Ausgangspunkt der modernisierten Produkthaftung für digitale Produkte
Die EU-Produkthaftung wird durch die Richtlinie (EU) 2024/2853 und den in Deutschland vorliegenden Entwurf eines Gesetzes zur Modernisierung des Produkthaftungsrechts grundlegend modernisiert. Ziel ist es, digitale Produkte und Dienste in die Haftungsordnung einzubeziehen, weil Software, vernetzte Systeme und KI-Anwendungen heute zentrale Sicherheitsfunktionen übernehmen.
Produktbegriff und Fehler bei digitalen Angeboten
Erweiterter Produktbegriff
Die überarbeitete Produkthaftungsrichtlinie sieht vor, dass neben körperlichen Sachen auch digitale Produkte als „Produkte“ gelten können. Dazu gehören insbesondere eigenständig vertriebene Software, feste digitale Inhalte und bestimmte standardisierte digitale Dienste, wenn sie wie Produkte in den Verkehr gebracht werden.
Für SaaS und Cloud-Angebote diskutiert die Literatur, ob sie als digitale Dienste mit produktähnlicher Haftung zu behandeln sind, wenn sie standardisiert, weitgehend automatisiert und auf eine Vielzahl von Nutzern ausgerichtet sind. Individuelle Projektleistungen bleiben hingegen schwerpunktmäßig im Vertragsrecht verortet.
Bei KI-Systemen wird der Produktstatus vor allem dann relevant, wenn sie eigenständig bereitgestellt werden oder integraler Bestandteil eines physischen Produkts sind, etwa in autonomen Fahrzeugen oder Industrieanlagen.
Fehlerbegriff bei Software, SaaS, Cloud und KI
Der Fehlerbegriff bleibt an der Erwartung der Sicherheit orientiert. Ein Produkt ist fehlerhaft, wenn es nicht die Sicherheit bietet, die unter Berücksichtigung aller Umstände berechtigterweise erwartet werden kann. Für digitale Produkte gehören dazu insbesondere Konzeption und Architektur, Update- und Patch-Management, IT-Sicherheitsniveau sowie das Verhalten des Produkts unter vorhersehbaren Nutzungsbedingungen.
Bei KI-Systemen umfasst dies auch Trainings- und Testverfahren, Datenqualität, Schutz vor bekannten Risiken wie Bias oder unerwartete Ausgänge sowie Kontrollmechanismen, die verhindern sollen, dass der KI-Output in sicherheitskritischen Kontexten unkontrolliert bleibt. Ein KI-Produkt kann fehlerhaft sein, wenn diese Sicherungsmechanismen fehlen oder unzureichend sind und dadurch ein Sicherheitsdefizit entsteht.
Haftungsarchitektur für Software, SaaS, Cloud und KI
Software und On-Premise-Produkte
Für klassische Software, die lokal installiert und betrieben wird, wird die Produkthaftung künftig deutlicher sichtbar. Bisher war häufig unklar, ob reine Software als Produkt gilt oder nur im Rahmen der Hardware-Produkthaftung relevant wird. Die Modernisierung stellt klar, dass eigenständig vertriebene Software ein Produkt und Embedded Software eine Komponente eines Produkts sein kann.
Fehlerhafte Software, die beispielsweise eine Maschine falsch steuert oder Sicherheitsfunktionen aussetzt, kann zu Produkthaftung des Softwareherstellers führen, wenn die Sicherheitsanforderungen nicht erfüllt wurden und ein Personen- oder Sachschaden eintritt.
SaaS und Cloud-Angebote
SaaS und Cloud-Angebote liegen zwischen Dienstleistung und Produkt. Standardisierte Cloud-Plattformen, Infrastruktur-Dienste und SaaS-Produkte, die gleichartig an viele Kunden geliefert werden, können künftig produktähnlich behandelt werden, wenn ihr Ausfall oder Fehlverhalten Schäden an anderen Rechtsgütern verursacht.
Hoch individuelle Managed Services mit projektspezifischer Ausgestaltung werden weiterhin primär über vertragliche Haftung und Mängelrechte gesteuert. Tech-Unternehmen müssen deshalb für jedes Angebot prüfen, ob es rechtlich eher Produktcharakter oder Dienstleistungscharakter hat, und ihre Risikostruktur entsprechend ausrichten.
KI-Systeme
KI-Systeme bilden eine eigene Haftungskategorie. Wenn ein KI-Modell Entscheidungen trifft, die zu physischen Schäden führen, kann der KI-Anbieter als Hersteller eines digitalen Produkts haften. Das gilt etwa bei KI-gesteuerten Robotern, automatisierten Produktionsanlagen oder medizinischer Diagnosesoftware, wenn Fehler im Modell, im Training oder in der Absicherung zu fehlerhaften Entscheidungen führen.
Die Haftung ist dabei nicht auf den Hardwarehersteller beschränkt. Wer die KI entwickelt, trainiert und bereitstellt, trägt Verantwortung für die Sicherheit des KI-Produkts. Dies erfordert klare Governance-Strukturen und technische Sicherungsmechanismen.
Sicherheitsanforderungen und Produktgovernance
Sicherheitsprozesse für digitale Produkte
Die modernisierte Produkthaftung verknüpft technische Sicherheit mit rechtlicher Verantwortung. Hersteller und Anbieter digitaler Produkte müssen Sicherheitsprozesse etablieren, die über punktuelle Tests hinausgehen. Zu den wesentlichen Bestandteilen gehören die folgenden Maßnahmen.
- Risikoanalyse und Sicherheitskonzept für das jeweilige Produkt
- Sicheres Software-Engineering inklusive Code-Reviews und Tests
- Update- und Patch-Strategien mit klaren Reaktionszeiten
- Monitoring von Sicherheitsvorfällen und Schwachstellen
Für SaaS und Cloud-Angebote bedeutet dies, dass zugesicherte Schutzniveaus nicht nur in Service-Level-Agreements stehen dürfen, sondern technisch und organisatorisch hinterlegt sind.
Governance für KI-Systeme
Zur Governance gehören insbesondere die folgenden Elemente.
- Dokumentierte Datenquellen und Trainingsprozesse
- Validierungs- und Testverfahren vor dem Einsatz
- Laufende Überwachung des KI-Verhaltens im Betrieb
- Klare Regeln für Modelländerungen und Rollback
Fehlen solche Prozesse, kann dies als Produktfehler gewertet werden, wenn dadurch die Sicherheitserwartung unterschritten wird. Tech-Unternehmen sollten diese Governance-Funktionen klar zuordnen und mit ausreichenden Ressourcen ausstatten.
Rollen und Regress in digitalen Lieferketten
Digitale Produkte entstehen selten isoliert. Typischerweise gibt es eine Kette aus Komponentenherstellern, Plattformanbietern, Integratoren und Anwenderunternehmen.
- Systemhäuser, die mehrere Software- und Cloud-Dienste zu einem Gesamtsystem verbinden, können als Hersteller gelten, wenn die Kombination ein neues Produkt mit eigenständigem Sicherheitsprofil schafft.
- Plattformanbieter, die KI-Basismodelle bereitstellen, tragen Verantwortung für Fehler in den Modellen, auch wenn Kunden eigene Anwendungen erstellen.
- Anwenderunternehmen, die digitale Produkte in kritischen Geschäftsprozessen nutzen, müssen mit Haftungsansprüchen eigener Kunden und Regressfragen gegenüber ihren Lieferanten rechnen.
Regress entlang der Lieferkette gelingt nur, wenn Verantwortlichkeiten vertraglich klar definiert sind, technische Schnittstellen und Zuständigkeiten für Sicherheitsmaßnahmen beschrieben und Informationspflichten bei Vorfällen vereinbart sind.
Abgrenzung von Dienstleistung, Projekt und Produkt
Ein zentrales Praxisproblem ist die Abgrenzung zwischen Dienstleistung und Produkt.
Individuelle IT-Projekte mit Projektverträgen und Werk- oder Dienstleistungscharakter bleiben überwiegend im allgemeinen Vertragsrecht. Hier geht es um Leistungspflichten, Mängelhaftung und vertragliche Haftungsbegrenzungen. Die Produkthaftung greift dort ein, wo eine standardisierte digitale Lösung als Produkt in den Verkehr gebracht wird und deren Sicherheitserwartung im Markt relevant ist.
Bei Cloud-Angeboten ist die Abgrenzung besonders fein. Standardisierte Infrastruktur- und Plattformdienste mit Self-Service-Charakter können produktähnlich sein. Maßgeschneiderte Managed Services, bei denen der Anbieter überwiegend individuell betreut, tendieren eher in Richtung Dienstleistung.
Für Unternehmen bedeutet dies, dass das rechtliche Haftungsregime nicht nur vom technischen Inhalt, sondern auch von der Vertriebsform und dem Grad der Standardisierung abhängt. Dieses Verständnis sollte sich im Vertragsdesign und der internen Risikosteuerung widerspiegeln.
Konkrete Praxisfolgen für Tech-Unternehmen und Anwender
Vertragsarchitektur anpassen
Tech-Unternehmen und Unternehmensanwender sollten ihre Standardverträge für Software, SaaS, Cloud und KI auf die neue Haftungsordnung hin überprüfen. Sinnvoll sind insbesondere die folgenden Regelungen.
- Klare Rollenbestimmungen (Hersteller, Anbieter, Integrator, Anwender)
- Abgestufte Haftungsklauseln für vertragliche Schäden und Produkthaftungsrisiken
- Freistellungsregelungen entlang der Lieferkette
- Kooperationspflichten bei Sicherheitsvorfällen und Produktmängeln
Ziel ist nicht, Produkthaftung auszuschließen, sondern Zuständigkeiten transparent zu machen und Regresswege zu sichern.
Produktgovernance und Sicherheitsprozesse stärken
Unternehmen sollten für zentrale digitale Produkte Governance-Strukturen etablieren. Dazu gehören insbesondere die folgenden Strukturen.
- Benannte Produktverantwortliche mit klarer Zuständigkeit
- Regelmäßige Risikoanalysen für sicherheitskritische Produkte
- Dokumentierte Update- und Patch-Prozesse
- Definierte Eskalationswege bei Sicherheitsvorfällen
Diese Maßnahmen dienen nicht nur der Sicherheit, sondern auch der späteren Nachweisführung, dass ein angemessenes Sicherheitsniveau eingehalten wurde.
Lieferketten und Einkauf kritisch prüfen
Im Einkauf sollten digitale Produkte nicht nur nach Preis und Funktion bewertet werden, sondern auch nach Sicherheits- und Haftungsaspekten. Besonders wichtig sind die folgenden Punkte.
- Sicherheitsanforderungen und Mindeststandards in Ausschreibungen
- Klare Vertragsklauseln zu Support, Updates und Incident-Management
- Regelungen zur Zusammenarbeit bei Produktschäden und Sicherheitsvorfällen
Systemhäuser und Integratoren sollten ihre Lieferantenverträge spiegelbildlich gestalten, um eigene Haftungsrisiken im Regress abbilden zu können.
Interne Risikoanalyse für kritische digitale Produkte
Unternehmensanwender sollten eine interne Risikoanalyse durchführen, die digitale Produkte mit hohem Schadenspotenzial identifiziert. Dazu gehören insbesondere die folgenden Systeme.
- Produktionssteuerungssysteme
- Klinische oder medizinische Software
- Sicherheitskritische Steuerungssoftware
- KI-Anwendungen mit Einfluss auf physische Sicherheit
Für diese Produkte sollten besonders strenge Sicherheits- und Governancestandards gelten und die Produkthaftungsrisiken bewusst im Risikomanagement verankert werden.
Weitere Entwicklungen und Beobachtungspunkte
Die neue Haftungsarchitektur für digitale Produkte wird erst durch Rechtsprechung und Praxis konkret ausgefüllt werden. Erste Entscheidungen zu Cloud-Ausfällen, fehlerhaften KI-Entscheidungen und kombinierten Hardware-Software-Schäden sind zu erwarten. Sie werden zeigen, wie weit Gerichte den erweiterten Produktbegriff fassen und welche Sicherheitsanforderungen als Standard gelten.
Tech-Unternehmen und Anwender sollten diese Entwicklung beobachten, ihre Vertrags- und Governance-Konzepte regelmäßig anpassen und Produkthaftung nicht isoliert betrachten, sondern im Zusammenspiel mit IT-Sicherheitsrecht, KI-Regulierung und vertraglicher Haftung. Wer Sicherheit, Governance und Verträge kohärent ausrichtet, kann die neuen Risiken beherrschbar machen, ohne Innovation zu blockieren.
Rechtsgrundlagen und Quellen Primärquellen und amtliche Hinweise anzeigen
- Richtlinie · Europäische Union · 23.10.2024 · Richtlinie (EU) 2024/2853 · Originalquelle
- Gesetzentwurf · Deutscher Bundestag · 25.02.2026 · BT-Drs. 21/4297 · Originalquelle
- Gesetz · Bundesministerium der Justiz · 15.12.1989 · ProdHaftG · Originalquelle