KI, SaaS, Chatbots und Hosting: Haftung für IT-Dienstleister

Wer Software entwickelt, Webseiten hostet, SaaS anbietet oder Chatbots mit KI für Kunden baut, haftet für Fehler – gegenüber den eigenen Kunden und ab dem 9. Dezember 2026 auch nach dem neuen Produkthaftungsgesetz. Und wer ein KI-Modell eines großen Anbieters einbaut, merkt schnell: Dessen Haftung ist in den Nutzungsbedingungen meist eng begrenzt. Das Risiko bleibt bei dir.

IT-Haftpflicht prüfen lassen

Drei Haftungswege, die du kennen solltest

• Vertragliche Haftung gegenüber deinen Kunden: Liefert deine Software falsche Ergebnisse, fällt dein Hosting aus oder gehen Daten verloren, haftest du aus dem Vertrag (Werk-, Dienst- oder Mietvertrag, bei Verbrauchern zusätzlich nach §§ 327 ff. BGB für digitale Produkte). Der typische Schaden ist ein reiner Vermögensschaden: Umsatzausfall, Mehrkosten, Vertragsstrafen deines Kunden.
• Deliktische Haftung (§ 823 BGB): Auch ohne Vertrag haftest du, wenn du schuldhaft Rechtsgüter Dritter verletzt, etwa durch fehlerhafte Steuerungssoftware.
• Produkthaftung ohne Verschulden: Das neue Produkthaftungsgesetz gilt für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht werden. Es zählt Software ausdrücklich zu den Produkten – auch SaaS, Cloud-Software und KI-Systeme.

Das neue Produkthaftungsgesetz ab 9. Dezember 2026

Das Gesetz setzt die EU-Produkthaftungsrichtlinie 2024/2853 um. Für IT-Dienstleister ändert sich vor allem:

• Software ist ein Produkt: egal ob installiert, als App, als SaaS oder in ein Gerät eingebaut. Ausgenommen ist freie Open-Source-Software, die außerhalb einer Geschäftstätigkeit bereitgestellt wird.
• Haftung ohne Verschulden: Es reicht, dass das Produkt fehlerhaft war und dadurch ein Schaden entstanden ist. Bei komplexen Produkten wie KI-Systemen helfen Vermutungsregeln und Offenlegungspflichten dem Geschädigten beim Beweis.
• Fehlende Sicherheitsupdates: Wer ein Produkt nach dem Verkauf noch über Updates kontrolliert, haftet auch, wenn ein notwendiges Sicherheitsupdate ausbleibt. Cybersicherheitsanforderungen (etwa aus dem Cyber Resilience Act) fließen in die Frage ein, ob ein Produkt fehlerhaft ist.
• Wer verändert, wird Hersteller: Wer ein Produkt außerhalb der Kontrolle des ursprünglichen Herstellers wesentlich verändert – etwa ein KI-Modell für einen Kunden anpasst –, kann selbst als Hersteller gelten. Bei eingebauten Komponenten haften Komponenten- und Endprodukthersteller nebeneinander.
• Kein Selbstbehalt, keine Obergrenze: Der bisherige Selbstbehalt des Geschädigten bei Sachschäden und der Haftungshöchstbetrag entfallen. Die Haftung kann gegenüber dem Geschädigten vertraglich weder ausgeschlossen noch beschränkt werden.
• Fristen: Ansprüche verjähren in drei Jahren ab Kenntnis. Spätestens zehn Jahre nach dem Inverkehrbringen erlöschen sie, bei erst spät erkennbaren Gesundheitsschäden nach 25 Jahren.

Wichtig für B2B: Geschützt sind nur natürliche Personen – bei Tod, Körper- und Gesundheitsschäden, Schäden an privat genutzten Sachen sowie Verlust oder Beschädigung privat genutzter Daten. Reine Vermögensschäden deiner Geschäftskunden fallen nicht darunter. Die bleiben eine Frage des Vertrags und deiner IT-Haftpflicht. Für Produkte, die bis zum 8. Dezember 2026 in Verkehr gebracht werden, gilt das alte Recht.

KI: Was die „Herstellergarantie“ wirklich wert ist

Viele Chatbots und KI-Funktionen basieren auf Modellen großer Anbieter, die per Schnittstelle eingebunden werden. Deren Nutzungsbedingungen begrenzen die Haftung meist stark und schließen Garantien für die Richtigkeit der Ausgaben aus. Eine Garantie ist immer freiwillig und gilt nur in dem Umfang, den der Anbieter verspricht. Für dich heißt das:

• Gegenüber deinem Kunden haftest du für das, was du lieferst – auch für eine falsche Auskunft deines Chatbots oder einen Fehler der eingebauten KI.
• Ein Rückgriff beim KI-Anbieter ist oft nur eingeschränkt möglich und außerhalb der EU schwer durchzusetzen.
• Unternehmen haften in der Regel für die Aussagen ihres Chatbots. Ein bekanntes Beispiel ist ein Urteil aus Kanada (2024): Eine Fluggesellschaft musste zu einer Erstattungsregel stehen, die ihr Chatbot frei erfunden hatte.
• Eine europäische KI-Haftungsrichtlinie wird es nicht geben; die EU-Kommission hat den Entwurf zurückgezogen. Es bleibt beim Vertragsrecht, beim Deliktsrecht und beim neuen Produkthaftungsrecht.

Pflichten aus der KI-Verordnung (AI Act)

Die KI-Verordnung ist kein Haftungsgesetz, sondern Aufsichtsrecht. Verstöße können aber Bußgelder auslösen und vor Gericht als Pflichtverletzung zählen.

• KI-Kompetenz (Art. 4): Seit dem 2. Februar 2025 müssen Unternehmen, die KI einsetzen oder anbieten, für ausreichende KI-Kompetenz ihrer Mitarbeitenden sorgen.
• Transparenz (Art. 50): Seit dem 2. August 2026 müssen Chatbots spätestens bei der ersten Interaktion klar erkennen lassen, dass man mit einer KI spricht. Ein Hinweis im Impressum reicht nicht. Deepfakes müssen sichtbar gekennzeichnet werden. KI-erzeugte Texte zu Themen von öffentlichem Interesse sind zu kennzeichnen, wenn sie nicht redaktionell geprüft wurden.
• Bußgelder: Bei Verstößen gegen die Transparenzpflichten drohen bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes.

Typische Schadenfälle bei IT-Dienstleistern

• Ein Chatbot gibt einem Kunden deines Auftraggebers eine falsche Preis- oder Vertragsauskunft; dein Auftraggeber verlangt Schadenersatz.
• Ein Update deiner SaaS-Lösung legt die Auftragsabwicklung eines Kunden für zwei Tage lahm.
• Beim Umzug eines Servers gehen Daten verloren, das letzte Backup ist zu alt.
• Eine KI erzeugt Texte oder Bilder, die Urheber- oder Markenrechte Dritter verletzen; es folgt eine Abmahnung.
• Über eine Sicherheitslücke in deiner Software werden Kundendaten gestohlen; Betroffene machen Ansprüche nach Art. 82 DSGVO geltend.
• Ein Projekt verzögert sich, dein Kunde fordert eine Vertragsstrafe.

Welche Versicherung welches Risiko abdeckt

Unsere Partner für IT-Haftpflicht und Cyber

• Hiscox Net IT: IT-Haftpflicht mit ausdrücklicher Deckung für Nutzung, Beratung und Entwicklung von KI. Laut Anbieter mit Vermögensschäden, Verzugsschäden, Erstattung von Projekt- und Honorarkosten, Verletzung von Schutzrechten Dritter inklusive Abmahnschutz, weltweiter Deckung inklusive USA und optionalem Baustein „Cyber & Daten“.
• Markel Pro IT: IT-Haftpflicht mit ausdrücklicher Deckung für den Einsatz von KI. Laut Anbieter mitversichert: Datenschutz- und Vertraulichkeitsverletzungen, Vertragsstrafen bei Verstößen gegen Vertraulichkeit und Datenschutz, verspätete Leistung, Verletzung von Patent-, Marken-, Domain-, Lizenz- und Urheberrechten; Hosting, Cloud und SaaS; weltweit; Summen bis 10 Mio. €.
• VHV FIRMENPROTECT IT: Kombination aus Haftpflicht für IT-Dienstleister und Cyberbausteinen. Beitrag direkt berechnen: Rechner VHV FIRMENPROTECT IT.
• Stoïk: Cyberversicherung mit Prävention, Phishing-Simulation und Soforthilfe für deine eigenen Schäden. Alle Leistungen: Cyber-Security mit Stoïk.

Welche Lösung passt, hängt von deinen Leistungen, deinem Umsatz, deinen Kunden (z. B. USA-Geschäft) und deinen Verträgen ab. Wir vergleichen die Bedingungen für dich – ohne zusätzliches Honorar für dich, wir werden von den Versicherern vergütet. Mehr zur IT-Haftpflicht: Haftpflichtschutz, der mit deiner IT-Welt mitwächst.

Deine Checkliste

1. Leistungen auflisten: Entwicklung, Hosting, SaaS, Beratung, KI-Integration, Chatbots.
2. Verträge und AGB prüfen lassen: Haftungsbegrenzung gegenüber Geschäftskunden, Verfügbarkeit (SLA), Vertragsstrafen, Auftragsverarbeitung nach Art. 28 DSGVO.
3. Nutzungsbedingungen deiner KI- und Cloud-Anbieter lesen: Wie weit haften sie, wo liegen die Daten?
4. Chatbots kennzeichnen (Art. 50 AI Act) und Mitarbeitende schulen (Art. 4 AI Act).
5. Update- und Sicherheitsprozess dokumentieren – wichtig für die Produkthaftung ab 9. Dezember 2026.
6. Bestehende IT-Haftpflicht prüfen: Ist KI ausdrücklich mitversichert? Sind SaaS, Hosting und USA-Kunden eingeschlossen? Reicht die Summe?

Am schnellsten geht es mit unserem Fragebogen für IT-Dienstleister (PDF) – ausfüllen, zurückschicken, wir vergleichen.

Häufige Fragen

Gilt das neue Produkthaftungsgesetz auch für SaaS?

Ja. Ab dem 9. Dezember 2026 zählt Software unabhängig von der Bereitstellungsart als Produkt, also auch SaaS und Cloud-Software. Geschützt sind aber nur natürliche Personen, nicht die Vermögensschäden deiner Geschäftskunden.

Kann ich die Produkthaftung in meinen AGB ausschließen?

Nein. Gegenüber dem Geschädigten lässt sich die Produkthaftung weder ausschließen noch beschränken. Die vertragliche Haftung gegenüber Geschäftskunden kann in Grenzen begrenzt werden; das sollte ein Anwalt formulieren.

Hafte ich für Fehler eines eingebauten KI-Modells?

Gegenüber deinem Kunden in der Regel ja, denn du schuldest ihm die vereinbarte Leistung. Ob du beim KI-Anbieter Rückgriff nehmen kannst, hängt von dessen Nutzungsbedingungen ab, und die begrenzen die Haftung meist stark.

Ist KI in jeder IT-Haftpflicht mitversichert?

Nicht automatisch. Einige Versicherer wie Hiscox und Markel nennen KI ausdrücklich in ihren Bedingungen. Bei älteren Verträgen lohnt sich ein Blick, ob KI-Leistungen von der beschriebenen Tätigkeit umfasst sind.

Muss mein Chatbot als KI gekennzeichnet sein?

Ja. Seit dem 2. August 2026 müssen Nutzer spätestens bei der ersten Interaktion erkennen können, dass sie mit einer KI sprechen, es sei denn, das ist aus den Umständen offensichtlich.

Hinweis: Allgemeine Information, Stand Oktober 2026, keine Rechtsberatung. Für die Gestaltung von Verträgen und AGB wende dich an einen Rechtsanwalt. Maßgeblich für den Versicherungsschutz sind Versicherungsschein und Bedingungen des jeweiligen Versicherers. Quellen u. a.: Richtlinie (EU) 2024/2853, Verordnung (EU) 2024/1689 (KI-Verordnung), Produktunterlagen von Hiscox, Markel und VHV. KiS – Kontor im Schwarzwald GmbH, Versicherungsmakler mit Erlaubnis nach § 34d Abs. 1 GewO, Reg.-Nr. D-PS74-61V96-00.

👉 IT-Haftpflicht prüfen lassen