Produkthaftungsgesetz: Ab 9. Dezember 2026 haftet Software wie jedes andere Produkt

Am 8. Oktober 2026 hat der Bundestag das Gesetz zur Modernisierung des Produkthaftungsrechts beschlossen (öffnet in neuem Tab). Es setzt eine EU-Richtlinie um, die zwei Jahre vorher verabschiedet wurde, und ändert für Softwarehersteller etwas Grundsätzliches: Software gilt künftig ausdrücklich als Produkt, für dessen Fehler Hersteller haften – unabhängig davon, ob sie etwas falsch gemacht haben. Wer eine Web-Anwendung, eine SaaS-Lösung oder ein KI-Feature betreibt, bekommt damit eine Haftungsfrage, die vorher für die eigene Software kaum existierte.

Dieser Beitrag ordnet ein, was ab dem Stichtag konkret gilt, wen es trifft und was in den verbleibenden Wochen bis dahin sinnvoll ist zu klären.

Was sich ändert, in Kürze

Grundlage ist die Richtlinie (EU) 2024/2853 (öffnet in neuem Tab) vom 23. Oktober 2024, die bis zum 9. Dezember 2026 in nationales Recht umzusetzen ist. Sie ersetzt die alte EU-Produkthaftungsrichtlinie von 1985.
Der Bundestag hat das deutsche Umsetzungsgesetz am 8. Oktober 2026 beschlossen, wie der Bundestag in seinem Textarchiv dokumentiert (öffnet in neuem Tab). Das Inkrafttreten ist für den 9. Dezember 2026 vorgesehen.
Nach dem Gesetzentwurf der Bundesregierung wird Software „künftig unabhängig von der Art ihrer Bereitstellung oder Nutzung in die Produkthaftung einbezogen", heißt es beim BMJV zum Gesetzgebungsverfahren (öffnet in neuem Tab). Das schließt KI-Systeme ausdrücklich ein.
Nach dem bisherigen Recht haftet ein Hersteller bei Personenschäden durch ein fehlerhaftes Produkt nur bis zu einem Höchstbetrag von 85 Millionen Euro (öffnet in neuem Tab) (§ 10 ProdHaftG) – diese Grenze entfällt mit der Reform.

Warum Software bisher eine Grauzone war

Das deutsche Produkthaftungsgesetz stammt aus dem Jahr 1989 und setzte die EU-Richtlinie von 1985 um – aus einer Zeit vor Cloud-Diensten, Over-the-Air-Updates und SaaS. Ob reine Software als „Produkt" im Sinne des Gesetzes überhaupt erfasst war, blieb entsprechend umstritten. Die neue EU-Richtlinie begründet die Überarbeitung ausdrücklich mit diesem Problem: Die alte Richtlinie habe angesichts „der Entwicklungen im Zusammenhang mit neuen Technologien, einschließlich künstlicher Intelligenz (KI)" zu „Inkonsistenzen und Rechtsunsicherheit" geführt, insbesondere bei der Bedeutung des Begriffs „Produkt", heißt es in der Richtlinie (EU) 2024/2853 (öffnet in neuem Tab).

Diese Unsicherheit ist mit dem Gesetzesbeschluss vom 8. Oktober beendet. Im digitalen Zeitalter habe Software „nicht nur im Rahmen der Steuerung anderer Produkte, sondern auch als eigenständiges Produkt erhebliche Bedeutung erlangt", schreibt die Bundesregierung laut der Bundestags-Dokumentation zur ersten Lesung (öffnet in neuem Tab). Sie werde daher unabhängig von Bereitstellung oder Nutzung in die Produkthaftung einbezogen – egal ob als installierte Anwendung, als Firmware in einer Maschine, als App oder als Cloud-Dienst.

Der entscheidende Punkt: Kontrolle endet nicht mit der Auslieferung

Für die Praxis wichtiger als die reine Einordnung von Software als Produkt ist eine zweite Änderung, die die Bundestags-Dokumentation hervorhebt: Das neue Recht trägt dem Umstand Rechnung, „dass Hersteller häufig auch nach dem Inverkehrbringen noch Kontrolle über ihr Produkt ausüben, etwa durch Software-Updates oder durch die Anbindung an digitale Dienste". Diese fortbestehende Kontrolle werde „zukünftig bei der Beurteilung der Fehlerhaftigkeit zu berücksichtigen sein", so die Bundesregierung laut dem Bundestags-Textarchiv (öffnet in neuem Tab).

Nach bisherigem Recht kam es für die Fehlerhaftigkeit eines Produkts auf den Zeitpunkt des Inverkehrbringens an. War ein Produkt bei der Auslieferung in Ordnung, konnte sich der Hersteller darauf berufen – auch wenn später ein Fehler auftrat. Das verschiebt sich: Solange ein Hersteller über Updates weiter Kontrolle über seine Software ausübt, zählt der Zeitpunkt, zu dem diese Kontrolle endet. Ein fehlerhaftes Update kann damit ebenso haftungsrelevant werden wie ein fehlendes Sicherheitsupdate, das nötig gewesen wäre, um ein Produkt sicher zu halten.

Das betrifft praktisch jede vernetzte Anwendung, jedes SaaS-Produkt und jedes KI-Feature, das sich nach der Auslieferung durch Modell- oder Datenänderungen weiterentwickelt.

Wer wesentlich ändert, wird selbst zum Hersteller

Die Reform reagiert auch auf die Kreislaufwirtschaft: Wer ein Produkt nach dem Inverkehrbringen wesentlich verändert und erneut bereitstellt, gilt künftig selbst als Hersteller dieses veränderten Produkts. Die Bundesregierung nennt dazu laut Bundestag das Beispiel „Upcycling" – ein Produkt wird so umgestaltet, dass es ein geändertes Risikoprofil erhält und dadurch haftungsrechtlich als neues Produkt gilt. Für Software übertragen betrifft das vor allem Integratoren, die eine bestehende Lösung außerhalb der Kontrolle des ursprünglichen Herstellers tiefgreifend umbauen, oder Unternehmen, die fremde Software-Komponenten in eigene Produkte einbetten und substanziell anpassen.

Mehr Akteure in der Lieferkette haftbar

Weil viele digitale Produkte heute von Herstellern außerhalb der EU stammen, erweitert das neue Recht den Kreis der Haftbaren. Neben dem eigentlichen Hersteller können unter bestimmten Voraussetzungen auch Importeure, Bevollmächtigte des Herstellers, Fulfilment-Dienstleister und bestimmte Online-Plattformen in Anspruch genommen werden, wenn sich der ursprüngliche Hersteller nicht ohne Weiteres greifen lässt. Für Unternehmen, die Software oder Komponenten außereuropäischer Anbieter in der EU weitervertreiben oder in eigene Produkte integrieren, ist das relevant – auch wenn sie selbst keine Codezeile geschrieben haben.

Leichtere Beweisführung für Geschädigte

Ein dritter Komplex betrifft die Beweislast. Bisher mussten Geschädigte Fehler, Schaden und Kausalzusammenhang selbst nachweisen – bei komplexer Software praktisch kaum möglich. Das neue Recht sieht deshalb vor, dass Gerichte die Offenlegung relevanter Unterlagen anordnen können, und es enthält Vermutungsregeln: Legt ein Beklagter angeordnete Beweismittel nicht offen, oder verletzt ein Produkt nachweislich verbindliche Sicherheitsanforderungen, kann ein Gericht die Fehlerhaftigkeit vermuten. Zum Schutz von Geschäftsgeheimnissen ist im Gesetz zugleich ein besonderes, geschütztes Verfahren vorgesehen – Quellcode muss im Streitfall also nicht ungeschützt offengelegt werden.

Wegfallende Haftungsgrenzen

Zwei Begrenzungen des alten Rechts entfallen mit der Reform: Die Selbstbeteiligung von 500 Euro bei Sachschäden sowie die Haftungshöchstgrenze von 85 Millionen Euro (öffnet in neuem Tab) für Personenschäden, die bisher in § 10 ProdHaftG festgelegt war. Beide Grenzen gibt es im neuen Recht nicht mehr – die Haftungssumme ist damit nach oben offen. Gleichzeitig wird die Ersatzfähigkeit erweitert: Neu ersatzfähig ist künftig auch die Vernichtung oder Beschädigung von Daten, die nicht beruflich genutzt werden.

Eine wichtige Einschränkung bleibt bestehen: Produkthaftung schützt in erster Linie natürliche Personen und ihre privat genutzten Güter. Schäden an Sachen oder Daten, die ausschließlich beruflich genutzt werden, fallen weiterhin nicht unter das Produkthaftungsgesetz – sie bleiben eine Frage des Vertragsrechts und der verschuldensabhängigen Haftung nach § 823 BGB. Reine B2B-Software ohne jeden Berührungspunkt zu Verbrauchern oder Personenschäden ist damit weniger unmittelbar betroffen als etwa Software in einer Maschine, die Mitarbeitende bedienen, oder eine App, die private Endkunden nutzen.

Das parlamentarische Verfahren ist noch nicht ganz beendet

Zum jetzigen Stand ist der Gesetzesbeschluss des Bundestages gefallen, nicht aber das letzte Wort gesprochen: Da es sich um ein Einspruchsgesetz handelt, muss der Bundesrat dem Gesetz nicht zustimmen. Er kann es laut den parlamentarischen Verfahrensregeln zwar nicht dauerhaft blockieren, aber den Vermittlungsausschuss anrufen. Bis zur Verkündung können sich daher noch Details ändern – am grundsätzlichen Inkrafttreten zum 9. Dezember 2026 und an der Stoßrichtung der Reform dürfte das nichts mehr ändern, da sie eine zwingende EU-Vorgabe umsetzt.

Was das für Softwarehersteller und SaaS-Anbieter konkret bedeutet

Drei Punkte lassen sich aus den bisher bekannten Eckpunkten für die eigene Praxis ableiten:

Update-Fähigkeit wird zum Haftungsfaktor, nicht nur zur Qualitätsfrage. Wenn die fortbestehende Kontrolle über Updates künftig bei der Fehlerbeurteilung mitzählt, lohnt sich ein ehrlicher Blick auf den eigenen Patch-Prozess: Wie schnell schließen Sie bekannte Sicherheitslücken, und können Sie das im Zweifel auch nachweisen? Eine dokumentierte Update-Historie wird vom Kostenfaktor zum Beweismittel.

Wer fremde Software integriert oder wesentlich verändert, sollte die eigene Rolle klären. Die Regelung zu wesentlich veränderten Produkten betrifft nicht nur Hardware-Umbauten. Wer eine Drittanbieter-Lösung so tief anpasst, dass sie ein neues Risikoprofil bekommt, kann selbst in die Herstellerrolle rutschen – mit allen Konsequenzen.

Dokumentation wird zum zentralen Verteidigungsmittel. Mit den neuen Beweiserleichterungen für Geschädigte verschiebt sich die Beweislast faktisch zugunsten einer sauberen Nachvollziehbarkeit auf Herstellerseite: Versionsstände, Testprotokolle und eine belegbare Sorgfalt bei der Entwicklung sind im Streitfall das, was zwischen Vermutung und Entlastung entscheidet.

Für die meisten mittelständischen Softwareanbieter bedeutet die Reform keine völlig neue Risikowelt, aber eine Verschiebung: weg von der reinen Frage „Funktioniert die Software bei der Auslieferung", hin zu einer kontinuierlichen Verantwortung, die mit jedem Update weiterläuft. Wer sich in den verbleibenden Wochen bis zum 9. Dezember einen Überblick über Update-Prozesse, Komponenten und Dokumentation verschafft, steht zum Stichtag nicht unter Zeitdruck – und hat damit einen Vorsprung gegenüber Wettbewerbern, die das Thema erst im Streitfall entdecken.