Funktioniert Optimizely (Episerver) in China? Datenlokalisierung, ICP und PIPL

Optimizely — die Digital-Experience-Plattform, die die meisten Teams noch als Episerver kennen — ist eine der am weitesten verbreiteten Enterprise-DXPs der Welt, und „funktioniert Optimizely in China“ hat eine schärfere Antwort als ein schlichtes Ja oder Nein. Optimizely ist keine Software, die Sie auf einem Server Ihrer Wahl installieren; es ist eine Plattform, die Optimizely für Sie hostet und betreibt, und es beantwortet die China-Frage in seiner eigenen Dokumentation: Es läuft auf Microsoft Azure, in einem festen Satz von Regionen, mit keiner innerhalb Festlandchinas. Eine darauf gebaute Site ist vom Festland aus erreichbar — aber sie wird von Offshore bedient, und ihre Daten werden von Offshore gespeichert.

Die ehrliche Version der Frage ist also nicht „ist Optimizely gesperrt“, sondern „wo liegen Ihre Optimizely-Inhalte und die Daten Ihrer Besucher, und kann die öffentliche Site vor ihnen zum Betrieb in China lizenziert werden“. Das sind zwei Compliance-Fragen — Datenlokalisierung und die ICP-Registrierung — und sie sind die Hälfte von „funktioniert Optimizely in China“, die kein noch so großes Caching, keine Experiment-Optimierung und keine Edge-Auslieferung beantwortet. Nachfolgend steht, was Optimizely über den Betriebsort dokumentiert, wie Chinas Gesetz zum Schutz personenbezogener Informationen die Daten behandelt, die eine China-zugewandte Site erhebt, und welche ICP-Registrierung eine öffentliche Festland-Site auslöst — in Optimizelys eigenen Worten und Chinas eigenem Recht, damit Sie die Frage zu Ihren Anwälten tragen können statt zu einer Stoppuhr.

Optimizely in China auf einen Blick

Was Optimizely (Episerver) ist — eine verwaltete DXP auf Offshore-Azure

Optimizelys eigene Cloud-Architecture-Dokumentation ist der Ausgangspunkt, denn sie beantwortet die Frage, die die meisten „funktioniert es in China“-Texte überspringen: Wer betreibt die Server, und wo. Optimizely nennt seine Plattform „a managed hosting platform built on Microsoft Azure“ — Optimizely stellt sie bereit und betreibt sie, und Sie wählen eine Region aus einer festen Liste. Das Produkt hat eine Geschichte, die man deutlich benennen sollte: Es begann als Episerver, und nachdem Episerver 2020 das Experimentier-Unternehmen Optimizely übernommen hatte, nahm es 2021 den Namen Optimizely an, sodass das CMS/DXP und die Experimentier- und Personalisierungs-Suite nun unter einer Marke stehen. Was sich nicht geändert hat, ist die Gestalt der Sache — es ist eine Plattform an Optimizelys Adressen, keine Software, die Sie auf einem eigenen Server installieren.

Das rahmt die ganze Frage neu. Weil Optimizely die Plattform hostet, ist „ist Optimizely in China gesperrt“ die falsche Linse: Es ist vom Festland aus erreichbar. Eine von Offshore bediente Site kann für Festland-Besucher langsam sein, und Themes oder Frontend-Code, die Drittanbieter-Schriften, -Analytics oder -Kartenbibliotheken einbinden, können Assets laden, die innerhalb des Festlands selbst beeinträchtigt sind — aber das ist eine Auslieferungsfrage, nicht das, was darüber entscheidet, ob Sie Optimizely für ein chinesisches Publikum betreiben dürfen. Darüber entscheiden die zwei Türen unten, und beide hängen an der Tatsache, dass jede Region, die Optimizely anbietet, außerhalb Festlandchinas liegt.

Die erste Tür: wo Ihre Inhalte und die Daten Ihrer Besucher liegen

Für ein Festland-Publikum ist die erste Tür die Datenlokalisierung, und Optimizely klärt sie in seinen eigenen Worten: „Your content database and blob storage remain in your selected region“ und „origin data stays in-region“. Die Regionsliste umfasst North America East (Virginia), North America West (Washington), Europe West (Niederlande), Europe North (Irland), Asia Pacific (Singapur) und Australia East (Sydney) — sechs Regionen, keine in Festlandchina, mit Singapur als nächstgelegener und dennoch offshore. Was Ihre Optimizely-Site also aufbewahrt, liegt außerhalb des Landes.

Eine DXP zeigt selten nur Seiten an. Seiteninhalte, Redakteurs- und Kontaktdatensätze, Formular- und Kampagneneinträge und — weil Optimizelys Experimentier- und Personalisierungsfunktionen das Verhalten vor Ort beobachten — die an dieses Verhalten geknüpften Besucherkennungen landen alle in der von Ihnen gewählten Offshore-Region. Für eine Besucherin in China sind diese Kennungen und Übermittlungen personenbezogene Informationen. Sie in einer Offshore-Region zu halten, heißt, diese personenbezogenen Informationen aus dem Festland herauszutragen, was Chinas Gesetz zum Schutz personenbezogener Informationen als grenzüberschreitende Übermittlung regelt (Kapitel III, Artikel 38–43: Benachrichtigung, gesonderte Einwilligung und ein zulässiger Übermittlungsmechanismus — eine CAC-Sicherheitsbewertung, der CAC-Standardvertrag oder eine Zertifizierung). Das Gewicht skaliert mit Volumen und Rolle und nicht damit, dass überhaupt Optimizely genutzt wird: Nach den grenzüberschreitenden Regeln der CAC vom März 2024 ist ein Nicht-CIIO, der in einem Kalenderjahr die nicht sensiblen personenbezogenen Informationen von weniger als 100.000 Personen überträgt, von diesen Mechanismen befreit, während ein CIIO oder Großmengen-Verarbeiter in China erhobene personenbezogene Informationen innerhalb des Festlands halten muss (PIPL Artikel 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)). Welche davon auf Sie zutrifft, ist eine Frage für Ihre Anwälte, behandeln Sie die Einzelheiten also als Risikobild statt als Standard.

Die zweite Tür: eine ICP-Registrierung für die öffentliche Festland-Site

Eine öffentliche Website für Menschen in Festlandchina bereitzustellen, hängt an einer Genehmigung, die nichts mit Optimizelys Code zu tun hat: einer ICP-Registrierung (备案). Nach Erlass Nr. 292 des Staatsrats (Artikel 4) und MIIT-Erlass Nr. 33 knüpft diese Registrierung an eine Hosting-Ressource physisch innerhalb des Festlands und an eine Festland-Rechtseinheit an — und eine Plattform, die nur in Offshore-Azure-Regionen läuft, hat im Land nichts, woran sie binden könnte.

Hier klärt „Optimizely Cloud ist, wo unsere Site schon liegt“ nichts über China. Die Plattform veröffentlicht keine Region in Festlandchina, die Site aus Singapur oder Virginia zu erreichen, schafft also nicht die landesinterne Grundlage, die eine Registrierung braucht — und das gilt, ob Sie traditionelle Seiten rendern oder ein Headless-Frontend gegen Optimizelys Content-APIs. Die Registrierung folgt dem Hosting, das Hosting ist offshore, und diese Tür zu schließen heißt, ICP-registrierte Auslieferung innerhalb des Festlands vor den Optimizely-Origin zu setzen, nicht davon wegzuplattformieren.

Wo 21YunBox hineinpasst — ein konformes Overlay, keine Migration

Sie behalten Optimizely genau so, wie Sie es heute bauen — dasselbe CMS, dieselbe Experimentierung und Personalisierung, dasselbe Content-Modell, denselben Workflow. Was ein Festland-China-Publikum hinzufügt, ist das eine, das der Offshore-Fußabdruck der Plattform nicht liefern kann: ICP-registrierte Auslieferung aus dem Festland heraus, vorgeschaltet vor Ihren bestehenden Optimizely-Origin, mit einem festen landesinternen Eintrittspunkt, sodass die echte IP jedes Besuchers nicht über die Grenze getragen wird. Unser China-Team ordnet zu, welche Pflichten für Ihre Rechtseinheit und die personenbezogenen Daten gelten, die Ihre Optimizely-Site erhebt, erledigt die ICP-Registrierung und stellt den landesinternen Eintrittspunkt bereit — und hilft Ihnen, wo das Gesetz verlangt, dass die Daten Ihrer Nutzer auf chinesischem Boden bleiben, diese Daten im Festland zu halten. Kein Neuaufbau, keine zweite Codebasis, kein Wechsel weg von Optimizely.

Compliance-Bewertung anfordern →

Weiterführende Lektüre:

• Was ist die chinesische ICP-Lizenz und wie bekommt man eine?
• Grenzüberschreitende Datenübermittlungen unter PIPL