Funktioniert Airbase in China? PIPL, grenzüberschreitende Finanzdaten und Datenresidenz
Airbase ist jetzt ein Paylocity-Unternehmen — eine US-Ausgabenmanagement-Plattform, die Ihre Spesen-, Firmenkarten- und Lieferantenzahlungsdaten in den Vereinigten Staaten speichert und verarbeitet, ohne Region in Festlandchina. Ein Blick zuerst auf die Compliance: die PIPL-Grenztransfer- und Datenresidenz-Exponierung für Ihre China-Finanzdaten.
Funktioniert Airbase in China?
Ob Sie Airbase in Festlandchina nutzen können, ist zuerst eine Datenresidenz- und Grenzdaten-Frage, keine der Geschwindigkeit. Airbase ist eine Ausgabenmanagement-Plattform — sie trägt die Spesen und Erstattungen Ihrer Mitarbeiter, Ihre Firmenkarten-Aktivität und die Kontakt- und Bankdetails Ihrer Lieferanten — und wo diese personenbezogenen und finanziellen Daten liegen, ist das, worauf Chinas Recht reagiert.
Airbase ist jetzt ein Paylocity-Unternehmen, und Paylocitys eigene Datenschutzerklärung gibt an, es sei „an organization established in the United States of America (USA)“ (eine in den Vereinigten Staaten von Amerika (USA) errichtete Organisation), und dass für Personen außerhalb der USA „your personal information will likely be transferred to, stored, and processed in the USA“ (Ihre personenbezogenen Daten wahrscheinlich in die USA transferiert, dort gespeichert und verarbeitet werden). Die Spesen-, Karten- und Lieferantenzahlungsdatensätze Ihrer in China ansässigen Mitarbeiter und Lieferanten werden also im Ausland gehalten — ein grenzüberschreitender Transfer personenbezogener Daten, den PIPL regelt, und weil Bank- und Zahlungsdetails sensible personenbezogene Daten sind, ist die Latte noch höher. Die Tabelle unten gibt den eigenen Wortlaut des Anbieters und die Regeln wieder, die er auslöst.
Dies ist ein Risikobild, kein Urteil — Ihre Pflichten hängen von Ihren Datenmengen, Ihrer Rolle und davon ab, wie viele sensible Daten Sie bewegen. Unser China-Team kann Ihre Airbase-Exponierung mit Ihnen kartieren →
Compliance-Momentaufnahme
- ! Erreichbar, aber eine Offshore-SaaS — jede Spesenabrechnung und Zahlung bewegt China-Daten über die Grenze
- ✕ Keine Festlandchina-Region; Ihre Daten werden in den USA gespeichert und verarbeitet, dem Heimatland von Airbase
- ! Dieser Offshore-Transfer personenbezogener Daten wird von PIPL geregelt — Mitteilung, gesonderte Einwilligung, ein Transfermechanismus
- ! Bank- und Zahlungsdetails sind „sensible“ personenbezogene Daten — PIPL legt eine höhere Latte an
- ✓ Ein rechtskonformer inländischer Auslieferungs- und Speicherpfad existiert — kein Neuaufbau, keine Migration
Was die offizielle Airbase-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| In den eigenen Worten des Anbieters: Airbase ist jetzt ein Paylocity-Unternehmen, und Paylocitys Datenschutzerklärung gibt an, es sei „an organization established in the United States of America (USA)“ (eine in den Vereinigten Staaten von Amerika (USA) errichtete Organisation), und dass für „individuals located outside the United States, your personal information will likely be transferred to, stored, and processed in the USA or other countries outside of where you live“ (Personen außerhalb der Vereinigten Staaten Ihre personenbezogenen Daten wahrscheinlich in die USA oder andere Länder außerhalb Ihres Wohnorts transferiert, dort gespeichert und verarbeitet werden). Dieselbe Erklärung führt „Airbase Inc.“ unter den Entitäten auf, die zertifiziert sind, personenbezogene Daten in den Vereinigten Staaten zu verarbeiten — nichts davon in Festlandchina. | Paylocity — Special Notice for Residents of the EEA, UK and Switzerland (International Transfer), abgerufen 2026-10-07 |
| Airbase hält personenbezogene Daten — Mitarbeiternamen und Spesenanträge, Erstattungs- und Firmenkarten-Aktivität und Lieferantenkontakte und Bankkontodetails — und hält sie in den USA. Von Personen in China erhobene personenbezogene Daten verlassen also das Land. PIPL regelt diesen grenzüberschreitenden Transfer: Der Verarbeiter personenbezogener Daten (Sie, der Kunde von Airbase — nicht Airbase) muss Mitteilung machen, gesonderte Einwilligung einholen und einen Transfermechanismus erfüllen — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung. | PIPL Kapitel III, Art. 38–43 |
| Bankkontonummern und Zahlungsdetails sind „sensitive personal information“ (sensible personenbezogene Daten) nach PIPL (Art. 28, der Finanzkonten ausdrücklich nennt), und das hebt die Latte: Ein Verarbeiter braucht einen spezifischen, notwendigen Zweck, gesonderte Einwilligung und eine Folgenabschätzung zum Schutz personenbezogener Daten, bevor er sie bewegt (Art. 29 und 55). Ein Ausgabenmanagement-Werkzeug bewegt genau diese Datenklasse über die Grenze, jedes Mal, wenn ein China-Mitarbeiter oder -Lieferant bezahlt wird. | PIPL Art. 28, 29 und 55 |
| Die Exponierung skaliert mit Menge, Sensibilität und Rolle, nicht bloß mit der Nutzung des Werkzeugs. Nach den grenzüberschreitenden Regeln der CAC vom März 2024 ist ein Nicht-Betreiber kritischer Informationsinfrastruktur, der in einem Kalenderjahr die nicht sensiblen personenbezogenen Daten von weniger als 100.000 Personen bewegt, von der Sicherheitsbewertung, dem Standardvertrag und der Zertifizierung befreit — doch sensible personenbezogene Daten (Bank- und Zahlungsdaten) fallen außerhalb dieser Befreiung und werden gegen weit niedrigere Schwellen gezählt. Für einen Betreiber kritischer Informationsinfrastruktur oder einen Verarbeiter großer Mengen müssen in China erhobene personenbezogene Daten im Festland gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)) — was eine Offshore-US-Plattform nicht leisten kann. | CAC — Regulations on Promoting and Regulating Cross-border Data Flows, März 2024; PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37) |
Quellen vom 21YunBox Compliance-Team am 7. Oktober 2026 geprüft.
Für ein Finanzteam, das Airbase aus Festlandchina betreibt, ist die entscheidende Frage nicht, wie schnell das Dashboard zeichnet — sie ist, wo Ihre Finanzdaten liegen dürfen. Airbase ist eine Ausgabenmanagement-Plattform: Sie trägt die Spesenanträge und Erstattungen Ihrer Mitarbeiter, Ihre Firmenkarten-Aktivität und die Kontakt- und Bankkontodetails Ihrer Lieferanten. Airbase ist jetzt ein Paylocity-Unternehmen, und Paylocity beantwortet die Standortfrage in seiner eigenen Datenschutzerklärung — es ist eine US-Organisation, und die personenbezogenen Daten von Personen außerhalb der Vereinigten Staaten werden dorthin transferiert, dort gespeichert und verarbeitet. Die App ist aus China erreichbar; die Exponierung ist, dass ihr Erreichen die personenbezogenen — und finanziellen — Daten Ihrer China-Mitarbeiter und -Lieferanten über die Grenze bewegt, ohne Festland-Region, um sie darin zu halten.
Airbase in China auf einen Blick
| Worüber es entscheidet | In den eigenen Worten des Anbieters |
|---|---|
| Wo es läuft | Airbase ist jetzt ein Paylocity-Unternehmen; Paylocity ist „an organization established in the United States of America (USA)“ (eine in den Vereinigten Staaten von Amerika (USA) errichtete Organisation). Keine Festlandchina-Region wird angeboten, und Daten von Personen außerhalb der USA werden in den USA gespeichert und verarbeitet. |
| Welche Daten es hält | Spesen- und Erstattungsdatensätze von Mitarbeitern, Firmenkarten-Aktivität und Lieferantenkontakte und Bankkontodetails — personenbezogene Daten, vieles davon finanziell. |
| Ihre China-Daten | Personenbezogene Daten von China-Mitarbeitern und -Lieferanten werden ins Ausland in die USA transferiert — ein grenzüberschreitender Transfer, den PIPL regelt, der Mitteilung, gesonderte Einwilligung und einen Transfermechanismus erfordert. |
| Sensible Daten | Bank- und Zahlungsdetails sind „sensitive personal information“ (sensible personenbezogene Daten) nach PIPL, die eine höhere Latte tragen — spezifische Notwendigkeit, gesonderte Einwilligung und eine Folgenabschätzung — als gewöhnliche personenbezogene Daten. |
| Ist es erreichbar? | Ja — es ist eine Offshore-Web-Anwendung, die aus China wie jede andere US-gehostete SaaS erreicht wird. Erreichbarkeit ist eine Auslieferungssache, nicht die Compliance-Frage. |
Tür eins — eine Offshore-Finanz-App, mit Ihren China-Daten, die in den USA verarbeitet werden
Airbase läuft nicht innerhalb Festlandchinas. Es ist jetzt ein Paylocity-Unternehmen, und Paylocity gibt klar an, es sei „an organization established in the United States of America (USA)“ (eine in den Vereinigten Staaten von Amerika (USA) errichtete Organisation), und dass für Personen außerhalb der USA „your personal information will likely be transferred to, stored, and processed in the USA or other countries outside of where you live“ (Ihre personenbezogenen Daten wahrscheinlich in die USA oder andere Länder außerhalb Ihres Wohnorts transferiert, dort gespeichert und verarbeitet werden). Seine Datenschutzerklärung führt „Airbase Inc.“ unter den Entitäten auf, die gegenüber dem US-Handelsministerium zertifiziert haben, dass sie personenbezogene Daten in den Vereinigten Staaten verarbeiten. Es gibt keine Festlandchina-Region, der Ihr Konto zuzuweisen wäre, sodass die Finanzdatensätze Ihrer China-Mitarbeiter und -Lieferanten per Design im Ausland gehalten werden.
Diese Geografie klärt die Datenresidenzfrage, bevor die Leistung überhaupt ins Spiel kommt. Eine App zu erreichen, ist nicht dasselbe wie freigegeben zu sein, die Daten Ihrer Leute dorthin zu bewegen, wo sie läuft, und das Netzwerk zu optimieren, schafft kein Festland-Zuhause für Daten, die in den USA gehalten werden.
Tür zwei — personenbezogene und finanzielle Daten, die die Grenze überschreiten
Betreiben Sie Airbase aus China, senden Sie bei jedem Gehaltslauf und jeder Spesenabrechnung personenbezogene Daten aus dem Land: Mitarbeiternamen und Erstattungen, Firmenkarten-Aktivität und Lieferantenkontakte und Bankkontonummern. Nach Chinas Gesetz zum Schutz personenbezogener Daten ist das ein grenzüberschreitender Transfer, und der Verarbeiter — Sie, der Kunde von Airbase, nicht Airbase — muss Mitteilung machen, gesonderte Einwilligung einholen und einen Transfermechanismus erfüllen: eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung.
Finanzdaten verschärfen das. Bankkonto- und Zahlungsdetails sind sensible personenbezogene Daten nach PIPL, was eine höhere Latte anlegt — einen spezifischen, notwendigen Zweck, gesonderte Einwilligung und eine Folgenabschätzung zum Schutz personenbezogener Daten —, um sie überhaupt zu bewegen. Und wenn Sie ein Betreiber kritischer Informationsinfrastruktur oder ein Verarbeiter großer Mengen sind, müssen in China erhobene personenbezogene Daten im Festland bleiben (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)) — eine Residenzpflicht, die eine Offshore-US-Plattform nicht erfüllen kann.
Dies ist eine Risikokarte, kein Urteil: Ob Sie einen Transfermechanismus, Inland-Speicherung oder beides brauchen, hängt davon ab, wie viele personenbezogene und sensible Daten Sie bewegen, wer Ihre Nutzer sind und welche Rolle Sie nach dem Recht haben — es lohnt, dies mit Rechtsbeistand zu klären, bevor Sie bauen.
Wo 21YunBox hineinpasst — eine rechtskonforme Overlay, keine Migration
Sie betreiben Airbase weiter. Wir fügen das Stück hinzu, das eine Offshore-Finanzplattform nicht kann: einen rechtskonformen, inländischen Pfad für die Daten, die Chinas Recht nah gehalten wissen will, neben Ihren bestehenden Stack gesetzt — kein Neuaufbau, kein zweites System und kein Wechsel weg von Airbase. Unser China-Team kartiert Ihre PIPL-Grenztransfer- und Datenresidenz-Pflichten gegen Ihre Gesellschaft, Ihre Datenmengen und die sensiblen Finanzdaten ab, die Sie verarbeiten, und stellt dann die inländische Auslieferung und Speicherung bereit, die eine rechtmäßige China-Präsenz braucht — auf unserer ICP-gemeldeten Infrastruktur —, während Ihre Finanz-Workflows genau dort bleiben, wo sie bereits laufen.
Compliance-Einschätzung anfordern →
Weiterführend:
Häufige Fragen
Speichert Airbase die Daten chinesischer Nutzer in China?
Nein. Airbase ist jetzt ein Paylocity-Unternehmen, und nach Paylocitys eigener Datenschutzerklärung ist es eine in den Vereinigten Staaten errichtete Organisation, wohin die personenbezogenen Daten von Personen außerhalb der USA transferiert, dort gespeichert und verarbeitet werden. Airbase veröffentlicht keine Festlandchina-Region, sodass die Spesen-, Firmenkarten- und Lieferantenzahlungsdatensätze Ihrer China-Mitarbeiter und -Lieferanten im Ausland gehalten werden.
Ist es gesetzeswidrig, Airbase in China zu nutzen?
Nicht grundsätzlich. Das Problem ist der grenzüberschreitende Transfer personenbezogener Daten — einschließlich sensibler Finanzdaten —, den PIPL erlaubt, wenn Sie Mitteilung machen, gesonderte Einwilligung einholen und einen seiner Transfermechanismen erfüllen. Ob Sie zusätzlich einer Datenlokalisierungspflicht unterliegen, hängt von Ihrer Rolle (zum Beispiel, ob Sie ein Betreiber kritischer Informationsinfrastruktur sind) und der Menge und Sensibilität der Daten ab, die Sie verarbeiten. Behandeln Sie es als ein Risiko, das mit Rechtsbeistand einzuschätzen ist, nicht als ein pauschales Verbot.
Kann 21YunBox helfen, unser Airbase-Setup in China rechtskonform zu machen?
Ja. Unser China-Team kann Ihre Grenztransfer- und Datenresidenz-Exponierung für Ihre Datenmengen, Sensibilität und Rolle einschätzen und die rechtskonforme, inländische Auslieferung und — wo das Recht verlangt, dass Ihre China-Daten im Festland bleiben — Speicherung bereitstellen, die eine Offshore-Finanzplattform nicht bieten kann, ohne Neuaufbau oder Migration. Nehmen Sie Kontakt auf, um Ihren konkreten Fall durchzugehen.
