Neue Produkthaftungsrichtlinie: Software und KI haften ab Dezember 2026.

1. Was sich ändert und ab wann

Die alte Produkthaftungsrichtlinie stammt aus dem Jahr 1985 und kennt weder Software noch Updates noch Maschinen, die nach der Auslieferung dazulernen. Ihre Nachfolgerin, die Richtlinie (EU) 2024/2853, wurde am 23. Oktober 2024 verabschiedet, am 18. November 2024 im Amtsblatt veröffentlicht und ist am 8. Dezember 2024 in Kraft getreten. Die Mitgliedstaaten müssen sie bis zum 9. Dezember 2026 umsetzen. Deutschland ist fast fertig: Der Bundestag hat das Gesetz zur Modernisierung des Produkthaftungsrechts am 8. Oktober 2026 beschlossen, der Bundesrat hat am 16. Oktober 2026 auf den Vermittlungsausschuss verzichtet; die Verkündung im Bundesgesetzblatt stand am 23. Oktober noch aus. Das neue Produkthaftungsgesetz tritt zum 9. Dezember 2026 in Kraft und löst das Gesetz von 1989 ab.

Entscheidend ist der Stichtag, nicht das Datum des Schadens: Die neuen Regeln gelten für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden. Für alles, was vorher ausgeliefert wurde, bleibt es beim alten Recht - solange die Maschine nicht später wesentlich verändert wird, denn dann gilt sie als neues Produkt (dazu Abschnitt 3). Eine Maschine, die im November 2026 das Werk verlässt, haftet also nach altem Recht; dieselbe Maschine im Dezember nach neuem.

2. Software, KI und verbundene Dienste sind jetzt Produkte

Der zentrale Satz der Richtlinie steht in Artikel 4 Nr. 1: Unter „Produkt“ sind „auch Elektrizität, digitale Konstruktionsunterlagen, Rohstoffe und Software zu verstehen“. Erwägungsgrund 13 führt aus, was gemeint ist: „Betriebssysteme, Firmware, Computerprogramme, Anwendungen oder KI-Systeme“, gleich ob auf dem Gerät gespeichert, über die Cloud abgerufen oder als Software-as-a-Service bereitgestellt. Anbieter von KI-Systemen im Sinne der KI-Verordnung sollen ausdrücklich als Hersteller gelten. Das deutsche Gesetz übernimmt das in § 2: Software ist ein Produkt, mit einer einzigen Ausnahme.

Diese Ausnahme ist schmaler, als sie klingt. Freie und quelloffene Software ist nur dann ausgenommen, wenn sie „außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird“ (Art. 2 Abs. 2). Wer eine Open-Source-Bibliothek in die Maschinensteuerung integriert und die Maschine verkauft, haftet für diese Bibliothek wie für jede andere Komponente - der ehrenamtliche Entwickler nicht, der Maschinenhersteller schon (Erwägungsgrund 15).

Für den Maschinen- und Anlagenbau sind drei weitere Definitionen wichtig. Ein verbundener Dienst (Art. 4 Nr. 3) ist ein digitaler Dienst, ohne den das Produkt eine Funktion nicht ausführen könnte - die Cloud-Anbindung einer Anlage, deren Prozessparameter von einem Server kommen, gehört dazu. Digitale Konstruktionsunterlagen (Art. 4 Nr. 2) sind Dateien, die „die automatische Steuerung von Maschinen oder Werkzeugen ermöglichen“; Erwägungsgrund 16 nennt Dateien für Bohr-, Dreh- und Fräsmaschinen und 3D-Drucker. Und wer ein Produkt „für den eigenen Gebrauch“ entwickelt oder herstellt, gilt ebenfalls als Hersteller (Art. 4 Nr. 10); Die selbst gebaute Sondermaschine in der eigenen Fertigung fällt also darunter.

3. Was „fehlerhaft“ künftig heißt: lernen, vernetzen, nicht updaten

Fehlerhaft ist ein Produkt, „wenn es nicht die Sicherheit bietet, die eine Person erwarten darf oder die gemäß Unionsrecht oder nationalem Recht vorgeschrieben ist“ (Art. 7 Abs. 1). Neu ist die Liste der Umstände, die ein Gericht dabei berücksichtigen muss. Drei davon zielen direkt auf vernetzte und lernende Maschinen:

1. Weiterlernen nach der Auslieferung. Zu berücksichtigen sind „die Auswirkungen der Fähigkeit des Produkts, nach seinem Inverkehrbringen oder seiner Inbetriebnahme weiter zu lernen oder neue Funktionen zu erwerben“ (Art. 7 Abs. 2 Buchst. c). Erwägungsgrund 32 sagt es unverblümt: Wer ein Produkt entwickelt, das unerwartetes Verhalten entwickeln kann, haftet für dieses Verhalten weiter.
2. Cybersicherheit. Maßstab sind auch „sicherheitsrelevante Cybersicherheitsanforderungen“ (Art. 7 Abs. 2 Buchst. f). Eine ausnutzbare Schwachstelle kann ein Produkt fehlerhaft machen. Welche Anforderungen das für vernetzte Maschinen sind, legt der Cyber Resilience Act fest - die Produkthaftung ist der zivilrechtliche Hebel dazu.
3. Kontrolle nach dem Inverkehrbringen. Bisher zählte der Zustand bei Auslieferung. Jetzt zählt, solange der Hersteller die Kontrolle behält, der Zeitpunkt, „in dem das Produkt die Kontrolle des Herstellers verlassen hat“ (Art. 7 Abs. 2 Buchst. e). Kontrolle hat, wer Updates oder Upgrades selbst bereitstellen kann oder durch Dritte bereitstellen lässt (Art. 4 Nr. 5). Wer Fernwartung anbietet, hat Kontrolle.

Aus dem dritten Punkt folgt die Regel, die in vielen Zusammenfassungen als „Haftung für unterlassene Updates“ firmiert. Genau genommen ist sie eine gestrichene Verteidigung: Ein Hersteller kann sich normalerweise entlasten, wenn der Fehler wahrscheinlich erst nach dem Inverkehrbringen entstanden ist. Das gilt nicht mehr, wenn der Fehler - unter seiner Kontrolle - auf einen verbundenen Dienst, auf Software einschließlich Updates oder auf „ein Fehlen von Software-Updates oder -Upgrades, die zur Aufrechterhaltung der Sicherheit erforderlich sind“ zurückgeht (Art. 11 Abs. 2). Eine Pflicht, Updates zu liefern, begründet die Richtlinie ausdrücklich nicht (Erwägungsgrund 51); wer dem Kunden ein Update bereitstellt, das dieser nicht installiert, ist entlastet. Der Cyber Resilience Act verlangt für vernetzte Produkte ohnehin einen Unterstützungszeitraum von mindestens fünf Jahren - beide Rechtsakte greifen hier ineinander.

Die zweite Folge betrifft die installierte Basis. Wer ein Produkt außerhalb der Kontrolle des Herstellers wesentlich verändert und es danach bereitstellt oder in Betrieb nimmt, gilt selbst als Hersteller (Art. 8 Abs. 2). Eine wesentliche Änderung kann auch durch ein Software-Upgrade oder durch das „kontinuierliche Lernen eines KI-Systems“ eintreten (Erwägungsgrund 40) - und sie startet die Zehnjahresfrist neu (Art. 17 Abs. 1). Eine Bestandsmaschine aus dem Jahr 2019, die 2027 ein neues Steuerungssystem mit anderer Zweckbestimmung bekommt, ist haftungsrechtlich ein Produkt von 2027. Was eine wesentliche Veränderung ist, bestimmt das Produktsicherheitsrecht, für Maschinen ab dem 20. Januar 2027 die Maschinenverordnung.

4. Beweislast: Offenlegung und Vermutungen

Formal bleibt es dabei: Der Kläger muss „die Fehlerhaftigkeit des Produkts, den erlittenen Schaden und den ursächlichen Zusammenhang“ beweisen (Art. 10 Abs. 1). Praktisch ändern zwei Instrumente die Lage grundlegend.

Offenlegung von Beweismitteln (Art. 9): Legt der Kläger Tatsachen vor, „welche die Plausibilität des Schadensersatzanspruchs ausreichend stützen“, muss der Hersteller die relevanten Beweismittel herausgeben, die ihm zur Verfügung stehen - erforderlich, verhältnismäßig, mit Schutz für Geschäftsgeheimnisse, und auf Anordnung des Gerichts „in leicht zugänglicher und leicht verständlicher Form“. Erwägungsgrund 42 ergänzt, dass dazu auch Unterlagen gehören, die der Beklagte erst durch Zusammenstellen vorhandener Beweismittel erstellen muss. Wer nicht offenlegt, gegen den wird die Fehlerhaftigkeit vermutet (Art. 10 Abs. 2 Buchst. a).

Vermutungen (Art. 10): Fehlerhaftigkeit wird außerdem vermutet, wenn das Produkt verbindliche Sicherheitsanforderungen verletzt oder bei vorhersehbarem Gebrauch eine „offensichtliche Funktionsstörung“ zeigt; der Kausalzusammenhang wird vermutet, wenn der Schaden „seiner Art nach typischerweise“ auf den Fehler zurückzuführen ist. Die für KI entscheidende Regel steht in Absatz 4: Ist es dem Kläger „insbesondere aufgrund der technischen oder wissenschaftlichen Komplexität übermäßig schwierig“, Fehler oder Kausalität zu beweisen, genügt der Nachweis, „dass es wahrscheinlich ist“. Erwägungsgrund 48 nennt als Beispiel für diese Komplexität das maschinelle Lernen und den Fall, dass der Kläger „die Funktionsweise eines KI-Systems“ erläutern müsste. Alle Vermutungen sind widerlegbar (Art. 10 Abs. 5) - aber widerlegen muss der Hersteller, mit den Unterlagen, die er hat.

5. Die Haftungsgrenzen fallen

Das deutsche Produkthaftungsgesetz von 1989 kennt einen Höchstbetrag für Personenschäden, eine Selbstbeteiligung bei Sachschäden und ein Erlöschen der Ansprüche nach zehn Jahren. Die Richtlinie streicht die ersten beiden ersatzlos, verlängert die dritte für verzögert auftretende Personenschäden und verbietet den Mitgliedstaaten neue Obergrenzen (Erwägungsgrund 56):

Dazu kommt die Haftungskette: Neben dem Hersteller haften der Hersteller einer fehlerhaften Komponente, bei Drittstaatenherstellern Importeur und Bevollmächtigter, notfalls der Fulfilment-Dienstleister, und ein Händler, der auf Anfrage binnen eines Monats keinen Haftenden in der EU benennt (Art. 8). Alle haften gesamtschuldnerisch (Art. 12); Regress ist möglich, und ein Hersteller, der Software eines Kleinst- oder Kleinunternehmens integriert, kann vertraglich darauf verzichten - gegenüber dem Geschädigten aber nie.

6. Was für den Maschinenbau wirklich neu ist - und was nicht

Wer die Richtlinie als Haftungslawine für das B2B-Geschäft liest, übersieht Artikel 6. Ersatzfähig sind Tod und Körperverletzung einschließlich „medizinisch anerkannter Beeinträchtigungen der psychischen Gesundheit“, Sachschäden und die Vernichtung nicht beruflich genutzter Daten. Ausgenommen bleiben das fehlerhafte Produkt selbst, Sachen, „die ausschließlich für berufliche Zwecke verwendet werden“, beruflich genutzte Daten und reine Vermögensschäden (Erwägungsgrund 24). Anspruchsberechtigt sind nur natürliche Personen. Der Produktionsausfall beim Kunden, die beschädigte Nachbaranlage, die verlorenen Prozessdaten: all das bleibt, wo es heute ist - im Vertrag und in § 823 BGB.

Das neue Risiko liegt bei den Menschen an der Maschine. Der Bediener, der Instandhalter, der eigene Servicetechniker sind natürliche Personen; ihre Verletzung durch eine Maschine, deren Steuerungssoftware fehlerhaft war, deren Sicherheitsupdate ausblieb oder deren lernende Regelung einen unerwarteten Zustand erzeugte, fällt voll unter das neue Recht - ohne Höchstbetrag, mit Offenlegungspflicht und mit den Vermutungen aus Abschnitt 4. Dazu kommen Produkte, die bei Privatpersonen oder gemischt genutzt werden, etwa Werkzeuge und Kleinmaschinen des Handwerks.

Und ein Punkt, der oft falsch dargestellt wird: Eine eigene KI-Haftung gibt es nicht. Die Kommission hat ihren Vorschlag für eine KI-Haftungsrichtlinie im Oktober 2025 förmlich zurückgezogen. Die Produkthaftungsrichtlinie erwähnt KI-Systeme nur in den Erwägungsgründen; in den Artikeln heißt es „Software“ und „Fähigkeit, weiter zu lernen“. Welche Pflichten die KI-Verordnung für Maschinen mit KI vorsieht, ist eine andere Frage - und seit dem Digital Omnibus eine aufgeschobene: Die KI-Anforderungen für Maschinen gelten erst ab dem 2. August 2028. Die Produkthaftung wartet nicht; sie sagt ab dem 9. Dezember 2026, wer zahlt, wenn etwas passiert. Der DIHK hat in seiner Stellungnahme zum Gesetzentwurf genau diesen Punkt benannt: Updates und selbstlernende Funktionen führten zu „einer dauerhaften Verantwortung der Hersteller über den gesamten Produktlebenszyklus“.

7. Sechs Dinge, die ein Maschinenhersteller vor dem 9. Dezember 2026 klären sollte

1. Produktinventar: Welche Software, Firmware, Cloud-Dienste und KI-Funktionen stecken in den Maschinen, die ab Dezember ausgeliefert werden - inklusive zugekaufter und quelloffener Komponenten? Für jede davon haften Sie gegenüber dem Geschädigten.
2. Kontrolle und Updates: Für welche Produkte können Sie Updates bereitstellen, und wie lange? Wer Fernwartung anbietet, hat Kontrolle und verliert die Entlastung „Fehler erst später entstanden“. Legen Sie den Unterstützungszeitraum fest und dokumentieren Sie jedes bereitgestellte Sicherheitsupdate.
3. Beweisfähigkeit: Könnten Sie innerhalb weniger Wochen in „leicht verständlicher Form“ belegen, welche Softwareversion, welcher Trainingsstand und welche Parameter eine bestimmte Maschine an einem bestimmten Tag hatte? Das ist die Offenlegung nach Artikel 9 - Betriebsprotokolle, Versionsstände und Freigabeunterlagen sind Ihre Verteidigung.
4. Lernende Systeme: Welche Funktionen verändern ihr Verhalten im Betrieb? Begrenzen Sie den Lernraum, protokollieren Sie Modellstände und definieren Sie, ab wann eine Änderung eine wesentliche Veränderung ist - sie macht die Maschine zum neuen Produkt.
5. Lieferkette: Enthalten Ihre Verträge mit Software- und Komponentenlieferanten Regressregelungen, Dokumentationspflichten und Update-Zusagen? Der Verzicht auf Regress gegenüber Kleinunternehmen ist erlaubt, aber eine bewusste Entscheidung.
6. Versicherung: Prüfen Sie mit Ihrem Versicherer, ob die Produkthaftpflicht Software, verbundene Dienste und den Wegfall des Höchstbetrags abbildet - bevor die erste Maschine nach neuem Recht das Werk verlässt.

8. Wann das Thema für Sie nicht dringend ist

Drei Konstellationen, in denen die neue Richtlinie wenig ändert:

1. Keine Software, keine Vernetzung, kein Lernen. Eine rein mechanische oder festverdrahtete Maschine ohne Fernzugriff ist nach neuem Recht ein Produkt wie nach altem. Die Grenzen fallen auch für sie, aber die neuen Fehlerkriterien greifen nicht.
2. Ausschließlich stationäre B2B-Anlagen ohne Personengefährdung. Wo ein Fehler nur zu Produktionsausfall und Sachschaden an beruflich genutzten Anlagen führen kann, bleibt der Streit im Vertragsrecht. Die Schnittstelle Mensch-Maschine entscheidet.
3. Bestand ohne Eingriff. Die installierte Basis bleibt unter altem Recht, solange niemand sie wesentlich verändert. Ein Retrofit mit neuer Steuerung oder neuer Zweckbestimmung ist allerdings genau so ein Eingriff - dann lohnt der Blick in Abschnitt 3.

9. Häufige Fragen

10. Quellen

• Richtlinie (EU) 2024/2853 über die Haftung für fehlerhafte Produkte, EUR-Lex (ABl. L vom 18. November 2024): Art. 2, 4, 6-12, 15-17, 21-23; Erwägungsgründe 13-16, 24, 32, 40, 42, 48, 51, 56.
• Berichtigung der Richtlinie (EU) 2024/2853, EUR-Lex (ABl. L vom 7. Mai 2026): Art. 2 Abs. 1, „nach dem 8. Dezember 2026“.
• Richtlinie 85/374/EWG, konsolidierte Fassung: Selbstbeteiligung (Art. 9) und optionale Haftungsobergrenze (Art. 16) des alten Rechts.
• Produkthaftungsgesetz vom 15. Dezember 1989, gesetze-im-internet.de: §§ 1, 3, 10, 11, 12, 13, 14.
• Gesetz zur Modernisierung des Produkthaftungsrechts, Gesetzesbeschluss des Bundestages, BR-Drs. 584/26 (9. Oktober 2026) und Beschluss des Bundesrates (16. Oktober 2026): §§ 2, 4, 5, 7, 9, 16-20, 23.
• Regierungsentwurf, BT-Drs. 21/4297 (25. Februar 2026): Gegenäußerung der Bundesregierung zu Höchstbetrag und Selbstbeteiligung; Beschlussempfehlung BT-Drs. 21/8429 (7. Oktober 2026).
• Bundesministerium der Justiz und für Verbraucherschutz, Pressemitteilung zum Kabinettsbeschluss (17. Dezember 2025): Grundsatz der 1:1-Umsetzung.
• Deutsche Industrie- und Handelskammer, Stellungnahme zum Referentenentwurf (8. Oktober 2025, im Stellungnahmen-Archiv des BMJV): dauerhafte Verantwortung über den Produktlebenszyklus.
• Europäische Kommission, Rücknahme von Vorschlägen der Kommission (ABl. C vom 6. Oktober 2025): Rücknahme des Vorschlags für eine KI-Haftungsrichtlinie, COM(2022) 496.