Haftungsrisiko im Open-Source-Bereich bewerten lassen? Sprechen Sie mit uns.