Softwarefehler können erhebliche Schäden verursachen. Trotzdem war das Produkthaftungsgesetz für reine Softwareentwickler bislang häufig nicht das erste Gesetz, an das man beim Thema Haftung dachte. Produkthaftung verband man eher mit Autos, Maschinen, Elektrogeräten oder anderen körperlichen Produkten.
Das wird sich ändern.
In a Nutshell: Der Artikel ist für jeden relevant, der eigene Software entwickelt und den eigenen Kunden bereitstellt – insbesondere SaaS-Anwendungen und KI-Produkte.
Denn das neue Produkthaftungsrecht verändert eine wichtige Grundannahme: Software soll ausdrücklich als Produkt gelten. Damit kann auch ein Softwareunternehmen Hersteller im Sinne des Produkthaftungsrechts sein.
Die Produkthaftung greift nicht bei jedem Bug oder bei jeder falschen KI-Antwort, sondern dann, wenn fehlerhafte Software einen Personen- oder Sachschaden oder bestimmte Schäden an privat genutzten Daten verursacht.
Für Entwickler eigener KI-Anwendungen sind vor allem vier Punkte wichtig:
• KI ist Software – und damit grundsätzlich ein Produkt.
• Auch SaaS und Cloud-Software können erfasst sein.
• Updates und Sicherheitsupdates können für die Haftung relevant werden.
• Bei KI berücksichtigt das neue Recht sogar, dass sich ein System nach seiner Bereitstellung weiterentwickeln kann.
Wer eine eigene Anwendung auf Basis eines fremden KI-Modells entwickelt, sollte ebenfalls weiterlesen: Dass beispielsweise ein externes Foundation Model verwendet wird, bedeutet nicht automatisch, dass nur dessen Anbieter für einen Fehler verantwortlich sein kann.
Kurz: Wer eigene Software oder KI-Produkte entwickelt und anbietet, sollte das neue Produkthaftungsrecht künftig mitdenken.
Die neue europäische Produkthaftungsrichtlinie erfasst Software ausdrücklich als Produkt. Deutschland muss die Richtlinie bis zum 9. Dezember 2026 umsetzen. Dafür soll das bisherige Produkthaftungsgesetz nicht lediglich an einigen Stellen geändert, sondern durch ein neu gefasstes Produkthaftungsgesetz ersetzt werden.
Für Softwareentwickler ist das von erheblicher Bedeutung. Und für Unternehmen, die eigene KI-Systeme entwickeln, wird es besonders interessant.
Ist Software künftig ein Produkt im Sinne des Produkthaftungsrechts?
Ja.
Nach dem Regierungsentwurf für das neue Produkthaftungsgesetz gehört Software ausdrücklich zu den Produkten. Dabei soll es grundsätzlich keine Rolle spielen, auf welche Weise die Software bereitgestellt oder genutzt wird.
Erfasst werden damit nicht nur Programme, die auf einem Gerät installiert sind. Nach der Gesetzesbegründung fallen beispielsweise auch Betriebssysteme, Firmware, Anwendungen und KI-Systeme unter den Softwarebegriff.
Auch die Bereitstellung über die Cloud oder als Software-as-a-Service (SaaS) steht der Einordnung als Produkt nicht entgegen.
Das ist eine wesentliche Änderung: Ein Unternehmen kann damit Hersteller eines Produkts im Sinne des Produkthaftungsrechts sein, obwohl es überhaupt keine körperliche Sache herstellt.
Eine Ausnahme ist für freie und Open-Source-Software vorgesehen, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird. Für kommerzielle Softwareanbieter hilft diese Ausnahme regelmäßig nicht.Haftet damit künftig jeder Softwareentwickler für jeden Softwarefehler?
Nein.Dass Software künftig ausdrücklich als Produkt gilt, bedeutet nicht, dass jeder Bug automatisch einen Anspruch nach dem Produkthaftungsgesetz auslöst.
Das Produkthaftungsrecht knüpft vielmehr an mehrere Voraussetzungen an. Erforderlich sind insbesondere ein fehlerhaftes Produkt, ein vom Gesetz erfasster Schaden und ein ursächlicher Zusammenhang zwischen Produktfehler und Schaden.
Auch künftig geht es im Produkthaftungsgesetz nicht allgemein um jeden wirtschaftlichen Nachteil, den fehlerhafte Software verursachen kann.
Ein Programmierfehler, aufgrund dessen eine Unternehmenssoftware beispielsweise eine falsche Kalkulation erstellt und dem Unternehmen dadurch ein reiner Vermögensschaden entsteht, ist deshalb nicht automatisch ein Fall der Produkthaftung.
Anders kann es aussehen, wenn fehlerhafte Software beispielsweise zu einer Körper- oder Gesundheitsverletzung oder zu einem vom Gesetz erfassten Sachschaden führt.
Neu einbezogen werden außerdem bestimmte Schäden durch die Vernichtung oder Beschädigung von Daten, sofern diese Daten nicht für berufliche Zwecke verwendet werden.
Wer gilt bei Software als Hersteller?
Hersteller soll nach dem neuen Produkthaftungsgesetz insbesondere sein, wer ein Produkt selbst entwickelt oder herstellt oder entwickeln bzw. herstellen lässt.
Bei Software ist damit gerade der Entwickler angesprochen.
Das ist besonders für Unternehmen relevant, die nicht lediglich fremde Standardsoftware einsetzen, sondern eigene Anwendungen entwickeln und unter eigenem Namen anbieten.
Das Produkthaftungsrecht sollte deshalb künftig bereits bei der Entwicklung eines Softwareprodukts mitgedacht werden – und nicht erst dann, wenn tatsächlich ein Schaden eingetreten ist.
Was bedeutet das für KI-Entwickler?
Besonders deutlich werden die Auswirkungen bei künstlicher Intelligenz.
Die Begründung des Regierungsentwurfs stellt ausdrücklich fest, dass die Produkthaftung durch die Einbeziehung von Software künftig auch ein wichtiger Baustein für die Haftung von Herstellern von KI-Systemen sein wird.
Dabei berücksichtigt das neue Produkthaftungsrecht sogar Eigenschaften, die gerade bei KI-Systemen eine besondere Rolle spielen.
Bei der Beurteilung, ob ein Produkt fehlerhaft ist, soll beispielsweise berücksichtigt werden, ob das Produkt nach seinem Inverkehrbringen weiterlernen oder neue Funktionen erwerben kann.
Ein Hersteller kann sich deshalb nicht zwingend darauf beschränken zu sagen:„Als wir die Software veröffentlicht haben, hat sie funktioniert.“Bei einem System, das sich nach seiner Bereitstellung weiterentwickeln kann, können auch diese späteren Entwicklungen für die Beurteilung seiner Sicherheit relevant werden.
Haftet ein KI-Entwickler für jede Halluzination seiner KI?
Nein.
Auch eine falsche Antwort oder sogenannte Halluzination eines KI-Systems führt nicht automatisch zu einer Haftung nach dem Produkthaftungsgesetz.
Entscheidend bleibt, ob das KI-System im konkreten Fall fehlerhaft im Sinne des Produkthaftungsrechts war und gerade dadurch ein vom Gesetz erfasster Schaden entstanden ist.
Das lässt sich an zwei Beispielen verdeutlichen.
Erstellt eine KI eine falsche Zusammenfassung eines Textes, liegt darin nicht allein deshalb ein Produkthaftungsfall.Wird dagegen ein KI-System für einen sicherheitsrelevanten Zweck eingesetzt und führt ein Fehler des Systems beispielsweise zu einer Körperverletzung, kann die Situation ganz anders zu beurteilen sein.
Die zentrale Frage lautet deshalb nicht:„Hat die KI etwas Falsches ausgegeben?“Sondern:
„Hat das KI-Produkt die Sicherheit geboten, die rechtlich vorgeschrieben ist oder die unter Berücksichtigung aller Umstände erwartet werden durfte?“
Die Verantwortung kann nach dem Release weitergehen
Eine weitere Änderung ist für Softwareanbieter besonders relevant.
Klassische Produkthaftung lässt sich gedanklich relativ einfach an einen bestimmten Zeitpunkt anknüpfen: Ein Hersteller bringt sein Produkt auf den Markt.
Bei moderner Software funktioniert dieses Bild häufig nicht mehr. Der Hersteller kann auch nach der Bereitstellung erheblichen Einfluss auf sein Produkt behalten.
Er kann Updates ausrollen, Funktionen verändern, Komponenten austauschen oder Sicherheitslücken schließen.
Der Regierungsentwurf berücksichtigt deshalb ausdrücklich, ob der Hersteller nach dem Inverkehrbringen oder der Inbetriebnahme weiterhin die Kontrolle über sein Produkt besitzt.
Eine solche Kontrolle kann insbesondere bestehen, wenn der Hersteller selbst Software-Updates oder -Upgrades bereitstellen kann.
Das dürfte gerade bei SaaS-Anbietern häufig relevant sein.
Auch ein fehlendes Sicherheitsupdate kann relevant werden
Das neue Produkthaftungsrecht erfasst nicht nur Fehler, die bereits bei der ursprünglichen Bereitstellung eines Produkts vorhanden waren.
Unter bestimmten Voraussetzungen können auch Fehler relevant werden, die auf Software-Updates oder -Upgrades zurückzuführen sind.
Besonders bemerkenswert ist ein weiterer Fall: Auch das Fehlen eines Software-Updates oder -Upgrades, das zur Aufrechterhaltung der Sicherheit erforderlich ist, kann produkthaftungsrechtlich relevant werden, wenn der Hersteller weiterhin die Kontrolle über das Produkt besitzt.
Das Produkthaftungsgesetz selbst begründet damit allerdings nicht automatisch eine allgemeine Pflicht, jedes denkbare Update bereitzustellen. Besteht eine entsprechende Sicherheitsanforderung jedoch aus anderem Recht, kann das Unterlassen des erforderlichen Updates haftungsrechtlich Bedeutung bekommen.
Für Softwareunternehmen werden damit Prozesse für Schwachstellenmanagement, Sicherheitsupdates und die Beobachtung des eigenen Produkts nach seiner Markteinführung noch wichtiger.
Die „Black Box“ schützt KI-Entwickler nicht
Bei KI-Systemen besteht ein besonderes Problem: Häufig lässt sich nur schwer nachvollziehen, warum ein System zu einem bestimmten Ergebnis gekommen ist.
Man könnte deshalb vermuten, dass Geschädigte bei komplexen KI-Systemen erhebliche Schwierigkeiten haben werden, einen Produktfehler und dessen Ursächlichkeit nachzuweisen.
Genau dieses Problem greift das neue Produkthaftungsrecht auf.
Der Regierungsentwurf sieht neue Regelungen zur Offenlegung von Beweismitteln und Beweiserleichterungen vor.Besonders relevant für KI: Wenn es für einen Kläger aufgrund der technischen oder wissenschaftlichen Komplexität übermäßig schwierig ist, einen Produktfehler oder dessen Ursächlichkeit zu beweisen, sollen unter bestimmten Voraussetzungen Beweiserleichterungen eingreifen.
Die Gesetzesbegründung nennt dabei ausdrücklich maschinelles Lernen und Fälle, in denen es auf die Funktionsweise eines KI-Systems ankommt.
Die technische Komplexität eines KI-Systems wird damit nicht automatisch zum Haftungsschutz des Herstellers.Dokumentation wird auch zur Haftungsfrage
Für KI-Entwickler ergibt sich daraus eine praktische Konsequenz, die über das eigentliche Produkthaftungsgesetz hinausgeht:
Eine gute technische Dokumentation dient nicht nur der regulatorischen Compliance.
Sie kann auch für die Verteidigung in einem späteren Haftungsfall entscheidend werden.
Unternehmen sollten beispielsweise nachvollziehen können,- welche Version eines Systems zu welchem Zeitpunkt eingesetzt wurde,
- welche Tests vor der Bereitstellung durchgeführt wurden,
- welche Risiken bekannt waren,
- welche Sicherheitsmaßnahmen implementiert wurden,
- welche Änderungen und Updates vorgenommen wurden,
- welche Sicherheitsvorfälle bekannt geworden sind und
- wie darauf reagiert wurde.
Gerade bei lernenden und regelmäßig veränderten KI-Systemen dürfte eine belastbare Versionierungs- und Änderungsdokumentation erheblich an Bedeutung gewinnen.
Was ist, wenn meine KI auf einem fremden KI-Modell basiert?
Viele Unternehmen entwickeln kein eigenes Basismodell. Sie bauen ihre Anwendung beispielsweise auf einem Foundation Model eines anderen Anbieters auf.
Das bedeutet jedoch nicht automatisch, dass allein der Anbieter des Basismodells für mögliche Fehler verantwortlich ist.
Das neue Produkthaftungsrecht kennt auch die Haftung für Komponenten. Software kann eine solche Komponente sein.Verursacht eine fehlerhafte Komponente den Fehler eines Produkts, können grundsätzlich sowohl der Hersteller des Produkts als auch der Hersteller der Komponente in den Blick geraten.
Für Anbieter eigener KI-Anwendungen stellt sich deshalb künftig sehr genau die Frage:
Was ist unser eigenes Produkt? Welche Komponenten integrieren wir? Wer kontrolliert diese Komponenten? Welche Änderungen nehmen wir selbst vor? Und wer ist für welche Sicherheitsanforderungen verantwortlich?
Der Satz
„Das war ein Fehler des verwendeten KI-Modells“
dürfte jedenfalls nicht automatisch aus der eigenen Herstellerverantwortung führen.
Wie hängen AI Act und Produkthaftung zusammen?
Der AI Act und das Produkthaftungsrecht regeln unterschiedliche Fragen.
Der AI Act enthält insbesondere regulatorische Anforderungen an bestimmte KI-Systeme und deren Anbieter bzw. andere Akteure.
Das Produkthaftungsrecht regelt dagegen, unter welchen Voraussetzungen Geschädigte Schadensersatz wegen eines fehlerhaften Produkts verlangen können.
Trotzdem dürfen beide Rechtsbereiche nicht isoliert betrachtet werden.
Bei der Beurteilung der Fehlerhaftigkeit eines Produkts sollen künftig auch einschlägige Produktsicherheits- und Cybersicherheitsanforderungen berücksichtigt werden.
Noch wichtiger: Entspricht ein Produkt nicht den verbindlichen Sicherheitsanforderungen des Unionsrechts oder des deutschen Rechts, die gerade vor dem eingetretenen Risiko schützen sollen, kann dies nach dem Regierungsentwurf Auswirkungen auf die Beweislast haben.
Für KI-Anbieter kann regulatorische Compliance deshalb zugleich haftungsrechtliche Bedeutung bekommen.Kann man die Produkthaftung in den AGB ausschließen?
Nein.
Die gesetzliche Produkthaftung gegenüber der geschädigten Person kann nicht einfach durch einen Haftungsausschluss in AGB beseitigt werden.
Das bedeutet allerdings nicht, dass Verträge und AGB für Softwareunternehmen künftig unwichtig wären.
Im Gegenteil: Vertraglich sollte möglichst klar geregelt werden, welche Leistung geschuldet wird, für welchen Zweck ein Produkt vorgesehen ist, welche Nutzungen ausgeschlossen sind, welche Mitwirkungspflichten bestehen und welche Verantwortlichkeiten die Vertragsparteien übernehmen.
Auch die vertragliche Haftung außerhalb des Produkthaftungsgesetzes muss geregelt werden.Das zwingende Produkthaftungsrecht lässt sich dadurch jedoch nicht abbedingen.
Was sollten Software- und KI-Entwickler jetzt tun?
Für Unternehmen, die eigene Softwareprodukte entwickeln, lohnt sich zunächst eine Bestandsaufnahme.Dabei sollte insbesondere geprüft werden:
- Welche eigenen Softwareprodukte bieten wir an?
- Sind wir Hersteller im Sinne des neuen Produkthaftungsrechts?
- Welche fremden Software- oder KI-Komponenten integrieren wir?
- Für welchen bestimmungsgemäßen und vorhersehbaren Gebrauch ist das Produkt vorgesehen?
- Welche Sicherheitsanforderungen gelten?
- Welche Tests führen wir durch und wie dokumentieren wir sie?
- Können wir nach Bereitstellung weiterhin Änderungen oder Updates vornehmen?
- Wie gehen wir mit bekannt gewordenen Sicherheitsrisiken um?
- Wie dokumentieren wir Versionen, Updates und sicherheitsrelevante Entscheidungen?
- Passen unsere Verträge mit Kunden und Komponentenlieferanten zu dieser Verantwortungsverteilung?
- Deckt unsere Betriebshaftpflicht bzw. Produkthaftpflicht diese Risiken tatsächlich ab?
Fazit: Produkthaftung wird zum Thema für Softwareentwickler
Das neue Produkthaftungsrecht verändert die Ausgangslage für Softwareunternehmen erheblich.
Software soll ausdrücklich als Produkt gelten. Das gilt unabhängig davon, ob sie auf einem Gerät installiert, über die Cloud bereitgestellt oder als SaaS angeboten wird.
Besonders relevant wird die Reform für Anbieter eigener KI-Systeme. Selbstlernfähigkeit, nachträgliche Kontrolle durch den Hersteller, Software-Updates, erforderliche Sicherheitsupdates und die technische Komplexität von KI-Systemen werden ausdrücklich berücksichtigt.
Das bedeutet nicht, dass künftig jeder Softwarefehler oder jede Halluzination einer KI automatisch zu einer Produkthaftung führt.
Es bedeutet aber, dass sich Softwareentwickler künftig mit einer Rechtsmaterie beschäftigen müssen, die viele bislang vor allem mit der Herstellung körperlicher Produkte verbunden haben.
Für KI-Unternehmen kommt noch etwas hinzu: AI Act, Produktsicherheit und Produkthaftung wachsen stärker zusammen. Wer ein KI-Produkt entwickelt, sollte deshalb nicht nur fragen, ob sein System die regulatorischen Anforderungen erfüllt. Er sollte auch beantworten können, welche Sicherheit sein Produkt bieten muss, wie diese Sicherheit während des Produktlebenszyklus gewährleistet wird und wie sich das im Streitfall nachweisen lässt.
FAQ zur Produkthaftung bei Software und KI
1. Ist Software nach dem neuen Produkthaftungsgesetz ein Produkt?
Ja. Nach dem Regierungsentwurf für das neue Produkthaftungsgesetz soll Software ausdrücklich als Produkt gelten. Dabei ist grundsätzlich unerheblich, ob sie lokal installiert oder beispielsweise über die Cloud als SaaS bereitgestellt wird.
2. Haften Softwareentwickler künftig für jeden Softwarefehler?
Nein. Ein Softwarefehler allein löst noch keine Produkthaftung aus. Erforderlich sind insbesondere ein fehlerhaftes Produkt, ein vom Produkthaftungsgesetz erfasster Schaden und ein ursächlicher Zusammenhang zwischen Produktfehler und Schaden.
3. Gilt das neue Produkthaftungsrecht auch für KI-Systeme?
Ja. KI-Systeme sind als Software grundsätzlich vom Produktbegriff erfasst. Der Regierungsentwurf berücksichtigt bei der Beurteilung der Fehlerhaftigkeit außerdem ausdrücklich die Fähigkeit eines Produkts, nach dem Inverkehrbringen weiterzulernen oder neue Funktionen zu erwerben.
4. Haftet ein KI-Entwickler für Halluzinationen seiner KI?
Nicht automatisch. Eine falsche KI-Ausgabe oder Halluzination ist für sich genommen noch kein Produkthaftungsfall. Entscheidend ist, ob das KI-System einen Produktfehler aufweist und dieser einen vom Produkthaftungsgesetz erfassten Schaden verursacht.
5. Können auch fehlende Software-Updates zur Haftung führen?
Unter bestimmten Voraussetzungen ja. Behält der Hersteller nach der Bereitstellung die Kontrolle über seine Software, können auch Updates und Upgrades sowie das Fehlen eines zur Aufrechterhaltung der Sicherheit erforderlichen Updates produkthaftungsrechtlich relevant werden.
6. Kann ein Software- oder KI-Anbieter die Produkthaftung in seinen AGB ausschließen?
Nein. Die gesetzliche Produkthaftung gegenüber Geschädigten kann nicht zu deren Nachteil vertraglich ausgeschlossen werden. AGB bleiben aber wichtig, um Leistungsumfang, bestimmungsgemäße Verwendung, Verantwortlichkeiten und die darüber hinausgehende vertragliche Haftung zu regeln.