Produkt- und Produzentenhaftung bei selbstständig veränderlichen Systemen

Prof. Dr. Janine Wendt und RA Marcel Oberländer*

Die digitale Revolution („Industrie 4.0“) hält auch abseits der Debatten über das autonome Fahren Einzug in die industrielle Entwicklung und Fertigung. Der „Fehlerfaktor Mensch“ wird abgelöst von technischen Systemen, die eigenständig auf unterschiedliche Umfeldsituationen reagieren können. Dieser Beitrag befasst sich mit der rechtlichen Bewertung und Einordnung dieser selbstständig veränderlichen Systeme in das geltende nationale Haftungsrecht.

I. Einleitung

Mit der fortschreitenden Digitalisierung, die auch den industriellen Sektor erfasst, ergeben sich neue Möglichkeiten, die Prozesse in der Entwicklung, dem Einkauf, der Logistik, der Produktion und der Nutzung von Maschinen zu optimieren. Gerade der Maschinenbau durchläuft seit mehreren Jahren einen Wandel, der durch zunehmende Konnektivität und Automatisierung gekennzeichnet ist. Maschinen, Lagersysteme und Betriebsmittel werden miteinander vernetzt und „schlussendlich durch IT-Strukturen mit einer künstlichen Intelligenz koordiniert“.1 Die einzelnen Produktionsstationen sollen Informationen austauschen (sog. „M2M Communication“) und sich selbstständig wechselseitig steuern und verändern.2

Aus rechtlicher Sicht besteht die Herausforderung darin, Erklärungen oder Handlungen, die durch ein selbstständig veränderliches technisches System erzeugt worden sind, zu einer natürlichen Person zurück zu verfolgen. Unsere Rechtsordnung geht von der Prämisse aus, dass bestimmte Rechtsfolgen (hier die Haftung) an die Zurechnung eines Geschehnisses (hier die Fehlfunktion eines Produkts) zu einer bestimmbaren Rechtspersönlichkeit geknüpft sind.3 Ab einem bestimmten Grad der Komplexität lässt sich dieser Kausalzusammenhang nicht mehr verlässlich herstellen. Tatsächlich lässt sich oft nicht einmal mehr mit Gewissheit ausmachen, wo eine Fehlfunktion ihren Ursprung hat:4 Der Entwickler hat sein Wissen, seine Erfahrungen und sein Verständnis eines Problems für die konkrete Konstruktionslösung einschließlich der notwendigen Steuer- und Regelsoftware verwendet. Teil der Lösung ist regelmäßig ein Algorithmus, der im ausentwickelten technischen System im Sinne des Entwicklers handelt. Fehleinschätzungen, falsch implementierte Logiken oder generelles menschliches Unvermögen gehen auf diese Weise in das Produkt ein. Die Auswirkungen sind oft erst spät sichtbar und häufig nicht mehr nachzuvollziehen, insbesondere sofern die Beiträge mehrerer Entwickler eng ineinandergreifen.5

Dies erzeugt im Haftungsrecht Probleme. Selbstständig veränderliche Systeme finden schließlich nicht nur in der Automobilindustrie Einsatz, sondern gerade auch in zahlreichen weiteren Feldern des Maschinenbaus, die nicht von einer verschuldensunabhängigen Gefährdungshaftung erfasst sind. War eine Fehlfunktion eines selbstständig veränderlichen Systems für den Entwickler aber nicht vorhersehbar, etwa weil sie aus der Weiterentwicklung eines atypischen Nutzerverhaltens resultierte, wird man ihm für das schädigende Ereignis kein Verschulden vorwerfen können.6 Das schädigende Ereignis wurde gewissermaßen vom System selbst erzeugt.7 Eine Haftung eines selbstständig veränderlichen Systems aber scheidet mangels Rechtspersönlichkeit aus. Die interessengerechte Zuordnung der Schäden adressiert damit im Bereich der Produkt- und Produzentenhaftungsrecht neue, noch nicht gelöste rechtswissenschaftliche Forschungsfragen, über die dieser Beitrag zunächst einen Überblick geben möchte.

II. Begriffsbestimmung „selbstständig veränderliche Systeme“

Derzeit wird der Begriff der selbstständig veränderlichen Systeme insbesondere im Bereich der Automobilbranche unter dem Aspekt „autonomes Fahren“ diskutiert. Der vorliegende Beitrag beschäftigt sich dagegen mit technischen Systemen im Allgemeinen. Technische Systeme umfassen technische Produkte und technische Prozesse.

Dabei ist unter einem selbstständig veränderlichen System ein technisches System zu verstehen, welches sich aufgrund seiner Beschaffenheit auf verschiedene Umfeldbedingungen einstellen und seine Eigenschaften eigenstän¬InTeR 2016 S. 58 (59)dig – ohne menschliches Zutun – zielkonform anpassen kann.

Ist das System zudem in der Lage, durch eine Anpassung seines Zustands auch den Ausfall einzelner Systemkomponenten zu überbrücken, indem es mindestens eine verminderte Hauptfunktion beibehält, liegt ein selbstständig veränderliches resilientes System vor. Ein resilientes System passt sich dabei nicht nur an prädiktable Ereignisse, sondern in gewissen Grenzen auch an die unvorhersehbare Umgebung an.

Die Entwicklung selbstständig veränderlicher Systeme stützt sich hierbei auf die vier Strategien der Resilienz: (i) Überwachen, (ii) Reagieren, (iii) Lernen und (iv) Antizipieren: Durch Überwachen des aktuellen Zustands kann ein resilientes System – basierend auf Axiomen, Bedienerwissen und Prozessdaten – eine zielkonforme selbstständige Anpassung seiner Eigenschaften vornehmen. Auch Störeinflüsse werden erkannt. Mithilfe einer nachgeschalteten Intelligenz zur Entscheidungsfindung passt sich das resiliente System durch Reagieren und Antizipieren eigenständig an neue Zustände an.

Fehlerhafte Prozessdaten, unvollständiges Bedienerwissen und allgemein menschliches Unvermögen fließen auf diese Weise in das technische System ein. Mit dem Ziel der Haftungsvermeidung findet sich der moderne Entwickler damit zunehmend in einem Umfeld von Abstimmung, Kommunikation und Formalisierung von Entwicklungsprozessen wieder. Er muss Entscheidungen mit Auswirkungen weit über sein eigentliches Blickfeld hinaus treffen, um ein Haftungsrisiko zu minimieren.

III. Grundlagen des deliktischen Haftungsrechts und Anwendbarkeit auf selbstständig veränderliche Systeme

Im Folgenden werden zunächst die Grundlagen der deliktischen Haftung in Deutschland, sodann die besonderen Anforderungen an selbstständig veränderliche Systeme vorgestellt. Dabei richtet sich der Fokus ausschließlich auf die deliktische Haftung, also die Haftung, die kraft Gesetzes eintritt, ohne dass die Beteiligten einen Vertrag geschlossen haben müssen. Eine vertragliche Haftung bleibt davon stets unberührt, soll aber vorliegend nicht behandelt werden.8

Als Anspruchsgegner für die Geltendmachung von außervertraglichen Schadenersatzansprüchen kommen neben dem Nutzer des selbstständig veränderlichen Systems vor allem der Hersteller und der Entwickler des finalen Systems sowie die Zulieferer von Teilprodukten entlang der Prozesskette in Betracht.9 Für die Haftung des Herstellers (und der Lieferanten) stehen die Produkthaftung sowie die Produzentenhaftung zur Verfügung. Sie sollen im Folgenden betrachtet werden.

1. Unterscheidung zwischen Produkt- und Produzentenhaftung

Im Bereich der deliktischen Haftung ist zunächst zwischen der verschuldensunabhängigen Haftung des Produkthaftungsgesetzes (ProdHaftG) und der verschuldensabhängigen Haftung aus § 823 Abs. 1 BGB (Produzentenhaftung) zu differenzieren. Beide Haftungsnormen sind parallel anwendbar, wie § 15 Abs. 2 ProdHaftG eindeutig bestimmt.

Die Anspruchsgrundlagen unterscheiden sich in ihren Anforderungen an den Hersteller insbesondere dadurch, dass diesen für eine Haftung aus § 823 Abs. 1 BGB ein Verschulden bezüglich der mangelnden Beachtung von Standards und technischem Normen treffen muss. Für eine Haftung nach dem ProdHaftG ist hingegen lediglich das Vorliegen eines „Fehlers“ im Sinne des § 3 ProdHaftG erforderlich; auf ein Verschulden wird nicht abgestellt.

Trotz der unterschiedlichen Voraussetzungen der beiden Haftungsnormen besteht im Kern die gleiche Problematik: Beide Haftungssysteme bezwecken, den Hersteller für Schäden, die durch fehlerhafte Produkte hervorgerufen werden, zivilrechtlich zur Verantwortung zu ziehen.10 In beiden Fällen trifft den Hersteller die Pflicht, bei der Entwicklung und Fertigung eines Produkts nach dem aktuellen „Stand von Wissenschaft und Technik“ vorzugehen (vgl. § 1 Abs. 2 Nr. 5 ProdHaftG). Diesen unbestimmten Rechtsbegriff gilt es zu konkretisieren. Dabei sind stets die Umstände des Einzelfalls maßgeblich, sodass kein strikt logisch-schematischer Vollzug möglich ist.11 Dennoch ist das Schrifttum bestrebt, allgemeine Grundregeln zu entwickeln. Da die Praxis an beide Haftungsnormen gleiche Anforderungen stellt, wird hierbei häufig kaum zwischen den Anspruchsgrundlagen getrennt.12

2. „Stand von Wissenschaft und Technik“

Für die Produkthaftung geht der Gesetzgeber davon aus, dass mit dem „Stand von Wissenschaft und Technik“ jene Sachkunde beschrieben wird, die im wissenschaftlichen und technischen Bereich vorhanden ist.13 Der „Stand von Wissenschaft und Technik“ entspreche also der „Summe an Wissen und Technik, die allgemein anerkannt ist und zur Verfügung steht.“14 Ein Mindestmaß an Publizität müssen die Erkenntnisse erreicht haben, um als allgemein anerkannt gelten zu können.15 Prägend können zudem sowohl öffentlich-rechtliche Sicherheitsanforderungen als auch technische Normen und Standardisierungen sein, die für das Inverkehrbringen von Produkten einen Mindeststandard festlegen.16 Zu fordern sind stets praktisch einsatzfähige Lösungen.17

Eine Änderung des „Stands von Wissenschaft und Technik“ setzt voraus, dass „eine sicherheitstechnisch überlegene Alternativkonstruktion im Zeitpunkt des Inverkehrbringens zum Serieneinsatz reif ist“.18

Zu beachten ist hierbei, dass Erkenntnisse in einer wissenschaftlichen Disziplin in ihren Auswirkungen nicht auf die – auf den ersten Blick – einschlägigen wissenschaft¬InTeR 2016 S. 58 (60)lichen Fachbereiche beschränkt bleiben. Vielmehr wird über die einzelne Branche hinaus eine Berücksichtigung aller wissenschaftlichen Erkenntnisse verlangt, die empirisch betrachtet ernsthafte Anhaltspunkte für ihre Richtigkeit aufweisen.19 Maßgeblich für die Beantwortung der Frage, ob einschlägiges Wissen für den Hersteller verfügbar war, ist dabei die objektive Perspektive.20

Übertragen auf die berechtigte Sicherheitserwartung an die Entwicklung und Fertigung eines technischen Produkts ist demnach zu fragen, ob dem Hersteller eine Sicherungsmaßnahme objektiv zumutbar ist.21 Relevant für die Bestimmung der Zumutbarkeit ist stets eine Gesamtabwägung aller Umstände im Einzelfall, insbesondere sind die wirtschaftlichen Auswirkungen der Sicherungsmaßnahme einzubeziehen.22 Im Rahmen der Betrachtung der wirtschaftlichen Auswirkungen ist auch die Kosten-Nutzen-Relation beachtlich.23 Hintergrund ihrer Berücksichtigung ist der Gedanke, dass nicht alle Gefahren bei noch vertretbarem, wirtschaftlichem Aufwand ausgeschlossen werden können.24 Eine absolute Sicherheit kann und muss nicht gewährleistet werden.25 Vielmehr lässt sich der Grundsatz aufstellen: Je größer die Gefahr ist, desto höhere Anforderungen sind an die Sicherungsmaßnahmen zu stellen.26 Dabei sind die voraussichtlich betroffenen Rechtsgüter im Rahmen der Gefahranalyse in ein Stufenverhältnis zu rücken. Die Gefahr für Leib und Leben nimmt den obersten Rang ein. Bei einer drohenden Gefahr für diese Rechtsgüter, sind also höchste Anforderungen an Sicherungsmaßnahmen zu stellen.

So hat der Europäische Gerichtshof27 im vergangenen Jahr in Bezug auf Herzschrittmacher und Defibrillatoren entschieden, dass die berechtigte Sicherheitserwartung an die lebenserhaltende Funktion derartiger technischer Produkte einer „Null-Fehler-Erwartung“ entspreche.28 In der Konsequenz sah der EuGH einen Produktfehler bereits dann als gegeben an, wenn ein einzelnes Produkt einer Modellreihe diese lebenserhaltende Funktion potentiell nicht aufweist.29 Inwiefern sich diese Rechtsprechung auf andere Produktkategorien übertragen lässt, ist derzeit noch offen.30 In jedem Fall ist der Produzent gehalten, sich stets über die neuesten fachwissenschaftlichen Erkenntnisse auf dem Laufenden zu halten.31

Abzugrenzen ist der „Stand von Wissenschaft und Technik“ von den „anerkannten Regeln der Technik“. Diese sind in der jeweiligen Branche bekannt, als richtig anerkannt, erprobt und bewährt.32 Exakt hierin liegt der Unterschied zum „Stand von Wissenschaft und Technik“, für den es ja – wie dargestellt – gerade nicht auf die Kenntnisse einzelner Fachkreise ankommt.33

Es bleibt somit festzuhalten, dass im Rahmen des „Stands von Wissenschaft und Technik“ eine Haftung auf das Mögliche und Zumutbare begrenzt ist.

3. Haftung nach § 823 Abs. 1 BGB

An dieser Stelle soll zunächst die Produzentenhaftung dargestellt werden: Für eine Haftung nach § 823 Abs. 1 BGB ist ein widerrechtliches Handeln oder Unterlassen des Produzenten erforderlich, welches zu einer Verletzung eines der von § 823 Abs. 1 BGB geschützten Rechtsgüter führt. Haftungsadressat ist daher stets derjenige, der handelt bzw. eine ihm obliegende Handlungspflicht in vorwerfbarer Weise durch Unterlassen verletzt. Folglich ist der Begriff des „Herstellers“ bzw. „Produzenten“ im Rahmen der Produzentenhaftung des § 823 Abs. 1 BGB – im Unterschied zur Produkthaftung, die sogleich erörtert wird – allein noch nicht ausreichend, um den Haftungsadressaten zutreffend zu beschreiben.34

a) Verletzung von Verkehrssicherungspflichten

Erforderlich für eine Vorwerfbarkeit des Handelns oder Unterlassens ist vielmehr, dass das Verhalten des Herstellers widerrechtlich ist, das heißt „im Widerspruch zur Rechtsordnung“35 steht. Ein solcher Widerspruch liegt insbesondere dann vor, wenn der Hersteller eine ihm obliegende Verkehrssicherungspflicht verletzt.

Eine Verkehrssicherungspflicht entsteht, wenn durch ein fehlerhaftes Produkt eine Gefahrenquelle geschaffen wird.36 Jeder Hersteller ist gehalten, im Rahmen des objektiv Möglichen und Zumutbaren nur sichere Produkte auf den Markt zu bringen.37 Zur effektiven Durchsetzung dieser Pflicht tragen auch die öffentlich-rechtlichen Rechtsnormen, insbesondere das Produktsicherheitsgesetz, bei.38 Problematisch ist, festzustellen, wo die Grenze des Mindestsicherheitsniveaus verläuft.39 Als Maßstab dient der aktuelle „Stand von Wissenschaft und Technik“, der ja auch Aspekte der Zumutbarkeit40 im Verhältnis zum potentiell gefährdeten Rechtsgut und der Wahrscheinlichkeit einer Verletzung berücksichtigt.41

Dogmatisch umstritten ist, an welcher Stelle eine Verletzung von Verkehrssicherungspflichten im Deliktsaufbau zu prüfen ist.42 Häufig ergibt sich die Verletzung daraus, dass der Hersteller eine erforderliche Handlung vorwerfbar unterlässt.43 Die Frage, ob eine Pflicht zum Handeln bestand, kann sowohl auf Tatbestandsebene als auch auf Ebene der Rechtswidrigkeit geprüft werden. Es spricht einiges dafür, die Prüfung der Vorwerfbarkeit bereits auf Tatbestandsebene vorzunehmen, da bereits hier abzugrenzen ist, ob ein Untätigbleiben rechtliche Sanktionen nach sich ziehen soll.44 Es wäre nicht zielführend, den Anwendungsbereich InTeR 2016 S. 58 (61)des § 823 Abs. 1 BGB für jedes Untätigbleiben zu eröffnen; er soll jenen Situationen vorbehalten bleiben, die eine juristische Vorwerfbarkeit aufweisen.

Die Verkehrssicherungspflichten des Herstellers sind durch die Rechtsprechung im Lauf der Zeit konkretisiert worden. Sie lassen sich heute in die folgenden vier Kategorien aufteilen: (i) Konstruktionspflicht, (ii) Fabrikationspflicht, (iii) Instruktionspflicht und (iv) Produktbeobachtungspflicht.45

An dieser Kategorisierung ist auch im Bereich der selbstständig veränderlichen Systeme festzuhalten. Teile des Schrifttums nehmen eine weiter ausdifferenzierte, engere Unterteilung der Pflichten vor.46 Auf eine solche soll hier zugunsten der Übersichtlichkeit verzichtet werden, vielmehr werden die in Frage kommenden Einzelpflichten in die genannten Kategorien sortiert.

aa) Konstruktionspflicht

Der Konstruktion eines Produkts ist stets eine Entwicklungsphase vorgeschaltet. Bereits in diesem frühen Stadium hat der Hersteller Verkehrssicherungspflichten zu beachten, die das Risiko sog. Entwicklungsfehler mindern sollen.47 Maßgeblicher Zeitpunkt für die Beurteilung der Pflichtwahrung ist das Inverkehrbringen des Produkts.48 Eine Haftung greift dann, wenn der Hersteller den Entwicklungsfehler zu diesem Stichtag objektiv erkennen konnte. Auf seine individuellen Kenntnisse und Fähigkeiten wird nicht abgestellt. Der Hersteller kann sich folglich bei innovativen Technologien nicht schlicht darauf zurückziehen, neue Entwicklungen verpasst zu haben, da es auf die Zumutbarkeit des Erkenntnisgewinns ankommt.49 Für Entwicklungsfehler, die für den Hersteller im Zeitpunkt des Inverkehrbringens des Produktes nicht erkennbar oder unvermeidbar waren, haftet er im Umkehrschluss nicht.50

Ein Konstruktionsfehler liegt vor, wenn das Produkt in seiner Konzeption unter dem gebotenen Sicherheitsstandard zurückbleibt51 und die Produktionsserie für eine gefahrlose Nutzung ungeeignet ist.52 Im Zeitpunkt der Entwicklung des Produkts darf demnach kein sicherheitstechnisch überlegenes Alternativdesign verfügbar sein.53 Für die Beurteilung ist die Gesamtschau der Sicherheitseigenschaften der Alternativkonstruktion ausschlaggebend.54

Konstruktionsfehler beruhen regelmäßig auf unvollständigen, fehlerbehafteten Vorgaben der Sicherheitseigenschaften eines Produkts.55 Im Allgemeinen lassen sich diese Fehler auf die falsche Beurteilung der Eignung der eingesetzten Werkstoffe und zuglieferten Einzelteile, sowie auf eine nicht tragfähige Modell- oder Bauplanauswahl zurückführen.56 Vermeidbar sind diese Fehler damit in der bereits vorgestellten, vorangehenden Entwicklungsphase.57

Im Bereich selbstständig veränderlicher Systeme beruhen Konstruktionsfehler zumeist auf unrichtigen Axiomen, unvollständigem bzw. fehlerhaftem Bedienerwissen sowie auf falschen, unvollständigen oder widersprüchlichen Prozessdaten. Diese Fehlerquellen lassen sich allesamt auf menschliches Unvermögen zurückführen. Damit ergeben sich in der Konstruktionsphase keine rechtlich relevanten Unterschiede zu konventionellen Produkten.

bb) Fabrikationspflicht

An die Entwicklungsphase schließt im Lebenszyklus eines Produkts die Produktionsphase an. In dieser Phase wird das Produkt auf Grundlage des Modell- bzw. Bauplans, der das gebotene Maß an Sicherheit bietet, gefertigt. Hier gilt es, Fabrikationsfehler durch menschliches oder technisches Versagen weitestgehend zu vermeiden.58 Fabrikationsfehler liegen vor, wenn während des Herstellungsprozesses eine „planwidrige Abweichung von der vom Hersteller selbst angestrebten Sollbeschaffenheit eintritt“.59

Im Unterschied zum Konstruktionsfehler haftet ein Fabrikationsfehler regelmäßig nicht der gesamten Serie an, sondern nur einzelnen Produkten.60 Im Rahmen der Fabrikationspflicht wird damit auch der sogenannte „Ausreißer“ relevant, also ein Fehler an einem einzelnen Produkt oder einer geringen Anzahl an Produkten einer Serie bei ansonsten einwandfreier Produktion.61

Kam der Hersteller bei der Fertigung den erforderlichen Sorgfaltspflichten (siehe unten 3. b)) nach – ließ sich der Ausreißer also trotz Präzision nicht vermeiden oder aussortieren und entstand insofern unverschuldet – scheidet eine deliktische Haftung nach § 823 Abs. 1 BGB aus.62 Diese Regel ist auf den Grundgedanken zurück zu führen, dass einem Hersteller keine vollkommene Gefahrlosigkeit seiner Produkte abverlangt werden kann. Davon unberührt bleibt freilich die noch zu betrachtende verschuldensunabhängige Haftung nach dem ProdHaftG.

Im Bereich der selbstständig veränderlichen Systeme werden in der Fabrikationsphase insbesondere Fehler der Anpassungsleistung relevant. Die Anpassungsleistung vollzieht sich regelmäßig über Algorithmen oder mechatronische Funktionsmodule, die im entwickelten technischen System im Sinne des Entwicklers handeln. Werden korrekt entwickelte Algorithmen fehlerbehaftet in die Recheneinheiten (CPU, Steuergerät) eingespeist, so dass die Verifikation des Algorithmus unzureichend ist bzw. mechanische Funktionsmodule fehlerhaft in das jeweilige System eingebaut, liegt ein Fabrikationsfehler vor.

Sind in den Fertigungsprozess der Produkte selbst bereits selbstständig veränderliche Systeme involviert, erhalten die Verkehrssicherungspflichten in der Fabrikationsphase eine InTeR 2016 S. 58 (62)ganz neue rechtliche Relevanz. Dies ist beispielsweise dann der Fall, wenn ein zu produzierendes Auto sich selbst bei Zulieferern fehlerhafte Bauteile bestellt oder ein an einem Produkt angebrachter RFID-Chip falsche aus der Cloud geladene Daten erhält, was zu einer Fehlsteuerung im Fertigungsprozess führt.63 Auch für den Einsatz solcher Systeme muss der Hersteller die Verantwortung übernehmen, wenn es letztlich zu einem Fabrikationsfehler beim herzustellenden Produkt kommt. Schließlich liegt die Entscheidung, wie er seine Fabrikationsabläufe strukturiert, bei ihm.64

Etwaige Regressansprüche gegen den Produzenten der in der Fabrikationsphase eingesetzten Systeme durch den „geschädigten“ Hersteller bleiben davon unberührt.

cc) Instruktionspflicht

Selbst wenn der Hersteller das Produkt ordnungsgemäß konstruiert und gefertigt hat, kann er schadenersatzpflichtig werden, wenn er die Instruktionspflicht verletzt.65

Dies ist insbesondere dann der Fall, wenn die Anwendung eines Produkts mit Restrisiken verbunden ist.66 Die Rechtsordnung muss Restrisiken akzeptieren, da andernfalls eine Hemmung technischer Innovationen die Folge wäre. Daher wird auch von der Rechtsprechung nicht gefordert, ausschließlich Produkte ohne technisches Risiko auf den Markt zu bringen.67 Vielmehr werden neue Produkte zugelassen, wenn ihr Nutzen den potentiellen Schaden deutlich übersteigt. Je nachvollziehbarer und beherrschbarer das Risiko eines Produkts erscheint, desto vertretbarer ist es aus rechtlicher Sicht. Hierbei stellt sich ein Produkt insbesondere dann als rechtlich vertretbar dar, wenn seine bestimmungsgemäße Benutzung unschädlich ist.68 Diese Figur wird – vorwiegend im Strafrecht – als das „erlaubte Risiko“ bezeichnet.69

Verbleibt ein Restrisiko, muss der Hersteller Sorge dafür tragen, dass dem Verwender eine ausreichende Belehrung über die Nutzung und die Gefahren zugeht.70 Ein sachgerechter Umgang mit dem Produkt kann schließlich nur erfolgen, wenn der Nutzer über die spezifischen sicherheitsrelevanten Eigenschaften des Produktes informiert worden ist.71 Dabei geht die herrschende Ansicht bei der Bemessung der konkreten Instruktionspflicht über den bestimmungsgemäßen Gebrauch hinaus.72 Auch der naheliegende Fehlgebrauch muss in einem Warnhinweis formuliert werden.73 Der bewusste Missbrauch eines Produkts bildet die Grenze.74 Selbst diese überschritt der Bundesgerichtshof jedoch in der Vergangenheit, indem er vom Hersteller einen Warnhinweis auch bezüglich eines Missbrauchs, der durch eine Zweckentfremdung entsteht, forderte.75 Eine solche Hinweispflicht kommt jedoch nur dann in Betracht, wenn ein im Bereich des Vorhersehbaren liegender Produktmissbrauch schwerwiegende Gefahren hervorruft.76

Generell ist bereits bei einem ernstzunehmenden Gefahrenverdacht ein Hinweis auszusprechen.77 Die strengen Anforderungen sind sachgerecht, da eine Warnung nur mit geringen Kosten für den Hersteller verbunden ist.78 Auf der anderen Seite darf die Instruktionspflicht nicht ausufern. Mit zunehmender Häufung der Warnhinweise droht eine Informationsüberflutung, mit der Folge, dass die wirklich relevanten Hinweise in der Masse untergehen.79 Insbesondere vor allgemein bekannten Gefahren ist nicht zu warnen.80

Diese Grundsätze finden auch im Bereich der selbstständig veränderlichen Systeme Anwendung und nehmen hier eine besondere Stellung ein. Vielfach werden Reaktionsweisen – auch korrekt entwickelter und produzierter – selbstständig veränderlicher Systeme nämlich kaum vorhersehbar sein.81 Damit weicht das Gefahrenpotential eines selbstständig veränderlichen Systems signifikant von einem konventionellen Produkt ab. Entsprechend muss der Produzent über die selbstständig veränderlichen Eigenschaften des Produkts sowie die erforderliche Überwachung seiner Funktionen durch den Verwender umfassend aufklären.

dd) Produktbeobachtungspflicht

Mit dem Inverkehrbringen eines Produkts enden die Pflichten des Herstellers noch nicht. Vielmehr hat er mit dem Inverkehrbringen eine fortdauernde potentielle Gefahrenquelle geschaffen, deren Ursache stets aus seiner Sphäre stammt.82 Entsprechend ist er verpflichtet, seine Produkte laufend zu beobachten, um auf später auftretende Risiken reagieren zu können.83 Zeigen sich nach dem Inverkehrbringen der Produkte Gefahren, resultieren hieraus weitergehende Pflichten des Herstellers – etwa eine nachträglich erweiterte Instruktions- und Warnpflicht sowie die Umstellung der weiteren Produktion, also des Konstruktions- und/oder Fertigungsprozesses.84 Nötigenfalls besteht die Pflicht zum Produktrückruf.85 Diese Maßnahme entstammt dem öffentlich-rechtlichen Produktsicherheitsrecht. Im Kontext der zivilrechtlichen Haftung ist sie umstritten.86 Mit der wohl herrschenden Ansicht ist jedoch davon auszugehen, dass eine Rückrufpflicht bei der Gefährdung hochrangiger Rechtsgüter, insbesondere Leib und Leben, jedenfalls besteht.87

Der Umfang der Produktbeobachtungspflicht richtet sich nach den allgemeinen Regeln, die bereits erörtert worden sind: Er ist abhängig von der Intensität des drohenden Schadens sowie der Möglichkeit und wirtschaftlichen Zumutbarkeit der Beobachtungsmaßnahmen.88 Die Beobachtungsmaßnahmen lassen sich in passive und aktive Pflichten InTeR 2016 S. 58 (63)unterteilen: Während sich die passive Beobachtungspflicht auf die Annahme und Analyse von Kundenbeschwerden beschränkt, ist mit der aktiven Beobachtungspflicht das eigenständige Generieren von Informationen über potentielle Risiken des eigenen Produkts zu verstehen.89

Angesichts der rasant wachsenden Bedeutung sozialer Netzwerke gilt es zu klären, ob der Hersteller im Rahmen der passiven Beobachtungspflicht auch Schadensmeldungen, die über Hashtags (#productrecall, #productdefect) in den Social Media erfolgen, im Auge behalten muss.90

Auch durch die fortschreitende Digitalisierung haben sich die Möglichkeiten des Herstellers, seine Produkte zu überwachen, vervielfacht. So besteht die Möglichkeit, Produkte mit Chips zu versehen, die Störungen oder Fehlfunktionen an den Hersteller übermitteln. Dies bietet sich gerade für selbstständig veränderliche Systeme an, die aufgrund ihrer Programmierung in der Lage sein können, Gefahren bereits frühzeitig zu „erkennen“ und eigenständig eine Meldung an den Hersteller zu senden. Aus rechtlicher Sicht ergeben sich hier zwar neue Fragen zum Eigentums- und Datenschutz; diese sind jedoch nicht Gegenstand dieses Beitrags.

ee) Beweislastumkehr

Die ständige Rechtsprechung nimmt bei der Verletzung einer Verkehrssicherungspflicht eine Beweislastumkehr sowohl hinsichtlich der objektiven Pflichtwidrigkeit,91 als auch hinsichtlich des Verschuldens92 des Herstellers an.93 Diese hat zur Folge, dass der Hersteller den Beweis erbringen muss, dass ihn kein Verschulden trifft. Für diese Umkehr der Beweislast spricht die bessere Überblickbarkeit der Risiken für den Hersteller, aus dessen Produktionssphäre sie ja stammen.94

b) Verschulden

Die Pflicht, den „Stand von Wissenschaft und Technik“ zu beachten, ergibt sich im Rahmen des § 823 Abs. 1 BGB daraus, dass ein Verschulden bezüglich der Rechtsgutsverletzung gefordert wird. Ein solches Verschulden liegt bei Vorsatz, aber auch bereits bei fahrlässigem Verhalten in Bezug auf die Verletzung des Rechtsguts vor. Fahrlässigkeit meint das Außerachtlassen der im Verkehr erforderlichen Sorgfalt. Im Verkehr des Rechtskreises eines Herstellers ist es erforderlich, die Konstruktion, Fertigung etc. der technischen Produkte und Systeme nach dem aktuellen „Stand von Wissenschaft und Technik“ vorzunehmen. Werden die Verkehrssicherungspflichten nicht erfüllt, ist in einem nächsten Schritt zu prüfen, ob der Hersteller dieses Fehlverhalten persönlich hätte vorhersehen können.95 Es wird also zusätzlich eine subjektive Vorhersehbarkeit gefordert. Im Rahmen dieser subjektiven Komponente kommt es, anders als bei der oben dargestellten objektiven Vorhersehbarkeit, ausschließlich auf die in der jeweiligen Branche vorhandenen Erkenntnisse an.96 Die Rechtsprechung spricht insoweit von „vernünftigerweise vorhersehbarer Fehlanwendung“.97

Besondere Relevanz kommt dem Aspekt des fahrlässigen Handelns im Bereich der selbstständig veränderlichen Systeme zu, denn auch hier gilt dem Grundsatz nach das Verschuldensprinzip: Dem Hersteller ist ein Fehlverhalten nur dann vorwerfbar, wenn das erlernte Verhalten des technischen Systems für ihn vorhersehbar war. Relevant wird damit, inwieweit der Hersteller zukünftiges eigenständiges Handeln selbstständig veränderlicher Systeme voraussehen und potentielle Schädigungen im Vorfeld ausschließen kann. Dieses Ineinandergreifen aus technischer Vorhersehbarkeit und juristischer Folgenabschätzung verdeutlicht die Notwendigkeit einer möglichst interdisziplinären Erforschung innovativer, selbstständig veränderlicher Systeme.

Tritt bei einem selbstständig veränderlichen System ein „Fehler“ auf, ist folglich stets zu prüfen, ob dieser auf einen Konstruktionsfehler des Herstellers z. B. durch widersprüchliche oder schlicht fehlerhafte eingespeiste Prozessdaten bzw. falsche Annahmen beim Bedienerwissen zurückzuführen ist.98 Hier ist es nur schwer möglich, mit Bezug auf das handelnde System von einer „vernünftigerweise“ vorhersehbaren Fehlanwendung zu sprechen. Der Maßstab der „Vernunft“ versagt als verantwortungsbegrenzendes Kriterium.99

Bislang noch weitestgehend unerforscht ist die sich nun zwingend stellende Folgefrage, welches Kriterium an Stelle der Vernunft für selbstständig veränderliche Produkte und Systeme heranzuziehen ist. In der rechtswissenschaftlichen Literatur werden dazu insbesondere zwei Alternativen diskutiert: Zum einen die Abgrenzung nach Risikosphären, zum anderen den weitergehenden Schritt zur Schaffung einer reinen Gefährdungshaftung.100

In jedem Fall gilt es, die Verantwortlichkeit für den Gebrauch eines selbstständig veränderlichen Systems zwischen Hersteller und Verwender interessengerecht zu verteilen.

Die Abgrenzung nach Risikosphären erfolgt durch eine wertende Beurteilung der potentiell auftretenden Risiken eines Fehlverhaltens. Dem liegt der Gedanke zu Grunde, dass auch in einem selbstständig veränderlichen System stets eine menschliche Komponente steckt, regelmäßig nämlich ein Zusammenwirken von Entwicklern, Herstellern, Betreibern etc.101 Damit kann eine Zurechnung des Risikos des Fehlverhaltens des Systems in Form einer Garantenhaftung erfolgen.102 Diese Form der Zurechnung ist bereits im Strafrecht allgemein anerkannt und könnte sich dem Grunde nach übertragen lassen. Inwiefern dies konkret auszugestalten ist, bedarf einer ausgiebigen Erörterung, die an dieser Stelle nicht erfolgen kann.

Alternativ zur Abgrenzung nach Risikosphären wird die Schaffung einer neuen Gefährdungshaftung sui generis diskutiert.103 Diese geht weit über die rechtsfortbildenden InTeR 2016 S. 58 (64)Kompetenzen der Gerichtsbarkeit hinaus;104 eine Auslegung vorhandener Normen ist stets auf den Gesetzeswortlaut beschränkt. Die Befürworter des Gedankens, die Gefährdungshaftung auf weitere Lebenssachverhalte auszudehnen, müssen folglich für die Schaffung einer neuen Haftungsnorm plädieren. Nahe liegt eine gefährdungshaftungsrechtliche Generalklausel, die neben den bisher bestehenden Fallgruppen eine Grundlage für neue innovative Technologien bietet. Dies würde eine flexiblere Handhabung künftiger Haftungsfälle – gerade im Bereich der selbstständig veränderlichen Systeme – bieten. Die Anpassungsfähigkeit des Haftungsrechts könnte sich hierdurch markant verbessern.

Zu beachten ist jedoch, dass jede Generalklausel weit zu fassen ist, um flexibel genug auf verschiedene Sachverhaltskonstellationen reagieren zu können. Eine konkrete Ausgestaltung muss durch die Rechtsprechung erfolgen. Dies läuft der Intention, Sicherheit und Vertrauen zu schaffen, zuwider. Es wäre eine Ausgestaltung anzustreben, die ein Mindestmaß an konkreten Anforderungen erfüllt, um nicht gänzlich im Abstrakten zu bleiben. Bei der Vorbereitung und Konzeption des Rechtssetzungsvorhabens könnten Aspekte der Haftungsrechtsgeschichte, des Rechtsvergleichs und des Normierungsbestrebens in der Robotik eine entscheidende Rolle spielen.105 Aufschlussreich kann auch ein Abgleich mit dem früheren Umgang mit technischen Innovationen sein; so kann etwa die Verantwortlichkeit bei elektronischer Kommunikation, die auch für Rechtsverletzungen besteht, die nicht eigenhändig begangen worden sind, als Vergleichsparameter in die juristische Forschung zur Lösung der konzeptionellen Haftungslücke eingehen. Auch das Bilden einer Parallele zu anderen Gefährdungshaftungstatbeständen im BGB – wie jene der Tierhalterhaftung in § 833 BGB – kann instruktiv sein.106 Bei der Gefährdungshaftung soll schließlich stets derjenige, der zu seinem Nutzen rechtmäßig einen gefährlichen Betrieb eröffnet und unterhält, auch den Schaden tragen, der in der Verwirklichung des Risikos bei anderen entsteht und von diesen nicht verhindert werden kann.107 Eine gesetzliche Klarstellung würde den Hersteller innovativer technischer Systeme durch die Kalkulierbarkeit des Haftungsrisikos entlasten108 und die Verwendungsgefahr zumindest zum Teil auf den Nutzer verlagern. Zwingend erforderlich ist die Schaffung einer neuen Generalklausel freilich nicht. Die breite Kasuistik zu den oben erläuterten Verkehrssicherungspflichten ist ebenso geeignet, für jeden Einzelfall sach- und interessengerechte Lösungen zu entwickeln.109

c) Ursachenidentifikation im vernetzten System

Eine weitere Problematik, die sich im Rahmen der Produkt- bzw. Produzentenhaftung zeigt, ist die Ursachenidentifikation im vernetzten System. Für eine Haftung ist es zwingend erforderlich, einen Nachweis über die Kausalität eines Fehlers bzw. Schadens zu führen. In einem automatisierten Produktionsablauf mit einem Geflecht aus menschlichen und maschinellen Beziehungen gelingt die Rückverfolgung eines Fehlers etwa in einem zugelieferten Teilprodukt oder Werkstoff aber nicht ohne weiteres. Der automatisierte Produktionsprozess weist damit zur Zeit nur eine geringe Passfähigkeit zu der rechtlichen Anforderung der verlässlichen, zweifellosen Nachvollziehbarkeit einzelner Handlungen auf.

Vernetzte Systeme müssen folglich so agieren, dass eine Rückverfolgbarkeit (traceability) eines jeden Einzelteils und Vorgangs möglich ist. Hierzu kann es erforderlich sein, die im Rahmen der Rückverfolgung anfallenden Daten zu speichern, etwa in einer sog. Black Box. Im Rahmen eines späteren Schadenersatzprozesses gegen den Hersteller kann der Geschädigte den Beweis der Kausalität unter Umständen nur dann erbringen, wenn er diese Daten vom Hersteller erhält. Da im Zivilprozess aber allgemein der Beibringungsgrundsatz gilt, ist es grundsätzlich Sache des Klägers, also meist des Geschädigten, alle Tatsachen darzulegen und zu beweisen. Zugriff auf die Daten der Rückverfolgung hat er dabei freilich nicht. Vielmehr liegen diese Daten in der ausschließlichen Sphäre des Herstellers, dem es im Wege der sekundären Darlegungslast nunmehr prozessual obliegt, sie an den Kläger herauszugeben.110 Verweigert er dies – etwa, weil er die Rückverfolgbarkeit gar nicht gewährleisten konnte – treffen ihn nachteilige Folgen aus dem Grundsatz der Beweisvereitlung.111 Problematisch kann die Beweislage freilich werden, wenn keine eindeutige Zuordnung zu einer Verantwortungssphäre möglich ist, etwa, weil keine der Parteien Einfluss auf die Daten hat oder ein rechtswidriger Eingriff von außen (Sabotage) erfolgte.112

Die eindeutige Nachvollziehbarkeit der Produktentwicklung auch für selbstorganisierende Systeme zu gewährleisten, um Fehlerquellen und Haftungsverantwortliche sicher identifizieren zu können, ist Aufgabe der Ingenieurswissenschaften in enger Kooperation mit den Rechtswissenschaften.

4. Haftung nach § 1 Abs. 1 S. 1 ProdHaftG

Nachdem die Produzentenhaftung nach § 823 Abs. 1 BGB nun ausführlich erläutert worden ist, soll abschließend ein Blick auf die Produkthaftung nach dem Produkthaftungsgesetz (ProdHaftG) geworfen werden.

Das ProdHaftG knüpft allein an das Inverkehrbringen eines fehlerhaften Produkts durch den Hersteller an, ohne dass es auf ein Verschulden im Sinne einer persönlichen Vorwerfbarkeit ankäme.113

Die Anforderungen an den Hersteller sind dabei weitestgehend identisch mit jenen der Produzentenhaftung: Der aktuelle „Stand von Wissenschaft und Technik“ ist auch nach § 1 ProdHaftG zu beachten. Im Rahmen der Haftungsgrundlage des § 1 ProdHaftG ergibt sich dies aus der in § 3 ProdHaftG normierten Definition des Begriffs „Fehler“. Die Definition eines Fehlers stellt auf jene Sicherheit ab, die unter Berücksichtigung aller Umstände berechtigterweise erwartet werden kann. Was berechtigterweise erwartet werden darf, lässt sich wiederum nach dem „Stand von Wis¬InTeR 2016 S. 58 (65)senschaft und Technik“ im Zeitpunkt des Inverkehrbringens ermitteln. Der Hersteller hat dafür Sorge zu tragen, dass durch die von ihm geschaffene Gefahrenquelle keine andere Person oder Sache zu Schaden kommt.

Auch im Bereich des ProdHaftG lässt sich der Fehlerbegriff in diverse verhaltensbezogene Sorgfaltspflichten aufteilen, insbesondere in die bereits dargestellte Konstruktions-, Fabrikations-, Instruktions- sowie Produktbeobachtungspflicht.114 Auf die Besonderheit im Rahmen der Fabrikationspflicht, dass der Hersteller nach dem ProdHaftG auch für sog. Ausreißer haften muss, wurde hingewiesen.

IV. Ausblick und Fazit

Im Bereich der selbstständig veränderlichen technischen Systeme besteht großer – auch juristischer – Forschungsbedarf. Die Debatte über die innovativen Produkte und Systeme darf dabei aber nicht darüber hinwegtäuschen, dass das Haftungsrecht auch heute schon sachgerechte Lösungen bereithält. Ein vollständiges Umdenken ist demnach weder erforderlich noch sinnvoll. Vielmehr gilt es, die vorhandenen Normen an technische Systeme, die eigenständig auf unterschiedliche Umfeldsituationen reagieren, anzupassen. Dies kann durch sachgerechte Auslegung oder durch Anknüpfung an zulässige Rechtsfiguren, wie der Abgrenzung nach Risikosphären, gelingen. Nichtsdestotrotz spricht der Wunsch nach Rechtssicherheit für klare Vorgaben und einheitliche Normen.