Der Referentenentwurf des neuen Produkthaftungsgesetzes – Haftung für Software und verbundene Dienste

Der Startschuss für die Neuregelung der Produkthaftung ist in Deutschland gefallen: Letzte Woche hat das Bundesministerium der Justiz und für Verbraucherschutz (BMJV) den Referentenentwurf eines Gesetzes zur Modernisierung der Produkthaftung (ProdHaftG-E) zur Umsetzung der EU-Produkthaftungsrichtlinie 2024/2853 veröffentlicht (einen ausführlichen Überblick zu den Neuerungen der EU-Produkthaftungsrichtlinie verschaffen Ihnen meine Kollegen Dr. Lena Niehoff und David Hilger hier).

Das Ziel der Modernisierung des „alten“ Produkthaftungsgesetzes? Die Anpassung an die Anforderungen der Digitalisierung, der Kreislaufwirtschaft und der globalen Wertschöpfungsketten. Einfach ausgedrückt: Unsere Welt wird digitaler und die Produkte moderner, entsprechend müssen auch die Haftungsnormen Schritt halten. All dies allerdings sehr klägerfreundlich.

Ein Eckpfeiler des Referentenentwurfs ist die Haftung von Herstellern von Software, inklusive Systemen mit künstlicher Intelligenz.

Der Software-Begriff

In Zukunft unterliegen sowohl Software als auch KI-Systeme den Haftungsregeln des neuen Produkthaftungsgesetzes. Die Art der Bereitstellung oder Nutzung ist dabei irrelevant. Der Begriff „Software“ wird im Referentenentwurf, wie auch in der EU-Produkthaftungsrichtlinie, nicht definiert. Das BMJV hat bewusst von einer Definition abgesehen, um weiter „offen für künftige technische Entwicklungen“ zu sein. Die Bestimmung des genauen Umfangs des Software-Begriffs wird daher in die Hände der Gerichte gelegt.

Der Referentenentwurf verweist lediglich auf die in den Erwägungsgründen der Produkthaftungsrichtlinie angeführten Beispiele für Software: Betriebssysteme, Firmware, Computerprogramme, Anwendungen und KI-Systeme. Nicht umfasst sind hingegen reine Inhalte von digitalen Dateien (etwa von Mediendateien oder E-Books) oder der Quellcode einer Software.

Erweiterung der Haftungsadressaten durch „verbundene Dienste“

Neben dem Hersteller des Produkts soll auch der Hersteller einer verbundenen Komponente haftbar sein (§ 4 ProdHaftG-E). Der Hersteller der Komponente haftet zum einen also, wenn (1) die Komponente selbst ein Produkt ist oder (2) sie in ein anderes Produkt integriert wird. Dies führt dazu, dass der Hersteller der Komponente auch dann haftet, wenn die Komponente als solche kein Produkt im Sinne des ProdHaftG-E ist.

Ein Paradebeispiel dafür sind verbundene Dienste: Dienste sind keine Produkte im Sinne des § 2 ProdHaftG-E. Da sie für die Sicherheit des Produkts allerdings von grundlegender Bedeutung sind, haften die Anbieter des Dienstes unter Umständen neben dem Hersteller des Produktes.
Als Beispiel eines verbundenen Dienstes nennt der Referentenentwurf die Verkehrsdaten für des Navigationssystem eines autonomen Fahrzeugs. Hier würden also der Fahrzeughersteller und der Anbieter des Navigationsdienstes haften.

Open-Source-Software, die außerhalb einer Geschäftstätigkeit entwickelt und bereitgestellt wird, soll ausdrücklich nicht von den Haftungsnormen des neuen Produkthaftungsgesetzes umfasst sein. Wird Open-Source-Software allerdings im Rahmen einer Geschäftstätigkeit als Komponente in ein Produkt integriert, haftet der Hersteller dieses Produkts auch für Schäden, die durch die Open-Source-Software verursacht werden, nicht aber der Hersteller der Open-Source-Software.

Fehlerhaftigkeit des Produkts

Die Haftung für Fehler oder Sicherheitslücken erstreckt sich für digitale Produkte nach dem Referentenentwurf über das Inverkehrbringen hinaus, bis das Produkt die "Kontrolle des Herstellers" verlässt. Dies spielt insbesondere bei Software-Updates, Upgrades oder der Anbindung an digitale Dienste eine Rolle. Für die Beurteilung der Fehlerhaftigkeit sollen daher in Zukunft auch Selbstlernfähigkeiten von KI-Systemen („Machine Learning“), Wechselwirkungen mit anderen Produkten und Cybersicherheitsanforderungen berücksichtigt werden.

Aus dem Referentenentwurf folgen zwar keine Updatepflichten, ein Hersteller sollte allerdings die Entwicklung von Wissenschaft und Technik nach dem Inverkehrbringen aus haftungsrechtlicher Sicht weiterverfolgen und ggf. später erkennbare Sicherheitslücken beheben, sofern er weiterhin Kontrolle über das Produkt hat. Andernfalls droht eine Schadenersatzpflicht. Denn auch das Fehlen von Updates und Upgrades, die zur Aufrechterhaltung der Sicherheit erforderlich sind, kann haftungsrechtlich relevant sein.

Die über den Zeitpunkt des Inverkehrbringens hinausgehenden Produkthaftungsrisiken schlagen darüber hinaus die Brücke in das digitale Kaufrecht. Fehlerhafte Software-Produkte und -dienste triggern auch Gewährleistungsansprüche. Dies umfasst u.a. gewährleistungsrechtliche Updatepflichten der Hersteller, die sich an der typischen Nutzungsdauer des Produkts und nicht mehr fixen zeitlichen Gewährleistungsfristen (z.B. 24 Monate) orientieren.

Klägerfreundliche Beweisführungsregelungen

Kläger können oftmals aufgrund der zunehmenden Komplexität moderner Produkte nicht wissen, wie ein Produkt hergestellt wird und wie dieses funktioniert. Der Referentenentwurf sieht, wie auch die zugrundeliegende EU-Produkthaftungsrichtlinie, die Beweisführung bei komplexen Produkten wie vernetzten Geräten und Software (insbesondere, wenn diese selbstlernend ist) daher als erheblich erschwert an. Das neue Produkthaftungsgesetz soll die Beweisführung des Klägers erleichtern. Der Referentenentwurf sieht dementsprechend verschiedene gesetzliche Vermutungen, Annahmen und eine Offenlegung von Beweismitteln vor:

1. Offenlegung von Beweismitteln
   Der beklagte Hersteller kann auf Antrag des Klägers verpflichtet werden, relevante Beweismittel offenzulegen, wenn der Kläger einen Schadenersatzanspruch hinreichend plausibel gemacht hat (§ 19 Abs. 1 ProdHaftG-E). Es soll in der Regel ausreichen, wenn eine gewisse Wahrscheinlichkeit für einen Schadenersatzanspruch spricht.
   Kommt der beklagte Hersteller der Offenlegungspflicht nicht nach, greift eine gesetzlich vorgesehene Fehlervermutung (§ 20 Abs. 1 Nr. 1 ProdHaftG-E).
2. Gesetzliche Vermutungsregelungen zu Produktfehler und Kausalität
   Der Referentenentwurf sieht zudem weitere gesetzliche Vermutungsregelungen sowohl für die Frage des Produktfehlers als auch den Kausalzusammenhang zwischen dem Produktfehler und der Verletzung vor (§ 20 ProdHaftG-E).
   Ein Ursachenzusammenhang wird vermutet, wenn ein Produktfehler feststeht und die eingetretene Verletzung typischerweise auf den Fehler zurückzuführen ist.
   Darüber hinaus werde Fehlerhaftigkeit und Kausalität vermutet, wenn trotz der Offenlegung von Beweismitteln (1) die Beweisführung „für den Kläger insbesondere aufgrund der technischen oder wissenschaftlichen Komplexität übermäßig schwierig ist“ und (2) ein Produktfehler und/oder ein Kausalzusammenhang zumindest „wahrscheinlich“ ist.

Wie geht es weiter?

Das BMJV hat beteiligten Fachkreisen, Verbänden und wissenschaftlichen Vereinigungen zunächst Gelegenheit zur Stellungnahme bis zum 10. Oktober 2025 eingeräumt. Das neue Produkthaftungsgesetz soll am 9. Dezember 2026 in Kraft treten und auf Produkte mit Markteintritt nach Inkrafttreten Anwendung finden. Software-Updates oder Upgrades für eine vor dem 9. Dezember 2026 in Verkehr gebrachte Software sind nicht umfasst, sofern es sich nicht um wesentlich veränderte und damit neue Produkte im Sinne des § 5 ProdHaftG-E handelt.

Um das Haftungsrisiko zu minimieren, ist es für Software-Hersteller unerlässlich, die bestehenden Systeme, Abläufe und Verträge an die neuen Anforderungen des Produkthaftungsgesetzes anzupassen.

Top 3 to do‘s für Hersteller von Software und Anbieter von (verbundenen) Diensten

1. Interne Bewertung des erweiterten Produktbegriffs und angepasster Versicherungsschutz: Hafte ich vielleicht in Zukunft nach dem Produkthaftungsgesetz, ohne derzeit davon zu wissen?
2. Robuste Compliance Systeme, die auch regulatorisch relevante Änderungen eines Cybersicherheitssystems berücksichtigen. Insbesondere aktualisierte Überwachungs- und Dokumentationsprozesse (bspw. Software-Update-Protokolle) aufgrund der über den Markteintritt hinausgehenden Haftungsmöglichkeiten, der Beweislastregelungen und Offenlegungspflichten.
3. Bewertung von Cybersicherheitsrisiken zur Einhaltung von Daten- und Cybersicherheitsstandards und -gesetzen. Cybersicherheit bedeutet mittlerweile Produktsicherheit.