Ein Softwareupdate wird ausgespielt, ein Fehler in der Geschäftslogik bleibt unentdeckt – und wenige Wochen später meldet ein Unternehmenskunde Schäden in erheblicher Höhe. Für Geschäftsführer mittelständischer Software- und IT-Unternehmen ist dieses Szenario keine theoretische Übung, sondern ein reales Haftungsrisiko mit konkreten rechtlichen und wirtschaftlichen Konsequenzen.
Produkthaftung und Herstellerpflichten treffen die Software- und IT-Branche mit zunehmender Schärfe: Das Produkthaftungsgesetz (ProdHaftG) sowie ergänzende Regelungen im BGB und das neue EU-Recht zur Produktsicherheit begründen weitreichende Einstandspflichten für Hersteller, Importeure und – unter bestimmten Voraussetzungen – auch für Softwareanbieter und Systemintegratoren. Geschäftsführer haften im Mittelstand persönlich, wenn Organisations- und Überwachungspflichten verletzt werden. Dieser Bericht analysiert die Rechtslage, benennt branchentypische Risikopositionen und zeigt, welche Maßnahmen den Haftungsrahmen wirksam begrenzen.
Der folgende Bericht gliedert sich in den Rechtsrahmen für Software als Produkt, die zentralen Herstellerpflichten, branchentypische Haftungsfallen, die Bedeutung von Vertragsgestaltung und AGB, Geschäftsführerhaftung im Mittelstand, aktuelle Entwicklungen im europäischen Produkthaftungsrecht sowie konkrete Handlungsempfehlungen.
Software als Produkt – was gilt nach ProdHaftG und BGB?
Die Einordnung von Software unter den Produktbegriff des Produkthaftungsgesetzes ist entschieden: Seit der Grundsatzdiskussion in Literatur und Rechtsprechung wird Software, die auf einem physischen Träger vertrieben oder als Embedded Software in Geräte integriert ist, als Produkt im Sinne des § 2 ProdHaftG angesehen. Mit dem Inkrafttreten der EU-Richtlinie 2022/0197 zur Modernisierung der Produkthaftung – deren Umsetzung in deutsches Recht unmittelbar bevorsteht – wird dieser Rahmen ausdrücklich auf digitale Produkte und Software erweitert, auch bei rein digitaler Auslieferung ohne physischen Träger.
Für die Praxis bedeutet das: Wer Software entwickelt, die in Produktionsanlagen, Fahrzeugen, Medizingeräten oder kritischer Infrastruktur eingesetzt wird, ist Hersteller im Sinne des Produkthaftungsrechts. Die Haftung für Schäden durch Fehler der Software greift ohne Verschuldensnachweis – es handelt sich um eine verschuldensunabhängige Gefährdungshaftung. Wer ein Produkt in den Verkehr bringt, das einen Sicherheitsmangel aufweist, haftet für daraus resultierende Körper- und Sachschäden.
Parallel dazu besteht die kaufrechtliche Gewährleistung nach §§ 434 ff. BGB, die bei Software als Kauf- oder Werklieferungsvertrag eingreift. Hier sind die vertragliche Beschaffenheitsvereinbarung und der vereinbarte Verwendungszweck entscheidend. In der Mandatspraxis sehen wir, dass viele mittelständische Softwareanbieter die Trennlinie zwischen deliktischer Produkthaftung und vertraglicher Gewährleistung nicht klar ziehen – mit erheblichen Folgen für Vertragsgestaltung und Risikosteuerung.
Welche Herstellerpflichten gelten konkret für die IT-Branche?
Herstellerpflichten in der Software- und IT-Branche gliedern sich in mehrere Kategorien, die nebeneinander bestehen und sich gegenseitig bedingen. Die Einhaltung aller Kategorien ist Grundlage einer wirksamen Haftungsbegrenzung.
Erstens die Konstruktionspflicht: Der Hersteller muss Software so entwickeln, dass sie den Sicherheitserwartungen entspricht, die bei verständiger Würdigung des Verwendungszwecks zu erwarten sind. Das schließt sichere Codierungsstandards, eine strukturierte Fehlerbehandlung und den Einsatz anerkannter Entwicklungsmethoden ein. Wer im Rahmen agiler Entwicklung Sicherheitsaspekte systematisch ausblendet, setzt sich Produkthaftungsrisiken aus.
Zweitens die Instruktionspflicht: Technisch komplexe Software erfordert angemessene Dokumentation – Bedienungsanleitungen, Sicherheitshinweise, Spezifikationen für den zulässigen Einsatzbereich. Nach der höchstrichterlichen Rechtsprechung kann ein fehlerhafter Hinweis dasselbe Haftungsrisiko begründen wie ein technischer Defekt. Wer den Einsatz seiner Plattform auf bestimmte Betriebsumgebungen beschränkt, muss das klar und unmissverständlich kommunizieren.
Drittens die Produktbeobachtungspflicht: Sie besteht nach dem Inverkehrbringen und verpflichtet den Hersteller, bekannt werdende Sicherheitslücken, Fehlerberichte und Schadensmeldungen zu beobachten, auszuwerten und – soweit möglich – durch Updates oder Rückrufe zu beheben. Die Produktbeobachtungspflicht endet nicht mit dem Verkauf, sondern dauert über den gesamten typischen Produktlebenszyklus an. In der IT-Branche bedeutet das: Wer ein Produkt aus dem Support nimmt, ohne adäquate Überleitung zu gewährleisten, riskiert die Fortsetzung seiner Haftungsposition.
Nach unserer Erfahrung in der Beratung von IT-Unternehmen wird die Produktbeobachtungspflicht am häufigsten unterschätzt. Die Einrichtung eines strukturierten Vulnerability-Management-Prozesses – also eines Systems zur systematischen Erfassung und Bewertung von Sicherheitslücken – ist nicht nur technisch sinnvoll, sondern haftungsrechtlich geboten.
Branchentypische Haftungsfallen – wo liegen die größten Risiken?
Die Software- und IT-Branche weist spezifische Risikokonstellationen auf, die in anderen Branchen so nicht vorkommen. Drei Felder verdienen besondere Aufmerksamkeit für Geschäftsführer mittelständischer Unternehmen.
Embedded Software und IoT: Wird Software in physische Produkte integriert – von industriellen Steuerungsanlagen über Medizinprodukte bis zu vernetzten Fahrzeugkomponenten –, ist die Abgrenzung der Haftungsverantwortlichkeit zwischen Gerätehersteller und Softwarelieferant oft unklar. Gerichte auf LG- und OLG-Ebene haben in vergleichbaren Fällen beide Hersteller als Gesamtschuldner behandelt. Wer seine Software als Zulieferprodukt in fremde Hardware integrieren lässt, sollte vertraglich klare Verantwortlichkeitsgrenzen ziehen – und diese auch in seiner Produktdokumentation abbilden.
SaaS und Cloud-Dienste: Für Software-as-a-Service-Modelle stellt sich die Frage, wer Hersteller im produkthaftungsrechtlichen Sinne ist. Der klassische Ansatz des ProdHaftG knüpft an das Inverkehrbringen an. Bei laufend aktualisierten Cloud-Diensten fehlt ein eindeutiger Zeitpunkt. Die Modernisierungs-Richtlinie der EU stellt hier klar, dass auch Betreiber von Software-Diensten in den Anwendungsbereich fallen können. Bis zur vollständigen Umsetzung in deutsches Recht gelten die allgemeinen Grundsätze der Verkehrssicherungspflicht nach § 823 BGB, die für Cloud-Anbieter eine kontinuierliche Pflicht zur Aufrechterhaltung des Sicherheitsniveaus begründen.
KI-gestützte Systeme: Systeme, die maschinelles Lernen einsetzen und autonome Entscheidungen treffen, werfen Fragen auf, die das klassische Produkthaftungsrecht noch nicht abschließend beantwortet. Wer haftet, wenn ein KI-Modell einen Fehler produziert, den kein menschlicher Entwickler ursächlich gesetzt hat? Die genaue Frist und Reichweite der KI-Haftungsregeln ist im Einzelfall anwaltlich zu prüfen; die EU-KI-Haftungsrichtlinie befindet sich im Gesetzgebungsverfahren. Bis dahin gilt: Die Konstruktionspflicht erfasst auch das Training und die Parametrierung von KI-Modellen. Wer ein KI-System in den Verkehr bringt, muss dessen Fehlertoleranz und Einsatzgrenzen dokumentieren und kommunizieren.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Software-Unternehmen aus der Automatisierungsbranche. Ausgangslage: Eine Produktionssteuerungssoftware wurde nach einem Update in einer Kundenanlage eingesetzt, ohne dass der geänderte Funktionsumfang ausreichend in der Releasenotiz dokumentiert worden war. Nach einem Maschinenstillstand machte der Kunde erhebliche Produktionsausfallschäden geltend und berief sich auf deliktische Haftung nach § 823 BGB sowie auf Gewährleistungsrechte nach den kaufvertraglichen Vereinbarungen. Vorgehen: Die Kanzlei prüfte zunächst die Vertragsgrundlagen, die einbezogenen AGB des Softwareanbieters und den tatsächlichen Dokumentationsstand. Ergebnis: Durch die Vorlage lückenloser interner Entwicklungsdokumentation und eine differenzierte Haftungsbegrenzungsklausel in den AGB konnte die geltend gemachte Haftung erheblich eingeschränkt werden. Der Fall verdeutlicht, dass Dokumentation und wirksame AGB-Gestaltung keine bürokratischen Formalitäten sind, sondern zentrale Instrumente der Haftungssteuerung.
Wie schützen Vertragsgestaltung und AGB vor Haftungsrisiken?
Vertragliche Haftungsbeschränkungen sind das wichtigste Instrument, das IT-Unternehmen in der Praxis einsetzen können – vorausgesetzt, sie sind wirksam vereinbart. Die Wirksamkeit von Haftungsklauseln in AGB richtet sich nach §§ 305 ff. BGB. Im B2B-Bereich ist der Gestaltungsspielraum größer als gegenüber Verbrauchern, aber nicht unbegrenzt.
Grundsätze für wirksame Haftungsklauseln im Software-Bereich: Eine vollständige Haftungsfreizeichnung für Vorsatz und grobe Fahrlässigkeit ist auch im Geschäftsverkehr unwirksam (§ 309 Nr. 7 BGB analog, BGH-Linie). Haftungsobergrenzen in bestimmter Höhe – etwa begrenzt auf den Auftragswert oder eine definierte Vertragssumme – sind grundsätzlich zulässig, sofern sie nicht den Vertragszweck aushöhlen. Für Personenschäden gilt: Die Haftung für die Verletzung von Leben, Körper oder Gesundheit kann vertraglich nicht ausgeschlossen werden.
Besonders relevant für SaaS-Verträge und Softwarelizenzverträge sind Klauseln zur Schadensart – etwa der Ausschluss von mittelbaren Schäden und entgangenem Gewinn. Diese Klauseln sind im unternehmerischen Geschäftsverkehr grundsätzlich möglich, müssen aber klar und eindeutig formuliert sein. Mehrdeutige Klauseln gehen nach der AGB-rechtlichen Auslegungsregel zu Lasten des Verwenders.
Die kaufmännische Rügepflicht nach § 377 HGB gilt auch für Software, soweit es sich um einen Handelskauf handelt. Mängel müssen unverzüglich nach Entdeckung gerügt werden; andernfalls gilt die Ware als genehmigt. Für Softwareanbieter bedeutet das: Im B2B-Bereich ist die ordnungsgemäße Rüge durch den Kunden Voraussetzung für die Durchsetzbarkeit von Gewährleistungsansprüchen. Diesen Umstand sollten AGB und Vertragsgestaltung ausdrücklich aufgreifen.
Fristen: Die kaufrechtliche Verjährung beträgt nach allgemeinem BGB-Recht regelmäßig zwei Jahre ab Ablieferung (§ 438 BGB), sofern keine individuellen Vereinbarungen getroffen wurden. Im Werkvertragsrecht gelten je nach Einordnung abweichende Fristen. Die Verjährung von Produkthaftungsansprüchen nach ProdHaftG beträgt drei Jahre ab Kenntnis (§ 12 ProdHaftG), die Ausschlussfrist zehn Jahre ab Inverkehrbringen.
Wie haften Geschäftsführer von IT-Unternehmen persönlich?
Für Geschäftsführer mittelständischer Software- und IT-Unternehmen birgt die Produkthaftung eine besondere Dimension: die persönliche Haftung. Die GmbH als juristische Person haftet primär – doch unter bestimmten Voraussetzungen greift die persönliche Haftung des Geschäftsführers aus mehreren Rechtsgründen.
Nach § 43 GmbHG haftet der Geschäftsführer der Gesellschaft gegenüber, wenn er seine Sorgfaltspflichten verletzt. Relevante Fallkonstellationen: Das Unterlassen der Einführung angemessener Qualitätssicherungsprozesse für Software, die Freigabe eines erkannt fehlerhaften Produkts unter Zeitdruck sowie das Ignorieren von Warnhinweisen aus dem Entwicklerteam können jeweils eine Haftung begründen. Im Innenverhältnis kann die Gesellschaft den Geschäftsführer für Schäden in Regress nehmen, die sie wegen eines Produktmangels an Dritte leisten musste.
Im Außenverhältnis – also gegenüber geschädigten Dritten direkt – haftet der Geschäftsführer persönlich nach § 823 Abs. 1 BGB, wenn er durch aktives Tun oder pflichtwidrige Unterlassung an der Herstellung oder dem Inverkehrbringen eines mangelhaften Produkts beteiligt war. Die gefestigte Rechtsprechung der OLG-Ebene bejaht diese Haftung, wenn der Geschäftsführer die verantwortliche unternehmerische Entscheidung getroffen hat, ein Produkt trotz bekannter Sicherheitsbedenken in den Markt zu bringen.
Welche praktischen Schutzmaßnahmen gibt es? Zunächst: die Einrichtung klarer interner Kompetenzverteilung, sodass Produktfreigabeentscheidungen nachvollziehbar dokumentiert sind. Weiter: ein funktionsfähiges Qualitätsmanagementsystem mit Eskalationsregeln. Und schließlich: der Abschluss einer D&O-Versicherung (Directors-and-Officers-Versicherung), die Haftungsrisiken des Geschäftsführers gegenüber der Gesellschaft und – je nach Deckungsumfang – gegenüber Dritten abdeckt. Nach unserer Erfahrung in der Beratung inhabergeführter IT-Unternehmen fehlt diese Versicherung häufig oder deckt nicht die Produkthaftungsszenarien ab, die tatsächlich relevant sind.
Wann schlägt die Haftung durch? In der Konstellation, dass ein Geschäftsführer eine Produktfreigabe ohne ausreichende Dokumentation erteilt und anschließend ein Schaden beim Kunden entsteht – hier tragen LG- und OLG-Gerichte typischerweise die persönliche Haftung in das Urteil ein, wenn die Entscheidungsgrundlage nicht rekonstruierbar ist. Dokumentation ist also nicht nur Compliance-Pflicht, sondern Haftungsschutz.
Welche Auswirkungen hat das neue EU-Produkthaftungsrecht auf die IT-Branche?
Das europäische Produkthaftungsrecht steht vor dem tiefgreifendsten Umbau seit Jahrzehnten. Die neue EU-Produkthaftungsrichtlinie (2022/0197, formell verabschiedet im Jahr 2024) erweitert den Produktbegriff ausdrücklich auf digitale Produkte und Software – unabhängig vom Vertriebsweg. Für die Software- und IT-Branche ergeben sich daraus mehrere konkrete Änderungen gegenüber dem bisherigen Regime.
Erweiterung des Produktbegriffs: Rein digitale Produkte – Software, Apps, KI-Systeme, digitale Inhalte – fallen künftig ausdrücklich unter die Haftungsregeln. Die bisherige Unklarheit bei rein online ausgelieferter Software entfällt.
Beweislasterleichterungen: Für Geschädigte wird der Kausalitätsbeweis erleichtert: Wenn ein Produkt nicht den geltenden Sicherheitsanforderungen entspricht und ein typischerweise mit diesem Mangel verbundener Schaden eingetreten ist, kann die Kausalität vermutet werden. Für Hersteller bedeutet das eine erhebliche Verlagerung der Beweislast. Die genaue Ausgestaltung in deutschem Recht ist im Einzelfall nach Umsetzung zu prüfen; bis zur vollständigen Umsetzung gilt das bisherige ProdHaftG.
Einbeziehung von Updates und Modifikationen: Die neue Richtlinie stellt klar, dass auch nachträgliche Softwareupdates, die das Sicherheitsniveau eines Produkts verringern, eine neue Haftungssituation auslösen können. Für SaaS-Anbieter und Entwickler, die kontinuierliche Releases betreiben, ist das eine strukturelle Herausforderung: Jedes wesentliche Update muss sicherheitsrechtlich bewertet werden, bevor es ausgespielt wird.
Parallel dazu gilt der EU Cyber Resilience Act (CRA), der für Produkte mit digitalen Elementen Mindestanforderungen an Cybersicherheit und Schwachstellenmanagement einführt. Die Pflicht zur Meldung aktiv ausgenutzter Schwachstellen ist eine neue operative Anforderung für IT-Unternehmen, die auf dem EU-Markt tätig sind. In der Mandatspraxis beraten wir regelmäßig Unternehmen, die im Begriff sind, CRA-Compliance-Strukturen aufzubauen und dabei die Schnittstelle zur produkthaftungsrechtlichen Dokumentationspflicht einzurichten.
Produktrückruf und Reaktion auf Sicherheitsvorfälle – was müssen IT-Hersteller tun?
Ein Sicherheitsvorfall ist keine rein technische Krise – er ist ein rechtliches Ereignis mit unmittelbarem Handlungsbedarf. Die Reaktionspflichten hängen von der Art des Produkts, dem betroffenen Personenkreis und dem Schadensausmaß ab. Drei Handlungsebenen sind zu unterscheiden.
Produktbeobachtung und interne Eskalation: Sobald Hinweise auf eine sicherheitsrelevante Fehlfunktion vorliegen, ist die interne Eskalationskette zu aktivieren. Das Unterlassen einer angemessenen Reaktion kann die Haftung wegen Verletzung der Produktbeobachtungspflicht begründen. Wie schnell „unverzüglich" zu verstehen ist, richtet sich nach den Umständen des Einzelfalls und der Schwere der Gefahr – eine allgemein gültige Frist nennt das Gesetz nicht.
Rückruf und Sicherheitsupdate: Wenn ein Mangel nachträglich erkannt wird und Sicherheitsrisiken für Dritte bestehen, kann die Pflicht zur Ausgabe eines Sicherheitsupdates oder – bei nicht updatefähigen Systemen – zum Rückruf entstehen. Für Embedded Software in physischen Produkten gelten die Rückrufregeln des Produktsicherheitsgesetzes (ProdSG). Für reine Softwareprodukte ist die Rechtslage im Detail zu prüfen; die EU-Produktsicherheitsverordnung (GPSR, ab Dezember 2024 anwendbar) erweitert den Geltungsbereich erheblich.
Meldepflichten bei Datenschutzvorfällen: Wenn ein Softwarefehler auch eine Datenschutzverletzung auslöst, greifen die Meldefristen der DSGVO parallel. Binnen 72 Stunden nach Kenntnis ist die zuständige Aufsichtsbehörde zu informieren (Art. 33 DSGVO). Diese Frist läuft neben etwaigen produktsicherheitsrechtlichen Meldepflichten und ist strikt einzuhalten. Wer beide Meldepflichten koordiniert, vermeidet den häufigen Fehler, eine fristgemäße DSGVO-Meldung zu versäumen, weil das interne Krisenmanagement allein auf die technische Fehlerbehebung fokussiert ist.
Entscheidungsmatrix für den Ernstfall: Konstellation A (Sicherheitslücke ohne bisher bekannten Schadensfall) → Instrument: Sicherheitsupdate + Risikoanalyse → Frist: unverzüglich → Folge: Vermeidung der Fortdauer der Produktbeobachtungspflichtverletzung. Konstellation B (Datenschutzverletzung parallel zur Sicherheitslücke) → Instrument: DSGVO-Meldung + Benachrichtigung Betroffener → Frist: 72 Stunden (Art. 33 DSGVO) + unverzüglich Betroffene → Folge: Vermeidung von DSGVO-Bußgeldern bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. Konstellation C (physischer Schaden durch Embedded Software) → Instrument: Rückruf nach ProdSG + produkthaftungsrechtliche Sicherung → Frist: abhängig vom Schadensgrad, im Einzelfall anwaltlich zu prüfen → Folge: Haftungsbegrenzung gegenüber Dritten.
Handlungsempfehlung: Was sollten Geschäftsführer in der IT-Branche jetzt tun?
Die vorstehende Darstellung zeigt: Produkthaftung in der Software- und IT-Branche ist kein abstraktes Rechtsrisiko, sondern ein operatives Thema mit direkter Relevanz für die Haftung des Unternehmens und seiner Geschäftsführung. Welche konkreten Schritte reduzieren das Risiko nachhaltig?
Erstens: Vertragswerk und AGB rechtlich prüfen lassen. Haftungsbeschränkungsklauseln, Rügepflichtregelungen und Gewährleistungsausschlüsse sind nur wirksam, wenn sie den AGB-rechtlichen Anforderungen der §§ 305 ff. BGB standhalten. Eine jährliche Überprüfung – insbesondere nach gesetzlichen Neuerungen wie der EU-Produkthaftungsrichtlinie – ist empfehlenswert.
Zweitens: Dokumentationssystem einrichten. Entwicklungsentscheidungen, Sicherheitsbewertungen, Releasefreigaben und Kundenkommunikation zu bekannten Fehlern sind systematisch zu dokumentieren. In der Mandatspraxis sehen wir, dass fehlende Dokumentation in Haftungsverfahren regelmäßig zu Lasten des Anbieters ausgeht – selbst wenn der technische Fehler nachweislich marginal war.
Drittens: Vulnerability-Management-Prozess etablieren. Die Produktbeobachtungspflicht erfordert ein strukturiertes System zur Erfassung, Priorisierung und Reaktion auf Sicherheitslücken. Dieser Prozess muss den Anforderungen des CRA entsprechen, der für die meisten mittelständischen IT-Anbieter bereits anwendbar ist oder kurzfristig wird.
Viertens: D&O-Versicherung und Produkthaftpflichtversicherung überprüfen. Sind Produkthaftungsszenarien – insbesondere für digitale Produkte, SaaS und Embedded Software – ausdrücklich vom Deckungsumfang erfasst? Viele Policen stammen aus einer Zeit, in der Software nicht als Produkt im Sinne des Haftungsrechts galt. Eine Überprüfung ist zeitnah angezeigt.
Fünftens: Rechtzeitig anwaltliche Begleitung suchen. Die vorliegende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung Ihrer Vertragsunterlagen, der geltenden Normen und der einschlägigen Rechtsprechung auf LG- und OLG-Ebene. Fristen – insbesondere die produkthaftungsrechtliche Ausschlussfrist und die DSGVO-Meldefrist – laufen unabhängig davon, ob eine rechtliche Klärung stattgefunden hat.
Die vorstehende Darstellung betrifft die Regelfälle der Produkthaftung in der Software- und IT-Branche. Ihr konkretes Unternehmens- und Vertragsumfeld erfordert eine individuelle Prüfung Ihrer Unterlagen, Ihrer AGB und der geltenden Branchenstandards. Für eine erste Durchsicht Ihrer Unterlagen – insbesondere Ihrer Software-Verträge, AGB und internen Dokumentationspraxis – erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zur Produkthaftung in der Software- und IT-Branche
Gilt das Produkthaftungsgesetz auch für Software, die nur online bereitgestellt wird?
Nach dem bislang geltenden deutschen ProdHaftG ist die Anwendung auf rein digital ausgelieferte Software noch nicht abschließend geregelt. Die neue EU-Produkthaftungsrichtlinie (2024) erweitert den Produktbegriff ausdrücklich auf digitale Produkte und Software ohne physischen Träger. Nach der Umsetzung in deutsches Recht – die zeitnah erwartet wird – wird diese Frage gesetzlich beantwortet. Bis dahin greifen für Cloud- und SaaS-Anbieter die allgemeinen deliktischen Verkehrssicherungspflichten nach § 823 BGB.
Kann ein Softwareunternehmen seine Haftung durch AGB vollständig ausschließen?
Nein. Ein vollständiger Haftungsausschluss ist nach deutschem AGB-Recht auch im B2B-Bereich nicht möglich. Ausgeschlossen werden kann insbesondere nicht: die Haftung für Vorsatz und grobe Fahrlässigkeit sowie für die Verletzung von Leben, Körper oder Gesundheit. Zulässig sind hingegen betragsmäßige Haftungsobergrenzen und der Ausschluss mittelbarer Schäden und entgangenen Gewinns – wenn die Klauseln klar formuliert und wirksam einbezogen sind.
Wie lange können Produkthaftungsansprüche gegen ein IT-Unternehmen geltend gemacht werden?
Nach dem ProdHaftG beträgt die Verjährungsfrist drei Jahre ab Kenntnis des Schadens und des Herstellers (§ 12 ProdHaftG). Daneben gilt eine absolute Ausschlussfrist von zehn Jahren ab dem Inverkehrbringen des Produkts – nach Ablauf dieser Frist sind Ansprüche nach ProdHaftG grundsätzlich ausgeschlossen. Kaufrechtliche Gewährleistungsansprüche verjähren in der Regel zwei Jahre ab Ablieferung (§ 438 BGB). Deliktische Ansprüche nach § 823 BGB unterliegen der regelmäßigen Verjährung von drei Jahren nach § 195 BGB.
Was passiert, wenn ein Softwarefehler gleichzeitig eine Datenschutzverletzung auslöst?
In diesem Fall laufen mehrere Pflichten parallel: Produktrechtlich besteht die Pflicht zur Behebung des Fehlers und zur Benachrichtigung betroffener Kunden. Datenschutzrechtlich ist die zuständige Datenschutzaufsichtsbehörde binnen 72 Stunden nach Kenntnis zu informieren (Art. 33 DSGVO). Betroffene Personen müssen unverzüglich benachrichtigt werden, wenn ein hohes Risiko für deren Rechte und Freiheiten besteht (Art. 34 DSGVO). Bußgelder nach DSGVO können bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes betragen. Eine koordinierte Reaktion, die beide Pflichtenkreise abdeckt, ist daher entscheidend.
Haftet der Geschäftsführer persönlich für Produkthaftungsansprüche gegen die GmbH?
Grundsätzlich haftet die GmbH als juristische Person. Der Geschäftsführer haftet der Gesellschaft gegenüber nach § 43 GmbHG, wenn er Sorgfaltspflichten verletzt hat – etwa durch unzureichende Qualitätskontrolle oder die Freigabe eines erkannt mangelhaften Produkts. Gegenüber Dritten besteht eine persönliche Haftung aus § 823 BGB, wenn der Geschäftsführer unmittelbar an der haftungsbegründenden Entscheidung beteiligt war. In der Praxis ist die persönliche Haftungsgefahr real und sollte durch D&O-Versicherung und klare Dokumentation der internen Entscheidungsprozesse begrenzt werden.
Welche Anforderungen stellt der EU Cyber Resilience Act an mittelständische IT-Unternehmen?
Der Cyber Resilience Act (CRA) verpflichtet Hersteller von Produkten mit digitalen Elementen – also Software, Hardware mit integrierter Software und IoT-Geräte – zu Mindestanforderungen an Cybersicherheit, zu einem systematischen Schwachstellenmanagement und zur Meldung aktiv ausgenutzter Schwachstellen. Die genauen Übergangsfristen und Anwendungsmodalitäten sind je nach Produktkategorie zu prüfen. Für mittelständische IT-Unternehmen bedeutet das einen strukturellen Anpassungsbedarf in Entwicklungsprozessen, Dokumentation und Kundenkommunikation – verbunden mit einer haftungsrechtlichen Relevanz bei Nichteinhaltung.
Die vorstehende Darstellung betrifft die typischen Haftungskonstellationen in der Software- und IT-Branche. Ihr konkreter Fall erfordert die Prüfung Ihrer Vertragsunterlagen, Ihrer Versicherungsdeckung und der einschlägigen Rechtsprechung. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.