Produkthaftung und Produktsicherheit
Fassung 1.0 · Stand 8. Oktober 2026
Kurz gesagt: Ab dem 9. Dezember 2026 gilt in der EU ein neues Produkthaftungsrecht. Software zählt dann ausdrücklich als Produkt — und damit auch die Programme, die wir für Sie entwickeln und betreiben. Auf dieser Seite legen wir offen, welche Pflichten uns treffen, wie wir sie erfüllen und wo unsere Verantwortung endet. Wir tun das freiwillig: Keine Vorschrift verlangt diese Seite.
1. Warum wir das offenlegen
Wir entwickeln Software für Kunden, richten Plattformen ein und betreiben sie. Genau dieser Bereich wird vom neuen EU-Produkthaftungsrecht erfasst. Wir halten es für richtig, dass Sie wissen, was das für Sie bedeutet — nicht erst dann, wenn etwas passiert ist.
Diese Seite ist keine Rechtsberatung und ersetzt keine Beratung im Einzelfall. Sie beschreibt, wie wir die Rechtslage verstehen und was wir daraus tun.
2. Was sich am 9. Dezember 2026 ändert
Grundlage ist die Richtlinie (EU) 2024/2853 über die Haftung für fehlerhafte Produkte. Die Mitgliedstaaten müssen sie bis 9. Dezember 2026 umsetzen. Sie gilt für Produkte, die nach diesem Tag in Verkehr gebracht werden.
| Thema | Ab 9. Dezember 2026 |
|---|---|
| Software | ist ausdrücklich ein Produkt — auch als eigenständige Anwendung und als Teil eines Systems. Das gilt ebenso für KI-Systeme |
| Haftung | verschuldensunabhängig: Es kommt nicht darauf an, ob uns ein Vorwurf trifft |
| Dienstleistungen | sind nicht erfasst. Anders liegt es bei verbundenen digitalen Diensten, ohne die ein Produkt eine Funktion nicht ausführen könnte |
| Sicherheit | Ein Produkt kann fehlerhaft sein, weil es Sicherheitslücken aufweist oder Sicherheitsanforderungen nicht erfüllt |
| Schaden | auch Datenverlust ist ersatzfähig — aber nur bei Daten, die ausschließlich nicht beruflich genutzt werden. Gemischt genutzte Daten sind ausgenommen |
| Mindestgrenze | Es gibt keine mehr. Bisher waren Sachschäden erst über 500 Euro zu ersetzen |
| Fristen | 3 Jahre Verjährung; Klagen sind spätestens 10 Jahre nach dem Inverkehrbringen möglich — bei veränderten Produkten neu gerechnet ab der Veränderung |
| Vertragliche Obergrenzen | sind unzulässig. Diese Haftung lässt sich nicht durch Vertrag ausschließen oder begrenzen |
3. Was heute gilt
Bis zur Umsetzung gilt das österreichische Produkthaftungsgesetz (PHG). Es kennt Software noch nicht als Produkt: Nach § 4 PHG ist ein Produkt „jede bewegliche körperliche Sache … einschließlich Energie“.
Für die von uns entwickelte Software gilt daher derzeit keine verschuldensunabhängige Produkthaftung. Es gelten die Gewährleistung und der Schadenersatz nach bürgerlichem Recht — dort kommt es auf ein Verschulden an. Das PHG greift schon heute, aber nur für bewegliche körperliche Sachen. Unsere Leistung ist die Entwicklung und der Betrieb von Software.
Was vor dem 9. Dezember 2026 in Verkehr gebracht wird, bleibt dauerhaft unter dem alten Recht. Für bereits ausgelieferte Software ändert sich also nichts. Die neue Rechtslage betrifft alles, was danach dazukommt.
4. Wen die Herstellerhaftung trifft
Haftbar sind der Hersteller eines Produkts, der Hersteller einer fehlerhaften Komponente, bei Herstellern außerhalb der EU der Importeur oder Bevollmächtigte — und wer ein Produkt außerhalb der Kontrolle des Herstellers wesentlich verändert und es danach in Verkehr bringt.
Was das für unsere Arbeit heißt
| Unsere Tätigkeit | Unsere Einordnung |
|---|---|
| Software, die wir für Sie entwickeln | Wir sind Hersteller des Produkts |
| Plattformen, die wir einrichten und betreiben | Wir sind Hersteller der von uns gelieferten Anpassungen und halten die Kontrolle über Updates, solange wir betreiben |
| Hosting und Betrieb als Dienstleistung | Dienstleistung — nicht von der Produkthaftung erfasst. Es gelten Auftragsrecht und Gewährleistung |
| Freie und offene Software, die wir veröffentlichen | Auch sie ist erfasst, sobald sie im Rahmen einer Geschäftstätigkeit bereitgestellt wird. Die Ausnahme für nicht-gewerbliche Open-Source-Entwicklung greift bei uns nicht |
Bei Software und verbundenen Diensten greift zusätzlich eine Beweiserleichterung zu unseren Lasten: Wir können uns dann nicht darauf berufen, der Fehler sei erst nach dem Inverkehrbringen entstanden. Das gilt für verbundene Dienste, für Software samt Updates, für das Unterlassen erforderlicher Sicherheitsupdates und für wesentliche Änderungen. Der Einwand, der Fehler sei nach dem Stand von Wissenschaft und Technik nicht erkennbar gewesen, bleibt uns dagegen erhalten.
5. Prüfungen vor der Auslieferung
Bevor eine Änderung an einem von uns betreuten System wirksam wird, läuft sie durch eine automatische Prüfkette. Fällt eine Prüfung durch, wird nicht ausgeliefert.
| Prüfung | Was sie findet |
|---|---|
| Statische Codeanalyse (SAST) | Sicherheitsfehler im Quellcode — etwa unsichere Eingabeverarbeitung oder riskante Aufrufe |
| Suche nach Geheimnissen (Secret Detection) | versehentlich abgelegte Zugangsdaten, Schlüssel und Kennwörter |
| Suche nach Zugangsdaten in Dateien | Kennwörter, Token und Schlüssel in Konfigurationen und Dokumenten |
| Struktur- und Syntaxprüfungen | fehlerhaftes HTML, unvollständige Verweise, Syntaxfehler in Skripten |
| Prüfung der laufenden Seite | ob die veröffentlichte Fassung tatsächlich das tut, was sie soll |
Diese Prüfungen laufen bei jeder Änderung, nicht nur vor großen Auslieferungen. Sie ersetzen keine Sorgfalt im Einzelfall, aber sie finden die häufigen Fehler zuverlässig.
6. Updates und Sicherheitsupdates
Wichtig und oft falsch dargestellt: Es gibt keine gesetzliche Pflicht, für ein Produkt Updates bereitzustellen. Das neue Recht sagt das ausdrücklich. Wer aber Updates bereitstellt und dabei erforderliche Sicherheitsupdates weglässt, kann dafür einstehen müssen — dann nämlich, wenn die Ursache seiner Kontrolle unterliegt.
Für Sie heißt das:
- Wir liefern Updates, solange wir ein System betreiben. Das ist eine Leistung, die wir erbringen — keine gesetzliche Pflicht, auf die Sie einen Anspruch hätten, wenn sie nicht vereinbart ist.
- Sicherheitsupdates haben Vorrang. Wartungsarbeiten legen wir nach Möglichkeit außerhalb der üblichen Geschäftszeiten; kurzfristige Unterbrechungen für Sicherheitsupdates sind in unseren Allgemeinen Geschäftsbedingungen geregelt.
- Betreiben Sie ein System selbst, liegt die Verantwortung für die Installation bereitgestellter Updates bei Ihnen. Wir weisen auf sicherheitsrelevante Aktualisierungen hin; die Einspielung liegt in Ihrer Verantwortung. Werden bereitgestellte Sicherheitsupdates nicht installiert, liegt das außerhalb unserer Kontrolle.
- Endet unser Betrieb, endet auch unsere Update-Verantwortung. Wir sagen Ihnen rechtzeitig, was Sie übernehmen müssen.
7. Betrieb, Überwachung, Sicherungen
| Maßnahme | Umsetzung |
|---|---|
| Überwachung | Wir betreiben eine eigene Überwachung auf eigenen Servern: Erreichbarkeit, Antwortzeiten und Systemwerte werden laufend gemessen; bei Abweichungen werden wir alarmiert |
| Sicherungen | Regelmäßige Sicherungen der Anwendungen und Daten, mit Prüfsummen zur Erkennung von Veränderungen |
| Wiederherstellung | Der Rückweg ist dokumentiert und wird geprüft — im Störungsfall ist ein Zurückrollen ein geplanter Vorgang, kein Improvisieren |
| Verschlüsselung | Übertragung durchgehend über HTTPS (TLS) |
| Keine Fremdinhalte | Unsere Webseite lädt keine Inhalte von fremden Servern und setzt ohne Ihre Einwilligung keine Cookies |
8. Support und Wartung
Störungen und Sicherheitsfragen nehmen wir über unser Kontaktportal entgegen. Dort erhält jede Meldung eine Referenznummer, und wir dokumentieren den Verlauf nachvollziehbar.
Reaktionszeiten, Betriebszeiten und der Umfang der Wartung ergeben sich aus dem jeweiligen Vertrag und unseren Allgemeinen Geschäftsbedingungen. Für Sicherheitsfragen erreichen Sie uns direkt unter support@lumi-systems.io.
Wir betreiben unsere Systeme selbst und können daher Auskunft geben, welche Software in welcher Fassung im Einsatz ist und wie sie geprüft wird.
9. KI-gestützte Funktionen
Wir setzen Sprachmodelle für Automatisierungen ein, etwa zur Vorsortierung von Nachrichten, zur Klassifikation von Dokumenten oder für Übersetzungen.
- Die Ergebnisse sind Vorschläge, keine Entscheidungen. Ausgaben eines Sprachmodells können falsch oder unvollständig sein.
- Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung Ihnen gegenüber statt.
- Wir sagen Ihnen bei jedem Einsatz offen, welche Anteile von einem Modell erzeugt werden und wo ein Mensch prüft.
- Wie wir dabei mit Ihren Daten umgehen, steht in der Datenschutzerklärung.
10. Grenzen dieser Angaben
- Keine Zertifizierung. Wir behaupten keine Zertifizierung und keine Konformität nach einer Norm wie ISO 27001 oder IEC 62443. Wer das braucht, muss es gesondert vereinbaren.
- Keine Zusicherung der Fehlerfreiheit. Prüfungen senken das Risiko; sie schließen Fehler nicht aus. Sicherheit ist ein fortlaufender Prozess, kein Zustand.
- Die gesetzliche Haftung bleibt unberührt. Sie lässt sich weder durch diese Seite noch durch Klauseln in unseren Bedingungen ausschließen oder begrenzen. Das neue Recht verbietet solche Begrenzungen ausdrücklich.
- Keine Rechtsberatung. Die Darstellung gibt unser Verständnis der Rechtslage wieder, geprüft an den amtlichen Texten. Für verbindliche Auskünfte wenden Sie sich bitte an eine Rechtsberatung.
11. Kontakt
Fragen zur Produktsicherheit, zu Updates oder zu dieser Seite richten Sie bitte an:
Lumi-Systems.io
Dimitri Rupp
Arnikaweg 47a/3, 1220 Wien, Österreich
E-Mail: office@lumi-systems.io
Sicherheitsfragen: support@lumi-systems.io
Kontakt- und Statusportal: contact.lumi-systems.io
