Funktioniert Amazon Rekognition in China? PIPL-Grenzübertritt, Datenresidenz und Sensible-Daten-Regeln
Amazon Rekognition ist AWS' Computer-Vision-Dienst für Gesichtserkennung, Gesichtsvergleich, Identitätsverifizierung und Content-Moderation — und AWS bietet es in keiner Festlandchina-Region an. Die Bilder und Videos, die Ihr China-Betrieb ihm zur Analyse sendet, sind selbst personenbezogene Daten, oft biometrisch (Gesichter), offshore verarbeitet: ein PIPL-Grenztransfer sensibler personenbezogener Daten. Ein Blick zuerst auf die Compliance: die Residenz-, Sensible-Daten- und Grenzübertritts-Exponierung.
Funktioniert Amazon Rekognition in China?
Die Bilder und Videos, die Ihr China-Betrieb Amazon Rekognition zur Analyse sendet, sind selbst die personenbezogenen Daten — und wenn sie Gesichter enthalten, ist dieser Inhalt biometrische Daten, die sensibelste Art —, und AWS bietet Rekognition in keiner Festlandchina-Region an, sie zu analysieren, ist also ein PIPL-Grenztransfer sensibler personenbezogener Daten.
Rekognition erkennt und vergleicht Gesichter, führt Face-Liveness-Identitätsprüfungen durch und moderiert nutzergenerierte Bilder und Videos; das Gesicht oder die abgebildete Person, die Sie übertragen, kann nicht minimiert oder anonymisiert werden, denn es ist die Kennung — sensible personenbezogene Daten nach PIPL Art. 28. Es an einen im Ausland gehosteten Dienst zu senden, ist ein grenzüberschreitender Transfer (Art. 38–40, mit der gesonderten Einwilligung nach Art. 29 für sensible Daten), ein automatisches Pass/Fail oder Markieren/Entfernen ist automatisierte Entscheidungsfindung nach Art. 24, und Gesichtserkennung trägt in China ihre eigenen 2025er nationalen Regeln. Der rechtmäßige Hebel ist, die Bild- und Gesichtsverarbeitung im Inland zu halten, zu minimieren, was die Grenze überschreitet, die gesonderte Einwilligung einzuholen und jede auf China ausgerichtete Oberfläche per ICP zu melden — nicht die Offshore-API erreichbar zu machen.
Ob ein gegebenes Bild oder Gesicht sensibel oder „wichtige Daten“ ist, hängt davon ab, was Sie verarbeiten und von Ihrer Branche — ein mit Rechtsbeistand zu klärendes Risiko. Unser China-Team kann Ihre Exponierung kartieren →
Compliance-Momentaufnahme
- ✕ Rekognition hat keine AWS-China-Region; Bilder und Gesichter, die Sie ihm senden, werden offshore verarbeitet
- ! Gesichter sind biometrische Daten — sensible PII nach PIPL Art. 28, die nicht anonymisiert werden kann
- ! China-Bilder offshore zu senden, ist ein PIPL-Grenztransfer (Art. 38–40 + 29)
- ! Automatische Gesichtsverifizierung oder Inhalts-Markieren/-Entfernen ist automatisierte Entscheidungsfindung (PIPL Art. 24)
- ! Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen schulden Inland-Speicherung (CSL Art. 39, vormals 37)
- ✓ Rechtmäßiger Weg: Vision-Verarbeitung im Inland halten, gesonderte Einwilligung, Oberfläche per ICP melden
Was die offizielle Amazon Rekognition-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| Amazon Rekognition läuft in keiner Festlandchina-AWS-Region. AWS' Endpunkt-und-Kontingente-Seite listet, wo „Amazon Rekognition API operations (excluding streaming API operations) are available“ — Regionen in den USA, Europa, der Asien-Pazifik-Region, Kanada, Israel, Südamerika und AWS GovCloud (US) — ohne Peking- (cn-north-1) oder Ningxia- (cn-northwest-1) Endpunkt, und AWS listet keine On-Premises- oder selbst verwaltete Edition. In China erhobene Bilder und Videos werden daher offshore analysiert. | AWS, „Amazon Rekognition endpoints and quotas“, AWS General Reference (docs.aws.amazon.com), abgerufen 2026-10-11 |
| Der Inhalt, den Sie Rekognition senden, sind Gesichter und nutzergenerierte Medien — die personenbezogenen Daten selbst. AWS beschreibt Rekognition als Dienst, der „Detect faces appearing in images and videos“ und „Detect potentially unsafe, inappropriate, or unwanted content across images and videos“ kann, und es bietet Gesichtsvergleich und Face-Liveness-Identitätsverifizierung. Ein Gesicht sind biometrische Daten; es kann vor dem Transfer nicht anonymisiert werden, denn es ist genau das, was der Dienst zu erkennen gebeten wurde. | AWS, „Amazon Rekognition“ product page (aws.amazon.com), abgerufen 2026-10-11 |
| Gesichter sind sensible personenbezogene Daten nach PIPL Art. 28. Chinas Gesetz zum Schutz personenbezogener Daten stuft biometrische Daten — neben Finanzkonten und nationalen Ausweisnummern — als sensible personenbezogene Daten ein, die nur mit einer spezifischen gesonderten Einwilligung, einer vorherigen Folgenabschätzung zum Schutz personenbezogener Daten und strenger Notwendigkeit verarbeitet werden dürfen. Siehe PIPL (Art. 28). Gesichtserkennung trägt in China zudem dedizierte 2025er nationale Regeln, aufgeschichtet auf PIPL. | 21YunBox, „China Personal Information Protection Law (PIPL)“, Art. 28 (21cloudbox.com), abgerufen 2026-10-11 |
| In China erhobene Bilder offshore zu analysieren, ist ein PIPL-Grenztransfer durch Sie, den Verarbeiter. Personenbezogene Daten außerhalb des Festlands zu senden, löst PIPL Art. 38–40 aus — Mitteilung, einen Transfermechanismus (eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung) und, für sensible Daten durch Art. 29 verstärkt, eine gesonderte Einwilligung — und, für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen, die Inland-Speicherpflicht des Cybersicherheitsgesetzes. Siehe grenzüberschreitende Datentransfers nach PIPL. | 21YunBox, „Cross-Border Data Transfers under PIPL“ (21cloudbox.com), abgerufen 2026-10-11 |
Quellen vom 21YunBox Compliance-Team am 11. Oktober 2026 geprüft.
Für einen China-Betrieb, der Amazon Rekognition betreibt, ist die Frage nicht, ob die API einen Aufruf aus Shanghai beantwortet. Sie ist, dass die Bilder und Videos, die Sie Rekognition zur Analyse senden, die personenbezogenen Daten sind — und wenn sie Gesichter enthalten, ist dieser Inhalt biometrische Daten, die sensibelste Art, die das chinesische Recht anerkennt. Rekognition ist AWS’ verwalteter Computer-Vision-Dienst: Es erkennt und vergleicht Gesichter, führt Face-Liveness-Identitätsprüfungen durch und moderiert nutzergenerierte Medien. Es läuft nur in AWS’ globalen Regionen und GovCloud (US); die AWS-China-Partition — Peking (Sinnet) und Ningxia (NWCD) — bietet es nicht an, in China erhobene Bilder werden also offshore analysiert. Ein Gesicht kann nicht anonymisiert werden — es ist die Kennung; es ins Ausland zu senden, ist ein grenzüberschreitender Transfer nach PIPL (Art. 38–40, plus die gesonderte Einwilligung nach Art. 29); ein automatisches Zulassen/Ablehnen oder Markieren/Entfernen ist automatisierte Entscheidungsfindung (Art. 24); und jede auf China ausgerichtete Oberfläche trägt eine ICP-Pflicht.
Amazon Rekognition in China auf einen Blick
| Worüber es entscheidet | In Amazon Rekognitions eigenen Worten — und nach chinesischem Recht |
|---|---|
| Was Sie ihm senden | Rekognition analysiert Bilder und Videos, die Sie zu ihm hochladen oder streamen — AWS beschreibt es als Dienst, um „Detect faces appearing in images and videos“ und „Detect potentially unsafe, inappropriate, or unwanted content across images and videos“. Dieser Inhalt ist die personenbezogenen Daten: Nutzerfotos, hochgeladene Identitäts- oder Selfie-Bilder und nutzergenerierte Medien. Wenn ein Bild ein Gesicht zeigt, ist, was Sie gesendet haben, biometrische Daten — sensible personenbezogene Daten nach PIPL Art. 28. |
| Wo es läuft | Rekognition ist eine verwaltete Cloud-API, nur in AWS' globalen kommerziellen Regionen und GovCloud (US) verfügbar. AWS' eigene China-Partition — Peking, betrieben von Sinnet, und Ningxia, betrieben von NWCD — bietet Rekognition nicht an, und es gibt keine selbst verwaltete oder On-Premises-Edition. Von einem China-Betrieb erhobene Bilder und Videos werden also offshore analysiert. Für einen China-Betrieb ist das ein grenzüberschreitender Transfer (数据出境) personenbezogener Daten nach PIPL Art. 38–40. |
| Die Sensible-Daten-Tür | Ein Gesicht sind biometrische Daten, und Biometrie — neben Finanzkonten und nationalen Ausweisnummern — sind sensible personenbezogene Daten nach PIPL Art. 28: eine gesonderte Einwilligung, eine vorherige Folgenabschätzung und strenge Notwendigkeit. Sie können ein Gesicht nicht minimieren oder anonymisieren, denn es ist die Kennung, zu deren Erkennung Sie das Bild gesendet haben. Gesichtserkennung ist in China zudem spezifisch unter eigenen 2025er-Regeln reguliert, zusätzlich zu PIPL. |
| Automatisierte Entscheidungen + Residenz | Wo Rekognition ein Ergebnis entscheidet — eine Face-Liveness-Identitätsprüfung, die einen Nutzer bestehen oder scheitern lässt, eine Moderationsentscheidung, die Inhalte markiert oder entfernt —, ist das automatisierte Entscheidungsfindung nach PIPL Art. 24, die der Einzelperson erlaubt, eine allein durch Automatisierung getroffene Entscheidung abzulehnen. Für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen verlangt Cybersicherheitsgesetz Art. 39 (vormals Art. 37), dass in China erhobene personenbezogene Daten in China gespeichert werden; große oder sensible Mengen können eine CAC-Datenexport-Sicherheitsbewertung hinzufügen. |
| Erreichbarkeit ist nicht die Achse | Ob der Rekognition-Endpunkt aus dem Festland schnell antwortet, ist eine operative Sache, nicht die Compliance-Frage. Was entscheidet, ist, wo die Bilder und Gesichter verarbeitet werden — offshore oder auf einem inländischen Weg. 21YunBox kartiert die Exponierung, hilft Ihnen, die Vision-Verarbeitung im Inland zu lokalisieren, die gesonderte Einwilligung nach Art. 29 einzuholen, und liefert jede auf China ausgerichtete Oberfläche rechtskonform auf ICP-gemeldeter Infrastruktur aus. |
Was Sie ihm tatsächlich senden — und warum der Inhalt das Risiko ist
Amazon Rekognition ist eine Computer-Vision-API: Sie reichen ihm ein Bild oder ein Videobild, und es gibt eine Analyse zurück. AWS gruppiert die Fähigkeiten als Gesichtserkennung und -analyse („Detect faces appearing in images and videos“), Gesichtsvergleich und -suche, Face-Liveness-Identitätsverifizierung („Verify identity online“) und Content-Moderation („Detect potentially unsafe, inappropriate, or unwanted content across images and videos“). In jeder davon ist das, was Sie aus Ihrer Umgebung zum Lesen übertragen, die personenbezogenen Daten selbst — und häufig die sensibelste Art.
Die scharfen Fälle folgen dem Funktionsumfang. Ein Gesichtsvergleich- oder Gesichtssuche-Aufruf sendet ein menschliches Gesicht, das biometrische Daten sind. Ein Face-Liveness- oder Identitätsverifizierungs-Ablauf sendet ein Live-Selfie einer realen Person, oft neben einem Identitätsdokument. Ein Content-Moderation-Aufruf verschifft nutzergenerierte Bilder und Videos — die Gesichter, Körper und Ausdrücke anderer Menschen — zur Überprüfung. Nichts davon kann vor dem Verlassen de-identifiziert werden, denn das Gesicht oder die abgebildete Person ist genau das, was der Dienst zu analysieren gebeten wurde. Und Rekognition läuft nur in AWS’ globalen kommerziellen Regionen und GovCloud (US): Es gibt keine AWS-China-Region dafür und keine On-Premises- oder selbst verwaltete Edition, für einen China-Betrieb geschieht die Verarbeitung also offshore, sofern Sie sie nicht auf einen inländischen Weg setzen.
Die Türen: sensible personenbezogene Daten, grenzüberschreitender Transfer und automatisierte Entscheidungen
Sobald in China erhobene Bilder und Gesichter das Festland verlassen, um analysiert zu werden, entscheiden mehrere Rechtsgebiete, ob sie es durften. Die Gesichter und die in dem, was Sie senden, abgebildeten Personen sind personenbezogene Daten nach Chinas Gesetz zum Schutz personenbezogener Daten; ein Gesicht sind biometrische Daten, die Art. 28 als sensible personenbezogene Daten behandelt, die eine gesonderte, spezifische Einwilligung, eine vorherige Folgenabschätzung zum Schutz personenbezogener Daten und strenge Notwendigkeit erfordern. Es gibt hier keine „zuerst minimieren“-Flucht, denn die biometrische Kennung ist der Input. Gesichtserkennung trägt in China zudem ihr eigenes dediziertes Regime — die 2025er nationalen Regeln zur Anwendung von Gesichtserkennungstechnologie (in Kraft seit 1. Juni 2025) —, aufgeschichtet auf PIPL für jede Gesichtserkennungs-Nutzung.
Diesen Inhalt an einen im Ausland gehosteten Dienst zu senden, ist ein grenzüberschreitender Transfer (数据出境), und PIPL legt die Pflicht Ihnen auf, dem Verarbeiter — nicht AWS. Art. 38–40 verlangen Mitteilung, einen Transfermechanismus (eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung) und — für sensible Daten durch Art. 29 verstärkt — eine gesonderte Einwilligung. Wo Rekognition ein Ergebnis automatisch entscheidet, etwa eine Pass/Fail-Identitätsprüfung oder eine Markieren/Entfernen-Moderationsentscheidung, regelt Art. 24 diese automatisierte Entscheidungsfindung und erlaubt der Einzelperson, eine allein durch Automatisierung getroffene Entscheidung abzulehnen. Bei Mengen können Bild- und Videodaten die „wichtige Daten“-Frage nach dem Datensicherheitsgesetz aufwerfen, was eine CAC-Datenexport-Sicherheitsbewertung vor dem Verlassen verpflichtend machen kann; und für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen verlangt Art. 39 des Cybersicherheitsgesetzes (vormals Art. 37 — die Datenlokalisierungsbestimmung wurde durch die 2025er Novelle umnummeriert, die am 1. Januar 2026 in Kraft trat, inhaltlich unverändert), dass in China erhobene personenbezogene Daten in China gespeichert werden. Welche davon Ihr Deployment treffen, hängt davon ab, was Sie verarbeiten und von Ihrer Branche.
Die API aufzurufen, ist nicht die Frage — rechtskonforme inländische Verarbeitung ist es
Die Lösung ist nicht, einen Offshore-Endpunkt erreichbar zu machen — sie ist, die Bild- und Gesichtsverarbeitung dorthin zu setzen, wo das Recht sie braucht. Weil Rekognition keine AWS-China-Region und keine selbst verwaltete Edition bietet, heißt Lokalisieren, den China-Vision-Workload auf einem inländischen Weg zu halten: eine in China ansässige Verarbeitungskonstellation oder eine in China legale inländische Alternative für die Gesichts- und Moderationsarbeit, wobei nur das, was rechtmäßig gehen darf, die Grenze überschreitet. Das ist Lokalisierung im echten Sinne — die Daten auf einem inländischen Weg zu halten — niemals eine verschleierte Route, die die Bilder dennoch offshore verschifft. Minimieren Sie, was Sie senden, holen Sie die gesonderte Einwilligung nach Art. 28/29 und die Mitteilung nach Art. 13/23 ein und handhaben Sie jede Automatisierte-Entscheidung-Pflicht nach Art. 24. Jede auf China ausgerichtete Oberfläche, die den Dienst aufruft — eine Upload-Seite, ein KYC- oder Identitätsverifizierungs-Ablauf, eine moderierte Community — ist ein im Festland bedienter Internet-Informationsdienst, trägt also eine ICP-Beian-Pflicht (备案), gebunden an eine Festland-Hosting-Ressource, plus rechtskonforme inländische Auslieferung. Nichts davon ist ein Urteil, dass Rekognition in China „gesperrt“ oder „illegal“ sei — ob ein gegebenes Bild oder Gesicht sensibel oder „wichtige Daten“ ist, hängt davon ab, was Sie verarbeiten und von Ihrer Branche, es ist also eine Residenz-und-Exponierungs-Karte, kein Urteil; klären Sie die Einzelheiten mit Rechtsbeistand, bevor Ihre China-Operationen davon abhängen.
Der rechtmäßige Weg — kartieren, lokalisieren, ausliefern
Es gibt einen rechtskonformen Weg, Computer Vision und Content-Moderation für einen China-Betrieb zu betreiben, und er hat eine Gestalt. Zuerst kartieren: Unser China-Team inventarisiert, was Sie Rekognition senden — die Bilder und Videos, welche davon sensibel sind (Gesichter und andere Biometrie, Identitätsdokumente), wo es heute verarbeitet wird, auf welcher Grenzübertritts- und Einwilligungsgrundlage nach Art. 28/29 jeder Transfer beruht, ob irgendetwas davon „wichtige Daten“ ist und ob der Dienst eine automatisierte Entscheidung nach Art. 24 trifft. Die rechtlichen Schlüsse werden mit Rechtsbeistand geklärt; wir bauen das technische Bild, das sie speist.
Dann lokalisieren: Wir helfen Ihnen, die China-Bild- und Gesichtsverarbeitung im Inland zu halten — auf einem in China ansässigen Verarbeitungsweg oder einer in China legalen inländischen Alternative —, sodass die biometrischen und nutzergenerierten Inhalte, die Ihr Festland-Betrieb erhebt, aufhören, das Land standardmäßig zu verlassen, während nur das, was rechtmäßig die Grenze überschreiten darf, es tut. Wir minimieren, was Sie senden, und helfen Ihnen, die gesonderte Einwilligung nach Art. 28/29 und die erforderliche Mitteilung einzuholen. Lokalisieren heißt, die Daten auf einem inländischen Weg zu halten, niemals sie heimlich offshore zu bewegen.
Dann ausliefern: Jede auf China ausgerichtete Oberfläche auf dem Stack — eine Upload-Seite, ein Identitätsverifizierungs-Ablauf, eine moderierte Community — braucht rechtskonforme, inländische Auslieferung und trägt eine ICP-Beian-Pflicht. 21YunBox liefert sie im Inland aus — der 21YunBox Optimizer — vor dem, was Sie bereits betreiben, ohne Neuaufbau und ohne Re-Platforming. Das Ergebnis ist ein Vision- und Moderations-Fußabdruck, der für Ihre Nutzer in China rechtmäßig und rechtskonform läuft. 21YunBox verwendet und empfiehlt keine Umgehung welcher Art auch immer — wir halten im Inland, was das Recht sagt, dass es bleiben muss, liefern den Rest rechtskonform aus dem Festland heraus aus und bewegen personenbezogene Daten niemals heimlich über die Grenze.
Compliance-Einschätzung anfordern →
Weiterführend:
- Chinas Gesetz zum Schutz personenbezogener Daten (PIPL)
- Grenzüberschreitende Datentransfers nach PIPL
- Chinas Datenexport-Sicherheitsbewertung (CAC)
- So erhalten Sie eine ICP-Beian für China
Häufige Fragen
Ist Amazon Rekognition in einer Festlandchina-AWS-Region verfügbar?
Nein. Amazon Rekognition ist eine verwaltete Cloud-API, angeboten in AWS' globalen kommerziellen Regionen und AWS GovCloud (US); AWS' eigene China-Partition — Peking, betrieben von Sinnet, und Ningxia, betrieben von NWCD — bietet es nicht an, und es gibt keine On-Premises- oder selbst verwaltete Edition. Von einem China-Betrieb erhobene Bilder und Videos werden also offshore analysiert. Das — nicht, ob der Endpunkt aus dem Festland schnell antwortet — ist die Compliance-Frage: wo die Bilder und Gesichter verarbeitet werden. Bestätigen Sie den aktuellen Regionsstatus mit AWS und Ihre Pflichten mit Rechtsbeistand.
Warum sind die Gesichter, die ich Amazon Rekognition sende, ein Sensible-Daten-Problem nach PIPL?
Weil ein Gesicht biometrische Daten sind, die PIPL Art. 28 als sensible personenbezogene Daten behandelt — und eine gesonderte, spezifische Einwilligung, eine vorherige Folgenabschätzung zum Schutz personenbezogener Daten und strenge Notwendigkeit erfordert. Sie können es vor dem Transfer nicht minimieren oder anonymisieren, denn das Gesicht ist genau das, wozu Sie das Bild zum Erkennen gesendet haben. Gesichtserkennung trägt in China zudem dedizierte 2025er nationale Regeln (die Security Management Measures for the Application of Facial Recognition Technology, in Kraft seit 1. Juni 2025), zusätzlich zu PIPL. Und das Gesicht an einen im Ausland gehosteten Dienst zu senden, ist ein grenzüberschreitender Transfer (数据出境) nach PIPL Art. 38–40. Bestätigen Sie Ihre genauen Pflichten mit Rechtsbeistand.
Was ist der rechtmäßige Weg, Vision oder Content-Moderation für einen China-Betrieb zu betreiben?
Halten Sie die Bild- und Gesichtsverarbeitung im Inland — auf einem in China ansässigen Verarbeitungsweg oder einer in China legalen inländischen Alternative —, minimieren Sie, was die Grenze überschreitet, holen Sie die gesonderte Einwilligung nach Art. 28/29 und die Mitteilung nach Art. 13/23 ein und handhaben Sie jede Automatisierte-Entscheidung-Pflicht nach Art. 24, wo eine Gesichtsprüfung oder Moderationsentscheidung ein Ergebnis entscheidet. Jede auf China ausgerichtete Oberfläche, die den Dienst aufruft — eine Upload-Seite, ein Identitätsverifizierungs-Ablauf, eine moderierte Community — braucht ICP-gemeldete, inländische Auslieferung. Der Hebel ist, die Verarbeitung auf einem inländischen Weg zu halten, nicht eine Offshore-API erreichbar zu machen. Ob ein gegebenes Bild sensibel oder „wichtige Daten“ ist, hängt davon ab, was Sie verarbeiten und von Ihrer Branche, klären Sie die Einzelheiten also mit Rechtsbeistand.
