Software gilt jetzt als Produkt

Eine leise Frist mit lauten Folgen

Bis zum 9. Dezember 2026 muss jeder EU-Mitgliedstaat die neue Produkthaftungsrichtlinie — Richtlinie (EU) 2024/2853 — in nationales Recht umgesetzt haben. Sie löst ein Regelwerk aus dem Jahr 1985 ab, das für Toaster und Autoteile gedacht war, und ändert einen Punkt, der jeden aufhorchen lassen sollte, der Software ausliefert.

Software ist jetzt ein Produkt.

Nicht nur Software, die in einer Maschine steckt. Software an sich: eigenständige Anwendungen, Firmware, mobile Apps, KI-Systeme, digitale Fertigungsdateien und Software, die als Dienst bereitgestellt wird. Wird sie nach dem 9. Dezember 2026 in der EU in Verkehr gebracht oder in Betrieb genommen, unterliegt sie einer verschuldensunabhängigen Haftung. Der Geschädigte muss Ihnen also keine Fahrlässigkeit nachweisen. Er muss belegen, dass das Produkt fehlerhaft war, dass ihm ein Schaden entstanden ist und dass beides zusammenhängt.

Das ist ein anderes Kaliber als die Compliance-Fristen, die sonst diese Seiten füllen. Cyber Resilience Act, NIS2 und KI-Verordnung sind aufsichtsrechtlich — eine Behörde setzt sie durch. Produkthaftung dagegen ist privatrechtlich. Sie kommt als Klage, von einem Kunden, vor einem nationalen Gericht.

„Wir sind nicht in der EU" beendet die Sache nicht

Monaco ist kein EU-Mitgliedstaat, und EU-Richtlinien gelten im Fürstentum nicht aus eigener Kraft. Dass Monaco zum französischen Mehrwertsteuergebiet gehört, ist eine völlig andere Frage und ändert an dieser Einordnung nichts — eine Unterscheidung, die man sauber halten sollte, weil beides ständig vermischt wird.

Entscheidend ist dasselbe Kriterium wie beim Cyber Resilience Act: wo das Produkt in Verkehr gebracht wird, nicht wo das Unternehmen eingetragen ist.

Die Richtlinie ist so gebaut, dass ein geschädigter Verbraucher in der EU immer jemanden innerhalb der Union in Anspruch nehmen kann. Sitzt der Hersteller außerhalb der EU, wandert die Haftung eine Kaskade hinunter:

• der Einführer, der das Produkt in der Union in Verkehr bringt;
• der Bevollmächtigte des Herstellers in der Union;
• ein Fulfilment-Dienstleister, wenn sich in der EU weder Hersteller noch Einführer noch Bevollmächtigter feststellen lässt;
• ein Händler, der den verantwortlichen Wirtschaftsakteur auf Anfrage nicht binnen eines Monats benennen kann;
• eine Online-Plattform, in den definierten Fällen, in denen sie das Produkt als eigenes darstellt oder den Lieferanten nicht offenlegt.

Für ein Softwareunternehmen in Monaco lautet die praktische Lesart: Die Klage trifft vielleicht nicht Sie direkt, aber sie trifft jemanden, mit dem Sie einen Vertrag haben — und dieser Vertrag reicht sie mit ziemlicher Sicherheit an Sie weiter. Vereinbarungen, die vor dieser Richtlinie geschlossen wurden, verteilen dieses Risiko selten ausdrücklich. Deshalb ist die eigentliche Arbeit hier oft vertraglich, nicht technisch.

Wann Software als „fehlerhaft" gilt

Die Richtlinie nennt Kriterien, die Gerichte abwägen, und mehrere zielen direkt auf digitale Produkte:

• die Wirkung von Updates und Upgrades auf das Produkt, auch solcher, die Sie nach dem Launch liefern;
• das Ausbleiben von Sicherheitsupdates, solange deren Bereitstellung in Ihrer Kontrolle liegt;
• die Nichteinhaltung von Produktsicherheits- oder Cybersicherheitsanforderungen — ein Verstoß gegen den Cyber Resilience Act kann also als Beleg für Fehlerhaftigkeit dienen;
• die Fähigkeit, nach der Inbetriebnahme weiterzulernen, womit der Gesetzgeber maschinelles Lernen erfasst.

Daraus folgt zweierlei. Erstens ist „bei Auslieferung war alles in Ordnung" keine vollständige Antwort mehr: Wenn Sie patchen könnten und es unterlassen, fließt dieses Unterlassen in die Bewertung ein. Zweitens kann jeder, der ein Produkt nach dem Inverkehrbringen wesentlich verändert, für daraus entstehende Fehler wie ein Hersteller behandelt werden. Laufende Website-Wartung und -Support hört damit auf, ein nettes Budgetposten zu sein, und wird Teil Ihrer Haftungslage.

Freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit entwickelt und bereitgestellt wird, ist ausgenommen. Diese Ausnahme ist enger, als sie klingt: Sobald Sie sie monetarisieren oder gegen personenbezogene Daten abgeben, die über Sicherheit und Kompatibilität hinausgehen, kann sie wieder in den Anwendungsbereich fallen.

Was tatsächlich eingeklagt werden kann

Die ersatzfähigen Schadenspositionen wurden erweitert:

• Tod und Körperverletzung, einschließlich medizinisch anerkannter Schäden der psychischen Gesundheit;
• Sachschäden, mit Ausnahme des fehlerhaften Produkts selbst und ausschließlich beruflich genutzter Sachen;
• Vernichtung oder Beschädigung von Daten, die nicht beruflich genutzt werden.

Der dritte Punkt ist neu und betrifft unmittelbar jeden, der Software für Endverbraucher betreibt. Reine Vermögensschäden, Verletzungen der Privatsphäre als solche und Diskriminierung bleiben außerhalb der Richtlinie.

Die alte Selbstbeteiligung von 500 Euro bei Sachschäden entfällt, Haftungshöchstgrenzen gibt es nicht. Auch beim Beweis wird den Geschädigten geholfen: Nationale Gerichte können die Offenlegung relevanter Beweismittel anordnen, und wenn technische oder wissenschaftliche Komplexität den Nachweis übermäßig erschwert, können widerlegbare Vermutungen für Fehlerhaftigkeit oder Kausalität greifen. Ansprüche verjähren in drei Jahren ab Kenntnis, mit einer Höchstfrist von zehn Jahren ab Inverkehrbringen — bei spät auftretenden Personenschäden verlängert auf fünfundzwanzig Jahre.

Wen es in Monaco betrifft — und wen nicht

Die meisten monegassischen Unternehmen sind nicht betroffen. Eine Reservierungsseite für ein Restaurant, eine Unternehmenswebsite, der Auftritt eines Vermögensverwalters: Übliche Webentwicklung wird nicht dadurch zum haftungsbewehrten Produkt, dass sie online steht.

Genauer hinsehen sollten:

• alle, die eine mobile oder Desktop-Anwendung für Nutzer in der EU veröffentlichen;
• alle, die vernetzte Hardware mit begleitender Software verkaufen — in Monaco gut vertreten rund um Yachting, Gebäudetechnik und Zutrittskontrolle;
• alle, die ein Produkt mit KI-Funktionen an EU-Kunden liefern, wenn KI-Automatisierung vom internen Werkzeug zu etwas in Kundenhand geworden ist;
• alle, die physische Waren über den eigenen E-Commerce-Kanal in die EU verkaufen, denn die Richtlinie erfasst auch klassische Produkte.

Vier Dinge vor Dezember

1. Schreiben Sie auf, was Sie in der EU in Verkehr bringen — Produkte, Form, Länder. Für die meisten Firmen in Monaco lautet das Ergebnis „nichts", und genau das gehört dokumentiert.
2. Finden Sie Ihren EU-Wirtschaftsakteur und lesen Sie den Vertrag. Einführer, Bevollmächtigter oder Plattform: Wer trägt das Produktrisiko? Nachverhandeln Sie jetzt, nicht nach einer Klage.
3. Prüfen Sie Ihre Versicherung. Eine Produkthaftpflicht nach dem Regime von 1985 denkt womöglich weder an Software noch an Datenverlust noch an einen Nachlauf von fünfundzwanzig Jahren. Stellen Sie Ihrem Makler die Frage schriftlich.
4. Machen Sie das Patchen zu einer dokumentierten Zusage. Supportzeitraum, Update-Rhythmus, Umgang mit Schwachstellen: definieren und nachweislich einhalten. Das ist Ihr bester Beleg für Fehlerfreiheit — und gehört in Ihre Produktplanung, nicht in ein Betriebsticket.

Eine ehrliche Einschränkung: Es handelt sich um eine Richtlinie, nicht um eine Verordnung. Was Sie konkret bindet, hängt vom Umsetzungsgesetz des jeweiligen Mitgliedstaats ab, und diese werden sich unterscheiden. Monegassisches Recht regelt Ihre eigenen Verträge und seine Haftungsfragen eigenständig. Wo die Antwort Ihre Produkt-Roadmap, Ihre Versicherung oder Ihren Zugang zum europäischen Markt berührt, lassen Sie sie von einer qualifizierten Anwältin oder einem qualifizierten Anwalt prüfen. Nichts davon ist Rechtsberatung.

Wenn Sie in Monaco Software oder vernetzte Produkte entwickeln und an europäische Kunden verkaufen, ist dies das Jahr, in dem Sie Ihre Position klären sollten — bevor es jemand anders für Sie tut. Nehmen Sie Kontakt auf, und wir gehen es gemeinsam durch.