Software ist jetzt ein Produkt: Die neue EU-Produkthaftung und das Ende der 85-Millionen-Grenze

Kurz gesagt: Die Richtlinie (EU) 2024/2853 baut die Produkthaftung in der Europäischen Union neu. Software, digitale Konstruktionsunterlagen und Rohstoffe werden ausdrücklich zu Produkten (Art. 4 Nr. 1), der Haftungshöchstbetrag von 85 Millionen Euro und die 500-Euro-Selbstbeteiligung bei Sachschäden entfallen, und neue Offenlegungspflichten sowie Beweisvermutungen erleichtern Geschädigten die Durchsetzung (Art. 9 und 10). In Deutschland hat der Bundestag das Modernisierungsgesetz am 08.10.2026 beschlossen; die Verkündung im Bundesgesetzblatt steht zum Redaktionsschluss (28.10.2026) noch aus. Entscheidender Stichtag: Die neuen Regeln gelten für Produkte, die nach dem 08.12.2026 in Verkehr gebracht oder in Betrieb genommen werden (Art. 2 Abs. 1 der Richtlinie).

Was sich ändert — Anlass und aktueller Stand

Die Richtlinie (EU) 2024/2853 vom 23.10.2024 ersetzt die Produkthaftungsrichtlinie 85/374/EWG, die das europäische Produkthaftungsrecht seit 1985 prägt. Die Mitgliedstaaten müssen die erforderlichen Rechts- und Verwaltungsvorschriften bis zum 09.12.2026 in Kraft setzen (Art. 22 Abs. 1). Die alte Richtlinie wird mit Wirkung vom 09.12.2026 aufgehoben, gilt aber weiterhin für Produkte, die vor diesem Zeitpunkt in Verkehr gebracht oder in Betrieb genommen wurden (Art. 21).

In Deutschland ist die Umsetzung weit fortgeschritten: Der Bundestag hat das Modernisierungsgesetz am 08.10.2026 beschlossen, der Bundesrat hat das Gesetzgebungsverfahren am 16.10.2026 ohne Einberufung des Vermittlungsausschusses abgeschlossen. Zum Redaktionsschluss dieses Beitrags (28.10.2026) steht die Verkündung im Bundesgesetzblatt noch aus. Bis dahin gilt das Produkthaftungsgesetz (ProdHaftG) in seiner bisherigen Fassung fort.

Zwei Daten sollten Sie sich unabhängig vom nationalen Verfahrensstand merken: Nach dem 08.12.2026 in Verkehr gebrachte oder in Betrieb genommene Produkte fallen unter das neue Regime (Art. 2 Abs. 1). Und weil die Richtlinie weitgehend vollharmonisierend wirkt, dürfen die Mitgliedstaaten weder strengere noch mildere Bestimmungen einführen, sofern die Richtlinie nichts anderes bestimmt (Art. 3) — der Spielraum nationaler Abweichungen ist klein.

Software ist jetzt ein Produkt

Die folgenreichste Änderung steht in der Begriffsbestimmung. Nach § 2 ProdHaftG ist ein Produkt jede bewegliche Sache sowie Elektrizität — ob reine Software darunterfällt, war jahrzehntelang umstritten. Art. 4 Nr. 1 der neuen Richtlinie stellt klar: Unter „Produkt“ sind auch Elektrizität, digitale Konstruktionsunterlagen, Rohstoffe und Software zu verstehen.

Praktisch heißt das: Eine Steuerungssoftware, eine App, ein KI-Modell als eingebettete Komponente oder die CAD-Datei für den 3D-Druck (digitale Konstruktionsunterlage, Art. 4 Nr. 2) können künftig selbst das fehlerhafte Produkt sein, für das verschuldensunabhängig gehaftet wird. Auch der „verbundene Dienst“ ist definiert: ein digitaler Dienst, der so in ein Produkt integriert oder mit ihm verbunden ist, dass das Produkt ohne ihn eine oder mehrere Funktionen nicht ausführen könnte (Art. 4 Nr. 3).

Eine Ausnahme gibt es für freie und quelloffene Software — aber nur, wenn sie außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird (Art. 2 Abs. 2). Wer Open Source kommerziell bereitstellt oder in ein eigenes Produkt integriert, ist damit nicht ausgenommen: Die Integration unterliegt der Kontrolle des Herstellers (Art. 4 Nr. 5), und der Hersteller haftet auch für Schäden durch eine fehlerhafte Komponente, wenn diese unter seiner Kontrolle integriert wurde (Art. 8 Abs. 1).

Wer haftet künftig? Die längere Haftungskette

Die Richtlinie zieht den Kreis der haftbaren Wirtschaftsakteure deutlich weiter als das bisherige Recht. Haftbar sind nach Art. 8 Abs. 1:

• der Hersteller des fehlerhaften Produkts — einschließlich dessen, der ein Produkt entwerfen oder herstellen lässt oder durch Anbringen seines Namens oder seiner Marke als Hersteller auftritt (Art. 4 Nr. 10),
• der Hersteller einer fehlerhaften Komponente — ausdrücklich auch nicht-körperlicher Komponenten wie Software oder verbundener Dienste (Art. 4 Nr. 4), sofern die Komponente unter der Kontrolle des Herstellers integriert wurde und die Fehlerhaftigkeit verursacht hat,
• bei Herstellern mit Sitz außerhalb der Union zusätzlich der Importeur, der Bevollmächtigte und — wenn es beide nicht gibt — der Fulfilment-Dienstleister (Art. 8 Abs. 1 lit. c), also etwa Lager- und Versanddienstleister.

Drei weitere Regeln verdienen Aufmerksamkeit. Erstens: Wer ein Produkt außerhalb der Kontrolle des Herstellers wesentlich verändert und anschließend auf dem Markt bereitstellt oder in Betrieb nimmt, gilt selbst als Hersteller (Art. 8 Abs. 2 i. V. m. Art. 4 Nr. 18) — relevant für Remanufacturing und Retrofits. Zweitens bleibt die Lieferanten-Fangklausel bestehen: Benennt ein Lieferant binnen eines Monats keinen haftbaren Wirtschaftsakteur oder seinen eigenen Lieferanten, haftet er selbst (Art. 8 Abs. 3; bisher § 4 Abs. 3 ProdHaftG). Drittens können Online-Plattformen unter den Bedingungen des Art. 6 Abs. 3 der Verordnung (EU) 2022/2065 (DSA) haftbar sein (Art. 8 Abs. 4).

Neue Schadensarten: psychische Gesundheit und Datenverlust

Der ersatzfähige Schaden wird an zwei Stellen erweitert (Art. 6 Abs. 1):

• Körperverletzung umfasst künftig ausdrücklich medizinisch anerkannte Beeinträchtigungen der psychischen Gesundheit (lit. a).
• Neu ist die Vernichtung oder Beschädigung von Daten, die nicht für berufliche Zwecke verwendet werden (lit. c) — etwa wenn eine fehlerhafte Software private Fotos oder Dokumente löscht.

Sachschäden bleiben auf privat genutzte Sachen beschränkt; ausschließlich beruflich verwendete Sachen sind weiterhin ausgenommen (lit. b). Der Anspruch deckt alle Vermögensschäden aus den genannten Schadensarten und erstreckt sich auf immaterielle Schäden, soweit nationales Recht dafür eine Entschädigung vorsieht (Art. 6 Abs. 2).

Beweislast: Offenlegungspflicht und Vermutungen ändern den Prozess

Formell bleibt der Grundsatz bestehen: Der Kläger beweist die Fehlerhaftigkeit, den Schaden und den ursächlichen Zusammenhang (Art. 10 Abs. 1; bisher § 1 Abs. 4 ProdHaftG). Praktisch wird die Beweisführung aber an drei Stellen erleichtert:

• Offenlegungspflicht (Art. 9): Hat der Kläger Tatsachen und Beweismittel vorgelegt, die den Anspruch ausreichend plausibel machen, muss der Beklagte relevante Beweismittel in seiner Verfügungsgewalt offenlegen — begrenzt auf das erforderliche und verhältnismäßige Maß und unter Schutz von Geschäftsgeheimnissen (Art. 9 Abs. 3 bis 5).
• Fehlervermutung (Art. 10 Abs. 2): Die Fehlerhaftigkeit wird vermutet, wenn der Beklagte die Offenlegung unterlässt, wenn das Produkt verbindlichen Produktsicherheitsanforderungen nicht entspricht oder wenn der Schaden durch eine offensichtliche Funktionsstörung bei vernünftigerweise vorhersehbarem Gebrauch verursacht wurde.
• Kausalitätsvermutung und Komplexitätsregel (Art. 10 Abs. 3 und 4): Ist der Schaden typischerweise auf den Fehler zurückzuführen, wird der Zusammenhang vermutet. Und wo es dem Kläger wegen technischer oder wissenschaftlicher Komplexität — der Regelfall bei KI-Systemen — übermäßig schwerfällt, genügt der Nachweis, dass Fehlerhaftigkeit oder Kausalität wahrscheinlich sind.

Der Beklagte kann jede dieser Vermutungen widerlegen (Art. 10 Abs. 5). Für Unternehmen bedeutet das: Wer seine Entwicklungs-, Test- und Update-Prozesse nicht lückenlos dokumentiert hat, wird sich im Streitfall schwerer entlasten können als bisher.

Ende der Höchstbeträge und der Selbstbeteiligung

Zwei vertraute Größen des ProdHaftG verschwinden. Der Haftungshöchstbetrag von 85 Millionen Euro für Personenschäden durch gleiche Produkte mit demselben Fehler (§ 10 ProdHaftG) findet in der neuen Richtlinie keine Entsprechung mehr — die Entsprechungstabelle im Anhang der Richtlinie weist Art. 16 der alten Richtlinie ausdrücklich nur einen Strich zu. Und die Selbstbeteiligung von 500 Euro bei Sachschäden (§ 11 ProdHaftG) kennt der neue Schadenkatalog des Art. 6 nicht mehr.

Die Konsequenz ist eine faktisch unbegrenzte Haftung. Unternehmen sollten ihre Produkthaftpflicht-Deckungen prüfen — Versicherungssummen, die an der 85-Millionen-Grenze ausgerichtet waren, können künftig zu niedrig sein.

Der Fehlerbegriff der digitalen Ära

Ein Produkt ist fehlerhaft, wenn es nicht die Sicherheit bietet, die eine Person erwarten darf oder die rechtlich vorgeschrieben ist (Art. 7 Abs. 1). Bei der Beurteilung sind künftig ausdrücklich zu berücksichtigen (Art. 7 Abs. 2):

• die Fähigkeit des Produkts, nach dem Inverkehrbringen weiter zu lernen oder neue Funktionen zu erwerben (lit. c) — die KI-Klausel,
• der Zeitpunkt, zu dem das Produkt die Kontrolle des Herstellers verlässt — bei Produkten mit Update-Anbindung also nicht mehr nur das Inverkehrbringen (lit. e),
• sicherheitsrelevante Cybersicherheitsanforderungen (lit. f),
• Produktrückrufe und sonstige behördliche Eingriffe (lit. g).

Wie bisher gilt: Ein Produkt ist nicht allein deshalb fehlerhaft, weil inzwischen ein besseres Produkt — einschließlich Updates oder Upgrades — auf dem Markt ist (Art. 7 Abs. 3; bisher § 3 Abs. 2 ProdHaftG). Und der Einwand des nicht erkennbaren Entwicklungsrisikos bleibt grundsätzlich bestehen (Art. 11 Abs. 1 lit. e), wenngleich die Mitgliedstaaten davon abweichen können (Art. 18).

Entscheidend ist die Kehrseite: Von der Haftung befreit sich kein Wirtschaftsakteur, wenn die Fehlerhaftigkeit auf Software, auf Software-Updates oder -Upgrades, auf dem Fehlen sicherheitsrelevanter Updates oder auf einem verbundenen Dienst beruht — sofern dies der Kontrolle des Herstellers unterliegt (Art. 11 Abs. 2). Wer die Kontrolle über die Software behält, trägt faktisch eine dauerhafte Update-Verantwortung für die Produktsicherheit.

Fristen im Überblick

Datum	Ereignis	Fundstelle
08.10.2026	Bundestag beschließt das Modernisierungsgesetz	—
16.10.2026	Bundesrat beendet das Verfahren ohne Vermittlungsausschuss	—
ausstehend	Verkündung im Bundesgesetzblatt (Stand: 28.10.2026)	—
08.12.2026	Stichtag: Das neue Regime gilt für danach in Verkehr gebrachte oder in Betrieb genommene Produkte	Art. 2 Abs. 1 RL (EU) 2024/2853
09.12.2026	Ende der Umsetzungsfrist; RL 85/374/EWG wird aufgehoben (gilt weiter für vorher in Verkehr gebrachte Produkte)	Art. 22 Abs. 1, Art. 21 RL (EU) 2024/2853
09.12.2030	Erste Bewertung der Richtlinie durch die Kommission	Art. 20 RL (EU) 2024/2853

Verjährung und Ausschlussfristen bleiben im Kern vertraut: Die Verjährung beträgt drei Jahre ab Kenntnis von Schaden, Fehlerhaftigkeit und haftbarem Wirtschaftsakteur (Art. 16). Die Ausschlussfrist liegt bei zehn Jahren ab Inverkehrbringen; bei latenten Körperschäden, die sich erst nach Jahren zeigen, verlängert sie sich auf 25 Jahre (Art. 17; bisher §§ 12, 13 ProdHaftG).

Was Unternehmen jetzt tun sollten

• Produktportfolio prüfen: Erfassen Sie, wo Software, digitale Konstruktionsunterlagen oder verbundene Dienste Teil Ihrer Produkte sind — oder selbst das Produkt.
• Update- und Patch-Prozesse dokumentieren: Wer Updates kontrolliert, muss nachweisen können, dass sicherheitsrelevante Updates zeitnah bereitgestellt wurden (Art. 11 Abs. 2).
• Cybersicherheit als Produktsicherheit mitdenken: Sicherheitsrelevante Cyberanforderungen fließen in die Fehlerbeurteilung ein (Art. 7 Abs. 2 lit. f).
• Lieferkette klären: Bei Drittland-Bezug muss feststehen, wer Importeur oder Bevollmächtigter ist — sonst rückt der Fulfilment-Dienstleister in die Haftung (Art. 8 Abs. 1 lit. c).
• Verträge mit Komponentenherstellern prüfen: Mehrere Haftende haften gesamtschuldnerisch (Art. 12 Abs. 1); Rückgriffsansprüche richten sich nach nationalem Recht (Art. 14). Nur gegenüber Kleinst- und kleinen Unternehmen als Software-Komponentenherstellern kann der Rückgriff vertraglich ausgeschlossen werden (Art. 12 Abs. 2).
• Versicherungsschutz anpassen: Ohne Höchstbetrag und ohne Selbstbeteiligung können bisherige Deckungssummen zu niedrig sein.
• Dokumentation für den Streitfall aufsetzen: Die Offenlegungspflicht (Art. 9) trifft nur den, der nichts Vorzeigbares hat, besonders hart.
• Stichtag verankern: Der 08.12.2026 gehört ins Änderungsmanagement — Produkte, die danach erstmals in Verkehr kommen, fallen unter das neue Recht.

Die fünf häufigsten Fehler

1. „Software ist keine Sache, also kein Produkt.“ Diese Lesart ist überholt. Art. 4 Nr. 1 der Richtlinie zählt Software ausdrücklich zum Produktbegriff — die Umsetzung ins nationale Recht ist mit der Frist zum 09.12.2026 verbindlich.

2. Sich auf die 85-Millionen-Grenze verlassen. Der Höchstbetrag des § 10 ProdHaftG entfällt. Wer Deckungskonzepte und Risikokalkulationen darauf aufgebaut hat, muss neu rechnen.

3. Update-Prozesse nicht dokumentieren. Fehlende sicherheitsrelevante Updates begründen die Haftung, solange sie der Herstellerkontrolle unterliegen (Art. 11 Abs. 2 lit. c). Ohne dokumentierten Update-Prozess fehlt im Streitfall die Entlastungsgrundlage.

4. Die Lieferanten-Benennungsfrist verschlafen. Ein Monat ist kurz: Wer auf eine Aufforderung des Geschädigten nicht rechtzeitig einen haftbaren Wirtschaftsakteur oder seinen Lieferanten benennt, haftet selbst (Art. 8 Abs. 3).

5. „Die Beweislast liegt ohnehin beim Geschädigten.“ Formell stimmt das (Art. 10 Abs. 1) — aber Offenlegungspflicht, Fehler- und Kausalitätsvermutungen sowie die Komplexitätsregel (Art. 9 und 10) kehren die praktische Beweissituation in vielen Fällen um.

Häufige Fragen

Gilt die neue Produkthaftung schon?

Die Richtlinie (EU) 2024/2853 ist in Kraft, gilt aber erst für Produkte, die nach dem 08.12.2026 in Verkehr gebracht oder in Betrieb genommen werden (Art. 2 Abs. 1). In Deutschland ist das Modernisierungsgesetz beschlossen, aber zum Redaktionsschluss (28.10.2026) noch nicht im Bundesgesetzblatt verkündet; bis dahin gilt das bisherige ProdHaftG fort.

Ist meine Software wirklich ein „Produkt“?

Ja. Art. 4 Nr. 1 der Richtlinie versteht unter „Produkt“ ausdrücklich auch Software, digitale Konstruktionsunterlagen und Rohstoffe. Ausgenommen ist nur freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird (Art. 2 Abs. 2).

Wir binden Open-Source-Komponenten ein — haften wir dafür?

Die Open-Source-Ausnahme schützt die nicht-kommerzielle Entwicklung und Bereitstellung. Wer quelloffene Software in ein kommerzielles Produkt integriert, tut das unter seiner Kontrolle als Hersteller (Art. 4 Nr. 5) und haftet für Schäden durch die fehlerhafte Komponente (Art. 8 Abs. 1).

Was bedeutet das Ende des Höchstbetrags konkret?

Bei Personenschäden durch gleiche fehlerhafte Produkte war die Haftung bisher auf 85 Millionen Euro begrenzt (§ 10 ProdHaftG). Diese Grenze hat in der neuen Richtlinie keine Entsprechung. Die Haftung wird faktisch unbegrenzt — Versicherungsdeckungen sollten daraufhin geprüft werden.

Müssen wir künftig dauerhaft Updates bereitstellen?

Eine ausformulierte Update-Pflicht enthält die Richtlinie nicht, aber ihre Haftungslogik läuft darauf hinaus: Beruht die Fehlerhaftigkeit auf dem Fehlen sicherheitsrelevanter Software-Updates, ist ein Haftungsausschluss ausgeschlossen, sofern das Update der Kontrolle des Herstellers unterliegt (Art. 11 Abs. 2 lit. c).

Wer haftet, wenn der Hersteller außerhalb der EU sitzt?

Dann haften zusätzlich zum Hersteller der Importeur und der Bevollmächtigte in der Union; gibt es beide nicht, rückt der Fulfilment-Dienstleister nach (Art. 8 Abs. 1 lit. c). Kann kein Wirtschaftsakteur mit Sitz in der Union ermittelt werden, trifft die Fangklausel den Lieferanten, der binnen eines Monats niemanden benennt (Art. 8 Abs. 3).

Ändert sich etwas an der Beweislast?

Der Grundsatz bleibt: Der Geschädigte beweist Fehler, Schaden und Kausalität (Art. 10 Abs. 1). Neu sind aber die Offenlegungspflicht des Beklagten (Art. 9), gesetzliche Fehler- und Kausalitätsvermutungen (Art. 10 Abs. 2 und 3) und eine Beweiserleichterung bei technisch oder wissenschaftlich komplexen Produkten (Art. 10 Abs. 4).

Fazit

Die neue Produkthaftung ist mehr als eine Nummernänderung: Sie zieht Software und Daten in das Haftungsregime, verlängert die Kette der Haftenden bis zu Plattformen und Fulfilment-Dienstleistern, streicht die vertrauten Betragsgrenzen und stärkt die Position Geschädigter im Prozess. Wer Produkte mit Softwareanteil herstellt, importiert oder vertreibt, sollte die Wochen bis zum 08.12.2026 nutzen, um Update-Prozesse, Dokumentation, Verträge und Versicherungsschutz auf den neuen Stand zu bringen. Im Einzelfall kann eine anwaltliche Prüfung sinnvoll sein.

Wenn in Ihren Produkten KI-Systeme stecken, lohnt der Blick auf die Schnittstelle zur KI-Verordnung: unsere Themenseite zur KI-Verordnung (EU) 2024/1689 bündelt die Pflichten, der Fachartikel zur KI-Verordnung ordnet sie ein. Weitere Beiträge zu aktuellen Compliance-Themen erscheinen regelmäßig in unserem Blog.

Rechtskataster.com ist die organisatorische Grundlage Ihres Compliance-Managements und ersetzt keine Rechtsberatung im Sinne des RDG.