Produkthaftungsrichtlinie (EU) 2024/2853

Das neue Produkthaftungsgesetz gilt für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden. Für alle früher in Verkehr gebrachten Produkte bleibt es beim alten Gesetz von 1989 (§ 23). Das neue Gesetz wurde am 27. Oktober 2026 im Bundesgesetzblatt verkündet (BGBl. 2026 I Nr. 321) und tritt nach Artikel 17 am 9. Dezember 2026 in Kraft. Es setzt die Richtlinie (EU) 2024/2853 um, deren Umsetzungsfrist am selben Tag endet.

Bei der Richtlinie ist der Wortlaut zu beachten. Nach Artikel 2 Absatz 1 gilt sie für Produkte, die „nach dem 8. Dezember 2026“ in Verkehr gebracht werden. In der ursprünglichen Fassung stand dort der 9. Dezember, eine Berichtigung vom 7. Mai 2026 hat das geändert. Gemeint ist derselbe Tag wie im deutschen Gesetz, der erste Geltungstag ist der 9. Dezember.

Für Betreiber zählt der Zeitpunkt des Inverkehrbringens des Produkts, nicht der Kauf- oder Bestelltag. Eine Anlage, die im November 2026 ausgeliefert wird, fällt unter das alte Recht, eine im Januar 2027 ausgelieferte unter das neue. Offen ist, wie eine ältere Anlage zu behandeln ist, die nach dem Stichtag wesentlich umgebaut wird. § 23 regelt das nicht ausdrücklich, doch nach § 17 Absatz 2 beginnt die Zehnjahresfrist nach einer wesentlichen Änderung neu. Wer im nächsten Jahr eine Steuerung tauscht, sollte deshalb so dokumentieren, als gelte das neue Recht.

Ja. Nach § 2 Absatz 1 sind Produkte neben beweglichen Sachen auch Software, mit Ausnahme freier und Open-Source-Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird. Auch digitale Konstruktionsunterlagen für die automatische Steuerung von Maschinen zählen dazu. Ein verbundener Dienst, ohne den eine oder mehrere Produktfunktionen nicht ausführbar wären, gilt nach § 4 Absatz 2 als Komponente des Produkts.

Neu ist der Zeitpunkt, auf den es ankommt. Grundsätzlich ist maßgeblich, wann das Produkt in Verkehr gebracht wurde. Hat der Hersteller aber nach dem Inverkehrbringen die Kontrolle behalten, zählt nach § 8 Absatz 2 der Moment, in dem das Produkt seine Kontrolle verlassen hat. Kontrolle besteht schon, wenn er Software-Updates selbst oder über einen Dritten bereitstellen kann. Für den Betrieb heißt das: Solange der Hersteller Updates liefern kann, endet seine Verantwortung für das Produkt nicht mit der Lieferung.

Updates, die ein Dritter mit Einverständnis des Herstellers einspielt, rechnet das Gesetz ebenfalls der Kontrolle des Herstellers zu. Wer Sicherheitsupdates für Anlagen einspielt, sollte die Freigabe des Herstellers und den Versionsstand festhalten.

Nach § 5 Absatz 1, wenn sie ein Produkt ohne Einverständnis des Herstellers wesentlich verändert und es anschließend auf dem Markt bereitstellt oder in Betrieb nimmt. Dann ist sie Hersteller des veränderten Produkts. Das Gesetz knüpft an die wesentliche Änderung an, nicht an Wartung als solche. Eine Instandhaltung, die den Zustand erhält, löst die Herstellerhaftung deshalb nicht aus. Willigt der Hersteller in die Änderung ein, zählt die Änderung dagegen nach § 8 Absatz 2 zu seiner Kontrolle, und der Beurteilungszeitpunkt verschiebt sich nach hinten.

Was wesentlich ist, bestimmt zuerst das Produktsicherheitsrecht (§ 5 Absatz 2). Für Maschinen ist das ab dem 20. Januar 2027 die Maschinenverordnung. Gibt es keinen Maßstab, gilt eine Auffangdefinition: Die Änderung verändert Leistung, Zweck oder Art des Produkts ohne Vorgabe in der Risikobewertung des Herstellers, und die Art der Gefahr ändert sich, es entsteht eine neue Gefahr oder das Risikoniveau steigt. Der Umbauer haftet nach § 9 Absatz 4 nicht für Fehler an Teilen, die von seiner Änderung nicht betroffen sind.

Im Vertrag sollten Auftraggeber und Servicefirma festlegen, wer vor einem Umbau die Frage der wesentlichen Änderung prüft und dokumentiert, ob der Hersteller zugestimmt hat, wer Hersteller wird und wie Haftung und Versicherung verteilt sind.

Das Produkthaftungsgesetz schützt natürliche Personen. Nach § 1 Absatz 1 ersetzt der Hersteller den Schaden, der einer natürlichen Person durch den Fehler eines Produkts entsteht. Erfasst sind Tod, Verletzungen von Körper und Gesundheit, einschließlich medizinisch anerkannter psychischer Beeinträchtigungen, und Schäden an Sachen, die nicht das fehlerhafte Produkt selbst und nicht ausschließlich beruflich genutzt sind. Daten werden nur ersetzt, wenn sie nicht für berufliche Zwecke verwendet werden.

Für einen Betrieb heißt das: Beschädigt eine fehlerhafte zugekaufte Steuerung die eigene Maschine oder vernichtet sie Produktionsdaten, hilft das Produkthaftungsgesetz nicht. Das Unternehmen selbst ist keine natürliche Person, die Anlage ist eine ausschließlich beruflich genutzte Sache, und die Produktionsdaten sind berufliche Daten. Dafür bleiben Vertrag und Deliktsrecht, die das Gesetz nach § 21 Absatz 2 ausdrücklich unberührt lässt.

Verletzt sich dagegen ein Mitarbeiter, ein Besucher oder ein Dritter, greift das Gesetz, ohne dass der Geschädigte ein Verschulden des Herstellers beweisen muss. Dort werden Betreiber und Servicefirmen das neue Recht spüren, bei Personenschäden und nicht beim eigenen Sachschaden. Wer Umbauten und Updates dokumentiert, kann im Streit über die Verantwortung belegen, wer was verändert hat.

Sie können einen Fehler begründen und den Hersteller nicht entlasten. Ein Produkt ist nach § 7 fehlerhaft, wenn es nicht die Sicherheit bietet, die nach deutschem oder europäischem Recht vorgeschrieben ist oder erwartet werden darf. Dabei berücksichtigt das Gesetz ausdrücklich die einschlägigen Anforderungen an die Produktsicherheit, einschließlich sicherheitsrelevanter Cybersicherheitsanforderungen. Dazu gehört künftig auch der Cyber Resilience Act, der ab Dezember 2027 einen Unterstützungszeitraum von mindestens fünf Jahren vorsieht.

Maßgeblich ist § 9 Absatz 2. Ein Hersteller kann sich grundsätzlich darauf berufen, dass der Fehler wahrscheinlich noch nicht vorhanden war, als das Produkt in Verkehr kam. Das gilt nicht, wenn er die Kontrolle behalten hat und der Fehler auf einen verbundenen Dienst, auf Software, auf das Fehlen erforderlicher Sicherheitsupdates oder auf eine wesentliche Änderung zurückgeht. Die Richtlinie sagt dasselbe in Artikel 11 Absatz 2.

Eine Pflicht, Updates zu liefern, ergibt sich daraus nicht unmittelbar. Faktisch verschiebt sich aber das Risiko: Wer Updates liefern kann und es unterlässt, bleibt länger haftbar. Für Betreiber ist wichtig, im Kaufvertrag Updatezusagen und Zeiträume festzuhalten und bereitgestellte Updates zu dokumentieren, ob eingespielt oder aus gutem Grund zurückgestellt.

Ansprüche verjähren nach § 16 in drei Jahren, gerechnet ab dem Tag, an dem der Gläubiger Fehler, Schaden und Schuldner kennt oder kennen müsste. Sie erlöschen nach § 17 spätestens zehn Jahre nach dem Inverkehrbringen oder der Inbetriebnahme des Produkts. Bei einem wesentlich veränderten Produkt beginnt diese Frist neu, nämlich mit dem Tag, an dem es nach der Änderung auf dem Markt bereitgestellt oder in Betrieb genommen wurde. Bei Gesundheitsschäden mit langer Latenzzeit verlängert sie sich auf 25 Jahre. Der Umbauer trägt das Risiko damit für ein weiteres Jahrzehnt.

Neu ist auch das Beweisrecht. Nach § 19 Absatz 1 ordnet das Gericht auf Antrag des Klägers an, dass der Beklagte oder ein Dritter relevante Beweismittel offenlegt, wenn der Kläger seinen Anspruch plausibel gemacht hat. Dritte müssen nicht offenlegen, soweit sie zur Zeugnisverweigerung berechtigt sind. Legt der Beklagte angeordnete Beweismittel nicht offen, wird nach § 20 Absatz 1 ein Fehler des Produkts vermutet. Wartungsberichte, Update-Historien und Änderungsunterlagen sind damit Beweismittel, die ein Gericht herausverlangen kann.

Eine eigene Dokumentationspflicht enthält das Gesetz nicht. Im Streit hilft aber nur, was vorhanden ist. Servicefirmen und Betreiber sollten Aufbewahrungsfristen für Umbau- und Updatenachweise deshalb mindestens an die Zehnjahresfrist anpassen. vi hält Wartungsberichte, Update-Nachweise und Änderungen je Anlage revisionssicher zusammen.