Ein Softwarefehler legt die Produktionssteuerung eines Maschinenbauers lahm. Drei Tage Stillstand, Folgeschäden in sechsstelliger Höhe, ein Geschäftsführer, der sich fragt: Haftet unser Unternehmen dafür – und in welchem Umfang? Die Frage nach der Produkthaftung und den Herstellerpflichten stellt sich in der Software- und IT-Branche mit besonderer Dringlichkeit, seit digitale Produkte zunehmend in sicherheitsrelevante Infrastruktur eingebettet sind.
Das Produkthaftungsgesetz (ProdHaftG) und die allgemeinen Gewährleistungsvorschriften des BGB bilden den Rechtsrahmen, innerhalb dessen Softwarehersteller, Systemintegratoren und IT-Dienstleister für Produktfehler und deren Folgen einzustehen haben. Seit der europäischen Produkthaftungsrichtlinie-Reform und dem zunehmenden Einsatz KI-gestützter Softwarekomponenten verschärft sich dieser Rahmen spürbar. Geschäftsführer mittelständischer IT-Unternehmen sollten die einschlägigen Pflichten kennen – und die persönlichen Haftungsrisiken nicht unterschätzen.
Dieses FAQ-Dossier beantwortet die in der Mandatspraxis am häufigsten gestellten Fragen zur Produkthaftung in der Software- und IT-Branche, ordnet den rechtlichen Rahmen ein und gibt Geschäftsführern eine praxisnahe Orientierung.
Gilt das Produkthaftungsgesetz für Software?
Die Einordnung von Software als „Produkt" im Sinne des ProdHaftG ist eine der meistdiskutierten Fragen im deutschen IT-Recht. Das Gesetz erfasst nach seinem Wortlaut „bewegliche Sachen", und die Frage, ob eine Softwareanwendung – insbesondere, wenn sie als Download bereitgestellt wird – in diesen Begriff fällt, hat Gerichte und Kommentatoren jahrelang beschäftigt.
Die heute in der Praxis vorherrschende Sichtweise, die auch von der Rechtsprechung zunehmend bestätigt wird, differenziert: Software auf körperlichem Datenträger gilt eindeutig als Produkt im Sinne des ProdHaftG. Bei rein digital bereitgestellter Software – etwa als SaaS-Lösung oder Cloud-Service – ist die Einordnung komplexer. Die überarbeitete EU-Produkthaftungsrichtlinie von 2024 hat diese Unsicherheit weitgehend beseitigt, indem sie Software und digitale Dateien ausdrücklich als Produkte einschließt; die Umsetzung in deutsches Recht steht zum Zeitpunkt der Erstellung dieses Beitrags unmittelbar bevor.
Für die Mandatspraxis bedeutet das: Ein mittelständischer Softwarehersteller, der sein Produkt in eingebetteter Form (etwa als Firmware für Industriesteuerungen) oder als lizenzierte Anwendung vertreibt, kann sich nicht pauschal auf den Standpunkt zurückziehen, Software sei kein Produkt. Nach unserer Erfahrung sind es gerade diese Grenzfälle, bei denen die vertragliche Haftungsgestaltung – durch präzise AGB, Lizenzverträge und Service-Level-Agreements – entscheidend wird. Wer hier nachlässig ist, setzt sich einem erheblichen Haftungsrisiko aus.
Unabhängig von der ProdHaftG-Qualifikation greifen stets die BGB-Gewährleistungsvorschriften (§§ 434 ff. BGB bei Kaufverträgen, §§ 633 ff. BGB bei Werkverträgen). Die Einordnung des Softwareüberlassungsvertrags – Kauf, Miete oder Werkvertrag – ist dabei selbst schon Gegenstand anwaltlicher Prüfung.
Was ist ein „Produktfehler" bei Software und IT-Produkten?
Ein Produktfehler im Sinne des ProdHaftG liegt vor, wenn ein Produkt nicht die Sicherheit bietet, die man berechtigterweise erwarten kann. Dieser Maßstab – die berechtigte Erwartung – ist im IT-Kontext besonders auslegungsbedürftig.
Bei Softwareprodukten kommen drei Fehlerkategorien in Betracht: der Konstruktionsfehler (die Software ist grundlegend fehlerhaft konzipiert, etwa weil ein sicherheitsrelevanter Algorithmus systematisch falsche Ergebnisse liefert), der Fabrikationsfehler (ein Fehler schleicht sich im Entwicklungs- oder Deployment-Prozess ein, der bei korrekt entwickelter Serienversion nicht aufgetreten wäre) und der Instruktionsfehler (die Dokumentation, Warnhinweise oder Bedienungsanleitungen sind unvollständig oder irreführend, sodass Nutzer das Produkt unsicher einsetzen).
In der IT-Praxis ist der Instruktionsfehler besonders relevant: Wer eine komplexe Sicherheitssoftware ohne ausreichende Hinweise auf Einschränkungen und Konfigurationsvoraussetzungen in den Verkehr bringt, läuft Gefahr, schon auf dieser Ebene zu haften. In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Softwareunternehmen aus der industriellen Automatisierungsbranche, dessen Produkt im Feld Fehlfunktionen an einer Fertigungsanlage verursachte. Die Ausgangslage: Die Software arbeitete nach Spezifikation, jedoch hatte die Dokumentation einen kritischen Hinweis zu Betriebstemperaturgrenzen der Zielhardware nicht ausreichend hervorgehoben. Vorgehen: Analyse der Dokumentationslage, Prüfung der vertraglichen Haftungsklauseln, Korrespondenz mit dem Anspruchsteller. Ergebnis: Eine klare vertragliche Haftungsdeckelung im Lizenzvertrag begrenzte den Schaden auf einen für das Unternehmen wirtschaftlich tragbaren Bereich – eine gerichtliche Auseinandersetzung wurde abgewendet.
Kein Produktfehler liegt dagegen vor, wenn zum Zeitpunkt des Inverkehrbringens der Fehler nach dem Stand von Wissenschaft und Technik nicht erkennbar war – das sogenannte Entwicklungsrisiko, § 1 Abs. 2 Nr. 5 ProdHaftG. Dieser Einwand hat im IT-Recht praktische Bedeutung, ist aber eng auszulegen: Wer bekannte Schwachstellen nicht behebt oder verfügbare Sicherheitsstandards ignoriert, kann sich darauf nicht berufen.
Welche Herstellerpflichten treffen IT-Unternehmen konkret?
Die Herstellerpflichten im IT-Bereich gehen weit über den reinen Fehlerfreiheitsanspruch hinaus. Sie beginnen vor der Markteinführung und enden – das ist vielen Geschäftsführern nicht bewusst – nicht mit dem Verkauf.
Vor dem Inverkehrbringen trifft den Hersteller eine Produktsicherheitspflicht: Das Produkt muss dem Stand der Technik entsprechen und bekannte Sicherheitslücken müssen beseitigt sein. Im IT-Sektor konkretisieren die Anforderungen des Produktsicherheitsgesetzes (ProdSG), der europäischen Radio Equipment Directive (RED) für vernetzte Geräte sowie – ab Herbst 2024 mit Übergangsfrist – der europäischen Cyber Resilience Act (CRA)-Verordnung diesen Maßstab erheblich. Der CRA wird für nahezu alle Produkte mit digitalen Elementen, die auf dem EU-Markt vertrieben werden, verbindliche Cybersicherheitsanforderungen einführen.
Während der Produktlebensdauer bestehen Beobachtungs- und Reaktionspflichten: Der Hersteller muss sein Produkt im Markt beobachten, Sicherheitsvorfälle auswerten und – soweit zumutbar – Sicherheitsupdates bereitstellen. Dies gilt jedenfalls für den vertraglich vereinbarten Supportzeitraum, nach dem CRA künftig aber auch darüber hinaus für einen produkttypischen Mindestzeitraum.
Im Schadensfall trifft den Hersteller eine Rückruf- und Warnpflicht: Erlangt er Kenntnis von einem ernsthaften Sicherheitsrisiko, muss er die Abnehmer warnen und – bei schwerwiegenden Risiken – aktive Rückrufmaßnahmen einleiten. Für Geschäftsführer ist dieser Punkt besonders sensibel: Wer eine bekannte Sicherheitslücke verwaltet, ohne die Abnehmer zu informieren, kann persönlich haften.
Wie weit reichen diese Pflichten bei einem SaaS-Anbieter? Bei Cloud-Diensten ist der Anbieter typischerweise Werkdienstleister – er schuldet eine funktionierende, sichere Plattform. Sicherheitspflichten bestehen dort fort, solange der Dienst betrieben wird. In der Mandatspraxis sehen wir regelmäßig, dass SaaS-Anbieter in ihren AGB Haftungsklauseln einsetzen, die diese Dauerobligationen nicht adäquat abbilden.
Wie funktioniert die Haftung nach dem ProdHaftG?
Das ProdHaftG begründet eine verschuldensunabhängige Haftung des Herstellers – das ist der entscheidende Unterschied zur vertragsrechtlichen Gewährleistung. Der Geschädigte muss nicht nachweisen, dass der Hersteller fahrlässig oder vorsätzlich gehandelt hat; er muss nur den Fehler, den Schaden und den ursächlichen Zusammenhang belegen.
Ersatzfähig sind nach dem ProdHaftG Personenschäden sowie Sachschäden an anderen Sachen als dem fehlerhaften Produkt selbst – reine Vermögensschäden (etwa entgangener Gewinn oder Produktionsausfallkosten) sind grundsätzlich nicht vom ProdHaftG erfasst. Diese Einschränkung ist im B2B-IT-Bereich besonders relevant: Wenn eine fehlerhafte ERP-Software zu Produktionsausfällen führt, ist der daraus resultierende Umsatzverlust als reiner Vermögensschaden nicht über das ProdHaftG erstattungsfähig. Für solche Ansprüche bleibt der Geschädigte auf das Vertragsrecht oder das allgemeine Deliktsrecht (§ 823 BGB) verwiesen.
Die Haftungsobergrenze im ProdHaftG für Serienschäden bei gleichartigen Produkten mit gleichem Fehler liegt bei einem bestimmten Betrag nach der gesetzlichen Regelung; die genauen Grenzen sind im Einzelfall anwaltlich zu prüfen. Haftungsausschlüsse gegenüber Verbrauchern sind nicht zulässig; gegenüber Unternehmern können sie im Rahmen der §§ 305 ff. BGB vereinbart werden.
Die Verjährungsfrist für Ansprüche nach dem ProdHaftG beträgt – abweichend von der allgemeinen Regelverjährung nach § 195 BGB von drei Jahren – ebenfalls drei Jahre, beginnt jedoch mit Kenntnis von Schaden, Fehler und Hersteller. Es gilt daneben eine absolute Ausschlussfrist von zehn Jahren ab dem Inverkehrbringen des konkreten Produkts. Die regelmäßige Verjährung nach BGB beträgt nach § 195 BGB drei Jahre, beginnend mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Gläubiger Kenntnis erlangt hat.
Was bedeutet Produkthaftung für die persönliche Haftung des Geschäftsführers?
Diese Frage stellt sich in der Beratung von Geschäftsführern mittelständischer IT-Unternehmen mit besonderer Schärfe. Die Produkthaftung nach dem ProdHaftG trifft primär das Unternehmen als juristische Person. Für den Geschäftsführer besteht aber ein eigenständiges Haftungsrisiko auf mehreren Ebenen.
Im Innenverhältnis zur Gesellschaft kann der Geschäftsführer nach § 43 GmbHG gegenüber der Gesellschaft haften, wenn er Herstellerpflichten verletzt hat – etwa wenn er trotz Kenntnis von einer kritischen Sicherheitslücke keine Abhilfemaßnahmen veranlasst hat und dem Unternehmen dadurch ein Schaden entstanden ist (Rückgriff nach Schadensersatzzahlung des Unternehmens an Dritte).
Im Außenverhältnis kann der Geschäftsführer deliktisch nach § 823 BGB haften, wenn er persönlich an einer Schutzgesetzverletzung beteiligt war. Schutzgesetze im IT-Kontext können etwa Vorschriften des Produktsicherheitsgesetzes sein. Wer als Geschäftsführer aktiv entschieden hat, ein Produkt mit bekannter Sicherheitslücke in den Markt zu bringen, läuft Gefahr, hier in den persönlichen Haftungsbereich zu geraten.
Nach unserer Erfahrung unterschätzen Geschäftsführer von Softwareunternehmen systematisch das Risiko, dass Entscheidungen über Produktfreigaben, Update-Zyklen und Sicherheitsbudgets langfristig persönliche Haftungsfolgen haben können. Eine klare interne Dokumentation von Sicherheitsentscheidungen – wer wann was entschieden hat und auf welcher Grundlage – ist daher nicht nur ein Compliance-Gebot, sondern auch persönliche Risikovorsorge.
Wie schützt man sich durch Vertragsgestaltung?
Vertragliche Haftungsklauseln sind das wichtigste Instrument, mit dem IT-Unternehmen ihre Haftungsexposition steuern können. Dabei gelten aber enge Grenzen.
Im B2B-Bereich (Vertragspartner ist ein Unternehmen) können Haftungsbeschränkungen in den Grenzen der §§ 305 ff. BGB vereinbart werden. Zulässig sind insbesondere: Haftungsobergrenzen, die den Haftungsbetrag auf einen Vielfachen des Auftragswerts oder der Versicherungssumme begrenzen; der Ausschluss von Folgeschäden und Schadensersatz für entgangenen Gewinn (§ 309 Nr. 7 BGB gilt nicht im B2B-Verhältnis unmittelbar, wird aber über § 307 BGB eingeschränkt); und die Definition des Leistungsumfangs durch präzise Spezifikationen, die den Sollzustand festlegen.
Unzulässig sind dagegen Klauseln, die Haftung für Vorsatz und grobe Fahrlässigkeit ausschließen (§ 309 Nr. 7 lit. a und b BGB, auch im B2B via § 307 BGB), sowie vollständige Haftungsausschlüsse für die Verletzung wesentlicher Vertragspflichten (sogenannte Kardinalpflichten). Die kaufmännische Rügepflicht nach § 377 HGB bietet im Handelskauf einen weiteren Schutz: Wer Mängel nicht unverzüglich rügt, verliert seine Gewährleistungsansprüche. Diese Rügepflicht gilt unverzüglich nach Ablieferung und sollte in Einkaufsprozessen systematisch beachtet werden.
Ebenso wichtig sind Produkthaftpflichtversicherungen. In der Mandatspraxis sehen wir regelmäßig Unternehmen, deren Policen den IT-Bereich nicht oder nur unzureichend abdecken – weil Software ursprünglich als Nebenprodukt oder Ergänzung zu Hardware behandelt wurde, die Deckungssummen aber nicht mit dem tatsächlichen Schadensrisiko gewachsen sind.
Welche Rolle spielt die EU-Produkthaftungsreform für die IT-Branche?
Die überarbeitete EU-Produkthaftungsrichtlinie (2024/2853), die bis Ende 2026 in nationales Recht umzusetzen ist, bringt für die IT-Branche erhebliche Änderungen. Sie ist im Zusammenhang mit dem bereits verabschiedeten Cyber Resilience Act (CRA) und dem AI Act zu sehen.
Die wesentlichen Neuerungen für Softwarehersteller und IT-Unternehmen: Software und digitale Dateien werden ausdrücklich als Produkte erfasst, unabhängig vom Vertriebsweg. Die Haftung wird auf reine Vermögensschäden ausgedehnt – ein Paradigmenwechsel gegenüber dem bisherigen deutschen ProdHaftG. Darüber hinaus werden Beweislasterleichterungen für Geschädigte eingeführt: Kann ein Geschädigter glaubhaft machen, dass ein Produktfehler als Ursache wahrscheinlich ist, obliegt es dem Hersteller zu beweisen, dass kein Fehler vorliegt.
Für mittelständische Softwareunternehmen bedeutet das: Das bisherige Argument, reine Vermögensschäden seien über das ProdHaftG nicht erstattungsfähig, wird nach der Richtlinienumsetzung nicht mehr tragen. Wer heute Lizenz- und Serviceverträge abschließt, sollte bereits die neue Risikolage einkalkulieren – und Haftungsklauseln entsprechend anpassen lassen. Wie die Richtlinie im Einzelnen in deutsches Recht umgesetzt wird, ist zum Zeitpunkt der Erstellung dieses Beitrags noch nicht abschließend geklärt; die Prüfung durch einen Berufsträger vor Vertragsabschluss ist daher besonders ratsam.
Was gilt für Open-Source-Komponenten und Zulieferer?
Die meiste kommerzielle Software enthält Open-Source-Komponenten. Wer als Hersteller ein Endprodukt in den Verkehr bringt, das auf Open-Source-Bibliotheken aufbaut, haftet gegenüber dem Endnutzer als Hersteller – unabhängig davon, ob die fehlerhafte Komponente aus einer Drittquelle stammt.
Das ProdHaftG enthält in § 5 eine Haftungsregelung für Zulieferer: Können Hersteller und Zulieferer für denselben Schaden haften, haften sie als Gesamtschuldner. Im Innenverhältnis hat der Hersteller einen Regressanspruch gegen den Zulieferer. Bei Open-Source-Komponenten gestaltet sich dieser Regress praktisch schwierig – ein weiterer Grund, warum die vertragliche Absicherung im Entwicklungsprozess entscheidend ist.
Die Software Bill of Materials (SBOM) – ein vollständiges Verzeichnis aller im Produkt verwendeten Softwarekomponenten – wird durch den Cyber Resilience Act für viele Produktkategorien zur Pflicht. Unternehmen, die heute noch keine SBOM-Prozesse eingeführt haben, tun gut daran, dies nachzuholen. Nicht nur aus Compliance-Gründen: Eine sorgfältig gepflegte SBOM ist im Haftungsfall auch das entscheidende Dokument, um den Ursprung eines Fehlers nachzuvollziehen und Regressansprüche geltend zu machen.
Welche internen Strukturen ein mittelständisches IT-Unternehmen aufbauen muss, um diese Anforderungen zu erfüllen – das ist eine Frage, die wir in der Beratung regelmäßig gemeinsam mit Geschäftsführern und Entwicklungsleitern erarbeiten.
Häufig gestellte Fragen zur Produkthaftung in der Software- und IT-Branche
Was versteht man unter Produkthaftung und Herstellerpflichten im IT-Kontext?
Produkthaftung bezeichnet die gesetzliche Pflicht von Herstellern, für Schäden einzustehen, die durch fehlerhafte Produkte entstehen. Das Produkthaftungsgesetz (ProdHaftG) begründet eine verschuldensunabhängige Haftung. Im IT-Kontext umfasst das die Haftung für fehlerhafte Software, unsichere vernetzte Geräte und mangelhafte digitale Dienstleistungen. Herstellerpflichten reichen von der Produktsicherheit vor dem Marktstart über die Beobachtungspflicht im Betrieb bis hin zur Warn- und Rückrufpflicht bei bekannt gewordenen Sicherheitsrisiken.
Gilt das ProdHaftG für Software als reinen Download?
Nach dem bisherigen deutschen ProdHaftG ist die Einordnung von rein digital vertriebener Software als „Produkt" umstritten. Die überarbeitete EU-Produkthaftungsrichtlinie (2024/2853), die bis Ende 2026 umzusetzen ist, erfasst Software und digitale Dateien ausdrücklich – unabhängig vom Vertriebsweg. Bereits heute greift für digitale Inhalte das BGB, und es gilt die allgemeine deliktsrechtliche Haftung nach § 823 BGB. Hersteller von Download-Software sollten ihr Haftungsrisiko daher nicht auf der Grundlage des alten Rechtsrahmens kalkulieren.
Haftet ein SaaS-Anbieter nach dem ProdHaftG?
SaaS-Dienste werden typischerweise als Werkdienstleistung eingeordnet, nicht als Produktlieferung. Das ProdHaftG greift hier nach bisherigem deutschen Recht in der Regel nicht direkt. Die neue EU-Produkthaftungsrichtlinie schließt jedoch auch Software als Dienstleistung in ihren Anwendungsbereich ein. Daneben bestehen vertragliche Gewährleistungs- und Haftungsansprüche sowie deliktische Ansprüche nach § 823 BGB. Die Haftungsgestaltung durch Service-Level-Agreements und AGB ist für SaaS-Anbieter daher besonders wichtig.
Was ist ein Instruktionsfehler bei Software?
Ein Instruktionsfehler liegt vor, wenn die Dokumentation, Handbücher oder Warnhinweise zu einem Softwareprodukt unvollständig oder irreführend sind und ein Nutzer das Produkt deshalb unsicher verwendet. Softwarehersteller müssen nicht nur funktionierende, sondern auch ausreichend dokumentierte Produkte in den Verkehr bringen. Fehlende Hinweise auf Konfigurationsvoraussetzungen, Sicherheitseinschränkungen oder bekannte Fehler können einen Instruktionsfehler begründen – und damit die Haftung des Herstellers auslösen.
Welche Schäden ersetzt das ProdHaftG?
Das ProdHaftG ersetzt Personenschäden und Sachschäden an anderen Sachen als dem fehlerhaften Produkt selbst. Reine Vermögensschäden – wie Produktionsausfälle, entgangener Gewinn oder Vertragsstrafen gegenüber Dritten – sind nach dem bisherigen deutschen ProdHaftG nicht erfasst. Die neue EU-Produkthaftungsrichtlinie wird diese Beschränkung aufheben und reine Vermögensschäden einbeziehen. Für reine Vermögensschäden greifen nach geltendem Recht das Vertragsrecht und § 826 BGB.
Wie lange kann ein Hersteller nach dem ProdHaftG in Anspruch genommen werden?
Ansprüche nach dem ProdHaftG verjähren in drei Jahren ab Kenntnis von Schaden, Fehler und Hersteller. Daneben gilt eine absolute Ausschlussfrist von zehn Jahren ab dem Inverkehrbringen des konkreten Produkts. Nach Ablauf dieser zehn Jahre erlöschen alle ProdHaftG-Ansprüche, unabhängig von der Kenntnis des Geschädigten. Vertragliche Ansprüche unterliegen eigenen Verjährungsfristen; die allgemeine Regelverjährung nach § 195 BGB beträgt drei Jahre ab Schluss des Jahres der Kenntnis.
Kann ein IT-Unternehmen die Haftung durch AGB vollständig ausschließen?
Nein. Haftungsausschlüsse in AGB sind nur eingeschränkt zulässig. Unzulässig sind stets: Ausschlüsse für Vorsatz und grobe Fahrlässigkeit sowie die Einschränkung der Haftung für Schäden aus der Verletzung wesentlicher Vertragspflichten auf null. Im B2B-Bereich können Haftungsobergrenzen und der Ausschluss von Folgeschäden zulässig vereinbart werden, sofern sie den Vertragspartner nicht unangemessen benachteiligen. Die Wirksamkeit solcher Klauseln hängt von der konkreten Ausgestaltung und dem Einzelfall ab; anwaltliche Prüfung ist unbedingt empfohlen.
Was bedeutet der Cyber Resilience Act für Softwarehersteller?
Der Cyber Resilience Act (CRA) der EU verpflichtet Hersteller von Produkten mit digitalen Elementen, grundlegende Cybersicherheitsanforderungen einzuhalten – von der Entwicklung über den Betrieb bis zum End-of-Life. Dazu gehören Schwachstellenmanagement, Security-by-Design, die Bereitstellung von Sicherheitsupdates über einen angemessenen Zeitraum und die Pflicht zur Software Bill of Materials (SBOM). Bei schwerwiegenden Cybersicherheitsvorfällen besteht eine Meldepflicht. Der CRA gilt ab Herbst 2027, mit Übergangszeiträumen; die Anforderungen sollten schon heute in die Produktentwicklung integriert werden.
Wann haftet der Geschäftsführer persönlich für Produkthaftungsfälle?
Die Produkthaftung nach dem ProdHaftG trifft primär das Unternehmen. Eine persönliche Haftung des Geschäftsführers kommt vor allem nach § 43 GmbHG im Innenverhältnis in Betracht, wenn er Herstellerpflichten pflichtwidrig verletzt hat. Im Außenverhältnis kann eine deliktische Haftung nach § 823 BGB drohen, wenn der Geschäftsführer persönlich an einer Schutzgesetzverletzung beteiligt war. Wer eine bekannte Sicherheitslücke ignoriert und das Produkt dennoch vertreibt, setzt sich erheblichen persönlichen Risiken aus.
Wie wirkt sich die Rügepflicht nach § 377 HGB im IT-Einkauf aus?
Die kaufmännische Rügepflicht nach § 377 HGB verpflichtet Kaufleute, Mängel einer gelieferten Ware unverzüglich nach Ablieferung und Prüfung zu rügen. Wer dies versäumt, verliert seine Gewährleistungsansprüche. Im IT-Einkauf gilt das bei der Lieferung von Software auf körperlichem Datenträger oder eingebetteter Software in Hardware. Bei Dienstverträgen und SaaS-Modellen gilt § 377 HGB nicht direkt; hier sind vertragliche Abnahmeprozesse entscheidend. Unternehmen sollten interne Prozesse zur rechtzeitigen Mängelrüge etablieren.
Was ist bei Open-Source-Komponenten in kommerziellen Softwareprodukten zu beachten?
Der Hersteller eines Endprodukts haftet gegenüber dem Abnehmer für das Gesamtprodukt – einschließlich der darin enthaltenen Open-Source-Komponenten. Auf die Herkunft einer fehlerhaften Komponente kann er sich gegenüber dem Geschädigten nicht berufen. Ein Regressanspruch gegen den Entwickler der Open-Source-Komponente ist praktisch meist nicht durchsetzbar. Umso wichtiger ist ein aktives Schwachstellenmanagement: bekannte Sicherheitslücken in verwendeten Open-Source-Bibliotheken (CVEs) müssen beobachtet und zeitnah behoben werden.
Welche Versicherungen sind für IT-Unternehmen bei Produkthaftungsrisiken relevant?
IT-Unternehmen sollten eine Produkthaftpflichtversicherung prüfen, die explizit Softwareprodukte und digitale Dienstleistungen einschließt. Daneben ist eine IT-Haftpflichtversicherung (auch: Tech-E&O-Versicherung) relevant, die Vermögensschäden aus der IT-Dienstleistung abdeckt – da das ProdHaftG reine Vermögensschäden bisher ausschließt, aber vertragliche und deliktische Ansprüche auf solche Schäden zielen können. Cyber-Versicherungen sind ein weiterer Baustein. Bestehende Policen sollten regelmäßig auf Aktualität und tatsächliche Deckung überprüft werden.
Verwandte Leistungen
Die vorstehende Darstellung betrifft die typischen Regelfälle der Produkthaftung und Herstellerpflichten in der Software- und IT-Branche. Ihr konkreter Fall erfordert die Prüfung Ihrer Vertragsunterlagen, der einschlägigen Fristen und der aktuellen Rechtsprechung in Ihrem spezifischen Sachverhalt.
Für eine fachliche Einschätzung Ihrer Produkthaftungs- und Vertragssituation schreiben Sie an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.