Skip to content

Product Liability Directive (PLD)

Die Produkthaftungsrichtlinie (Richtlinie (EU) 2024/2853) legt EU-weit einheitliche Regeln für die verschuldensunabhängige Haftung von Wirtschaftsakteuren für Schäden fest, die natürlichen Personen durch fehlerhafte Produkte entstehen. Sie ersetzt die Richtlinie 85/374/EWG und stellt ausdrücklich klar, dass auch Software ein Produkt ist.

[!NOTE]

Alle Artikelverweise beziehen sich, sofern nicht anders angegeben, auf die Richtlinie (EU) 2024/2853 und führen direkt zum jeweiligen Artikel. Die Seite ist eine Orientierungshilfe und keine Rechtsberatung. Weitere Quellen stehen im Abschnitt Quellen.

Überblick

  • Segment: Produkthaftung

  • Verabschiedet / Veröffentlicht:

    • Richtlinie (EU) 2024/2853 vom 23.10.2024, veröffentlicht im Amtsblatt der EU (L) am 18.11.2024
    • In Kraft getreten am zwanzigsten Tag nach der Veröffentlichung (Art. 23), also am 08.12.2024

  • Gültig ab:

    • Umsetzung in nationales Recht bis zum 09.12.2026 (Art. 22 Abs. 1). Da es sich um eine Richtlinie handelt, wirkt sie gegenüber Unternehmen erst über das jeweilige nationale Recht.
    • Die Richtlinie gilt für Produkte, die nach dem 09.12.2026 in Verkehr gebracht oder in Betrieb genommen werden (Art. 2 Abs. 1). Die Richtlinie 85/374/EWG wird zum 09.12.2026 aufgehoben und gilt nur noch für Produkte, die vorher in Verkehr gebracht wurden (Art. 21).

  • Gültig für (Haftende, Art. 8):

    • Hersteller von Produkten und von Komponenten, auch Software, verbundenen Diensten und digitalen Konstruktionsunterlagen (z. B. für 3D-Druck). Der Begriff „Produkt" umfasst bewegliche Sachen (auch wenn in andere Sachen integriert), Elektrizität, digitale Konstruktionsunterlagen, Rohstoffe und Software (Art. 4 Nr. 1). Laut Erwägungsgrund 13 gilt das unabhängig von der Bereitstellungsform (auf einem Gerät, über Netz oder Cloud, als Software-as-a-Service), reiner Quellcode und Informationen sind dagegen keine Produkte.
    • Importeure, Bevollmächtigte, Fulfilment-Dienstleister, Lieferanten und unter Bedingungen Online-Plattformen (siehe Zentrale Forderungen).
    • Geschützt sind ausschließlich natürliche Personen (Art. 1, Art. 5).

  • Nicht gültig für:

    • Freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird (Art. 2 Abs. 2). Wird die Software gegen Preis oder gegen personenbezogene Daten (die über Sicherheit, Kompatibilität und Interoperabilität hinaus genutzt werden) bereitgestellt, liegt nach Erwägungsgrund 14 eine Geschäftstätigkeit vor und die Richtlinie findet Anwendung. Integriert ein Hersteller solche Software im Rahmen einer Geschäftstätigkeit in sein Produkt, haftet dieser Hersteller, nicht der Entwickler der Software (Erwägungsgrund 15).
    • Schäden aus nuklearen Unfällen, soweit durch internationale Übereinkommen erfasst (Art. 2 Abs. 3).
    • Dienstleistungen als solche (Erwägungsgrund 17). Ausgenommen davon sind verbundene Dienste, ohne die ein Produkt eine Funktion nicht ausführen könnte (z. B. Navigationsdaten, Sprachassistent); sie gelten als Komponenten (Art. 4 Nr. 3 und 4).
    • Schäden an Sachen, die ausschließlich beruflich genutzt werden, und an Daten, die (auch) beruflich genutzt werden (Art. 6 Abs. 1).

  • Grauzone:

    • Reichweite der Open-Source-Ausnahme: Ob eine Bereitstellung „im Rahmen einer Geschäftstätigkeit" erfolgt, ist im Einzelfall zu beurteilen. Erwägungsgrund 14 nennt Kriterien (Preis, Datennutzung, Organisationen ohne Erwerbszweck), die Auslegung durch nationale Gerichte steht noch aus.
    • Nationale Ausgestaltung: Die Richtlinie ist grundsätzlich vollharmonisierend (Art. 3), lässt aber Spielräume, z. B. beim Entwicklungsrisiko (Art. 18), bei der Berechnung des Schadensersatzes (Erwägungsgrund 23) und bei der Offenlegung (Art. 9). In Deutschland liegt ein Regierungsentwurf zur Neufassung des ProdHaftG vor (BT-Drs. 21/4297); den aktuellen Verfahrensstand bitte beim Bundestag prüfen.

  • Ziel (Art. 1): Die PLD modernisiert die Produkthaftung für das digitale Zeitalter. Sie soll zum reibungslosen Funktionieren des Binnenmarkts beitragen und ein hohes Schutzniveau für Verbraucher und andere natürliche Personen sicherstellen.

Zentrale Forderungen

  • Erweiterter Haftungskreis (Art. 8):

    • Haftbar sind der Hersteller des Produkts und der Hersteller einer fehlerhaften Komponente, die unter Kontrolle des Produktherstellers integriert oder verbunden wurde (Abs. 1 Buchst. a und b). Wer ein Produkt außerhalb der Herstellerkontrolle wesentlich verändert, gilt als Hersteller (Abs. 2).
    • Hat der Hersteller seinen Sitz außerhalb der Union, haften zusätzlich der Importeur, der Bevollmächtigte und, nachrangig, der Fulfilment-Dienstleister (Abs. 1 Buchst. c).
    • Lieferanten haften, wenn kein Wirtschaftsakteur in der Union ermittelt werden kann und sie auf Aufforderung nicht binnen eines Monats einen solchen oder ihren Vorlieferanten benennen (Abs. 3). Das gilt entsprechend für Online-Plattformen, die Fernabsatzverträge mit Verbrauchern ermöglichen, wenn die Bedingungen von Art. 6 Abs. 3 der Verordnung (EU) 2022/2065 erfüllt sind (Abs. 4).
    • Mehrere Haftende haften gesamtschuldnerisch (Art. 12 Abs. 1), mit Rückgriffsrecht (Art. 14). Kein Rückgriff gegen den Hersteller einer fehlerhaften Softwarekomponente, wenn dieser Kleinst- oder Kleinunternehmen ist und der Rückgriff vertraglich ausgeschlossen wurde (Art. 12 Abs. 2).
    • Die Haftung gegenüber der geschädigten Person kann vertraglich oder durch nationales Recht nicht ausgeschlossen oder beschränkt werden (Art. 15).

  • Haftung für Updates, Software und Sicherheit:

    • Ein Produkt ist fehlerhaft, wenn es nicht die Sicherheit bietet, die eine Person erwarten darf oder die nach Unionsrecht oder nationalem Recht vorgeschrieben ist (Art. 7 Abs. 1). Zu berücksichtigen sind u. a. nachträgliches Lernen und neue Funktionen, Wechselwirkungen mit anderen Produkten, einschlägige Produktsicherheitsanforderungen einschließlich sicherheitsrelevanter Cybersicherheitsanforderungen, Rückrufe und Eingriffe von Behörden (Art. 7 Abs. 2). Behördliche Eingriffe begründen für sich keine Fehlervermutung (Erwägungsgrund 34).
    • Der Hersteller kann sich nicht darauf berufen, der Fehler sei erst nach dem Inverkehrbringen entstanden, wenn er auf einem verbundenen Dienst, auf Software einschließlich Updates oder Upgrades, auf fehlenden, zur Aufrechterhaltung der Sicherheit erforderlichen Updates oder auf einer wesentlichen Änderung beruht und der Kontrolle des Herstellers unterliegt (Art. 11 Abs. 2). Kontrolle liegt auch vor, wenn der Hersteller Updates selbst oder durch Dritte bereitstellen kann (Art. 4 Nr. 5).
    • Die Richtlinie begründet keine eigene Pflicht, Updates bereitzustellen (Erwägungsgrund 51); die Haftung entfällt dort, wo Bereitstellung oder Installation außerhalb der Herstellerkontrolle liegt (z. B. der Eigentümer installiert Updates nicht). Ein besseres Produkt oder ein späteres Update macht ein früheres Produkt nicht allein dadurch fehlerhaft (Art. 7 Abs. 3).

  • Schadensbegriff (Art. 6):

    • Tod oder Körperverletzung, einschließlich medizinisch anerkannter Beeinträchtigungen der psychischen Gesundheit
    • Beschädigung oder Zerstörung von Sachen (nicht das fehlerhafte Produkt selbst und keine ausschließlich beruflich genutzten Sachen)
    • Vernichtung oder Beschädigung von Daten, die nicht für berufliche Zwecke verwendet werden. Datenlecks und Datenschutzverstöße sind davon zu unterscheiden und bleiben nach DSGVO zu beurteilen (Erwägungsgrund 20).
    • Ersetzt werden die daraus folgenden Vermögensschäden sowie immaterielle Schäden, soweit nationales Recht sie ersetzt (Abs. 2).

  • Keine Haftungshöchstgrenze und kein Selbstbehalt in der Richtlinie: Art. 6 enthält weder einen Mindestschaden noch eine Obergrenze, und Art. 3 verbietet abweichendes nationales Recht. Das deutsche ProdHaftG kennt bislang eine Höchstgrenze von 85 Mio. EUR für Personenschäden (§ 10 ProdHaftG); bei Umsetzung ist mit deren Wegfall zu rechnen (der Selbstbehalt von 500 EUR bei Sachschäden ist nicht aus dem Richtlinientext, sondern nur aus der Vorgängerregelung bekannt und hier nicht geprüft).

  • Offenlegung und Beweiserleichterung:

    • Offenlegung (Art. 9): Auf Antrag des Klägers, der die Plausibilität seines Anspruchs ausreichend belegt, müssen Beklagte relevante Beweismittel in ihrer Verfügungsgewalt offenlegen, beschränkt auf das erforderliche und verhältnismäßige Maß; Geschäftsgeheimnisse sind zu schützen (Abs. 3 bis 5). Auch der Beklagte kann Offenlegung vom Kläger verlangen (Abs. 2).
    • Beweislast und Vermutungen (Art. 10): Grundsätzlich beweist der Kläger Fehler, Schaden und Kausalität (Abs. 1). Der Fehler wird vermutet, wenn der Beklagte die Offenlegung unterlässt, wenn das Produkt verbindliche Produktsicherheitsanforderungen verletzt oder wenn eine offensichtliche Funktionsstörung vorliegt (Abs. 2). Kausalität wird vermutet, wenn der Schaden typischerweise auf den festgestellten Fehler zurückzuführen ist (Abs. 3). Bei übermäßigen Beweisschwierigkeiten (z. B. technische Komplexität) geht das Gericht bei Wahrscheinlichkeit von Fehler oder Kausalität von diesen aus (Abs. 4). Alle Vermutungen sind widerlegbar (Abs. 5).

  • Haftungsausschlüsse und Fristen:

    • Ausschlüsse (Art. 11 Abs. 1), vom Wirtschaftsakteur zu beweisen: u. a. kein Inverkehrbringen, Fehler wahrscheinlich noch nicht vorhanden, Fehler beruht auf Einhaltung rechtlicher Anforderungen, Fehler nach dem Stand von Wissenschaft und Technik nicht erkennbar (Entwicklungsrisiko; Mitgliedstaaten dürfen nach Art. 18 abweichen). Für Updates und Software gilt die Rückausnahme in Art. 11 Abs. 2 (siehe oben).
    • Verjährung: 3 Jahre ab Kenntnis bzw. Kennenmüssen von Schaden, Fehler und Identität des Haftenden (Art. 16).
    • Ausschlussfrist: 10 Jahre ab Inverkehrbringen bzw. Inbetriebnahme, bei wesentlich geänderten Produkten ab der Bereitstellung nach der Änderung (Art. 17 Abs. 1). Bei latenten Körperverletzungen verlängert sich die Frist auf 25 Jahre (Art. 17 Abs. 2).

  • Verhältnis zum Cyber Resilience Act: Der CRA stellt in Erwägungsgrund 31 fest, dass die PLD ergänzend wirkt und fehlende Sicherheitsaktualisierungen nach dem Inverkehrbringen die Haftung des Herstellers nach sich ziehen können. Die PLD selbst nennt den CRA nicht, verweist aber auf „sicherheitsrelevante Cybersicherheitsanforderungen" (Art. 7 Abs. 2 Buchst. f); die Verletzung verbindlicher Produktsicherheitsanforderungen begründet eine Fehlervermutung (Art. 10 Abs. 2 Buchst. b). Die saubere Umsetzung der CRA-Anforderungen ist daher ein wichtiger Baustein, um Haftungsrisiken nach der PLD zu verringern. Die Einhaltung des CRA schließt eine Haftung nach der PLD aber nicht aus: Maßgeblich ist die berechtigte Sicherheitserwartung im Einzelfall.

Lösungsansätze & Hilfestellungen

  • Wir erarbeiten gerade ein Konzept, welches die CRA-Anforderungen bedienen hilft. Siehe dazu den CRA.
  • Hilfreich für die Beweisführung sind nachvollziehbare Dokumentation von Entwicklung, Risikobewertung und Update-Prozessen (auch für Offenlegungsverlangen nach Art. 9), eine Komponentenübersicht (SBOM) der eingesetzten Software inklusive Open-Source-Komponenten sowie ein dokumentierter Schwachstellen- und Patch-Prozess. Dies sind Praxisempfehlungen, die PLD enthält keine solche Pflicht.
  • Zur Haftung für integrierte Open-Source-Komponenten siehe Art. 8 Abs. 1 und Erwägungsgrund 15: Der integrierende Hersteller haftet für Fehler der Komponente.

Tools

  • Zur Bewertung der Haftungsrisiken von Komponenten sind SBOM- und Schwachstellen-Werkzeuge nützlich (siehe CRA und DORA); die PLD selbst schreibt keine Werkzeuge vor.

Quellen