Am 9. Dezember 2026 läuft die Frist ab, bis zu der die EU-Mitgliedstaaten die neue Produkthaftungsrichtlinie in nationales Recht gegossen haben müssen. Für Deutschland heißt das: Das Produkthaftungsgesetz wird zum ersten Mal seit 1989 grundlegend überarbeitet. Der entscheidende Satz für alle, die mit Software arbeiten, steht gleich am Anfang der Richtlinie — Software und KI-Systeme sind künftig Produkte. Genau wie eine Bohrmaschine oder ein Toaster.
Ich schreibe das bewusst nüchtern, weil das Thema gerade durch die Beratungsbranche gejagt wird. Für den typischen Mittelständler, der ChatGPT im Büro nutzt und eine Automatisierung zwischen CRM und Buchhaltung laufen hat, ändert sich im Alltag erst mal wenig. Relevant wird es an einer ganz bestimmten Stelle: wenn Software oder KI dein Haus verlässt und bei jemand anderem landet. Dieser Artikel sortiert, wo die Grenze verläuft und was du in den verbleibenden Wochen tatsächlich prüfen solltest.
Was sich am 9. Dezember 2026 ändert
Grundlage ist die Richtlinie (EU) 2024/2853, in Kraft seit dem 8. Dezember 2024. Sie ersetzt die Produkthaftungsrichtlinie von 1985, die aus einer Zeit stammt, in der Produkte Dinge waren, die man anfassen konnte. Software war darin ein Sonderfall, über den Juristen zwei Jahrzehnte lang gestritten haben. Dieser Streit ist jetzt entschieden — zugunsten der Verbraucher.
In Deutschland läuft die Umsetzung über das Gesetz zur Modernisierung des Produkthaftungsrechts. Der Referentenentwurf stammt vom 11. September 2025, der Regierungsentwurf vom 17. Dezember 2025. Wichtig für die Einordnung: Das parlamentarische Verfahren ist noch nicht abgeschlossen. Den aktuellen Stand samt Synopse und Stellungnahmen veröffentlicht das Bundesjustizministerium auf seiner Seite zum Gesetzgebungsverfahren. Die Richtung steht durch die EU-Vorgabe allerdings fest, am Kern wird sich nichts mehr bewegen.
Entscheidend ist der Stichtag selbst: Das neue Recht greift für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden. Für alles, was bis einschließlich 8. Dezember 2026 auf den Markt kommt, gilt das alte Recht weiter. Bei Software ist das kniffliger als bei Hardware, denn jedes größere Update kann ein neues Inverkehrbringen sein.
Software, KI und Cloud-Dienste sind jetzt Produkte
Die Richtlinie zieht den Produktbegriff deutlich weiter. Darunter fallen künftig:
- Software in jeder Bereitstellungsform — als Download, vorinstalliert oder als Cloud-Anwendung
- KI-Systeme, ausdrücklich auch solche, die nach dem Marktstart weiterlernen
- Digitale Konstruktionsunterlagen, also zum Beispiel 3D-Druckvorlagen
- Verbundene Dienste, die für die Funktion eines Produkts wesentlich sind und unter der Kontrolle des Herstellers stehen — der Cloud-Dienst hinter dem smarten Thermostat etwa
- Elektrizität
Der Punkt mit den lernenden Systemen ist der eigentlich neue. Nach klassischem Verständnis haftet ein Hersteller für den Zustand, in dem das Produkt das Werk verlässt. Bei einem KI-System, das sich im Betrieb verändert, greift diese Logik nicht mehr — und die Richtlinie zieht die Haftung entsprechend über den Marktstart hinaus. Wer ein KI-System im Unternehmen betreibt, das dazulernt, kann sich also nicht darauf zurückziehen, dass es bei der Auslieferung noch korrekt funktioniert hat.
Wann du selbst zum Hersteller wirst
Das ist die Frage, die im Mittelstand wirklich zählt. Denn „Hersteller” im Sinne des Gesetzes ist nicht nur, wer programmiert. Die Haftung trifft eine ganze Kette von Beteiligten — und alle haften als Gesamtschuldner, der Geschädigte kann sich also aussuchen, wen er in Anspruch nimmt.
| Rolle | Haftest du? | Typischer Fall im Mittelstand |
|---|---|---|
| Du nutzt KI nur intern | Nein | ChatGPT fürs Texten, internes Wissens-Tool |
| Du setzt fremde Software unverändert ein | Nein | Standard-CRM, Buchhaltungssoftware |
| Du setzt deinen Namen/dein Logo drauf | Ja | White-Label-Tool unter eigener Marke |
| Du importierst aus einem Nicht-EU-Land | Ja | Direktbezug von US-Anbietern ohne EU-Niederlassung |
| Du veränderst Software wesentlich | Ja | Eigene Firmware, tiefgreifende Umbauten |
| Du integrierst Software in dein Produkt | Ja, für das Gesamtprodukt | Maschine mit eingebauter Steuerungssoftware |
Der Begriff, an dem sich alles entscheidet, ist die wesentliche Veränderung. Gemeint ist ein Eingriff, der Leistung, Zweck oder Art des Produkts verändert und dabei neue Risiken schafft oder bestehende Risiken erhöht. Wer eine eigene Firmware auf fremde Hardware spielt, wird damit zum neuen Hersteller. Wer ein Tool über die vorgesehenen Einstellungen konfiguriert, in aller Regel nicht.
Für meine Kunden heißt das konkret: Ein KI-Telefonassistent, der über die Konfigurationsoberfläche eines Anbieters eingerichtet wird, macht dich nicht zum Hersteller. Ein automatisierter Ablauf, der Standard-Bausteine zusammensteckt, ebenfalls nicht. Die Grenze wird interessant, wenn du Software in ein eigenes Produkt einbaust, das du an Dritte verkaufst — dann haftest du für das Gesamtprodukt, auch für die fremden Teile darin.
Ein Sonderfall, der oft übersehen wird: Open Source. Frei verfügbare Software bleibt nur dann außen vor, wenn sie außerhalb einer gewerblichen Tätigkeit entwickelt wird. Sobald du Open-Source-Komponenten kommerziell weitergibst, dafür Support leistest oder sie in ein Produkt integrierst, greift die volle Herstellerhaftung — auch wenn der Download kostenlos war.
Was ersetzt wird — und was nicht
Hier liegt die wichtigste Entwarnung für reine B2B-Betriebe, und sie geht in der Aufregung regelmäßig unter. Anspruchsberechtigt sind ausschließlich natürliche Personen. Ein Unternehmenskunde kann nach dem Produkthaftungsgesetz nichts geltend machen; der bleibt auf das Vertrags- und Gewährleistungsrecht verwiesen.
Ersatzfähig sind:
- Tod und Körperverletzung, ohne Obergrenze
- Anerkannte psychische Gesundheitsschäden — das ist neu
- Beschädigung privat genutzter Sachen
- Verlust oder Beschädigung privater Daten — ebenfalls neu und für Softwarefälle der entscheidende Posten
Nicht ersatzfähig sind Schäden an beruflich genutzten Sachen und Daten sowie Schäden am fehlerhaften Produkt selbst. Zwei Hürden des alten Rechts fallen allerdings weg: die Selbstbeteiligung von 500 Euro bei Sachschäden und die Haftungshöchstgrenze von 85 Millionen Euro bei Personenschäden. Die Haftung besteht grundsätzlich zehn Jahre ab Inverkehrbringen, bei Personenschäden mit spät auftretenden Folgen bis zu 25 Jahre.
Die Beweislast: warum Dokumentation dein bester Schutz ist
Der praktisch folgenreichste Teil der Reform steht nicht beim Produktbegriff, sondern bei den Beweisregeln. Gerichte können künftig anordnen, dass ein Hersteller technische Unterlagen offenlegt. Wer das verweigert, muss damit rechnen, dass der Fehler schlicht vermutet wird. Weitere Vermutungen greifen, wenn verbindliche Sicherheitsanforderungen nicht eingehalten wurden, wenn eine offensichtliche Fehlfunktion einen vorhersehbaren Schaden verursacht hat, oder wenn der Nachweis bei technisch komplexen Produkten übermäßig schwierig ist — dann reicht Wahrscheinlichkeit.
Übersetzt: Dokumentation wechselt die Rolle. Sie ist nicht mehr lästige Pflichtübung für den Aktenordner, sondern das Mittel, mit dem du dich im Ernstfall entlastest. Wer nicht zeigen kann, wie ein System zum Zeitpunkt X konfiguriert war, welches Modell lief und welche Tests gefahren wurden, verliert nicht wegen eines Fehlers — sondern weil er nichts vorzulegen hat. Das deckt sich übrigens genau mit dem, was ohnehin über KI-Governance und den EU AI Act auf Unternehmen zukommt. Wer dort sauber aufgestellt ist, hat den Großteil der Arbeit schon erledigt.
Dazu kommen zwei Pflichten, die direkt aus dem Produktbegriff folgen: Sicherheitsupdates bereitstellen und Cybersicherheit gewährleisten. Ein Produkt, für das bekannte Lücken nicht geschlossen werden, kann allein deshalb fehlerhaft sein. Wer Software ausliefert, braucht also einen Update-Pfad — und eine Antwort auf die Frage, wie lange er ihn offenhält.
Was ich dir für die nächsten Wochen rate
Bis zum Stichtag sind es keine acht Wochen mehr. Das reicht völlig, wenn du dich auf das Wesentliche beschränkst:
- Rolle klären. Geh deine Produkte und Leistungen durch und beantworte für jede eine Frage: Verlässt hier Software mein Haus? Wenn nein, bist du Anwender und das Thema ist für dich klein. Wenn ja, klär anhand der Tabelle oben, in welcher Rolle du stehst.
- Verträge mit Anbietern prüfen. Wer haftet bei Fehlfunktionen der KI-Komponente? Wie lange sind Sicherheitsupdates zugesagt? Was passiert bei Modellwechseln? Standardverträge außereuropäischer Anbieter bilden das meist nicht ab.
- Dokumentation aufsetzen. Für jedes KI-System: Zweck, eingesetztes Modell samt Version, Konfiguration, Testprotokolle, Änderungshistorie. Eine gepflegte Tabelle schlägt ein ungepflegtes Managementsystem.
- Update- und Meldeweg festlegen. Wer bemerkt Sicherheitslücken, wer entscheidet, wer informiert Kunden? Diese Frage überschneidet sich stark mit NIS2, falls dich das ebenfalls betrifft.
- Versicherung ansprechen. Betriebs- und Produkthaftpflicht sind oft auf körperliche Produkte zugeschnitten. Frag nach, ob Software- und Datenschäden gedeckt sind.
Wenn du unsicher bist, in welche Kategorie dein Betrieb fällt, ist das meist in einem Gespräch geklärt — und oft lautet die Antwort beruhigend „du bist Anwender, nicht Hersteller”. Genau diese Einordnung mache ich im Rahmen einer Bestandsaufnahme deiner KI- und Automatisierungslandschaft. Für Websites und Online-Tools lohnt parallel ein technischer Check, weil Sicherheitsupdates und Datenverluste dort am ehesten zum Thema werden.
Der ehrliche Schlusssatz: Die Reform ist kein Grund, KI-Projekte zu stoppen. Sie ist ein Grund, aufzuschreiben, was man tut. Das ist der Unterschied zwischen einem Risiko und einem beherrschten Risiko — und das kostet ein paar Stunden, keine Beratungsprojekte.
Dieser Beitrag gibt den Stand vom 16. Oktober 2026 wieder und ersetzt keine Rechtsberatung. Für die Bewertung deines konkreten Falls wende dich an eine Anwältin oder einen Anwalt für IT- und Produkthaftungsrecht.
Häufige Fragen zur Produkthaftung für Software und KI
Ab wann gilt die neue Produkthaftung für Software?
Das neue Recht greift für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden. Für alles, was bis einschließlich 8. Dezember 2026 auf den Markt kommt, gilt das bisherige Produkthaftungsgesetz weiter. Bei Software ist zu beachten, dass ein größeres Update als neues Inverkehrbringen gewertet werden kann.
Hafte ich, wenn ich nur ChatGPT oder einen KI-Assistenten im Büro nutze?
Nein. Die Produkthaftung trifft Hersteller, Importeure und diejenigen, die ein Produkt wesentlich verändern oder unter eigenem Namen anbieten. Wer KI-Werkzeuge ausschließlich intern einsetzt, ist Anwender und fällt nicht darunter. Andere Pflichten, etwa aus dem EU AI Act oder dem Datenschutzrecht, bleiben davon unberührt.
Was ist eine wesentliche Veränderung bei Software?
Eine Veränderung ist wesentlich, wenn sie Leistung, Zweck oder Art des Produkts verändert und dabei neue Risiken schafft oder bestehende Risiken erhöht. Eine eigene Firmware auf fremder Hardware ist ein typisches Beispiel. Eine Konfiguration innerhalb der vom Anbieter vorgesehenen Einstellungen ist in der Regel keine wesentliche Veränderung.
Können meine Geschäftskunden mich nach dem Produkthaftungsgesetz verklagen?
Nein. Anspruchsberechtigt sind ausschließlich natürliche Personen. Ersetzt werden Personenschäden, Schäden an privat genutzten Sachen und der Verlust privater Daten. Beruflich genutzte Daten und Sachen sind ausdrücklich ausgenommen. Im B2B-Verhältnis bleibt es beim Vertrags- und Gewährleistungsrecht.
Gilt die Haftung auch für Open-Source-Software?
Nur eingeschränkt. Open-Source-Software, die außerhalb einer gewerblichen Tätigkeit entwickelt und bereitgestellt wird, ist ausgenommen. Sobald sie kommerziell vertrieben wird, Support dafür geleistet wird oder sie in ein Produkt integriert wird, greift die volle Herstellerhaftung — auch bei kostenloser Abgabe.
Wie lange hafte ich für ein Softwareprodukt?
Die Haftung besteht grundsätzlich zehn Jahre ab dem Inverkehrbringen. Bei Personenschäden, die sich erst spät zeigen, verlängert sich die Frist auf bis zu 25 Jahre. Die bisherige Selbstbeteiligung von 500 Euro bei Sachschäden und die Haftungshöchstgrenze von 85 Millionen Euro bei Personenschäden entfallen.
Was ist der wichtigste praktische Schritt für kleine Unternehmen?
Dokumentation. Gerichte können die Offenlegung technischer Unterlagen anordnen, und wer sie verweigert, muss mit der Vermutung eines Fehlers rechnen. Eine gepflegte Übersicht über eingesetzte Systeme, Modellversionen, Konfigurationen und Tests ist die wirksamste und günstigste Absicherung.
