Produkthaftung für Software: Was Hersteller jetzt wissen müssen

Inhalt in Kürze

• Software wird Produkt im Haftungsrecht — ausdrücklich, unabhängig von der Art der Bereitstellung, und damit auch für KI-Systeme (Art. 4 Nr. 1 RL (EU) 2024/2853).
• Das neue Recht gilt nur für Produkte, die nach dem 9. Dezember 2026 neu in Verkehr gebracht oder in Betrieb genommen werden. Der Bestand bleibt beim alten Recht.
• Das deutsche Umsetzungsgesetz war am 5. September 2026 noch nicht verabschiedet. Wer „gilt ab dem 9. Dezember 2026” schreibt, verwechselt die EU-Umsetzungsfrist mit geltendem Recht.
• Der CRA strahlt über einen Punkt hinein: Cybersicherheitsanforderungen werden zum Maßstab der Fehlerhaftigkeit.
• Ersatzfähig sind Personenschäden sowie Schäden an privat genutzten Sachen und Daten — nicht der Betriebsausfall beim Geschäftskunden.

Kaum ein Thema wird gerade so unpräzise beworben wie die neue Produkthaftung. Dieser Beitrag sortiert, was tatsächlich gilt, was geplant ist und was schlicht falsch kursiert — Stand 5. September 2026. Wer nach den Produktpflichten selbst sucht, findet sie im Überblick zu den CRA-Pflichten für Hersteller.

Der Stand: eine Richtlinie, ein Entwurf, kein Gesetz

Die Richtlinie (EU) 2024/2853 über die Haftung für fehlerhafte Produkte vom 23. Oktober 2024 ersetzt die Richtlinie 85/374/EWG. Artikel 22 Absatz 1 gibt den Mitgliedstaaten Zeit bis zum 9. Dezember 2026, sie in nationales Recht umzusetzen.

Deutschland setzt sie mit dem „Gesetz zur Modernisierung des Produkthaftungsrechts” um — einem Artikelgesetz, dessen Artikel 1 ein vollständig neu gefasstes Produkthaftungsgesetz enthält. Der Verfahrensstand am 5. September 2026:

Für welche Produkte es gilt — der Satz, der alles entscheidet

Artikel 2 Absatz 1 der Richtlinie:

„Diese Richtlinie gilt für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden.”

Und Artikel 21: Die alte Richtlinie 85/374/EWG wird mit Wirkung vom 9. Dezember 2026 aufgehoben, gilt aber weiterhin für Produkte, die vor diesem Zeitpunkt in Verkehr gebracht oder in Betrieb genommen wurden.

Der deutsche Entwurf wiederholt das in § 23 ProdHaftG-E wörtlich für Produkte, die bis einschließlich 8. Dezember 2026 in Verkehr gebracht wurden. Und die Gesetzesbegründung stellt für Software ausdrücklich klar (BT-Drs. 21/4297, S. 43 f.):

„Software-Updates bzw. Upgrades für eine vor dem 9. Dezember 2026 in Verkehr gebrachte Software oder andere Änderungen des Produkts sind nicht relevant, sofern es sich nicht um wesentlich veränderte und damit neue Produkte im Sinne von § 5 ProdHaftG-E handelt.”

Ein Update macht Ihr Altprodukt also nicht zum Neuprodukt. Wer das Gegenteil behauptet, verkauft Angst.

Was sich wirklich ändert

Software ist ein Produkt. Artikel 4 Nummer 1 nennt neben beweglichen Sachen ausdrücklich Elektrizität, digitale Konstruktionsunterlagen, Rohstoffe und Software. Die Gesetzesbegründung sagt dazu: Software wird „unabhängig von der Art ihrer Bereitstellung oder Nutzung in die Produkthaftung einbezogen. Damit gilt das Produkthaftungsrecht auch für die Haftung von Herstellern von Systemen künstlicher Intelligenz.”

„Unabhängig von der Art der Bereitstellung” schließt SaaS und Cloud-Anwendungen ein — anders als beim Cyber Resilience Act, der reine Cloud-Dienste ausnimmt. Die beiden Regelwerke haben unterschiedliche Anwendungsbereiche; wer das eine für das andere nimmt, liegt in beide Richtungen falsch.

Ausgenommen bleibt freie und Open-Source-Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird (Art. 2 Abs. 2 der Richtlinie, § 2 Abs. 1 ProdHaftG-E). Dieselbe Grenze wie im CRA — dort in Artikel 3 Nummer 22.

Cybersicherheit wird zum Fehlermaßstab. Nach § 7 Nummer 5 ProdHaftG-E (Art. 7 Abs. 2 Buchst. f der Richtlinie) sind bei der Beurteilung der Fehlerhaftigkeit auch „die einschlägigen Anforderungen an die Produktsicherheit, einschließlich sicherheitsrelevanter Cybersicherheitsanforderungen” zu berücksichtigen. Über diesen Punkt strahlt der CRA in die Produkthaftung aus — nicht über einen eigenen Haftungstatbestand.

Die Entlastung fällt weg, wenn Sie die Kontrolle behalten. Normalerweise kann sich ein Hersteller damit entlasten, dass das Produkt den Fehler beim Inverkehrbringen noch nicht hatte. Das gilt nach § 9 Absatz 2 ProdHaftG-E (Art. 11 Abs. 2 der Richtlinie) nicht, wenn er die Kontrolle behalten hat — unter anderem, weil er Software-Updates bereitstellen kann — und der Fehler auf „das Fehlen von Software-Updates oder Software-Upgrades, die zur Aufrechterhaltung der Sicherheit erforderlich sind” zurückgeht.

Beweiserleichterungen — und was sie nicht sind

Zwei Vorschriften des Entwurfs setzen die Artikel 9 und 10 der Richtlinie um.

§ 19 — Offenlegung von Beweismitteln. Das Gericht ordnet auf Antrag des Klägers, der die Plausibilität seines Anspruchs ausreichend gestützt hat, an, dass der Beklagte relevante Beweismittel offenlegt. Geschäftsgeheimnisse sind über die Absätze 3 und 4 mit Verweis auf das Geschäftsgeheimnisgesetz geschützt.

§ 20 — Vermutungen. Ein Fehler wird vermutet, wenn der Beklagte trotz Anordnung nicht offenlegt, wenn der Kläger einen Verstoß gegen verbindliche Produktsicherheitsanforderungen nachweist oder wenn eine offensichtliche Funktionsstörung bei vorhersehbarem Gebrauch vorlag. Die Kausalität wird vermutet, wenn der Fehler feststeht und die Verletzung typischerweise auf diesen Fehler zurückgeht. Ist der Beweis wegen technischer oder wissenschaftlicher Komplexität übermäßig schwierig, können beides angenommen werden, wenn der Kläger die Wahrscheinlichkeit nachweist.

Und jetzt der Punkt, den die Gesetzesbegründung selbst macht (BT-Drs. 21/4297, Anlage 2):

„Denn die Regeln über die Offenlegung von Beweismitteln betreffen nur bei den Herstellern bereits vorhandene Beweismittel und schaffen keine neuen Dokumentationspflichten.”

Aus § 19 folgt also keine neue Dokumentationspflicht. Der Effekt ist trotzdem real — wer nichts hat, hat im Prozess nichts vorzulegen. Aber das ist ein Argument, keine Rechtspflicht, und es sollte auch nicht als eine verkauft werden.

Der 500-Euro-Selbstbehalt: formal richtig, praktisch schwach

Nach § 11 des geltenden Produkthaftungsgesetzes trägt der Geschädigte bei Sachbeschädigung einen Schaden bis 500 Euro selbst. Diese Vorschrift gibt es im neu gefassten Gesetz nicht mehr; ebenso entfällt der Haftungshöchstbetrag von 85 Mio. Euro bei Personenschäden aus § 10 ProdHaftG alt — die wirtschaftlich größere Änderung, die in den meisten Zusammenfassungen fehlt.

Die Bundesregierung ordnet beides selbst ein (BT-Drs. 21/4297, Anlage 2): Selbstbeteiligung und Höchstgrenze seien „derzeit in der Praxis kaum relevant … weil die Rechtsprechung insoweit regelmäßig die deliktsrechtliche Produzentenhaftung gemäß § 823 Absatz 1 des Bürgerlichen Gesetzbuchs (BGB) anwendet, für die diese Grenzen nicht gelten.”

Ein Verkaufsargument „ab Dezember haften Sie schon ab dem ersten Euro” ist damit formal richtig und sachlich schwach.

Wenn der Hersteller außerhalb der EU sitzt

Artikel 8 der Richtlinie und die §§ 10 bis 13 des Entwurfs bauen eine Stufenfolge, keine Parallelhaftung:

1. Importeur und Beauftragter (§ 10) haften wie der Hersteller, sobald dieser außerhalb der EU ansässig ist.
2. Fulfilment-Dienstleister (§ 11) haften nur, wenn es keinen in der EU ansässigen Importeur und keinen Beauftragten gibt. Erfasst ist, wer mindestens zwei von Lagerhaltung, Verpackung, Adressierung und Versand anbietet; Fracht- und Postdienste sind ausgenommen.
3. Lieferant (§ 12) haftet, wenn keiner der Vorgenannten zu ermitteln ist und er der Aufforderung, seinen Vormann zu benennen, nicht binnen eines Monats nachkommt.
4. Anbieter einer Online-Plattform (§ 13) entsprechend, unter den Voraussetzungen des Artikels 6 Absatz 3 DSA.

Für Händler-Zielgruppen sind die Stufen 3 und 4 relevanter als der Fulfilment-Dienstleister — und sie fehlen in den meisten Übersichten.

Was das für die CRA-Vorbereitung heißt

Die beiden Regelwerke greifen an einer Stelle ineinander: Über § 7 Nummer 5 werden Cybersicherheitsanforderungen zum Maßstab der Fehlerhaftigkeit. Wer seine CRA-Pflichten sauber erfüllt — Unterstützungszeitraum, Sicherheitsaktualisierungen, technische Dokumentation —, verbessert damit seine Position im Haftungsfall, ohne dass er dafür etwas Zusätzliches tun müsste.

Umgekehrt gilt: Wer den Unterstützungszeitraum zu kurz ansetzt und deshalb ein sicherheitsrelevantes Update nicht liefert, verliert nicht nur die CRA-Konformität, sondern nach § 9 Absatz 2 auch die Entlastungsmöglichkeit im Haftungsprozess. Das ist der eigentliche Grund, den Unterstützungszeitraum ernst zu nehmen — nicht das Bußgeld.

Ob der CRA für Sie gilt, klärt der kostenlose Hersteller-Check. Für die Frage, was in Ihren Produkten steckt, hilft der Beitrag zur Software-Stückliste; für die Meldewege der zur CRA-Meldepflicht.

Häufige Fragen (FAQ)

Gilt das neue Produkthaftungsrecht ab dem 9. Dezember 2026?

Der 9. Dezember 2026 ist die Frist, bis zu der die Mitgliedstaaten die Richtlinie (EU) 2024/2853 in nationales Recht umzusetzen haben (Artikel 22 Absatz 1). Das deutsche Umsetzungsgesetz war am 5. September 2026 noch nicht verabschiedet: Der Regierungsentwurf liegt dem Bundestag seit dem 25. Februar 2026 vor (BT-Drucksache 21/4297), die erste Lesung fand am 4. März 2026 statt, die Sachverständigen-Anhörung am 13. April 2026.

Für welche Produkte gilt das neue Recht?

Nur für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden (Artikel 2 Absatz 1 der Richtlinie). Für früher in Verkehr gebrachte Produkte gilt die alte Richtlinie 85/374/EWG weiter (Artikel 21). Software-Updates für eine vorher in Verkehr gebrachte Software ändern daran nichts, solange kein wesentlich verändertes und damit neues Produkt entsteht.

Ist Software jetzt ein Produkt im Sinne des Haftungsrechts?

Ja. Artikel 4 Nummer 1 der Richtlinie (EU) 2024/2853 nennt Software ausdrücklich als Produkt — unabhängig von der Art der Bereitstellung oder Nutzung. Damit erfasst das Produkthaftungsrecht auch Hersteller von KI-Systemen. Ausgenommen bleibt freie und Open-Source-Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird (Artikel 2 Absatz 2).

Haften wir künftig für fehlende Sicherheitsupdates?

Es gibt keine eigenständige Haftung für fehlende Updates. Es gibt zwei Anknüpfungspunkte: Bei der Beurteilung der Fehlerhaftigkeit sind einschlägige Produktsicherheitsanforderungen einschließlich sicherheitsrelevanter Cybersicherheitsanforderungen zu berücksichtigen. Und behält der Hersteller die Kontrolle über das Produkt — etwa weil er Updates ausliefern kann —, kann er sich nicht mehr darauf berufen, der Fehler habe beim Inverkehrbringen nicht vorgelegen, wenn er auf fehlende sicherheitsrelevante Updates zurückgeht.

Welche Schäden sind überhaupt ersatzfähig?

Nach dem Entwurf des neuen Produkthaftungsgesetzes Schäden einer natürlichen Person an Körper und Gesundheit, Schäden an einer Sache — aber nicht an einer Sache, die ausschließlich für berufliche Zwecke verwendet wird — und Schäden an nicht beruflich genutzten Daten. Ein reiner Vermögensschaden, ein Betriebsausfall beim B2B-Kunden oder ein Datenschutzvorfall im Unternehmen sind vom Produkthaftungsgesetz nicht erfasst.