Produkthaftung für Medizinprodukte: Das neue Gesetz im Überblick
Das neue Produkthaftungsgesetz verschärft die Produkthaftung für Software in Medizinprodukten. Je stärker digitale Systeme nach dem Inverkehrbringen weiterlernen oder Updates erhalten, desto wichtiger wird die Frage: Entwicklungsrisiko oder Herstellerkontrolle? Genau diese Abgrenzung entscheidet künftig über die Medizinproduktehaftung.
Teilen Sie diesen Beitrag:
Teilen Sie diesen Beitrag:
Die neue EU-Produkthaftungsrichtlinie im Überblick
Die neue Produkthaftungsrichtlinie ersetzt die Richtlinie 85/374/EWG und damit ein Haftungsregime, das im Kern aus einer Zeit vor Software, Cloud-Diensten und selbstlernenden Algorithmen stammt. Am Grundprinzip ändert sich nichts: Die Produkthaftung bleibt verschuldensunabhängig. Ein Geschädigter muss dem Hersteller kein Fehlverhalten nachweisen, sondern die Fehlerhaftigkeit des Produkts, den Schaden und den Kausalzusammenhang. Modernisiert wurde der Rahmen darum herum und der wirkt sich auf Medizinprodukte besonders stark aus.
Erweiterter Produktbegriff: Nach Art. 4 der EU-Produkthaftungsrichtlinie gelten ausdrücklich auch Software, digitale Fertigungsdateien und Rohstoffe als Produkte. Für Medizinprodukte heißt das: Stand-alone-Software, eingebettete Software, Apps und KI-Systeme fallen unmittelbar in den Anwendungsbereich – unabhängig davon, ob sie auf einem Datenträger, als Download oder als Dienst bereitgestellt werden.
Erweiterter Kreis der Haftungsadressaten: Art. 8 nennt neben dem Hersteller unter anderem Komponentenhersteller, Importeure, Bevollmächtigte, Fulfilment-Dienstleister und – subsidiär – Händler sowie Online-Plattformen. Auch wer ein Medizinprodukt wesentlich verändert und anschließend bereitstellt, kann als Hersteller haften.
Erweiterter Schadensbegriff: Ersatzfähig sind nach Art. 6 Tod und Körperverletzung einschließlich medizinisch anerkannter Schädigungen der psychischen Gesundheit, Sachschäden sowie die Vernichtung oder Beschädigung von Daten, die nicht ausschließlich beruflich genutzt werden. Der frühere Selbstbehalt von 500 Euro bei Sachschäden entfällt, ebenso die Möglichkeit einer nationalen Haftungsobergrenze.
Das neue Produkthaftungsgesetz: Die deutsche Umsetzung
In Deutschland wird die Richtlinie über das Gesetz zur Modernisierung des Produkthaftungsrechts umgesetzt. Es ist die erste umfassende Reform des Produkthaftungsgesetzes seit 1989 und damit die relevanteste Änderung des deutschen Produkthaftungsrechts, die Hersteller von Medizinprodukten in den vergangenen drei Jahrzehnten erlebt haben. Der Regierungsentwurf liegt seit Februar 2026 vor (BT-Drs. 21/4297); nach der ersten Lesung im März 2026 und der Anhörung im Rechtsausschuss läuft das parlamentarische Verfahren noch. Abgeschlossen sein muss es bis zum 9. Dezember 2026.
Für die Praxis bedeutet das: Das neue Produkthaftungsgesetz übernimmt die Vorgaben der EU-Produkthaftungsrichtlinie, füllt aber an mehreren Stellen nationalen Spielraum aus, etwa bei Verfahrensfragen, beim Schutz von Geschäftsgeheimnissen im Rahmen der Offenlegung und bei der Ausgestaltung des immateriellen Schadensersatzes. Hersteller sollten die endgültige Fassung des Produkthaftungsgesetzes daher gezielt verfolgen und ihre Prozesse nicht allein am Richtlinientext ausrichten. Wer bereits jetzt auf Grundlage der Richtlinie plant, arbeitet allerdings nicht ins Leere: Der materielle Kern – Fehlerbegriff, Beweiserleichterungen, Offenlegungspflichten und Fristen – ist europarechtlich vorgegeben und wird sich im nationalen Recht wiederfinden.
Medizinproduktehaftung: MDR-konform und trotzdem haftbar?
Wer sein Medizinprodukt erfolgreich durch die Konformitätsbewertung einer Benannten Stelle gebracht hat, wähnt sich häufig auf der sicheren Seite. Genau hier liegt der verbreitetste Irrtum in der Medizinproduktehaftung.
Die Frage, ob ein Produkt im haftungsrechtlichen Sinne fehlerhaft ist, beantworten Zivilgerichte eigenständig. Maßstab ist nach Art. 7 der Richtlinie, ob das Produkt die Sicherheit geboten hat, die von der breiten Öffentlichkeit berechtigterweise erwartet werden durfte, bewertet anhand einer Reihe von Umständen, zu denen ausdrücklich auch einschlägige Produktsicherheitsanforderungen und Eingriffe zuständiger Behörden gehören. MDR-Konformität und ein positives Votum der Benannten Stelle fließen damit als gewichtiges Indiz zugunsten des Herstellers in die Bewertung ein. Eine bindende oder haftungsausschließende Wirkung entfalten sie nicht.
Im Ergebnis heißt das: Ein Medizinprodukt kann formal jahrelang rechtmäßig auf dem Markt gewesen sein und trotzdem im Nachhinein als fehlerhaft eingestuft werden, etwa weil sich der Stand der Wissenschaft und Technik weiterentwickelt hat, weil vergleichbare Produkte inzwischen ein höheres Sicherheitsniveau bieten oder weil ein bekanntes Risiko nicht konsequent minimiert wurde. Die Konformitätsbewertung ist eine regulatorische Momentaufnahme, kein Haftungsschild.
Haftungsrisiken über den gesamten Produktlebenszyklus
Ein zentraler Perspektivwechsel betrifft den Zeitpunkt, auf den es ankommt. Sicherheit wird nicht mehr nur als Momentaufnahme zum Zeitpunkt des Inverkehrbringens betrachtet, sondern als fortlaufende Aufgabe über den gesamten Produktlebenszyklus.
Deutlich wird das an den Haftungsbefreiungen in Art. 11. Die klassische Entwicklungsrisiko-Einrede – der Fehler war nach dem Stand der Wissenschaft und Technik zum Zeitpunkt des Inverkehrbringens nicht erkennbar – bleibt grundsätzlich erhalten. Sie greift jedoch nicht, soweit die Fehlerhaftigkeit auf einem Umstand beruht, der weiterhin unter der Kontrolle des Herstellers steht: etwa auf einem Software-Update oder -Upgrade, auf einem verbundenen Dienst oder auf einem Update, das erforderlich gewesen wäre und ausblieb.
Damit können eine unzureichende Produktbeobachtung, ausbleibende Sicherheitsupdates oder zu spät ergriffene Risikominimierungsmaßnahmen unmittelbar haftungsrelevant werden. Risikomanagement, Post-Market Surveillance, PMCF und Vigilanz – ohnehin zentrale Pflichten unter der MDR – rücken dadurch noch stärker in den Fokus, weil sie nun mittelbar über die zivilrechtliche Haftung mitentscheiden. Wer PMS-Daten erhebt, aber nicht auswertet, oder Trends erkennt, ohne Maßnahmen abzuleiten, schafft nicht nur ein regulatorisches Finding, sondern ein dokumentiertes Haftungsrisiko.
Dokumentation wird zum Haftungsfaktor
Produkthaftung für Software und KI in Medizinprodukten
Für software- und KI-basierte Medizinprodukte verschärft sich die Lage zusätzlich. Die Produkthaftung für Software war unter dem alten Recht umstritten, nun ist sie ausdrücklich geregelt. Adaptive Algorithmen, kontinuierliche Updates und eine hohe Abhängigkeit von Datenqualität schaffen zugleich Fehlerquellen, die es im klassischen Produkthaftungsrecht nicht gab. Art. 7 nennt ausdrücklich Umstände, die für diese Produktkategorie charakteristisch sind: Die Auswirkungen der Lernfähigkeit eines Produkts, die Auswirkungen anderer Produkte, von denen das Produkt vernünftigerweise abhängt, sowie einschlägige Cybersecurity-Anforderungen.
Praktisch relevant werden damit unter anderem:
- unzureichend validierte oder nicht repräsentative Trainingsdaten;
- algorithmische Drift und Performanceverluste im Realbetrieb;
- fehlende oder verspätete Sicherheits- und Funktionsupdates;
- mangelhafte Überwachung des Feldverhaltens und der Modellgüte;
- Schnittstellen zu Drittsystemen, Cloud-Diensten und Datenquellen.
Cybersecurity als Haftungsfaktor
Cybersecurity ist im neuen Haftungsregime kein reines IT-Thema mehr, sondern ein Element des Fehlerbegriffs: Eine Schwachstelle, die die Zweckbestimmung oder die Sicherheit eines Medizinprodukts beeinträchtigt, kann die Fehlerhaftigkeit im Sinne der Produkthaftung begründen. Für Hersteller heißt das, Cybersecurity-Prozesse – Schwachstellenmanagement, Patch- und Update-Zyklen, Coordinated Vulnerability Disclosure, Monitoring – so zu dokumentieren, dass sie im Streitfall als Nachweis angemessener Sorgfalt taugen. Wer eine bekannte Schwachstelle nicht schließt, verliert damit potenziell auch die Entwicklungsrisiko-Einrede.
Hinzu kommt, dass sich für KI-Systeme mehrere Regelwerke überlagern: MDR, KI-Verordnung (EU) 2024/1689 und Produkthaftungsrichtlinie verfolgen unterschiedliche Ansätze, greifen aber auf dieselben Nachweise zu. Es lohnt sich, Post-Market-Performance-Monitoring, Update-Management und Cybersecurity-Dokumentation so anzulegen, dass sie in allen drei Kontexten verwendbar sind.
Fristen, Übergang und Nachlaufzeiten
Zeitlich ist die Abgrenzung klar geregelt, wirtschaftlich hat sie erhebliche Konsequenzen:
- Die neuen Regeln gelten für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden.
- Für Medizinprodukte, die vorher bereitgestellt wurden, bleibt das bisherige Produkthaftungsgesetz auf Grundlage der Richtlinie 85/374/EWG anwendbar.
- Ansprüche verjähren nach Art. 16 grundsätzlich drei Jahre nach Kenntnis von Schaden, Fehlerhaftigkeit und haftbarem Wirtschaftsakteur.
- Nach Art. 17 erlöschen Ansprüche zehn Jahre nach Inverkehrbringen. Bei Personenschäden, die sich erst später manifestieren (Spätschäden), verlängert sich die Höchstfrist auf 25 Jahre.
Für Medizinprodukte mit langen Marktzyklen und Implantate mit langer Verweildauer im Körper bedeutet die 25-Jahres-Frist, dass Dokumentation und Nachweisfähigkeit weit über den Produktlebenszyklus hinaus verfügbar bleiben müssen. Archivierungskonzepte, Datenformate und Verantwortlichkeiten sollten daran gemessen werden, auch für den Fall, dass Produktlinien verkauft, Lieferanten gewechselt oder Systeme migriert werden.
Fazit
Die zentrale Botschaft der neuen Produkthaftungsrichtlinie lautet: Formale Compliance allein reicht nicht mehr aus. Hersteller sind gut beraten, regulatorische Compliance, Risikomanagement, Post-Market-Überwachung und haftungsfeste Dokumentation künftig enger miteinander zu verzahnen, statt sie als getrennte Aufgabenfelder zu behandeln. Konkret empfiehlt sich ein Blick auf sechs Punkte:
- Gap-Analyse: Welche Medizinprodukte werden nach dem 9. Dezember 2026 erstmals oder erneut in Verkehr gebracht – und fallen damit unter das neue Produkthaftungsgesetz?
- Update- und Lifecycle-Management: Sind Zuständigkeiten, Fristen und Auslösekriterien für Sicherheits- und Funktionsupdates definiert und dokumentiert?
- PMS- und Vigilanz-Wirksamkeit: Führen erkannte Trends nachweisbar zu Maßnahmen – und ist diese Kausalkette in den Akten sichtbar?
- Dokumentationsqualität: Ist die Nachweiskette so aufgebaut, dass sie einer gerichtlichen Offenlegung standhält – konsistent, versioniert, nachvollziehbar begründet?
- Software und Cybersecurity: Sind Schwachstellenmanagement, Update-Bereitstellung und Post-Market-Performance-Monitoring für jedes softwarebasierte Produkt geregelt?
- Versicherung und Archivierung: Passen Deckungssummen, Nachhaftungszeiträume und Aufbewahrungsfristen zu Höchstfristen von zehn beziehungsweise 25 Jahren?
Entscheidend ist nicht mehr nur, dass ein Medizinprodukt bei Markteinführung alle Anforderungen erfüllt, sondern dass seine Sicherheit über den gesamten Produktlebenszyklus hinweg nachvollziehbar überwacht, bewertet und dokumentiert wird. Wer diese Prozesse frühzeitig sauber aufsetzt, ist im Ernstfall nicht nur regulatorisch, sondern auch haftungsrechtlich deutlich besser aufgestellt.
