Die neue Produkthaftungs-Richtlinie der EU - Ist es das Ende freier Software?

[Rollo62]

Hallo zusammen,

es kommt wie immer, fast wöchentlich, neues Ungemach aus Brüssel.
Wer hat sich schonmal mit der PLD Richtlinie beschäftigt, die ist wohl durch.
https://www.trade-e-bility.de/news/p...ngsrichtlinie/

https://www.nomos.de/wp-content/uplo..._GesamtPDF.pdf

und hier die eigentlich Richtlinie
https://eur-lex.europa.eu/legal-cont...OJ:L_202402853

Das Fazit ist eigentlich:
- Jede Software ist ein "Produkt", auch freie Software, nur OpenSource-Code ist davon nicht betroffen.
- Hersteller wird jeder, wer das in der EU anbietet, also ein USA-Tool hier auf einer Webseite un zack: "Du bist Hersteller"
- Der Hersteller ist voll für Fehler haftbar, egal ob der Fehler aus einer eingebauten Komponente kommt
- Wird aus OpenSource ein ausführbarer Code, ist es ein Produkt.
- Schadenersatz ist generell anzusetzen, keine Klassifizierung in Risikogruppen, jede App kann beliebige Risiken haben
- Vertragliche Haftungsausschlüsse gibt es nicht mehr, es hafter der, den man zu fassen kriegt
- Haftungsgrenzen und Bagatellgrenzen sind aufgehoben
- Meiner Meinung nach ist auch eine Beweislastumkehr eingebaut, denn es kann jeder mit irren Behauptungen Schaden vorgeben
- Es werden die hyperkritischen Softwareprodukte, mit den allgemeinen Tools einfach in einen Topf geworfen

Was ich mich dazu Frage:
Wie ist das mit den ganzen freien Tools am Markt ( Node.js, PDF24, Gimp, XnView, Joomla, Wordpress, Vogelgeräusche-App, usw. usw. ) ?

Meiner Meinung nach wird es in Zukunft düster auf dem EU-Markt aussehen, mit den freien Tools, denn keiner kann und will sich solchen Risiken ausseten, für umsonst.
Das können am Ende nur sehr große Player, die eine eigene Rechtsabteilung haben, KMU und Hobbyanbieter fallen hinten runter.

Dass dies kein Unsinn ist, das sieht man villeicht schon an den KI-Tools, von denen einige nicht für die EU freigegeben sind,
und das ist von sehr großen Playern.
(Software mit KI-Bestandteilen ist da übrigens auch schon geregelt).

Trocknen wir uns hier sehenden Auges selber aus und werden technologisch links und rechts im Ferrari überholt?
Mein Gott, ich kann mit das Hohn-Gelächter über die EU aus USA, China, Indien und allen anderen schon gar nicht mehr vorstellen.

Ja, es gab und gibt schwarze Schafe, aber das ist die Minderheit.
Die meisten Firmen arbeiten redlich und versuchen das Beste anzubieten, was in ihren Möglichkeiten ist.
Für mich ist das ein Frontalangriff auf alle redlichen Unternehmen, nur um eine Minderheit von schwarzen Schafen auszumerzen.
Für einen kleinen, meiner Meinung nach ziemlich unnötigen und unklar definierten Gewinn, gegen ein paar böse Buben,
werden wieder alle Redlichen Mitbürger in Sippenhaft genommen, und für ihre Redlichkeit abgestraft.

Was meint Ihr dazu, müsste es da nicht eigentlich einen "Bauernprotest" gegen diesen Schwachsinn der EU Bürokraten geben,
oder findet Ihr das alles super und total notwendig?

Am Ende wird dadurch alles weniger Vielfältig, dafür aber wesentlich teurer, ist das das Ziel?

[sh17]

Kurze Antwort: Sehe ich genauso wie du.

D.h. heisst, wenn ich auf Open Source mache und der Nutzer sich es selbst kompiliert, dann hafte ich nicht?

Und wenn ich mein Open Source Produkt kompiliert anbiete, bin ich Hersteller?

[AuronTLG]

Zitat:

Artikel 2

(2) Diese Richtlinie gilt nicht für freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit entwickelt oder
bereitgestellt wird

Das würde freie Software doch ausschließen, oder habe ich irgendwas anderes übersehen?

[Uwe Raabe]

Zitat von AuronTLG:

Das würde freie Software doch ausschließen, oder habe ich irgendwas anderes übersehen?

Eventuell das und zwischen freie und quelloffene.

[Redeemer]

Ich habe die Auffassung, dass das Kompilieren einen Unterschied macht, bisher auch nicht gelesen.

Problem ist bloß, dass die englische Standardsprache nicht fähig ist, freie Software und Freeware zu unterscheiden. Gilt die Ausnahme für Freeware oder nur für freie Software? Da freie Software und Open Source i.a.R. dasselbe sind, könnte sogar Freeware gemeint sein.

Außerdem müsste man auch erst mal die Adresse von 0p3nS0u2c3L0v3r1258235283 herauszufinden, der das Ding auf Github hochgeladen hat. Viel Spaß dabei.

[Rollo62]

Zitat von sh17:

Kurze Antwort: Sehe ich genauso wie du.

D.h. heisst, wenn ich auf Open Source mache und der Nutzer sich es selbst kompiliert, dann hafte ich nicht?

Und wenn ich mein Open Source Produkt kompiliert anbiete, bin ich Hersteller?

Genau, so ist es wohl gedacht, aber das wird sich wohl erst in der Zukunft zeigen.
Aus den Erwägungsgründen

Zitat:

(14) Freie und quelloffene Software, deren Quellcode offen geteilt wird und auf die Nutzer frei zugreifen und die sie frei nutzen, verändern und weitergeben können, auch in veränderter Form,
kann zu Forschung und Innovation auf dem Markt beitragen.
Software dieser Art unterliegt Lizenzen, die jedermann die Freiheit einräumen, die Software auszuführen, zu kopieren, weiterzugeben, zu untersuchen, zu verändern und zu verbessern.
Um Innovation und Forschung nicht zu behindern, sollte diese Richtlinie nicht für freie und quelloffene Software gelten, die außerhalb einer Geschäftstätigkeit entwickelt oder
bereitgestellt wird, da Produkte, die auf diesem Wege entwickelt oder bereitgestellt werden, per definitionem nicht in Verkehr gebracht werden.
Die Entwicklung einer solchen Software oder die Mitwirkung an einer solchen Software sollten nicht als Bereitstellen auf dem Markt verstanden werden. Die

Bereitstellung einer solchen Software in offenen Speicherorten sollte nicht als Bereitstellen dieser Software auf dem Markt betrachtet werden, es sei denn, die Bereitstellung erfolgt im Rahmen einer Geschäftstätigkeit. Grundsätzlich sollte die Bereitstellung freier und quelloffener Software durch Organisationen ohne Erwerbszweck nicht als in einem geschäftsbezogenen Kontext erfolgend betrachtet werden, es sei denn, eine solche Bereitstellung erfolgt im Rahmen einer Geschäftstätigkeit.
Wird Software jedoch gegen einen Preis oder gegen personenbezogene Daten, die auf andere Weise als ausschließlich zur Verbesserung der Sicherheit, Kompatibilität oder Interoperabilität der
Software verwendet werden, bereitgestellt und wird sie daher im Rahmen einer Geschäftstätigkeit bereitgestellt, sollte die vorliegende Richtlinie Anwendung finden.

(15) Wenn freie und quelloffene Software, die nicht im Rahmen einer Geschäftstätigkeit bereitgestellt wird, anschließend von einem Hersteller im Rahmen einer Geschäftstätigkeit als Komponente
in ein Produkt integriert und damit in Verkehr gebracht wird, sollte es möglich sein, diesen Hersteller für Schäden haftbar zu machen, die durch die Fehlerhaftigkeit einer solchen Software
verursacht werden, nicht aber den Hersteller der Software, weil der Hersteller der Software die Bedingungen für das Inverkehrbringen eines Produkts oder einer Komponente nicht erfüllt hätte.

Wenn Du aber eine Firma hast, was in 99% der Fälle wohl so sein wird, hast Du dann eine Geschäftstätigkeit, oder nicht?
Auch wenn die freie Software nur ein Image- Werbeträger für dein sonstiges Geschäft ist,
halte ich das für eine Geschäftstätigkeit in diesem Sinne.
Zumindest ist nichts konkret ausgeschlossen, das müssen erst noch die Gerichte klären, hoffentlich nicht zuerst bei mir

[Uwe Raabe]

Auch interessant:

Zitat:

(22) Im Einklang mit dem Ziel dieser Richtlinie, ausschließlich natürlichen Personen den Zugang zu Schadensersatz zu
ermöglichen, sollte für Schäden an Sachen, die ausschließlich für berufliche Zwecke genutzt werden, auf der
Grundlage dieser Richtlinie kein Schadensersatz geleistet werden.

[himitsu]

Zitat:

das sieht man villeicht schon an den KI-Tools, von denen einige nicht für die EU freigegeben sind,

Das liegt aber am Datenschutz und nicht an der Produkthaftung.

[Rollo62]

Also, wem das noch nicht reicht, für den habe ich auch noch die Cybersicherheits-Verordnung, die auch gerade raus ist.
Da wird auch auf opensource eingegangen, aber ansonsten fallen alle "Produkte" darunter, egal was es ist.
Gemünzt ist es vielleicht aud freie Betriebsysteme, Linux-Derivate werden demnächst wohl weniger werden,
aber nirgends wird ausgeschlossen, was irgendwie sonstige Software ist.
Alles wird gleichermaßen hart behandelt.

Hier im Original
https://www.ibf-solutions.com/filead...24-2847-de.pdf

Zitat:

CRA: Richtlinientext: VERORDNUNG (EU) 2024/2847 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr. 168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cyberresilienz-Verordnung)

...

CRA: KAPITEL II - PFLICHTEN DER WIRTSCHAFTSAKTEURE UND BESTIMMUNGEN IN BEZUG AUF FREIE UND QUELLOFFENE SOFTWARE
CRA: Artikel 13 - Pflichten der Hersteller

(1) Wenn sie ein Produkt mit digitalen Elementen in den Verkehr bringen, gewährleisten die Hersteller, dass dieses Produkt gemäß den grundlegenden Cybersicherheitsanforderungen
in Anhang I Teil I konzipiert, entwickelt und hergestellt worden ist.

(2) Für die Zwecke der Erfüllung von Absatz 1 führen die Hersteller eine Bewertung der Cybersicherheitsrisiken durch, die ein Produkt mit digitalen Elementen birgt, und berücksichtigen
das Ergebnis dieser Bewertung in der Planungs-, Konzeptions-, Entwicklungs-, Herstellungs-, Liefer- und Wartungsphase des Produkts mit digitalen Elementen, um die Cybersicherheitsrisiken
zu minimieren, Sicherheitsvorfälle zu verhindern und die Auswirkungen solcher Sicherheitsvorfälle, auch in Bezug auf die Gesundheit und Sicherheit der Nutzer, so gering wie möglich zu halten.

(3) Die Bewertung des Cybersicherheitsrisikos wird während eines gemäß Absatz 8 festzulegenden Unterstützungszeitraums dokumentiert und gegebenenfalls aktualisiert. Diese Bewertung des
Cybersicherheitsrisikos umfasst mindestens eine Analyse der Cybersicherheitsrisiken auf der Grundlage der Zweckbestimmung und der vernünftigerweise vorhersehbaren Verwendung des
Produkts mit digitalen Elementen, wie der Betriebsumgebung oder der zu schützenden Anlagen, wobei die voraussichtliche Nutzungsdauer des Produkts berücksichtigt wird. In der Bewertung
des Cybersicherheitsrisikos wird angegeben, ob und gegebenenfalls in welcher Weise die Sicherheitsanforderungen gemäß Anhang I Teil I Nummer 2 auf das einschlägige Produkt mit digitalen
Elementen anwendbar sind und wie diese Anforderungen auf der Grundlage der Bewertung des Cybersicherheitsrisikos umgesetzt werden. Ferner ist anzugeben,
wie der Hersteller Anhang I Teil I Nummer 1 anzuwenden hat und welche Anforderungen an die Behandlung von Schwachstellen in Anhang I Teil II festgelegt sind.

(4) Wenn er ein Produkt mit digitalen Elementen in den Verkehr bringt, nimmt der Hersteller die Bewertung der Cybersicherheitsrisiken gemäß Absatz 3 in die gemäß Artikel 31 und Anhang VII
vorgeschriebene technische Dokumentation auf. Bei Produkten mit digitalen Elementen gemäß Artikel 12, die auch anderen Unionsrechtsvorschriften unterliegen, kann die Bewertung der
Cybersicherheitsrisiken auch Teil der in den betreffenden Unionsrechtsvorschriften geforderten Risikobewertungen sein. Sind bestimmte grundlegende Cybersicherheitsanforderungen nicht auf
das Produkt mit digitalen Elementen anwendbar, so nimmt der Hersteller eine klare Begründung hierfür in diese technische Dokumentation auf.

(5) Für die Zwecke der Erfüllung der in Absatz 1 festgelegten Pflicht lassen die Hersteller die gebotene Sorgfalt walten, wenn sie von Dritten bezogene Komponenten in ihre Produkte mit digitalen
Elementen integrieren, sodass solche Komponenten die Cybersicherheit des Produkts mit digitalen Elementen nicht beeinträchtigen, auch nicht bei der Integration von freier und quelloffener
Software, die nicht im Rahmen einer Geschäftstätigkeit auf dem Markt bereitgestellt wurde.


(6) Sobald der Hersteller eine Schwachstelle in einer in das Produkt mit digitalen Elementen integrierten Komponente, einschließlich einer quelloffenen Komponente, feststellt, meldet er die
Schwachstelle der Person oder Einrichtung, die diese Komponente herstellt oder wartet, und behandelt und behebt die Schwachstelle gemäß den in Anhang I Teil II festgelegten
Anforderungen an die Behandlung von Schwachstellen. Haben Hersteller eine Software- oder Hardware-Änderung entwickelt, um die Schwachstelle in dieser Komponente zu beheben, teilen
sie den betreffenden Code oder die einschlägigen Unterlagen der Person oder Stelle, die die Komponente herstellt oder wartet, gegebenenfalls in einem maschinenlesbaren Format mit.

(7) Der Hersteller dokumentiert systematisch und in einer der Art der Cybersicherheitsrisiken angemessenen Weise alle relevanten Cybersicherheitsaspekte des Produkts mit digitalen Elementen,
einschließlich der Schwachstellen, von denen er Kenntnis erlangt, und aller von Dritten bereitgestellten einschlägigen Informationen und aktualisiert gegebenenfalls die Bewertung der
Cybersicherheitsrisiken des Produkts.

(8) Wenn sie ein Produkt mit digitalen Elementen in den Verkehr bringen und während der erwarteten Produktlebensdauer und des Unterstützungszeitraums stellen die Hersteller sicher, dass
Schwachstellen dieses Produkts, einschließlich seiner Komponenten, wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II behandelt werden.

Die Hersteller legen den Unterstützungszeitraum so fest, dass er die Dauer der voraussichtlichen Nutzung des Produkts widerspiegelt, wobei sie insbesondere angemessenen Erwartungen der
Nutzer, der Art des Produkts, einschließlich seiner Zweckbestimmung, sowie den einschlägigen Rechtsvorschriften der Union zur Festlegung der Lebensdauer von Produkten mit digitalen
Elementen Rechnung tragen. Bei der Festlegung des Unterstützungszeitraums können die Hersteller auch die Unterstützungszeiträume für Produkte mit digitalen Elementen mit einer ähnlichen
Funktion, die von anderen Herstellern in den Verkehr gebracht werden, die Verfügbarkeit der Betriebsumgebung, die Unterstützungszeiträume für integrierte Komponenten, die Kernfunktionen
erbringen und von Dritten bezogen werden, sowie die einschlägigen Leitlinien der gemäß Artikel 52 Absatz 15 eingesetzten besondere Gruppe zur administrativen Zusammenarbeit (ADCO) und
der Kommission berücksichtigen. Die zur Bestimmung des Unterstützungszeitraums zu berücksichtigenden Aspekte werden in einer Weise berücksichtigt, die die Verhältnismäßigkeit
gewährleistet.

Unbeschadet Unterabsatz 2 beträgt der Unterstützungszeitraum mindestens fünf Jahre. Wird davon ausgegangen, dass das Produkt mit digitalen Elementen weniger als fünf Jahre im Betrieb
ist, muss der Unterstützungszeitraum der voraussichtlichen Nutzungsdauer entsprechen.

Unter Berücksichtigung der ADCO-Empfehlungen gemäß Artikel 52 Absatz 16 kann die Kommission gemäß Artikel 61 delegierte Rechtsakte erlassen, um diese Verordnung durch die Festlegung
des Mindestunterstützungszeitraums für bestimmte Produktkategorien zu ergänzen, wenn die Marktüberwachungsdaten auf unangemessene Unterstützungszeiträume hindeuten.
Die Hersteller nehmen die Informationen, die bei der Bestimmung des Unterstützungszeitraums eines Produkts mit digitalen Elementen berücksichtigt wurden, in die technische Dokumentation
gemäß Anhang VII auf.
Die Hersteller haben geeignete Strategien und Verfahren, darunter eine Strategie für die koordinierte Offenlegung von Schwachstellen gemäß Anhang I Teil II Nummer 5, um potenzielle
Schwachstellen in dem Produkt mit digitalen Elementen, die von internen oder externen Quellen gemeldet werden, zu bearbeiten und zu beheben.

(9) Die Hersteller gewährleisten, dass jede Sicherheitsaktualisierung gemäß Anhang I Teil II Nummer 8, die den Nutzern während des Unterstützungszeitraums zur Verfügung gestellt wurde, nach
ihrer Bereitstellung für mindestens zehn Jahre oder für die verbleibende Dauer des Unterstützungszeitraums, je nachdem, welcher Zeitraum länger ist, verfügbar bleibt.

(10) Hat ein Hersteller nachfolgende wesentlich geänderte Versionen eines Softwareprodukts in den Verkehr gebracht, so kann er die Sicherstellung der Einhaltung der in Anhang I Teil II Nummer 2
festgelegten grundlegenden Cybersicherheitsanforderung auf die Version beschränken, die der Hersteller zuletzt in den Verkehr gebracht hat, sofern die Nutzer der zuvor in den Verkehr
gebrachten Version kostenlos Zugang zu der zuletzt in den Verkehr gebrachten Version haben und ihnen keine zusätzlichen Kosten für die Anpassung der Hardware- und Softwareumgebung
entstehen, in der sie die Originalversion dieses Produkts verwenden.

(11) Die Hersteller können öffentliche Softwarearchive unterhalten, die den Nutzern den Zugang zu historischen Versionen erleichtern. In diesen Fällen werden die Nutzer klar und in leicht
zugänglicher Form über die Risiken im Zusammenhang mit der Verwendung nicht unterstützter Software informiert.

(12) Bevor sie ein Produkt mit digitalen Elementen in den Verkehr bringen, erstellen die Hersteller die in Artikel 31 genannte technische Dokumentation.
Sie führen die gewählten Konformitätsbewertungsverfahren gemäß Artikel 32 durch oder lassen sie durchführen.
Ist mit diesem Konformitätsbewertungsverfahren nachgewiesen worden, dass das Produkt mit digitalen Elementen den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I
genügt und die vom Hersteller festgelegten Verfahren den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II genügen, so stellen die Hersteller die EU-Konformitätserklärung
gemäß Artikel 28 aus und bringen die CE-Kennzeichnung gemäß Artikel 30 an.

(13) Die Hersteller bewahren die technische Dokumentation und die EU-Konformitätserklärung nach dem Inverkehrbringen des Produkts mit digitalen Elementen mindestens zehn Jahre lang oder
für die Dauer des Unterstützungszeitraums, je nachdem, welcher Zeitraum länger ist, für die Marktüberwachungsbehörden auf.

(14) Die Hersteller gewährleisten durch geeignete Verfahren, dass die Konformität von Produkten mit digitalen Elementen mit dieser Verordnung bei einer Serienherstellung sichergestellt bleibt.
Die Hersteller berücksichtigen in angemessener Weise etwaige Änderungen am Entwicklungs- und Herstellungsverfahren oder an der Konzeption oder den Merkmalen des Produkts mit
digitalen Elementen sowie Änderungen der harmonisierten Normen, der europäischen Schemata für die Cybersicherheitszertifizierung oder der in Artikel 27 genannten gemeinsamen
Spezifikationen, die bei der Erklärung der Konformität des Produkts mit digitalen Elementen zugrunde gelegt oder bei der Überprüfung seiner Konformität angewandt wurden.

(15) Die Hersteller gewährleisten, dass ihre Produkte mit digitalen Elementen eine Typen-, Chargen- oder Seriennummer oder ein anderes Kennzeichen zu ihrer Identifikation tragen, oder, falls
dies nicht möglich ist, dass die diese Informationen auf der Verpackung oder in den dem Produkt mit digitalen Elementen beigefügten Unterlagen angegeben werden.

(16) Die Hersteller geben den Namen, den eingetragenen Handelsnamen oder die eingetragene Handelsmarke des Herstellers, die Postanschrift, die E-Mail-Adresse oder andere digitale
Kontaktangaben sowie, soweit vorhanden, die Website, unter der der Hersteller zu erreichen ist, entweder auf dem Produkt mit digitalen Elementen selbst oder, wenn dies nicht möglich ist, auf
der Verpackung oder in den dem Produkt mit digitalen Elementen beigefügten Unterlagen an. Diese Informationen werden auch in die in Informationen und Anleitungen für den Nutzer gemäß
Anhang II aufgenommen. Die Kontaktangaben sind in einer Sprache abzufassen, die von den Nutzern und den Marktüberwachungsbehörden leicht verstanden werden kann.

(17) Für die Zwecke dieser Verordnung benennen die Hersteller eine zentrale Anlaufstelle, die es den Nutzern ermöglicht, direkt und schnell mit ihnen zu kommunizieren, auch um die Meldung von
Schwachstellen des Produkts mit digitalen Elementen zu erleichtern.

[Rollo62]

Zitat von Uwe Raabe:

Auch interessant:

Zitat:

(22) Im Einklang mit dem Ziel dieser Richtlinie, ausschließlich natürlichen Personen den Zugang zu Schadensersatz zu
ermöglichen, sollte für Schäden an Sachen, die ausschließlich für berufliche Zwecke genutzt werden, auf der
Grundlage dieser Richtlinie kein Schadensersatz geleistet werden.

Das stimmt, aber an anderer Stelle wird auch das "Weitergeben von Rechten" an andere Organisation explizit erlaubt,
sprich Abmahnvereine, Sammelklagen, usw. ...

Die Zukunft sieht düster aus, endlich werden die Dystopischen 80er Filme Realität
Da hofft man quasi, dass eine intelligente KI endlich die Weltherrschaft übernimmt.