Produkthaftung für Software ab Dezember 2026

Das österreichische Produkthaftungsgesetz kennt als Produkt nur die bewegliche körperliche Sache (§ 4 PHG). Wer Software entwickelt, haftet dafür bisher nicht verschuldensunabhängig, solange sie nicht Teil einer Sache ist. Das ändert die Richtlinie (EU) 2024/2853: Sie ersetzt die Richtlinie 85/374/EWG, auf der das PHG beruht, und gilt für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden (Art 2 Abs 1). Für ältere Produkte bleibt das bisherige Recht anwendbar (Art 21).

Software ist ein Produkt

Als Produkt gilt künftig ausdrücklich auch Software (Art 4 Nr 1) – gleich, ob sie auf einem Gerät gespeichert, heruntergeladen oder als Cloud-Dienst bereitgestellt wird; auch KI-Systeme fallen darunter. Reine Informationen wie Mediendateien oder der bloße Quellcode sind nicht erfasst. Digitale Dienste, ohne die ein Produkt eine Funktion nicht ausführen kann, gelten als Komponente dieses Produkts (Art 4 Nr 3 und 4). Ausgenommen ist freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird (Art 2 Abs 2). Wer sie in ein eigenes Produkt einbaut, haftet für sie wie für jede andere Komponente (Art 8 Abs 1).

Fehler, Updates und Cybersicherheit

Fehlerhaft ist ein Produkt, wenn es nicht die Sicherheit bietet, die eine Person erwarten darf oder die rechtlich vorgeschrieben ist (Art 7 Abs 1). Zu berücksichtigen sind unter anderem die Fähigkeit des Produkts, nach dem Inverkehrbringen weiter zu lernen, das vorhersehbare Zusammenwirken mit anderen Produkten und sicherheitsrelevante Cybersicherheitsanforderungen (Art 7 Abs 2 lit c, d und f). Dass später ein besseres Produkt oder ein Update erscheint, macht das ältere für sich nicht fehlerhaft (Art 7 Abs 3).

Die eigentliche Neuerung ist die Kontrolle des Herstellers (Art 4 Nr 5): Wer Software-Updates oder -Upgrades bereitstellen oder durch Dritte bereitstellen lassen kann, behält die Kontrolle über das Produkt auch nach dem Verkauf. Der Einwand, der Fehler habe beim Inverkehrbringen noch nicht bestanden, bleibt zwar (Art 11 Abs 1 lit c). Er greift aber nicht, wenn der Fehler auf Software einschließlich Updates, auf einem verbundenen Dienst, auf einer wesentlichen Änderung oder auf dem Fehlen sicherheitsnotwendiger Updates beruht und dies der Kontrolle des Herstellers unterliegt (Art 11 Abs 2).

Wer haftet

Haftbar sind der Hersteller des Produkts und der Hersteller einer fehlerhaften Komponente, beide gesamtschuldnerisch (Art 8 Abs 1, Art 12 Abs 1). Als Hersteller gilt auch, wer ein Produkt unter eigenem Namen oder eigener Marke auftreten lässt (Art 4 Nr 10). Sitzt der Hersteller außerhalb der Union, haften Importeur und Bevollmächtigter, ersatzweise der Fulfilment-Dienstleister (Art 8 Abs 1 lit c). Wer ein Produkt außerhalb der Kontrolle des Herstellers wesentlich verändert und danach bereitstellt, gilt selbst als Hersteller (Art 8 Abs 2). Lieferanten und Online-Plattformen haften, wenn sie dem Geschädigten nicht binnen eines Monats einen Haftenden in der Union benennen (Art 8 Abs 3 und 4).

Was sich für Geschädigte ändert

Ersatzfähig sind Tod und Körperverletzung einschließlich medizinisch anerkannter psychischer Beeinträchtigungen, Schäden an privat genutzten Sachen und neu die Vernichtung oder Beschädigung privat genutzter Daten (Art 6 Abs 1). Anspruchsberechtigt sind nur natürliche Personen (Art 5); beruflich genutzte Sachen bleiben wie bisher außen vor. Der Selbstbehalt von 500 Euro bei Sachschäden (§ 2 PHG) hat in der Richtlinie keine Grundlage mehr. Gegenüber dem Geschädigten lässt sich die Haftung weder vertraglich noch durch Höchstbeträge beschränken (Art 15).

Verfahrensrechtlich wird es für Hersteller schwerer. Wer einen Anspruch plausibel macht, kann vom Beklagten die Offenlegung relevanter Beweismittel verlangen; Geschäftsgeheimnisse sind dabei zu schützen (Art 9). Die Fehlerhaftigkeit wird vermutet, wenn der Beklagte die Offenlegung unterlässt, das Produkt verbindliche Sicherheitsanforderungen nicht erfüllt oder bei gewöhnlichem Gebrauch offensichtlich versagt hat (Art 10 Abs 2); bei übermäßig schwierigem Beweis genügt die Wahrscheinlichkeit eines Fehlers (Art 10 Abs 4). Alle Vermutungen sind widerlegbar (Art 10 Abs 5). Die Verjährungsfrist beträgt drei Jahre ab Kenntnis von Schaden, Fehler und Haftendem (Art 16). Zehn Jahre nach dem Inverkehrbringen erlischt der Anspruch, bei erst später erkennbaren Körperschäden nach 25 Jahren (Art 17); eine wesentliche Änderung setzt die Frist neu in Gang.

Stand der Umsetzung in Österreich

Umzusetzen ist die Richtlinie bis zum 9. Dezember 2026 (Art 22). Ein österreichischer Entwurf zur Änderung des PHG lag im Oktober 2026 weder beim Parlament noch zur Begutachtung vor. Eine Richtlinie begründet keine Pflichten zwischen Privaten; bis zur Umsetzung bleibt das PHG maßgeblich. Nach Ablauf der Frist haben die Gerichte das nationale Recht richtlinienkonform auszulegen, soweit sein Wortlaut das zulässt – wie weit das bei § 4 PHG reicht, ist offen. Vertragliche Gewährleistung und Schadenersatz nach dem ABGB bleiben daneben bestehen (Art 2 Abs 4 lit b). Die Anforderungen des Cyber Resilience Act (Verordnung (EU) 2024/2847) an Produkte mit digitalen Elementen sind ein eigener Pflichtenkreis; sie werden aber zum Maßstab dafür, ob ein Produkt fehlerhaft ist.

Was jetzt zu tun ist

• Rolle klären: Hersteller, Komponentenhersteller, Eigenmarke, Importeur, Bevollmächtigter, Fulfilment-Dienstleister oder wesentliche Veränderung – jede Rolle hat eigene Haftungsfolgen.
• Update- und Supportzusagen festlegen: Wer Updates liefern kann, behält Kontrolle und Haftung. Der Zeitraum für sicherheitsrelevante Updates gehört in Produktbeschreibung und Vertrag; das Ende der Kontrolle ist zu dokumentieren.
• Verträge mit Zulieferern und Kunden prüfen: Regress, Mitwirkungs- und Informationspflichten. Ein Regressverzicht gegenüber kleinen Softwarelieferanten ist zulässig (Art 12 Abs 2), sollte aber eine bewusste Entscheidung sein.
• Dokumentation und Beweissicherung aufbauen: Risikobewertung, Entwicklungs- und Testunterlagen, Update-Historie. Was nicht offengelegt werden kann, führt zur Fehlervermutung; Geschäftsgeheimnisse sind als solche zu kennzeichnen.
• Versicherung prüfen: ob die Produkthaftpflicht Software, Datenschäden und Cybervorfälle deckt.

Diese Information ist allgemein gehalten und ersetzt keine Beratung im Einzelfall.