Funktioniert SAP Ariba in China? Datenresidenz, PIPL-Grenzübertritt und die Shanghai-Region
SAP Ariba und SAP Business Network betreiben durchaus ein Festlandchina-Rechenzentrum — Shanghai —, sodass die eigentliche Frage nicht ist, ob die Suite ein China-Zuhause hat, sondern ob die Beschaffungsdaten Ihres Tenants tatsächlich darauf ruhen und was mit den Lieferanten- und Käufer-personenbezogenen-Daten geschieht, die ein Käufer-Lieferanten-Netzwerk per Design über die Grenze bewegt. Das macht Datenresidenz und den PIPL-Grenztransfer (Art. 38–40) zur Achse, nicht die Geschwindigkeit. Ein Blick zuerst auf die Compliance: die Shanghai-Region, die grenzüberschreitenden Netzwerkflüsse und der rechtmäßige inländische Weg.
Funktioniert SAP Ariba in China?
Bei der Infrastruktur überwiegend ja — und das korrigiert eine verbreitete Annahme. SAP Ariba und SAP Business Network betreiben durchaus ein Festlandchina-Rechenzentrum in Shanghai, die Suite ist also kein Fall von „kein China-Zuhause“. Die Compliance-Frage ist enger: ob die Daten Ihres Tenants tatsächlich dort ruhen und was mit einem Lieferanten-Käufer-Netzwerk geschieht, das per Design die Grenze überschreitet.
SAPs eigener 2026er-SOC-2-Prüfbericht führt „Shanghai, China“ unter seinen „SAP Data Center Locations“ für die Suite. Aber Residenz ist eine Bereitstellungstatsache über Ihren Tenant, keine Eigenschaft des Produkts — die Platzierung folgt dem Land des Kontos, und bestehende Konten können wechseln, ein Alt- oder falsch eingestellter Tenant kann also weiterhin Beschaffungsdaten offshore halten. Und weil das SAP Business Network eine China-Partei mit Gegenparteien im Ausland verbindet, bewegen sich Lieferanten- und Käufer-Kontakt-personenbezogene-Daten, Bestellungen und Rechnungen als gewöhnlicher Betrieb über die Grenze — ein grenzüberschreitender Transfer nach PIPL (Mitteilung, eine gesonderte Einwilligung, ein Transfermechanismus; Art. 38–40), mit einer möglichen Datenexport-Sicherheitsbewertung bei Mengen oder für „wichtige Daten“ und Inland-Speicherung nach Art. 39 (vormals Art. 37) des Cybersicherheitsgesetzes für einen Betreiber kritischer Informationsinfrastruktur.
21YunBox kartiert, welche Ihrer Beschaffungsflüsse die Grenze überschreiten und ob Ihre Daten auf der in China ansässigen Grundlage sitzen, lokalisiert, was in China bleiben muss, und liefert jede öffentlich zugängliche Beschaffungsoberfläche im Inland auf ICP-gemeldeter Infrastruktur aus — ohne Neuaufbau und niemals eine Umgehung welcher Art auch immer. Behandeln Sie die Einzelheiten als ein mit Rechtsbeistand zu bestätigendes Risiko. Unser China-Team kann Ihre Exponierung mit Ihnen kartieren →
Compliance-Momentaufnahme
- ✓ SAP Ariba und SAP Business Network betreiben ein Festlandchina-Rechenzentrum — „Shanghai, China“ ist in SAPs eigenem 2026er-SOC-2-Prüfbericht unter „SAP Data Center Locations“ gelistet. Anders als ein Werkzeug ohne China-Zuhause kann die Suite die Beschaffungsdaten von China-Kunden im Inland hosten.
- ! Residenz hält nur, wenn Ihr Tenant tatsächlich auf den China-Standort bereitgestellt ist. Die Platzierung folgt dem Land im Kontoprofil, und bestehende Konten können das Rechenzentrum wechseln, ein Alt- oder falsch eingestellter Tenant kann also weiterhin Beschaffungsdaten offshore halten. Bestätigen Sie, auf welchem Rechenzentrum Ihr Tenant sitzt.
- ! Das Käufer-Lieferanten-Netzwerk ist per Design grenzüberschreitend: Eine China-Partei, die mit Offshore-Gegenparteien handelt, routet Lieferanten- und Käufer-Kontakt-PII, Bestellungen und Rechnungen über die Grenze — ein PIPL-Grenztransfer (Art. 38–40: Mitteilung, eine gesonderte Einwilligung, ein Transfermechanismus), unabhängig davon, wo der Home-Tenant sitzt.
- ! Oberhalb von Mengenschwellen, oder wo Beschaffungsdatensätze „wichtige Daten“ darstellen, kann der Transfer eine CAC-Datenexport-Sicherheitsbewertung (数据出境安全评估) erfordern, bevor irgendetwas geht.
- ! Für einen Betreiber kritischer Informationsinfrastruktur verlangt Art. 39 (vormals Art. 37) des Cybersicherheitsgesetzes, dass in China erhobene personenbezogene Daten im Festland gespeichert werden — eine Pflicht, die die Shanghai-Region nur für tatsächlich dort gehaltene Daten erfüllt, und nur, wenn Ihr Tenant auf ihr sitzt.
- ✓ Der rechtmäßige Weg: die in China ansässige Platzierung bestätigen, kartieren, welche Netzwerkflüsse die Grenze überschreiten, das, was in China bleiben muss, im Inland halten und jede öffentlich zugängliche Beschaffungsoberfläche im Inland auf ICP-gemeldeter Infrastruktur ausliefern — niemals Umgehung.
Was die offizielle SAP Ariba-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| SAP Ariba und SAP Business Network betreiben ein Festlandchina-Rechenzentrum. SAPs eigener 2026er-SOC-2-Prüfbericht gibt an, er „covers the following data center locations:“ und listet unter „SAP Data Center Locations“ „Shanghai, China“ — eine Festland-Region für die Suite, neben Standorten in Saudi-Arabien und den VAE sowie Google-Cloud-Standorten außerhalb Chinas. Anders als ein Werkzeug ohne China-Zuhause kann die Suite also die Beschaffungsdaten von China-Kunden im Inland halten. | SAP Trust Center — SAP Ariba and SAP Business Network SOC 2 Audit Report 2026, abgerufen 2026-10-09 |
| Welches Rechenzentrum Ihre Daten hält, folgt Ihrem Konto — und kann sich ändern. SAPs Dokumentation zum Cloud Integration Gateway der Suite beschreibt die Platzierung für Neukunden als „automated data-center linkage based on the country defined in their company profiles“, während bestehende Kunden „choose which data center they want their data to be routed through“ und wechseln können. China-Residenz hängt also davon ab, wie Ihr konkreter Tenant bereitgestellt ist, nicht vom Produkt allein. | SAP Ariba Cloud Integration Gateway release update 199577 (support.ariba.com), abgerufen 2026-10-09 |
| Ein Käufer-Lieferanten-Netzwerk bewegt personenbezogene Daten per Design über die Grenze. Das SAP Business Network verbindet eine China-Partei mit Gegenparteien im Ausland, Lieferanten- und Käufer-Kontaktinformationen, Bestellungen und Rechnungen überschreiten also routinemäßig die Grenze — ein grenzüberschreitender Transfer personenbezogener Daten nach PIPL Art. 38–40 (Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus: eine CAC-Sicherheitsbewertung, der CAC-Standardvertrag oder eine Zertifizierung), unabhängig davon, wo der Home-Tenant sitzt. | Gesetz zum Schutz personenbezogener Daten der VR China, Art. 38–40 (cac.gov.cn), abgerufen 2026-10-09 |
| Residenz- und Speicherpflichten hängen von Ihrer Rolle ab, nicht vom Produkt. Für einen Betreiber kritischer Informationsinfrastruktur oder einen Verarbeiter großer Mengen müssen in China erhobene personenbezogene Daten im Festland gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)), und oberhalb von Mengenschwellen oder für „wichtige Daten“ kann eine CAC-Datenexport-Sicherheitsbewertung erforderlich sein, bevor irgendetwas geht — Tore, die die Shanghai-Region nur für tatsächlich dort gehaltene Daten erfüllt. | PIPL Art. 40; Cybersicherheitsgesetz der VR China Art. 39 (vormals Art. 37, 2025er Novelle in Kraft seit 2026-01-01); CAC-Datenexport-Sicherheitsbewertungsmaßnahmen, abgerufen 2026-10-09 |
Quellen vom 21YunBox Compliance-Team am 9. Oktober 2026 geprüft.
Ob SAP Ariba in Festlandchina „funktioniert“, ist eine Datenresidenz- und Grenzübertritts-Frage, lange bevor es eine der Geschwindigkeit ist — und der ehrliche Ausgangspunkt korrigiert eine verbreitete Annahme. SAP Ariba und SAP Business Network (das frühere Ariba Network) betreiben durchaus ein Festlandchina-Rechenzentrum: SAPs eigener 2026er-SOC-2-Prüfbericht führt „Shanghai, China“ unter seinen „SAP Data Center Locations“ für die Suite. Dies ist also kein Fall von „kein China-Zuhause“. Die eigentlichen Fragen sind enger und schärfer. Sind die Beschaffungsdaten Ihres Tenants tatsächlich auf dieser in China ansässigen Grundlage bereitgestellt? Und was geschieht mit den Lieferanten- und Käufer-personenbezogenen-Daten — Kontakte, Verträge, Bestellungen, Rechnungen —, die ein Käufer-Lieferanten-Netzwerk als Sache des gewöhnlichen Betriebs über die Grenze bewegt? SAP beantwortet die erste in seiner eigenen Dokumentation; Chinas Recht entscheidet die zweite.
SAP Ariba in China auf einen Blick
| Worüber es entscheidet | In SAP Aribas eigenen Worten — und nach chinesischem Recht |
|---|---|
| Was es ist | Eine Cloud-Suite für Beschaffung und Lieferantennetzwerk — Sourcing, Verträge, Procurement und das SAP Business Network, das Käufer und Lieferanten verbindet. Sie hält Lieferanten- und Käufer-Stammdaten und -Kontakte, Verträge, Bestellungen und Rechnungen: personenbezogene Daten plus kommerzielle Daten, von denen manches als „wichtige Daten“ gelten kann. |
| Gibt es eine Festlandchina-Region? | Ja. SAPs 2026er-SOC-2-Prüfbericht führt „Shanghai, China“ unter „SAP Data Center Locations“ für SAP Ariba und SAP Business Network. Anders als ein Werkzeug ohne China-Zuhause kann die Suite die Daten von China-Kunden im Inland hosten. |
| Sind Ihre Daten tatsächlich dort ansässig? | Nur, wenn Ihr Tenant auf den China-Standort bereitgestellt ist. Nach SAPs Cloud-Integration-Gateway-Dokumentation ist die Platzierung eine „automated data-center linkage based on the country defined in their company profiles“, und bestehende Konten „choose which data center they want their data to be routed through“. Ein Alt- oder falsch eingestellter Tenant kann weiterhin offshore sitzen. |
| Ein Netzwerk, das per Design grenzüberschreitend ist | Das SAP Business Network verbindet eine China-Partei mit Gegenparteien im Ausland, sodass Lieferanten- und Käufer-Kontakt-personenbezogene-Daten, Bestellungen und Rechnungen als gewöhnlicher Betrieb zwischen dem Festland und offshore bewegt werden — ein grenzüberschreitender Transfer, den PIPL regelt (Art. 38–40), unabhängig davon, wo der Home-Tenant sitzt. |
| Speicherung, Bewertung & ICP | Für einen Betreiber kritischer Informationsinfrastruktur oder einen Verarbeiter großer Mengen müssen in China erhobene personenbezogene Daten im Festland gespeichert werden (Cybersicherheitsgesetz Art. 39 (vormals Art. 37); PIPL Art. 40); oberhalb von Schwellen oder für „wichtige Daten“ kann eine CAC-Datenexport-Sicherheitsbewertung gelten, bevor irgendetwas geht; und ein öffentlich zugängliches Lieferantenportal, das aus China heraus bedient wird, löst eine ICP-Beian aus. |
Eine Festlandchina-Region existiert — aber Residenz hängt davon ab, wo Ihr Tenant tatsächlich sitzt
Beginnen Sie mit der Korrektur, denn sie ist die stärkste Tatsache hier: SAP Ariba ist kein ausländisches SaaS, das außerhalb des Festlands gestrandet ist. SAPs eigener 2026er-SOC-2-Prüfbericht nennt „Shanghai, China“ als einen seiner „SAP Data Center Locations“ für SAP Ariba und SAP Business Network, sodass die Suite die Beschaffungsdaten von China-Kunden echt im Inland halten kann — mehr Grundlage, als die meisten ausländischen Plattformen bieten.
Eine Region zu haben und auf ihr zu sein, sind jedoch verschiedene Dinge. SAPs Dokumentation zum Cloud Integration Gateway der Suite beschreibt die Platzierung als Eigenschaft des Kontos, nicht des Produkts: Neukunden erhalten eine „automated data-center linkage based on the country defined in their company profiles“, während bestehende Kunden „choose which data center they want their data to be routed through“ und wechseln können. China-Residenz ist also eine Bereitstellungstatsache über Ihren konkreten Tenant. Ein Konto, das eröffnet wurde, bevor der China-Standort verfügbar war, oder eines, dessen Profilland nicht auf China gesetzt ist, kann Ihre Lieferanten- und Käuferdaten weiterhin offshore halten. Das Erste, was zu klären ist, ist das Schlichteste: Auf welchem Rechenzentrum sitzt Ihr Tenant tatsächlich?
Ein Käufer-Lieferanten-Netzwerk ist per Design grenzüberschreitend
Das SAP Business Network existiert, um Käufer und Lieferanten zu verbinden — und diese Gegenparteien sitzen in verschiedenen Ländern. Ein China-Käufer, der mit Offshore-Lieferanten handelt, oder ein China-Lieferant, der Offshore-Käufer bedient, routet Lieferanten- und Käufer-Kontakt-personenbezogene-Daten, Bestellungen und Rechnungen als Sache des gewöhnlichen Betriebs zwischen dem Festland und dem Ausland. Selbst wenn Ihr Home-Tenant in Shanghai sitzt, überschreiten diese Netzwerkflüsse die Grenze.
Nach Chinas Gesetz zum Schutz personenbezogener Daten ist das ein grenzüberschreitender Transfer personenbezogener Daten, und die Pflicht fällt dem Verarbeiter zu — Ihnen, nicht SAP: Mitteilung machen, eine gesonderte Einwilligung für den Auslandstransfer einholen und einen Transfermechanismus erfüllen — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung (Art. 38–40). Eine inländische Region beantwortet, wo Daten ruhen; sie entlädt nicht von sich aus die Pflicht, die an Daten in Bewegung über die Grenze hängt. Das ist die Hälfte, die eine „wir haben ein China-Rechenzentrum“-Antwort zu übersehen neigt, und für ein Käufer-Lieferanten-Netzwerk ist es die schärfere Hälfte.
Residenz ist nicht die ganze Pflicht — Speicherung, Datenexport-Bewertung und eine öffentlich zugängliche Oberfläche
Drei weitere Tore sitzen neben der Netzwerkfrage, und jedes hängt von Ihrer Haltung ab, nicht vom Produkt:
- Speicherung. Wenn Sie ein Betreiber kritischer Informationsinfrastruktur oder ein Verarbeiter großer Mengen sind, müssen in China erhobene personenbezogene Daten im Festland gespeichert werden (Cybersicherheitsgesetz Art. 39 (vormals Art. 37 — die Datenlokalisierungsbestimmung wurde durch die 2025er Novelle des Cybersicherheitsgesetzes umnummeriert, die am 1. Januar 2026 in Kraft trat, inhaltlich unverändert); PIPL Art. 40). Die Shanghai-Region erfüllt dies nur für die tatsächlich dort gehaltenen Daten — was direkt zur Bestätigung der Platzierung Ihres Tenants zurückführt.
- Datenexport-Bewertung. Oberhalb von Mengenschwellen, oder wo Beschaffungsdatensätze „wichtige Daten“ darstellen, kann ihr Herausbewegen ins Ausland Chinas Datenexport-Sicherheitsbewertung (数据出境安全评估) erfordern, bevor irgendetwas geht.
- Eine öffentlich zugängliche Oberfläche. Ein Lieferanten-Registrierungs- oder Onboarding-Portal, das Festland-Nutzern tatsächlich aus China heraus bedient wird, trägt eine ICP-Beian-Pflicht, gebunden an eine Festland-Hosting-Ressource.
Nichts davon ist ein Urteil, dass SAP Ariba „gesperrt“ oder „illegal“ sei — es ist offenkundig weder noch, und es bietet mehr China-Grundlage als die meisten ausländischen SaaS. Es ist eine Risikokarte: Welches Tor greift, hängt von Ihrer Gesellschaft ab, von Ihren Datenmengen, Ihrer Rolle als Verarbeiter und davon, wer Ihre Gegenparteien sind — es lohnt, es mit Rechtsbeistand zu klären, bevor Ihre China-Beschaffung davon abhängt.
Der rechtmäßige Weg — kartieren, lokalisieren, ausliefern
Es gibt einen rechtmäßigen Weg, Beschaffung für China zu betreiben, und er hat eine Gestalt. Zuerst kartieren: Unser China-Team arbeitet durch, wo Ihre Ariba-Daten tatsächlich ruhen und welche Ihrer Käufer-Lieferanten-Flüsse die Grenze überschreiten, gegen Ihre Gesellschaft und Datenmengen — was in China bleiben muss, was rechtmäßig gehen darf, wo eine Speicherpflicht nach Art. 39 oder eine Datenexport-Sicherheitsbewertung greift und was Ihre Einwilligung und Mitteilung abdecken muss. Die rechtlichen Schlüsse werden mit Rechtsbeistand geklärt; wir bauen das technische Bild, das sie speist.
Dann lokalisieren: Wir stellen sicher, dass die China-Beschaffungsdaten auf einer in China ansässigen Grundlage sitzen — SAPs eigener Shanghai-Region für die Suite, wo Ihr Tenant darauf bereitgestellt werden kann, oder einer inländischen Konstellation für die Oberflächen, die sie nicht abdeckt — und, wo eine inländische Beschaffungs- oder ERP-Plattform für einen bestimmten Fluss die bessere Passung ist (das Yonyou- oder Kingdee-Ökosystem etwa), übernehmen und integrieren wir eine, sodass die Daten, die in China bleiben müssen, aufhören, standardmäßig zu gehen.
Dann ausliefern: Die auf China ausgerichteten Oberflächen — ein Lieferantenportal, eine Onboarding- oder Registrierungsseite, die Ihre Festland-Nutzer tatsächlich öffnen — sind selbst ein öffentlicher Dienst im Festland, tragen also eine ICP-Beian-Pflicht und brauchen rechtskonforme, inländische Auslieferung. 21YunBox liefert sie im Inland aus — der 21YunBox Optimizer — vor dem, was Sie bereits betreiben, ohne Neuaufbau und ohne Re-Platforming. Das Ergebnis ist Beschaffung, die für Ihre Nutzer in China rechtmäßig und rechtskonform läuft. Was wir nie tun — und was rechtmäßig niemand kann — ist, Ihnen einen Weg um Chinas Datenexport-Regeln oder um irgendeine Netzwerkbeschränkung herum zu reichen; wir lokalisieren, was bleiben muss, und liefern im Inland aus, und wir bewegen personenbezogene Daten niemals heimlich aus China heraus.
Compliance-Einschätzung anfordern →
Weiterführend:
- Grenzüberschreitende Datentransfers nach PIPL
- Chinas Datenexport-Sicherheitsbewertung
- Chinas Cybersicherheitsgesetz (Datenlokalisierung, Art. 39)
- So erhalten Sie eine ICP-Beian für China
Häufige Fragen
Hat SAP Ariba ein Rechenzentrum in Festlandchina?
Ja — und das korrigiert eine verbreitete Annahme. SAPs eigener 2026er-SOC-2-Prüfbericht für SAP Ariba und SAP Business Network führt „Shanghai, China“ unter seinen „SAP Data Center Locations“, die Suite kann die Beschaffungsdaten von China-Kunden also im Inland hosten. Der Haken ist, dass Residenz eine Bereitstellungstatsache über Ihren konkreten Tenant ist: Die Platzierung folgt dem Land im Kontoprofil, und bestehende Konten können das Rechenzentrum wechseln, ein Alt- oder falsch eingestellter Tenant kann also weiterhin Daten offshore halten. Bestätigen Sie, auf welchem Rechenzentrum Ihr Tenant sitzt, und behandeln Sie die Einzelheiten als ein mit Rechtsbeistand durchzuarbeitendes Risiko.
Wenn meine Ariba-Daten in Shanghai sind, bin ich für China rechtskonform?
Nicht auf Residenz allein. Eine China-Region klärt, wo Daten ruhen, aber das SAP Business Network verbindet eine China-Partei mit Gegenparteien im Ausland, Lieferanten- und Käufer-Kontaktinformationen, Bestellungen und Rechnungen überschreiten die Grenze also per Design — ein grenzüberschreitender Transfer nach PIPL, der Mitteilung, eine gesonderte Einwilligung und einen Transfermechanismus braucht (eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung), plus eine mögliche Datenexport-Sicherheitsbewertung bei Mengen oder für „wichtige Daten“. Für einen Betreiber kritischer Informationsinfrastruktur fügt Art. 39 (vormals Art. 37) des Cybersicherheitsgesetzes eine Inland-Speicherpflicht hinzu. Welche davon greifen, ist eine Frage für Rechtsbeistand gegen das, was Sie tatsächlich erheben und bewegen.
Kann 21YunBox helfen, unser SAP-Ariba-Setup in China zum Laufen zu bringen?
Ja. Unser China-Team kartiert, wo Ihre Ariba-Beschaffungsdaten tatsächlich ruhen und welche Ihrer Käufer-Lieferanten-Flüsse die Grenze überschreiten, bestätigt, ob Ihr Tenant auf einer in China ansässigen Grundlage sitzt, und lokalisiert, was im Land bleiben muss. Für jede öffentlich zugängliche Beschaffungsoberfläche — ein Lieferantenportal oder eine Onboarding-Seite, die Festland-Nutzern bedient wird — setzen wir ICP-gemeldete, inländische Auslieferung vor das, was Sie bereits betreiben, ohne Neuaufbau und niemals eine Umgehung welcher Art auch immer. Melden Sie sich, um Ihren konkreten Fall durchzugehen.
