Jusletter IT

Selbstfahrende Autos sind in den Medien ein viel beachtetes Thema,¹ Fragen rund um die Programmierung ethischer Dilemmata bewegen die Gesellschaft,² der Wunsch nach Zulassung selbstfahrender Autos scheint bei Herstellern und Konsumenten immer grösser zu werden.³ Die Diskussionen rund um die rechtlichen Rahmenbedingungen sind bei weitem noch nicht abgeschlossen; gleichzeitig wurden aber bereits einige durch selbstfahrende Fahrzeuge verursachte Unfälle bekannt.⁴ Es ist Ziel der nachfolgenden Ausführungen, einen Überblick über die zivilrechtliche Verantwortlichkeit für den Einsatz vollständig automatisierter, selbstfahrender Autos zu bieten, offene Fragen aufzuzeigen und Diskussionsfelder zu öffnen.

Es ist bei automatisierten Fahrzeugen zwischen verschiedenen Graden der Automatisierung zu unterscheiden. Gängig erscheint heute die zuerst von der Deutschen Bundesanstalt für Strassenwesen BASt vorgenommene Differenzierung nach «driver only»-Systemen (Nicht-Automatisierung), assistierten Systemen, Teil-, Hoch- und Vollautomatisierung.⁵ Assistenzsysteme automatisieren nach dieser Definition nur entweder die Quer- oder die Längsführung des Fahrzeugs⁶, während die jeweils andere Aufgabe ständig vom Fahrer ausgeübt wird.⁷ Assistenzsysteme können übersteuerbar oder nicht übersteuerbar sein.⁸

Teilautomatisierte Systeme übernehmen für eine gewisse Zeit oder in spezifischen Situationen sowohl die Quer- als auch die Längsführung.⁹ Die Überwachungsaufgabe obliegt dem Fahrer, der jederzeit eingreifen kann und muss.¹⁰ Bereits bei Hochautomatisierung, wo das System ebenfalls Quer- und Längsführung für eine gewisse Zeit oder eine spezifische Situation übernimmt, muss der Fahrer das System nicht dauerhaft überwachen. Das System fordert den Fahrer bei Bedarf mit ausreichender Zeitreserve auf, die Fahraufgabe zu übernehmen.¹¹

Ein vollautomatisiertes System übernimmt das Fahren (Quer- und Längsführung) vollständig in einem definierten Anwendungsfall, beispielsweise auf der ganzen Autobahnstrecke.¹² Den Fahrer trifft keine Überwachungspflicht.¹³

Objekte der vorliegenden Untersuchung sind selbstfahrende Autos, sog. «driverless cars», die eine ganze Fahrt selbstständig absolvieren können und möglicherweise gar nicht mehr mit Lenkrad, Gas- und Bremspedal ausgestattet sein werden.¹⁴ Hierbei handelt es sich um die höchste Stufe der Vollautomatisierung.¹⁵ Anders als bei der oben definierten Vollautomatisierung wird das Fahren bei selbstfahrenden Autos nicht nur in einem definierten Anwendungsfall wie insbesondere auf der Autobahnstrecke übernommen, sondern auf der ganzen Strecke. Es handelt sich also gewissermassen um eine vollständige Vollautomatisierung;¹⁶ oft wird in diesem Zusammenhang von autonomem Fahren bzw. autonomen Fahrzeugen gesprochen.¹⁷ Nachfolgend wird grundsätzlich die Terminologie «selbstfahrend» verwendet, um diese höchste Stufe zu beschreiben. Bei dieser vollständigen Vollautomatisierung besteht keine Pflicht eines menschlichen Fahrers mehr, das Fahrzeug ständig unter Kontrolle zu halten – nicht nur auf beschränkten Streckenabschnitten, sondern ganz grundsätzlich. Zurzeit sind solche Fahrzeuge auf unseren Strassen nur in Testbetrieben unterwegs.¹⁸ Da es sich aber bei diesem Stadium der Automatisierung um das von den Herstellern verfolgte Ziel handelt,¹⁹ das diese technologisch in wenigen Jahren bereits erreicht haben wollen,²⁰ rechtfertigt sich die Frage nach der zivilrechtlichen Haftung bei Inbetriebnahme solcher Fahrzeuge. Solange nämlich ein menschlicher Fahrer bei einem Autopilot-Betrieb jederzeit verpflichtet ist, die Kontrolle über sein Fahrzeug zu haben, diese auch jederzeit selbst übernehmen kann und das Fahrzeug übersteuern kann, bestehen im Hinblick auf die Sorgfaltspflichten und die Verantwortlichkeit von Fahrer, Halter und Hersteller m.E. weniger Unterschiede als bei einer vollständigen Automatisierung.²¹

Selbstfahrende Autos stellen nicht nur technologisch einen Meilenstein der Entwicklung dar,²² sondern konfrontieren uns auch in rechtlicher Hinsicht mit vielen Herausforderungen. Zunächst ist relevant, dass wir es nicht mehr mit einem menschlichen Fahrer zu tun haben. Im heutigen Individualverkehr spielt der Fahrer eine zentrale Rolle, was sich auch bei der Ausgestaltung der Sorgfaltspflichten im Haftungsrecht widerspiegelt. Weiter stellen die Komplexität der Systeme und die notwendige Vernetzung des automatisierten Verkehrs eine grosse Herausforderung dar. Derart automatisierte Autos sind nicht Autos mit Computer-Unterstützung, sondern viel eher mit Computer auf vier Rädern. Wir sehen uns zudem zunehmend mit lernfähigen Systemen konfrontiert, deren Lernerfolg vom Programmierer nicht bis ins Letzte vorausgesehen werden kann. Selbstfahrende Autos sind fähig, ihre Umgebung selbstständig wahrzunehmen, die aus ihrer eigenen Wahrnehmung gewonnenen Erkenntnisse auszuwerten und entsprechend dieser Erkenntnisse zu handeln. Solche Autos müssen insbesondere auch fähig sein, unbekannte, neue Situationen einzuschätzen, einzuordnen und sich für das der Situation angepasste Handeln entscheiden. Die das Fahrverhalten solcher Autos kontrollierenden Algorithmen sind Machine Learning basiert, d.h. sie werden mit grossen Mengen an Daten trainiert und sind nach einer Trainings- und Optimierungsphase fähig, unbekannte Objekte mit einer möglichst geringen Fehlerquote zu erkennen. Die Kontrolle und Überwachung dieser Systeme nach Inverkehrbringen ist aus technischer Sicht zentral.²³

Aufgrund der notwendigen Vernetzung der Systeme und der grossen Datenmengen, die generiert, gespeichert und an den Hersteller oder einen Dritten übermittelt werden, besteht eine grosse Gefahr der Angriffe von aussen. Als nächste rechtliche Herausforderung ist das mögliche Hinzutreten zusätzlicher relevanter Akteure zu nennen: Hier ist mit Gless/Janal insbesondere an einen Dritten zu denken, der die Verantwortung für die Funktionstüchtigkeit des Steuerungssystems, insbesondere den Bezug externer Daten sowie die fortlaufende Aktualisierung und Verarbeitung übernimmt, sofern dies nicht der Hersteller selbst ist.²⁴

Nachfolgend werden die heute in der Schweiz und in Deutschland geltenden Haftungsregelungen dargestellt und sodann die Frage beantwortet, ob diese Regelungen auch im Zusammenhang mit selbstfahrenden Autos noch zur Anwendung gelangen können. Es wird zunächst auf die traditionellen drei Haftungssubjekte Halter, Fahrer und Hersteller²⁵ eingegangen und in einem nächsten Teil die Frage geklärt, ob und in welchem Bereich Regelungsbedarf besteht.

Sowohl das schweizerische als auch das deutsche Strassenverkehrsrecht sehen eine kausale Halterhaftung vor. Gemäss Art. 58 Abs. 1 SVG²⁶ und § 7 Abs. 1 D-StVG²⁷ haftet der Halter für den Schaden, wenn durch den Betrieb eines Motorfahrzeugs ein Mensch getötet oder verletzt oder Sachschaden verursacht wird.

Es handelt sich bei dieser Kausalhaftung um eine Gefährdungshaftung, die auf dem Gedanken der sozialen Verantwortung für die Schaffung einer Gefahrenquelle durch den Betrieb eines Fahrzeugs und Kontrolle über ebendiese beruht.²⁸ Nach dem Grundsatz cuius commodum eius periculum trifft denjenigen, der den Nutzen aus einer nicht gänzlich beherrschbaren Sache (einer Gefahrenquelle) zieht, die Betriebsgefahr dieser Sache: Er haftet für ihren Betrieb verschuldensunabhängig.²⁹

Gefährdungshaftungstatbestände basieren oft auf einem Ausgleich zwischen einerseits grossem (gesellschaftlichem und wirtschaftlichem) Interesse an technologischem Fortschritt und andererseits begründeter Angst vor aus dem Betrieb entstehenden Risiken, insb. Personen- oder Sachschäden.³⁰ Das schweizerische Recht kennt keine allgemeine Gefährdungshaftung; eine Gefährdungshaftung kommt nur dann zur Anwendung, wenn sie spezialgesetzlich vorgesehen ist.³¹ Der Schweizer Bundesrat hat im Jahr 2009 darauf verzichtet, einen Entwurf für eine Revision des Haftpflichtrechts basierend auf einem Expertenvorentwurf aus dem Jahr 1999, der die Einführung einer Generalklausel der Gefährdungshaftung vorgesehen hatte, in das Gesetzgebungsverfahren zu geben.³²

Die verschuldensunabhängige Gefährdungshaftung des Halters eines Motorfahrzeugs wird sowohl im schweizerischen als auch im deutschen Strassenverkehrsgesetz durch einen Haftungsausschluss in gewissen Fällen gemildert: Gemäss Art. 59 SVG haftet der Halter nicht in Fällen höherer Gewalt und groben Drittverschuldens.³³ Nach § 7 Abs. 2 und 3 D-StVG ist die Haftung des Halters bei höherer Gewalt und im Falle der Schwarzfahrt (Benutzung des Fahrzeugs ohne Wissen und Willen des Halters durch einen Dritten) ausgeschlossen.

Die Halterhaftung wird in beiden Rechtsordnungen ergänzt durch eine Versicherungspflicht. Gemäss Art. 63 SVG darf ein Motorfahrzeug nur dann in den öffentlichen Verkehr gebracht werden, wenn eine Haftpflichtversicherung nach Art. 63 ff. SVG abgeschlossen worden ist. Auch § 1 D-PflVG³⁴ verpflichtet den Halter eines Kraftfahrzeugs zum Abschluss einer Haftpflichtversicherung für sich, den Eigentümer und den Fahrer. Mit der Versicherungspflicht verbunden ist ein direktes Forderungsrecht des Geschädigten gegenüber der Haftpflichtversicherung (sog. action directe, vgl. Art. 65 Abs. 1 SVG, § 115 D-VVG³⁵). Dieses direkte Forderungsrecht ermöglicht es dem Geschädigten, sich ohne Umweg über den Halter direkt bei dessen Haftpflichtversicherung schadlos³⁶ zu halten.³⁷

Der Geschädigte hat in einem allfälligen Prozess zu beweisen, dass ihm ein Sach- oder Personenschaden entstanden ist und dass dieser auf dem Betrieb des Autos des Halters beruht (Kausalität).³⁸ Da es sich um eine Kausalhaftung handelt, muss der Geschädigte dem Halter kein Verschulden nachweisen. Wenn sich der Halter auf einen Haftungsausschluss berufen will, ist er für diesen beweispflichtig: Der Entlastungsbeweis (Art. 59 SVG, § 7 Abs. 2 und 3 D-StVG) obliegt dem Halter.³⁹

Fraglich ist, ob die so ausgestaltete kausale Haftung des Halters auf selbstfahrende Autos Anwendung finden kann. Dies ist m.E. der Fall.⁴⁰ Der Unterschied zu anderen Gefährdungshaftungen ist gering. Es handelt sich um eine nicht vollständig kontrollierbare Gefahrenquelle. Der Umstand, dass selbstfahrende Autos bis zu einem gewissen Grad lernfähig sein werden und dass der Lernerfolg kaum beeinflusst werden kann, akzentuiert diese nicht vollständige Kontrollierbarkeit der Gefahrenquelle. Der Halter eines selbstfahrenden Autos zieht einen grossen Nutzen aus diesem. Dass (trotz der grossen Hoffnung auf einen sichereren Strassenverkehr⁴¹) auch eine grosse Gefahr aus dem Betrieb dieses Autos resultiert, führt dazu, dass der Halter hierfür unverändert einzustehen hat. Im Unterschied zur heutigen Situation hat der Halter keine Möglichkeit, einen Fahrer auszuwählen und diesen zu instruieren. Er hat immerhin die Möglichkeit, das Auto und damit den Hersteller und das selbstfahrende System auszuwählen, was mit der sorgfältigen Auswahl eines Fahrers und der Instruktionspflicht mit Blick auf die tatsächliche Einflussmöglichkeit zwar kaum gleichzusetzen ist, diese aber m.E. dennoch ersetzt.⁴²

Weiter hat der Halter mit zunehmender Komplexität und Vernetzung der Systeme allenfalls auch weniger Möglichkeit, die Wartung des Autos selbst vorzunehmen. Es ist aber festzuhalten, dass wohl ein Grossteil der Halter auch heute bereits die Wartung eines Autos nicht eigenhändig vornehmen kann. Nebst der Wartung der Hardware werden auch Wartungen der Software notwendig sein, für die der Halter ebenso nach seinen Möglichkeiten zu sorgen hat. Der Halter wird unabhängig von der Komplexität des Systems unverändert im Rahmen seiner Möglichkeiten dafür besorgt sein müssen, dass das Auto fahrtauglich ist und den Normen entspricht.

Die kausale Halterhaftung mit Versicherungspflicht und direktem Forderungsrecht des Geschädigten ist insbesondere sehr geschädigtenfreundlich. Für den Geschädigten ist die Ansprechperson im Falle eines Schadens klar; eine Versicherung kommt für den Schaden auf; die Risikoverteilung erscheint auch im Hinblick auf selbstfahrende Autos immer noch angemessen. Dies spricht ebenfalls dafür, die kausale Halterhaftung beizubehalten.

Die Anrufung eines Haftungsausschlussgrundes (Art. 59 SVG, § 7 Abs. 2 und 3 D-StVG) aufgrund einer Fehlfunktion des vollautomatisierten Systems fällt ausser Betracht.⁴³ Die Fehlfunktion des automatisierten Systems ist Teil des Betriebsrisikos.

Fraglich ist, ob der Halter auch für die Systemsicherheit verantwortlich gemacht werden kann. Hat der Halter auch im Falle eines Hacker-Angriffs für sein selbstfahrendes resp. fremdgesteuertes Auto und allfällige daraus resultierende Schäden einzustehen? Oder handelt es sich hierbei um einen Fall groben Drittverschuldens oder gar höherer Gewalt, respektive im deutschen Recht um eine Schwarzfahrt, was zu einem Haftungsausschluss führen würde (vgl. Art. 59 Abs. 1 SVG, § 7 Abs. 2 und 3 D-StVG)?

Von höherer Gewalt ist m.E. nicht auszugehen.⁴⁴ Ein Haftungsausschluss des kausalhaftpflichtigen Halters im Falle der Fremdsteuerung durch Hacker ist m.E. aber zu befürworten. Im schweizerischen Recht ist diese Situation als grobes Drittverschulden i.S.v. Art. 59 SVG zu qualifizieren, im deutschen Recht kann das Fremdsteuern von aussen unter den Tatbestand der Schwarzfahrt i.S.v. § 7 Abs. 3 D-StVG subsumiert werden. Das Fremdsteuern durch Erlangen technischer Verfügungsgewalt über das Fahrzeug sollte m.E. bereits als Fremdsteuern i.S. der deutschen Schwarzfahrt (§ 7 Abs. 3 D-StVG) gelten, selbst wenn die physische Verfügungsgewalt noch beim Halter verbleibt – mit dieser allein ist ein selbstfahrendes Auto ohne Lenkrad und Pedale nicht mehr kontrollierbar.⁴⁵

Gegen diese Meinung spricht, dass das Risiko solcher Hackerangriffe den mehr und mehr automatisierten Autos geradezu inhärent ist und somit der grosse Nutzen, der aus dem Betrieb dieses Autos resultiert, beinahe zwangsläufig mit der Gefahr von Angriffen von aussen verbunden ist.⁴⁶ Dies sollte aber nach der hier vertretenen Ansicht nicht dazu führen, dass derart gegen unsere Rechtsordnungen verstossende, kriminelle Angriffe zu einem hinzunehmen Betriebsrisiko degradiert würden und rechtschaffene Halterinnen und Halter von Alltagsprodukten⁴⁷ für solche einzustehen hätten.

Der Fahrzeugführer (Fahrer) haftet gemäss Art. 41 Abs. 1 OR und § 18 Abs. 1 D-StVG verschuldensabhängig für durch ihn verursachte Personen- und Sachschäden.⁴⁸ Den Fahrzeugführer treffen unterschiedliche Verhaltenspflichten beim Steuern eines Kraftfahrzeugs (vgl. etwa Art. 5 ff. WÜ Strassenverkehr⁴⁹). Insbesondere trifft einen Fahrer heute die Pflicht, sein Fahrzeug permanent zu beherrschen (Art. 31 SVG, Art. 3 VRV⁵⁰, §§ 1, 3 D-StVO⁵¹; vgl. aber auch Art. 8 Abs. 5 und insb. 5^bis WÜ StV⁵², der die weitere Entwicklung automatisierter Fahrsysteme unterstützt).⁵³

Der Geschädigte hat nach schweizerischem Recht alle Voraussetzungen eines allfälligen Anspruchs gegen den Fahrzeugführer (Schaden, Widerrechtlichkeit, Kausalität und Verschulden) zu beweisen.⁵⁴ Im Unterschied dazu liegt im deutschen Recht die Beweislast in Bezug auf das Verschulden nicht beim Geschädigten: Der Fahrzeugführer hat sich zu exkulpieren (vgl. § 18 Abs. 1 Satz 2 D-StVG).

Es stellt sich die Frage, ob sich die verschuldensabhängige Fahrerhaftung auf selbstfahrende Autos übertragen lässt.⁵⁵ Eine erste Tatsache ist augenfällig: Es wird bei vollständig selbstfahrenden Autos keinen menschlichen Fahrzeugführer/Fahrer mehr geben.⁵⁶ Die Zulassung vollständig selbstfahrender Autos wird davon abhängig sein, dass die heute vorgeschriebene permanente Beherrschung des Fahrzeugs durch einen menschlichen Fahrzeugführer bei hierfür zugelassenen Fahrzeugen aufgegeben wird. Die Fahrerhaftung erscheint somit in ihrer heutigen Ausgestaltung grundsätzlich überholt.

Fahrzeuge werden allerdings weiterhin genutzt werden, auch wenn sie nicht mehr von Menschen selbst aktiv gefahren werden. Selbstfahrende Autos werden also Passagiere oder Nutzer befördern. Denkbar ist es m.E., dass auch für diese Passagiere/Nutzer in Zukunft eine gewisse verschuldensabhängige Nutzerhaftung bestehen wird.⁵⁷ Dies ist davon abhängig, welche Sorgfaltspflichten Passagieren von selbstfahrenden Autos zukommen werden. Zu denken ist etwa an die Pflicht, Sensoren und Kameras des Autos von allfälligen äusserlichen Störfaktoren wie Verschmutzung, Tieren, etc. zu befreien.⁵⁸ Weiter ist es auch bei selbstfahrenden Autos denkbar, dass in gewissen Situationen ein aktives Tun des Passagiers wie etwa die Montage von Schneeketten notwendig ist, solange sich das Auto noch nicht in allen Angelegenheiten autonom zu helfen weiss. Grundsätzlich werden selbstfahrende Autos im Falle solcher Störungen wohl anhalten und nicht mehr weiterfahren, bis die Störung beseitigt ist; dies wird aber nicht immer sogleich möglich sein. Vom Passagier können nur zumutbare Handlungen zur Beseitigung von Störungen des Systems verlangt werden. Ein Verschuldensvorwurf an einen Passagier kommt weiter dann in Frage, wenn er selbst die Fehlerquelle ist, wenn er auf etwas nicht reagiert, worauf er reagieren könnte und müsste (Warnsignal o.ä.), oder wenn er selbst einen Eingriff in das System vornimmt.⁵⁹

In diesem Zusammenhang stellt sich etwa die Frage, ob beispielsweise ein Kind allein in einem solchen Fahrzeug mitfahren dürfen wird, was einerseits erwünscht sein dürfte, aber andererseits auch dazu führt, dass die Sorgfaltspflichten an den Passagier dementsprechend ausgestaltet sein müssen.

Jedenfalls ist festzuhalten, dass mit Zulassung und Inverkehrbringen von selbstfahrenden Autos sehr viel weniger Spielraum für Sorgfaltspflichtverletzungen des heutigen Fahrers bestehen, weil dieser zu einem Passagier wird. Allenfalls können den Passagier aber auch gewisse Pflichten treffen.

Nach Gless/Janal ist es zudem durchaus vorstellbar, dass sich in Zukunft eine Fahrlässigkeit daraus ergeben kann, dass ein menschlicher Fahrer selbst gefahren ist, statt den Autopiloten zu nutzen.⁶⁰

Da der menschliche Fahrer bei selbstfahrenden Autos durch ein komplexes nicht-menschliches System ersetzt wird, kann man sich die Frage stellen, ob die für den Fahrer eines Fahrzeugs vorgenommene Wertung bei der Definition der Haftungsvoraussetzungen auf das nicht-menschliche System übertragen werden sollte. So wurde in der deutschen Lehre bereits vorgeschlagen, dass die Verschuldensabhängigkeit der Haftung des Fahrers auch für selbstfahrende Autos greifen könnte. Dies würde dazu führen, dass der Hersteller des selbstfahrenden Autos oder der Betreiber des Gesamtsystems – die den menschlichen Fahrer sozusagen ersetzen – ebenfalls nur verschuldensabhängig haften sollten.⁶¹ Dieser Vorschlag ist für das schweizerische Recht m.E. abzulehnen.⁶²

Den Hersteller eines Fahrzeuges trifft sowohl im schweizerischen als auch im deutschen Recht eine kausale Produktehaftpflicht, wenn ein fehlerhaftes Produkt zu einem Sach- oder Personenschaden führt (vgl. Art. 1 PrHG⁶³, Art. 55 OR⁶⁴, § 1 D-ProdHaftG⁶⁵).⁶⁶ Ein Produkt ist fehlerhaft, wenn es nicht die Sicherheit bietet, die man unter Berücksichtigung aller Umstände zu erwarten berechtigt ist (Art. 4 PrHG, § 3 D-ProdHaftG).⁶⁷ Ausnahmen von der Haftung sind in Art. 5 PrHG und § 1 Abs. 2 D-ProdHaftG geregelt: Hervorzuheben sind die Fälle, in denen der Produktfehler beim Inverkehrbringen entweder noch nicht vorhanden (Art. 5 Abs. 1 lit. b PrHG, § 1 Abs. 2 Ziff. 2 D-ProdHaftG) oder noch nicht erkennbar (Art. 5 Abs. 1 lit. e PrHG, § 1 Abs. 2 Ziff. 5 D-ProdHaftG) war.

Neben der kausalen Produktehaftpflicht besteht die verschuldensabhängige Produzentenhaftung (so die Terminologie im deutschen Recht).⁶⁸ Der Hersteller haftet hier nach § 823 Abs. 1 BGB bzw. Art. 41 Abs. 1 und Art. 55 Abs. 1 OR.⁶⁹ Diese Delikthaftung wird vom Geschädigten in der Praxis immer auch bzw. gar primär angerufen; einerseits, weil dem Hersteller gemäss der Judikatur kein Verschulden nachgewiesen werden muss und andererseits, weil der Deliktsanspruch weiterreichend ist als die Ansprüche aus dem Produktehaftpflichtrecht.⁷⁰ Dabei gilt nach deutscher Rechtsprechung und Lehre, dass der Hersteller nach Nachweis eines Produktfehlers sein fehlendes Verschulden nachweisen muss.⁷¹ Auch die Geschäftsherrenhaftung auferlegt dem Geschäftsherrn den sogenannten Exzeptionsbeweis, sodass man im Ergebnis praktisch von einer Kausalhaftung sprechen kann.⁷²

Auch im schweizerischen Recht haftet der Hersteller neben der Produktehaftpflicht alternativ nach allgemeinen Grundsätzen aus Art. 41 Abs. 1 resp. Art. 55 Abs. 1 OR.⁷³

Der Geschädigte hat sowohl im schweizerischen als auch im deutschen Produktehaftpflichtrecht das Vorliegen eines Produktfehlers sowie dessen Ursächlichkeit für einen Sach- oder Personenschaden zu beweisen (vgl. explizit § 1 Abs. 4 D-ProdHaftG).⁷⁴ Dem Hersteller obliegt der Entlastungsbeweis (Art. 5 PrHG).⁷⁵

Gemäss bundesgerichtlicher Rechtsprechung in der Schweiz ist nur die Fehlerhaftigkeit, aber nicht die Ursache des Fehlers durch den Geschädigten zu beweisen.⁷⁶ Dies scheint jedenfalls für im Hinblick auf Fehlfunktionen selbstfahrenden Systeme relevante Softwarefehler auch in Deutschland so zu gelten.⁷⁷ Der Geschädigte hat grundsätzlich zu beweisen, dass der Produktmangel aus dem Herstellerbereich stammt, d.h., dass er dem Hersteller zuzurechnen ist.⁷⁸ Für diesen Kausalitätsnachweis kann es gemäss dem deutschen BGH ausnahmsweise Beweiserleichterungen bis hin zur Beweislastumkehr geben.⁷⁹

Bei der verschuldensabhängigen Produzentenhaftung ist ein Verschulden des Herstellers grundsätzlich erforderlich, wobei die Rechtsprechung sowohl in der Schweiz und Deutschland keinen klassischen Verschuldensnachweis verlangt, sondern dem Hersteller eine Form des Entlastungsbeweises zugesteht.⁸⁰

Den Hersteller trifft gemäss Art. 8 PrSG⁸¹ eine Produktbeobachtungspflicht auch für die durch das Produktehaftpflichtgesetz nicht mehr abgedeckte Phase nach dem Inverkehrbringen des Produkts.⁸² Verletzt er diese, haftet er verschuldensabhängig nach Art. 41 Abs. 1 resp. Art. 55 OR.⁸³ Eine entsprechende Produktbeobachtungspflicht obliegt auch deutschen Herstellern, die bei Verletzung ebenfalls nicht nach Produkthaftungsgrundsätzen, sondern nach der allgemeinen Produzentenhaftung verschuldensabhängig, d.h. gemäss § 823 Abs. 1 BGB haften.⁸⁴

Aus der Produktbeobachtungspflicht ergibt sich somit die Pflicht, das hergestellte Auto zu beobachten und insbesondere auch die notwendigen Updates bereitzustellen.

Es ist anzunehmen, dass der Herstellerhaftung eine grössere Bedeutung zukommen wird als heute.⁸⁵ Heute ist der grösste Teil der Verkehrsunfälle auf Fehlverhalten der Fahrzeugführer zurückzuführen.⁸⁶ In Zukunft wird wohl – jedenfalls prozentual – ein grösserer Anteil der Unfälle auf ein (in weitem Sinne) fehlerhaftes Produkt zurückzuführen sein.⁸⁷ Ob der Herstellerhaftung eine grössere Bedeutung als heute zukommen wird, ist insbesondere auch davon abhängig, ob der Regress des Erstzahlenden auf den Hersteller offen steht, worauf weiter unten einzugehen ist.⁸⁸

Es ist fraglich, ob die Ausgestaltung der Herstellerhaftung de lege lata für Hersteller selbstfahrender Autos angemessen ist.⁸⁹ Nachfolgend wird auf den Begriff der Fehlerhaftigkeit und den Entlastungsbeweis des Herstellers unter dem Produktehaftpflichtrecht eingegangen. Dabei wird insbesondere auf die Besonderheiten «intelligenter» Algorithmen, d.h. lernfähiger Systeme Bezug genommen, wobei zunächst darauf eingegangen wird, welche Fragen sich bei Machine Learning basierten Systemen im Hinblick auf die Herstellerhaftung stellen.

Unfälle können bei selbstfahrenden Autos insbesondere daraus resultieren, dass diese eine Situation falsch einschätzen und deshalb falsch reagieren. Ein trauriges Beispiel hat bereits zu einem ersten Todesopfer geführt: Das selbstfahrende System eines Tesla-Autopiloten hatte einen Lastwagen für ein hohes Schild gehalten, was zu einer Kollision mit Todesfolge führte.⁹⁰ Solche Fehler sind bei Machine Learning basierten lernfähigen Systemen nicht auszuschliessen. Der Algorithmus, der das Fahrverhalten kontrolliert, bzw. die Algorithmen, die hierfür zusammenarbeiten, werden mit riesigen Datenmengen (dem sog. Trainingssatz, test set) trainiert.⁹¹ Ihnen wird aufgrund dieser Datenmengen beigebracht, noch unbekannte Objekte in Zukunft zu erkennen. Bei allen Formen des Machine Learning wird ein Algorithmus trainiert und optimiert, um eine möglichst geringe Fehlerquote zu erreichen.⁹² Es werden also verschiedene mögliche Ausgestaltungen dieses Algorithmus ausprobiert, um zum bestmöglichen Resultat zu kommen. Die Fehlerquote kann nach der Trainingsphase anhand eines Validierungsdatensatzes (validation set) eruiert werden, der für den Programmierer bekannte Daten enthält, die dem Algorithmus im Training aber vorenthalten wurden, sodass sie für diesen nach der Trainingsphase noch unbekannt sind.⁹³ Der Ausschluss von Fehlern erscheint aber trotz aller Optimierungen technisch kaum möglich.

Fraglich ist, wie darauf rechtlich zu reagieren ist. Kann sich der Hersteller von seiner Produktehaftpflicht befreien, wenn er beweist, dass er seinen Algorithmus so gut wie möglich trainiert und optimiert hat? Können wir von einem Produktfehler sprechen, wenn das System gar nicht ohne Fehler funktionieren kann, aber es das beste System ist, das bekannt ist? Reicht es, wenn der Hersteller beweist, dass er die bestmögliche Parametrisierung seines Algorithmus vorgenommen hat, dass er diesen bestmöglich optimiert hat und dass alle anderen Ausgestaltungen/Parametrisierungen zu mehr Fehlern geführt hätten? Führt dies zu einem Ausschluss der Produktehaftpflicht bzw. kann gar nicht mehr von einem Fehler des Systems ausgegangen werden, wenn eine geringere Fehlerquote technisch nicht möglich gewesen wäre?

Ein Verschuldensvorwurf kann dem Hersteller in diesem Fall nicht gemacht werden. Ein Verschulden kann ihn aber grundsätzlich treffen, wenn die Programmierung/Optimierung nicht lege artis stattgefunden hat.

In diesem Zusammenhang fragt sich auch, wie hoch diese Fehlerquote sein darf, damit ein so trainiertes System als Auto selbst auf unseren Strassen herumfahren kann. Welche Fehlerquote eines Algorithmus akzeptieren wir, damit wir die Zulassung eines solchen Systems gesellschaftlich überhaupt akzeptieren können? Reicht es, wenn diese geringer ist als die Fehlerquote menschlicher Fahrer? Wenn das Fahren also (voraussichtlich) sicherer wird als menschliches Fahren? Erfüllt das Auto dann die berechtigten Sicherheitserwartungen im Sinne des Produkthaftpflichtrechts oder lässt es diese Erwartungen bei jedem Fehler vermissen?

Fehler können sowohl in der Hardware als auch in der Software des Systems liegen, wobei primär der zweite Fall automatisierungsspezifisch ist.⁹⁴ In Bezug auf die Fehlerhaftigkeit, die de lege lata vorliegt, wenn ein Produkt den berechtigten Sicherheitserwartungen nicht genügt, ist zu disktuieren, welcher Standard an Sicherheit von einem selbstfahrenden Auto verlangt werden kann.⁹⁵ Dabei sollte nicht der menschliche Fahrer als Vergleichsmassstab gewählt werden, weil das Potenzial der selbstfahrenden Systeme die Sicherheitserwartung grundsätzlich erhöht.⁹⁶ Fraglich ist m.E., ob die erwartete Sicherheit tatsächlich in der Unfallfreiheit liegen kann. Hiervon scheint in der Lehre z.T. ausgegangen zu werden.⁹⁷ Nach einer anderen Ansicht sind strengere Anforderungen als an menschliche Fahrer zu stellen, soweit dies technisch machbar und wirtschaftlich zumutbar ist.⁹⁸ Die Frage nach dem Vorliegen von Fehlerhaftigkeit im Sinne des Produkthaftpflichtrechts ist zentral. Die soeben getätigten Ausführungen zu Machine Learning basierten Systemen haben gezeigt, dass viele Fragen zu berechtigten Erwartungen an die Systemsicherheit noch offen sind und vertieft diskutiert werden müssen.

Sodann muss diskutiert werden, ob weiterhin auf den Zeitpunkt des Inverkehrbringens abgestellt werden kann, damit die kausale Herstellerhaftung zur Anwendung gelangt. M.E. ist davon auszugehen, dass der Verantwortlichkeit für das Produkt nach dem Inverkehrbringen eine sehr viel grössere Bedeutung zukommen wird als bei herkömmlichen Produkten. Selbstfahrende Autos unterscheiden sich von herkömmlichen Produkten etwa dadurch, dass sie bis zu einem gewissen Grad lernfähig sind/sein müssen. Weiter bringen sie aufgrund der Gefahr von Angriffen von aussen (z.B. Hacker-Angriffe) ein erhebliches Sicherheitsrisiko mit sich, das mit zunehmender Vernetzung und auch zunehmender Verbreitung solcher Fahrzeuge immer grösser wird.⁹⁹ Es kann m.E. nicht davon ausgegangen werden, dass eine nach Inverkehrbringen auftauchende Sicherheitslücke immer bereits bei Inverkehrbringen bestanden hat; vielmehr kann der Schutz gegen Angriffe von aussen bei Inverkehrbringen m.E. allen Standards entsprechen und aber mit der Zeit abnehmen.¹⁰⁰ Es ist somit m.E. sehr fraglich, ob es gerechtfertigt ist, die kausale Haftpflicht des Herstellers mit Inverkehrbringen des Produkts enden zu lassen. Zwar besteht gemäss Produktesicherheitsrecht eine Pflicht zur Beobachtung des in Verkehr gebrachten Produkts. Hierfür haftet der Hersteller aber nur verschuldensabhängig.

Nachfolgend ist auf drei Haftungsausschlussgründe aus einzugehen, deren Vorliegen im Zusammenhang mit Machine Learning basierten Systemen diskutiert werden muss: Der Haftungsausschluss bei Nichtvorliegen des Fehlers im Zeitpunkt des Inverkehrbringens (Art. 5 Abs. 1 lit. b PrHG, § 1 Abs. 2 Ziff. 2 D-ProdHaftG), der Haftungsausschluss bei mangelnder Erkennbarkeit des Fehlers (Art. 5 Abs. 1 lit. e PrHG, § 1 Abs. 2 Ziff. 5 D-ProdHaftG) und der Haftungsausschluss für den Fall, dass der Fehler auf verbindlichen Rechtsvorschriften beruht (Art. 5 Abs. 1 lit. d PrHG, § 1 Abs. 2 Ziff. 4 D-ProdHaftG).

Ein Haftungsausschluss der Herstellerin ist gemäss Art. 5 Abs. 1 lit. b PrHG und § 1 Abs. 2 Ziff. 2 D-ProdHaftG¹⁰¹ dann vorgesehen, wenn nach den Umständen davon auszugehen ist, dass der Fehler, der den Schaden verursacht hat, bei Inverkehrbringen des Produkts noch nicht vorlag. Wenn der Algorithmus nach der Trainingsphase eine Fehlerquote >0 aufweist, bevor er in der realen Welt eingesetzt wird, ist m.E. von einem Fehler auszugehen, der bereits bei Inverkehrbringen des Produkts vorgelegen hat. Es ist Ziel des Programmierers, dass die Fehlerquote einerseits möglichst niedrig ist und andererseits bei Anwendung des Algorithmus ausserhalb der Trainingsphase, d.h. mit Daten aus der wirklichen Welt, gleich bleibt wie beim Trainingssatz. Hierfür ist relevant, dass der Trainingssatz möglichst repräsentativ ist. Je mehr Daten zur Verfügung stehen, um einen Algorithmus zu trainieren, desto repräsentativer ist der Trainingssatz und desto eher kann davon ausgegangen werden, dass sich die Fehlerquote in der «wirklichen Welt» in gleichem Umfang bewegt. Hier wiederum stellen sich Fragen: Wie gross muss denn ein solcher Datensatz sein, damit er als repräsentativ (und damit lege artis) gelten kann?

Für die Anwendung von Art. 5 Abs. 1 lit. b PrHG ist aber m.E. grundsätzlich irrelevant, ob sich die Fehlerquote des Algorithmus in der wirklichen Welt im Vergleich zum Validationssatz erhöht oder verringert hat, solange die Fehlerquote beim Validationssatz nicht gleich Null war. M.E. ist zu vermuten, dass jeder tatsächlich passierte Fehler aufgrund der ursprünglichen Fehlerquote als vorbestehender Fehler gelten muss und kein «neuer» Fehler war. Jedenfalls obliegt der Entlastungsbeweis gemäss Art. 5 Abs. 1 lit. b PrHG für das Vorliegen eines «neuen» Fehlers dem Hersteller, was sachgerecht ist, zumal dieser Beweis vom Geschädigten kaum zu erbringen wäre.¹⁰²

Es ist auch ein allfälliger Haftungsausschluss nach Art. 5 Abs. 1 lit. e PrHG bzw. § 1 Abs. 2 Ziff. 5 D-ProdHaftG zu diskutieren: Nach dieser Bestimmung haftet die Herstellerin nicht, wenn der Fehler nach dem Stand der Wissenschaft und Technik im Zeitpunkt, in dem das Produkt in Verkehr gebracht wurde, nicht erkannt werden konnte.¹⁰³ Solange die Fehlerquote beim Trainingssatz nicht Null war, war der Fehler bei Inverkehrbringen erkennbar und es liegt kein Haftungsausschluss gemäss Art. 5 Abs. 1 lit. e PrHG vor. Fraglich ist höchstens, ob dieser Fehler überhaupt vermeidbar war, wenn eine absolute Fehlerfreiheit (d.h. Fehlerquote gleich Null) technisch gar nicht erreicht werden kann. Die hypothetische Vermeidbarkeit des Fehlers führt aber nicht zu einem Ausschluss der (kausalen) Haftung nach PrHG und ProdHaftG. Diese Diskussion wird hingegen im Rahmen einer Verschuldensprüfung eine Rolle spielen (müssen).

Ein Haftungsausschluss aufgrund von Art. 5 Abs. 1 lit. e PrHG könnte aber m.E. allenfalls bei Angriffen von aussen für Sicherheitslücken eines Systems greifen, die erst nach Inverkehrbringen auftreten und die nach dem Stand der Wissenschaft und Technik im Zeitpunkt des Inverkehrbringens noch nicht erkennbar waren.

Einen weiteren Grund für einen Haftungsausschluss sieht Art. 5 Abs. 1 lit. d PrHG resp. § 1 Abs. 2 Ziff. 4 D-ProdHaftG vor, wenn der Fehler darauf zurückzuführen ist, dass das Produkt verbindlichen, hoheitlich erlassenen Vorschriften entspricht. Hier könnte man sich die Frage stellen, ob es für einen Haftungsausschluss also ausreicht, wenn nur die Fehlerquote vorliegt, die für die Zulassung notwendig ist, ob es mit anderen Worten genügt, wenn in Bezug auf diese Fehlerquote die Zulassungsvorschriften eingehalten wurden, damit ein Haftungsausschluss vorliegt? Dies würde dazu führen, dass bei zugelassenen Autos und dieser Zulassung inhärenten Fehlern (sprich bei der Zulassung akzeptierte Fehlerquote) immer ein Haftungsausschluss vorliegen würde. Hiervon ist allerdings nicht auszugehen. Art. 5 Abs. 1 lit. d PrHG sieht einen Haftungsausschluss des Herstellers für die Fälle vor, in denen der Staat einem Hersteller die Beschaffenheit eines bestimmten Produkts vorschreibt.¹⁰⁴ Mit der Zulassung eines gewissen Standards liegt nicht gleich auch eine öffentlich-rechtliche Verpflichtung zu einem bestimmten Herstellungsprozess vor, die dem Hersteller ein anderes Vorgehen sozusagen verunmöglichen würde.¹⁰⁵ Es wird sich vielmehr um Mindestanforderungen an die Produktsicherheit handeln, weshalb die Anwendung von Art. 5 Abs. 1 lit. d PrHG gemäss der herrschenden Lehre ausser Betracht fällt.¹⁰⁶

Besonders hervorzuheben sind praktische Probleme der Durchsetzung allfälliger Forderungen gegenüber den Herstellern. Er ist insbesondere an Beweisschwierigkeiten zu denken.¹⁰⁷ Mit zunehmender Komplexität der Systeme wird es tendenziell immer schwieriger sein, einem Hersteller einen Produktfehler nachzuweisen. Der Geschädigte wird hierfür auf die durch das selbstfahrende System gesammelten Daten angewiesen sein. Diese Daten werden aber meistens nicht primär ihm zur Verfügung stehen, sondern dem Hersteller oder einem von diesem beauftragten Dritten. Es wird also eine grosse praktische Schwierigkeit darstellen, überhaupt erst zu diesen Daten zu gelangen. Dabei ist zu befürchten, dass die Hersteller an der Bereitstellung der relevanten Daten – insbesondere, wenn diese Aufschluss über einen Systemfehler geben – kein grosses Interesse haben. Weiter ist es eine grosse Herausforderung, solche Daten auch tatsächlich lesen zu können. Es ist also fraglich, ob nicht zivilprozessualen Sonderbestimmungen oder Beweiserleichterungen wie etwa Vermutungsregelungen für derartige Prozesse eingeführt werden sollten, was nachfolgend für das schweizerische Zivilprozessrecht umrissen wird.

Zivilprozessuale Editionspflichten (vgl. Art. 160 ZPO) erscheinen zwar als grundsätzlich taugliches bestehendes Mittel,¹⁰⁸ aber die Nichtbefolgung solcher Mitwirkungspflichten muss zwingend negative Folgen für die eine Anordnung nicht befolgende Partei nach sich ziehen. Anders als im deutschen Zivilprozess (vgl. § 427 D-ZPO) sieht das schweizerische Zivilprozessrecht keine grundsätzliche Vermutung der Wahrheit einer behaupteten Tatsache vor, wenn sich die durch diese Tatsache belastete Partei einer Edition relevanter Beweisstücke widersetzt. Dies muss nach bundesgerichtlicher Rechtsprechung aber in die freie Beweiswürdigung einfliessen (Art. 157 ZPO).¹⁰⁹

Diese Problematik akzentuiert sich, wenn der Hersteller nicht Prozesspartei ist, sondern Dritter. Mitwirkungspflichten von Dritten sind im schweizerischen und im deutschen Zivilprozess anders ausgestaltet als Mitwirkungspflichten der Parteien.¹¹⁰ Dies gilt insbesondere für die Rechtsfolge bei Missachtung einer Pflicht.¹¹¹

Weiter muss die zivilprozessuale Regelung dem Interesse an der Geheimhaltung von Geschäftsgeheimnissen der Hersteller gerecht werden, damit diese solche Daten auch etwa ohne Angst vor der Preisgabe von relevanten Wettbewerbsvorteilen herausgeben können. Wenn gesetzlich geschützte Geheimnisse in Frage stehen, können Verweigerungsrechte zur Anwendung gelangen (vgl. Art. 163 und Art. 166 ZPO). Greifen die Verweigerungsrechte bei Vorliegen eines Geheimhaltungsinteresses nicht, trifft das Gericht die erforderlichen Massnahmen (Art. 156 ZPO), die auf den Einzelfall «massgeschneidert» sein sollen.¹¹² Eine mögliche Schutzmassnahme ist der sog. Revers: Dabei werden einer anwaltlichen Vertretung einer Verfahrenspartei gegen Unterzeichnung einer Revers-Erklärung Dokumente zugänglich gemacht, was die Verpflichtung der Anwältin zur Folge hat, den Inhalt dieser Dokumente oder jedenfalls darin enthaltene geheim zu haltende Tatsachen ihrer Klientschaft nicht zu zeigen.¹¹³ Ob diese Massnahme als ausreichend erscheint, ist m.E. fraglich, zumal sie eine tatsächliche Weitergabe nicht auszuschliessen vermag.

Kaum lösbar erscheint die Tatsache, dass die Vollständigkeit und Integrität der durch die Hersteller herausgegebenen Daten für den Geschädigten schwierig (nicht) nachprüfbar ist.

Den praktischen (Beweis-)Schwierigkeiten könnte mit einer gesetzlichen Vermutung der Fehlerhaftigkeit eines selbstfahrenden Autos (oder allenfalls allgemeiner: autonomen, intelligenten Systems), das einen Unfall verursacht resp. gegen Verkehrsregeln verstösst, begegnet werden.¹¹⁴ Die mangelnde Sicherheit würde die Fehlerhaftigkeit indizieren. Dies hätte eine Beweislastumkehr zulasten der Hersteller zur Folge. Die Hersteller haben grosses Interesse daran, die Fehlerlosigkeit ihres Produkts nachzuweisen und werden insb. auch Zugriff auf die hierfür relevanten Daten und das dazugehörige Knowhow zur Auswertung haben. Dies würde die Prozessführung für den Geschädigten erheblich erleichtern. Zudem könnte die Mitwirkung der Hersteller am Prozess auf diese Weise sichergestellt werden.

In der schweizerischen Rechtsprechung besteht immerhin die erleichternde Präzisierung, dass der Geschädigte nur die Fehlerhaftigkeit und nicht die Ursache des Fehlers zu beweisen hat.¹¹⁵ Der Beweis für einen Haftungsausschluss hingegen obliegt wie oben dargestellt dem Hersteller.

Vorgeschlagen werden zudem eine Dokumentationspflicht des Herstellers bezüglich aller unfallrelevanter Daten, kombiniert mit einem gesetzlich geregelten Zugriffsrecht,¹¹⁶ und die Einführung eines Auskunftsanspruchs der Geschädigten gegenüber dem Hersteller und/oder dem Betreiber.¹¹⁷

Eine weitere Erleichterung der Prozessführung könnten Sammel-, Gruppen- oder Musterklagen darstellen. Der schweizerische Gesetzgeber hat sich bisher ausdrücklich gegen die Einführung einer Sammelklage nach US-amerikanischem Vorbild entschieden, wobei die Diskussionen über den kollektiven Rechtsschutz in der Schweiz nicht abgeschlossen sind.¹¹⁸ Vielmehr hat der Bundesrat in einem Grundsatzpapier im Juni 2013 Bedarf am Ausbau des kollektiven Rechtsschutzes in der Schweiz festgestellt.¹¹⁹

Verkehrsunfälle führen oft zu grossen Schäden, deren Deckung der Gesetzgeber durch eine Versicherung sowohl zum Schutz des Geschädigten als auch des Haftpflichtigen als notwendig erachtete.¹²⁰ Es gibt verschiedene Versicherer, die bei Verkehrsunfällen zuständig werden können: Sozialversicherungen, private Versicherungen nach VVG¹²¹, Haftpflichtversicherungen. Es wurde oben bereits dargestellt, dass den Halter eine Versicherungspflicht trifft und diese ergänzt wird durch ein direktes Forderungsrecht des Geschädigten gegenüber der Halterhaftpflichtversicherung (Art. 63 und 65 Abs. 1 SVG, § 1 D-PflVG, § 115 D-VVG). Da die Halterhaftpflichtversicherung verschuldensunabhängig greift, hat diese ein Interesse daran, auf denjenigen zurückzugreifen, der den Unfall tatsächlich verschuldet bzw. verursacht hat (insbesondere den Fahrer oder den Hersteller bei einem Produktfehler).

Der Regress der Haftpflichtversicherung des Halters auf den Fahrer, der sich ein Verschulden hat zukommen lassen, ist gewährleistet (Art. 51 OR).

Der Regress auf den Hersteller respektive dessen Versicherung steht in der Schweiz allerdings nicht für alle Versicherer gleichermassen offen:¹²²

• Aufgrund von Art. 72 ATSG¹²³ ist für die Sozialversicherer gemäss KVG¹²⁴ und UVG¹²⁵ der umfassende Regress gewährleistet.¹²⁶
• Bei Versicherungsverträgen gemäss VVG (insb. Zusatzversicherungen zur KVG-Grundversicherung oder auch eine Vollkaskoversicherung¹²⁷) richtet sich der Regress nach Art. 72 VVG und Art. 51 Abs. 2 OR. Art. 72 VVG ermöglicht den Rückgriff des Privatversicherers auf Haftpflichtige, die aus unerlaubter Handlung haften. Aufgrund der in Art. 51 Abs. 2 OR vorgesehenen Regress-Kaskade¹²⁸ fallen nach dem Bundesgericht aber nur Ersatzpflichtige, die ein Verschulden trifft, unter den Begriff der «unerlaubten Handlung» i.S.v. Art. 72 VVG.¹²⁹ Privatversicherern steht deshalb der Regress auf einen Kausalhaftpflichtigen, d.h. insb. den Hersteller, der nach Produktehaftpflicht haftet, gemäss bundesgerichtlicher Rechtsprechung nicht offen.¹³⁰
• Der Regress von der Halterhaftpflichtversicherung auf den Hersteller gestaltet sich problematisch:¹³¹ Obwohl Art. 72 VVG grundsätzlich auf die Eigenschadensversicherung zugeschnitten ist, wendet das Bundesgericht Art. 72 VVG auf den Haftpflichtversicherer analog an und behandelt diesen wie den versicherten Halter selbst, was dem Versicherer die Regressmöglichkeit grundsätzlich öffnet.¹³² Gleichzeitig lässt das Bundesgericht Abweichungen von der normalerweise geltenden Regress-Kaskade (Art. 51 Abs. 2 OR) zu, sodass ein Rückgriff auf alle Ersatzpflichtigen, d.h. auch auf Kausalhaftpflichtige, möglich wird.¹³³

Zusammenfassend erscheint der Regress auf den Hersteller im Hinblick auf die bei selbstfahrenden Autos möglicherweise bedeutsamere Herstellerhaftung nur ungenügend gewährleistet. Der Regress auf den Fahrzeughersteller sollte m.E. allen erstzahlenden Versicherern offenstehen.¹³⁴ Insbesondere soll die Haftpflichtversicherung des Halters nicht den Hersteller von seiner Haftung entlassen, sondern den Geschädigten schützen. Die Anreizstruktur stimmt auch bei vollständiger Öffnung des Regresses.¹³⁵ Es handelt sich bei Öffnung des Regress m.E. nicht um einen unzulässigen Fortschrittshemmer, sondern um einen Anreiz zur Produktion sicherer Fahrzeuge.

Soweit ersichtlich besteht keine vergleichbare Regressproblematik in Deutschland.¹³⁶ Dort wird z.T. vielmehr gerade die umgekehrte Diskussion als in der Schweiz geführt und eine Beschränkung der Regressmöglichkeit angedacht.¹³⁷

Neben den herkömmlichen Haftungssubjekten bei Verkehrsunfällen haben Gless/Janal kürzlich die Einführung einer «Betreiberhaftung» vorgeschlagen. Betreiber ist dabei die Person, «die rechtlich und technisch die Verantwortung für die Funktionstüchtigkeit des Steuerungssystems, insb. den Bezug externer Daten sowie deren fortlaufende Aktualisierung und Verarbeitung übernommen hat», wobei die Autorinnen darauf hinweisen, dass eine Definition dieser Figur schwerfällt, solange weder die Technik noch die Vermarktung der selbstfahrenden Autos konkret festgelegt sind.¹³⁸ Es geht also nicht etwa um einen Betreiber nach dem herkömmlichen Begriffsverständnis des Technikrechts wie beispielsweise den Betreiber eines Kraftwerks.¹³⁹ Ein solcher Betreiber hat im Verkehrsumfeld eher die Funktion, die dem Halter eines Fahrzeugs zukommt. Der Betreiber nach dem Vorschlag von Gless/Janal hat beim Betrieb des selbstfahrenden Systems eine Funktion inne, die vergleichbar erscheint mit einem Anbieter von Software-Dienstleistungen oder einem Webhoster. Es kommt ihm aber eine sehr grosse inhaltliche Verantwortlichkeit für die Funktionstüchtigkeit des Systems zu.

Der so definierte Betreiber haftet de lege lata nicht nach dem Produktehaftpflichtgesetz, es sei denn, man würde ihn unter den Herstellerbegriff und seine Tätigkeit unter den Produktbegriff subsumieren, was allerdings de lege lata kaum vertretbar erscheint. Bei der Betreiberhaftung würde es sich um eine Art verschuldensabhängige Produzentenhaftung handeln. Gless/Janal denken gar darüber nach, die Halterhaftung aufgrund dieser neuen Betreiberhaftung einzuschränken resp. eine Gefährdungshaftung des Betreibers nach dem Vorbild der Produktehaftpflicht für sämtliche Fahrfehler des Fahrzeugs einzuführen.¹⁴⁰ Der Betreiber würde als erster in Anspruch genommen und müsste sodann auf den Halter regressieren, wenn sich eine andere Betriebsgefahr als eine Fehlfunktion des Steuerungssystems verwirklicht.¹⁴¹

Fraglich ist m.E., ob die Betreibertätigkeit nicht dem Hersteller zugerechnet werden kann und müsste. Wenn ein externer/zusätzlicher Betreiber für den Betrieb eines selbstfahrenden Autos notwendig ist, kann das Inverkehrbringen eines solchen Autos nur unter Beizug eines solchen Betreibers erfolgen. Die Betreibertätigkeit erscheint somit zwingend mit diesem Produkt verbunden. Es stellt sich also m.E. die Frage, ob es sinnvoll ist, gegen aussen eine separate, zusätzliche mögliche Anspruchsgegnerin zu definieren, oder ob die Verantwortlichkeit des Betreibers nicht vielmehr in einem Regressprozess zwischen Hersteller und dem von ihm beauftragten Betreiber geklärt werden müsste. Soll die Zurechnung an den Hersteller wirkungsvoll erfolgen, müssten den Hersteller aber die Pflichten zur Produktsicherheit auch nach Inverkehrbringen treffen. Dies ist bereits de lege lata der Fall; allerdings haftet der Hersteller wie dargestellt nur verschuldensabhängig

Die Trennung zwischen Hersteller und Betreiber erscheint auch nicht in jedem Fall zwingend. Wäre davon auszugehen, dass sich der Eigentümer oder Halter des Autos selbst für einen solchen Betreiber entscheidet und diesen unabhängig von seinem Hersteller auswählen kann (andere Abo-Konditionen, etc.), so ist einerseits von einer vertraglichen Haftung dieses Betreibers gegenüber dem Halter auszugehen und andererseits von einer von der Herstellerhaftung unabhängigen ausservertraglichen Haftung gegenüber geschädigten Dritten.

Dass im Bereich der Herstellerhaftung allenfalls Regelungsbedarf besteht, wurde oben aufgezeigt. Die heutige Ausgestaltung der Herstellerhaftung bereitet gewisse Schwierigkeiten und wirft Fragen im Hinblick auf die Einführung selbstfahrender Autos auf: Die Begriffe des Herstellers und des Produkts sind im Hinblick auf die vielen Teilverantwortlichkeiten und die Komplexität der Systeme zu klären. Im Zusammenhang mit der Herstellerhaftung ist eine grössere Verantwortlichkeit der Hersteller für die Zeit nach dem Inverkehrbringen eines selbstfahrenden Autos wünschenswert. Der Verschuldensnachweis sollte nicht wie heute, da der Hersteller für die Zeit nach Inverkehrbringen nur verschuldensunabhängig haftet, dem Geschädigten obliegen. Vielmehr sollte der Hersteller aufgrund der bei intelligenten Agenten zentralen Produktbeobachtung (Lernfähigkeit der Systeme, Gefahr von Hacker-Angriffen) auch hierfür kausal einstehen, wobei ihm der Entlastungsbeweis offenstehen muss. Überdacht werden muss, ob die zivilprozessualen Mittel den praktischen Schwierigkeiten bei der Prozessführung gegen einen Hersteller angemessen begegnen, oder ob zusätzliche Beweisregelungen und allenfalls Sammelklage-Möglichkeiten einzuführen sind. Die in der Schweiz bestehende Regressproblematik ist zu lösen, was das Beispiel selbstfahrender Autos deutlich aufzeigt: Der Regress auf den Hersteller muss möglich sein.

Es ist unumstritten, dass die zunehmende Automatisierung und Vernetzung zu einem grossen Risiko der Angriffe von aussen führt.¹⁴²

Zu klären ist, wem die Verantwortlichkeit für die Sicherheit des Systems zukommt. Es wird in der Verantwortung des Halters liegen, Wartungsarbeiten durchzuführen und insbesondere empfohlene Updates zu installieren, sofern ihm diese Möglichkeit technisch selbst überhaupt zukommt. Den Hersteller trifft aufgrund der Produktbeobachtungspflicht eine grundsätzliche Verantwortlichkeit auch für die Systemsicherheit.¹⁴³ Fraglich ist, ob von Fehlerhaftigkeit bei Inverkehrbringen im Sinne des Produkthaftungsrechts und damit einer verschuldensunabhängigen Haftung des Herstellers auszugehen ist, wenn die Systemsicherheit nicht gewährleistet ist.¹⁴⁴ Noch nicht abschliessend geklärt ist die Rolle des sogenannten Betreibers, dessen Verantwortlichkeit und der daraus resultierende Einfluss auf die Verantwortlichkeit des Herstellers.

Sollte ein Hacker-Angriff zu einem Unfall führen, ohne dass einem der Beteiligten eine Sorgfaltspflichtverletzung vorgeworfen werden kann, stellt sich die Frage, ob ein Haftungsausschluss des kausalhaftpflichtigen Halters vorliegen könnte. Dies ist nach dem oben Gesagten m.E. anzunehmen.¹⁴⁵ Hersteller gemäss PrHG haben nur für die Systemsicherheit bei Inverkehrbringen einzustehen. Aufgrund der Produktbeobachtungspflicht haften die Hersteller aber m.E. verschuldensabhängig für die Systemsicherheit nach Inverkehrbringen.

Es stellt sich die Frage, ob ein Auto, das selbst fahren und selbst lernen kann, nicht auch selbst haften sollte.¹⁴⁶ Mit zunehmender Automatisierung und Selbstständigkeit werden selbstfahrende Autos wie auch andere intelligente Agenten immer mehr einen eigenständigen Platz in unserer Gesellschaft einnehmen. Da sie nicht mehr übersteuerbar und nicht mehr vollständig kontrollierbar sind, und ihr Verhalten für uns Menschen nicht vollumfänglich voraussehbar ist, werden diese Agenten immer eigenständiger und immer selbstständiger werden, immer mehr menschenersetzende Funktionen einnehmen und so in ihrer Rolle auch gewissermassen personenähnlicher werden.

Die Schaffung neuer Rechtssubjekte, sogenannter elektronischer Personen («ePersons»), ist ein Vorschlag, wie das Recht mit wachsender künstlicher Intelligenz umgehen könnte.¹⁴⁷ Die Gesellschaft wäre frei zu entscheiden, welche Rechte und Pflichten einer solchen elektronischen Person zukommen.¹⁴⁸ Zurechnungsprobleme könnten sich mithilfe der bekannten Institute der beschränkten Handlungsfähigkeit respektive der Stellvertretung lösen lassen; im Hinblick auf den Rechtsschutz wird eine Prozessstandschaft für künstliche Intelligenzsysteme vorgeschlagen.¹⁴⁹ In der Lehre wird darauf hingewiesen, dass auch der Vorschlag der elektronischen Rechtspersönlichkeit nichts daran ändere, dass am Ende ein Mensch als «Organ» gefunden werden muss, der die Maschine vertritt.¹⁵⁰ Zudem bestehe die Gefahr, dass Roboter bei einer solchen Konzeption als Haftungsbeschränkung eingesetzt werden könnten, was wiederum Fehlanreize und eine Risikoverlagerung auf Dritte zur Folge hätte.¹⁵¹ Kritisch in Bezug auf diesen Vorschlag stellt Spindler zudem die praktische Frage, wer genau in den Genuss der Rechtssubjektivität kommen sollte, zumal es «das» künstlich intelligente System nicht gebe, ein Roboter ferngesteuert sei und eine Software aus verschiedenen interagierenden Modulen bestehen könne. Es sei die Frage, ob eine Art «Gehirn» lokalisiert werden könne, respektive ob das für die Bestimmung der Rechtspersönlichkeit relevante «System» insbesondere im Hinblick auf dessen Vernetzung überhaupt abgrenzbar sei.¹⁵²

In Bezug auf selbstfahrende Autos und in zivilrechtlicher Hinsicht bestehen m.E. nur geringfügige praktische Unterschiede und insbesondere keine ersichtlichen Vorteile im Vergleich zur momentanen Situation der kausalen Halterhaftung mit Versicherungspflicht und direktem Forderungsrecht des Geschädigten.¹⁵³ Es würde sich um eine andere Versicherung oder einen anderen Fonds handeln, der für den Schaden aufkommen müsste, wobei diese Lösung allenfalls auf einem fairen Ausgleich zwischen Halter- und Herstellerbeiträgen basieren könnte. Es stellt sich aber die Frage nach der Notwendigkeit einer solchen Umstrukturierung. Im Ergebnis erscheint zivilrechtlich durch die Schaffung einer elektronischen Persönlichkeit im Zusammenhang mit selbstfahrenden Autos m.E. nicht viel gewonnen, weil bereits eine Gefährdungshaftung verbunden mit einer Versicherungspflicht besteht, die dem Geschädigtenschutz gerecht wird. Die Frage der Schaffung einer elektronischen Person ist m.E. insbesondere für andere Anwendungsfälle der Robotik zu untersuchen, bei denen de lege lata keine Gefährdungshaftungslösungen mit Versicherungspflicht bestehen.

Nach dem Gesagten ist folgende These aufzustellen: Es wird mit der Einführung von selbstfahrenden Autos, deren Fahrsysteme durch intelligente Algorithmen kontrolliert werden, keine grundlegende Verschiebung zivilrechtlicher Verantwortlichkeit im Individualverkehr einhergehen. Die heutigen Regelungen sind auf die Situation selbstfahrender Autos m.E. grundsätzlich übertragbar, wobei aber gewisse Sonderfragen zu klären sind.

Es kann unverändert an der kausalen Gefährdungshaftung des Halters verbunden mit einer Versicherungspflicht festgehalten werden. An die Stelle der heutigen Fahrerhaftung sollte m.E. eine modifizierte Nutzerhaftung treten. Zu diskutieren ist die Ausgestaltung der Herstellerhaftung. Hier ist insbesondere der grossen Relevanz der Produktbeobachtungspflicht Rechnung zu tragen. In Bezug auf den Fehlerbegriff ist einerseits das Abstellen auf den Zeitpunkt des Inverkehrbringens für die Beurteilung der Fehlerhaftigkeit zu hinterfragen. Fraglich ist in diesem Zusammenhang sodann, welche Anforderungen an die Sicherheit selbstfahrender Autos resp. der sie kontrollierenden Systeme gestellt werden können, bis Fehlerhaftigkeit anzunehmen ist. Hersteller werden sich bei Annahme der Fehlerhaftigkeit nur in Ausnahmefällen auf die Unvorhersehbarkeit eines Machine Learning-Systems berufen können, um sich von der Haftung zu befreien: Entlastungsmöglichkeiten des Herstellers bei Fehlern selbstlernender Algorithmen liegen m.E. nicht vor, wenn die zuständigen Algorithmen nach Training und Optimierung bereits eine Fehlerquote >0 aufweisen. Den faktischen Schwierigkeiten bei der Durchsetzung von Ansprüchen gegenüber den Herstellern durch die Geschädigten ist Rechnung zu tragen; zu denken ist etwa an beweisrechtliche Vermutungsregeln oder an zivilprozessuale Massnahmen. Notwendig erscheint weiter, dass der Regress auf den Hersteller für alle Ersatzpflichtigen umfassend offen steht. Diesem kommt m.E. Anreizwirkung zu; er ist kein Innovationshemmer.

Im Hinblick auf folgende Fragen besteht allenfalls Regelungsbedarf: Zu definieren sind die Rolle des «Betreibers» und dessen Verantwortlichkeit. Weiter ist die Frage der Verantwortlichkeit für die Systemsicherheit zu klären. Hacker-Angriffe können m.E. zu einer Entlastung von der kausalen Halterhaftpflicht führen. Der Hersteller haftet aufgrund der Produktbeobachtungspflicht verschuldensabhängig für die Systemsicherheit, m.E. aber nicht nach dem Produkthaftpflichtgesetz, wenn die Sicherheitslücke bei Inverkehrbringen noch nicht bestanden hat. Aus zivilrechtlicher Sicht erscheint es nach hier vertretener Ansicht nicht notwendig, selbstfahrende Autos als eigenständige Rechtssubjekte zu behandeln.

---

 

Dr. iur. Cordula Lötscher, Advokatin, ist Lehrbeauftragte an der Universität Basel und ordentliche Richterin am Appellationsgericht des Kantons Basel-Stadt. Der vorliegende Aufsatz basiert auf dem gleichnamigen Inputreferat der Autorin anlässlich der Tagung der Universität Basel zum Thema «Intelligenter Verkehr – Rechtsfragen im Kontext» am 22. September 2016.