Die auffälligste Änderung der neuen EU-Produkthaftungsrichtlinie steht gleich am Anfang: Software ist ein Produkt. Was jahrzehntelang umstritten war und in der Praxis meist über Vertragsrecht lief, ist mit der Richtlinie (EU) 2024/2853 ausdrücklich geregelt — mit Folgen, die weit über die klassische Softwarebranche hinausreichen.
Was genau erfasst wird
Der neue Produktbegriff erfasst Software unabhängig von der Bereitstellungsform:
- lokal installierte Programme und Apps,
- Software aus der Cloud — also auch SaaS-Modelle,
- KI-Systeme,
- Embedded-Software und Steuerungssoftware in Geräten und Maschinen,
- digitale Konstruktionsunterlagen,
- sowie verbundene digitale Dienste, die für die Funktion eines Produkts erforderlich sind.
Damit betrifft die Neuregelung nicht nur Softwarehäuser: Jeder Maschinenbauer mit eigener Steuerung, jeder Gerätehersteller mit App-Anbindung und jeder Anbieter vernetzter Produkte bringt künftig haftungsrechtlich relevante Software in Verkehr.
Die drei schärfsten Konsequenzen
Erstens: Updates werden haftungsrelevant. Ein Produkt kann fehlerhaft sein, weil notwendige Sicherheitsupdates fehlen — solange die Software unter der Kontrolle des Herstellers steht. Der Update-Prozess wandert damit aus der IT-Abteilung in das Haftungsmanagement: Wer nicht nachweisen kann, wie Updates bereitgestellt, kommuniziert und supportet werden, hat im Streitfall ein Problem.
Zweitens: Datenverlust ist ersatzfähig. Erstmals ist ausdrücklich geregelt, dass die Vernichtung oder Beschädigung von Daten, die nicht beruflich genutzt werden, einen ersatzfähigen Schaden darstellt. Für Software, die Nutzerdaten hält oder verarbeitet, entsteht damit eine neue Schadenskategorie.
Drittens: Die Beweisregeln treffen komplexe Software besonders. Gerichte können die Offenlegung technischer Unterlagen anordnen; wird sie verweigert, wird der Fehler vermutet. Und bei Produkten, deren technische Komplexität den Nachweis für Geschädigte übermäßig schwierig macht — KI ist das Lehrbuchbeispiel —, kommen Vermutungen zugunsten der Geschädigten ins Spiel.
Die Open-Source-Frage
Die Richtlinie nimmt freie und quelloffene Software aus — aber nur, wenn sie außerhalb einer geschäftlichen Tätigkeit entwickelt oder bereitgestellt wird. Wer Open Source kommerziell anbietet, hostet, supportet oder in ein kommerzielles Produkt integriert, kann sich auf die Ausnahme nicht verlassen. Für Unternehmen heißt das: Open-Source-Anteile im eigenen Produkt gehören inventarisiert — die Haftung für das Gesamtprodukt bleibt beim Hersteller.
Ab wann das gilt
Die neue Haftung greift für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht werden. Für Software mit laufenden Releases läuft die Schonfrist damit faktisch schneller ab als für physische Lagerware: Jede neue Version nach dem Stichtag kann als neues Inverkehrbringen zählen. Die genaue Abgrenzung wird das deutsche Umsetzungsgesetz regeln, das sich derzeit im Gesetzgebungsverfahren befindet.
Was jetzt zu tun ist
Wer Software in Verkehr bringt, sollte vor dem Stichtag drei Dinge geklärt haben: einen dokumentierten Update-Prozess, eine belastbare technische Dokumentation (Architektur, Tests, Sicherheitskonzept) — und eine Versicherungsdeckung, die die neue verschuldensunabhängige Produkthaftung tatsächlich erfasst. Klassische IT-Haftpflicht-Policen tun das nicht automatisch.
Ob und in welcher Rolle Ihr Unternehmen betroffen ist, klärt unser kostenloser Check in zwei Minuten.
Dieser Beitrag dient der allgemeinen Orientierung und stellt keine Rechtsberatung dar. Maßgeblich sind der Wortlaut der Richtlinie (EU) 2024/2853 und das deutsche Umsetzungsgesetz.