1. Unterfällt „Software“ als Produkt den Regelungen der neuen EU-Produkthaftungsrichtlinie?

Digitale Technologien spielen eine immer größere Rolle in modernen Produkten und bringen daher neue Risiken und Haftungspotentiale mit sich. Die im Dezember 2024 in Kraft getretene neue EU-Produkthaftungsrichtlinie 2024/2853 erleichtert Verbrauchern die Geltendmachung von Produkthaftungsansprüchen und dehnt ihren Anwendungsbereich – jetzt auch ausdrücklich - auf Software und KI-basierte Produkte aus. Darüber hinaus erleichtert sie die Beweislast und sieht eine Offenlegung von Beweismitteln vor („disclosure of evidence“).

Der Softwarebegriff umfasst auch integrierte oder verbundene digitale Dienste, die in den letzten Jahren eine immer größere Rolle in der Automobilindustrie spielen. Beispiele hierfür sind nach der neuen Produkthaftungsrichtlinie etwa die kontinuierliche Bereitstellung von Verkehrsdaten in einem Navigationssystem oder ein Sprachassistent.

2. Welche Haftungsrisiken ergeben sich für Automobilhersteller nach der neuen EU-Produkthaftungsrichtlinie für Software-Produkte?

Die neue Produkthaftungsrichtlinie stellt eine haftungsrechtliche Zäsur für die Automobilindustrie dar.

Nach der Richtlinie haften Unternehmen für fehlerhafte Produkte, die sie in der EU herstellen oder vertreiben. Ein Produkt gilt als fehlerhaft, wenn es nicht die Sicherheit bietet, die man berechtigterweise erwarten kann. Die Haftung ist verschuldensunabhängig. Es genügt daher der Nachweis, dass (i) ein Produkt fehlerhaft war, (ii) eine Person dadurch Schaden erlitten hat und (iii) ein Kausalzusammenhang zwischen dem Produktfehler und dem erlittenen Schaden besteht. Ein fahrlässiges oder gar vorsätzliches Handeln des Unternehmers ist nicht erforderlich.

Automobilhersteller haften (neben dem Software-Hersteller) für fehlerhafte Software (etwa integrierte oder verbundene digitale Dienste), wenn diese der Kontrolle des Automobilherstellers unterliegt. Nach der neuen Produkthaftungsrichtlinie haftet der Hersteller nicht mehr nur bis zum Zeitpunkt des Inverkehrbringens, sondern auch darüber hinaus, bis das Produkt die "Kontrolle des Herstellers" verlässt. Die Haftung umfasst daher sowohl die ursprüngliche Software als auch alle nachträglichen Updates oder Upgrades.

Automobilhersteller sind daher für etwaige Fehler oder Sicherheitslücken in ihren digitalen Produkten über das Inverkehrbringen hinaus verantwortlich. Dabei ist auch die Fähigkeit der digitalen Produkte, zu lernen oder neue Funktionen zu erwerben zu berücksichtigen.

In Zukunft bedeutet Cybersicherheit auch Produktsicherheit.

3. Was heißt das für die Verteilung der Beweislast im Streitfall? Trifft den Hersteller nun eine Pflicht zur Offenlegung von Beweismitteln?

Die neue Produkthaftungsrichtlinie sieht eine erleichterte Beweislast für den Kläger und die Offenlegung von Beweismitteln vor:

• Die Fehlerhaftigkeit und die Kausalität werden vermutet, wenn (i) die Beweisführung aufgrund der technischen oder wissenschaftlichen Komplexität des Produkts „übermäßig schwierig“ ist und (ii) ein Produktfehler und/oder ein Kausalzusammenhang zwischen Produktfehler und Schaden zumindest „wahrscheinlich“ sind.
• Beklagte Unternehmen können auf Antrag des Klägers verpflichtet werden, relevante Beweismittel offenzulegen („disclosure of evidence“), wenn der Kläger einen Schadenersatzanspruch hinreichend plausibel gemacht hat.

4. Was müssen Automobilhersteller zum Thema „Haftung für Software“ noch wissen?

Die Technologisierung von Fahrzeugen spielt nicht nur im Rahmen des produkthaftungsrechtlichen Haftungsregimes eine Rolle, sondern berührt weitere rechtliche Aspekte:

• Fehlerhafte Software-Produkte und -dienste triggern Gewährleistungsansprüche nach dem digitalen Gewährleistungsrecht gemäß der Vorgaben des BGB. Dies umfasst u.a. gewährleistungsrechtliche Updatepflichten der Hersteller, die sich an der typischen Nutzungsdauer des Produkts und nicht mehr fixen zeitlichen Gewährleistungsfristen (z.B. 24 Monate) orientieren.
• Fahrzeughersteller müssen aus regulatorischer Sicht zur Erlangung der Typengenehmigung die internationalen Vorschriften UN ECE R-155 (Cybersicherheit von Fahrzeugen) und UN ECE R-156 (Anforderungen an ein Software-Update-Management-System des Fahrzeugs) beachten. Dies umfasst u.a. die Implementierung eines umfassenden Fahrzeug Cybersecurity Management Systems. Wird nachträglich eine neue Software, ein Update oder ein Upgrade ins Fahrzeug eingebracht, kann dies Auswirkungen auf das bestehende Cybersicherheitssystem und damit auf die bisherige Typengenehmigung haben.
• Daneben müssen Automobilhersteller je nach Produkt / Funktion ggf. zusätzliche Vorgaben im Bereich der IT-Sicherheit, u.a. der NIS-2 Verordnung und deren nationalen Umsetzungsgesetzen sowie des Cyber Resilience Acts (CRA) beachten.
• Kommt KI zum Einsatz, gelten ergänzend die einschlägigen Regelungen für KI-Nutzung im regulierten Fahrzeug-Umfeld (zukünftig u.a. in den Verordnungen 2018/858 sowie 2018/2144) sowie ergänzend der KI-Verordnung, soweit es sich nicht um regulierte Produkte bzw. Funktionen handelt.
• Zuletzt: Der kollektive Rechtsschutz ist in der EU durch die EU-Verbandsklagenrichtlinie um ein Massenklagevehikel reicher. Deutschland hat die Verbandsklagenrichtlinie Ende 2023 in nationales Recht umgesetzt, sodass nun Abhilfeklagen (Leistungsklagen auf Direktzahlung an Verbraucher) erhoben werden können. Die EU-Verbandsklagenrichtlinie verweist hinsichtlich ihres Anwendungsbereichs ausdrücklich auf Fälle der Produkthaftung.

5. Was sollten Automobilhersteller tun?

Die neue Produkthaftungsrichtlinie muss in den EU-Mitgliedsstaaten bis zum 9. Dezember 2026 in nationales Recht umgesetzt werden. Um ihr Haftungsrisiko zu minimieren und ihr Geschäft in einem zunehmend klägerfreundlichen Produkthaftungssystem zu schützen, ist es für Automobilhersteller bereits jetzt unerlässlich, die bestehenden Systeme, Abläufe und Verträge zu überprüfen. Zu prüfen sind:

1. Das eigene Compliance System, um sicherzustellen, dass robuste Systeme vorhanden sind. Dabei sind auch regulatorisch relevante Änderungen des Cybersicherheitssystems zu berücksichtigen.
2. Das Produkthaftungsrisikoprofil in Bezug auf die erweiterte Produktdefinition.
3. Entwicklungs- und Dokumentationsprozesse vor dem Hintergrund der drohenden Beweislast- und Offenlegungspflichten, einschließlich Software-Update-Protokolle.
4. Bestehende Überwachungs- und Rückrufsysteme.
5. Bewertung von Cybersicherheitsrisiken und Einhaltung von Daten- und Cybersicherheitsstandards und -gesetzen, um sicherzustellen, dass verbindliche und branchenspezifische Anforderungen erfüllt werden.
6. Umfang des Versicherungsschutzes.
7. Lieferverträge hinsichtlich der Verteilung des Produkthaftungsrisikos.