Die neue EU-Produkthaftung
Die neue EU-Produkthaftungsrichtlinie verändert die Spielregeln grundlegend:
Software gilt jetzt als Produkt. Datenverlust ist erstmals ein
Haftungsgrund. Und eine maximale Schadenshöhe gibt es nicht mehr.
Was hat sich geändert?
Die bisherige Produkthaftungsrichtlinie stammt aus dem Jahr 1985 - einer Zeit,
in der Software kein eigenständiges Produkt war. Die neue Fassung schließt diese
Lücke:
- Software ist ein Produkt. Jede Software, die auf dem EU-Markt bereitgestellt wird, unterliegt der Produkthaftung - unabhängig davon, ob sie in ein physisches Gerät eingebettet ist oder eigenständig vertrieben wird.
- Datenverlust als Haftungsgrund. Erstmals können Geschädigte Schadensersatz für den Verlust oder die Beschädigung von Daten geltend machen.
- Keine maximale Schadenshöhe mehr. Die bisherige Obergrenze für Schadensersatzansprüche wurde gestrichen. Die Haftung ist damit theoretisch unbegrenzt.
- Erweiterte Haftungsgründe. Nicht nur der Hersteller haftet, sondern potenziell auch der Importeur oder der Vertreiber, wenn der Hersteller nicht greifbar ist.
- Offenlegungspflichten. Hersteller können verpflichtet werden, relevante Beweismittel offenzulegen. Verweigern sie das, kann das Gericht zugunsten des Klägers entscheiden.
- Beweislasterleichterung. In bestimmten Fällen wird der Fehler eines Produkts vermutet, wenn der Geschädigte zeigen kann, dass das Schadensbild typisch für einen Produktfehler ist.
- Cybersicherheit ist Sicherheitsmerkmal. Art. 7 Abs. 2 lit. f zählt die "sicherheitsrelevanten Cybersicherheitsanforderungen" ausdrücklich zu den Kriterien, nach denen die Fehlerhaftigkeit eines Produkts beurteilt wird. Ein Produkt, das einschlägige Cybersicherheitsanforderungen (etwa aus dem CRA) nicht erfüllt, gilt damit im Haftungsfall als fehlerhaft - auch dann, wenn es ansonsten funktioniert. Fehlende Sicherheitsupdates, ungepatchte Schwachstellen oder eine vernachlässigte Lieferkette sind nicht mehr nur Compliance-Themen, sondern unmittelbare Fehlerindizien.
Zusammenspiel mit dem CRA
Die Produkthaftungsrichtlinie und der Cyber Resilience Act ergänzen sich: Der
CRA definiert die Sicherheitsanforderungen, die ein Produkt erfüllen muss. Die
Produkthaftung greift, wenn ein Produkt trotz dieser Anforderungen Schäden
verursacht. Ein Verstoß gegen CRA-Pflichten - etwa fehlende Sicherheitsupdates
oder eine nicht gepflegte SBOM - kann als Nachweis für einen Produktfehler im
Sinne der Produkthaftung herangezogen werden.
Gesetzesreferenzen
Die neue Produkthaftungsrichtlinie (RL EU 2024/2853):
- Art. 4 Nr. 1: Software ist ein Produkt im Sinne der Richtlinie
- Art. 6 Abs. 1 lit. c: Datenverlust als ersatzfähiger Schaden
- Art. 7 Abs. 2 lit. f: Cybersicherheitsanforderungen als Kriterium der Fehlerhaftigkeit
- Art. 8: Haftung des Herstellers für fehlerhafte Produkte und Komponenten
- Art. 9: Offenlegungspflicht - Hersteller müssen auf Verlangen relevante Beweismittel offenlegen
- Art. 10: Beweislasterleichterung - bei technischer Komplexität kann das Gericht den Fehler vermuten
- Art. 11 Abs. 2: Kein Entwicklungsrisiko-Einwand bei fehlenden Sicherheitsupdates
- Art. 12: Gesamtschuldnerische Haftung, kein Haftungsdeckel mehr
Im Zusammenspiel mit dem CRA:
Wer diese Pflichten nachweislich erfüllt, reduziert sein Haftungsrisiko
erheblich. Wer sie vernachlässigt, schafft eine Angriffsfläche für
Schadensersatzklagen.
Umsetzung in Deutschland
Die neue EU-Produkthaftungsrichtlinie muss national umgesetzt werden. In
Deutschland ersetzt sie das bestehende Produkthaftungsgesetz (ProdHaftG). Bis
zur vollständigen Umsetzung gelten Übergangsfristen. Die konkreten nationalen
Ausgestaltungen - etwa zur Zuständigkeit der Gerichte und zu Verfahrensregeln
-werden im Rahmen der Umsetzung festgelegt. In anderen EU-Ländern gelten
vergleichbare Regelungen mit potenziell abweichenden Details.
Was bedeutet das für Sie?
Wenn Ihr Unternehmen Software herstellt, importiert oder vertreibt, haften Sie
für Schäden - einschließlich Datenverluste. Die beste Verteidigung ist
dokumentierte Sorgfalt: Eine aktuelle SBOM, nachweisbares
Schwachstellenmanagement und eine lückenlose Maßnahmenhistorie zeigen, dass Sie
Ihre Pflichten ernst nehmen. Ohne diese Nachweise stehen Sie im Schadensfall
ohne Verteidigungslinie da.
Weiterlesen
Factsheet herunterladen: Produkthaftungs-Factsheet (in Erstellung)
Sie möchten Ihr Haftungsrisiko im Open-Source-Bereich bewerten lassen?
Sprechen Sie mit uns.
